Per tracciare telefonate e messaggi basta conoscere il numero di cellulare

La CBS riporta in luce una falla nella Rete che permette di intercettare chiamate e messaggi e triangolare la posizione dei telefoni agganciati

C’è voluta la trasmissione della CBS 60 Minutes per puntare ancora una volta i riflettori sul pessimo stato della sicurezza delle comunicazioni cellulari. L’ultimo episodio del programma statunitense ha visto infatti intervenire il ricercatore e hacker tedesco Karsten Nohl, che ha dimostrato come sia possibile, sfruttando una falla interna alla rete mobile, risalire alle telefonate e ai messaggi di un telefono o smartphone semplicemente conoscendo il numero associato alla scheda SIM inserita.

La cavia che si è prestata all’esperimento è il deputato statunitense Ted Lieu, del quale Nohl è riuscito a carpire non solo lo storico di chiamate e messaggistica, ma anche il loro contenuto e gli spostamenti del soggetto, il tutto senza avere avuto bisogno di accedere fisicamente al suo telefono. La falla sfruttata dall’hacker è interna al protocollo di segnalazione SS7, un set di strumenti che fa parte integrante dell’infrastruttura di rete mobile e fa da tramite tra i network di diversi operatori e paesi con il compito di controllare, passare e gestire a più livelli le comunicazioni che vi avvengono.

Dal momento che il problema giace nella rete e non all’interno dei prodotti è facile comprendere come a esserne coinvolti siano in realtà tutti i telefoni, a prescindere dal modello e dalla marca: lo smartphone dato in dotazione al deputato Lieu per l’esperimento era un iPhone, ma da questo punto di vista nessun dispositivo è da considerarsi sicuro; anche il tracciamento della posizione avviene non attraverso il GPS dei telefoni, ma triangolando altre informazioni disponibili a chi si intrufola nel protocollo, ovvero quelle sui ripetitori agganciati in un dato momento dal telefono.

Quel che è peggio però è che la falla è nota da tempo. Lo stesso Nohl ne ha dimostrato la pericolosità a una convention ad Amburgo ormai due anni fa, ma fino ad ora è rimasta al suo posto, a disposizione di agenzie governative (alle quali la situazione va bene com’è, spiega Nohl) e di qualunque altro soggetto con le competenze tecniche adeguate.

Fonte: Wired - Autore: Lorenzo Longhitano

GFI Labs, le dieci regole per accedere alla Rete in sicurezza nel 2011

Tom Kelchner, Communications e Research Analyst di GFI Software, produttrice di software di protezione Web e posta, servizi di rete e sicurezza, suggerisce le 10 regole per navigare sicuri nel corso del 2011. Se un qualsiasi nuovo computer può essere preso dalla confezione e connesso direttamente a Internet, farlo rappresenta un errore madornale per la sicurezza.

