SicurezzaInformatica

Letture sotto l'albero: networking

Uno studente di informatica dell'Università di Salerno, Vincenzo Ciaglia, ha pubblicato un libro sul networking scaricabile gratuitamente: Networking@LowLevel

Il testo è utile per chi vuole dare una rinfrescata alle proprie nozioni di networking, ma anche e soprattutto come "reference guide" per chi si occupa tutti i giorni della configurazione e della manutenzione di reti.

Scrive l'autore:

Il libro è organizzato in 4 capitoli. Il primo capitolo è prettamente di introduzione mentre dal capitolo 2 sino alla fine viene trattato l'argomento Networking. Si comincia con la storia di Internet e gli sviluppi iniziali di quella che è diventata la rete più grande e famosa del mondo, dai primi sviluppi e il modello a strati OSI al TCP/IP. Si prosegue col capitolo 3. Viene trattata, nei minimi particolari, l'intera suite dei protocolli di comunicazione del TCP/IP: File Transfer Procol, Domain Name Service, Internet Control Message Protocol, Internet Group Message Protocol senza tralasciare il futuro dell' Internet Protocol: Ipv6. Nel capitolo seguente, il numero 4, vengono affrontati i protocolli di routing, molto importanti e certe volte sottovalutati. Sono alla base del perfetto funzionamento della nostra rete e analizzeremo, anche questi, nei minimi particolari.

Attacchi natalizi

Il periodo natalizio è sempre un po' nervoso per chi si occupa di security.

Considerando che l'amministratore di sistema medio conduce una vita pressoché normale, con una famiglia e una tavola imbandita che lo aspetta per festeggiare insieme, le aziende in questo periodo finiscono sempre per lavorare con l'organico sottodimensionato. Per questo motivo molti hacker ostili preferiscono lanciare attacchi proprio il 24 sera, consapevoli del fatto che i tempi di risposta da parte del personale del sistema colpito saranno inevitabilmente più lunghi.

Contro tattiche del genere ci si può difendere con un po' di prevenzione in più. In questi giorni dell'anno (penso al 24 e al 31 Dicembre, ma in Italia anche al periodo di Ferragosto) conviene fare un check preliminare di tutti i servizi attivi sulle macchine, assicurarsi di aver installato gli ultimi aggiornamenti. Inoltre, non guasterebbe mettere in piedi un sistema di alert che avvisi in maniera automatica (ad esempio tramite SMS) di eventuali problemi sui sistemi da tenere sotto controllo.

Disporre di un portatile sempre in grado di collegarsi con l'ufficio e - se possibile - avere a portata di mano qualche numero di telefono (ad esempio di un collega che ha dato la reperibilità) saranno utili per allentare l'ansia da attacco informatico.

Proteggetevi bene, quindi, affinché l'unico visitatore inatteso stasera sia vestito di rosso e passi dal camino. :-)

La mappa del phishing

È tanto che non mi occupo di phishing. Questo principalmente perché, a parte alcuni recenti ma innocui tentativi, non si sono registrati molti attacchi in Italia nelle ultime settimane.

Ad ogni modo l'Anti-Phishing Working Group, di cui faccio parte, ha pubblicato un'interessante mappa basata su dati forniti da WebSense che mostra quali siano le nazioni che ospitano il maggior numero di siti di phishing. Al primo posto questo mese troviamo Usa e Cina.

Vulnerabilità in vendita

Da un po' di tempo a questa parte sta iniziando ad affermarsi un curioso trend per quanto riguarda la scoperta e la diffusione di nuove vulnerabilità: alcuni ricercatori indipendenti vogliono farsi pagare.

Vista la natura cooperativa della Rete, soprattutto in ambito di security, la pubblicazione gratuita e partecipativa degli advisory sulle nuove vulnerabilità veniva data tutto sommato per scontata. Un po' per farsi conoscere, un po' per ragioni etiche, il ricercatore che scopre una vulnerabilità normalmente si guarda bene dal chiedere soldi in cambio della sua divulgazione. I primi tempi si accontenta della gloria. In seguito tutt'al più si ingegna con un po' di amici per mettere in piedi un'azienda di consulenza, come del resto hanno fatto molti illustri colleghi.

Qualcuno tuttavia è alla ricerca di nuovi modelli di business per capitalizzare sulla scoperta delle vulnerabilità. Ci ha pensato ad esempio 3Com, che con la sua divisione TippingPoint ha creato il progetto Zero Day Initative: l'azienda paga i ricercatori che inviano le loro ricerche su potenziali nuove falle nella sicurezza di un qualsiasi software, in cambio ovviamente dei diritti esclusivi sull'informazione. TippingPoint si impegna a contattare subito l'azienda del prodotto vulnerabile per avvisarla del problema, ma allo stesso tempo rilascia una patch solo per i propri clienti. In questo modo il ricercatore che ha scoperto la vulnerabilità ha avuto il suo compenso, mentre TippingPoint può assicurare ai suoi clienti che essi saranno i primi a beneficiare di una soluzione contro quel determinato problema.
Il modello è spiegato chiaramente qui.

Recentemente però qualcuno ha preferito sperimentare un altro canale di business, e ha messo all'asta informazioni su quella che afferma essere una nuova vulnerabilità di Microsoft Excel. Prima che Ebay bloccasse l'asta il prezzo era arrivato a 53 dollari.

Non si sa se l'utente abbia scoperto veramente una nuova vulnerabilità o se l'idea dell'asta fosse solo una goliardata. Resta il mio dubbio: si tratta di casi isolati, o siamo forse arrivati a un giro di boa nel mondo degli advisory-for-free?

Mi piacerebbe sapere cosa ne pensate.

Ebay scivola su un phishing

Sembra che Ebay abbia in un primo momento riportato come legittimo quello che in realtà era un sofisticato tentativo di phishing ai danni dei suoi utenti. Ne parla un articolo dell'edizione neozelandese di ComputerWorld.

In sostanza un utente segnala a Ebay la circolazione di un'e-mail di phishing, Ebay gli risponde sostenendo che l'e-mail non è un phishing bensì una comunicazione legittima e proveniente proprio dall'azienda, quindi in un secondo momento tornano sui loro passi, riguardano meglio il phishing e ammettono l'errore.

Si sarà trattato di un semplice abbaglio dell'addetto all'helpdesk, spero più unico che raro. Ebay purtroppo è un'azienda molto colpita dal phishing, e non può permettersi scivoloni.

Cifrare l'intero disco per proteggere i dati

Come già scritto poche settimane fa, uno dei rischi da non sottovalutare - soprattutto per un'azienda - riguarda la compromissione della riservatezza dei dati a seguito della perdita o della sottrazione di un PC.

Una soluzione potrebbe essere rappresentata da quei programmi che cifrano l'intero hard disk. In questo articolo di ComputerWorld un security manager americano spiega come la sua azienda ha testato tre di questi prodotti: Microsoft Encryption File System (EFS), PGP Whole Disk e Pointsec for PC.

Personalmente nutro da tempo una certa antipatia per questo genere di programmi. Più precisamente da dodici anni, quando persi un intero hard disk a causa di un bug in un software di disk encryption, che ovviamente una volta partito per la tangente non voleva più saperne di restituirmi i miei dati (il colpevole non fa parte dei software citati, anzi credo che sia fuori mercato da molto tempo ormai).
Naturalmente a questo genere di problemi si può ovviare con una sana policy di backup, cosa che guarda caso ho iniziato a fare sistematicamente proprio dodici anni fa...