Visualizza Versione Completa : Parliamo di attacchi e difese nel settore IT
soccorritore
27-03-12, 12: 25
Desidero iniziare un thread specialistico su tutto quanto concerne il mondo dell'hacking e della sicurezza dei sistemi. Quante volte si è letto di attacchi, defacement portati a segno da gruppi di persone celati dietro le sigle (o i nickname) più disparati. E ogni volta a chiedersi: ma come fanno queste persone a portare a compimento un DoS, un defacement, a "rubare" dati... Ci si aspetta che siti web importanti siano protetti, blindati, praticamente inespugnabili... Invece ecco che qualunque indirizzo è esposto e nessun sito può dirsi sicuro al 100%. La sicurezza totale è data semplicemente dal disconnettere dalla rete un sistema o un servizio (e neanche questo è sufficiente, se si tratta di dati "classificati"). Tuttavia più si aumentano i livelli di difesa, più questa sicurezza si scontra con l'operatività. Gli americani si sono inventati dei corsi di certificazioni basati sui concetti più astratti di difesa, quali il CISSP ad esempio, che si spingono alla paranoia estrema. Ma applicare alla lettera le procedure descritte in simili corsi è quasi impossibile ovunque. Ed ecco che, nelle maglie, più o meno larghe si inseriscono gli attaccanti.
Nella maggior parte dei casi si iniziano a sfruttare delle sviste, che, poco alla volta, una dietro l'altra, consentono di arrivare ad una "escalation" dei privilegi, fino a quelli massimi. Una patch non installata, una password non rispondente ai requisiti di complesità, un sito scritto con del codice non adeguatamente protetto ed ecco che, poco alla volta, l'attaccante penetra nel sistema. E a poco servono infrastrutture commerciali di protezione, spesso pagate a caro prezzo dalle multinazionali del settore, come Fortinet, Check Point, Stonegate, Juniper ecc... Bilanciare il livello di controlli e consentire l'operatività è un lavoro estremamente complesso. Troppe volte capita che policy molto invasive di intrusion prevention blocchino anche connessioni lecite (falsi positivi) e quindi si evita di far effettuare alla macchina una particolare analisi applicativa sul pacchetto che giunge dalla rete pubblica verso i server (molto spesso in cluster).
Negli attacchi di tipo DoS non c'è molta salvezza: vince chi ha più throughput (banda) a disposizione. Anche in questo caso le multinazionali del settore pubblicizzano sistemi in grado di porre immediatamente in blacklist questo tipo di attacchi. Tuttavia gli attacchi condotti in tempi recenti verso i portali di Trenitalia o del Vaticano, hanno dimostrato che, anche con le migliori infrastrutture, con cluster di sistemi in bilanciamento di carico, non c'è salvezza. Quando arrivano decine di migliaia di richieste in contemporanea da parte di botnet puoi avere i migliori IPS, ma soccombi. A meno di non avere così tante risorse e sistemi delocalizzati sul territorio, da poter "giocare" ad armi pari. E' il caso di pochi colossi, come Google o Facebook. Provate a vedere, ad esempio, quanti server (web/DNS) ha a disposizione Google.
dig google.com
; <<>> DiG 9.4.3-P3 <<>> google.com
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8262
;; flags: qr rd ra; QUERY: 1, ANSWER: 11, AUTHORITY: 4, ADDITIONAL: 4
;; QUESTION SECTION:
;google.com. IN A
;; ANSWER SECTION:
google.com. 300 IN A 173.194.35.0
google.com. 300 IN A 173.194.35.1
google.com. 300 IN A 173.194.35.2
google.com. 300 IN A 173.194.35.3
google.com. 300 IN A 173.194.35.4
google.com. 300 IN A 173.194.35.5
google.com. 300 IN A 173.194.35.6
google.com. 300 IN A 173.194.35.7
google.com. 300 IN A 173.194.35.8
google.com. 300 IN A 173.194.35.9
google.com. 300 IN A 173.194.35.14
;; AUTHORITY SECTION:
google.com. 6915 IN NS ns1.google.com.
google.com. 6915 IN NS ns2.google.com.
google.com. 6915 IN NS ns3.google.com.
google.com. 6915 IN NS ns4.google.com.
;; ADDITIONAL SECTION:
ns1.google.com. 1619 IN A 216.239.32.10
ns2.google.com. 1619 IN A 216.239.34.10
ns3.google.com. 1619 IN A 216.239.36.10
ns4.google.com. 1619 IN A 216.239.38.10
;; Query time: 130 msec
;; WHEN: Sun Mar 25 14:17:52 2012
;; MSG SIZE rcvd: 340
Tentare attacchi di vario tipo a questa moltitudine di sistemi in contemporanea comincia a diventare complesso. Molto più facile quando ci si trova ad attaccare un solo sistema, come nel caso del Vaticano:
dig vatican.va
; <<>> DiG 9.4.3-P3 <<>> vatican.va
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49098
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;vatican.va. IN A
;; AUTHORITY SECTION:
vatican.va. 1800 IN SOA john.vatican.va. postmaster.vatican.va. 2012032201 14400 3600 604800 3600
;; Query time: 138 msec
;; WHEN: Sun Mar 25 14:20:56 2012
;; MSG SIZE rcvd: 80
Contro altre tipologie di attacchi, la prima regola è far traspire all'esterno il minor numero di informazioni che consente all'attaccante di raffinare i suoi tentativi di forzare l'accesso dall'esterno. Prendiamo ad esempio questo forum. Non bisogna essere dei maghi o chissà che tipo di hacker per acquisire alcune basilari informazioni di partenza. Ovvero che è in esecuzione in hosting su Aruba, su piattaforma Linux, con servizio Apache 2.2 con software VBulletin 4.1.8, insieme a PHP 5 e ad un software di DB (in genere MySQL 5, data la contemporanea presenza di Apache e PHP). Già con queste informazioni, l'attaccante può andarsi a studiare tutte le più recenti vulnerabilità di Apache e VBulletin per tentare attacchi XSS, SQL injection ecc... Probabilmente la maggior parte verrà intercettata dagli IPS di perimetro, ma tutto dipende da quanto stringenti siano configurati questi controlli e quanto aggiornate siano le regole IPS. Esistono difatti anche vulnerabilità "zero day" per le quali, spesso, c'è poco da fare, sebbene, anche in questo caso, le multinazionali del settore si prodighino nel commercializzare prodotti in grado di smontare e analizzare il pacchetto nei più minimi particolari, per limitare anche quest'ultima evenienza. Giusto questa notte, tramite Secunia (azienda danese specializzata nella sicurezza IT) mi sono giunti nuovi bollettini relativi a vulnerabilità distribuite su vari aspetti di VBulettin. Uno in particolare si applica anche alla versione attualmente in esercizio, anche se classificato di bassa importanza: http://secunia.com/advisories/48506/.
