Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza interna in ambiente ad alto rischio

Ciao a tutti,
si parla di innesco di blocco schermo di prossimità, intrusion detection e
caccia ai keyloggers od occultamento di propri keyloggers per autodiagnosi
di accessi altrui non autorizzati su postazioni client di un ambiente ad
alto rischio (potenziale elevata corruzione interna con possibilità di
cordate mafiose in grado di "sporcare" = incastrare colleghi "innocenti
pericolosi" con errata imputazione, a chi non le ha eseguite, di operazioni
sensibili non autorizzate).
Per quanto riguarda il primo punto ho recentemente avuto modo di vedere
(purtroppo di sfuggita) che alcuni organismi europei di sicurezza
informatica hanno varato una specifica direttiva (ma non ho gli estremi e
quindi chiedo info qui, sperando che qualcuno possa rispondere), con la
quale si ritiene obbiettivamente sicura la difesa di una postazione
informatica di lavoro soltanto se viene utilizzato un sistema di
blocco-schermo personale innescato non a tempo od a tasti (in quanto, in
casi di emergenza nei quali l'operatore fosse chiamato a spostarsi
celermente dalla postazione, l'operazione di blocco potrebbe essere,
inavvertitamente, omessa) ma con un bluetooth che faccia scattare il blocco
non appena l'operatore, che tiene il bluetooth appeso al collo, superi un
raggio di distanza dalla postazione il quale ecceda i 3 metri.
Qualcuno ne sa qualcosa di più?
Circa il secondo punto (intrusion detection) è ovvio che vi sono log-files
esaminabili ma, come ben si sa in questi ambienti, essi forniscono soltanto
informazioni generiche (accessi a certi software, orari di attivazione e
disattivazione dei collegamenti, ecc.), mentre il contenuto delle diverse
operazioni non viene tracciato. Ciò è ovvio: se si sa che un file è stato
creato in data tale o distrutto in data talatra, basta un buon applicativo
di data recovery per scovarlo, ma se la postazione viene utilizzata in
emulazione terminale è ovvio che tutti i log non sono sulla postazione,
bensì sul server adito, e ciò impedisce operazioni di "autodiagnosi"
dell'operatore il quale, invece, dovrebbe essere in grado di poter vedere
quante e quali operazioni ha effettuato, nell'arco di una giornata
lavorativa per, nel caso in cui rinvenisse operazioni che è certo di non
aver eseguito, denunciare subito, di propria iniziativa, alle autorità di
sicurezza interna, un reato di furto di password o di illecito inserimento
nel sistema.
In pratica ecco che si parla, anche, della pericolosità dei keylogger: avere
la possibilità di rilevare tanto quelli software quanto quelli hardware, in
un ambiente del genere, è essenziale. Quindi chiedo agli esperti se
conoscono l'esistenza di specifici software, regolarmente licenziati e
riconosciuti da organismi di sicurezza che possano rilevare la presenza di
tali dispositivi sia da postazione operatore, sia a distanza. Grazie. Al
contempo, tuttavia, in ragione di quanto detto sopra, chiedo se sia
legalmente possibile l'uso di keylogger su se stessi, proprio al fine di
monitorare costantemente la sicurezza di postazione in autodiagnosi.
Grazie.


Se per "se stessi" intendi assetti hw/sw/informativi di cui detieni
legalmente la proprieta' ed ogni diritto, direi proprio di si. Li hai
comprati, sono tuoi e ne fai quello che vuoi compreso dargli fuoco se ti
aggrada o serve a qualche scopo specifico (salvo rispettare le norme
ambientali ed anti-incendio ovviamente). Per similitudine direi che
assomiglia al "ethical hacking"; come quando tenti di hackerare i tuoi
stessi sistemi, o paghi qualcuno per farlo, per vedere quanto sono robusti. 
Sulle altre domande, scusa ma hai detto in centotrentanove righe quello che
potevi chiedere forse in ventinove e mi sono confuso... eppure il Subject
era accattivante, perche' quasi tutti si preoccupano solo dei cattivoni la
fuori, quando il 75 percento degli incidenti sono causati all'interno (di
cui il 60 percento da stupidi ed il 40 percento da cattivi). Fonte: media
fra statistiche FBI e Datapro.
--
AB

