{"id":150,"date":"2010-01-25T08:38:39","date_gmt":"2010-01-25T06:38:39","guid":{"rendered":"http:\/\/www.fantascienza.com\/blog\/blackpig\/?p=150"},"modified":"2010-01-25T08:38:39","modified_gmt":"2010-01-25T06:38:39","slug":"allora-e-meglio-microsoft","status":"publish","type":"post","link":"https:\/\/luigirosa.com\/index.php\/2010\/01\/25\/allora-e-meglio-microsoft\/","title":{"rendered":"…allora \u00e8 meglio Microsoft!"},"content":{"rendered":"

Il titolo \u00e8 volutamente provocatorio e l’antagonismo ideologico tra le major<\/em> dell’informatica non \u00e8 l’oggetto di questo post, che \u00e8 un esercizio teorico basato su un fatto di cronaca.<\/p>\n

Recentemente c’\u00e8 stato un attacco coordinato proveniente dalla Cina contro il servizio di posta elettronica di Google. L’attacco sarebbe stato coordinato attraverso dei computer controllati tramite il protocollo Aurora, la cui analisi ne rivela la complessit\u00e0<\/a> e fa chiaramente capire che non \u00e8 stato creato dal solito gruppo di smanettoni cantinari.<\/p>\n

Immaginiamo di voler penetrare in un migliaio di account email di Google. Abbiamo sostanzialmente tre vie per farlo: o rubiamo le password agli utenti con vari sistemi (social engineering<\/em><\/a>, accessi fisici ai loro computer, intercettazioni ambientali<\/a>), o tentiamo di accedere utilizzando password generate pi\u00f9 o meno casualmente, o troviamo un buco nella sicurezza dei sistemi di BigG.<\/p>\n

Il primo sistema \u00e8 rischioso, costoso e anche poco efficace, specialmente se le vittime dell’attacco sono preparate dal punto di vista informatico e utilizzano computer diversi per collegarsi. Senza contare che il crivello antispam<\/em> di Google potrebbe eliminare i messaggi di phishing<\/em><\/a>. Da ultimo, se lo spionaggio venisse scoperto potrebbe compromettere tutta l’operazione. No buono.<\/p>\n

Tentare sistematicamente le password \u00e8 fuori discussione per vari motivi. Innanzi tutto i sistemi di Google sono ben preparati per riconoscere e bloccare questi tentativi; inoltre, in caso di ripetuti tentativi di login non autorizzato, si corre il rischio che l’utente vittima dell’attacco venga avvisato dei tentativi da parte dei sistemi automatici del gestore. Anche se tutte queste limitazioni non esistessero, sarebbe comunque un tentativo che richiederebbe tempo e risorse. Per avere un’idea, utilizzando i soli caratteri scrivibili attraverso una tastiera USA modificati usando solamente il tasto maiuscola (per i tecnici: il set ASCII<\/a> stampabile), con una password di 10 caratteri le combinazioni sarebbero 95^10<\/a>. Con il set ASCII-esteso<\/a> si aggiungono 128 caratteri e una password di 10 caratteri ha 223^10<\/a> combinazioni. Il tutto senza prendere in considerazione Unicode<\/a> e il set di ideogrammi cinesi. Tutto quanto per un solo utente, i numeri devono essere moltiplicati per gli utenti da attaccare. Decisamente poco pratico.<\/p>\n

La soluzione pi\u00f9 praticabile sembrerebbe essere quella di trovare una falla nella protezione del sistema da attaccare, ben sapendo che, una volta trovata un’ipotetica vulnerabilit\u00e0, il tempo per sfruttarla sarebbe veramente poco. Teniamo presente che non stiamo parlando di sprovveduti, ma di persone molto abili dal punto di vista informatico. Meglio ancora se si dispone di un basista all’interno di Google<\/a>, anche se non siamo sicuri di poterlo sfruttare: si sa i tecnici parlano tra loro e discutono volentieri dei loro problemi con i colleghi; peccato che, come insegnavano gli Inglesi, loose lips sink ships<\/em><\/a>. I tentativi possono continuare per dei mesi, ma l’attaccante ha dalla sua un numeroso esercito di computer sotto il suo controllo. Possiamo solo immaginare quale sia stata la sorpresa nello scoprire non gi\u00e0 un problema di sicurezza, ma una backdoor<\/em><\/a> collocata deliberatamente per permettere l’accesso alle forze dell’ordine americane<\/a>. Et voil\u00e0<\/em>! Ecco il “baco perfetto”: una backdoor<\/em> di un sistema che deve esistere ex lege<\/em>, non si potrebbe chiedere di meglio.<\/p>\n

Vero? Falso? Impossibile dirlo per ora. Per\u00f2 non fatevi spedire password di altri sistemi su Gmail. Just in case…<\/p>\n","protected":false},"excerpt":{"rendered":"

Il titolo \u00e8 volutamente provocatorio e l’antagonismo ideologico tra le major dell’informatica non \u00e8 l’oggetto di questo post, che \u00e8 un esercizio teorico basato su un fatto di cronaca. Recentemente c’\u00e8 stato un attacco coordinato proveniente dalla Cina contro il servizio di posta elettronica di Google. L’attacco sarebbe stato coordinato attraverso dei computer controllati tramite […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"activitypub_content_warning":"","activitypub_content_visibility":"local","activitypub_max_image_attachments":3,"footnotes":""},"categories":[11,12,25],"tags":[86,205,265,366,423],"class_list":["post-150","post","type-post","status-publish","format-standard","hentry","category-informatica","category-internet-informatica","category-sicurezza","tag-backdoor","tag-email","tag-internet-informatica","tag-posta-elettronica","tag-sicurezza"],"_links":{"self":[{"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/posts\/150","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/comments?post=150"}],"version-history":[{"count":0,"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/posts\/150\/revisions"}],"wp:attachment":[{"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/media?parent=150"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/categories?post=150"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/luigirosa.com\/index.php\/wp-json\/wp\/v2\/tags?post=150"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}