1. Limitare l'accesso alla rete alle persone che ne necessitano. Nelle piccole e medie imprese capita spesso che vengano assegnati alla quasi totalità dei dipendenti privilegi completi di accesso alla rete e ai dispositivi, anche se in realtà non ce ne sono i requisiti lavorativi. Tali decisioni comportano però una serie di rischi per la sicurezza aziendale. Se presumibilmente l'azienda ha assunto persone affidabili, come amministratori IT e specialisti responsabili di sicurezza per proteggere la rete aziendale, offrire privilegi completi rimane comunque un rischio… e non si può mai sapere.
2. Serve una strategia per prevenire la perdita dei dati. Le minacce interne possono spesso essere quelle più pericolose e da cui probabilmente ci si protegge meno, semplicemente perché i dipendenti e il management nelle piccole e medie imprese tendono ad avere elevati livelli di fiducia reciproca. L'attività di rete dovrebbe essere monitorata e dovrebbe essere tendenzialmente vietata la connessione di dispositivi portatili, come le chiavette USB. Semplicemente, è estremamente facile per un dipendente scontento sottrarre dati confidenziali senza essere notato. Anche i lavoratori mobili rappresentano un problema per gli amministratori, e le aziende dovrebbero attuare una strategia definita sull'utilizzo di laptop e smartphone.
3. Limitare la navigazione su Internet ed educare gli utenti a riconoscere le minacce. Gli utenti spesso non conoscono le minacce presenti su Internet. È meglio prevenire i problemi potenziali, quali download pericolosi o social engineering, che conducono a codici malevoli. In assenza di un motivo di business per visitare i siti Web, può essere utile limitare la capacità di navigazione attraverso white o black list. I siti peer-to-peer possono essere vettori di malware o dare ai membri P2P remoti possibilità di accesso ai dati aziendali se il client non è configurato correttamente. Anche i siti di social networking, come ad esempio Facebook, possono portare a link malevoli. Questi possono provenire dall'account compromesso di un amico, senza che nessuno si accorga che quel determinato link rimanda a un sito malevolo. Il malware scaricato sulla macchina dell'utente può poi diffondersi attraverso la rete.
4. Eseguire regolarmente audit di rete è fondamentale. Monitorare gli event log ed effettuare regolarmente controlli fornisce dati importanti sulla rete. Audit regolari consentono di ottenere informazioni sui materiali disponibili in rete. L'analisi dei log consente di comprendere come vengono utilizzate le risorse e come migliorarne la gestione. Date le richieste di conformità che oggi incidono sulle aziende, mantenere gli audit di rete aggiornati è "un must" e rappresentano una risorsa critica se qualcosa dovesse andare storto. La gestione delle vulnerabilità e delle patch è inoltre essenziale per qualsiasi strategia di sicurezza della rete. Le macchine su cui mancano alcune patch o gli ultimi aggiornamenti di sicurezza rappresentano un bersaglio facile per i creatori di malware e gli hacker, è quindi importante che gli amministratori dispongano della tecnologia in grado di identificare, valutare e riparare qualsiasi buco riscontrato in rete.
5. Verificare la sicurezza dei sistemi prima di connetterli alla rete. Se un qualsiasi nuovo computer può essere preso dalla confezione e connesso direttamente a Internet, farlo rappresenta un errore madornale per la sicurezza. Prima di connettere qualsiasi computer a un cavo Ethernet o alla linea telefonica, deve essere installato un software anti-malware. Una volta messe in atto queste misure di sicurezza e che la macchina è connessa a Internet, è fondamentale che queste funzionalità di sicurezza siano costantemente aggiornate per assicurare la protezione da malware e virus. I sistemi operativi, i browser e le altre applicazioni sono esposte a buchi di sicurezza. Una volta scoperta la falla, viene solitamente sfruttata nell'arco di poco tempo. Un responsabile degli acquisti IT dovrebbe essere responsabile anche del monitoraggio dei siti web del produttore o dei feed dei social media per le notifiche sul rilascio degli aggiornamenti.
6. Rafforzare le policy di sicurezza. Le policy di sicurezza sono praticamente inutili se non vengono supportate e promosse da parte del management. Allo stesso tempo, bisogna trovare un equilibrio per consentire ai dipendenti di portare avanti il loro lavoro. Se le policy sono troppo restrittive, i dipendenti troveranno un modo per evitarle. Bisognerebbe fornire inoltre una spiegazione ai dipendenti sul perché vengono attuate determinate policy. Se i dipendenti sono consapevoli del perché non possono fare una determinata cosa, sono più propensi a rispettare tali policy. Un approccio dittatoriale porterà solamente a un senso di risentimento da parte dei dipendenti.
7. Autenticare sempre chi effettua chiamate. Autenticare le chiamate telefoniche potrebbe sembrare un processo ridondante per gli amministratori quando riconoscono direttamente la voce di chi chiama. Tuttavia, dare nuove password e informazioni confidenziali al telefono senza seguire una procedura di autenticazione idonea potrebbe causare problemi di sicurezza che spesso non possono essere tracciati a ritroso fino al punto di origine - risultando poi molto più difficili da rilevare e da gestire. Lo spear-phishing - che consiste in attacchi di social engineering mirati - è sempre più diffuso e gli utenti dovrebbero essere informati su come distinguere una richiesta legittima di informazioni da un tentativo di phishing - che avvenga via email o telefonicamente.
8. È necessario eseguire i backup ma anche verificarli. Non si è praticamente mai sentito che un back-up di sistema sia fallito, ma testare i backup e confermare che il piano di disaster recovery funziona realmente è tutta un'altra questione. Per prima cosa, i backup per essere efficaci devono essere creati su base regolare e tenuti offsite in un luogo sicuro. Se questo già avviene, il passaggio successivo è quello di garantire realmente che i backup funzionino in caso di emergenza. Spesso, vi sono richieste di conformità per la crittografia dei backup. È bene controllare due volte che la crittografia sia realmente abilitata per i backup e che i dati possano essere recuperati.
9. Cosa fare se il programma di disaster recovery non funziona. In teoria, il piano aziendale di disaster recovery è probabilmente un capolavoro. Può sembrare perfetto sulla carta, archiviato nella cartella "disaster recovery" sul PC aziendale. Ma come funziona in pratica? Si è provato a simulare una situazione di disaster recovery in cui i backup devono essere utilizzati in modo da ripristinare i sistemi e renderli nuovamente attivi in modo da poter continuare il lavoro e ridurre al minimo la perdita di profitto? . Pianificare una simulazione di questo tipo per garantire che l'azienda possa effettivamente andare a ritroso nei backup rappresenta un elemento fondamentale per la sicurezza. Un piano di disaster recovery che fallisce una volta messo in pratica non è altro che un ulteriore disastro!
10. Chiedere aiuto se necessario. Non bisogna temere di chiedere aiuto per i compiti più importanti. Eseguire da soli le impostazioni di rete è un compito estremamente impegnativo. È consigliabile cercare aiuto all'esterno se non si possiedono ancora l'esperienza e gli skill sufficienti. Se da un lato ricorrere a un aiuto esterno può risultare costoso,dall'altro i professionisti assicureranno che il lavoro sia eseguito correttamente.