Viene poi da chiedersi: ma una volta compiuto l'attacco perché è così difficile risalire ai sistemi da cui questo attacco è partito? Anche in questo caso esistono delle accortezze che rendono la vita difficile a coloro i quali sono chiamati a svolgere attività di computer-forensics. In genere chi effettua questo tipo di attacchi utilizza sistemi di anonimizzazione del proprio IP (Tor su tutti, come sto utilizzando anche io al momento proxando il mio IP su server differenti ogni 10 minuti) oppure tunneling SSH attraverso sistemi ospitati in Paesi poco accessibili per rogatorie internazionali.
Per non parlare, infine, del fatto, che si investe pochissimo in servizi di "vulnerability assessment" o "penetration test". In teoria i vari DPS (documenti programmatici sulla sicurezza) prevederebbero dei test, svolti da soggetti terzi, e volti a testare, quanto più possibile, la "robustezza" delle infrastrutture. Ma quante aziende richiedono questo servizio almeno un paio di volte l'anno? Che io sappia pochissime, quantomeno in Italia. Certo, i vulnerability assessment non potranno mai dare un responso attendibile al 100% ma almeno hanno lo scopo di far emergere le sviste di cui si parlava all'inizio.
L'ottimo post precedente mette in evidenza molti punti forti della tematica .. diciamo che senza un forte committment da parte dell'Alta Direzione è molto facile ahimè che le iniziative volte all'innalzamento dei livelli di sicurezza vengano o conserate poco critiche oppure annaquante dalle quotidiane necessità del business ..
soccorritore
28-03-12, 18: 05
Proprio in questo momento in cui sto scrivendo, nuovamente il portale di Trenitalia.com risulta non raggiungibile. Probabile che molte botnet stiano mandando decine di migliaia di pacchetti TCP-SYN malformati sulla porta 80. D'altra parte gli attacchi DDoS, avendo le risorse (botnet) hanno il massimo impatto con il minimo sforzo da parte degli attaccanti. Poi vai a scoprire chi "manovra" queste decine di migliaia di host che, all'unisono, si collegano tutte allo stesso indirizzo di destinazione... L'unica soluzione è avere così tante risorse da replicare l'infrastruttura in più parti del mondo, come fa Google, Microsoft, Yahoo ecc... Con un solo indirizzo, puoi avere alle spalle quello che ti pare in termini di firewall/IPS, bilanciatori, ma perdi in partenza.
" MILANO - L'attacco anche questa volta non manca di provocazione. Gli Anonymous hanno mandato fuori uso, rendendoli irraggiungibili, il sito del ministero della Difesa (www.difesa.it), quello del ministero degli Interni (www.interno.it) e l'indirizzo internet dei carabinieri (www.carabinieri.it). L'annuncio è stato dato sui profili Facebook e Twitter degli hactivist. Ma non sono stati indicati i motivi dell'azione, come di solito avviene. Nei giorni scorsi ha destato clamore l'operazione condotta dai pirati della rete contro il sito del Vaticano, ripetutamente messo fuori uso. "
Fonte: Corriere della Sera (http://www.corriere.it/cronache/12_aprile_03/anonymous-attaccano-sito-difesa-e-carabinieri_c99157a8-7da3-11e1-adda-3290e3a063cc.shtml)
Ho provato ad accedere ed effettivamente non funzionano!
†pr3d4tor
03-04-12, 18: 58
CAvolo, al giorno d'oggi pure i ragazzini pieni di merendine possono farti cadere le "braccia"...
DevilDime
03-04-12, 19: 03
CAvolo, al giorno d'oggi pure i ragazzini pieni di merendine possono farti cadere le "braccia"...
Se sono riusciti ad infettare i computer del pentagono, credo proprio che dei ragazzini possano fare questo ed altro (anche se sinceramente credo che ci siano persone adulte, sicuramente più che 25enni, dietro questi "attacchi").. Comunque io ho feci un corso privato per l'utilizzo del computer anni fa, e mi ricordo che uno degli insegnanti disse che creare un virus è tutto sommato una cosa semplice, e che gran parte dei virus in circolazione sono "homemade"..
†pr3d4tor
03-04-12, 19: 13
Beh, all'università se fai ingegneria informatica ti insegnano a fare qualsiasi virus... Comunque io lo vedo come uno svogliato modo di protestare... protestare da se, perchè alla fine io li chiamo ragazzini, ma sono quelli che vanno nei centri sociali o a ubriacarsi o peggio tutte le sere, pecoroni! Senza offesa per le capre, che sono animali belli quanto gli altri.
