L'evoluzione di Active Directory

Per chi ha avuto di interfacciarsi con Microsoft Active Directory a partire da Windows 2000 Server in poi, diventa spesso innaturale comprendere cosa è diventato AD oggi (ovvero una suite di componenti estremamente vasta che amplia il concetto originario di Dominio).

Ma andiamo con ordine.

In principio...

In principio Active Directory era identificato principalmente con il servizio di gestione dominio. Consentiva, difatti, di raggruppare oggetti (principalmente utenti, gruppi e computer) sotto un unico "cappello" denominato Dominio AD.

Nel 2000 esisteva un Domain Controller primario ed uno di backup che replicava. La differenza maggiore con l'introduzione di Windows Server 2003 consisteva nell'architettura "multimaster" in grado di rendere tutti i Domain Controller paritetici.

Da Windows Server 2008 vediamo sempre più strutturate le Group Policy (non che prima non lo fossero, ma da qui in poi le possibilità si ampliano esponenzialmente, anche grazie a Windows Vista e 7) e inizia a prendere forma la Suite AD come la conosciamo attualmente.

Lo stato dell'arte

Oggi, da Windows Server 2012 in poi, Active Directory è diventato una suite vera e propria che include staticamente 5 fondamentali strumenti che, seppur separati tra di loro, compongono i ruoli AD.

Servizi di Dominio (AD DS)

Si tratta di tutto il sistema di directory e gestione utenti, computer e dispositivi. Ovvero Active Directory esattamente come lo conoscevamo prima.

Nel prossimo articolo parleremo meglio di AD DS, di dove salva i file di schema, dei Cataloghi Globali e di Domini, Siti, Alberi e Foreste. E no, se ve lo state chiedendo, non mi è venuto il pollice verde.

Servizi di Federazione (AD FS)

Consente l’accesso alle risorse esterne mediante meccanismi di autenticazione ibridi. Non aggiunge nulla ad AD DS, ma consente di ampliare l'autenticazione e l'accesso alle risorse oltre i confini del proprio dominio AD.

Gli scenari sono tipicamente dei trust monodirezionali B2B oppure B2U.

La federation Trust è la possibilità di un’organizzazione di fidarsi di un’altra utilizzando, ad esempio, componenti autenticativi.

Servizi di Certificati (AD CS) 

Tutta la gestione delle chiavi, dei certificati e della relativa creazione e revoca. Sostanzialmente AD CS crea una Certification Authority attendibile per il dominio stesso (pur gestendo certificati di terze parti pubblicamente riconosciuti, ad esempio da utilizzarsi su webserver).

Sono molti i servizi che possono utilizzare un certificato interno (seppur self-signed). Servizi di Load Balancing, HA, autenticazione degli utenti, etc...

Il sistema AD CS supporta, inoltre, un meccanismo di enrollment (o reclutamento, in italiano) in grado di generare un certificato al primo accesso.

Lightweight Directory (AD LDS)

AD LDS è un archivio vuoto simil AD DS, con accesso LDAP, ma senza le restrizioni dello schema AD normale. Tipicamente viene utilizzato per non "sporcare" lo schema AD DS, pur utilizzandolo per altre applicazioni.

Supporta Istanze Multiple, ed ogni istanza contiene 3 partizioni: Schema, Configurazione e Applicazione.

Le porte predefinite 389 e 636 possono essere cambiate in fase di configurazione. Se il server è anche un controller di dominio, lui proporrà porte libere, ovvero 50000 e 50001.

Possiede una serie di tools:

Wizard > crea nuove istanze e nuove repliche

ADSIEdit > visualizza e modifica i dati

LDP > come sopra + creazione istanze applicative

Ldifde e Csvde > importa/esporta dati

Dsacls > setta i permessi

AdamSync > sincronizza delle istanze ADDS con ADLSD

ADSchemaAnalyzer > usato nella migrazione dello schema AD in ADAM

Gestione Diritti (AD RMS)

A mio avviso uno dei servizi più interessanti, dopo l'immancabile AD DS, ovviamente. Gestisce la sicurezza del dato (utilizzandolo con un software compatibile), estendendone i permessi anche al di fuori del perimetro o del dominio aziendale.

Facciamo qualche esempio:

Word/Excel/PowerPoint: posso impostare un permesso di lettura e di scrittura anche per singolo destinatario ed anche vincolato da un periodo di validità (oltre il quale il file diventa non più utilizzabile). Posso impedire la stampa pur consentendone la visualizzazione a video, ad esempio.

Outlook: Posso impostare il blocco dell'inoltro dell'email o, come sopra, impedirne la stampa ma non la visualizzazione a video.

E così via per Explorer e indicativamente tutti i software Microsoft RMS compatibili.

Affinchè il servizio RMS funzioni correttamente, un server RMS deve essere pubblicato. L'applicativo dell'utente destinatario che aprirà il file riconoscerà la crittografia mediante servizio RMS e saprà, quindi, a quale server pubblico rivolgersi per ricevere i permessi riguardanti le operazioni consentite.

