Newsgroup: it.comp.sicurezza.varie
Titolo: Alternativa a Skype

Dopo aver letto questo articolo, mi č passata la voglia di installare
Skype.
http://www.andreabeggi.net/2005/07/10/skype-architettura-e-sicurezza/
Una valida alternativa, per l'audio soltanto, sembra essere Gizmo.
Purtroppo ho bisogno della videoconferenza, per cui non so cosa
installare.
Conoscete qualcosa che sia piů sicuro di Skype?
Grazie!
--
Bye, Yorgos
To send me an e-mail, please change antzhůya with alice

 Skype.
Perché? Non mi pare che l'articolo (che fra l'altro è scritto molto bene)
metta in luce particolari problemi.
-- 
emboliaschizoide.splinder.com

metta in luce particolari problemi.
Uno a caso:
"In realtà, Skype rifiuta di fornire particolari riguardanti la
gestione delle chiavi, il sistema di autenticazione e il modo di
implementare la crittografia, quindi è possibile che il traffico sia
criptato ma non sicuro. Ad esempio, se le chiavi fossero memorizzate
sul computer, ci potrebbe essere un modo per recuperarle e
compromettere la sicurezza."
Ma ci sono altri punti, che a un NON esperto come me creano
preoccupazioni.
Ecco perché cerco un parere qui.
--
Bye, Yorgos
To send me an e-mail, please change antzhùya with alice

 Ecco perché cerco un parere qui.
se parti dal presupposto che la sicurezza _assoluta_ è un parametro 
inesistente (e non solo nel campo dell'informatica !!) allora dovremmo 
dare retta a quello che diceva il prof. eugene spafford
[cito on]
l'unico computer sicuro è privo di alimentazione, affogato in una bara 
di cemento, chiuso in un caveau sotteraneo, blindato e sorvegliato da 
guardie armate h24 e anche in quel caso avrei seri dubbi..
[cito off]
diversamente mi sembra che l'articolo ponga la questione su alcuni 
parametri importanti.. infatti fra i primi aspetti cita testualmente il 
fatto che skype venga fatto girare su pc 'sicurizzati' (consentitemi il 
termine) e di conseguenza questo pone il problema non tanto a carico di 
skype quanto a carico dell'utente.. d'altro canto lo stesso principio 
applicabile a skype e applicabile ancora di più ai vari messenger/irc 
client ma anche agli stessi browser e mail client )per non parlare dei 
programmi p2p)...
imho ritengo che skype (come msn, icq, mirc, ecc.) possano essere 
utilizzati con un buon margine di tranquillità a patto di avere un 
comportamento prudente nell'uso del mouse e della tastiera e utilizzando 
con coscienza alcuni programmi per la sicurezza 'di base' (antivirus, 
personal fw, anti spyware/malware, etc.)... non guasterebbe inoltre dare 
ogni tanto un'occhiata ai ng che si occupano di sicurezza e ai vari siti 
che diffondono informazioni al riguardo (a memoria mi vengono in mente 
punto informatico e 
sikurezza.org
 ma ne esistono a centinaia).. e magari 
anche l'uso di alcuni programmi cosiddetti 'asusiliari' (es.: process 
explorer e tcpview tanto per dire).
ciao, markus


 imho ritengo che skype
A me un programma che occupa quantità non indifferenti di banda (perchè è
un p2p, ricordiamolo) e di cpu, i cui programmatori si sono preoccupati
soprattutto di rendere decisamente arduo il disassemblamento, tralasciando
*magari* di impegnarsi su altro e il cui funzionamento è tutto sommato ben
poco documentato non mi lascia proprio tranquillo.

 Conoscete qualcosa che sia più sicuro di Skype?
asterisk, e il protocollo SIP in generale

 wrote:

Quoto abbestia.
-- 
Salva saluti da:
echo 40959219681464777729187986074393988395592896740592906P | dc

 poco documentato non mi lascia proprio tranquillo.
quoto ma l'alternativa allora quale sarebbe ?

 poco documentato non mi lascia proprio tranquillo.
Senza contare che gli sviluppatori di skype sono gli stessi di kazaa, il p2p 
più svaccato della storia....altro motivo per non essere tranquilli.
Detto questo, skype ha il grande merito di avere sdoganato il voip al grande 
pubblico cosa che non è riuscita nemmeno a Microsoft con il suo neetmeting e 
ils servers, nonostante sia partita 10 anni prima....ma forse non era 
interessata più di tanto alla cosa.
Ciao,
         Tosh. 

