La BBC e la provocazione della botnet [Archivio]

Chukie

13-03-2009, 13:46

Simulare in tutto e per tutto il tipico attacco DDoS a scopo dimostrativo. Senza conseguenze, senza danni e senza colpo ferire. Così la BBC ha messo in piedi una significativa operazione (http://news.bbc.co.uk/2/hi/programmes/click_online/7932816.stm) in grado di dimostrare al pubblico quanto sia semplice mettere in piedi un sistema per un attacco DDoS e, di conseguenza, quanto sia importante porre massima attenzione a tale problematica.

Il processo è stato di per sé banale e portato a termine grazie alla collaborazione tecnica degli esperti di sicurezza Prevx. Il primo passo efettuato dai responsabili dalla BBC è stato nell'acquisto di una botnet. Trattasi nella fattispecie di computer infetti sui quali un malintenzionato ha pieno controllo: utilizzandoli in massa su di un server, è possibile portare a segno il proprio DDoS ottenendo le conseguenze desiderate (sistema utilizzato per annichilire sistemi altrui, oppure per perpetrare minacce ed altri tipi di offensiva). Entrare in una botnet è cosa relativamente semplice: un click incauto, un file aperto senza precauzioni, e l'infezione silente è attivata. Una volta infetto, il sistema diventa una cellula dormiente che il cracker può vendere in pacchetti di migliaia di unità (al prezzo di poche centinaia di sterline) e l'acquirente può utilizzare quindi a proprio piacimento (l'uso a fine di spam è uno dei rischi più ricorrenti).

Una volta avuta sotto controllo la botnet acquistata, è stato scatenato il DDoS verso un server predisposto dai tecnici Prevx per ospitare l'attacco: sarebbero bastate appena 60 macchine per affondare il colpo e dimostrare il potenziale d'attacco della botnet. Una volta portato a termine il tutto, i tecnici BBC hanno ripulito il terreno: gli utenti infetti (e facenti quindi parte della botnet) sono stati avvisati del problema ed è stata girata loro ogni istruzione utile a ripulire il sistema. A questo punto la botnet è stata cancellata ed è stato così annullato ogni residuo controllo sulle macchine infette.

Il senso dell'operazione è tutto nelle parole di Marco Giuliani, Malware Analyst per il gruppo Prevx (http://www.prevx.com): «Le botnet sono un grave problema che le società di sicurezza non stanno affrontando in maniera adeguata. Noi abbiamo aiutato la BBC a realizzare questa dimostrazione pubblica per mostrare quanto sia diffusa questa problematica e per aumentare la consapevolezza di ciò negli utenti. Tutti raccomandano di utilizzare un software antivirus, ma una singola soluzione non è più sufficiente, come è stato possibile vedere dalla dimostrazione della BBC. I metodi convenzionali utilizzati dalle società di antivirus sono oramai facilmente superabili. Gli utenti devono prendere in considerazione l'utilizzo di diversi prodotti di sicurezza e affacciarsi all'ottica delle tecnologie in-the-cloud, poiché il classico metodo degli aggiornamenti delle firme virali inviati agli utenti non è più sufficiente per le minacce che stanno diventando sempre più tecnicamente avanzate».

Webnews.it (http://www.webnews.it/news/leggi/10337/la-bbc-e-la-provocazione-della-botnet/)

Chukie

13-03-2009, 16:37

La BBC controlla una botnet: ma è solo un esperimento

La BBC, la più grande emittente del Regno Unito, una delle più conosciute a livello mondiale, ha effettuato un esperimento che ha visto la partecipazione attiva dei tecnici di Prevx. Obiettivo: mostrare quanto sia semplice porre in essere, al giorno d'oggi, attacchi DDoS (Distributed Denial of Service) in grado di mettere in ginocchio praticamente qualunque server remoto.

Il primo passo del test, ha visto l'acquisto - da pate di BBC - dell'accesso ad una botnet quindi si è passati a lanciare un attacco simultaneo contro un server di prova di proprietà di Prevx, società da anni attiva nel campo della sicurezza informatica.
Ricordiamo che le botnet sono "reti" di personal computer, fisicamente siti anche a migliaia di chilometri di distenza, che vengono a costituirsi in seguito all'infezione da particolari malware. Tali componenti installano sui sistemi infetti dei particolari elementi software (trojan) che, di fatto, aggiungono la macchina "violata" alla botnet e ne permettono il controllo remoto da parte degli aggressori. Le botnet hanno un potenziale enorme perché possono essere utilizzate, da malintenzionati, per sferrare attacchi DDoS, inviare spam oppure compiere altri tipi di operazioni dannose.

Non è dato sapere come la BBC abbia potuto accedere al controllo della botnet ma, presumibilmente, i loro tecnici si sono rivolti al "mercato nero". Durante l'esperimento si è evidenziato come con poche decine di macchine si sia riusciti a rendere praticamente irraggiungibile il server messo a disposizione per il test da parte di Prevx.

Com'è ovvio, l'esperimento condotto dalla BBC ha avuto carattere semplicemente dimostrativo: nessun sistema remoto è stato oggetto di attacco. Inoltre, l'azienda ha provveduto a contattare i proprietari dei sistemi facenti parte della botnet trasmettendo loro le istruzioni per porre in sicurezza le macchine infette.

Il problema potrebbe essere evitato alla radice facendo in modo che anche il singolo utente prenda sempre più a cuore il problema della sicurezza. Come ricorda Marco Giuliani - malware analyst di Prevx -, l'utilizzo di un antivirus basato unicamente sull'impiego di database delle firme virali è una soluzione ormai superata. Oggi è invece bene preferire software che impiegano analisi comportamentale e soluzioni "in-the-cloud" (intelligenza collettiva).