E sapere che sto gruppo di chissà chi quando vuole può buttare giù il web intero, questo forum compreso, mi fa girà i bal, sopratutto perchè uno che cerca di aggredirti, se vuoi rischiare reagisci, ma uno che attacca internet, cosa fai?? Puoi solo guardare...
E! come direbbe il vecchietto testimone della scena: "IN GALERA!"
Disarmante come notizia...
Beh, all'università se fai ingegneria informatica ti insegnano a fare qualsiasi virus... Comunque io lo vedo come uno svogliato modo di protestare... protestare da se, perchè alla fine io li chiamo ragazzini, ma sono quelli che vanno nei centri sociali o a ubriacarsi o peggio tutte le sere, pecoroni! Senza offesa per le capre, che sono animali belli quanto gli altri.
E sapere che sto gruppo di chissà chi quando vuole può buttare giù il web intero, questo forum compreso, mi fa girà i bal, sopratutto perchè uno che cerca di aggredirti, se vuoi rischiare reagisci, ma uno che attacca internet, cosa fai?? Puoi solo guardare...
E! come direbbe il vecchietto testimone della scena: "IN GALERA!"
Io invece la penso in modo del tutto contrario.
Certo, magari sono persone che se vogliono possono farti "saltare" in aria tutto.
Ma preferisco essere giocato da persone con testa, acculturate e che sanno quello che fanno, piuttosto che da un branco di teppisti dei centri sociali...
Charlie 2
03-04-12, 19: 59
Il sito della difesa funziona benissimo e pure quello dei CC
Questa è l'unica arma(provocatoria) che molte persone hanno per smuovere la situazione...meglio non dare le cose per scontato.
Uno si fa il mazzo studiare per anni, si laurea (magari in ingegneria informatica) a pieni voti ma rimane disoccupato e costantemente alle dipendenza dei propri genitori. Penso che per lui vedere il classico ragazzetto buono a nulla che già a diciotto anni ha il "lavoro" nell'esercito e le chiappe parate a sue spese(o meglio, dei suoi genitori)non sia proprio il massimo.
Alpenjager
03-04-12, 20: 17
Io sinceramente non mi sento di condannare questi ragazzi che di sicuro sono brillanti e competenti altro che semplici possessori di merendine, secondo me ora stanno giocando come il gatto con il topo ma se si inca...o e attaccano i sistemi di Equitalia o Agenzia delle entrate le merendine la faranno andare di traverso a più di qualcuno!
PS per quanto riguarda i virus pane al pane vino al vino sia in farmacia che in informatica chi produce la medicina "antivirus" con una mano con l'altra finanzia la ricerca e diffusione di nuovi virus..non facciamo gli allocconi su
Mi colpì molto l'intervista su italia 1 fatta ad un membro di anonymus "ovviamente con le dovute precauzioni del caso".
Com'è l'appartenente medio di anonymus ? : << Va dal barista sotto casa, all'appartenente alle forze dell'ordine>>
DevilDime
03-04-12, 23: 32
Mi colpì molto l'intervista su italia 1 fatta ad un membro di anonymus "ovviamente con le dovute precauzioni del caso".
Com'è l'appartenente medio di anonymus ? : << Va dal barista sotto casa, all'appartenente alle forze dell'ordine>>
Sai, se ci pensiamo bene effettivamente è una cosa abbastanza ovvia.. se i virus sono così facili da creare, non c'è da stupirsi che persone di qualsiasi ceto sociale possano diventare hacker.. Secondo me la vediamo ancora un pò troppo alla maniera dei film.. ovvero l'hacker terrorista super ricercato e super criminale ecc ecc.. E' un pò la stessa struttura delle brigate rosse, che avevano la maggior parte degli affiliati nelle fila del ceto medio (anche se questo è un OT pazzesco, ho tratto questa cosa solo per fare un esempio ;) )
†pr3d4tor
03-04-12, 23: 57
Veramente, chiunque può farne parte e dare una mano(non voglio incentivare, anzi.. però almeno ci si guarda meglio in torno), basta aderire e loro ti danno quello che ti serve, tanto ormai non siamo più negli anni 80, ora ci sono programmi che fanno tutto, praticamente metti a disposizione il computer, poi se al massimo c'è da sistemare qualcosa... i linguaggi di programmazione sono alla portata di tutti... Basta sentire quello che sentono loro, che non so cosa provino per fare queste furbate da grand'uomo..
E poi ne basta uno che entri nel sistema e che poi fa entrare tutti gli altri...
soccorritore
04-04-12, 00: 18
Signori, rileggete quello che ho scritto neanche una settimana fa... Vi meravigliate così tanto che sia possibile portare attacchi DDoS contro questi siti ospitati in un unico centro... Contro gli attacchi DDoS su un singolo obiettivo non c'è difesa che tenga, si soccombe. Puoi avere dietro chi ti pare: Fortigate, Check Point, Juniper ma quando la banda è consumata da botnet che inviano migliaia di richieste SYN-SYN/ACK al secondo sulla porta TCP 80 puoi solo decidere quando è venuto il momento di disconnettere il sistema dalla rete. Chi ha più banda a disposizione vince, chi ne ha meno perde...
---------------------Aggiornamento----------------------------
Sai, se ci pensiamo bene effettivamente è una cosa abbastanza ovvia.. se i virus sono così facili da creare, non c'è da stupirsi che persone di qualsiasi ceto sociale possano diventare hacker..