 poco documentato non mi lascia proprio tranquillo.
Qui c'è un documento molto interessante che riassume questi argomenti:
http://www.secdev.org/conf/skype_BHEU06.handout.pdf
Due commenti:
-Il fatto che abbiano impiegato tecniche antidebugging piuttosto
sofisticate non vuol dire che non abbiano curato il resto, non c'è alcuna
relazione fra le due cose;
-Probabilmente è vero che l'offuscamento del protocollo è stato sviluppato
soprattutto per rendere la vita più difficile ai sysadmin (e non per la
privacy o per combattere le censure), più in particolare per evitare che i
sysadmin fossero in grado di filtrare le comunicazioni Skype con semplici
regole del firewall o con semplici algoritmi di analisi dei pacchetti. Su
quanto questo sia etico oppure no, ognuno tragga le sue conclusioni;
personalmente ritengo che alla luce di quanto si sa già su Skype, se si
mantiene l'antivirus aggiornato esso è sicuramente meno pericoloso di
Internet Explorer, che eppure viene utilizzato massicciamente in ambito
aziendale.
P.S. A proposito, la notizia di questa estate secondo la quale avrebbero
aperto il protocollo di Skype, era poi una bufala oppure no?
-- 
emboliaschizoide.splinder.com

 wrote:
Ringrazio tutti gli intervenuti per i consigli.
Per il momento ho deciso di soprassedere, non appena uscira un sw
OpenSource probabilmente ritenterò.


 OpenSource probabilmente ritenterň.
C'č, te l'ho detto, il protocollo SIP č fatto apposta.

 asterisk, e il protocollo SIP in generale
asterisk č un prodotto, non un servizio ( inteso come "servizio a utente
finale"), SIP č un protocollo per la gestione di sessioni ( utilizzato
spesso in servizi VoIP,ma non specifico di tali servizi );immagino che
la domanda si riferisce ad alternative di voip service provider
Tral'altro, sotto quale aspetto "asterisk e sip in generale" sono piů
sicuri di Skype?
Stefano

C'č, te l'ho detto, il protocollo SIP č fatto apposta.
Per capire: SIP č un protocollo, io cerco un programma.
O c'č qualcosa di diverso?
--
Bye, Yorgos
To send me an e-mail, please change antzhůya with alice


Perchè rispettano degli standard, perchè nei prodotti sip puoi decidere tu 
se cifrare il traffico e quando lo fai utilizzi protocolli come ssl, la cui 
sicurezza è nota e testata, oltre che essere di nuovo protocolli standard.
A prescindere dal fatto che sia opensource o meno, un prodotto che ti 
permette di far circolare il traffico in chiaro permette anche al tuo 
antivirus o "antiqualcosaltro" di analizzare cosa passa, skype non ti da 
questa possibilità (come fai a sapere se ci stanno passando le tue password 
o i numeri delle tue sicuramente numerose carte di credito o i numeri di 
telefono delle tue 10 amanti?), in più non è dato sapere se il meccanismo di 
sicurezza è degno ti tale nome ed essendo questo proprietario i dubbi mi 
sembrano più che legittimi.
Come vedi skype è potenzialmente MOLTO pericoloso, il che non vuol dire che 
debba esserlo per forza, ciò mi sembra obiettivamente ancora da provare, a 
te decidere se il gioco vale la candela.
Ciao,
        Tosh. 

 te decidere se il gioco vale la candela.
Potenzialmente qualsiasi software è MOLTO pericoloso;è da capire se
esistono motivi per cui il "molto" può essere considerato "più di".
Per come la vedo io, l'unico motivo obiettivo per cui si può affermare
il "più di" è intrinseco alla sua architettura e non alla sua
implementazione: il dubbio rimane sul fatto che i miei dati,a
prescindere da come vengono cifrati, vanno in giro per altri computer di
"perfetti sconosciuti", aumentando l'esposizione di eventuali
intercettazioni.Come si dice in questi casi, è l'altro lato della
medaglia: da una parte un sistema altamente scalabile ( dimostrato dal
fatto che con milioni di utenti non ci sono disservizi di sorta )
dall'altra l'"insicurezza" che, sebbene cifrati e allo stato dei fatti
attualmente in modo sicuro , i tuoi dati ( del servizio Skype ) girano
anche per altri computer di cui è totalmente sconosciuto l'utente	.
Stefano

 aziendale.
Non e' proprio vero, IMHO. 
Uno skype connesso inserisce la macchina su cui viene eseguito in una rete
di milioni di computer interconnessi in una sorta di rete overlay, gestita
e unita dallo stesso software. Un'eventuale vulnerabilita' consentirebbe a
un worm di diffondersi con una velocita' enormemente superiore a quella di
altri modelli di diffusione, come possono essere quelli di una vuln di ie.
Il protocollo cifrato renderebbe arduo, se non impossibile, riconoscere la
segnatura d'eventuali attacchi che sfruttassero questa vulnerabilita' o un
eventuale "comportamento anomalo", impedendo l'intervento mitigante di ips
o analoghi sistemi.
Cassand^WFabio