"Le attuali tecnologie non sono più sufficienti ad arginare i continui attacchi da parte dei criminali informatici. L'esempio portato dalla trasmissione della BBC è un forte segnale d'allarme di come possa essere facile entrare in possesso di una botnet per gli scopi più disparati, dal mandare spam fino a veri e propri atti di terrorismo informatico, con attacchi DDoS mirati a mettere in ginocchio anche infrastrutture critiche", ha osservato Giuliani. "C'è bisogno di un approccio differente al problema, con più livelli di protezione e tecnologie in-the-cloud che permettano di essere continuamente aggiornati e protetti anche contro quegli attacchi mirati che altrimenti con il modello standard dell'antivirus non si riuscirebbero ad intercettare se non troppo tardi."

Ilsoftware.it (http://www.ilsoftware.it/articoli.asp?id=5086)

Voi che ne pensate? Illegale? Da condannare? Grey Hat? Illegale ma fatto per buone ragioni e l'importante è che non siano stati fatti danni?

Fritz!

13-03-2009, 16:41

:boh: io non ho capito una mazza

Traduzione?

Gemma

13-03-2009, 16:44

:boh: io non ho capito una mazza

Traduzione?

è tutto in italiano, che traduzione ti serve? :confused:
ma almeno sai chi è Marco Giuliani? :mbe:

yorkeiser

13-03-2009, 17:01

Poi qualcuno mi spiegherà anche cosa c'entrano gli antivirus con degli attacchi di tipo Dos/DDoS, basati sulla saturazione della banda in ingresso.
I tipi stessi hanno acquistato una botnet, sulla quale possono installare tutto il software/processi che vogliono e mandare in giro tutti i pacchetti che desiderano e dove più gli aggrada (subendone le ovvie conseguenze penali poi), che c'entrano i virus ? Tra l'altro, mi pare la dimostrazione dell'acqua calda, di attacchi i tipo DoS REALI ne sono stati fatti e se ne fanno tutt'ora a iosa.

Fritz!

13-03-2009, 17:05

è tutto in italiano, che traduzione ti serve? :confused:
ma almeno sai chi è Marco Giuliani? :mbe:

Attore di teatro, cinema e televisione, è diventato noto presso il grande pubblico per la partecipazione alla serie tv di Canale 5, RIS delitti imperfetti, dove dalla terza stagione, in onda nel 2007, interpreta il ruolo del Tenente Spada.

Tra gli altri suoi lavori, ricordiamo la miniserie tv Un anno a primavera, regia di Angelo Longoni, e Carabinieri: Sotto copertura, regia di Raffaele Mertes, entrambe del 2005, e il film Il giorno + bello (2006), diretto da Massimo Cappelli.
http://it.wikipedia.org/wiki/Marco_Giuliani

gabi.2437

13-03-2009, 17:06

Credo che gli antivirus c'entrino per evitare il crearsi delle botnet

evelon

13-03-2009, 17:07

:boh: io non ho capito una mazza

Traduzione?

Marco Giuliani non ho idea di chi sia comunque l'articolo parla di un esperimento fatto da giornalisti (BBC) con dei tecnici (di questa società Prevx).

In pratica i tecnici avrebbero approntato un server di "test" che era il "bersaglio".
Qualcuno (i giornalisti?) è andato al mercato nero a comprare il controllo di una botnet(*) e l'ha indirizzata verso il server "bersaglio" preparato ad hoc.

Con una botnet relativamente piccola (poche decine di macchine a loro dire) avrebbero messo ko il server "bersaglio".

A fronte di questi risultati i giornalisti parlano di qualcosa che tutti i tecnici (non solo di Prevx) in realtà conoscono bene: occorrerebbe qualche sicurezza in più sul web invece dei soliti antivirus.

Quelli della prevx parlano di soluzioni di cloud-computing..

(*)
detto in soldoni: una botnet è una serie di computer (anche semplici pc casalinghi) che sono infettati da malware di vario tipo che apparentemente funzionano bene ma in realtà possono essere "risvegliati" e "controllati" da remoto per essere sfruttati a fini illeciti.
es: un attacco di tipo DDoS (Distribuited denial of service)

Molte persone hanno il pc infetto da questi malware e non lo sanno e le organizzazioni criminali (spesso locate in paesi terzi con legislazione carente) comprano e vendono il controllo dei pc degli ignari utenti ad altre organizzazioni criminali

Fritz!

13-03-2009, 17:11

Marco Giuliani non ho idea di chi sia comunque l'articolo parla di un esperimento fatto da giornalisti (BBC) con dei tecnici (di questa società Prevx).

In pratica i tecnici avrebbero approntato un server di "test" che era il "bersaglio".
Qualcuno (i giornalisti?) è andato al mercato nero a comprare il controllo di una botnet(*) e l'ha indirizzata verso il server "bersaglio" preparato ad hoc.

Con una botnet relativamente piccola (poche decine di macchine a loro dire) avrebbero messo ko il server "bersaglio".

A fronte di questi risultati i giornalisti parlano di qualcosa che tutti i tecnici (non solo di Prevx) in realtà conoscono bene: occorrerebbe qualche sicurezza in più sul web invece dei soliti antivirus.

Quelli della prevx parlano di soluzioni di cloud-computing..

(*)
detto in soldoni: una botnet è una serie di computer (anche semplici pc casalinghi) che sono infettati da malware di vario tipo che apparentemente funzionano bene ma in realtà possono essere "risvegliati" e "controllati" da remoto per essere sfruttati a fini illeciti.
es: un attacco di tipo DDoS (Distribuited denial of service)

Molte persone hanno il pc infetto da questi malware e non lo sanno e le organizzazioni criminali (spesso locate in paesi terzi con legislazione carente) comprano e vendono il controllo dei pc degli ignari utenti ad altre organizzazioni criminali

grazie per la spiegazione.
Ma la notizia starebbe nel fatto che é possibile reperire sul mercato nero queste bot net?