 tali dispositivi sia da postazione operatore, sia a distanza.
Un keylogger hardware è un dispositivo che lavora in maniera del tutto
trasparente; dubito che si possa rilevare con un software. E' vero che
tipicamente per accedere ai dati dei keylogger più "popolari" si deve
digitare una sequenza prestabilita di caratteri, e quindi il software di
detection potrebbe tentare tutti i pattern più comuni per vedere se
qualcosa gli risponde, ma questa non mi sembra un'abilità degna di
certificazione. Se si parla di argomenti seri (crimine organizzato,
spionaggio industriale, terrorismo ecc...) è più che probabile che il
criminale abbia strumenti a sufficienza per ingegnerizzare il proprio
keylogger.
-- 
asd

 legalmente la proprieta' ed ogni diritto, direi proprio di si. Li hai
Beh, si deve valutare caso per caso.
Qui, se ho capito bene, si parla di ambiente lavorativo.
L'applicazione di keylogger nascosti su un computer di lavoro e' una
cosa abbastanza delicata, molto raramente giustificabile, e di sicuro,
salvo indagini dirette delle forze dell'ordine, debbono essere poste
in essere procedure di informazione ai possibili utenti.
Insomma, un po' come il cartello "zona videosorvegliata".
L'utente che non vuole farsi "sporcare" deve richiedere che ci siano
misure di sicurezza *forti* e si deve prendere il compito di non
lasciare mai password memorizzate, o terminali attivi senza la sua
presenza.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
Si, certamente. In un ambiente lavorativo vale lo statuto dei lavoratori e
le norme sul monitoraggio a distanza. I lavoratori devono essere in qualche
modo informati che ci *potrebbe* essere monitoraggio - anche se non gli
specifichi in quale forma tecnologica - e/o ci deve essere una qualche
copertura legale e/o i dati che raccogli devono essere poi analizzati in
modo tale da salvaguardare la privacy e la riservatezza dei singoli. Questo
ultimo punto e' importante -- il *fine* del trattamento fa una grande
differenza. Se metti keylogger per combattere altri keylogger e' un conto
se lo fai a fini di spionaggio industriale o per violare la privacy dei
tuoi dipendenti e' tutta un'altra storia. 
Per similitudine col mio esempio precedente; un conto e' bruciare il tuo
computer perche' e' un modello obsoleto (nessun giudice avrebbe da
obiettare), un conto e' per dare fuoco al tuo dipendente che gli sta di
fianco e non vuoi pagargli la liquidazione (magari l'attenzione di qualche
giudice riesci ad attirarla...) :-/
-- 
AB


Ora mi è chiaro: la soluzione sarebbe un keylogger alla cui memoria sia
possibile accedere mediante password conosciuta soltanto da colui che ha la
titolarità della postazione spiata da quel keylogger.

 fra statistiche FBI e Datapro.
Avevo delibertamente intenzione di essere verboso e discorsivo: lo so, è
poco scientifico, spero di non essere stato offensivo; volevo semplicemente
stimolare la discussione.
Circa le considerazioni finali vorrei aggiungere che in una società non vi
sarebbe crimine se il criminale non credesse di poterla fare franca:
convinzione questa che può derivare soltanto da due fattori: l'incompetenza
tecnica o la connivenza con il crimine da parte di chi il crimine, invece,
deve combatterlo.
L'autodiagnosi degli eventi criminosi occultati è l'unico sistema, per un
innocente, di raccogliere prove a proprio favore al fine di preallestire
trappole in cui possano cadere sia i criminali sia eventuali controllori
che, anzichè combatterli, li favoreggino, al fine di eliminare cordate
mafiose trasversali.
Resta l'ultimo dubbio: agire d'astuzia tecnologica in solitara è inevitabile
o si può allestire, legalmente, un sistema comunque efficace?


