Newsgroup: it.lavoro.informatica
Titolo: che botta per google!

Interessante il fatto che credano che gli attacchi siano in qualche
modo sponsorizzati dal governo cinese!
Ma sempre un problema di sicurezza di google rimane!
Articolo:
http://www.guardian.co.uk/technology/2011/jun/01/google-hacking-chinese-attack-gmail
Google phishing: Chinese Gmail attack raises cyberwar tensions
Senior US and South Korean government officials plus Chinese activists
have login details stolen
[...]
Google said it had discovered and alerted hundreds of people who had
been taken in by a carefully targeted "phishing" scam originating from
Jinan, the capital of Shandong province. Hackers aimed to get complete
control of users' email accounts on the Gmail system.
While there is no direct evidence that the hackers were in the pay of
the Chinese government, the sophistication of the attacks and their
highly targeted nature eliminates direct financial gain as a motive.
Google did not rule out the possibility of the attack being state-
sponsored.
The action could seriously heighten tensions over the issue of
cyberwar. The US government moved this week to classify cyber-attacks
as "acts of war", while the defence minister Nick Harvey said on
Monday that "action in cyberspace will form part of the future
battlefield".
[...]

 Ma sempre un problema di sicurezza di google rimane!
leggi bene, è un phishing (che già di per se non è tecnicamente un vero e
proprio problema di sicurezza) mirato a rubare account di ufficiali
governativi e attivisti politici cinesi. tant'è che quello che hanno fatto
è allertare qualche centinaio di utenti, su circa 170 milioni di unici mi
pare che, tecnicamente parlando, il problema di sicurezza sia decisamente
circoscritto. poi dal punto di vista politico se ne può discutere ma non è
che nel descrivere la gravità del fatto google abbia qualche rilevanza.



rimane il problema di sicurezza intrinseco che ha introdotto google (e 
altri insieme a loro), ovvero il fatto che moltissimi utenti lasciano a 
tempo illimitato tutte le loro mail sui server dei loro provider
-- 
Soprano

 tempo illimitato tutte le loro mail sui server dei loro provider
Unito al fatto che non costringe ad un periodico cambio password.
Dovrebbe imho forzare il cambio password,  segnalare con più chiarezza
le ultime attività ed introdurre una password aggiuntiva per accedere
all'archivio.
L'account Google sta diventando la chiave di troppe cose.

 tempo illimitato tutte le loro mail sui server dei loro provider
google sarà pure stata l'apripista ma converrai che con la riduzione
del costo storage insieme all'imap e all'avvento dei dispositivi
mobile si tratta di un evento che sarebbe stato comunque ineluttabile.
che poi la cosa introduca problematiche di sicurezza all'utente mi
pare anche questo ineluttabile.

 proprio problema di sicurezza) mirato a rubare account di ufficiali
si e no. Non e' chiaro come siano riusciti a rubare le credenziali.
Google ha un immane quantita' di dati al suo interno, dalle mail, ai
documenti condivisi, alle foto, a dati di salute. Uno puo' risalire
alla storia di una persona. C'e' un gap tra l'importanza dei dati (voi
per quantita', vuoi per qualita', vuoi per estensione geografica etc)
e strategie di sicurezza adottate a proteggere dati e utenti. E' un
problema di sicurezza, e IMHO una bella gatta da pelare per google:
google vuole avere il monopolio dei dati di una persona, ma non e' in
grado di tutelarli. Se poi mi vieni a dire che "tecnicamente" e'
opinabile una responsabilita' diretta di google, ti si potrebbe dar
ragione dal punto di vista tecnico (se pero' si conoscono le modalita'
precise dell'attacco) ma nella sostanza e' un problema di sicurezza a
cui google deve rispondere.