 implementato.
No, e' solo troppo presto.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Per capire: SIP č un protocollo, io cerco un programma.
No, tu non cerchi.
http://justfuckinggoogleit.com/search?q=SIP+Program+gpl
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 utilizzati e come sono implementati, 
No, viene detto 
http://www.skype.com/help/faq/privacy.html
, ma non
essendoci i sorgenti...

No, tu non cerchi.
Non dire scemenze.
Se non trovo qualcosa che mi convince in rete, cosa faccio, mi astengo
dal chiedere su un NG perché esisti tu?
--
Bye, Yorgos
To send me an e-mail, please change antzhùya with alice

 O c'č qualcosa di diverso?
L'idea č che una volta scelto il protocollo non sei legato a un particolare
client, come succede invece con skype. Se ti piace X-Lite lo usi,
altrimenti ti cerchi un altro client che supporti il protocollo.O ancora
compri un (video) telefono, ecc.

altrimenti ti cerchi un altro client che supporti il protocollo.
Ok, adesso è più chiaro per me.
Approfondirò sul sito 
ivoice.it
.
Grazie mille!
--
Bye, Yorgos
To send me an e-mail, please change antzhùya with alice

 No, e' solo troppo presto.
Può essere, ma attualmente credo si passa considerare sicuro.
Stefano

Fabrizio ha scritto:

Questo è il classico "problema" della controversia "open" vs
"closed",anche se "lo stato dei fatti" pare che non dia motivo di
dubitare che vengono usati realmente tali algoritmi.
Stefano

 Cassand^WFabio
LOL, quanto hai ragione...


Ma come fai a dirlo!!!!!!
Solo perchè nessun crittanalista ha tempo da perdere per aprire un sistema 
che non fa altro che veicolare i gargarismi di milioni di poveracci lo credi 
sicuro?
O credi che Bush discuta delle strategie con Blair via skype?
E cosa mi dici del fatto che skype potrebbe avere nel suo archivio dati 
riservati e abitudini di milioni di utenti, o peggio ancora avere la 
possibilità di fare dei danni sul tuo computer?
Come fai a essere sicuro che ciò non succeda visto che il codice è offuscato 
e le transazioni pure?
Quando permetteranno agli utenti di SCEGLIERE se crittare il traffico 
cominceremo a parlarne, ad oggi non lo installo e non consiglio a nessuno di 
installarlo.
Ciao,
         Tosh 

 Può essere, ma attualmente credo si passa considerare sicuro.
Diciamo che attualmente non hanno ancora scoperto nessuno che
abbia dimostrato di riuscirci.
Cio' non elimina la possibilita' che al mondo ci siano alcune
persone, decine, o migliaia, che in realta' lo fanno.
E se la loro implementazione fosse leggermente bugged?
Come lo possiamo sapere?



AES non ha sicuramente bisogno di commenti, il fatto è che se non è 
accompagnato da un sistema serio di generazione e gestione delle chiavi 
serve a ben poco.
Leggo che si citano dei certificati, ma non mi sembra si dica da nessuna 
parte se sono standard X509, chi li genera, dove sono memorizzati nel pc, se 
sono esportabili, come sono utilizzati, ecc...
Ma tutto ciò mi preoccupa abbastanza poco, sono molto più preoccupato della 
potenziale possibilità dell'applicazione di fare ogni sorta di nefandezza 
una volta installata, visto che non è possibile nemmeno analizzare il 
traffico che genera e riceve.
Io personalmente lo installerò solo quando potrò decidere autonomamente se 
crittare o meno la voce e soprattutto quando sarò certo che verrà crittata 
SOLO la voce.
Ciao,
        Tosh. 

 SOLO la voce.
Cioe', MAI.



Pessimistone!!!

 
Tu sei convinto che skype pubblichera' i sorgenti?
Io no.


 installarlo.
Posso comprendere e condividere il senso, ti faccio però notare che stai
usando un OS di cui non hai i sorgenti e di cui non sai cosa/con/dove
comunica quando ti appresti a fare un update.
Se c'è da scegliere, io andrei a scegliere dalla base.. :)
Stefano

 più inutile al più preciso.
finche' non ci sono i sorgenti, hai voglia ad analizzare...
-- 
Linux 2.4.27 vanilla- #2 SMP Two 2,79GHz Intel(R) Pentium(R)
 4 CPU 2.80GHz Processors, 511M RAM 11153,00 Bogomips Total 
 

 questo si è scritto e si può scrivere tutto e il suo contrario.
Si può scrivere solo una cosa: se il prodotto è open-source la sua
sicurezza può essere *verificata*, se è closed ci si può solo fidare.
E questo a prescindere da chi sia a produrre il software e di che
software si tratti.