Rimango dell'idea (da non legale, quindi prendila con le pinze) che tutto
dipende dal *fine* e dal *modo* . Le *tecnoputtanate* (come le chiamava un
mio presidente di una societa' a cui sono rimasto affezionato nonostante mi
abbia fatto vedere i sorci verdi e abbia fatto i Milioni di Dollari con le
tecnoputtanate) sono irrilevanti per presidenti, magistrati e dintorni.
Faccio un parallelo non informatico. Se spingo a 250 all'ora la mia auto per
vedere quanto e' stabile o quanto consuma e lo faccio nel rispetto di tutte
le regole del caso (noleggio una pista, mi metto il casco e le cinture, mi
porto un estintore...) nessuno ha niente da dire. Se faccio la stessa cosa
sulla Milano-Bologna alle 10 del mattino per lo stesso scopo (misura di
stabilita' e consumi) o per vedere se posso fare fessi gli autovelox,
magari la Polstrada ha giustamente qualcosa da dire anche se l'auto e' mia
(perche' non ho rispettato il limite di velocita', perche' ho messo in
pericolo la vita altrui, etc. etc.). In entrambi i casi quali altre
"tecnoputtanate" (cit.) ci siano a bordo dell'auto a corollario e'
irrilevante per chi deve giudicare se quello che ho fatto e' criminale o
meno.
-- 
AB

 keylogger.
Indubbiamente, ma fuori da certi parametri un dispositivo non può andare,
quindi basta riportare tali parametri nei sistemi di controllo ed il gioco è
fatto.

E qui sta l'errore.
Piu' che altro il software non puo' fare nulla: un keylogger di quel tipo
legge la tastiera e ripete i segnali in emulazione. Quindi il software e'
impossibilitato a influenzarlo.
Ci sono tastiere con keylogger incorporato, ed un keylogger di dimensioni
abbastanza piccole puo' essere aperto ed inserito in una tastiera comune.
Leonardo
-- 
Dawn is near, the time is short (Human aircraft! Hard to port!)
We eight reindeers of the night work as one in silent flight.
Let not one damn house pass by (Who taught that guy how to fly?)
Each year sees more girls and boys: how many of them can we bring toys?

 abbastanza piccole puo' essere aperto ed inserito in una tastiera comune.
...
Ne sono già al corrente da anni, tuttavia non ho trovato alcunché circa la
rilevazione di tali attrezzi (vuoi attraverso software vuoi attraverso altri
rilevatori di qualsiasi tipo).
E' questo il lato debole della faccenda.
A meno che non si utilizzi, per inserire le pw, una tastiera virtuale a
monitor, i tasti della quale debbano essere digitati con svariati click del
mouse.
Ma si sa, un qualsiasi programma non può scorrere prima che sia stato
effettuato l'accesso ad un profilo utente: questa tastiera virtuale dovrebbe
essere implementata nella stessa finestra di inserimento pw e dovrebbe
escludere l'inserimento dati da tastiera reale.
Ma poi, alla fin fine, si sarebbe davvero sicuri anche così?
E' questo il nuovo quesito.
Certo però che mi piacerebbe tanto trovare un programma di inserimento pw
fatto così: perlomeno i sistemi di intercettazione e decodifica sonora non
funzionerebbero, i keylogger hw sarebbero fuori gioco perché il mouse
avrebbe un solo tasto in funzione ed in interazione con un sw di selezione
caratteri, ed i keylogger software dovrebbero hackerare lo stesso programma
di pw (ma ciò sarebbe possibile, visto che non è in funzione nessun sistema
di avvio programmi prima del caricamento del profilo dell'utente?).
Ne avete visti in giro dei sw di pw di questo tipo?
Grazie.

