Newsgroup: it.comp.sicurezza.varie
Titolo: Internet tramite cellulare e login

Ciao a tutti, spero che la domanda non sia OT.
Volevo sapere questo: è possibile che i dati di autenticazione ad un 
servizio (tipo una banca) vengano sniffati usando una connessione 
mobile?
Se sì, come evitare il problema?
Grazie.
-- 
Il mio blog: 
http://nekomonogatari.wordpress.com

 connessione mobile ? Se sě, come evitare il problema?
Devi considerare una cosa, e questo indipendentemente dal
"media" usato per la connessione, sia questo un hotspot WiFi
o una connessione cablata di un albergo o comunque una rete
sulla quale non hai alcun controllo.
Se la connessione non č crittata in modo sufficientemente robusto
o se chi stabilisce la connessione ... prosegue anche nel caso in
cui vengano visualizzati messaggi relativi a certificati etc... nulla
vieta di usare un approccio tipo "man in the middle" per riuscire
ad intercettare i dati in transito; tra l'altro, andava (va ?) molto di
moda piazzare degli AP dentro qualche valigia e poi mettersi
(es.) nella sala d'aspetto di un qualche aereoporto aspettando
che il gonzo di turno scambi il nostro AP per una connex aperta
"gentilmente offerta" dall'aereoporto e poi sniffando di brutto
tutto il traffico

 fatto da qualcuno con l'access point nella valigetta?
Senza riscontri, non lo riconosci.
Puoi tentare qualche traceroute, ma non è così facile.
Insomma, entra sempre in vigore l'articolo 2: i sistemi si dividono
in sicuri e insicuri.
Quelli sicuri puoi usarli per veicolare credenziali.
Quelli insicuri non li devi usare come mezzo di trasmissione di una
coppia di credenziali qualsiasi.
Ah, vuoi sapere quale è l'articolo uno?
L'articolo uno distingue e caratterizza i sistemi sicuri.
Quelli sicuri sono quelli di cui TU sai vita, morte e miracoli.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Pensavo che tu dicessi che quelli sicuri sono quelli spenti.
Sono più sicuri, ma molto meno ergonomici.


 sulla quale non hai alcun controllo.
Nel caso di connessione tramite cellulare (sia utilizzandolo come modem 
che come smartphone) i dati dovrebbero essere criptati, giusto?


 Sono più sicuri, ma molto meno ergonomici.
Suvvia, come fermaporte non sono poi tanto male

 la vedo piuttosto dura riuscire a fregarti con un MITM :-D
Oh poi, per carità, se ti capita una come questa 
http://xkcd.com/341/
...
:D

 
Un access-point come fermaporte??????? ;-)
Non so i tuoi, i miei non tengono fermo nemmeno un foglio A4, se
solo spira una brezza marzolina.


 Un access-point come fermaporte??????? ;-)
No mi riferivo al computer spento; l'access point al massimo
lo puoi usare come fermacarte

phishing, è il certificato di protezione che è diverso, ma chi controlla?
Esatto.
http://www.wolfstep.cc/2011/06/i-polli-attraversano-sempre-la-strada.html
https://addons.mozilla.org/en-US/firefox/addon/certificate-patrol/
https://addons.mozilla.org/en-US/firefox/addon/sslguard/
e soprattutto
http://www.clker.com/cliparts/4/4/1/a/1195429270821624493molumen_multicolor_power_buttons_4.svg.med.png
Leonardo
-- 
Surstangas via akcipitr', la ceval' fojnumas nur:
Jen vigla damo en brakum', kaj vi pensas pri forkur'?
Do li turnis sin, kaj turnis sin, kaj ekdormis sen singard';
Kaj lin apudis je l' vekigx, soldatoj kaj Barnard'.

 
https://addons.mozilla.org/en-US/firefox/addon/sslguard/
Hm... "perspectives" (
http://www.networknotary.org/
) no ?

> 
https://addons.mozilla.org/en-US/firefox/addon/sslguard/

Ho due obiezioni dovute magari alla mia superficialità :-)
Uno: inviare la history della mia navigazione sicura ad un notary server
perché me la convalidi... mi sta fatica, diciamo.
	All notary servers adhere to a strict policy of never
	recording client IP addresses, period. We are from the
	government, and are here to help you.
Due: dato che non mi posso fidare delle connessioni sicure, perspectives
mi suggerisce di creare una connessione sicura con il loro server... non
so, c'e' qualcosa che architetturalmente mi sconfinfera poco. Vero è che
l'academic paper (caso Lclient, "...meaning that notary responses cannot
be spoofed") prevede la possibilità, ma così a cazzotto mi sembra che il
livello di protezione sia paragonabile.
Tutto cio' ovviamente dal MIO personale punto di vista, eh.


 mi sconfinfera poco.
Uh... hai ragione su entrambi i punti... la è che... stavo guardandomi
quegli add-on che hai suggerito e son capitato sopra a quel
"perspectives"
e facendo un controllo mooooooolto rapido non mi era sembrato
proprio malaccio... ma... si, in effetti non "quaglia" :)