Il Deep Web spiegato a mia nonna

Era un po' che avevo voglia di scrivere due righe su questo argomento e di recente le mie letture hanno risvegliato l'esigenza di spiegare, con parole povere, cos'è il Deep Web (o web profondo, darkweb, web oscuro, etc.). Per lavoro, occupandomi di sicurezza informatica, sono portato a conoscere alcuni argomenti come questo. Almeno in minima parte e seppur non condividendo, da ferreo sostenitore della legalità anche in un mondo pseudoanarchico come quello informatico, la maggior parte dei contenuti che vi è possibile trovare all'interno.

Molto spesso anche i più informati ignorano cosa ci sia dietro e quanto sia pericolosa quella zona dove tutto è concesso e, man mano che ci si spinge oltre, tutto è illegale. Non è inusuale parlare di sicurezza informatica e vedere facce stupite quando si affrontano le tematiche relative al mercato nero della compravendita di server o computer compromessi. La domanda che sorge spesso spontanea è "si, ok, ma dove avviene?".

Percezione comune

Nell'immaginario comune il web è a dir poco sterminato. E' sufficiente cercare qualsiasi cosa con google per rendersi conto dei milioni di risultati che questo comporta. Ora immaginate per un attimo che (da una recente statistica) google e tutti i motori di ricerca riescano a raccogliere appena il 4% dei siti (l'immagine sotto è decisamente ottimistica).

Immaginate, ora, che una parte di server web sia stata volontariamente fatta rimanere all'oscuro e nell'anonimato. E immaginate quanto questo sia in contrasto con ciò che vediamo quotidianamente: profilazione, pubblicità mirata, informazioni riservate nelle mani di grandi gruppi (facebook e google, per dirne una).

Il Deep Web: strati e profondità

Molto spesso il deep web viene considerato come un oceano o, meglio, come un iceberg. Ciò che sbuca è il visibile e, man mano che ci si addentra in profondità, l'ambiente diventa sempre più ostile, sempre più opaco.

Diamo una misura al nostro iceberg, diciamo 3000mt. di profondità.

In superficie c'è Google, c'è Facebook, Twitter, il sito di ricette di cucina e quello dell'azienda di commercio online. Tutto ciò che è classificabile con un motore di ricerca è lì, per essere consultato. Anzi, si spendono un mucchio di soldi per ottimizzare il proprio sito affinchè compaia in alto nelle ricerche di google.

Poi c'è un limbo subito sotto la superficie, diciamo 100 mt sotto. In questo limbo molti accedono, ma senza alcuna precauzione. Si scaricano torrent, video coperti da copyright e ci si vede la partita in streaming. Lo si fa più che altro perchè ci si ritrova per necessità e perchè si è trovato il link giusto. Sempre da google (tenete a mente questo particolare, non è da poco). I più smanettoni si fermano qui pensando che questo sia il "dark web". Bhè, probabilmente non siamo arrivati nemmeno al 10%.

Continuiamo il nostro viaggio, scendiamo a 500 mt. Ora non possiamo più andare in apnea. Abbiamo bisogno di un'attrezzatura adeguata, la vita è pericolosa a queste profondità. La nostra attrezzatura si chiama Tor. Tor è un sistema di anonimizzazione, il più famoso, in grado di far rimbalzare la nostra connessione su svariati nodi, facendone perdere le tracce. Ad oggi, pare che quasi metà della rete Tor sia stata compromessa dall'NSA, ma non vi è certezza. Rimane, comunque, un metodo rapido e veloce per diventare anonimi.

Da questo momento in poi, i motori di ricerca convenzionali non riescono più a catalogare nulla e chi si trova qui, del resto, non vuole essere catalogato, se non da motori di ricerca specialistici. Per cercare qualcosa, bisogna andare su Grams (il nome, letteralmente "grammi", la dice lunga sulla tipologia di richiesta in cui il motore di ricerca è specializzato),  Torch e motori "particolari", in cui si entra solo se il proprietario del sito lo ha voluto. Motori, tra l'altro, che hanno politiche molto diverse sulla raccolta delle informazioni degli utenti. Qui ognuno tende a farsi i fatti suoi.

Da qui in poi, inoltre, il web diventa scarno, le immagini rarefatte. Sembra di essere tornati indietro di un decennio. C'è un motivo: l'anonimato comporta una serie di rimbalzi che abbassano di molto la banda a disposizione. Se un'immagine non serve, non va messa. Qui non si punta all'estetica, ma alla sostanza.

Ovviamente, da qui in poi, scordatevi tutti i vincoli legali che ha il web tradizionale. Sito collegato alla persona fisica o giuridica, leggi che regolamentano il commercio online, tracciabilità finanziaria.. roba da farsi una risata. Da questo momento in poi inizia il far west. Non esistono regole. E per fare questo serve una moneta libera da vincoli: il bitcoin. Ma questa è un'altra storia...

