Newsgroup: it.comp.sicurezza.varie
Titolo: bypassare key logger

Salve,
premetto che sto lavorando ad un progetto presso la sede di un cliente e che 
ho accettato restrizioni particolari riguardo la mia sicurezza descritte in 
un contratto in cui mi si informava, tra le altre cose, che la stazione di 
lavoro messa a disposizione dal reparto IT del cliente ha un sistema di 
profilazione, monitoraggio e accounting, keylogger HW/SW e altri armenicoli 
invadenti del genere.
 
Chi si occupa di sicurezza nel reparto IT del cliente può effettuare (ed 
DEVE farlo) monitoraggi ed audit (ispezioni) periodiche senza preavviso.
 
Sono in grado di contare quanti click ho fatto col mouse e su quale 
finestra, quali applicazioni uso, per quanto e come durante la giornata - 
non solo, qualsiasi cosa che digito viene registrata nei keylogger e chissà 
dove.
 
Aggiungo che Sono al piano -1, credo proprio per evitare che si possa 
utilizzare liberamente una connessione dati cellulare in quell'ambiente.
 
Il problema è che vorrei utilizzare la mia posta personale e il mio home 
banking in sicurezza per cui ho pensato di crearmi una VM con sopra Ubuntu 
da far girare sulla loro macchina fisica, la VM la userei solo per navigare 
per le cose che ho detto ma ho un dubbio per evitare il key logger, io farei 
così:
 
Uso prima la VM a casa e memorizzo tutte le credenziali nel browser in modo 
da non doverle ridigitare, nel caso in cui debba reinserirle per forza, 
intendo una volta portata la VM dal cliente, utilizzerei la tastiera 
software a video (qulla per i diversamenti abili per intenderci) in modo da 
non dover immettere con la tastiera fisica le password.
 
Che ne dite può funzionare ?
 
P.S:
Sono amministratore locale della macchina
 
P.P.S:
Scusate ma lavorare 6h senza Internet, e-mail e cellulare è limitante al 
giorno d'oggi.
 
 
 
 

giorno d'oggi.
 
Ti capisco anche troppo bene :-D
 
Fai cosi': procurati un portatilino tipo eeePC. Ogni due ore, tu hai
diritto a una pausa di quindici minuti. La legge ti dice che in quei
15 minuti "dovresti" rilassarti e non guardare monitor: pero', darti
la pausa e' un DOVERE LEGALE, non usare il portatilino è soltanto un
consiglio: una volta che loro tutelano la tua salute se tu decidi di
sputtanartela sono fatti tuoi :-)
 
Se fai un regolare checkout dall'area di sicurezza, e ti allontani e
vai in un punto dove c'e' campo e li' accendi un portatilino che non
e' collegato alla rete locale, nessuno puo' dirti nulla [1]. Spiega,
prima, cosa intendi fare, perche', e come intendi farlo [2].
 
Nei primi tempi, il tizio con la mitraglietta alle spalle mi dava un
certo fastidio, ma a tutto ci si abitua.
 
(Your mileage may vary).
 
Leonardo
 
[1] E, benche' IN TEORIA portarsi il portatilino nell'area rossa sia
    una Cosa Molto Cattiva (TM), se trovi dei responsabili umani, ci
    sta che ti lascino scaricare la posta all'esterno, entrare, e se
    magari le macchine sono ferme perche' devono riallineare tutti i
    sistemi di storage, basta che tu sia lì disponibile nel caso che
    succedano casini. A patto che tu sia disposto a chiudere l'eeePC
    all'istante quando c'e' bisogno, potrebbero lasciarti leggere (e
    rispondere) alla posta quando NON c'e' bisogno. Per inviarla poi
    aspetterai la pausa successiva.
 
