SicurezzaInformatica

Michigan, la polizia stradale copia i dati privati dagli smartphone

In Michigan, negli Stati Uniti, la polizia stradale avrebbe iniziato a fermare gli autoveicoli e a scaricare i dati contenuti nello smartphone di chi era alla guida, anche senza sentire la necessità di contestare alcun reato.

Come riportato da Cnet la polizia utilizza un dispositivo che, collegato allo smartphone, esegue il download di SMS, fotografie, video, dati GPS, numeri della rubrica, anche superando PIN e password.

Ogni commento è superfluo, ma c'è un buon motivo se ho inserito questo post nella sezione Crittografia.

 

Sequestri di portatili volando negli USA

La paura di volare da tempo ha assunto un nuovo significato. La paranoia da attentato terroristico ci spinge non solo a imbarazzanti spogliarelli davanti ai metal detector (agli aeroporti di Mosca, ma non è l'unica città, da un paio d'anni ormai è d'obbligo togliersi le scarpe e zompettare dentro mini-sacchetti di plastica), ora negli USA potrebbero sequestrarvi il computer e compiere un'approfondita analisi dei suoi contenuti.

Ne parla Punto Informatico:

La Association of Corporate Travel Executives, ACTE ha diramato un allarme a tutti i propri soci secondo cui "con le attuali leggi americane, agenti governativi possono sequestrare e analizzare il computer portatile di un viaggiatore, i suoi dischi e altri media elettronici quando arriva negli Stati Uniti da un volo internazionale o parte dagli Stati Uniti verso un altro paese".

E in effetti il comunicato dell'ACTE non lascia spazio ad alcun dubbio:

The Association of Corporate Travel Executives (ACTE) is warning its members that under U.S. law, government agents may seize and search a person´s laptop computer, computer discs, and other electronic media when that person arrives in the U.S. from abroad or departs from the U.S for a foreign country. The law applies equally to U.S. passport holders and non-U.S. passport holders. The association is advising business travellers to be cautious in carrying proprietary information across U.S. borders.

Il mio consiglio si esaurisce in un'unica parola: crittografia.

Un fotone alla volta per proteggere i dati

L'Università di Melbourne sta mettendo a punto una nuova tecnologia per rendere più difficile il furto di informazioni durante la loro trasmissione. Il sistema invia i dati un fotone per volta. In questo modo, affermano i ricercatori, si verrà subito a sapere se il fotone sia stato intercettato o meno.

Attualmente:

Existing communications systems are not foolproof because hackers or eavesdroppers can extract information from optical links without users being aware of it [...].

Mentre il nuovo sistema:

"It's not a stronger form of encoding, it's a new paradigm, so if someone steals the information you definitely know it's happened. If you're sending one photon at a time and one goes missing you know it."

I fotoni verranno prodotti da diamanti artificiali creati in laboratorio proprio per questo scopo:

This is achieved by "growing" diamonds, which are "usually cleaner" than the mined gems, in QCV's lab. The synthetic diamonds have a defect which is the source of the single photon.

Maggiori informazioni in questo articolo di Network World.

Cifrare l'intero disco per proteggere i dati

Come già scritto poche settimane fa, uno dei rischi da non sottovalutare - soprattutto per un'azienda - riguarda la compromissione della riservatezza dei dati a seguito della perdita o della sottrazione di un PC.

Una soluzione potrebbe essere rappresentata da quei programmi che cifrano l'intero hard disk. In questo articolo di ComputerWorld un security manager americano spiega come la sua azienda ha testato tre di questi prodotti: Microsoft Encryption File System (EFS), PGP Whole Disk e Pointsec for PC.

Personalmente nutro da tempo una certa antipatia per questo genere di programmi. Più precisamente da dodici anni, quando persi un intero hard disk a causa di un bug in un software di disk encryption, che ovviamente una volta partito per la tangente non voleva più saperne di restituirmi i miei dati (il colpevole non fa parte dei software citati, anzi credo che sia fuori mercato da molto tempo ormai).
Naturalmente a questo genere di problemi si può ovviare con una sana policy di backup, cosa che guarda caso ho iniziato a fare sistematicamente proprio dodici anni fa...

Lunghezza della password nel WPA

Nei mesi passati ho ricordato più volte quanto la crittografia WEP sia insicura e di come sia necessario passare almeno al protocollo WPA. Una delle raccomandazioni nell'implementazione del WPA, tuttavia, è quella di scegliere una password molto lunga, almeno una ventina di caratteri, per rendere le comunicazioni estremamente difficili da decrittare.

L'altro giorno in un suo articolo su ZDNet George Ou ha però rilassato in un certo senso queste restrizioni, affermando che se è abbastanza complessa (lettere maiuscole, minuscole, numeri ecc) la password può anche essere di 7-8 caratteri.

Il mio consiglio ovviamente è quello di usare una password lunga e complessa. Inoltre, non abbiate paura a usare segni di interpunzione all'interno della password, come il punto, la virgola, l'esclamativo, ecc. Un'ottima password, ad esempio, potrebbe essere un indirizzo e-mail associato a un numero telefonico di uno o più conoscenti, tipo: Pinco.Pallino@Azienda.it:3351234567

Facile da ricordare e impenetrabile (a meno che ovviamente non vi rubino l'agenda).

Rompere la crittografia dei RFID di Texas Instruments

Un team di studenti e ricercatori della John Hopkins University ha dimostrato come sia possibile rompere la cifratura dei DST (Digital Signature Transponder) tag di Texas Instruments. Questi chip RFID vengono oggi utilizzati negli USA in almeno un sistema di pagamento e in un apparato antifurto "immobilizer".

Alla base della vulnerabilità una chiave troppo corta:

The TI system does indeed employ an encryption algorithm at its core. The key for this algorithm, however, is only 40 bits long. This is too short to withstand a brute-force computing attack. The number of possible 40-bit keys is 1099511627776. This seems like a large number, but with a fast computer it is today possible to try all of these possibilities exhaustively and thereby recover the secret key of a cryptographic system.

Per una corte Usa il Pgp è da criminali

In un processo per pedofilia il solo fatto di avere il programma PGP (Pretty Good Privacy) sul computer sarebbe un indizio a sfavore dell'imputato, questa la conferma di una corte d'appello del Minnesota.

Secondo i giudici infatti il solo possesso del più diffuso software di crittografia evidenzierebbe le intenzioni criminali dell'utente. Ne parla News.com.

Se la tendenza a considerare il Pgp come un programma da criminali dovesse proseguire anche al di fuori dei processi per pedofilia iniziamo a preparare tonnellate di arance, che le carceri fra poco si faranno molto più affollate..

Come rompere la cifratura WEP

Questo articolo spiega passo-passo come rompere una chiave WEP (Wired Equivalent Privacy), l'ormai obsoleta cifratura presente nelle prime connessioni Wi-Fi (ma oggi ancora molto usata, per non parlare delle reti dove la cifratura è totalmente assente).

Bisogna perderci un po' di tempo. Indicato per chi ha la necessità di spiegare al capo perché quella VPN in ufficio è proprio necessaria.

Crittografia quantistica per le videoconferenze

Questo articolo di Nature illustra come il Cambridge Research Laboratory di Toshiba abbia preparato un prodotto per rendere più sicure le videoconferenze applicando la crittografia quantistica.