Con il nostro sommergibile siamo arrivati a 2000 mt. Nessuno sa nulla di nessuno, qui puoi accedere a quanto più viscido possa produrre la razza umana. Se ci sei arrivato "in chiaro", sei un pazzo e stai rischiando grosso, e seriamente. Non come aver venduto l'iPad guasto per funzionante ad un tipo su Subito.it, qui la faccenda si fa seria.

Se sei qui, allora teoricamente parrebbe tu possa:

• accedere a pornografia illegale
• comprare e vendere armi
• comprare e vendere droga o farmaci
• assoldare un killer (pare che i prezzi si aggirino intorno ai 12.000 dollari in america e 10.000 euro in europa, previa approvazione)
• vendere e comprare botnet, computer e server compromessi
• vendere e comprare qualsiasi cosa normalmente non vendibile
• accedere a materiale normalmente censurato (vivisezioni, cadaveri, documenti riservati, c'è di tutto)
• acquistare carte di credito clonate
• acquistare moneta e titoli falsificati
• accedere a forum decisamente illegali e di organizzazione di attività criminose

Intendiamoci, qui tutto è ofuscato, opaco. Nessuno vi saprà dire quanto sia vero o falso. Nessuno può garantire che il vostro acquisto venga poi onorato. Avvalersi del diritto di recesso sembra essere alquanto difficile a queste profondità.

Se vuoi qualcosa, devi conoscere i siti giusti, probabilmente devono averteli comunicati le persone giuste e comunque rassegnati, qui tutto cambia in fretta. Un sito oggi raggiungibile ad un indirizzo (scordatevi i link comodi, questi sono perlopiù stringhe di caratteri), domani non lo può essere più.

Scendendo tra i 2000 ed i 3000mt i server utilizzeranno la rete onion per rendere anonimi e non tracciabili i loro servizi. I link in genere terminano per .onion. In questa fascia non ci capiti per caso e le informazioni non le trovi attraverso un motore di ricerca. Sostanzialmente nulla è legale qui.

Conclusioni

C'è poco da dire, il web è sterminato. E' una città. E come ogni città, ha dei vicoli bui che è meglio non percorrere. Dei vicoli dove sai bene prima di entrarci che potresti uscirci molto male.

E' uno dei motivi per cui, volontariamente, questo articolo vuole avere esclusivamente carattere informativo, non tecnico. Parla in maniera superficiale e banale di un argomento invece estremamente vasto. E se mi permetti un cosiglio (considerando il titolo di questo articolo probabilmente non hai dimestichezza con il deep web, altrimenti non l'avresti letto), se puoi, evita di giocare con il fuoco. Perchè ci si può anche bruciare. C'è chi paragona uno sprovveduto che naviga nel deep web ad un turista con un vistoso Rolex al polso mentre gira per vicoli malfamati.

Utilizzo di un Antivirus in un contesto aziendale

Differenze

L'utilizzo di un antivirus in un contesto aziendale differisce di molto rispetto ad un uso esclusivamente domestico. Salvo rare eccezioni, difatti, gli antivirus free non sono consentiti ad uso commerciale. Quindi utilizzare un antivirus free su una macchina aziendale equivale a non avere affatto la licenza, esponendoci ad una violazione della stessa. Gli antivirus free, inoltre, solitamente non possono essere installati sui server. Non che questo serva sempre (anzi), ma comunque è un aspetto da tenere in considerazione.

Quali caratteristiche deve possedere un antivirus aziendale?

• Innanzitutto deve disporre di una console centralizzata in grado di monitorare i dispositivi connessi.
• In secondo luogo, è opportuno che un server centrale distribuisca gli aggiornamenti ai client, evitando quindi che le stesse definizioni vengano scaricate decine, a volte centinaia, di volte generando del traffico superfluo.

Diamo uno sguardo

Intendiamoci, lungi da me esprimere delle opinioni sull'affidabilità o sulla bontà dei vari motori antivirus. Lo scopo di questo articolo non è definire chi sia il migliore, ma dare uno sguardo agli strumenti in grado di gestire più macchine contemporaneamente.

Personalmente ritengo che sia estremamente difficile stabilire una classifica dell'efficacia di un antivirus, per vari motivi. Primo: la situazione è estremamente variabile ed una considerazione fatta oggi può già non valere più tra una settimana. Secondo: semplicemente alcuni antivirus rilevano dei virus che altri non rilevano, e viceversa. E ritengo che la situazione sia tutto sommato estremamente equilibrata. Manca, sostanzialmente, un parametro di valutazione. Anche il numero di signature è irrilevante, perchè un numero inferiore può anche corrispondere ad una maggiore capacità di rilevare un virus trovando la sua "radice" (molti virus sono piccole modifiche di virus già esistenti).

Premessa:

Ho avuto modo di lavorare con le console elencate di seguito, non ho citato altri antivirus semplicemente perchè non li ho utilizzati in scenari professionali oppure li utilizzo da troppo poco tempo per trarne delle, seppur banali, conclusioni. 

