Newsgroup: it.comp.sicurezza.varie
Titolo: Metodi di furto password avanzati?

Ciao,
 
Ho delle domande riguardo il furto di password.
Quando si inserisce una password su un sito, ammettendo che il sito ï¿œ 
sicuro (niente phishing), e che il proprio computer non sia compromesso 
da keylogger, e ammettendo anche che la rete domestica/locale non sia 
compromessa (da sniffer?), ci sono altri modi che possono usare 
malintenzionati per intercettare la password immessa?
Escludo anche metodi di ingegneria sociale (farsi dire la password 
direttamente dalla vittima).
 
Ad esempio qualcuno potrebbe avere accesso ad un server su cui potrebbe 
transitare la password, e intercettarla?
Altro esempio, qualcuno potrebbe inserirsi fisicamente in mezzo ad un 
cavo che trasmette traffico internet, e leggere i dati che transitano?
Altro?
 
Si tratterebbe comunque di metodi poco diffusi, rispetto alle "normali" 
tecniche (come quelle che ho elencato all'inizio)?
Immagino che i due metodi che ho indicato, se esistono, sarebbero 
praticabili solo da pochi.
 
Grazie.
 
-- 
Thomas B
(Newsgroup)

 praticabili solo da pochi.
 
 
Mah. Di poisoning ce n'ï¿œ in giro un bel po', da anni..
 

 andare da lui.
 
oppure c'è sempre il classico "PEBKAC"
 
http://xkcd.com/792/
 
 
:D
 

 da lui.
 
Se ho capito bene il poisoning ï¿œ un'evoluzione del phishing, e consiste 
nel dirottare un visitatore su una pagina "finta", che ha perï¿œ lo stesso 
identico indirizzo della pagina originale (diversamente dal classico 
phishing).
Giusto? Tutti i tipi di poisoning (DNS, BGP, e altro) fanno 
essenzialmente questo?
 
Riguardo le intercettazioni direttamente sul server, senza fare uso di 
poisoning, vorrei sapere se ï¿œ corretto il seguente:
Per rubare password in questo modo, ï¿œ necessario che venga installato su 
un server un malware che tenga un log delle password ed altri dati in 
transito. Questo potrebbe essere fatto da un malintenzionato su un 
server legale, oppure potrebbe essere fatto sempre da un malintenzionato 
ma su un server spia, che ha come unica funzione appunto 
l'intercettazione del traffico.
Sto solo andando a intuito perï¿œ.
 
Nel caso venga installato un malware del genere, ï¿œ possibile in questo 
modo monitorare *tutte* le password (e relativi altri dati utili) in 
transito sul server, oppure il malware puï¿œ non essere in grado di 
gestire il traffico del server nella sua interezza, e deve quindi 
"accontentarsi"?


 "accontentarsi"?
 
Dipende in maniera sostanziale dall'entitï¿œ di dati in transito.
Ovviamente, intercettare (potenzialmente) tutti i login che avvengono su
Facebook o Google ha un costo ben maggiore che monitorare i login
sull'area riservata del sito della parrocchia.
 
Ma salvo entitï¿œ fuori scala (numericamente poche), data una "posizione
idonea" un "coso" di quel genere ï¿œ in grado di monitorare quel che gli
pare...
 
 

 e dovrebbe insospettirsi
 
Io e te, sicuro.
Mia mamma no di certo.
 
Questo, anche dando per assunto che non vi sia modo di ottenere un
certificato valido intestato al sito soggetto di poisoning. Cosa che
-purtroppo- ï¿œ tutt'altro che vera...
 
Hint: come l'hijack lo puoi fare per il webserver, altrettanto vale per
il mailserver, il che ti consente di intercettare le mail di conferma
che la CA manda al proprietario del dominio per validare la richiesta di
certificato, ecc..
 
 
Nota che la metodologia di attacco non ï¿œ certo alla portata di tutti
(soprattutto con hijack eseguito via BGP), ma ï¿œ tutt'altro che
infattibile...

 e dovrebbe insospettirsi
 
Dipende, supponi di accedere tramite (es.) un hotspot o simile e
supponi che l'hotspot richieda di mettere in trust la propria CA
(privata - sic) per fornirti l'accesso, a quel punto un qualsiasi
certificato emesso da tale CA verra ingollato senza brontolare :P
 
 

 pare...
 