E' questo il nuovo quesito.
Diciamo che dipende tutto da chi hai contro... se ti voglio male davvero
e ho i mezzi, il PC forse e' l'ultima cosa con cui provo a ciappinare.
Nel momento in cui ti tocca portarti dietro il MSLifeRecorder ogni volta
che vai al lavoro (e oltretutto e' notoriamente taroccabile, sicche' non
e' detto che ti salvi la reputazione, in tribunale), si fa prima e molto
meglio a cambiare lavoro o arruolarsi nella Legione Straniera.


 fatto.
E' sufficiente che il criminale progetti il keylogger in modo che non dia
alcuna risposta, in nessun caso. I dati saranno poi estratti in un momento
successivo, rimuovendo il keylogger e leggendo direttamente la flash.
In generale in tutti i contesti in cui non esistono restrizioni
sull'accesso fisico ai PC, trovo che sia abbastanza inutile parlare di
certificazioni di sicurezza; non si può fare altro che incrociare le dita e
sperare in un mondo migliore. Questo è un problema particolarmente grave
per le grosse aziende; invece di trovare metodi machiavellici per impedire
che semplici lamer (il keylogger ricade sicuramente in quella categoria)
possano rubarti i dati, occorrerebbe eliminare o almeno ridurre al minimo i
presupposti affinché ciò possa accadere, primo fra tutti l'esistenza di PC
con dati sensibili alla mercè di chiunque. Ho visto cose da far
rabbrividire: codice sorgente estremamente critico condiviso sull'intera
rete aziendale e con accesso limitato semplicemente tramite gli account di
Windows, possibilità evidente per un semiprofessionista di copiare tutto su
una chiavetta USB, nessun genere di controllo fisico di accesso (eccetto
per la mensa, rofl) e così via.
-- 
asd


oppure *proprio* *per* *questo* bisognerebbe cominciare seriamente a pensare
a certificazioni di sicurezza (forse lo dico non del tutto
disinteressatamente essendo un Auditor ISO-27001 (ex BS7799)...) 
Sai certe storie dell'orrore mi ricordano quelle misure di sicurezza da
operetta che ci fanno vedere in aeroporto; ci fanno togliere le scarpe,
lasciare le bottiglie di shampoo a terra, etc. etc. ma quella e' solo
l'ultima linea di difesa. Mettono in piedi lo show mediatico giusto per
farci *sentire* piu' sicuri, quando invece non lo siamo (siamo solo piu'
smarronati). Quelli che hanno preso, li hanno presi con sana e buona
intelligence alla vecchia maniera (magari con qualche gadget tecnologico
perche' no, ma qui sto parlando di strategia, non di tattica operativa). 
Allo stesso modo la sicurezza aziendale inizia dalle policy e dalle
procedure. C'e' o non c'e' un keylogger nella tastiera e' l'ultima linea di
difesa, come il far togliere le scarpe o sequestrare la bottiglia di
shampoo alla gente all'imbarco in aeroporto... quando magari ci sono tanti
altri obiettivi potenziali (banche, stadi, centri commerciali, navi da
crociera, ...) e tanti modi per arrivarci. Che fai li controlli tutti?
Meglio agire a monte (policy e procedure).
Se davvero vogliono qualcosa dalla tua azienda, Kurt Flei, e ti difendi solo
con la tecnologia, i cattivi possono ottenerla a minor prezzo in altro modo
(ricatto, minaccia, collusione, ....) non c'e' problema Hi-Tech che non
abbia una soluzione Low-Tech (cito me stesso).
-- 
AB