Non disponendo di sfere di cristallo in grado di prevedere il futuro successivo alla stesura di questo articolo, vi consiglio sempre, in caso di prodotti gratuiti, di rileggere le condizioni contrattuali degli stessi.

AVG Business

Un ottimo prodotto, semplice da installare e semplice da distribuire. La console è intuitiva e l'antivirus snello, completo e soprattutto molto automatizzato.

- Ha una console centralizzata di gestione

- Distribuisce gli aggiornamenti ai client

- Gestisce device MAC e Windows

www.avg.com/it-it/antivirus-business

Sophos EndPoint Protection

Sophos è un prodotto di fascia enterprise. Molto complesso da installare e difficile da distribuire se si hanno sedi remote non connesse in VPN (è necessario creare un server di distribuzione, e l'operazione non è proprio immediata). Ha funzionalità estese e, nella sua licenza EndPoint, è in grado di effettuare operazioni particolarmente utili (content filtering, blocco dei supporti di memorizzazione USB e masterizzatori, crittografia del disco, etc..).

- Ha una console centralizzata di gestione

- Distribuisce gli aggiornamenti ai client

- In licenza EndPoint consente una serie di funzioni aggiuntive

- Gestisce device MAC e Windows

In un caso mi è capitato di segnalare un virus non rilevato (e ignoto a tutti gli antivirus, a detta di VirusTotal https://www.virustotal.com/it/ ). Ci hanno lavorato di notte (la sede è Americana) ed il giorno dopo era l'unico antivirus in grado di bloccare la minaccia. Del resto è l'antivirus utilizzato da quasi ogni istituto governativo USA.

Degno di nota è il supporto Italiano, competente ed immediatamente disponibile.

http://www.sophos.com/it-it/products/endpoint-antivirus.aspx

Avast! Business

Avast ha di recente cambiato la sua politica commerciale ed è, ad oggi, uno dei pochissimi antivirus free ad uso aziendale. Le funzioni sono certamente limitate (salvo passare alla versione premium) ma indubbiamente si tratta di una soluzione "low cost" (anzi, zero cost) perfettamente in regola.

- Ha una console centralizzata di gestione, via web (quindi semplicissima da gestire e non richiede installazione lato server, tuttavia la comunicazione con i client non è immediata)

- NON distribuisce gli aggiornamenti, i client continuano ad aggiornarsi autonomamente

- La versione Premium ha funzionalità estremamente interessanti (tra cui la crittografia in caso di hotspot pubblico, etc..)

- Gestisce device MAC e Windows

A breve rilasceranno la versione mobile, completando la soluzione già di per se interessante.

https://www.avast.com/avast-for-business

Altri Antivirus

Immunet

Immunet è una soluzione standalone, non dispone di console centralizzata e di distribuzione degli aggiornamenti. Ha tuttavia un vantaggio interessante, ovvero la possibilità di essere installato come "second line of defense" (volendo parafrasare un termine tipico della sicurezza perimetrale). Non interferisce con gli antivirus già installati. Dispone, inoltre, di una vivace e collaborativa community.

http://www.immunet.com/main/index.html

ClamAV

Se le vostre email transitano da un server Linux, avete una ragionevole probabilità che le stesse siano passate da questo antivirus. E' sostanzialmente un must per i mailserver (vuoi perchè gratuito, vuoi perchè veloce, vuoi perchè molto seguito), ed esiste un porting anche per altri sistemi operativi. Non ha centralizzazione con console e distribuzione degli aggiornamenti (salvo non implementarla autonomamente) ma consente l'adozione di database extra spesso estremamente efficaci.

http://www.clamav.net/download.html

Conclusioni

Personalmente ritengo le tre alternative valide, pur coprendo segmenti ed esigenze diverse.

Di sicuro, se avete antivirus scaduti o free (ad uso esclusivamente domestico), passate alla versione gratuita di Avast Business. Almeno sarete in regola ed avrete un antivirus aggiornato. Le soluzioni standalone sono valide, ma potrebbero essere scomode da gestire con un numero di postazioni e server superiore ad una decina.

CryptoLocker e strategie difensive in contesti aziendali

Ultimamente si sente sempre più spesso parlare di CryptoLocker et simila. La modalità è sempre la stessa: un malware crittografa i dati dell'utente rendendoli inservibili salvo corrispondere un contributo e ricevere la chiave di sblocco. Si tratta, sostanzialmente, di una forma di estorsione informatica purtroppo estremamente comune.

Come possiamo proteggerci o limitare i danni?

Partiamo con il dire che le nostre azioni non possono che essere preventive perchè, una volta crittografati i file, la questione si complica e diventa molto difficile uscirne illesi.

Prendiamo uno scenario tipico: azienda con N utenti in Dominio AD, percorsi di rete con dischi mappati e file in comune.