    Mi raccomando mi raccomando mi raccomando - NON FARE NIENTE ALLE
    SPALLE DEI SYSADMIN. Mai. Se il pensiero ti frulla per la testa,
    tira un paio di craniate contro il muro finche' ti passa. Quello
    di *cercare* di far fessi i sysadmin DI UNA ZONA DI SICUREZZA e'
    il vero verso per infilare il culo non nelle classiche pedate ma
    direttamente nel tritacarne gigante.
 
    Pensa come reagiresti *TU*, se io mi dimostrassi una persona per
    bene, e portassi risultati, e ti facessi una richiesta del tutto
    ragionevole; e come reagiresti invece se cercassi di farti fesso
    alle spalle.
 
[2] Magari ti dicono "Ah, sì, avevamo lo stesso problema. Laggiù, in
    quella stanza, c'e' un terminale non monitorato, non connesso ai
    sistemi locali, senza porte USB. Se vuole salvare dei dati, deve
    usare il masterizzatore, che è chiuso a chiave e la chiave ce l'
    ha il Security Officer. Ma se le basta email e home banking, non
    ci sono problemi!" (BTDTGTTS)
 
-- 
Tell us whether you spy, in the light of the morn,
what saluted was fiercely at the fall of the past day:
whose pips and whose bands in the very heart of the fray
bravely floated from the bulwarks to which we were sworn?


 
È inquietante leggere una frase del genere. 
In buona sostanza, direi che hai sviluppato una sorta di
tossicodipendenza.
 
Personalmente vedo solo due soluzioni accettabili.
 
1) Lasci il lavoro per cercarne un altro che ti permetta formalmente di
coltivare la tua dipendenza.
 
2) Lavori su te stesso per superare la tua dipendenza ed accettare che si
può vivere per 6 ore sconnessi dal mondo, come fanno quotidianamente altri
ennemila lavoratori (piloti di aerei, marinai di navi, chirurghi in sala
operatoria, insegnanti di scuola elementare, guide alpine, camerieri
d'albergo, operai alla catena di montaggio, fotografi di ogni sorta,
ciclisti professionisti, eccetera, eccetera, eccetera).
 
Qualsiasi altra soluzione, almeno tra quelle da te proposte, è una
violazione del contratto da te consapevolmente firmato. E non una
violazione su qualcosa che era sottointeso, dato per scontato, ma proprio
una violazione che riguarda un punto centrale, cruciale ed ampiamente
sottolineato. E a nulla vale invocare il fatto che la tua eventuale
violazione non abbia connessione con l'attività dell'azienda ma sia solo
relativa alla tua sfera personale e privata.
 
Se metterai in pratica i tuoi propositi, direi che ci sono buone
probabilità che il tutto si risolverà per te con "Grosso Strazio"

    ci sono problemi!" (BTDTGTTS)
 
Infatti mi hanno fatto capire esplicitamente che se voglio usare l'home 
banking o gmail non c'è problema, "i file system locali sono criptati etc 
etc" e quindi di non preoccuparmi.
Naturalmente non potevo rispondere:
"Non ho nessuna garanzia che nella Vs. azienda non ci sia una persona con 
accesso ai dati provenienti dai keylogger che possa raccoglierli e fra 
chissà quando scappare dopo essersi fatto un bonifico in Brasile"
 
Grazie 
 
 

 relativa alla tua sfera personale e privata.
 
scusa ma andare su gmail dalla macchina fisica o andarci dalla VM cosa 
cambia ?
 
 

 i danni.
 
questa sarebbe una merda colossale da gestire 
 
 

     direttamente nel tritacarne gigante.
 
Da stampare in corpo 120 e appendere al muro della cameretta dell'OP.
 
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net
 

 cambia ?
 
A parte che prima non avevi detto che puoi usare gmail dalla macchina
fisica.... inoltre, c'entra: loro vogliono sapere quello che tu fai. Se tu
non glielo vuoi far sapere, semplicemente devi rinunciare a farlo,
qualunque cosa sia. Se cerchi di farlo ingannandoli, secondo me passi
dalla parte del torto.
 
In ogni caso, non avevo intenzione di fare polemiche ma volevo solo
invitarti a fare una riflessione sul senso della vita, dell'universo e di
tutto quanto...
 

 tutto quanto...
 
42
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 chissà quando scappare dopo essersi fatto un bonifico in Brasile"
 
Il che vuol dire che non gestisci con adeguato scrupolo il tuo internet
banking cambiando frequentemente la password.
 
Ormai tutti i conti correnti bancari garantiscono la sicurezza con un
token o con un pin aggiuntivo, 
p.es
. via SMS, quindi con la sola
password non ci fai nulla di dispositivo.
 
Se il problema è che non ti fidi di quanto va scritto nei keylogger puoi
ugualmente utilizzare la tastiera a video anche sul PC standard e poi
basta che modifichi frequentemente la password dei servizi, anche ogni
sera se necessario.
 
E se vuoi passare ancora più inosservato basta che all'Internet Banking
accedi mediante bookmark (così le tracce non ci sono nel keylogger),
l'utente lo inserisci da tastiera video in modo che sia difficilmente
identificabile, mentre come password scegli una password che sia
facilmente "annegabile" nel tuo lavoro.
 
Se navighi spesso per esempio puoi usare come password un URL come
"
www.google.it/search?q=temporeggiare
", se programmi in C puoi mettere
uno spezzone di codice come "char audio=strcpy(safe, unsafe);", se
scrivi manuali puoi mettere frasi di senso compiuto come "L'utente
avvierà l'interfaccia"...
Ovviamente dovrai prima aprire la pagina web, poi inserire l'utente, poi
passare ad altra applicazione iniziando un nuovo lavoro che possa
confondersi con la password, poi inserire la password e confermare,
quindi tornare a completare il lavoro esterno, completando la ricerca o
il pezzo di C o la frase da manuale. In questo modo chi vede il
keylogger non ha informazioni sufficienti, così come non le ha chi
consulta i log dei movimenti del mouse e delle applicazioni, e non le ha
chi ha i log di navigazione.
Ma anche unendo tutti e tre i log a meno che non abbia di fronte la CIA
la possibilità di ottenere informazioni utilizzabili è infinitesima.
 
E se cambi la password settimanalmente ed hai un pin aggiuntivo, non v'è
praticamente alcun pericolo di associato alla presenza dei controlli.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

chissà quando scappare dopo essersi fatto un bonifico in Brasile"
 
:-)
 
Leonardo


> Non credo - si tratta di un'azienda controllata da Finmeccanica.
 
Sono solo un lurker di icsv per cui non ho nessuna competenza reale per 
aiutarti, piuttosto a Report sui Rai 3 si parlava proprio di Selex / ENAV, 
c'è qualche gossip interessante da dietro le quinte ? 
 
 

 c'è qualche gossip interessante da dietro le quinte ?
 
Bo... io ti posso dire che, IMHO, il bilancio del ministero della difesa è 
un buco nero per ovvi motivi, da qui le aziende fornitrici possono fare 
affare d'oro / platino =) 
 
 

 banking?
 
Ogni lavoro ha i suoi pro e contro, di certo un commesso o una barista non 
devono pensare alla progettazione di un sistema informativo, a svilupparlo, 
collaudarlo, certificarlo secondo il piano di progetto (con risorse sempre 
più scarse, mantenendo standard qualitativi elevati, volendo ottenere ottima 
soddisfazione del cliente etc. etc.).
 
Un barista al massimo sbaglia a fare una lavastoviglie, o fa due caffè in 
più - rischi minimo insomma =)
 
Io sono uno di quelli che il lavoro se lo porta a casa perchè mi frulla in 
testa... di questo nessuno ne parla mai però  ! 
 
 

 tutto quanto...
 
Il senso della vita non è sicuramente stare qui a discutere con te...