Perdonami ma non mi sembra un discorso accettabile da parte di un
funzionario dell'audit e della sicurezza interna o che altro:
l'audit/sicurezza interna deve forse diventare il potenziale punitore degli
onesti incastrati per la gioia dei corrotti infiltrati? Qui si gioca forse
allo scarica barile ed alle facili carriere sulle spalle dei fracchia di
turno salvo poi, se questi ultimi si arrabbiassero, calare le brache
pateticamente di fronte ad un avvocato che chieda la CTU di uno specialista?
Non è ora di finirla con questi giochetti alla italica maniera del vigile di
Sordi, in cui tutti quanti cercano di fare i grandi aggredendo alla cieca
quanto possono, ma hanno al contempo il terrore di tutto, per cui, alla fin
fine, tutto quanto si paralizza ed a muoversi indisturbati sono soltanto i
dritti?!
Qui si deve cominciare a sondare scientificamente e professionalmente, una
questione che è stata trascurata per troppo tempo perché o ci sono degli
incompetenti, o ci sono dei tizi che dormono sugli allori millantandosi ciò
che, di fatto, non sono o dichiarando di fare ciò che in realtà non fanno!
Bisogna cominciare a ragionare con acume e vedere quanto è serietà e quanto
è idiozia anche nel mercato.
Se ho un bioscanner ad impronte digitali.... e domani uno criminale mi
prende l'impronta da un bicchiere con della polvere d'argento e del nastro
adesivo e riesce ad entrare nel mio pc, oppure perdo il dito in un incidente
e quindi devo riformattare il pc, io non posso pigliare il progettista del
dispositivo e denunciarlo: devo prendere il funzionario dell'audit che mi ha
dato il consiglio di acquistare quel dispositivo e metterlo, inisieme a
tutto il senato accademico che lo ha laureato in sicurezza informatica, a
spalare sterco in una porcilaia per il resto della vita!
Quindi noi, perché siamo qui ora? Per fare della paciosa filosofia
fatalistica sull'inespugnabilità di un pappa e ciccia mafioso + o -
omnidilagante, o per cercare, tra elucubrazioni, teorie, suggerimenti,
ipotesi e congegni nuovi, di trovare valide soluzioni a certi problemi?
Io sarei per questa seconda linea d'azione, altrimenti anche il NG non
avrebbe senso, o no?

 ipotesi e congegni nuovi, di trovare valide soluzioni a certi problemi?
Siamo qui per parlare di sicurezza informatica. Uno dei fondamentali
assunti della sicurezza informatica è che ogni tecnologia è aggirabile,
o almeno è da considerarsi tale finché qualcuno non dimostra il
contrario. IFAIK nessuno ha ancora trovato una tecnologia non
aggirabile, a patto di avere sufficiente tempo/risorse da impiegare.

 aggirabile, a patto di avere sufficiente tempo/risorse da impiegare.
La crittografia quantistica è promettente in questo senso, ci sono leggi
della fisica validate da quasi un secolo a garantire per lei. :)
In ogni caso ciò che dici è sacrosanto, l'anello debole della catena è
sempre, e sempre di più, l'uomo. Puoi trasferire i dati dal punto A al
punto B con la crittografia quantistica e con sicurezza totale, ma poi in
un certo momento qualche fallace essere umano in B dovrà pure utilizzare
questi dati. Fin dai tempi di Richelieu si sa che nessuno è incorruttibile,
per cui l'unico modo per aumentare la sicurezza è limitare sempre di più
l'intervento umano - fino ad arrivare a quell'episodio del cartone animato
Dilbert in cui un'azienda è totalmente governata da computer, eccetto
qualche sfigato di un call-center esterno che peraltro sa a malapena per
chi lavora. :)
-- 
asd


niente di tutto cio'. L'audit e la sicurezza interna non deve punire proprio
chichessia. Deve facilitare sempre, prevenire finche' puo' e limitare i
danni quando non ha potuto prevenire. A "punire" (per quel che serve) c'e'
il potere giudiziario.
-- 
AB

