SicurezzaInformatica

Cold boot attack

In un interessante intervento sul blog di Gian Luca Petrillo si parla del cold boot attack, ovvero quel particolare tipo di attacchi dove si sfrutta la caratteristica delle memorie DRAM e SRAM di mantenere i dati in memoria per un certo periodo di tempo anche dopo che il PC è stato spento.

[...] consiste nel rimuovere l'alimentazione di un computer (o di un server) e riavviarlo immediatamente da un disco esterno (CD/USB) o dalla rete per copiare il contenuto della memoria su di un supporto esterno.

A questo punto il sistema operativo del sistema avviato o una analisi a posteriori, possono consentire di risalire alle password dei sistemi che si stavano utilizzando, ad esempio le password delle utenze del sistema operativo, come anche quelle dei broswer, ma soprattutto le ricercatissime immagini delle chiavi di cifratura asimmetriche.

Il punto è che le chiavi devono stare in memoria per cifrare/decifrare i dati sul disco, e se la memoria non viene cancellata subito esse restano disponibili e quindi vulnerabili a questo tipo di attacchi.

Maggiori informazioni anche dal blog di Wired.

---

Con Korset il sistema operativo si difende da solo

Questa estate un professore e uno studente della facoltà di ingegneria dell'Università di Tel Aviv hanno presentato Korset, un HIDS (Host-based Intrusion Detection System) per il kernel di Linux. Intervistati da Science Daily, essi affermano che il metodo usato dal loro software è molto più efficiente rispetto agli anti-virus tradizionali: esso analizza il codice di un programma, crea il relativo diagramma di flusso (control flow graph, CFG) e controlla che il programma non esegua chiamate di sistema al di fuori di quelle prestabilite. Se le fa, ciò può essere sintomo di un'intrusione (code injection e simili).

Al di là delle fantasiose ipotesi del giornalista di Science Daily, che mette in competizione un HIDS con un anti-virus, Korset potrebbe rappresentare un utile livello di protezione in più. Ammesso ovviamente che i due studiosi riescano a superare alcune limitazioni che ha attualmente il programma. Ad esempio l'overhead, che - come riferisce la loro presentazione -  se normalmente non supera l'1%, in certi casi particolari può avvicinarsi al 120%.

Inoltre, sempre a detta di chi lo ha realizzato, Korset è ben lontano da essere un prodotto completo:

It does not yet support dynamically linked applications,
multi-threaded applications, signals, setjmp/
longjmp, etc. In addition, there is still a lot of work required
to increase the precision of the automatons, e.g.,
better assembly analysis, better indirect calls analysis,
add additional observable data to the model, improve
the automaton manipulation algorithms, etc.

Sarà interessante vedere quale sarà l'overhead una volta implementati questi ulteriori controlli.

---

Ci siamo quasi...

Un anno di stop dovuto in parte a problemi tecnici (la nuova versione di Movable Type non ne voleva sapere di lavorare) e in parte a mancanza di tempo. Ora, grazie a un nuovo server e a un sistema che renderà la pubblicazione di news più agevole, si ricomincia...