Perché non ho capito quale sarebbe il danno causato. Dice, l'articolo, "hanno messo in ginocchio un server remoto". Nel senso che il server non era piu accessibile, o é stato danneggiato in altro modo?

GmG

13-03-2009, 17:12

Attore di teatro, cinema e televisione, è diventato noto presso il grande pubblico per la partecipazione alla serie tv di Canale 5, RIS delitti imperfetti, dove dalla terza stagione, in onda nel 2007, interpreta il ruolo del Tenente Spada.

Tra gli altri suoi lavori, ricordiamo la miniserie tv Un anno a primavera, regia di Angelo Longoni, e Carabinieri: Sotto copertura, regia di Raffaele Mertes, entrambe del 2005, e il film Il giorno + bello (2006), diretto da Massimo Cappelli.
http://it.wikipedia.org/wiki/Marco_Giuliani

Omonimo :D

Marco Giuliani -> Eraser
http://www.hwupgrade.it/forum/member.php?u=22305

http://www.pcalsicuro.com/main/

;)

Fritz!

13-03-2009, 17:14

Omonimo :D

Marco Giuliani -> Eraser
http://www.hwupgrade.it/forum/member.php?u=22305

http://www.pcalsicuro.com/main/

;)

ah ok.:D

yorkeiser

13-03-2009, 17:18

Credo che gli antivirus c'entrino per evitare il crearsi delle botnet

Le botnet si acquistano legalmente, ogni ip costa qualche spicciolo al mese, come appunto hanno fatto gli stessi tizi della BBC.
Si possono ottenere anche illegalmente, per l'amor di dio, ma lì si sfruttano bachi dei vari sistemi operativi per ottenere permessi da superuser sul server, e quindi anche in quel caso gli antivirus c'entrano meno di zero. L'unica, magari, sarebbe patchare tutti i server appena vengono fuori nuovi casi di exploiting, ma è comunque una soluzione temporanea.

evelon

13-03-2009, 17:20

grazie per la spiegazione.
Ma la notizia starebbe nel fatto che é possibile reperire sul mercato nero queste bot net?

Perché non ho capito quale sarebbe il danno causato. Dice, l'articolo, "hanno messo in ginocchio un server remoto". Nel senso che il server non era piu accessibile, o é stato danneggiato in altro modo?

Per un tecnico informatico o uno speciaista di diritto del web questa è una non-notizia perchè entrambe le cose sono (più o meno) note.

Il punto, imho, è che ne parli la BBC e forse qualcosa può rimanere nella testa dei possessori di pc (che dovrebbero prestare più attenzione ai loro apparati) ed ai legislatori che dovrebbero legiferare di più in materia di diritto del web.

Gemma

13-03-2009, 17:28

Omonimo :D

Marco Giuliani -> Eraser
http://www.hwupgrade.it/forum/member.php?u=22305

http://www.pcalsicuro.com/main/

;)

aka "cancellino" :D

killercode

13-03-2009, 17:34

Ne illegale ne da condannare, sono cose che i tecnici della sicurezza fanno abbastanza regolarmente, unica differenza che questa volta c'erano anche le telecamere

tra l'altro sfrutto il momento per fare i complimenti ad eraser per il suo blog che seguo

evelon

13-03-2009, 17:42

Ne illegale ne da condannare, sono cose che i tecnici della sicrezza fanno abbastanza regolarmente, unica differenza che questa volta c'erano anche le telecamere

tra l'altro sfrutto il momento per fare i complimenti ad eraser per il suo blog che seguo

aggiungo (perchè sono stato poco chiaro) che laprova in sè non è illegale.

E' illegale (o dovrebbe esserlo per i paesi con meno leggi in merito) infettare i pc altrui e sono illegali le azioni contro i server atte a paralizzarne l'attività.

>|HaRRyFocKer|

13-03-2009, 17:47

Datemi un router Cisco con funzioni firewall e vi cambierò il mondo :O

gabi.2437

13-03-2009, 18:06

Le botnet si acquistano legalmente, ogni ip costa qualche spicciolo al mese, come appunto hanno fatto gli stessi tizi della BBC.
Si possono ottenere anche illegalmente, per l'amor di dio, ma lì si sfruttano bachi dei vari sistemi operativi per ottenere permessi da superuser sul server, e quindi anche in quel caso gli antivirus c'entrano meno di zero. L'unica, magari, sarebbe patchare tutti i server appena vengono fuori nuovi casi di exploiting, ma è comunque una soluzione temporanea.

Beh ovvio che si parla di botnet illegali, il test mi pare serva a dimostrare che migliaia di pc infetti rappresentano un enorme pericolo, se con così poche macchine si possan far quei danni

MA se la loro botnet è legale, la frase

Voi che ne pensate? Illegale? Da condannare? Grey Hat? Illegale ma fatto per buone ragioni e l'importante è che non siano stati fatti danni?

Che senso ha?

Se io mi compro una botnet LEGALE e prevx mi presta un server per far le prove e dopo pubblico i risultati, cioè, ma sarà anche mio diritto fare ciò? Perchè dovrebbe essere illegale? Danni? Ma il server era prestato da prevx apposta! Ovvio che se tirano giù il sito di Yahoo la cosa NON è legale :D

yorkeiser

13-03-2009, 18:19

Se io mi compro una botnet LEGALE e prevx mi presta un server per far le prove e dopo pubblico i risultati, cioè, ma sarà anche mio diritto fare ciò? Perchè dovrebbe essere illegale? Danni? Ma il server era prestato da prevx apposta! Ovvio che se tirano giù il sito di Yahoo la cosa NON è legale :D

Se la botnet è tua (quindi non utilizzi pc di terzi per instradare pacchetti) certo che è legale, la postale mica ti viene ad accusare di nulla se stai solo facendo delle prove informatiche sul server di un tuo amico (sempre che il tuo amico non ti denunci :)). Diverso è il caso in cui compri una botnet (che in fin dei conti sono processi attivi - ovvero programmi in esecuzione - su pc di terzi) e danneggi volutamente qualcuno. In quel caso, compi un reato sia verso il possessore fisico della botnet (mai comprato un bot, ma sulla licenza suppongo sia specificato che i processi non possono essere utilizzati per effettuare qualsiasi tipo di attacco su altri pc, dossate comprese) sia, ovviamente, verso il possessore dei server attaccati.
In qualsiasi caso, se prima non parte la segnalazione/denuncia di qualcuno, nessuno ti accuserà mai di nulla.

