Google, i PDF e le password

Stavo cercando un paper presentato a HotSec ‘07, ho inserito il titolo in Google e tra i risultati c’era

Provo a scaricare la versione PDF e viene  fuori il form per l’autenticazione poiché i paper su Usenix sono disponibili solo per gli associati (diventano disponibili a  tutti solo dopo un anno dalla presentazione):

Provo dunque l’opzione “Versione HTML” di Google… e a sorpresa

e poco più sotto l’intero paper

La domanda è: ma come fa Google? Suggerimenti, link?

Finché ci sarà anonimato non ci sarà sicurezza

Nei prossimi 5-10 anni la sicurezza rimarrà allo stesso patetico livello di oggi. Lo scrive Roger Grimes su Infoworld, e continua dicendo che questa situazione è determinata principalmente da questioni culturali. Prevede poi che per i prossimi anni i nuovi prodotti della sicurezza continueranno a fallire, i criminali continueranno ad attaccare restando impuniti e così via…
Grimes però fornisce anche la soluzione a questo scenario indicando il vero problema da risolvere: la diffusione dell’anonimato (the pervasiveness of anonymity). La maggior parte dei problemi di sicurezza di internet possono essere risolti adottando migliori sistemi di autenticazione a tutti i livelli; deve essere possibile identificare chi ha inviato ogni singolo pacchetto e ogni connessione dall’inizio alla fine.
Grimes vede nella biometria, che prevede essere uno standard entro i prossimi 5 anni, una soluzione soddisfacente per gli attuali problemi di autenticazione.

Conclude dicendo: In exchange for compromising on privacy, the online experience will finally be a safe one.

Anche se la proposta può sembrare radicale ha in se alcune verità ed è comunque un argomento complesso e ricco di implicazioni sicuramente da approfondire.

Sull’usabilità nella sicurezza

Uno degli errori più comuni che chi si occupa di sicurezza, soprattutto nelle piccole e medie realtà, commette è quello di ignorare che la sicurezza riguarda principalmente le persone.

La sicurezza nasce sempre dalla collaborazione tra utente e amministratore che potrà prendere tutte le misure possibili ma saranno gli utenti (consapevolmente o meno) a decidere in che modo e in che misura utilizzarle. In molte situazioni questa collaborazione non viene curata e spesso addirittura evitata. Non si cura ne l’educazione alla sicurezza dell’utente ne l’interfaccia utente delle varie infrastrutture di sicurezza. Ci si dimentica che la sicurezza è effettiva solo quando viene usata correttamente, in genere si verifica una situazione simile:

Semplificando molto l’analisi: nel grafico la linea blu è la situazione ideale ovvero aumentando le misure di sicurezza adottate aumenta proporzionalmente la sicurezza effettiva del sistema e diminuisce l’usabilità; la linea arancione è la situazione reale, ad un certo punto maggiori misure di sicurezza non porteranno a miglioramenti della sicurezza effettiva.
Per spiegare questa anomalia bisogna tenere conto che sicurezza e usabilità sono inversamente proporzionali, quello che accade è che ad un certo livello il sistema diventa non sufficientemente usabile per l’utente medio. È il fattore umano il più grande limite alla sicurezza.

Un esempio banale: consideriamo tre sistemi di autenticazione, S1 che prevede l’utilizzo di una sola password per accedere alle risorse, S2 che prevede 2 password e S10 che ne prevede 10. In un ambiente ideale il sistema S10 sarà 10 volte più sicuro del sistema S1. Nella realtà invece l’utente medio difronte a S1 sceglierà una password più o meno robusta, difronte al sistema S2 molto probabilmente ne sceglierà due uguali (il livello di sicurezza rimane dunque invariato rispetto a S1) e infine difronte a S10 difficilmente ne sceglierà dieci diverse ma molto probabilmente ne sceglierà solo una lasciando le successive bianche e anche in questo caso il livello di sicurezza è pari a quello di S1.
Ecco un altro esempio dove l’adozione di un meccanismo di sicurezza è controproducente. Consideriamo un’applicazione che permette all’utente di bloccare tutti i dispositivi (lettore cdrom, floppy, porte USB, infrarossi, etc.) per evitare il furto di dati. Supponiamo che l’applicazione prevede che per bloccare e sbloccare i dispositivi occorre inserire ogni volta la password di sistema (quella utilizzata dall’utente per accedere a Windows) e supponiamo anche che l’operatore debba bloccare la macchina (inserendo la password) ogni volta che si allontana dalla postazione e successivamente sbloccarla (inserendo nuovamente la password). Il risultato finale sarà che l’utente modificherà la password di accesso scegliendola più corta possibile o comunque banale per velocizzare le operazioni di bloccaggio/sbloccaggio dei dispositivi. Avremo dunque diminuito il grado di sicurezza generale poiché la macchina e l’applicazione saranno protette da una passwword debole. In una situazione simile si possono trovare più errori: nel comportamento dell’amministratore che ha imposto misure di sicurezza eccessive o non ha saputo illustare ai suoi utenti la necessità di una tale misura; nell’applicazione che invece di usare una propria password usa quella di accesso.