GFI Software offre un'unica fonte di software di protezione web e posta, archiviazione, back-up e fax, servizi di rete e sicurezza e soluzioni ospitate per piccole e medie imprese. Grazie alla tecnologia vincitrice di numerosi riconoscimenti, a una politica tariffaria concorrenziale e alla particolare attenzione rivolta ai requisiti specifici delle piccole e medie imprese (PMI), GFI soddisfa le esigenze informatiche delle PMI su scala mondiale. Inoltre, è un Microsoft Gold Certified Partner. Ulteriori informazioni all'indirizzo http://www.gfi-italia.com/.

Fonte: Protezione Account

In Rete la libertà non è licenza

Gianni Riotta ha messo il dito nella piaga. È vero, Internet è cresciuta, guadagna milioni di nuovi utenti al giorno, s'impadronisce del nostro tempo quotidiano, ma l'adulto non somiglia più al fanciullo che avevamo conosciuto. Ne ha tradito le promesse, forse le ha addirittura rovesciate. Lo spazio di libertà si è convertito in un'anarchia di massa, l'informazione senza veti né censure moltiplica le notizie false, la discussione cede sempre più spesso all'urlo, se non proprio all'insulto. Il caso di Tartaglia – lo squilibrato che ha ferito Berlusconi e ha raccolto 50mila fan tra i navigatori della Rete – non è che l'ultimo episodio. C'è rimedio a questa deriva becera e plebea? C'è una cura per impedire che la libertà degeneri in licenza? Ed è sul vuoto di regole che ricade la responsabilità di tale situazione? Questo ventaglio di domande chiama in causa i giuristi, i dottori della legge. I quali a loro volta conoscono assai bene il paradosso della libertà che a suo tempo illustrò Karl Popper: la libertà senza regole genera illibertà, autoritarismo, arbitrio. Però non è affatto vero che la Rete descriva una zona franca del diritto. Per esempio il Codice dell'Internet, pubblicato da Cassano nel 2006 per i tipi di Giuffrè, misura 1.318 pagine. Esistono norme sul commercio elettronico, sull'informatica nella pubblica amministrazione, su quella giudiziaria, sull'e-government, sul telelavoro, sui nomi di dominio, sulla firma elettronica, sulle banche dati, sulla tutela del software e del diritto d'autore, sulla posta elettronica, sulla privacy, sulla protezione dei minori rispetto alle insidie della Rete. Esistono cattedre universitarie intestate al diritto dell'Internet così come al diritto privato dell'informatica. Esiste dunque un'intensa attività regolatrice dei governi dietro lo schermo del computer. Non a caso l'ultimo atto del gabinetto Prodi e il primo atto del gabinetto Berlusconi, nel 2008, ebbero un denominatore comune nella Rete: rispettivamente la pubblicazione online dei 740 e delle pagelle scolastiche. Ed esiste infine una copiosa produzione normativa di enti e autorità internazionali, anche perché per sua natura Internet sfugge al principio di territorialità che circoscrive l'efficacia della legge; si può citare a mo' d'esempio la direttiva europea 95/46/CE, fondamentale sul fronte della privacy. Insomma l'anomia – l'assenza di ogni legge nella realtà virtuale a conti fatti non è altro che un miraggio, uno dei tanti che si diffondono sul web. Eppure questa risposta non risponde ancora alla domanda formulata dal direttore del Sole. Può darsi che il diritto telematico sia ancora troppo poco, oppure che sia stato costruito a maglie troppo larghe. Può darsi che occorra un giro di vite per garantire la sopravvivenza medesima del mezzo, per difenderlo da chi lo sta insudiciando. Può darsi che l'accesso libero e gratuito sia in realtà un difetto, come sostiene Jaron Lanier. E può darsi che l'anonimato garantito al popolo dei navigatori garantisca in conclusione le molestie, le parolacce, le diffamazioni.Eppure non è un'altra legge che salverà la Rete. Anzi: se questa legge fosse battezzata all'insegna di un divieto, rischierebbe d'uccidere il malato. Non che manchino infezioni cui gioverebbe qualche dose d'antibiotico normativo: per esempio le copie cache delle pagine web perpetuano ogni fatto e ogni misfatto, azzerando il diritto all'oblio. Google remembers forever, ma prima o poi bisognerà metterci rimedio. Tuttavia senza rinnegare la libertà di connessione e di parola, che è il primo cromosoma della Rete. Senza proibire i messaggi trasmessi in forma anonima, cui si deve in buona parte il suo successo. Dopotutto l'uno e l'altro attributo ricevono una precisa garanzia costituzionale nella vecchia Carta del 1947, redatta quando non c'era ancora nemmeno la tv. Quanto al primo, l'articolo 21 protegge la manifestazione del pensiero scritta e verbale, nonché con «ogni altro mezzo di diffusione». Quanto al secondo, in vari luoghi la segretezza diventa ancella della libertà: per esempio nell'articolo 48, dove il voto alle elezioni è anonimo per scongiurare ricatti e rappresaglie. No, non è una svolta autoritaria la chiave per restituire a Internet la propria autorità. Basta applicarvi la massima coniata nella giurisprudenza americana: il salvacondotto delle parole in Rete non vale quando vi si specchi una specifica intenzione delittuosa, e quando l'intenzione cagioni un pericolo immediato. Basta assecondare i processi d'autoregolazione degli utenti, fra i quali "netiquette" non è che un primo esperimento. E basta infine dar tempo alla creatura di maturare ancora, perfino d'invecchiare. Col tempo le fonti più attendibili s'imporranno sui rumori della piazza, ma a condizione di farlo a loro volta in piazza, e senza l'aiuto di gendarmi.