_Magellano_

13-03-2009, 18:55

Ma nel caso il tuo pc è uno di questi zombie che puoi fare? formattando il disco togli il controllo?

yorkeiser

13-03-2009, 19:35

Formattando lo rimuovi di sicuro, ma senza arrivare a quello dovrebbe bastare la rimozione di qualsiasi applicazione sospetta si metta in ascolto su qualsiasi porta in attesa del "segnale di incipit" (molto poco informatichese, ma almeno si capisce) del DoS.
Oppure ci si fornisce di un qualsiasi sistema di filtraggio di pacchetti (ad esempio un firewall, sia software che hardware), ma qui passo la palla agli esperti di sicurezza, non essendo il mio campo in senso stretto.

:.Blizzard.:

13-03-2009, 21:02

Poi qualcuno mi spiegherà anche cosa c'entrano gli antivirus con degli attacchi di tipo Dos/DDoS, basati sulla saturazione della banda in ingresso.

Questa è una tua, errata, deduzione. L'articolo non parla di uso di anti virus ai fini di prevenire un attacco di tipo DDoS, ma di utilizzo di questi e di maggiori norme di sicurezza per evitare che un PC si infetti e diventi quindi parte integrante di una botnet.

I tipi stessi hanno acquistato una botnet, sulla quale possono installare tutto il software/processi che vogliono e mandare in giro tutti i pacchetti che desiderano e dove più gli aggrada (subendone le ovvie conseguenze penali poi), che c'entrano i virus ? Tra l'altro, mi pare la dimostrazione dell'acqua calda, di attacchi i tipo DoS REALI ne sono stati fatti e se ne fanno tutt'ora a iosa.

Dimostrazione dell'acqua calda? Non mi sembra che l'articolo proponga soluzioni miracolose. Anzi, se la questione fosse davvero così scontata non ci sarebbero più nemmeno attacchi DoS. Il fine dell'articolo è quello di porre maggiore attenzione sul problema della sicurezza e sulla sensibilizzazione degli utenti.

Le botnet si acquistano legalmente, ogni ip costa qualche spicciolo al mese, come appunto hanno fatto gli stessi tizi della BBC.
Si possono ottenere anche illegalmente, per l'amor di dio, ma lì si sfruttano bachi dei vari sistemi operativi per ottenere permessi da superuser sul server, e quindi anche in quel caso gli antivirus c'entrano meno di zero. L'unica, magari, sarebbe patchare tutti i server appena vengono fuori nuovi casi di exploiting, ma è comunque una soluzione temporanea.

Su questo avrei un attimo a che ridire, per il semplice fatto che in un contesto così parlare di botnet legali è proprio un controsenso visto che nel gergo informatico le botnet hanno a che vedere con computer infetti. Certo è che puoi comprare legalmente i tuoi server, i tuoi IP, ecc. ecc. ma non c'entra molto con quello che è stato scritto.
Tutto il tuo ragionamento, oltre che esser partito con i toni sbagliati, è anche fondato sull'errata lettura dell'articolo che ti dicevo all'inizio.

Ma nel caso il tuo pc è uno di questi zombie che puoi fare? formattando il disco togli il controllo?

Formattando quasi sicuramente si toglie il problema (il quasi sta per il fatto che in via mooolto teorica potrebbero esistere infezioni all'hardware, ma in pratica ancora non ne esistono, se non prototipi malfunzionanti).
Comunque una scansione approfondita con dei software di sicurezza potrebbe risolvere il problema. Certo è che bisogna scegliere i programmi che funzionano meglio.

Per un controllo del pc c'è la sezione apposita nella sezione Antivirus e Sicurezza del forum comunque.

http://www.hwupgrade.it/forum/showthread.php?t=1599737

StateCity

13-03-2009, 22:07

:.Blizzard.:

13-03-2009, 23:05

StateCity

13-03-2009, 23:30

Olè, ora siamo alla frutta.
A parte il fatto che non è che la distro live di Linux è l'unica infallibile, quindi puoi benissimo estendere il discorso dell'inalterabilità a qualsiasi SO su supporto di memoria a sola lettura. Oltretutto vorrei vedere a te a svolgere, sviluppare o interagire con applicazioni di un SO su CD.

Quindi il tuo reply lascia davvero il tempo che trova.
Io ho solo perfettamente raggione :p
il vecchio C64 non ha mai avuto problemi di virus :D
i virus sono arrivati con i supporti riscrivibili a fantasia del SO.. :asd:

:.Blizzard.:

13-03-2009, 23:40

Io ho solo perfettamente raggione :p
il vecchio C64 non ha mai avuto problemi di virus :D
i virus sono arrivati con i supporti riscrivibili a fantasia del SO.. :asd:

http://virus.wikia.com/wiki/Com64/BHP
http://www.viruslist.com/en/weblog?weblogid=208187468

bastano per provare che non sai quello che scrivi?