Se vi volete divertire ad imparare un po' di trucchetti, esiste un intero sistema operativo con decine e decine di script già pronti per eseguire qualunque tipologia di attacco, chiaramente i più comuni... http://www.backtrack-linux.org/. Io la uso per lavoro quando mi chiedono di fare vulnerability assessment. Buon divertimento! :)
i ragazzi si divertono....
sai come è, sfidare le istituzioni è un gioco a cui piace giocare a molti; c'è chi va in piazza a tirare pietre ai celerini e chi si diverte a mettere fuori uso i siti web
Ma siccome non ritengo la polizia postale un reparto composto da rimbambiti sono più che convinto che prima o poi ci arrivano (se non a beccarli almeno a coprire le falle). L'anonimato è garantito in tanti modi (molte persone usano ad esempio TOR) ma alla fine ci si arriva.
Un amico, giocando, mi diceva che lui tramite google poteva sapere tutto su una persona (cosa visitava, la sua posta, dove era iscritta ..etc). Io ero scettico ma dopo una decina di minuti mi ha mostrato vita, morte e miracoli di una ragazza presa a caso su facebook; Quasi..quasi gli entrava nella webcam (tramite un Trojan) se non fosse che la lucina si sarebbe accesa e lo avrebbe sgamato subito. Mi ricordo che al liceo giravamo con un programmino (che montava nel sistema symbian ..avete già capito la marca) con cui bastava che la persona confermasse di ricevere il file bluetooth (lo si rinominava in modo tale da cammuffarlo! le scuse erano infinite) che riuscivamo ad entrargli nel cellulare scorrendogli messaggi, foto, video, musica
è la tecnologia, ma ci si può difendere con determinati accorgimenti ;)
---------------------Aggiornamento----------------------------
Signori, rileggete quello che ho scritto neanche una settimana fa...
ottimo post! ammetto che non ci ho capito molto (la materia è molto complessa) ma è sicuramente un settore davvero affascinante
soccorritore
04-04-12, 00: 58
Ciao Bemboz, tutto quello che tu scrivi ed è accessibile pubblicamente resta in rete finché quel sistema non viene disattivato. Figurarsi che io ripesco miei messaggi scritti su Usenet nel 1999... In questo momento sto usando Tor e quando ho iniziato a scrivere questo messaggio ero instradato su un proxy tedesco, adesso sto su uno francese... Cambiando proxy con questa velocità (ogni 15 minuti in media) devi essere molto competente per risalire a chi c'è dietro. Ma potrei usare anche tunnelling SSH multipli al posto di Tor.
Oggettivamente meglio un attacco DDoS che tirare pietre (o altro) ad ufficiali dei reparti mobili: negli attacchi DDoS nessuna persona riporta danni fisici... Vale sempre comunque il discorso: "il miglior IPS (intrusion prevention system) è l'utente stesso con il suo comportamento sulla rete".
Sai, se ci pensiamo bene effettivamente è una cosa abbastanza ovvia.. se i virus sono così facili da creare, non c'è da stupirsi che persone di qualsiasi ceto sociale possano diventare hacker.. Secondo me la vediamo ancora un pò troppo alla maniera dei film.. ovvero l'hacker terrorista super ricercato e super criminale ecc ecc.. E' un pò la stessa struttura delle brigate rosse, che avevano la maggior parte degli affiliati nelle fila del ceto medio (anche se questo è un OT pazzesco, ho tratto questa cosa solo per fare un esempio ;) )
Bella riflessione ;)
Ciao Bemboz, tutto quello che tu scrivi ed è accessibile pubblicamente resta in rete finché quel sistema non viene disattivato. Figurarsi che io ripesco miei messaggi scritti su Usenet nel 1999... In questo momento sto usando Tor e quando ho iniziato a scrivere questo messaggio ero instradato su un proxy tedesco, adesso sto su uno francese... Cambiando proxy con questa velocità (ogni 15 minuti in media) devi essere molto competente per risalire a chi c'è dietro. Ma potrei usare anche tunnelling SSH multipli al posto di Tor.
Oggettivamente meglio un attacco DDoS che tirare pietre (o altro) ad ufficiali dei reparti mobili: negli attacchi DDoS nessuna persona riporta danni fisici... Vale sempre comunque il discorso: "il miglior IPS (intrusion prevention system) è l'utente stesso con il suo comportamento sulla rete".
Tor lo ho installato pure io (il programma mi pare si chiami "vidalia") ma poi alla fine ho smesso di utilizzarlo perché:
- mi rallentava la connessione
- per l'uso che faccio io di internet è davvero inutile
Sono certo che esistono programmi ben più potenti che davvero ti fanno diventare un "fantasma"; Io che non sono del settore ma che col computer ci sono cresciuto posso conoscere quei 2, 3 trucchetti ma sono certo che programmatori come voi in queste cose ci sguazzate alla grande. Nel 2010 gli Hacker riuscirono ad incasinare Twitter, Google, Yahoo e Facebook dimostrando che quelle fortezze considerate impenetrabili erano vulnerabili come tutte, per non parlare di cosa fecero al CERN di Ginevra.
