SicurezzaInformatica

Tre documenti dal NIST

Il NIST (Nastional Institute of Standards and Technology, un ente governativo USA) ha recentemente pubblicato tre documenti ("special publications") ai quali varrebbe la pena dare un'occhiata:

• Guide to Industrial Control Systems (ICS) Security

Ancora come bozza, pubblicata per chiedere commenti al grande pubblico, questo documento tratta la sicurezza di quei servizi di controllo vitali al corretto funzionamento delle infrastrutture critiche.

• Guide to Bluetooth Security

Il paper è utile a tutti coloro che implementano funzionalità Bluetooth nel loro ambito lavorativo (e non mi riferisco solo al pairing fra telefono e auricolare), ad esempio i network administrator.

• Technical Guide to Information Security Testing and Assessment

Una raccolta di consigli per le aziende che desiderano implementare una serie di test di sicurezza fai-da-te (network scan, penetration test, ecc).

---

Incubi RFID

Wired ha immaginato alcune storie di ordinario pericolo che riguardano l'uso di tag RFID non protetti. La lettura è gradevole: The RFID Hacking Underground.

Rfid malware

Possono esistere virus e worm basati su Rfid?

A quanto pare sì.

WSIS: vietata la carta stagnola

È accaduto un fatto curioso al recente vertice ONU di Tunisi sulla Società dell'Informazione: come avvenne pure al precedente vertice WSIS del 2003, anche quest'anno i badge dei delegati contenevano tutti un chip RFID (nonostante al vertice di Ginevra qualcuno delle Nazioni Unite avesse promesso che ciò non si sarebbe ripetuto). I chip non solo consentono un rapido passaggio ai checkpoint di sicurezza, ma favoriscono anche il tracciamento dei delegati senza che essi se ne rendano conto.

Un chiaro schiaffo alla privacy, questo deve aver pensato il relatore Richard Stallman (fra le altre cose fondatore del progetto GNU) che si è procurato un rotolo di carta stagnola per schermare adeguatamente il suo badge. Ovviamente ai checkpoint il badge veniva "scoperto" per permettere la lettura dei dati, quindi velocemente richiuso.

Quando Stallman ha iniziato a consigliare anche ad altri delegati di fare lo stesso, gli addetti alla sicurezza del vertice ONU non l'hanno presa molto bene...

La storia continua in questo articolo dell'Inquirer o nel blog di Bruce Perens (entry del 18 Novembre).

Lunghezza della password nel WPA

Nei mesi passati ho ricordato più volte quanto la crittografia WEP sia insicura e di come sia necessario passare almeno al protocollo WPA. Una delle raccomandazioni nell'implementazione del WPA, tuttavia, è quella di scegliere una password molto lunga, almeno una ventina di caratteri, per rendere le comunicazioni estremamente difficili da decrittare.

L'altro giorno in un suo articolo su ZDNet George Ou ha però rilassato in un certo senso queste restrizioni, affermando che se è abbastanza complessa (lettere maiuscole, minuscole, numeri ecc) la password può anche essere di 7-8 caratteri.

Il mio consiglio ovviamente è quello di usare una password lunga e complessa. Inoltre, non abbiate paura a usare segni di interpunzione all'interno della password, come il punto, la virgola, l'esclamativo, ecc. Un'ottima password, ad esempio, potrebbe essere un indirizzo e-mail associato a un numero telefonico di uno o più conoscenti, tipo: Pinco.Pallino@Azienda.it:3351234567

Facile da ricordare e impenetrabile (a meno che ovviamente non vi rubino l'agenda).

Collision ID per identificare i chip RFID

Commentando il recente regolamento USA che introduce i chip RFID nei passaporti, l'esperto di sicurezza Bruce Schneier, scrivendo dalle colonne di Wired News, introduce un altro potenziale problema di privacy: l'identificazione univoca dei chip grazie ai collision ID.

RFID chips, including the ones specified for U.S. passports, can still be uniquely identified by their radio behavior. Specifically, these chips have a unique identification number used for collision avoidance. It's how the chips avoid communications problems if you put a bagful of them next to a reader. This is something buried deep within the chip, and has nothing to do with the data or application on the chip.

Chip manufacturers don't like to talk about collision IDs or how they work, but researchers have shown how to uniquely identify RFID chips by querying them and watching how they behave. And since these queries access a lower level of the chip than the passport application, an access-control mechanism doesn't help.

C'è da notare che la semplice conoscenza del collision ID non permette di risalire ai dati contenuti nel chip, ma potrebbe consentire di effettuare un tracking non autorizzato.

Ricordo infine che il regolamento statunitense impone anche ai cittadini che possono entrare negli USA per brevi periodi di tempo senza visto (come gli Italiani) di presentare alla frontiera, a partire da Ottobre 2006, un passaporto contenente un chip RFID.
Resta la mia perplessità: ce la faranno tutti i Paesi del VWP, fra cui l'Italia, ad adeguarsi nel giro di un anno? O saremo costretti a chiedere una (forse doverosa, in questo caso) proroga?

Che sia l'inizio del bluedriving?

Se lo chiedono anche quelli di TomsNetworking, intervistando il programmatore di uno dei due prodotti di Bluetooth scanning che sono usciti recentemente per Windows.

La novità ovviamente non è il software in sè, visto che già esistono programmi analoghi per Linux, bensì il fatto che ora sarà più facile anche per gli utenti meno esperti effettuare uno scanning a tutto campo di dispositivi bluetooth, ottenendo la tipologia del device (computer, smart phone, ecc), il MAC address, i servizi attivi e informazioni del genere.

Non è abbastanza - ovviamente - per renderlo un "kit per il piccolo blue-hacker", ma la strada è aperta.

Tag RFID nei passaporti USA

Ormai è deciso: fra un anno i passaporti USA avranno tutti un tag RFID. Ne parla un articolo del Washington Post.

Le informazioni contenute nel chip saranno le stesse già presenti nella pagina che elenca i dati del possessore del passaporto, con l'aggiunta di una "versione biometrica" della fotografia e una firma digitale. Il tutto in chiaro, solo la connessione con il lettore all'aeroporto verrà crittografata.

Inoltre:

Foreigners from countries who do not need visas to enter the United States also must have the chips by next October. Such countries will be responsible for providing their citizens with passports that comply with U.S. entry requirements.

Che il chip nel passaporto arrivi presto anche da noi? Ma un anno per "mettersi in regola" mi sembra un po' poco...

Ancora su come rompere il WEP

Ne ho già parlato qualche mese fa. Per i più interessati ecco un'altra (vecchia) guida su come rompere la crittografia WEP delle connessioni Wi-Fi, giusto per mettere in chiaro che come misura di sicurezza ha davvero fatto il suo tempo.

Wireless DoS

Come se non bastasse il forno a microonde, ci sono altri modi per buttare giù la vostra rete Wi-Fi.