Dopo l’era dell’ 899, il fantastico numero a super pagamento eccone spuntare altri due: 894 e 895.

Il fantastico 899 bloccato dall’Agicom a seguito delle lamentele dei consumatori sta per avere due nuovi amici.

Alcune compagnie telefoniche stanno già utilizzando le nuove numerazioni per i servizi ad alto pagamento.

Ed ora si aspetta il nuovo blocco di Agicom,ci sarà da aspettare tanto?

Analizziamo ora uno degli attacchi hacker più usati.

Teoria

Il Buffer overflow consiste nello sfruttare la mancanza di un controllo all’interno di programmi affacciati sulla rete.

Il programma in questione non controlla la lunghezza dei dati che riceve ma li scrive direttamente su un buffer di lunghezza prestabilita.

Se vengono inviati più dati di lunghezza maggiore di quella del buffer si blocca il programma o il computer, ma da qualche anno a questa parte si è scoperto che dimensionando a modo i dati extra si riesce a prendere il controllo del programma e a volte anche del computer attaccato.

Effettuare un attacco buffer overflow

Nelle seguenti righe verrà fatto un esempio di buffer overflow, serviranno particolari file, se si vuole effettuare tale test.

Cosa serve avere?

Vuln.c // Il sorgente del programma vulnerabile
Vuln.exe //Il programma vulnerabile compilato per Windows
Perl.exe + perl58.dll // Il compilatore perl a riga di comando
Exp.pl // Un file perl per effettuare l’exploiting

Iniziamo:
1) Mettiamo tutti i file in una cartella a nostro piacimento.

2) Osserviamo il sorgente del programma vulnerabile:

int main(int argc,char *argv[])
{
char buffer[500];
strcpy(buffer, argv[1]);
return 0;
}

3)Analiziamo il codice:
la prima riga decide che il programma ammette un argomento all’avvio (Per esempio: “Vuln.exe Ciao”).

La terza e la quarta sono decisamente piu interessanti, per cui l’argomento passato al programma viene inserito in un buffer che misura 500 byte.

4)Ed ecco l’attacco: se noi inseriamo un contenuto maggiore di 500 byte?

Il programma sovrascriverà la parte adiacente di memoria.

5)Ora proviamo:
se apriamo il file Exp.pl notiamo le seguenti righe:

6)Apriamo col prompt dei comandi il file Vuln.exe e procediamo.

Il carattere “pipe” redirige l’output della compilazione dello script perl (la stampa di 502 volte della lettera “a”,altrimenti impossibile da fare a mano) fino all’argomento del programma,tanto da risultare:

7)Il programma ha dato luogo ad un crash (su linux appare come “segmentation fault” nella shell).

Considerazioni finali
Se invece di accodare 2 caratteri in più nel buffer inseriamo del codice che il programma capisce e interpreta giustamente, possiamo fargli eseguire ciò che vogliamo.

Questo tipo di applicazione è chiamata shellcode.

Quando un attacker prova questo tipo di attacco non è in possesso del sorgente vulnerabile, ma va molto per tentativi.

Ecco un bel Easter Egg su FireFox 3, basta aprire una nuova scheda e digitare about:robots.

Bello vero?

L’Unione Europea permetterà le perquisizioni anonime sui computer dei cittadini.

Prima d’ora la polizia aveva bisogno di un mandato per poter accedere al computer dei cittadini, ora non sarà più necessario il mandato e potranno entrare in maniera anonima molto liberamente.

Naturalmente associazioni come Liberty , che si batte per la salvaguardia della privacy, hanno risposto ad un NO corale.

Non si può non pensare al fatto che gli inquirenti potrebbero utilizzare questo potere abusandone.

Questa è la storia del più grande hacker di tutti tempi, che è rimasto imprigionato per più di 5 anni in carcere e che ora è diventato consulente informatico nella sua azienda, la Mitnick Security Consulting.

Kevin David Mitnick nasce il 6 Agosto 1963 in California, a Van Nuys.