In uno scenario di questo tipo, valgono le regole generali di buon senso:

1. Un utente è un utente, non un amministratore (anche della sua macchina).

L'ABC della sicurezza informatica detta, in testa, la regola base per cui un utente è solo un utente, non un amministratore di sistema. Sarà più scomodo, ma è così che funziona. Il metodo più rapido per farsi male è lasciare agli utenti la possibilità di installarsi ogni tipo di programma in maniera anarchica ed incontrollata. In questo specifico caso, tuttavia, è bene precisare che CryptoLocker agisce sulla possibilità o meno dell'utente di accedere ai file, anche senza alcuna permission escalation. Quindi questa regola rimane in testa, ma la sua efficacia in questo scenario è abbastanza marginale.

2. Limitare l'accesso alle risorse strettamente indispensabili

Se non vi sono motivi specifici affinchè il magazziniere debba accedere ai dati amministrativi, questa possibilità deve essere inibita. Se un utente, facente parte di un'Unità Organizzativa o di un Gruppo, non ha necessità di scrivere (ma solo di leggere) in un percorso solitamente utilizzato da altri utenti, limitarne i permessi. Questi accorgimenti ci consentiranno di limitare i danni ad aree relativamente circoscritte.

3. Limitare l'esecuzione dei file non necessari

File eseguibili, script e file pericolosi spesso vengono erroneamente accettati dai sistemi di frontend. Nel caso delle varianti di CryptoLocker, ho assistito principalmente alla diffusione di file .scr. E' opportuno che i MailServer impediscano la ricezione di email contenenti allegati di questo tipo (anche all'interno di file compressi).

Un altro ottimo modo per gestire l'esecuzione di file è dotare la struttura di EndPoint Protection in grado di inibire l'esecuzione di allegati pericolosi, a prescindere dal contenuto malevolo o meno, direttamente sui client. Valutare l'investimento di un Antivirus che abbia anche funzionalità di EndPoint Protection non è mai una cattiva idea.

Ecco un esempio di blocco di allegati pericolosi su un mailserver Linux Postfix con controllo dei file compressi tramite ClamAV:

Aggiungere il Reject per gli allegati con estensione specifica:

/etc/postfix/mime_header_checks (aggiungere il riferimento a main.cf)

/name=[^>]*\.(bat|com|exe|dll|vbs|scr)/ REJECT tipo di allegato eseguibile non consentito

Aggiungere il blocco per gli allegati contenuti in file compressi, anche crittografati (ma con nome in chiaro):

/var/lib/clamav/extfile.rmd

Allegato.con.Estensione.non.consentita.1a:0:.*\.(bat|com|exe|dll|vbs|scr)$:*:*:*:*:*:*
Allegato.con.Estensione.non.consentita.1b:1:.*\.(bat|com|exe|dll|vbs|scr)$:*:*:*:*:*:*

copiare extfile.rmd in extfile.zmd e riavviare clamd e postfix

4. Centralizzare i dati su FileServer

Ovviamente, gli utenti devono lavorare su FileServer e mai in locale. Per svariati motivi che spaziano dalla maggiore ridondanza hardware che un Server possiede ad una facilità di gestione dei dati stessi. Sembra scontato, ma non lo è. In caso di utenti recidivi, è sempre possibile mappare le cartelle di profilo direttamente sul proprio Server.

4. Backup, backup e backup

Inutile soffermarsi oltre, un backup salva la situazione. Sempre. E' necessario, tuttavia, ricordarsi che CryptoLocker può cercare dischi connessi, quindi i backup devono essere fatti correttamente, ovvero su supporti non accessibili dagli utenti (ma solo dai sistemi di backup). Possibilmente devono andare offline, su supporti a scrittura sequenziale e locati altrove. A volte questo è l'unico modo per recuperare un file crittografato. Perderemo qualche ora di lavoro, ma nessuno si lamenterà conoscendo l'alternativa: perdere definitivamente il file.

Ad oggi le varianti in grado di leggere i dati dai dischi di rete mappati e crittografarne il contenuto sono abbastanza poco diffuse, ma esistono ed è necessario tenerne conto. Molto più frequente, invece, è la possibilità che Desktop, Documenti e cartelle legate al profilo utente vengano crittografate a prescindere dalla locazione fisica (se sul disco locale o su un FileServer in rete).

5. ShadowCopy

Questo è indubbiamente il metodo più rapido per ripristinare il contenuto delle directory compromesse. Abilitando l'utilizzo delle ShadowCopy sui FileServer (ma anche sui client, se volete), avremo la possibilità di ripristinare una directory in una condizione precedente.

Durante la fase di configurazione delle copie Shadow, visto anche il basso impatto computazionale anche su FileServer relativamente carichi, potrebbe essere opportuno incrementare il numero di SnapShot giornalieri. Normalmente io ne pianifico due o tre, in base al contenuto del volume.