Beh a fornirgli le informazioni è sempre e comunque l'utente :) ..oltre non si va,
a meno che non si entra nel PC, ma in quel caso basta evitare di lasciare documenti importanti nel computer (spostarli in penne e/o CD e spegnere il wireless quando non serve) e per cancellare usare programmi come "ERASER" che cancellano a tutti gli effetti il file. una formattazione frequente è inoltre consigliata ;)
..io uso questi accorgimenti (non che abbia nulla da nascondere ..ma mi piace stare sicuro)
ma poi che ci vuoi fare ...le persone scrivono la loro vita su FB ed allora qualsiasi tentativo di proteggere la propria privacy va a farsi benedire :)
Assolutamente d'accordo, bloccare un sito non è assolutamente comparabile con bruciare un mezzo dei CC mettendo in pericolo la vita dei militare.
soccorritore
05-04-12, 14: 14
Tor lo ho installato pure io (il programma mi pare si chiami "vidalia") ma poi alla fine ho smesso di utilizzarlo perché:
- mi rallentava la connessione
- per l'uso che faccio io di internet è davvero inutile
Dipende chiaramente dalla velocità di connessione di cui si ha necessità. Più si aumenta i livello di "anonimizzazione" e minore sarà la velocità di accesso alle informazioni, per via dei passaggi intermedi.
Beh a fornirgli le informazioni è sempre e comunque l'utente :) ..oltre non si va,
a meno che non si entra nel PC, ma in quel caso basta evitare di lasciare documenti importanti nel computer (spostarli in penne e/o CD e spegnere il wireless quando non serve) e per cancellare usare programmi come "ERASER" che cancellano a tutti gli effetti il file. una formattazione frequente è inoltre consigliata ;)
Il miglior algoritmo di cancellazione dei dati è il Gutmann35 (http://it.wikipedia.org/wiki/Metodo_Gutmann). Garantito che in quel caso neanche la paranoica NSA america riesce a recuperare i dati cancellati. Tuttavia non lo userei con hardisk (soprattutto PATA) un po' vecchi: la meccanica potrebbe risentirne...
..io uso questi accorgimenti (non che abbia nulla da nascondere ..ma mi piace stare sicuro)
ma poi che ci vuoi fare ...le persone scrivono la loro vita su FB ed allora qualsiasi tentativo di proteggere la propria privacy va a farsi benedire :)
La privacy è un diritto di qualunque persona e se esistono software di crittografia asimmetrica ben vengano. Diversi mesi fa scrissi che un algoritmo come AES256 risulta ancora inaccessibile per chiunque: non mi pare di essere stato smentito da eventi oggettivi.
Su Facebook, proprio perché conosco la questione del "data rentention" (conservazione dei dati), non mi sono mai voluto registrare. E chiunque incontro si sorprende di questo.
Assolutamente d'accordo, bloccare un sito non è assolutamente comparabile con bruciare un mezzo dei CC mettendo in pericolo la vita dei militare.
Meglio ancora è essere pagati per fare attacchi e penetrazioni: meglio che le vulnerabilità le scopra io (che poi ti posso dare soluzioni) piuttosto che un estraneo, che poi le userà per compromettere il sito web o per accedere ad altre informazioni. Peccato che aziende così lungimiranti ne esistano sempre meno...
DevilDime
05-04-12, 15: 06
soccorritore e bemboz, non siete un pò troppo Off Topic?
FRANCODUE
05-04-12, 15: 16
Discussioni riunite.
soccorritore
05-04-12, 15: 29
soccorritore e bemboz, non siete un pò troppo Off Topic?
Off-topic in che senso? Più know how si diffonde soprattutto in questo settore e più si comprende come funzionano gli applicativi che vengono usati giornalmente. Ad esempio sai come funziona il meccanismo della cosiddetta firma digitale che ormai dovrebbe essere di uso comune? Se fosse usata regolarmente nelle mail tantissimi problemi di phishing svanirebbero.
DevilDime
05-04-12, 16: 13
Off-topic in che senso? Più know how si diffonde soprattutto in questo settore e più si comprende come funzionano gli applicativi che vengono usati giornalmente. Ad esempio sai come funziona il meccanismo della cosiddetta firma digitale che ormai dovrebbe essere di uso comune? Se fosse usata regolarmente nelle mail tantissimi problemi di phishing svanirebbero.
Detto sinceramente non so neanche precisamente di cosa stai parlando.. Il computer lo uso più che altro per social network, youtube e compra-vendita online..
Il miglior algoritmo di cancellazione dei dati è il Gutmann35. Garantito che in quel caso neanche la paranoica NSA america riesce a recuperare i dati cancellati. Tuttavia non lo userei con hardisk (soprattutto PATA) un po' vecchi: la meccanica potrebbe risentirne...
Ora non vorrei dire castronerie ma mi pare che "ERASER" usi proprio questo algoritmo,
ma se è anche vero che si può cancellare con questo algoritmo, si può anche formattare? Mi spiego meglio ..esiste un modo per formattare il computer in modo tale che i dati cancellati non siano più recuperabili? Perché non ho mai capito se una formattazione completa (come puoi fare con i metodi tradizionali di Windows) cancella in modo irrecuperabile la memoria oppure rimane sempre l'immagine.
La privacy è un diritto di qualunque persona e se esistono software di crittografia asimmetrica ben vengano. Diversi mesi fa scrissi che un algoritmo come AES256 risulta ancora inaccessibile per chiunque: non mi pare di essere stato smentito da eventi oggettivi.
Su Facebook, proprio perché conosco la questione del "data rentention" (conservazione dei dati), non mi sono mai voluto registrare. E chiunque incontro si sorprende di questo.