 L'account Google sta diventando la chiave di troppe cose.
e non è tutto. la tendenza come ben saprai è avere un unico identity
management (vedi openid) per tutti gli account su internet, il che
rende l'account di google (ma anche quello di yahoo, o di facebook se
sceglie quello) chiave di molti altri account. è un bene? è un male?
ognuno ha la propria opinione.

 ognuno ha la propria opinione.
Usare sistemi centralizzati ed esposti su rete pubblica per mantenere 
dati personali o addirittura sensibili è una megastronzata.
La certificazione di identità è ormai necessaria, ma deve dipendere da 
dati biometrici o chiavi fisiche (smartcard o consimili).
Farsi certificare l'identità da chichessia e basare il proprio 
riconoscimento solo su pin o pawssword siagnifica rischiare il furto di 
identità.
Non è ineluttabile (nulla è ineluttabile fuorché la morte), è necessario 
solamente assumere i comportamenti adeguati.
Qualche mese fa si fece una polemica su Google. Alcuni pretendevano che 
la privacy non fosse così importante e che comunque il sistema Google 
fosse sicuro.....bhè poi non dite di non essere stati avvisati.

 grado di tutelarli.
non sono d'accordo. google deve garantire che nessuno acceda
illecitamente ai dati attraverso sue vulnerabilità, ma se è l'utente
che si fa ciulare la password non è google a non essere in grado di
tutelarlo. lo so è cinico ma è ineluttabilmente così.

 provider.
avere le credenziali di centinaia di utenti mirati e' un indice di
problema di sicurezza.
Che la vulnerabilita' sia dal lato utente o dal lato google, e' solo
un dettaglio tecnico, per quanto (concordo con te) importante.
Tu dici che e' compito dell'utente usare le eventuali precauzioni,
fair enough! Secondo me invece il gap tra importanza di dati e sistema
di protezione diventa ogni giorno piu' evdidente con l'aumentare dei
servizi e dei dati: probabilmente ad un apparato cosi' esteso il
sistema di scrivere la password sul browser sta forse diventando
troppo fragile.
Una volta stabilito il problema poi e' compito tecnico delineare le
possibili azioni da intraprendere (chesso' chiavetta usb unica con
chiavi asincrone, per spararne una). C'e' sempre un trade-off tra
quanto sia importante investire in sicurezza e quanto siano importanti
i dati da proteggere.

 all'archivio.
Non ho letto il link, ma come mi hanno spiegato molto chiaramente quelli
che si occupano di un sito italiano con vari milioni di utenti (almeno
immagino che ne abbia vari milioni), quelli che si fanno fregare la
password non sono ne' quelli che mantengono la stessa molto a lungo ne'
quelli che vengono intercettati con attacchi "man in the middle" e, per la
maggior parte,  nemmeno quelli che abboccano al phishing (anche se questi
ultimi cominciano a non essere un numero trascurabile, ma sicuramente non
sono la parte piu' rilevante di quelli che vengono fregati).
Quelli che si fanno fregare, in stragrande maggioranza sono quelli che
usano come password "pippo", "pluto", <il nome della fidanzata>, <lo
username>, <la data di nascita> ecc.
il "ladro di indentita'" semplicemente accede all'account del "pollo da
fregare" o mettendo nome e cognome del suddetto pollo, oppure inserendo
mario.rossi o cose simili; lo fa manualmente e poi mette come password
"pippo", "pluto", un qualche nome di donna, qualche data.
E gente che si fa fregare cosi' ne trovano. Fino a un po' di tempo fa ne
trovavano molta. Se gli chiedi di cambiare la password prima mettevano
Elisabetta, poi quando la devono cambiare mettono Elisa o robe simili.
E il "ladro di identita'" deve solo fare un tentativo in piu'. 
Non e' che te lo dico per mia immaginazione. Hanno proprio fatto delle
statistiche su quel sito, per quanto riguarda questo tipo di problemi e
hanno visto che e' cosi' (o almeno lo era fino a 2-3 anni fa).
Probabilmente e' anche per questo che negli ultimi 2-3 anni la funzione
aziendale "sicurezza" ha monopolizzato tutte le attivita' e spesso un
progetto che non viene approvato da tale funzione non si fa, nemmeno se
non farlo significa perdere di decine di milioni di euro. Tanto anche se
ci rimettono, non sono mica sono soldi loro, sono soldi miei e tuoi.
Ciao,
Marco.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 cui google deve rispondere.
Concordo. Il problema non è l'attacco in se e per se, ma il fatto che
Google ha e vuole avere "in pancia" una miriade di informazioni più o
meno personali dell'utente.
Un pò come mettere tutti i tuoi risparmi dentro un'unica banca, se te
la svaligiano sei fregato.