La soluzione sta nel trovare un giusto equilibrio tra usabilità e sicurezza. Equilibrio che deve tener conto dell’effettiva necessità di sicurezza e del livello degli utenti (eventualmente da adeguare alle necessità). Oppure si dovrebbero adottare, ogni volta che è possibile, soluzioni centralizzate e automatizzate in modo da tener lontano l’utente dalla gestione della sicurezza.
Lo stesso discorso, ma in altri termini e con altre soluzioni, vale per gli sviluppatori di software che scrivono le loro applicazioni in modo che possano essere usate nel rispetto di tutte le norme di sicurezza ma saranno gli utenti a decidere in che modo utilizzarle.

P2P: il vero nemico della privacy

Riprendendo il discorso sull’importanza dei client nella messa in sicurezza di una rete va evidenziata l’importanza delle applicazioni P2P che contribuiscono in almeno due maniere all’insicurezza di un host:

• vulnerabilità insite nell’applicazione
• misconfigurazione e/o utilizzo non consapevole

Inoltre c’è da evidenziare anche il fatto che le reti P2P di nuova generazione sono difficilmente individuabili e isolabili.
Oltre a questo bisogna prendere in considerazione tutte le problematiche relative alla violazione dei copyright e all’utilizzo indiscriminato della banda (data la sua natura il P2P, se non limitato, in breve tempo prende possesso di gran parte della banda disponibile).

E` interessante soprattutto il secondo aspetto riguardante la non configurazione delle applicazioni P2P. Il problema è che queste applicazioni vengono spesso installate e configurate da utenti che ignorano completamente i concetti base delle reti e le minime misure di sicurezza. Spesso viene mantenuta la configurazione di default che in genere è molto permissiva per permettere il funzionamento in gran parte delle situazioni possibili, altre volte viene azzardata una configurazione che se è possibile peggiora ancora di più la situazione.

Uno dei misfatti più comuni è la condivisione dell’intero disco o di intere cartelle come Documenti e simili. E` di poche settimane fa lo studio della Tiversa Inc. che ha rilevato che sulla rete Limewire, ma non solo, sono in condivisione una gran quantità di documenti riservati del governo statunitense messi in condivisione da impiegati dei vari enti e agenzie.
Il CEO del Lime Group sottolinea che spesso queste condivisioni oltre che inconsapevoli sono anche involontarie in quanto indotte da malware nascosto, scaricato insieme a file regolari, che ha la funzione di indicizzare l’intero hard-disk.

Per curiosità ho fatto delle prove utilizzando le reti eDonkey, Slsk e Gnutella e in meno di mezz’ora di ricerca il risultato è stato allarmante, ho individuato:

• hard-disk di una macchina interna alla rete del comune di Firenze interamente condiviso; e quindi archivi, lettere, incarichi, deleghe, appalti e dati personali in grande quantità;
• cartella documenti condivisa di un commercialista di Milano con tanto di bilanci, contratti, bonifici, lettere a banche e Ministeri vari, estratti conto di clienti che ignorano che i loro dati sensibili circolano liberamente per la rete;
• intero hard-disk di un’azienda agricola di Taranto completo di fatture, dati sui clienti, contratti e dati di conti bancari.

Oltre a ciò viene fuori una grande quantità di coppie username/password di account email e di forum ma anche dati relativi a conti correnti online (c’è chi è stato capace di salvare i propri dati bancari in un file dal nome FileImportante-Dati-PostePay.txt) e dati personali (copie di carte d’identità, tessere sanitarie, codici fiscali, passaporti…). E ancora:

• file di configurazione dei browser web che ora permettono anche di salvare le password (non sono in chiaro ma facilmente decifrabili);
• file di configurazione di client IM/IRC con tanto di log e password;
• interi archivi email;
• copie di backup di siti internet con tanto di database contenente dati (email, numero di CC) degli utenti iscritti.

Insomma data la diffusione del P2P la situazione non è confortante. Vista la natura del problema la soluzione deve prevedere contromisure tecniche e soprattutto contromisure comportamentali. Senza entrare nei dettagli, per chi gestisce grandi reti (università, biblioteche, enti pubblici, etc.) vista l’importanza dei dati in ballo le contromisure devono essere drastiche: oltre a bloccare (nei modi e nelle misure possibili) il traffico P2P occorre definire una politica rigida sull’installazione di software e bisogna educare i propri utenti alla sicurezza.
Gli utenti domestici, a cui nessuno può negare l’utilizzo di applicazioni P2P, invece devono prendere coscienza dei rischi a cui vanno incontro con un utilizzo security-free del P2P.