cdimauro

14-03-2009, 06:57

Ancora una volta lo dico e lo ripeto, Virus Troiani e zozzerie varie, possono entrare solo
se il sistema operativo e' modificabile.
Falso: basta una falla nel sistema.
Una Live di Linux su CD Rom e' molto piu' sicura di qualsiasi SO su Hard disk..
Vedi sopra. Inoltre Linux non è l'unico s.o. che si può far girare da CD-Rom o DVD.
(se nel CD c'e' un troian, chi l'ha messo e' perfettamente identificabile)
fa fede anche l' md5sum, cosa che in vindov si sono scordati da un pezzo.. :rolleyes:
Secondo te come fa Windows a riconoscere un driver WHDL da uno che non lo è?
Il kernel del SO dovrebbe risiedere in pratica un HD Rom.. :rolleyes:
Non ti metterebbe al sicuro. Vedi sopra. Inoltre se il kernel fosse il ROM e il resto no, basterebbe sfruttare "il resto" per fregare il sistema.
(questo in ambito militare sarebbe una garanzia molto migliore dei vari TPA e Palladium)
Ma anche no, visto un conto è eseguire codice (su ROM o dove vuoi) non firmato, e tutt'altra cosa eseguire codice firmato (su qualunque dispositivo di massa e non).
Ma e' chiaro che non lo faranno mai,
non rinunceranno ad insinuare paure nella gente e quindi vendere firewalle, antivirus, ecc. ecc. :rolleyes:

augh
Le solite leggende metropolitane trite e ritrite che sono dure a morire.

Il bello è che abbiamo già avuto modo di parlare delle stesse cose in un thread qualche mese fa, ma vedo che non è servito a nulla...

StateCity

14-03-2009, 10:14

http://virus.wikia.com/wiki/Com64/BHP
http://www.viruslist.com/en/weblog?weblogid=208187468

bastano per provare che non sai quello che scrivi?
il C64 a cassette, non ha mai sofferto di virus,
anche xche' era impossibile la replicazione del virus su nastro.. :Prrr:
forse solo qualcosa di accademico, su floppy, ma neanche molto.. :rolleyes:

Falso: basta una falla nel sistema.
Il virus o c'e' o c'entra... puoi avere tutte le falle che vuoi, se il kernel e' su rom,
non ci entri, al limite puoi entrare in memoria, ma sarebbe annullato al prossimo riavvio.

Un ottimo sistema sarebbe fornire su rom anche il checksum degli applicativi.

Vedi sopra. Inoltre Linux non è l'unico s.o. che si può far girare da CD-Rom o DVD.
Thanks for the info :D

Non ti metterebbe al sicuro. Vedi sopra. Inoltre se il kernel fosse il ROM e il resto no, basterebbe sfruttare "il resto" per fregare il sistema.
Metti in rom anche il cheksum degli applicativi, e sara' vita difficile per qualunque troian o virus.. :asd:

Ma anche no, visto un conto è eseguire codice (su ROM o dove vuoi) non firmato, e tutt'altra cosa eseguire codice firmato (su qualunque dispositivo di massa e non).

Le solite leggende metropolitane trite e ritrite che sono dure a morire.

Il bello è che abbiamo già avuto modo di parlare delle stesse cose in un thread qualche mese fa, ma vedo che non è servito a nulla...
Con il codice "firmato" si arriva ad una rigidita' del sistema improponibile,
e pensare che proprio i militari volevano, mezzi meccanici con le parti
facilmente intercambiabili.. :rolleyes:
Con TPA firme e controfirme anche solo scambiare hd da un PC all' altro, si blocca tutto.. :rolleyes:

Enjoy.. :D

cdimauro

14-03-2009, 10:34

il C64 a cassette, non ha mai sofferto di virus,
anche xche' era impossibile la replicazione del virus su nastro.. :Prrr:
Molto difficile sì, impossibile direi proprio di no. Hai idea di come funzionava il meccanismo di lettura/scrittura dei dati su nastro?

Lo sai che, ad esempio, i famosi "turbo tape" si installavano in memoria?
forse solo qualcosa di accademico, su floppy, ma neanche molto.. :rolleyes:
Su floppy sicuramente sì (posto che non ci fosse la protezione dalla scrittura).
Il virus o c'e' o c'entra... puoi avere tutte le falle che vuoi, se il kernel e' su rom,
non ci entri, al limite puoi entrare in memoria, ma sarebbe annullato al prossimo riavvio.
Ma sarebbe comunque possibile, seppur limitato, come vedi.
Un ottimo sistema sarebbe fornire su rom anche il checksum degli applicativi.

Metti in rom anche il cheksum degli applicativi, e sara' vita difficile per qualunque troian o virus.. :asd:
Direi proprio di no. Ad esempio prima hai citato l'MD5, ma dovresti sapere che è stato crackato (anche lo SHA-1, se non erro). Le implicazioni di ciò sono ovvie.
Con il codice "firmato" si arriva ad una rigidita' del sistema improponibile,
Qual è la differenza coi checksum di cui parlavi prima?
e pensare che proprio i militari volevano, mezzi meccanici con le parti
facilmente intercambiabili.. :rolleyes:
Con TPA firme e controfirme anche solo scambiare hd da un PC all' altro, si blocca tutto.. :rolleyes:

Enjoy.. :D
Non è affatto così. E ribadisco: qual è la differenza col sistema di checksum che vorresti utilizzare?

StateCity

14-03-2009, 10:44

rispondo solo ad alcuni punti che ho da fare.. :asd:

Direi proprio di no. Ad esempio prima hai citato l'MD5, ma dovresti sapere che è stato crackato (anche lo SHA-1, se non erro). Le implicazioni di ciò sono ovvie.
Crakkato a livello accademico.. :D

Qual è la differenza coi checksum di cui parlavi prima?