 è tutto molto più centralizzato che 10 anni fa.
Mainframe 2: the return :-))

 modo mirato e "intelligente" ma sempre phishing. la tecnica è quella.
Qualche mese fa han fatto questo scherzetto anche con uno dei miei account
gmail che ho dal 2004 e che uso solo per comunicazioni personali, registrazione
a qualche sito e poco altro e che nulla hanno a che vedere con la Cina.
La mail avevo deciso di gestirmela in casa quando ancora gmail non esisteva
con le dovute precauzioni, anche se non sono mai stato paranoico al punto
da usare un hash simil-md5 per la pw e cambiarla 2 volte a settimana... 
ma nemmeno
tanto sproveduto da usare pippo, pluto o paperino, autenticarmi con protocollo
in chiaro o in pubblico.
Mi sento di escludere di aver abboccato ad un tentativo di phishing e di aver
utilizzato le stesse credenziali (email/pw) per la registrazione ad un 
altro sito,
anche se la stessa pw l'ho usata piu' volte.
L'attacco e' avvenuto in modo automatico. Si sono connessi da un ip cinese
(non ricordo se uno o due volte), hanno ricavato gli indirizzi email 
dei miei contatti
dalla posta di entrata/uscita in quanto non ho rubrica e hanno mandato 
una mail bcc
di pubblicita' ad uno store di telefonia cinese.
Da quanto ho potuto appurare senza poter accedere ai log, in modo automatico,
senza controllo dell'operatore.
Da ricerche effettuate, ma nemmeno tanto approfondite, avevo letto che in caso
di accesso ripetuto goggle dovrebbe bloccare l'account, ma non ho 
conferme ufficiali,
ne tantomeno ho ricevuto avvisi, se non a danno fatto.
A parte il notevole giramento di balle per scusarmi da quanto causatomi 
dal pirla
mi e' sembrato un attacco a dizionario o ad una falla di sicurezze 
anche se rimane
l'incognita lock.
Ho valutato l'ipotesi di attivare l'autenticazione a due step, ma per 
ora ho solo
optato per una pw discretamente piu' complessa e usata solo per quel account.
Nel caso dovessero entrare anche in questo caso ho deciso che, per
comunicazioni anche non troppo serie, gmail finira' nel cestino.
Un mesetto fa ho ricevuto una mail di scuse da un utente che segue una 
mailinglist
comune e mi son detto: toh un altro che si e' fatto fregare...
-- 
Mirko

 a qualche sito e poco altro e che nulla hanno a che vedere con la Cina.
guarda, un paio di anni fa mi capitò un episodio con una mail che non
era quella di google ma di yahoo (rocketmail, per la precisione). la
mail era praticamente dedicata ad ebay e nei periodi che non facevo
acquisti/vendite non la consultavo nemmeno. ad un certo momento mi
ritrovai l'account di ebay bloccato perché qualcuno l'aveva bucato e
aveva messo in vendita un centinaio di stronzate a mio nome. andando a
vedere mi sono accorto che attraverso quella mail erano riusciti a
completare tutto il giro di reimpostazione password di ebay, segno che
in qualche modo erano passati di lì.
come erano entrati francamente non lo so, anch'io in quel periodo non
usavo politiche di password particolarmente elaborate ma come te
nemmeno semplicissime. però da quel momento l'esperienza mi ha
scottato e ho deciso per un giro di vite, le password tutte diverse e
"strong" a costo di diventare keepass-dipendente (come lo sono
diventato).
se vuoi la mia opinione i punti deboli ci sono in tutti quei servizi
email gratuiti e di larga diffusione che per essere usabili scendono a
diversi compromessi: per esempio, la maggior parte di questi servizi
prevedono un meccanismo di recupero account nel caso di smarrimento
password, procedura che per quanto la si possa rendere sicura deve
comunque consentire all'utente di aggirare la sicurezza standard, è
chiaro che si tratta di una backdoor aperta se l'utente non pone
sufficiente attenzione a chiuderla (e tanti non lo fanno). purtroppo è
così.