 questi dati. 
O per dirla in altro modo, in qualche punto ed in qualche momento i dati che
hai crittografato dovranno esistere *in* *chiaro* per poter essere utili ed
usabili da qualcuno.
Anche senza crittografia quantistica, gia' oggi e' li che si attacca
preferibilmente; ai due estremi del "canale di comunicazione". 
-- 
AB

onesti incastrati per la gioia dei corrotti infiltrati? 
Il discorso è semplicemente un'invito a un approccio bilanciato.
Una volta stabiliti i requisiti di sicurezza questi vanno implementati
in tutti gli ambiti.
Leggo in alcuni post la ricerca di un livello di sicurezza
strettamente informatico sproporzionato rispetto ai rischi
complessivi.
Un po' come se uno cercasse superporte blindate e poi dimenticasse di
avere i muri in legno che con un'accetta vanno giù.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 assunti della sicurezza informatica è che ogni tecnologia è aggirabile,
Ma perfezionabile, altrimenti sarebbe inutile disquisire.

 Ma perfezionabile, altrimenti sarebbe inutile disquisire.
Anche quella del tuo nemico è perfezionabile, tanto quanto la tua.
Giocare a chi ce l'ha più lungo con chi non conosci non è mai una buona
idea, specie se può fregarti una ventina di milioni di euro al giorno.
Devi prima di tutto capire da chi devi difenderti, il resto dipende da
quello.
Ma passiamo alle cose serie. Che ci fa uno che vorrebbe far spalare
sterco ad un laureato in sicurezza informatica, assieme a tutto il
senato accademico, con un Microsoft Outlook Express 6.00.2600.0000?
Lo sai che è vecchiotto vero? ;-)

 
No no, il buon Cat faceva solo un esempio lo sappiamo che l'NSA non esiste
(No Such Agency...)  --  ;-)))))))))))))))))))
Magari in una banca viene meglio! ;-)
Non prendiamoci troppo sul serio, eh? Prima che l'Agenzia che non C'e' si
metta a monitorare anche questo NG... ;-) 
-- 
AB

Se mi incidento il "dito di accesso" invece, che si fa?
Registri tutte e venti le dita, tanto e' sempre roba tua :-)
Leonardo e le soluzioni low-tech



Vedo che la "hi-tech vs. low-tech" ti e' piaciuta... ok, ci mettiamo
d'accordo per una manciata di migliaia di euro a citazione sui diritti :-)
No scherzo, e' freeware :-)))
-- 
AB

Vedo che la "hi-tech vs. low-tech" ti e' piaciuta...
Si', e un paio di volte ti devo aver pure citato :-)
Leonardo


 metta a monitorare anche questo NG... ;-)
Forse lo farebbe si ci si mettesse a parlare di variabili della
crittoresistenza chiamando in ballo Shannon e cominciando a spedire files in
codice LaTex con formule matematiche varie, oppure se si confrontassero
schemi di circuiti stampati sperimentali di un qualche valore tecnico,
creati con il circad.
Stando invece in questi termini la discussione penso che il monitoraggio
manco scatti.
O forse c'è qualche osservatore che guarda e si annoia da morire.

 Registri tutte e venti le dita, tanto e' sempre roba tua :-)
Già, e come imposto le alternative senza dovermi togliere i puzzolenti
calzini sul luogo di lavoro?
:-))))
Siamo al meta-humor, ragazzi?



In parte hai *tanta* ragione caro Kurt. Non fai in tempo ad iniziare un
thread di un qualche valore che se appena appena ti distrai si finisce a
parlare dei valori del calvinismo vs. quelli del cattolicesimo :-()
Ma proprio per questo non dimentichiamoci che molte "agenzie" hanno anche
uffici *politici* - piu' interessati a queste bagatelle che a quello che
possiamo (se possiamo...) disquisire su SigInt, Covert Channels, modelli
Bell-LaPadula e affini - cosa che comunque *non* *farei* *mai* in un NG
pubblico !
-- 
AB