Non è affatto così. E ribadisco: qual è la differenza col sistema di checksum che vorresti utilizzare?
Scambia un Hard disk, scambia una CPU e il PC nn funziona piu'... :sofico:
Very tattica militare.. :sbonk:

cdimauro

14-03-2009, 10:54

rispondo solo ad alcuni punti che ho da fare.. :asd:
Rispondi pure quando vuoi: per me non c'è problema. :O
Crakkato a livello accademico.. :D
Ma anche no, visto che, una volta che è stato pubblicato, lo studio è potenzialmente utilizzabile da chiunque.
Scambia un Hard disk, scambia una CPU e il PC nn funziona piu'... :sofico:
Very tattica militare.. :sbonk:
Basta portarsi dietro il keyring.

Comunque non hai risposto alla mia domanda. :read:

eraser

14-03-2009, 12:30

Ancora una volta lo dico e lo ripeto, Virus Troiani e zozzerie varie, possono entrare solo
se il sistema operativo e' modificabile.
Una Live di Linux su CD Rom e' molto piu' sicura di qualsiasi SO su Hard disk..
(se nel CD c'e' un troian, chi l'ha messo e' perfettamente identificabile)
fa fede anche l' md5sum, cosa che in vindov si sono scordati da un pezzo.. :rolleyes:

Il kernel del SO dovrebbe risiedere in pratica un HD Rom.. :rolleyes:
(questo in ambito militare sarebbe una garanzia molto migliore dei vari TPA e Palladium)

Ma e' chiaro che non lo faranno mai,
non rinunceranno ad insinuare paure nella gente e quindi vendere firewalle, antivirus, ecc. ecc. :rolleyes:

augh

Non spenderò troppe parole sull'argomento, visto che la testardaggine di avere ragione purtroppo è un vizio duro a morire.

Bisogna innanzitutto distinguere l'utilizzo di un PC in ambito militare piuttosto che in ambito lavorativo/casalingo. Hanno esigenze totalmente differenti.

L'utilizzo di un sistema live non rende le cose del tutto più sicure. Nel momento in cui un sistema live parte, copia in memoria le parti fondamentali. In memoria sono modificabili tanto quanto un sistema regolare in uso. L'unico vantaggio è che, al riavvio, i file vengono ricaricati dal dispositivo di sola lettura e di conseguenza ogni modifica apportata in memoria viene rimossa. Aggiungo inoltre che solo per determinate infezioni è importante la possibilità di modificare i file del sistema operativo. Alla maggior parte non gliene frega assolutamente niente.

Dunque un malware non può esistere su sistemi live? Assolutamente falso. Un sistema live può salvare file, navigare su Internet, eseguire applicazioni alla stessa maniera. Come tale, può essere vittima di un'infezione.

Chiaro, il file verrà salvato in memoria e al riavvio sarà eliminato. Cosa cambia? Niente, cambia che al riavvio l'infezione sarà scomparsa. È sufficiente? No.

Ad un malware con funzionalità di password stealer, ad esempio, basta poter essere eseguito una volta per rubare le informazioni all'interno del PC e spedirle all'esterno. Sto facendo un esempio standard, senza considerare altre misure di sicurezza, dati crittografati e blablabla vari che all'utenza comune poco importano.

Vogliamo evitare l'eseguibilità di programmi se non quelli autorizzati presenti sul live CD? Benissimo. Credi che cambi come cosa? Un programma necessita di aggiornamenti, un browser può essere vulnerabile e, come tale, cadere in una pagina web che sfrutti quella vulnerabilità per l'esecuzione di codice da remoto. Non è neanche necessario (seppur sia la via più semplice) che il file malevolo venga scritto in memoria, basta che sia caricato all'interno della zona di memoria del browser. Stessa situazione: un possibile password stealer che ruberà le informazioni dal "live-PC".

Non voglio chiaramente parlare del rischio di collisioni MD5/SHA1 perché è stato dimostrato e può essere utilizzato, seppur ad oggi non se ne siano sentiti casi ecclatanti.

Cosa vai a risolvere con una distribuzione live CD? La persistenza di un'infezione. Un buon traguardo, via. Cosa vai a eliminare? Circa (anche oltre) il 70% dell'utenza che non avrà un sistema operativo di utilizzo facile, cosa che Microsoft si è proposta da tempo tra i suoi obiettivi.

L'utilizzo in ambito militare di un'applicazione tale richiede non solo che il sistema sia pulito, ma che non sia raggiungibile dall'esterno e che tutto quello a cui quel PC può accedere sia bonificato e sicuramente innocuo. Altrimenti è inutile che ci sia un live CD.

StateCity

14-03-2009, 13:58

....
......................................
Chiaro, il file verrà salvato in memoria e al riavvio sarà eliminato. Cosa cambia? Niente, cambia che al riavvio l'infezione sarà scomparsa. È sufficiente? No.
.......................................

e te pare poco... :sofico:

StateCity

14-03-2009, 14:08

Rispondi pure quando vuoi: per me non c'è problema. :O

Ma anche no, visto che, una volta che è stato pubblicato, lo studio è potenzialmente utilizzabile da chiunque.
Ma per rendere 2 file diversi con lo stesso cheksum, non e' impresa da poco,
anche in termini di risorse di calcolo... :rolleyes:

Basta portarsi dietro il keyring.
con TPA Hardware non lo vedo cosi' facile..

Comunque non hai risposto alla mia domanda. :read:
Lo stesso metodo dei server, ma tutto assieme al OS in ROM...
di ogni applicativo si registra il md5sum certificato,
in esecuzione, invece dell' antivirus (che ha bisogno del pattern aggiornato),
si esegue un check di sistema in area R/W program user.