A 3 anni i suoi genitori divorziano, reincarna il tipico ragazzino brufoloso e solitario di certi film.

A 8 anni è gia radioamatore, a 9 anni inizia a girovagare per i negozi di elettronica del suo paese, alla ricerca di pezzi usati da modificare o studiare.

A 11 anni scopre i PC e i modem, e già a 13 anni riesce ad entrare nell’archivio della sua e delle altre scuole, da cui viene cacciato.

Trasferisce la bolletta di un ospedale(30.000 dollari) sul conto di un signore che gli stava antipatico.

Si battezza “Il Condor” dal film “I 3 giorni col condor”.

A 17 anni viene arrestato per la prima volta, per il furto di manuali informatici mediante trashing .

Per chi non lo sa il trashing è l’atto di rovistare nelle immondizie di fronte alle aziende importanti sperando di trovare documenti,dati,manuali sull’azienda.

Altri 3 arresti nell’ ‘83 nell’ ‘87 e nell’ ‘88.

Il giudice di Los Angeles, Mariana Pfaelzer, lo mette in carcere con una condanna superiore a quella richiesta dal Pubblico Ministero!!!

Il giudice nel 1999 deve decidere se far pagare a Kevin gli 80 millioni di dollari richiesti dalle Big Company (Motorola, Fujitsu, Nokia, Nec, Sun Microsystem, Novell).

Per una volta, decide di non aggiungere altri danni all’accusato.

Sono gli anni ‘90, e Kevin gira per tutti gli States nascondendosi, notebook e cellulare modificato, per carpire informazioni alle Big Company(IBM, Sun microsystem, Fujitsu) perchè Kevin è per la libertà delle idee.

Gli unici sistemi che non riesce a sfondare sono i VAX della Digital.

Allora agisce per altre vie, utilizzando il Social Engineering e spacciandosi per un dipendente di una filiale della Digital.

Intercetta le e-mail della Digital e così apprende anche questi segreti.

Ora fa il consulente per la sicurezza alla Digital.

Tornando agli anni ‘90, l’ FBI si muove e lui lo sa, si fa beffe di loro, modifica le comunicazioni.

Kevin nel frattempo è entrato ovunque: multinazionali, società d’informatica, agenzie governative.

Entra e copia: progetti, piani, budget, business plan, contatti, consulenze esterne.

Non vende nulla, non baratta, non cancella: apprende, impara, conosce.

Per lui la conoscenza è importante. Sa come funzionano le cose.

Capisce che il nuovo business sta partendo: telecomunicazioni, telefonia cellulare, satellitare, pay-Tv. I bit avanzano, l’analogico scompare. Kevin lo sa. Forse inizia a capire il potere che ha in mano.
Lo capiscono anche altre persone.

Kevin ha accesso ad informazioni riservatissime, e questo dà molto fastidio alle multinazionali.

Le lobby USA si muovono, l’FBI lo inserisce ufficialmente tra i “Top Wanted” , come per i peggiori criminali.

Il 4 Luglio 1994 appare sul New York Times un articolo sul “Condor” scritto da John Markoff.

Sul computer dell’esperto di sicurezza informatica del governo, Tsutomu Shimomura, appare un messaggio :
“Found me, i’m on the net”.

Inizia la sfida, durata 168 mesi.

Le multinazionali, il governo, l’ FBI e anche John Markoff gli danno la caccia.
Lo stesso Markoff lo fa apparire come un criminale sui giornali e Mitnick non ci sta.

Contatta il giornalista Jonathan Littmann.
Ecco il primo errore del “Condor”, si fida di una persona, e sbaglia…

Littmann si confida con Markoff, rivelando la posizione di Kevin.
Il “condor” sta per cadere.

Viene chiamata l’FBI che con un van blu lo preleva quasi fosse un super criminale.

La lista dei capi d’accusa è impressionante, farebbe impallidire Al Capone.
Viene condannato a 4 anni, mentre in USA per l’omicidio sono “solo” 3.