6. Una macchina compromessa, è una macchina compromessa

Non perdete tempo a recuperare la situazione, una macchina compromessa può essere solo formattata. Punto. Ogni altra operazione crea l'illusione di offrire una strada più rapida verso il ripristino delle funzionalità della macchina stessa, ma il più delle volte si dimostra essere una lotta del tutto inutile e "donchishiottesca".

In bocca al lupo, e ricordatevi la premessa: queste sono azioni preventive. Se siete giunti qui perchè avete già il problema, questa pagina non vi sarà d'aiuto. Se siete giunti qui, invece, per un approfondimento, allora questo è il momento giusto (se necessario) per sistemare qualche aspetto dell'infrastruttura IT. Non dopo.

Attacchi di tipo Social Engineering nel reale

Durante la giornata di ieri sono stato coinvolto da un mio cliente, che ovviamente lascerò anonimo, per un attacco di tipo Social Engineering, ovvero che conteneva un aspetto "sociale" estremamente forte. L'attacco ha causato una perdita economica estremamente considerevole e difficilmente recuperabile.

Il social engineering consiste nell'introdurre una componente sociale importante in un attacco che di tecnico potrebbe avere anche poco o nulla. Un esempio "didattico" lo introdussi quando uno dei miei attuali collaboratori iniziò a lavorare per noi. Per trasferire l'importanza della sensibilizzazione degli utenti, gli chiesi di chiamare dei clienti a caso, presentarsi come uno dei nuovi tecnici dell'azienda manutentrice e chiedere loro, con una scusa qualsiasi, la password d'accesso ai propri computer. Con suo immenso stupore, una percentuale molto alta diede la password pur non avendo mai sentito la voce ed il nome del nuovo collaboratore. Da quel giorno nacque una continua campagna di sensibilizzazione, perchè investire tempo su un utente non è meno nobile di investirlo nella revisione delle regole di firewalling o nella messa in sicurezza di un server pubblico.

Tutti noi, chi più chi meno, abbiamo fatto gli anticorpi ai file .zip o .exe, o, in genere, agli allegati via posta. Più o meno sappiamo riconoscere il phishing quotidiano e, con gradi di perspicacia certamente differente, ne stiamo alla larga. Ci sono, tuttavia, degli attacchi in grado di portare l'effetto ad un livello superiore.

Proviamo, quindi, ad analizzare step-by-step l'attacco avvenuto, tenendo in considerazione che non solo si tratta di un attacco reale, ma che ha sortito l'effetto voluto verso utenti solitamente attenti e affatto superficiali.

- step 1: la compromissione tecnica

la casella di posta di un fornitore del mio cliente viene compromessa. L'attaccante, a differenza di quanto accade normalmente, rimane in ascolto. Legge tutte le email ed elabora un piano attendendo una situazione favorevole.

- step 2: la situazione fa l'uomo ladro

il fornitore entra, dopo qualche settimana, in una situazione debitoria. L'attaccante, quindi, registra un dominio molto simile a quello originario (utile solo ad impostare il "rispondi a") e manda un'email al mio cliente dalla casella reale e compromessa del fornitore indicando la nuova banca per effettuare il bonifico. Trattandosi di una situazione internazionale, il fatto che la banca fosse altrove non ha destato alcun sospetto.

NB: L'email riportava l'intero elenco della conversazione con svariati reforward precedenti, i riferimenti reali dell'ordine (numero, data, importo, merce), le firme, i nomi degli interlocutori, lo stile discorsivo e sintattico del mittente originario. Non è un semplice phishing, era per tutto ed in tutto assolutamente veritiera. Era studiata perfettamente nei minimi dettagli ed era frutto di un'analisi durata probabilmente settimane.

- step 3: la veridicità

il mio cliente risponde (e la risposta va in automatico sul nuovo dominio del "rispondi a", tenendo all'oscuro il fornitore originario), lo scambio di email si interrompe alla seconda risposta, dove si indica di aver effettuato il bonifico correttamente.

Dopo qualche giorno, il fornitore reale invia richiesta di saldo, e si scopre il tutto.

Morale della favola: la sicurezza informatica non può prescindere da una buona dose di diffidenza e conoscere il fenomeno degli attacchi a sfondo sociale è assolutamente fondamentale. Questo esempio è, purtroppo, un perfetto esempio di come molto spesso un grado tecnico relativamente elementare può, se sfruttato al meglio e se coadiuvato da tecniche di tipo sociale, causare gravi danni.

WiFi ad altissima densità (eventi sportivi, concerti, etc..)

Recentemente ho avuto l'onore di essere coinvolto come responsabile informatico di una delle sei sedi di un importante evento sportivo: un mondiale di uno degli sport più diffusi al mondo dopo il calcio.

Questa esperienza, durata per ben due settimane, mi ha consentito di accumulare nozioni in uno dei campi più ostici e meno riproducibili del mondo del wireless. Progettata fin dall'inizio seguendo determinate logiche, alcuni importanti accorgimenti, giorno dopo giorno, ci hanno consentito di trovare un equilibrio perfetto ed erogare il servizio oltre ogni più rosea aspettativa.