Cmq. oggi la new engennering punta tutto sulla complicazione delle cose semplici... :asd:

Cdi prenditi un auto che per smontare i fari, bisogna tirar giu' mezzo paraurti.. :asd:
poi mi darai raggione.. :sofico:

eraser

14-03-2009, 14:17

e te pare poco... :sofico:

Beh via, un sistema operativo che non ti salva niente ed ogni volta che devi installare una nuova periferica con driver differenti devi rimasterizzare il cd...niente male :D

cdimauro

14-03-2009, 15:37

Ma per rendere 2 file diversi con lo stesso cheksum, non e' impresa da poco,
anche in termini di risorse di calcolo... :rolleyes:
In tal caso potresti spiegarmi come mai c'è la corsa al successore dello SHA-1, e l'invito ad adottarlo quanto prima?
con TPA Hardware non lo vedo cosi' facile..
Se non ricordo male è previsto dalle specifiche TCPA.
Lo stesso metodo dei server, ma tutto assieme al OS in ROM...
di ogni applicativo si registra il md5sum certificato,
in esecuzione, invece dell' antivirus (che ha bisogno del pattern aggiornato),
si esegue un check di sistema in area R/W program user.
Su questo ha risposto "eraser", ma continui a non rispondere alla mia precedente domanda.
Cmq. oggi la new engennering punta tutto sulla complicazione delle cose semplici... :asd:
"Je' la natura" - Avvocato di Johnny Stecchino. :O
Cdi prenditi un auto che per smontare i fari, bisogna tirar giu' mezzo paraurti.. :asd:
poi mi darai raggione.. :sofico:
A me basta smontare le tue affermazioni. :cool:

Leggi: aspetto ancora una risposta a quella domanda. Inoltre ti faccio notare che nelle precedenti risposte hai "stranamente" salto dei miei quote. :read:

Fradetti

14-03-2009, 15:42

mi piacerebbe sapere se in tutte le redazioni nazionali e regionali rai esiste un giornalista che sa cos'è una botnet :O

BBC sempre il meglio

StateCity

14-03-2009, 16:33

In tal caso potresti spiegarmi come mai c'è la corsa al successore dello SHA-1, e l'invito ad adottarlo quanto prima?
http://en.wikipedia.org/wiki/Md5sum
"Note that a cryptanalytic attack on the MD5 algorithm has been found[1] [2], which means a method has been found to calculate a file that will have a given md5sum in less than the time required for a brute force attack."

Se non ricordo male è previsto dalle specifiche TCPA.
il self check di bios con componenti sostituiti nn lo passa.. imho

Su questo ha risposto "eraser", ma continui a non rispondere alla mia precedente domanda.
la domanda era formulata male :D

"Je' la natura" - Avvocato di Johnny Stecchino. :O
e sti gran caxxi [cit.]

A me basta smontare le tue affermazioni. :cool:
smonta prima l'apple che ci trovi zio friz.. :asd:

Leggi: aspetto ancora una risposta a quella domanda. Inoltre ti faccio notare che nelle precedenti risposte hai "stranamente" salto dei miei quote. :read:
La domanda era forumlata male,
Cmq. ti ho detto che avevo fretta, mi dispiace, non ho tutto questo tempo... :sofico:

Cmq. di una cosa ti devo dare atto, che tu gli avversari li batti per sfinimento.. :asd:

cdimauro

14-03-2009, 23:20

http://en.wikipedia.org/wiki/Md5sum
"Note that a cryptanalytic attack on the MD5 algorithm has been found[1] [2], which means a method has been found to calculate a file that will have a given md5sum in less than the time required for a brute force attack."
Appunto. Grazie per la conferma. :D
il self check di bios con componenti sostituiti nn lo passa.. imho
Si parlava del keyring trasportabile qui. :read:
La tua risposta non è pertinente. :fagiano:
la domanda era formulata male :D
Qual è la parte che non comprendi? Così la riformulo. :fagiano:
smonta prima l'apple che ci trovi zio friz.. :asd:
Il chip Fritz ce l'ho nel mio stupendo ThinkPad R40, e l'ho saputo soltanto ANNI dopo.

Incredibilmente... sono sopravvissuto lo stesso. :cool:
La domanda era forumlata male,
Vedi sopra: sottolinea pure la o le parti che non comprendi, e vedrò di riformularla in altri termini (anche se già era abbastanza semplice, e questa volta ammetto che avrei difficoltà io stesso a rielaborarla).
Cmq. ti ho detto che avevo fretta, mi dispiace, non ho tutto questo tempo... :sofico:
Non ti preoccupare: prenditi pure tutto il tempo che ti serve. Io so aspettare. :fagiano:
Cmq. di una cosa ti devo dare atto, che tu gli avversari li batti per sfinimento.. :asd:
E' quello che mi dicono in tanti da diversi anni. L'importante, però, è argomentare, e mi sembra che nelle mie risposte non manchino fatti e argomenti. :O

StateCity

15-03-2009, 15:40

Appunto. Grazie per la conferma. :D
conferma de che ? :stordita:
dovresti creare un file il cui MD5 sia uguale all' originale, e che contenga
il virus o il troian mantenendo intatte le dimensioni.. :asd:
nn mi sembra cosi' facile.. :D

Si parlava del keyring trasportabile qui. :read:
La tua risposta non è pertinente. :fagiano:
no, io parlavo delle brutale sostituzione dei un HD o altro componente in PC ad utilizzo militare..