Lo mettono in isolamento per 8 mesi. Non gli danno la libertà neanche su cauzione.

Intanto Shimomura e Markoff scrivono un libro, “Sulle tracce di Kevin”, e incassano 750mila dollari.

Viene rilasciato nel gennaio 2000, ma con l’obbligo di non utilizzare Internet fino al 21 Gennaio 2003.
Attualmente è CEO per la sua azienda la Mitnick Security Consulting LLC.

Nel 2000 uscì anche un film, “Takedown”, sulla sua storia, ma con delle parti censurate dal governo USA.

Nel 2002 e 2005 scrive rispettivamente due libri, “L’arte dell’inganno” e “L’arte dell’intrusione”.

E’ uno studio fatto alla Princeton University che dimostra l’insicurezza di un computer spento.

Il componente incolpato è la RAM .

Cosa succede se la RAM del nostro pc, ritenuta da sempre invulnerabile dopo lo spegnimento del computer non lo fosse?

La RAM funziona in modo che i bit 0 e 1 siano associati alla capacità dei singoli moduli.

Es:

bit 0 -> modulo scarico

bit 1-> modulo carico

Con il passare del tempo la carica decade, allora entra in atto al funzione di refresh .

La funzione di refresh serve a ricaricare correttamente la RAM mantenendo l’informazione presente.

Quasi tutti sanno che, quando il pc viene spento, i dati in RAM dovrebbero perdersi.

Ma il problema è, quanto tempo richiede?

Si è scoperto che più si abbassa la temperatura e più il tempo di decadimento dell’informazione aumenta.

Ad una temperatura di 30°, lo svuotamento impiega 60 secondi con una percentuale di errore del 40%.

Diminuendo ancora la temperatura si ha la media di 2 minuti a -50° con una percentuale di errore prossima allo zero.

In alcuni casi, i moduli più vecchi di RAM mantengono l’informazione per 6 minuti a -50°.

Avere – 50° non è difficile, basta comprare una bomboletta di aria compressa al supermercato e spruzzarla sui banchi di RAM.

Utilizzando l’azoto liquido a -196° le informazioni restano in memoria per alcune ore.

Gli errori,poi, si possono correggere analiticamente.

Quindi le informazioni sensibili sarebbero a rischio.

Ora il punto è, come effettuare l’attacco?

La condizione ideale sarebbe di avere fisicamente a disposizione il pc o laptop che sia.

Anche essendo in stand-by, i dati restano memorizzati in RAM.

Una volta che si ha il pc sotto mano bisogna evitare che il bios o il s.o. sovrascriva la ram.

Per farlo si utilizza il Cool Boot Attack; cioè si forza ad uno spegnimento il pc(togliendo la batteria ad esempio).

Quindi bisogna avere un software leggero(non un s.o.) che esegua il dump(“il prelievo”) dei dati.

A Princeton hanno fatto anche questo, hanno creato un’applicazione stand-alone che occupa pochissima memoria e che può essere avviato da rete PXE, da disco USB o da EFI.

E se il bios è impostato in modo da non permettere il boot da periferiche esterne?

Si montano i moduli di memoria su un altra macchina.

Analizzando l’immagine della RAM si può anche riconoscere la chiave di crittazione del disco per programmi come Microsoft BitLocker, Apple FileVault e TrueCrypt.

Si è visto come molto probabilmente, attraverso calcoli crittografici si riesce a risalire alle chiavi nel 98% dei casi.

Come proteggersi?

-Cancellando la ram all’avvio, impostando il bios.

-Impedendo l’avvio da rete o dispositivi esterni, sempre da bios.

-Tenere d’occhio il sistema per qualche minuto allo spegnimento.

-Impedire l’accesso fisico ai moduli di memoria.

In poche parole il modo in cui il sistema vi protegge dall’esterno.

Vedremo in seguito come proteggerci.

Un sistema garantisce integrità se non permette la modifica dei dati da altri che non siano mittente e destinatario in modo che i dati siano integri quando arrivano al destinatario.