Lo scenario e gli obiettivi

Lo scopo era erogare connettività wireless e cablata a circa 100 giornalisti (ed operatori) internazionali per un totale di circa 350-400 apparati (tra server, sistemi di gioco, utilizzatori e devices secondari). Tutti i dispositivi avevano necessità di bande importanti, dovevano trasmettere i video ed il materiale fotografico durante e dopo le partite e molto spesso i giornalisti avevano in stream la partita stessa che stavano vedendo dal vivo, per visionare moviole ed ascoltarne i commenti live.

La location: un palazzetto dello sport, capienza circa 6000 spettatori (molto a ridosso del campo di gioco), sempre pieno durante le competizioni in cui si esibiva l'Italia.

Il sistema: 17 access point (13 2,4Ghz e 4 5Ghz), gestiti da un controller centralizzato in grado di intraprendere azioni sugli utenti (spostarli di cella, bloccarli, etc..).

Qualche numero

In due settimane di evento sono stati trasferiti circa 6 Tb di dati, di cui oltre 2 Tb su wireless.

Durante la competizione circa 450 device hanno avuto accesso ed hanno utilizzato la rete wireless almeno una volta.

Abbiamo "subito" l'accensione di circa 600 access point indesiderati ed abbiamo avuto un totale di quasi 50.000 spettatori complessivi nelle 9 giornate di manifestazione.

I problemi

In situazioni di questo tipo, all'aumentare degli spettatori aumentano i problemi. Avere 8.000 device che fanno anche solo una scansione di rete ogni 120 secondi, comporta un carico per le celle non indifferente. Basti pensare al momento in cui le squadre sono schierate e parte l'inno nazionale della nazione ospitante. Migliaia di device verranno riaccesi per filmare il momento o fare delle foto, e questo comporta delle operazioni in background che finiscono per incidere sull'impianto.

Come se non bastasse, ogni squadra, ogni sistema video, ogni sistema audio, ogni sistema di gioco (dai tablet per gli arbitri allo scoresheet) richiede l'utilizzo di apparati radio, spesso mal configurati e con ampiezze di banda larghissime e potenze estremamente alte.

Ad aggiungere una ulteriore dose di problemi non da poco, molti utilizzano i propri device come hotspot, creando a tutti gli effetti centinaia di access point in sovrapposizione ai soli 3 canali utilizzabili del wireless a 2,4ghz. Nelle due settimane dei mondiali, abbiamo avuto un incredibile numero di quasi 600 rogue access point rilevati in conflitto con il sistema installato.

(questi sono i canali in sovrapposizione superiori ai -65db, non sono visibili i circa 30 access point sotto questa soglia, fondamentalmente hotspot privati)

Per chi fa wireless, questa è la tempesta perfetta e supera di molto gli ingredienti necessari per rovinare una piacevole serata.

Chi ha dimestichezza con gli analizzatori di spettro, troverà certamente interessante la schermata di cui sopra.

Le contromisure e le precauzioni adottate

• Aumentare il numero di access point al massimo possibile, evitando le sovrapposizioni di canali. Quindi questo significa che in ogni ambiente dovrò avere un massimo di 3 access point, rispettivamente sui canali 1,6,11. Le connessioni tenderanno a bilanciarsi naturalmente e le performance ne beneficieranno.

• Utilizzare quanto più possibile la rete a 5Ghz; ormai molti telefoni, tablet e notebook hanno la radio a 5 e preferiranno questa modalità rispetto a quella a 2,4Ghz. Nei momenti di massima congestione, i device a 5Ghz, nel mio caso, avevano oltre 25Mbit di banda utilizzabile, contro i 3Mbit di quelli a 2,4ghz.

Riguardo questi due punti, le mie aree "critiche" erano 3: uffici, sala stampa e area giornalisti a bordo campo. Creando isole di (massimo) 3 AP a 2,4Ghz e 2 AP a 5Ghz abbiamo gestito efficacemente anche 160 connessioni simultanee e a spalti completamente pieni.

• Abbassare le potenze: è assolutamente fondamentale avere potenze basse, meno pubblico "prende" la rete e meglio è. Le celle devono coprire delle aree ridottissime e null'altro. Questa è la chiave di tutto. Utilizzare dove possibile delle antenne fortemente direttive, diffondere omnidirezionalmente non è sempre la scelta giusta, soprattutto in questi casi.

• DHCP veloci! Se avete dei DHCP parassiti (e ne avrete tra i mille apparati che si collegheranno), gli unici due modi per non farsi rilasciare IP sbagliati sono: 
• 1) impostare il dhcp snooping su tutti gli switch (ma non è cosa semplice perchè questa funzione è gestita da switch di profilo medio-alto e non potrete propagare tutto questo anche sugli switch da poche porte che serviranno a gestire situazioni impreviste
• 2) avere server DHCP veloci, in grado di rilasciare IP prima che lo facciano altri; nel mio caso ho utilizzato 3 server DHCP nei 3 armadi di distribuzione verticale.