Qual è la parte che non comprendi? Così la riformulo. :fagiano: guarda con tutti questi post la domanda da un milione me la sono persa :asd:

Il chip Fritz ce l'ho nel mio stupendo ThinkPad R40, e l'ho saputo soltanto ANNI dopo.
Thanks for the info
Incredibilmente... sono sopravvissuto lo stesso. :cool: dipende dalla liberta' concessa dal software

Vedi sopra: sottolinea pure la o le parti che non comprendi, e vedrò di riformularla in altri termini (anche se già era abbastanza semplice, e questa volta ammetto che avrei difficoltà io stesso a rielaborarla).
vedi sopra
Non ti preoccupare: prenditi pure tutto il tempo che ti serve. Io so aspettare. :fagiano: grazie :D

E' quello che mi dicono in tanti da diversi anni. L'importante, però, è argomentare, e mi sembra che nelle mie risposte non manchino fatti e argomenti. :O
mica vivo di rendita o di un lavoro dove mi pagano per postare pensierini sul forum :asd:

cdimauro

15-03-2009, 17:57

conferma de che ? :stordita:
dovresti creare un file il cui MD5 sia uguale all' originale, e che contenga
il virus o il troian mantenendo intatte le dimensioni.. :asd:
nn mi sembra cosi' facile.. :D
Non lo era un tempo: adesso che è stato crackato è molto più facile.
no, io parlavo delle brutale sostituzione dei un HD o altro componente in PC ad utilizzo militare..
E' chiaro che non lo puoi fare. Ma tu hai parlato (negativamente) di sistemi trusted, e nella fattispecie t'ho fatto notare che il problema si risolve con la copia del keyring.
guarda con tutti questi post la domanda da un milione me la sono persa :asd:
Rieccola:

"qual è la differenza col sistema di checksum che vorresti utilizzare?"

Il contesto era (parole tue):

"Con il codice "firmato" si arriva ad una rigidita' del sistema improponibile,"

e

"e pensare che proprio i militari volevano, mezzi meccanici con le parti
facilmente intercambiabili..
Con TPA firme e controfirme anche solo scambiare hd da un PC all' altro, si blocca tutto.."
Thanks for the info
dipende dalla liberta' concessa dal software
Libertà totale: ti basta?
mica vivo di rendita o di un lavoro dove mi pagano per postare pensierini sul forum :asd:
Nemmeno io. Ma quando scrivo qualcosa ho il piacere e l'onore di sostenerla argomentando. :O

StateCity

15-03-2009, 18:15

Non lo era un tempo: adesso che è stato crackato è molto più facile.
per avere un md5 uguale, il file dovrebbe divenire troppo diverso,
questo esclude nella maggior parte dei casi che si possa inserire un virus..
(con un codice ben definito)
E' chiaro che non lo puoi fare. Ma tu hai parlato (negativamente) di sistemi trusted, e nella fattispecie t'ho fatto notare che il problema si risolve con la copia del keyring.
il keyring e' un ulteriore complicazione in campo militare.. :p

Rieccola:
"qual è la differenza col sistema di checksum che vorresti utilizzare?"
il cheksum si propone solo di verificare l'integrita' degli eseguibili,
da sistema operativo protetto in ROM. ma nn si lega all'hardware fisico.

Il contesto era (parole tue):
"Con il codice "firmato" si arriva ad una rigidita' del sistema improponibile,"
"e pensare che proprio i militari volevano, mezzi meccanici con le parti
facilmente intercambiabili..
Con TPA firme e controfirme anche solo scambiare hd da un PC all' altro, si blocca tutto.."

Perfettamente..

Libertà totale: ti basta?
liberta' e' un concetto molto astratto
Nemmeno io. Ma quando scrivo qualcosa ho il piacere e l'onore di sostenerla argomentando. :O
anch'io

cdimauro

15-03-2009, 19:10

per avere un md5 uguale, il file dovrebbe divenire troppo diverso,
questo esclude nella maggior parte dei casi che si possa inserire un virus..
(con un codice ben definito)
Il crack dimostra proprio il contrario: che è possibilissimo realizzare file anche completamente diversi, ma con lo stesso checksum. :read:
il keyring e' un ulteriore complicazione in campo militare.. :p
E per quale motivo?
il cheksum si propone solo di verificare l'integrita' degli eseguibili,
da sistema operativo protetto in ROM.
Esattamente lo stesso scopo della firma digitale.

D'altra parte il checksum altro non è che una firma digitale.
ma nn si lega all'hardware fisico.
Si può svincolare col backup del keyring.
Perfettamente..
Ma non si blocca tutto, come dicevi tu, grazie al backup del keyring. :read:
liberta' e' un concetto molto astratto
Sei stato tu a parlarne per primo, per cui l'onere della definizione del concetto di "libertà" è tutto tuo. :read:

Definiscilo pure e ne riparliamo. :ciapet:
anch'io
In tal caso rimango in attesa che tu risponda alle parti dei miei messaggi che hai accuratamente evitato. :O

StateCity

15-03-2009, 20:21

Il crack dimostra proprio il contrario: che è possibilissimo realizzare file anche completamente diversi, ma con lo stesso checksum. :read:
Sarebbe molto diverso, quindi facilmente riconoscibile.
al limite si potrebbero utilizzare MD5 e SHA1 insieme.. :D

E per quale motivo?
per il motivo che e' un ulteriore procedura da utilizzare durante le operazioni militari,
piu' complessita' = minore efficenza.. :D

Esattamente lo stesso scopo della firma digitale.
ma nn e' legata all' hardware specifico.

D'altra parte il checksum altro non è che una firma digitale.
nn e' ricavata da chip hardware univoco.. :D

Si può svincolare col backup del keyring.
maggiori operazioni, maggiore complessita' = minore flessibilita' e minore efficenza.

Ma non si blocca tutto, come dicevi tu, grazie al backup del keyring. :read:
il keyring nn serve a molto se le chiavi hardware sono dissimili.
mancando l'inizializzazione del dispositivo a livello hardware.
(secure boot)

Sei stato tu a parlarne per primo, per cui l'onere della definizione del concetto di "libertà" è tutto tuo. :read:
Definiscilo pure e ne riparliamo. :ciapet:
Liberta' siginifica scegliersi il padrone al quale obbbedire.. :asd:

In tal caso rimango in attesa che tu risponda alle parti dei miei messaggi che hai accuratamente evitato. :O
io rispondo a tutti nel limite del mio tempo di post :stordita: