Newsgroup: it.comp.sicurezza.varie
Titolo: OT: serrature a norma TSA :: epic fail

 
epic FAIL
 
https://theintercept.com/2015/09/17/tsa-doesnt-really-care-luggage-locks-hacked/
 
 
http://www.extremetech.com/computing/214521-hackers-have-created-master-keys-to-tsa-approved-locks-and-the-tsa-couldnt-care-less
 
 
qui il kit per stamparsele da soli
 
http://gizmodo.com/you-can-now-3d-print-your-own-tsa-master-keys-1730134042
 
 
https://github.com/Xyl2k/TSA-Travel-Sentry-master-keys/blob/master/README.md
 
 
ed il "video dimostrativo"
 
http://arstechnica.com/security/2015/09/video-3d-printed-tsa-travel-sentry-keys-really-do-open-tsa-locks/
 
 
una chiara dimostrazione di come la "security through obscurity" non
funziona o, se preferite, è sempre destinata al fallimento; ora mi
chiedo quanto ci vorrà prima che si inizino a vedere online offerte del
tipo "kit deluxe di chiavi universali TSA in metallo" :P
 

 funziona o, se preferite, è sempre destinata al fallimento;
 
Mi sembra un'affermazione un pelino troppo perentoria! :)
 
Intanto, se quelle serrature sono state introdotte dal 2003 come dice 
l'articolo, per trovare l'hack ci sono voluti ben 12 anni. Non parlerei 
proprio di "epic fail".
 
Inoltre, è ovvio che lasciare una backdoor per ispezioni costituisce 
sempre un punto debole che prima o poi potrebbe essere sfruttato da un 
attaccante, ma in certi casi (come le ispezioni dei bagagli nella stiva 
di un aereo per motivi di sicuezza) si tratta di un'esigenza 
perfettamente legittima.
 
Altrimenti qual era l'alternativa? Dover sfasciare la valigia per 
procoedere a un'ispezione? Aprire il lucchettino a martellate?
 
Comunque si parla di lucchetti per borse e valige, cioè protezioni non 
sono "blindate", né per gli ispettori né per eventuali ladri!

 Mi sembra un'affermazione un pelino troppo perentoria! :)
 
Si potrebbero anche fare esempi in cui la "security through minority", 
anche se concettualmente non inattaccabile, in pratica però funziona 
abbastanza bene: pensiamo ad alcuni sistemi operativi usati da pochi 
utenti e, anche per questo, poco o per nulla presi di mira dai 
viruswriter :)

It was Tue, 22 Sep 2015 14:14:58 +0200 when

tipo quelli usati per il controllo industriale e presi di mira da
alcuni noti worms (non faccio nomi :P) ? Ripeto, la security through
obscurity NON funziona; poi, per carità, ognuno è libero di farsi del
male da solo continuando a credere il contrario salvo nascondere la
testa sotto la sabbia quando inizia a piovere "robaccia"; non entro in
dettaglio, ma anche in italia ed anche in ambito militare abbiamo avuto
le nostre belle valanghe di letame, ovvio, il tutto è stato (come al
solito) bellamente messo a tacere, ma questo non significa che non sia
successo... e proprio perchè si continua a credere che "se nessuno lo
sa, allora non c'è problema"
 
 

 procoedere a un'ispezione? Aprire il lucchettino a martellate?
 
Direi di sì, visto che il bagaglio è tutto radiografato. O lo si fa
aprire dal proprietario e si chiedono spiegazioni, o si chiamano
direttamente gli artificieri, questo dice la logica.
 
Poter aprire ogni valigia senza giustificato motivo e senza il permesso
del proprietario è solo un abuso.
 
Problema risolto senza nessuna modifica hardware/software e a costo zero.
 
Certo, se vuoi aprire una valigia a caso e senza farlo sapere al
proprietario, e senza neanche radiografarla, hai i tuoi motivi ma sai
anche come fare per aprirla, senza chiavi a norma TSA, presumo.

 sa, allora non c'è problema"
 
Non è che "non c'è problema", ma la statistica diventa più favorevole 
rispetto al "lo sanno tutti".
Riprendendo il discorso sulle serrature, per esempio, quando chiudo la 
catenella della bicicletta so benissimo che un ladro professionista 
potrebbe aprirla in pochi secondi con passepartout, tronhesi e non so 
cos'altro, ma il ladro professionista forse ha di meglio da fare che 
rubare la mia bici, mentre io mi difendo dai ladruncoli balordi senza 
passpartout, che per mia fortuna vivono nella "obscurity" dei metodi di 
furto più avanzati ;)
 
Poi, come detto nell'altro post, grazie al cavolo che una backdoor o una 
master key è sempre un rischio, ma in certi casi c'è un ottimo motivo 
perché ci sia, ovvero in certe situazioni non esistono solo le esigenza 
della massima protezione ma anche altre esigenze.
 

 del proprietario è solo un abuso.
 
A volte il motivo esiste, e il proprietario non si trova nei paraggi.
Ma è un discorso che va al di là del topic.
 

 il tutto č stato (come al solito) bellamente messo a tacere
 
Altrimenti che obscurity sarebbe?
 
-- 
Andrea
 

 rispetto al "lo sanno tutti".
 
Il punto è che la "pericolosità totale" non è data dal solo numero di 
accessi ma anche dal contributo malevolo di ognuno di essi.
Per fare un esempio banale pensa agli script che tiravano giù la 
connessione dei modem dialup (obbligatori su IRC per ogni piccolo 
script kiddie degno di tale nome) e invece una backdoor in un sistema 
dei servizi segreti di un paese di cui solo due persone al mondo sono a 
conoscenza (Hacking Team anyone?).
 
Come paragoni le due statistiche e quale dei due scenari credi sia più 
pericoloso?
 
A questo si somma la falsa sicurezza data dalla security through 
obscurity. La pubblicazione di un bug o un exploit forza la mano, 
eventualmente un sistema dev'essere scollegato finché non lo sistemi, 
però a me sembra comunque la strada migliore.
 
-- 
Andrea
 

 però a me sembra comunque la strada migliore.
 
E' sacrosanto divulgare le vulnerabilità affinché vengano corrette, 
anziché cercare di tenerle segrete sperando che non se ne accorga nessuno.
TUTTAVIA, la divulgazione delle vulnerabilità va fatta rispettando tempi 
e procedure, perché se infrangi l'"obscurity" troppo in fretta fai solo 
un favore agli attaccanti.
 
 
 
Nel caso dei bagagli di cui si parlava, l'obscurity ha funzionato per 12 
anni, anche se ora potrà essere violata da chi si procura le master key 
da stampante 3D. Un ladro ben determinato però poteva aprire le valigie 
già in altri modi, se proprio voleva.
  Parliamo infatti di lucchettini per valigie, non di bunker nucleari.
  Se l'alternativa era non poter ispezionare i bagagli in caso di 
emergenze, o sventrare le borse per fare i controlli, o dover usare 
lucchetti dal costo triplo, non so...  forse a scelta delle serrature a 
norma TSA non fu così stupida come viene presentata.
 

 troppo in fretta fai solo un favore agli attaccanti.
 
mi sa che stai facendo un pochino di confusione sul concetto alla base
di "security through obscurity"; non si tratta (solo) di vulnerabilità
al proposito credo che wikipedia sia abbastanza illuminante, ti passo
il link alla versione inglese dato che la pagina in italiano è poco più
di un segnaposto
 
https://en.wikipedia.org/wiki/Security_through_obscurity
 
 
in pratica, nella "STO" il concetto è che la segretezza del design di
qualcosa ne permetta la sicurezza; ossia sino a che i principi in base
ai quali qualcosa funziona vengono tenuti segreti, questo qualcosa sarà
sicuro... idea questa che negli anni si è *sempre* dimostrata errata e
prova ne è il fatto che gli algoritmi crittografici attuali non sono
segreti, anzi, i principi di funzionamento ed il codice sorgente sono
disponibili a chiunque
 
 

 perfettamente legittima.
 
Raggi X ?
 
-- 
 

 Raggi X ?
 
«Alabarda spaziale!»
 
-- 
Andrea
 

 «Alabarda spaziale!»
 
Mmm, forse erano raggi gamma…
 
-- 
Andrea
 

 di "security through obscurity";non si tratta (solo) di vulnerabilità
...
 
E chi l'ha detto che si tratta solo di vulnerabilità? Ma Andrea ha fatto 
l'esempio delle vulnerabilità e su quel punto ho risposto.
Tu hai citato un leak delle credenziali di una backdoor, e su quel punto 
ho risposto.
 

 nah, quello č Hulk :)
none, č jeeg
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 none, è jeeg
 
"Raggi cosmici" invece per i Fantastici 4.
 

 none, č jeeg
 
Sě, per l'alabarda. La mia confusione era dovuta ai raggi gamma che 
invece sono (solo) nella sigla di "mazzinga".
 