Lascio i commenti sulla bontà di windows ad altri, io mi limito a farti 
presente che in teoria windows update e i vari altri componenti di windows 
trasmettono in chiaro, quindi un buon personal firewall o personal 
quelchevuoi è in grado di rilevare se bill gates ti sta fottendo i numeri di 
carte di credito.
Ma anche se così non fosse, accetto ovviamente smentite, non mi sembra 
proprio un buon motivo per giustificare le porcherie di altri, se non altro 
di windows sembra sia difficile farne a meno, di skype non penso.
Ciao,
         Tosh. 


I sorgenti non penso proprio, anche perchè probabilmente punta a farsi 
comprare da Microsoft o da qualche altro colosso interessato al mercato 
voip, che non comprano certo programmi "cabrio", ma sono abbastanza certo 
che dovrà almeno adeguarsi agli standard.

 SOLO la voce.
Se non hai i sorgenti, non sarai MAI certo che critta SOLO la voce,
pertanto, non lo installerai MAI.


 di windows sembra sia difficile farne a meno, di skype non penso.
Parti dal presupposto che Skype è una porcheria.Parere che posso
condividere sotto l'aspetto di interrompibilità, ma tecnicamente "cosi
com'è" difficilmente lo si può dire,nel bene o nel male, fintanto che la
"porcheria" è supposta e non dimostrata.
Stefano

 Skype server at login using 1536 or 2048-bit RSA certificates.
Navigando nel sito,scropro pure un interessante analisi riguardo
l'aspetto sicurezza e sistemi di crittografia implementato da Skype.Per
chi fosse interessato:
http://www.skype.com/security/files/2005-031%20security%20evaluation.pdf
Stefano

 -- 
Già.
Però si può raggiungere una "ragionevole" sicurezza anche senza i sorgenti i 
quali, resta inteso, rimangono la migliore garanzia di sicurezza.
se tutto il traffico fosse pienamente conforme a rfc...
se i server fossero gestiti da terze parti...
se io potessi scegliere a quali server collegarmi...
....mi sentirei ragionevolmente sicuro anche senza i sorgenti.
Ma forse a quel punto non servirebbe nemmeno tenere segreti i sorgenti....mi 
sa che mi sto incartando :-)


Fai una cosa, presentati in luglio alla malpensa all'imbarco verso Los 
Angeles con cappotto, stivali pesanti, occhiali scuri e una 24ore in mano, 
te la spiegano le guardie la differenza tra un terrorista supposto e uno 
dimostrato. 


Se vuoi divertirti a leggere documenti e commenti sulla sicurezza di skype 
basta che dai in pasto a google le parole magiche "skype security", 
scoprirai che quello è l'unico "allineato", non a caso lo trovi nel sito 
ufficiale.
Ce ne è anche uno che suggerisce una vera alternativa, basata sul protocollo 
sip che sarà lo standard della voce (anche quella di casa) nei prossimi 
anni, si chiama gizmo. 

 dimostrato. 
Scusa, ma il discorso non regge molto; stiamo parlando di un campo in
cui si può affermare *QUANDO* e *COME*: l'informatica è una scienza, e
come tale rispetta le regole del metodo scientifico.
Stefano

 Però si può raggiungere una "ragionevole" sicurezza anche senza i sorgenti i 
Ragionevole?
Sei stato tu ad usare MAI per la prima volta, e adesso ritratti? ;-)
Non esiste ragionevole sicurezza se non hai i sorgenti.
Diventa un atto di fede.
Ti fidi di skype? OK, usalo e dai per buone le loro affermazioni.[*]
Non ti fidi di nessuno? Allora usa solo roba open source.
[*] Ricordati dell'oste.


> Non ti fidi di nessuno? Allora usa solo roba open source.
Lo so, ma la vita è fatta anche di compromessi, diciamo che vorrei non 
fidarmi di nessuno. 


Forse ti sfugge che con la cifratura avverbi del tipo "quando, dove, come, 
cosa" sono un'esclusiva di chi detiene le chiavi, che con skype non sei tu, 
mentre il computer si, quello è tuo.

 "porcheria" è supposta e non dimostrata.
E' una porcheria fintanto che non è dimostrabile il contrario. Se si
parla di sicurezza bisogna partire dall'ipotesi che ciò che si utilizza
NON sia sicuro, e solo dopo aver dimostrato il contrario si può fidarsi.


 NON sia sicuro, e solo dopo aver dimostrato il contrario si può fidarsi.
Paragonandolo alla società, una persona (/ un software)è colpevole (/
una porchieria) fintanto che non dimostra la sua innocenza. (/di non
esserlo).
Vero,partenza paranoica che condivido.
Ora mi domando: come si può dimostrare che un prodotto di cui non si
dipone il codice non sia una porcheria? :)
Stefano

 dipone il codice non sia una porcheria? :)
Non si può. Ma si può fare un atto di fede se perlomeno si hanno a
disposizione tutte le specifiche dei protocolli utilizzati e se è
possibile creare software interoperabili.
Nel caso di Skype è un salto nel buio perché non c'è NULLA di
documentazione.


 documentazione.
L'homepage spiega quali protocolli vengono usati (per quanto riguarda
l'aspetto "security"), mettendo a disposizione pure un analisi.La
questione rimane sulla fiducia ( e quindi sull'atto di fede )
Stefano

 questione rimane sulla fiducia ( e quindi sull'atto di fede )
No. L'homepage dice che viene usato AES, bla bla, ecc.ecc.
Definire il protocollo in TUTTE le sue parti è una cosa diversa dalla
brochure commerciale che loro mostrano sul sito.


 brochure commerciale che loro mostrano sul sito.
http://www.skype.com/security/files/2005-031%20security%20evaluation.pdf
Stefano


Forse non hai capito bene.
a) L'oste non dirà mai che il vino è cattivo.
b) Chi ha condotto l'analisi ha fatto un lavoro senza codice né
specifiche, quindi basato solo su una parte di ciò che è Skype
c) Quella è una brochure
Alcuni esempi:
Già il fatto che la chiave della CA sia in mano a quelli di Skype
costituisce un potenziale problema: nulla vieta loro di crearsi un
certificato valido per spoofare la *mia* identità.
"It is infeasible for an attacker to spoof a Skype identity at or below
the session layer. (I have not examined any higher layer code)."
                    ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Che si può fare ai livelli superiori? Tu lo sai?
"Skype uses a proprietary session-establishment protocol."
              ^^^^^^^^^^^                       ^^^^^^^^
Che motivo c'è di lasciarlo proprietario? Chi garantisce che quel che
c'è scritto dopo sia vero?
"I analyzed this protocol, and found that it achieves its cryptographic
aims. Further, I explored the strength of the protocol against a range
of well-known attacks,"
Perché quindi non viene descritto accuratamente il protocollo?
"Beyond errors in the cryptosystem, I have also looked for back doors,
Trojans, overreaching “debugging” facilities, etc. I did not find any
hints of malware in the portions of the Skype code I reviewed."
                 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Quindi non in tutto ma solo in ciò che ha revisionato, disassemblato,
debuggato, sniffato, in una versione di più di un anno fa.
"This report represents a four-month evaluation. A longer evaluation
effort might uncover problems not yet seen. The Version 1.3 code base
was evaluated. The code base continues to evolve beyond that snapshot."
Ecco che infatti lo dice anche lui.
Chiunque si lasci convincere da queste "prove" è meglio che lasci
perdere la questione sicurezza. Si fidi e punto.



Mi facevo degli scrupoli a fare dei commenti su quel documento, ma visto che 
hai cominciato tu, calchiamo un po' la dose.
Partiamo con il dire che nelle prime righe, forse per giustificare quello 
che scriverà dopo (o per mettere in guardia i lettori, chissà) ammette 
candidamente di essere stato pagato da skype stessa, addirittura a seguito 
di una specie di bando.
La cosa più carina di tutte però è la giustificazione che dà al meccanismo 
proprietario di generazione delle chiavi, che secondo lui garantisce 
equipotenzialità, usa proprio quel termine, perchè ciascun peer genera una 
metà esatta dell'intera chiave....ora anche un bambino capisce che ciò non 
porta nessun vantaggio, nemmeno quello di aumentare l'entropia visto che i 
due motori sono uguali.
E' evidente come quel documento cerchi solamente di far passare le scelte 
commerciali di skype per servizi di sicurezza per l'utente.
Ciao,
        Tosh. 

 security-related della Cisco..Saranno felici di saperlo :)
Si può consigliare loro di passare ad appliance linux o bsd based, in
effetti. :-D

botnet di tutti i tempi e non averne cosienza.
Potrebbero rivendere i tuoi cicli di CPU, per esempio.
Leonardo
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.