Ha senso, per diminuire il rischio di intercettazione di una password, 
evitare di inserire ripetutamente la password in un sito, in un breve 
lasso di tempo (facendo quindi login, logout, login, logout, ecc. nel 
giro di pochi minuti, magari 3-4 volte di seguito, esagerando).
 
Oppure non cambia sostanzialmente niente, e si tratta di un'inutile 
precauzione, una paranoia?
 
Se c'ï¿œ la possibilitï¿œ di venire intercettati, succede "al primo colpo"?
Immagino che sia cosï¿œ nel caso di poisoning, visto che si viene 
reindirizzati in ogni caso, ma nel caso di intercettazione direttamente 
su un server ("spia" o meno)?
Se esco da un sito, ad es. una web-mail, e re-inserisco la password, 
questa password dovrebbe compiere lo stesso tragitto che ha compiuto 
durante il primo login, o puï¿œ variare?
 
Secondo voi conviene farsi queste preoccupazioni, o ï¿œ meglio 
fregarsene/accontentarsi?
 
Io non me ne intedo molto della materia, magari per questo mi preoccupo 
inutilmente per delle mie paranoie (che il ripetuto inserimento di una 
password in un sito, nel giro di pochi minuti, possa aumentare il 
rischio di intercettazione di quella password).
 
Che dite?


 fregarsene/accontentarsi?
 
E' bene esserne consapevoli, perchï¿œ consente di rendersi conto dei
rischi e -quando si vede qualcosa di anomalo- di porsi il problema di
cosa stia realmente accadendo prima che sia troppo tardi.
 
Ciï¿œ detto, quando diventa paranoia ï¿œ una cosa malsana (a meno che tu non
voglia dedicarti alla professione del paranoico e darti alla sicurezza IT)
 
 

 Tutto sommato, non vedo grosse differenze...
 
Non sono sicuro se ci siamo capiti.
Io non mi chiedevo se quell'operazione di fare diversi login e logout, 
nel giro di pochi minuti, potesse aumentare la sicurezza; al contrario, 
mi chiedevo se poteva diminuirla (aumentando la possibilitï¿œ di venire 
intercettati).
 
Altra domanda: se qualcuno intercetta una sessione in cui sono giï¿œ 
autenticato, puï¿œ leggere tutto quello che scrivo, come se ci fosse un 
keylogger?
Se durante la sessione modifico la password del sito, l'attaccante la 
puï¿œ leggere facilmente? (Parlando sia di poisoning, sia di non-poisoning).


 Grazie.
 
Prezie.
 

 hanno (tipo: non Google, per capirci), non cambia sostanzialmente nulla:
 
[...]
 
E per quanto riguarda siti con accortezze di sicurezza, le cose non 
possono che andare meglio, anche rispetto alla mia preoccupazione 
riguardo ai login-logout ripetuti?
 
Con accortezze di sicurezza, intendi ad esempio una connessione sicura 
(indicata dall'iconcina del lucchetto in Internet Explorer)?
Questa dovrebbe criptare la password?


 Questa dovrebbe criptare la password?
 
No. L'uso di SSL/TLS (il lucchetto che critta) o do' per scontato; ed
infilare una password di una qualsiasi importanza in un sito che non ne
faccia uso oggi come oggi ï¿œ suicida.
 
Mi riferisco al fatto che, se Google "vede qualcosa di strano" con la
tua connessione (tipo il fatto che di punto in bianco la tua sessione ï¿œ
saltata dall'Italia al Belize, perchï¿œ qualcuno lï¿œ si ï¿œ impadronito dei
tuoi cookie di autenticazione), forza la ri-autenticazione,
eventualmente richiedendo anche 2-factor authentication (ovvero, per
farla facile, manda a un cellulare da te preventivamente fornito un SMS
con un codice da inserire nella pagina web, altrimenti non ti autentica).
 
Sicchï¿œ impadronirsi di un account Google (o altri operatori analoghi) di
qualcun altro ï¿œ piï¿œ difficile di quanto non sia per il sito della
parrocchia, che 'ste accortezze non le ha.
 
(semprechï¿œ l'utente si sia curato di attivare le relative funzionalitï¿œ a
dovere, ovviamente)