Newsgroup: it.arti.fotografia.digitale
Titolo: Codeste Canon fanno acqua da tutte 'e parti!

http://www.osservatoriodigitale.it/index.php?option=com_content&view=article&id=527%3A1012-vulnerabilita-osk-e3&catid=4%3Anotizie
Qualcuno ricorderà il ricercatore russo Dmitry Sklyarov e la sua 
Elcomsoft per la causa intentatagli nel 2001 da Adobe in seguito alla 
pubblicazione di un documento che evidenziava le vulnerabilità dei 
sistemi di protezione per e-book realizzati dalla software house 
americana (il processo, tenutosi a fine 2002, lo manderà poi assolto). 
Ora Sklyarov torna a far parlare di sé in occasione della conferenza 
Confidence 2.0 di Praga, durante la quale ha rivelato una vulnerabilità 
del sistema crittografico con il quale Canon permette attraverso il 
software Original Data Security Kit (OSK-E3) di verificare 
l'autenticità delle fotografie scattate con i modelli EOS-1Ds Mark III 
e EOS-1D Mark III, sia a livello di immagine che di dati EXIF e GPS: 
una soluzione utilizzata per esempio dalle agenzie fotografiche per 
assicurare il rispetto delle policy anti-manipolazione, oppure nelle 
aule dei tribunali per sostenere la credibilità delle prove 
documentali.
Sfortunatamente per Canon, Sklyarov è stato in grado di estrarre dagli 
apparecchi Canon le chiavi digitali utilizzate per firmare digitalmente 
le fotografie, cosa che gli ha permesso successivamente di convalidare 
l'autenticità di foto palesemente ritoccate. La galleria di immagini 
verificabili con il kit OSK-E3 pubblicate qui, come sempre in questi 
casi, vale più di mille parole.

 casi, vale più di mille parole.
A me per assicurare dell'argenteria di antiquariato chiesero di scattare 
diapositive...
Foto di insieme e dettaglio di graffi, ammaccature ed altri segni che 
potessero identificare "univocamente" quell'oggetto.
E non era un tribunale, ma una banale "societa' di assicurazioni", che 
siano piu' svegli loro?  ;)
Ciao
M.
-- 
Nessun Bit e' stato maltrattato o ucciso
per scrivere questo messaggio
http://www.qtp.it/Gallery/profile.php?uid=2311

[...]
beh chiunque credi che un sistema informatico possa essere sicuro al 
100% fondamentalmente e' un ingenuo.
Mo' ovviamente la colpa e' di canon che ha realizzato un sistema che 
purtroppo e' stato violato, non di quello che l'ha violato :D
Di questo passo tocchera' ammettere che la colpa delle rapine in banca 
e' delle banche che non son ben difese, non dei rapinatori, che il 
virus che ti sei beccato e' colpa tua perche' non hai l'antivirus, non 
del minchione che il virus te l'ha messo, ecc ecc :D

 purtroppo e' stato violato, non di quello che l'ha violato :D
C'è una piccola contraddizione in quello che hai scritto...se non esiste 
un sistema sicuro al 100% la colpa non è di canon, ma della mancata 
esistenza di un sistema inattaccabile :P
Purtroppo una chiave informatica sarà sempre violata...perchè c'è sempre 
qualcuno più bravo di chi l'ha ideata :)

 qualcuno più bravo di chi l'ha ideata :)
oppure c'e' sempre qualcuno che l'ha inventata che la passa in giro...

 oppure c'e' sempre qualcuno che l'ha inventata che la passa in giro...
Può essere anche quello, anche se, cercando di entrare nella mente di un 
hacker, più il sistema è complicato più si diverte a violarlo!
Cmq a quei livelli, sarebbe un bel rischio per chi l'ha ideata, passare 
delle informazioni... non so come possa essere quel tipo di lavoro...ma 
non sono controllati in questi casi?

 controllati in questi casi?
vabe' ma mica uno potra' essere pedinato a vita dai controllori :D

Gianni 2 ha detto questo martedì :

Se una banca venisse violata e sparissero i soldi, staresti a pensare 
di chi è la colpa o eviteresti la banca? :)