 
-- 
Andrea
 

 sono (solo) nella sigla di "mazzinga".
 
 
Che poi, se non ricordo male, i vari Mazzinger, Mazinga Z,
grande Mazinga e Jeeg erano l'evoluzione l'uno dell'altro.
 
Bye, G. 
 
 

 disponibili a chiunque
 
Eh... ma, in questo caso, sono proprio state violate "le chiavi" (in
senso fisico).
Anche con il miglior algoritmo crittografico, se hai la chiave, hai già
finito il lavoro.
 
Qui, l'algoritmo non solo era segreto, ma era anche pessimo, dato che la
chiave era di soli 4 bit (e non serviva nemmeno un bruteforce, dato che,
quale fosse quella corretta, è sempre scritto sulla serratura stessa).
 
Comunque, come (IMHO, giustamente) diceva "edelvis", stiamo parlando di
"lucchettini per valigie"... io, prima di comprare il mio primo
lucchetto TSA, chiudevo quelle da imbarco con una fascettina da
elettricista... non per tenere il contenuto del mio bagaglio al sicuro,
ma giusto per vedere se era stata aperta da qualcuno, autorizzato o no
che fosse (in caso lo sia, lo sai comunque dal foglio che ti lasciano
dentro, il "TSA Notice of Baggage Inspection").
 
Con i lucchettini TSA, se la aprono con delle chiavi contraffatte, non
lo vieni a sapere, finché non ne verifichi il contenuto... ma, se, oltre
al lucchetto, metti anche la fascetta, te ne accorgi (a meno che abbiano
e rimettano le stesse identiche tue fascette).
 
Chiunque la voglia aprire, senza autorizzazione, ha bisogno solo di un
paio di tronchesi... dopodiché, una volta rimosso il lucchetto, lo
butta. E, quando trovi la tua valigia senza lucchetto TSA, che fai?
Mica è scritto da nessuna parte, che il tuo bagaglio viene imbarcato con
un lucchetto TSA. E non è obbligatorio (ma solo "consigliato") imbarcare
i bagagli con le serrature idonee.
 
 
Ciao,
un TJL73 che concorda sul fatto che non sia un lucchetto di sicurezza...
 
-- 
"La risposta è sempre all'interno del problema, non al di fuori."
                                                     -- Marshall McLuhan

 senso fisico).
 
appunto, tutto l'accrocchio funzionava sino a che le chiavi erano
segrete, una volta che le chiavi sono diventate "pubbliche" in breve
l'ennesimo fallimento dell'approccio "STO"
 

 l'ennesimo fallimento dell'approccio "STO"
 
Ripeto: l'obiettivo principale della TSA non era la "blindatura" dei 
lucchettini per bagagli, ma la possibilità di ispezionarli per la 
prevenzione di attentati terrostici. Per questo hanno lasciato delle 
backdoor.

 e rimettano le stesse identiche tue fascette).
[...]
 
Esatto, è più che altro questo il nuovo problema. Un ladro 
professionista in possesso di chiavi contraffatte potrà aprirti il 
bagaglio senza effrezione, a meno che non usi anche una fascetta un 
sigillo o simili. Ma poteva aprirlo anche prima in tanti altri modi, 
nessuno ha mai pensato che le borse fossero "blindate". Ovvero, il 
discorso sulla "security through obscurity" c'entra poco, se non 
volendolo tirar dentro per i capelli.
 

 volendolo tirar dentro per i capelli.
 
Un caso un po' analogo potrebbe essere quello delle serrature delle 
camere d'albergo. E' noto che il personale dell'albergo dispone di 
chiavi universali per accedere a qualsiasi camera, e nessuno si aspetta 
che la porta di una camera d'albergo sia blindata come Fort Knox.
Se domani un ladro rubasse uno di questi passepartout a una cameriera e 
ne facesse copia, potrebbe entrare nelle camere senza neanche dover 
manomettere la serratura. Cosa dimostra questo? Un bel nulla, perché lo 
scopo delle serrature delle camere d'albergo non è la massima 
blindatura. Se hai dei gioielli, semmai, lasciali nelle apposite 
cassette di sicurezza a disposizione dei clienti.