domenica 31 marzo 2019

Spie, spioni e spioncini


Ormai siamo quasi abituati ad essere spiati digitalmente, qualsiasi cosa facciamo.

Quello che non ci aspettiamo, però, è di essere spiati con gli stessi metodi e strumenti che lo Stato utilizza con certi indagati e presunti criminali.

E invece, è quello che è successo a un migliaio di ignari italiani in rete. Per quello che si sa, sono forse un migliaio. Il fattaccio è stato scoperto ed è raccontato molto bene qui:

Il software è stato chiamato Exodus (e tutti i media ne stanno parlando con questo nome), anche se sarebbe più appropriato chiamarlo "Munnizza" (nell'articolo citato è spiegato perché).

Da notare che stavolta i responsabili, su cui sta indagando finalmente la Magistratura, sono tutti italiani. Sì va bene, avranno forse utilizzato qualche semi-lavorato di provenienza estera, ma tutto il processo di ingegnerizzazione dell'hacking ai danni di ignari utenti italiani è opera di "italiani veri", conterranei a quanto pare di quel cantante che rese famosa questa espressione tanti anni fa, e di un famoso e bravo calciatore, ambedue (sia chiaro) completamente estranei a questa triste vicenda.

Non esito a definirla "triste", poiché gli esecutori materiali non si sono limitati a fornire ciò che il committente (lo Stato) aveva "legittimamente" richiesto, ma hanno coinvolto anche ignari cittadini assolutamente estranei alle indagini in corso, facendogli interpretare a loro insaputa il ruolo di "cavie", per verificare il buon funzionamento dello strumento di hacking.

Come se non bastasse, forse per motivi di velocità di consegna o di economia (non voglio pensare a casi di insipienza tecnica, che pure non sarebbero da escludere), il "fornitore" ha lasciato nel "prodotto" gravi falle tecniche che consentono a terze parti, assolutamente non legittimate, di agire come se fossero gli spioni ufficiali e legittimati dalle indagini.

Insomma, un triste caso di "captazioni ambientali" che si allargano a macchia d'olio ben oltre il terreno che sarebbe stato necessario. Spie, spioni e pure spioncini. Appunto.

giovedì 21 marzo 2019

Le debolezze dell'hardware

... ricadono anche sul software.

Si parla di falle scoperte nella gestione della memoria RAM da CPU Intel.

Una prima vulnerabilità si chiama "rowhammer" ed è stata scoperta un po' di tempo fa: con un metodo analogo al bruteforcing, permette a un programma che gira in ambiente utente (non privilegiato) di avere accesso a tutta la memoria RAM del computer, quindi anche a dati riservati, utilizzabili da malintenzionati per compiere azioni dannose. Restava la difficoltà pratica di mettere in atto questo attacco, che richiedeva molto tempo e consumo di CPU.

Più recentemente è stata scoperta "SPOILER" un'altra vulnerabilità nella gestione della memoria RAM, che permette sempre ad un programma che gira in ambiente non privilegiato, di ricavare una mappatura delle zone di memoria RAM utilizzate dal sistema. Questa mappatura facilita molto il "lavoro" di "rowhammer", riducendo il tempo necessario a trovare l'accesso desiderato.

Questa è una descrizione piuttosto sommaria del rischio posto dalla combinazione di queste due tecnologie di attacco informatico. Rimane solo da notare che, essendo problemi hardware, qualsiasi sistema operativo e ambiente software rimane soggetto a queste vulnerabilità.

Per i dettagli, rimando ad alcune fonti, seguendo le quali si possono trovare ulteriori approfondimenti.

Rowhammer:
https://www.theregister.co.uk/2015/03/10/rowhammer/
https://github.com/google/rowhammer-test

SPOILER:
https://www.theregister.co.uk/2019/03/05/spoiler_intel_processor_flaw/
https://www.amd.com/en/support/kb/faq/pa-240