 100% fondamentalmente e' un ingenuo.
cazzate. ci sono algoritmi che se correttemente implementati non sono
per nulla vulnerabili.

 qualcuno pi bravo di chi l'ha ideata :)
e se invece la chiave cambiasse, ad esempio, ogni 30 minuti come il
codice della tua banca?
dubito che tu/ uno più furbo di te se ne faccia qualcosa


Cazzata.
Tutto e' violabile in un tempo finito.
Il discorso e' quanta potenza di calcolo ci vuole affinche' questo 
tempo, per quanto "finito" sia accettabile per l'utente.
Considerando in questo contesto il "violatore".


 Considerando in questo contesto il "violatore".
come "utente"


 Considerando in questo contesto il "violatore".
Per me ciò che non è violabile in un tempo utile ovvero con gli 
strumentti attualmente a disposizione, si può ragionevolmente 
considerare inviolabile :)


Nell'uso pratico hai ragione, ma se calcoli l'incremendo di potenza di 
calcolo disponibile, l'algoritmo che oggi ti chiederebbe per essere 
violato diverse vite umane, tra un paio di anni potrebbe chiedere 
qualche giornata.
Quindi direi che quello che "oggi" non possa essere violato in tempo 
utile "oggi" possa essere ragionevolmente sicuro.
Poi non mi azzarderei su dichiarazioni assolutistiche circa la sua 
inviolabilita' "domani".
Hai presente le "rainbow tables" per crackare le connessioni wireless?  :)
Ciao


 inviolabilita' "domani".
Comunque se anziche' usare algoritmi proprietari piu' o meno segreti e 
piu' o meno arrangiati, utilizzassero gli algoritmi di pubblico dominio 
che sono in giro da diverso tempo e hanno dimostrato di essere 
sufficientemente sicuri (tipo RSA, tanto per dire) si starebbe tutti 
piu' tranquilli.
Ciao.
P.S.: comunque l'algoritmo teoricamente e praticamente inviolabile 
esiste, peccato che in pratica sia inutilizzabile :-)
-- 
Quando pensi che a nessuno importi se sei vivo, prova a non pagare per
due mesi la rata della macchina - John Belushi

 esiste, peccato che in pratica sia inutilizzabile :-)
Ma anche i pizzini funzionano ....  :)


 diverse vite umane, tra un paio di anni potrebbe chiedere qualche giornata.
[...]
Potrebbe ma non possiamo saperlo, il campo delle previsioni è molto 
vicino a quello della fantasia :)

 è la colpa o eviteresti la banca? :)
mica son due concetti contrari, se fosse colpa della banca allora e' 
colpa di chi gira in minigonna se viene stuprata eh...
l'idea di canon come tutte le idee va migliorata e si puo' migliorare; 
pittosto mi chiedo nikon presenta qualcosa di simile e di inviolabile ?

 per nulla vulnerabili.
ma per cortesia, il fatto stesso che esista un algoritmo implica che la 
conoscenza di quell'algoritmo possa far violare tutte le chiavi del 
mondo

 pittosto mi chiedo nikon presenta qualcosa di simile e di inviolabile ?
nikon ha chiuso il ramo fotografico, ora fa aspirapolveri (inviolabili) 
:)

 dubito che tu/ uno più furbo di te se ne faccia qualcosa
Se fosse così, non potrebbe cambiare "a caso", ma dovrebbe seguire una
logica. Seguendo una logica, o meglio, un algoritmo, sarebbe
decriptabile.
Come ha detto Gianni, non ci sono cose sicure. Ci sono cose più o meno
difficile da bucare, ma non impossibili.
Colin.

 esiste, peccato che in pratica sia inutilizzabile :-)
Che roba č?
Colin.