Mi pare fosse la trasmissione "Report" che pochi mesi fa spiegò proprio come funziona il grande commercio di FB dove appunto si vendono i dati personali alle società. L'argomento dei dati personali è molto complesso visto che esistono anche delle "falle" nella legislazione nazionale (la dlgs 196/2003) che non danno piena sicurezza al cittadino. Ma sull'iscriversi o meno al social network io penso sia una scelta personale (io lo ho fatto per tenermi in contatto con gli amici di paese visto che studio fuori), il problema secondo me è che non esiste un'informazione da parte del sito sull'effettivo trattamento che faranno dei tuoi dati personali. Sarebbe auspicabile una normativa che, oltre alle solite clausole, pretendesse ai siti web (od in generale a tutti gli enti che acquisiscono tali dati) di esplicitare chiaro e tondo l'utilizzo che intendono fare dei dati personali. Non basta informare l'utente delle clausole della legislazione nazionale ma si deve pretendere che l'utente venga continuamente informato sullo stato dei suoi dati personali. Certo la 196 ti permette di sapere, tramite richiesta, se un'azienda è in possesso dei tuoi dati e obbligarla a cancellarli, ma secondo me questo è un rimedio ad un circolo vizioso molto malato.
Meglio ancora è essere pagati per fare attacchi e penetrazioni: meglio che le vulnerabilità le scopra io (che poi ti posso dare soluzioni) piuttosto che un estraneo, che poi le userà per compromettere il sito web o per accedere ad altre informazioni. Peccato che aziende così lungimiranti ne esistano sempre meno...
Non lo metto in dubbio, deve essere anche un lavoro abbastanza divertente ..quindi in teoria te saresti un Cracker! :)
Il problema è che molte aziende si fidano del web e non si proteggono. Anche qui una maggiore informazione male non farebbe; il fatto è che il web è una giungla dove ci sono poche regole e dove davvero si possono causare molti danni. Ma le banche con i conti accessibili online come fanno a rendersi invulnerabili? hanno dei particolari sistemi di protezione?
---------------------Aggiornamento----------------------------
soccorritore e bemboz, non siete un pò troppo Off Topic?
Devil sinceramente non mi è sembrato di essere off-topic,
si parla comunque di sistemi di protezione informatica e l'argomento del topic comunque è quello :)
FRANCODUE
05-04-12, 19: 38
Potete continuare, le due discussioni sono state riunite e potete parlare tranquillamente di attacchi e difese
informatiche.
Argomento del resto interessante.
soccorritore
06-04-12, 00: 37
Ora non vorrei dire castronerie ma mi pare che "ERASER" usi proprio questo algoritmo
Ciao Bemboz, il metodo di cancellazione con il Gutmann35 lo riconosci perché impiega tantissimo tempo a cancellare, perché deve sovrascrivere ogni settore, con quell'algoritmo, 35 volte. Capisci bene che fare questa operazione con un disco tradizionale (PATA/SATA) stressa moltissimo le testine. Ma dopo l'uso di quell'algoritmo chiunque volesse tantare di recuperare quei dati perderà solamente tempo. La semplice formattazione o l'eliminazione delle partizioni consente il recupero dei dati, magari incompleti.
Non lo metto in dubbio, deve essere anche un lavoro abbastanza divertente ..quindi in teoria te saresti un Cracker! :)
Il problema è che molte aziende si fidano del web e non si proteggono. Anche qui una maggiore informazione male non farebbe; il fatto è che il web è una giungla dove ci sono poche regole e dove davvero si possono causare molti danni. Ma le banche con i conti accessibili online come fanno a rendersi invulnerabili? hanno dei particolari sistemi di protezione?
Facciamo chiarezza con i termini: un cracker è colui che fa danni sui sistemi altrui per proprio gusto personale o per un tornaconto economico. Tu chiedi come si proteggono le banche. Ti posso in tal senso rassicurare. Le banche adesso dispongono di validi strumenti per impedire le frodi. Il più efficace è il sistema del token OTP (One Time Password). E' un oggetto, sincronizzato con un server che genera un codice numerico a "n" cifre (in genere otto) ogni 60 secondi. Quindi se anche eventuali truffatori si impossessasero dei tuoi dati di login, senza l'inserimento di quel codice potrebbero, al massimo vedere quanti soldi hai sul tuo conto, ma non potrebbero fare transazioni. Questo, chiaramente, nel caso classico del phishing. Certo se un attaccante riuscisse a compromettere i database allora non ci sarebbe token OTP che protegga. Ma questo livello di compromissione non si è mai verificato perché i DB con i dati bancari sono dietro parecchi livelli di firewall/IPS. Tutti gli episodi in cui sono stati trafugati dati bancari sono sempre avvenuti per opera di ex-dipendenti che agivano dall'interno e che avevano accesso a quei dati per le loro attività ordinarie. Finché si tratta di fare il defacement al sito di una banca, questo è possibile. Ma accedere da internet ai conti bancari e movimentare denaro questo non dico che sia impossibile, ma è improbabile, se sono implementati sistemi di OTP.
L'attacco che certamente dà maggiore visibilità ed è il meno impegnativo è quello DoS che rende inaccessibile un servizio per "x" ore o minuti ed è difficilissimo da tracciare perché avviene da centinaia (o migliaia) di indirizzi differenti contemporaneamente.
Poi viene il defacement in cui l'attaccante riesce ad acquisire i privilegi di accesso al sistema, magari tramite xss o sql injection, e può quindi scrivere sul DB (o sul file system) a cui fa riferimento il web server quello che preferisce. Anche questo di grande visibilità, ma più impegnativo, a seconda delle situazioni. Anche questo, se portato "come si deve" è difficile da tracciare perché proveniente da indirizzi dietro proxy anonimi. Difatti non mi risulta che siano stati ancora individuati gli incursori che il 31 luglio 2011 hanno effettuato il primo defacement sul sito web di Vitrociset. Eppure immagino che ben altri consulenti avranno passato chissà quante ore a leggere tutti i log possibili e immaginabili dei sistemi coinvolti nel defacement.
Ciao Soccorritore! scusa se non rispondo subito ma a causa degli studi il tempo che ho nella giornata per collegarmi è davvero poco.
Neanche farlo apposta proprio in questo momento Google risulta inaccessibile, ma penso sia relativo al certificato del server e non ad un attacco informatico
Le banche adesso dispongono di validi strumenti per impedire le frodi [...]
Il mio dubbio nasceva da tutti quei siti web che vendono prodotti on-line. Mentre ad esempio per pagare le tasse universitarie vengo ricollegato direttamente al portate dell'istituto di credito, nei siti dove si può effettuare e-commerce viene richiesto di inserire dati abbastanza "sensibili" della propria carta che, penso almeno, potrebbero comunque servire a clonare la carta (comunque gli stai dando il numero di carta, data di scadenza, numero di sicurezza e dati del proprietario). Esiste un modo per verificare che quel pagamento è effettivamente sicuro ed invece non si tratti di "pishing"? Anche perché non penso che i siti siano "protetti" come gli istituti bancari.
L'attacco che certamente dà maggiore visibilità ed è il meno impegnativo è quello DoS che rende inaccessibile un servizio per "x" ore o minuti ed è difficilissimo da tracciare perché avviene da centinaia (o migliaia) di indirizzi differenti contemporaneamente.Poi viene il defacement in cui l'attaccante riesce ad acquisire i privilegi di accesso al sistema, magari tramite xss o sql injection, e può quindi scrivere sul DB (o sul file system) a cui fa riferimento il web server quello che preferisce. Anche questo di grande visibilità, ma più impegnativo, a seconda delle situazioni. Anche questo, se portato "come si deve" è difficile da tracciare perché proveniente da indirizzi dietro proxy anonimi. Difatti non mi risulta che siano stati ancora individuati gli incursori che il 31 luglio 2011 hanno effettuato il primo defacement sul sito web di Vitrociset. Eppure immagino che ben altri consulenti avranno passato chissà quante ore a leggere tutti i log possibili e immaginabili dei sistemi coinvolti nel defacement.
Ma gli attacchi in pratica come si fanno? (capiamoci, non voglio diventare un terrorista :) è che l'argomento mi interessa molto!)
Vengono fatti attraverso particolari software oppure ad esempio spulciando la sorgente dei siti web o mettendo codici? Ad esempio per fare il defacement di un sito web esistono software che riescono a farti accedere come amministratore oppure esistono particolari tecniche per eludere i blocchi di accesso?
PS:
Cracker era in senso ironico ovviamente ;) !
soccorritore
07-04-12, 09: 22
Il mio dubbio nasceva da tutti quei siti web che vendono prodotti on-line. Mentre ad esempio per pagare le tasse universitarie vengo ricollegato direttamente al portate dell'istituto di credito, nei siti dove si può effettuare e-commerce viene richiesto di inserire dati abbastanza "sensibili" della propria carta che, penso almeno, potrebbero comunque servire a clonare la carta (comunque gli stai dando il numero di carta, data di scadenza, numero di sicurezza e dati del proprietario). Esiste un modo per verificare che quel pagamento è effettivamente sicuro ed invece non si tratti di "pishing"? Anche perché non penso che i siti siano "protetti" come gli istituti bancari.
Le transazioni di questo tipo avvengono sempre il SSL (HTTPS). Sul tuo browser certamente comparirà l'icona di un lucchettino. Questa icona ti informa che la comunicazione avviene su protocollo cifrato e che il server si identifica in modo univoco e sicuro con un certificato emesso da una Certification Authority di fiducia (il cui certificato di chiave pubblica è presente nella lista del tuo browser). Il certificato del server deve quindi rispondere a questi 3 requisiti fondamentali:
1. avere una data valida (non essere scaduto temporalmente)
2. essere stato rilasciato effettivamente per quel nome di dominio (ad esempio www.militariforum.it)
3- essere stato rilasciato da una Certification Authority di fiducia (la lista è presente sul tuo browser).
Qualora anche solamente uno dei tre requisiti non sia soddisfatto comparirà un allarme nel momento in cui effettui una connessione HTTPS con certificato non pienamente "validato". Quindi vai tranquillo quando le connessioni sono in SSL e non compaiono avvisi. Ad ogni modo qualunque circuito di carta di credito dispone di un proprio meccanismo assicurativo che rifonda il titolare di ogni spesa che il titolare stesso dimostri di non aver effettuato di propria iniziativa. Questo non lo dico io ma qualunque UPG di polizia postale.
Ma gli attacchi in pratica come si fanno? (capiamoci, non voglio diventare un terrorista :) è che l'argomento mi interessa molto!)
Vengono fatti attraverso particolari software oppure ad esempio spulciando la sorgente dei siti web o mettendo codici? Ad esempio per fare il defacement di un sito web esistono software che riescono a farti accedere come amministratore oppure esistono particolari tecniche per eludere i blocchi di accesso?