Fonte: Il Sole 24 ore - Autore: Michele Ainis

Finjan: scoperta una botnet da 1,9 milioni di computer

Finjan ha comunicato di aver scoperto una vastissima rete botnet composta da 1,9 milioni di computer sparsi in tutto il mondo, che comprende anche diverse macchine facenti parte delle reti del governo del Regno Unito e degli Stati Uniti. L’introduzione all’interno di questa rete di computer avviene in modo del tutto simile a ciò che avviene sempre in questi casi. Si scarica un malware attraverso la visita ad alcuni siti Web. Il malware poi costringe l’utente a visitare una pagina infetta che permetterà il download e l’installazione del malware vero e proprio, che sarà la porta d’accesso alla botnet. Attualmente si sa poco su quali istituzioni siano state colpite da questa pericolosa vicenda. Quel che è certo è che del gruppo fanno parte uffici e istituzioni di molti Paesi del mondo. Oltre agli USA e al Regno Unito infatti ci sarebbero macchine importanti situate in Canada, Francia e Germania. In ogni caso sembra chiaro che siano colpiti da questo pericolo 77 Stati, che sono stati tutti avvisati da Finjan. Le indagini intanto sono già iniziate e si cerca di trovare i colpevoli che gestiscono la botnet. Secondo Finjan si tratterebbe di sei persone residenti in Ucraina.

Fonte: http://www.oneitsecurity.i/

Autore: Gianluca Rini

Alla Rai pubblicizzato un sito per il gioco d'azzardo

Trasmissione in onda su RAI 3 Neapolis (a cura della testata giornalistica della Rai campana), ha pubblicizzato un sito italiano che invita al gioco d'azzardo pochi minuti prima di Trebisonda.
E' un peccato che una trasmissione che si rivolge ad un pubblico giovane sia condotta senza tenere conto della presenza di ragazzi e adolescenti. I siti che invitano al gioco on line sono in costante crescita sia numerica che per utenti registrati. Non era proprio necessario che una rete pubblica televisiva si mettesse a fare pubblicità a questo tipo di siti. Il gioco d'azzardo, anche quando è legale, è comunque proibito per i minori. Costituisce inoltre una piaga sociale la dipendenza da gioco sempre più diffusa. Il gioco on line non solo favorisce la diffusione del fenomeno, ma lo rende disponibile anche ai minori: chi controlla infatti l'età dei giocatori?
D’altronde il poker on line è un affare di oltre 400 milioni di euro l'anno. Cifre da capogiro come si suol dire. Almeno il 5% circa degli accedenti al poker in internet non ha 18 anni riuscendo a bypassare i filtri.
Si tratta di un'altra vergogna di internet, ma qualcuno protesterà accanto a davide.it? E le istituzioni preposte ai controlli riusciranno fermare quel 5% di minori? Oppure tutto passerà all'insegna del profitto creando altri dipendenti del gioco d'azzardo che abbiano più o meno di 18 anni?
Fonte: Blog di Daniele Damele