Sembra che Gianni 2 abbia detto :

Credo ci sia una certa differenza tra una rapina in banca e la 
violazione di un codice informatico. Pur essendo entrambi dei reati 
(anche se a livelli diversi), il primo e fine a se stesso mentre il 
secondo è spesso finalizzato a mettere in luce una vulnerabilità che, 
in questo modo, potrà essere corretta.
-- 
Skywalker Senior
http://www.christianbisti.net/
http://www.flickr.com/photos/skywalkersenior/

 Colin.
Credo che voglia dire che se un algoritmo č inviolabile, significa che 
nemmeno l'ideatore č a conoscenza di come renderlo utilizzabile.
Una serratura elettronica per essere aperta deve avere una chiave 
elettronica. L'esistenza stessa della chiave rende la serratura violabile!
:)

elettronica. L'esistenza stessa della chiave rende la serratura violabile!
Suppongo si riferisca al cifrario di Vernan:
http://it.wikipedia.org/wiki/Cifrario_perfetto
Ma forse tra un po' useremo questo:
http://it.wikipedia.org/wiki/Crittografia_quantistica
Consiglio, davvero molto piacevole da leggere,"Codici & segreti" di
Simon Singh che tratta, anche, la crittografia quantistica (ma e'
bellissima la storia in merito ad Enigma).
-- 
/* Eta Beta */

 nikon ha chiuso il ramo fotografico, ora fa aspirapolveri (inviolabili) :)
azz me ne compro una per pulire il sensore

 corretta.
beh allora anche il rapinatore potrebbe dire "eh ma volevo mettere in 
evidenza i difetti dei sistemi difensivi della banca"... :D

 bellissima la storia in merito ad Enigma).
Quoto.
Ciao.


 elettronica. L'esistenza stessa della chiave rende la serratura violabile!
Piu' che altro si tratta di generare una chiave casuale della stessa 
dimensione dei dati da cifrare. Se la chiave è *davvero casuale* 
l'algoritmo e' inviolabile. Ovviamente una roba del genere e' si puo' 
usare solo in casi particolari. L'uso piu' conosciuto e' la cifratura 
del canale di comunicazione di emergenza tra Mosca e Washington, la 
famosa "linea rossa" che mette in comunicazione in due presidenti...
Ciao.


 evidenza i difetti dei sistemi difensivi della banca"... :D
Se non porta via niente, in teoria potrebbe anche farlo... :-)
D'altro canto capita abbastanza spesso che ex-hacker vengano assunti 
come responsabili della sicurezza informatica.


 azz me ne compro una per pulire il sensore
:)


poi ci sono quelli che quotano alla cazzo.
In che categoria li mettiamo ?
Dei pirla ?
ahahahahah

 responsabili della sicurezza informatica.
vero, cosi' come nessuno mi togliera' mai dalla testa che i virus li 
programmano i programmatori degli antivirus

 :)
Ah beh, chiaro :D
Colin.

 programmano i programmatori degli antivirus
Naaaa... forse poteva essere così una volta, quando ci volevano 
settimane affinché gli antivirus si adeguassero alle nuove minacce ed 
il primo che ci riusciva (se la minaccia era diffusa) si ciucciava 
grandi fette di mercato.
Oggi gli antivirus vengono aggiornati costantemente e nel giro di pochi 
giorni. Nessun produttore avrebbe grandi vantaggi rispetto agli altri, 
diffondendo un nuovo virus.



Secondo me sono anche cambiate le tipologie di virus, ora vanno di moda 
i trojan che si replicano per diffondere popup pubblicitari, oppure 
quelli per rubare dati sensibili dal pc.. una volta c'èra ping che ti 
cancellava l'hd o november17 che infettavano i file di sistema :)

 diffondendo un nuovo virus.
e' altrettanto possibile che facciano presto a programmarsi delle 
varianti...

 e' altrettanto possibile che facciano presto a programmarsi delle varianti...
ci sono anche i virus mutanti :)

> ci sono anche i virus mutanti :)
ecco la chiave: hanno programmato virus che mutano da soli

 ecco la chiave: hanno programmato virus che mutano da soli
sono molti anni ormai... se ne parlava già nel '93
http://archiviostorico.corriere.it/1993/febbraio/01/arrivo_kit_pirati_potranno_creare_co_0_9302018798.shtml

 
http://archiviostorico.corriere.it/1993/febbraio/01/arrivo_kit_pirati_potranno_creare_co_0_9302018798.shtml
allora ho ragione io :D