Qui sarebbe necessario un "trattato". Come ho scritto in precedenza esistono, a disposiozne di chiunque, software e script in grado di effettuare attacchi al solo scopo di scoprire le vulnerabilità dei sistemi (in questo caso si parla di "assessment") oppure di tentare di sfruttare queste vulnerabilità (in questo caso si parla di "penetration"). Chiaramente devi conoscere molto bene come funzionano i protocolli e i linguaggi di programmazione o di scripting, ad esempio il Perl o il PHP. Uno dei più noti software di assessment è Nessus. Te lo scarichi, lo configuri (per questo devi essere competente, perché devi sapere come configurarlo a seconda delle esigenze) e poi lo esegui su uno o più bersagli. Nessus ha la possibilità di lanciare anche attacchi DoS tramite buffer overlow o similari. Un assessment fatto bene può impiegare anche delle ore, se vengono usati più sosftware al fine di correlare le informazioni e eliminare eventuali "falsi positivi". Per la penetrazione possono essere necessari anche dei giorni o delle settimane, a seconda di quanto è robusto il sistema dall'altra parte dato che si stratta di operazioni da effettuare manualmente. E' un lavoro molto certosino. Come ho scritto in precedenza, esiste una distribuzione "linux live" (ovvero su DVD che non necessita neanche di istallazione, volendo). Si chiama "backtrack" ed è considerata il coltellino svizzero dell'assessment e della penetrazione, disponendo già di decine e decine di piccoli software dedicati a tale scopo. Come esistono distribuzioni "linux live" dedicate a chi deve, al contrario, eseguire atività di analisi forense sui supporti digitali, magari proprio a seguito di un attacco o di una penetrazione, e non deve minimamente alterare in alcun modo la struttura dei filesystem, per raccogliere eventuali prove da usare poi in sede giudiziaria. Una delle più note, per essere sviluppata in lingua italiana, è DEFT (http://www.deftlinux.net/). Per chi svolge anlisi forense, anche la più piccola modifica porta ad un valore di SHA-1 o SHA-256 completamente differente e a quel punto addio "prova"...
soccorritore
09-04-12, 11: 01
Parliamo un attimo di una delle truffe online del momento. Il noto portale "italia-programmi.net" che sta ancora truffando (o tentando di truffare) molte persone, poco competenti nel settore IT. Il meccanismo penso lo conosciate un po' tutti. Risulta essere partita una attività giudiziaria nel territorio italiano, a cui non so se potrà essere dato effettivo riscontro materiale. Il server che ospita questo portale è in repubblica di Panama, come riportato in questo estratto:
ping www.italia-programmi.net
PING www.italia-programmi.net (91.184.55.104): 56 data bytes
64 bytes from 91.184.55.104: icmp_seq=0 ttl=57 time=50.348 ms
http://www.whois.net/whois/91.184.55.104
Per altro questo server è molto "in voga" per ospitare domini di servizi pornografici online: http://uptime.netcraft.com/up/hosted?netname=VCN-20080705,91.184.56.0,91.184.63.255.
Quindi scordatevi che possa essere posto offline dalla magistratura italiana. Difatti è ancora perfettamente online. Al massimo si potrebbe agire sui DNS dei provider italiani, ma basta usare un DNS alternativo (il ben noto 8.8.8.8) per bypassare questo (blandissimo) filtro. A chi fosse caduto nella loro trappolina, posso unicamente ricordare che le comunicazioni epistolari avente valore legale, in Italia, sono le raccomandate e, recentemente la PEC (posta elettronica certificata). Tutto ciò che vi arrivasse per altri canali (posta ordinaria o email non certificata) ha valore zero/null in quanto non è tracciata la data di ricezione, nè vi è la certezza che il messaggio sia stato ricevuto dal destinatario.
Per altro è interessante notare come il server su cui gira questo (e altri siti) sia piuttosto aggiornato, sia in termini di sistema operativo, sia in termini di applicativi che sono in esercizio. Peccato che, comunque, diano tutte queste informazioni "ghiotte" per eventuali amici che volessero tentare delle penetrazioni... Io ci andrei di DDoS, potrei organizzarmi...
Perfetto, grazie mille Soccorritore! :) molto utile ed esaustivo!
a presto e Buona Pasqua
soccorritore
17-04-12, 15: 53
Sul sito del Corriere della Sera è presente l'ennesima intervista ad un esponente di Anonymous... A parte le solite cose, è interessante notare come, dopo circa 1 minuto, venga inquadrato per qualche istante il monitor mentre è in esecuzione un classicissimo NMap, ovvero la scansione delle porte di un sistema, volta ad identificare che genere di servizi siano raggiungibili dall'esterno. E' lo step "zero" di un qualsiasi assessment. Detto NMap viene eseguito su un IP di un sito governativo cinese (www.meda.gov.cn, ovvero 218.89.178.181). L'aspetto ancora più interessante è che risulta effettivamente raggiungibile la porta TC 3389. Questa porta, in genere, è usata dal servizio "Remote Desktop" di Microsoft Windows. Noto anche con la denominazione "Terminal Server". Tuttavia effettuando un telnet su quella porta, anziché rispondere il banner di quel servizio, risponde il banner del servizio SSH. Chiaramente io posso configurare il servizio su qualunque porta a mio piacimento, purché inferiore a 65535. Il fatto che SSH utilizzi la porta TCP 22 è una semplice convenzione. Facendo quindi il login sulla porta 3389 del servizio SSH risponde il servizio presentando il fingerprint del certificato del server... Ancora più interessante... Il protocollo SSH consente di avere accesso (più o meno) completo al sistema operativo! Chiaro che può essere configurato per usare, al momento della login, unicamente dei certificati e non delle semplici password. E che il servizio web (Apache) possa essere in una configurazione "chroot", quindi piuttosto blindato. Tuttavia esporre il servizio SSH a tutto il mondo non è da manuale della sicurezza. Mi viene quindi da pensare che dietro quel servizio non ci sia un server effettivo, bensì un honeypot, messo appunto lì a simulare una macchina reale. Nel settore della sicurezza IT gli honeypot sono implementati appunto per tracciare il comportamento degli attaccanti. Se poi si tratti, invece, di una "backdoor" di accesso reale, contenti loro che la tengono esposta in questo modo...
Powered by vBulletin® Version 4.2.1 Copyright © 2024 vBulletin Solutions, Inc. All rights reserved.