• Gestire le band limitation: gli abusi sono all'ordine del giorno, è importante limitare l'utilizzo di chi "esagera". E per esagera io ho definito il limite di 30Mbit di banda internet utilizzata per più di 15 minuti. Superata questa soglia il client veniva limitato a 5Mbit e successivamente a 3Mbit. Ovviamente è importante definire chi deve fare traffico perchè è il suo scopo, quindi nel mio caso i fotografi potevano caricare senza limiti in ogni caso.

• Cercare gli AP di terzi, gestirli, limitarli, offrirsi di riconfigurarli per evitare sovrapposizioni di bande. Questo aspetto più "sociale" che tecnico non è affatto da sottovalutare.

• Utilizzare ampiezze mai superiori ai HT20 (spesso definito come "velocità massima") sia sul 2,5 che sul 5Ghz. Eviteranno di catturare disturbi e sovrapposizioni, garantendo comunque una banda più che sufficiente in tutte le condizioni.

• Incentivare l'utilizzo della rete cablata. Sembra banale, ma non è scontato che una patch a 20 cm dal proprio notebook venga preferita alla connessione wireless.

• Non sottovalutare l'aspetto "networking tradizionale", laddove possibile raddoppiare i link in LACP o utilizzare percorsi ridondati in Spanning Tree non è mai una cattiva idea.

Personalmente ho ritenuto utile (purtroppo mi è venuto in mente solo alla fine della competizione) anche adottare un piccolo stratagemma: definire le potenze "a regime", ma poi mantenere gli apparati al massimo della potenza (fino a qualche minuto dal momento della "congestione radio"), lasciando libero un canale. Tutti gli Access Point parassiti (dalle chiavette agli hotspot), tenderanno a posizionarsi in "auto" sul canale più libero, quindi a regime potrete ribassare le potenze nella speranza che gli access point che non è stato possibile limitare, si siano spostati tutti sul canale lasciato volontariamente libero. Molti di loro negoziano il channel solo all'accensione, e non periodicamente.

TrueCrypt è morto?

TrueCrypt ha sempre destato fascino in alcuni e noie per altri. Ma andiamo con ordine.

Cos'è TrueCrypt?

Per i pochissimi che ancora non sanno cos'è TrueCrypt, basti pensare che ormai era diventato un must nel mondo della crittografia multipiattaforma. Che il tuo sistema operativo fosse Windows, Linux o Mac, poco importava, potevi montare un volume integralmente crittografato per poi smontarlo appena terminato. I volumi erano visti come macro file della dimensione del disco montato. La semplicità, la sicurezza e l'efficacia di TrueCrypt lo hanno da sempre, e per moltissimi anni, spinto in vetta nei download.

A chi crea problemi TrueCrypt?

TrueCrypt crea problemi a chi vuole accedere ai dati crittografati. 

Il suo codice opensource era trasparente, nessuna organizzazione poteva introdurre facilmente backdoor. Avevamo, quindi, un software incredibilmente stabile (io uso truecrypt da circa 10 anni, e non ricordo di gravi vulnerabilità che ne abbiano mai compromesso significativamente il sistema, del resto il rilascio degli aggiornamenti era sporadico, indice quasi sempre di un'alta affidabilità intrinseca) ed eccezionalmente sicuro (l'utilizzo di più algoritmi crittografici aumentava esponenzialmente la difficoltà nell'accesso ai dati sfruttando le vulnerabilità di un singolo algoritmo; l'utilizzo di un keyfile ed una password strong  - minimo 22 caratteri consigliava TC - lo rendevano davvero un punto di riferimento nella sicurezza dei dati).

Ha schiacciato qualche piede? Evidentemente si. Ha schiacciato i piedi di organizzazioni che hanno come scopo quello di accedere a delle informazioni sensibili. E' noto che l'NSA sotto questo punto di vista non abbia mai risparmiato metodi a dir poco discutibili e del tutto incuranti di qualsiasi diritto umano alla riservatezza e alla privacy.

Qualcosa non torna

Qualche mese fa qualcuno mise in giro voci che screditavano TrueCrypt. Si bisbigliava che contenesse backdoor, che fosse insicuro e così via. Gli sviluppatori e la community, quindi, investirono del tempo nella revisione completa del codice e dichiararono, pertanto, che non era presente alcuna backdoor e non vi era alcun dubbio legato alla sicurezza del software.

Qualche settimana dopo, tuttavia, il progetto chiuse. Il codice sorgente venne tolto (così da evitare che altri creassero dei prodotti simili), i download rimossi. Il tutto venne sostituito da una bella paginetta che puzzava di presa in giro lontano un miglio:

http://truecrypt.sourceforge.net/

Perchè?

A questo punto le domande sono molte.

1. Perchè gli sviluppatori hanno investito del tempo a revisionare il codice, a dichiararlo tutto sommato sicuro, ed ora improvvisamente TrueCrypt è diventato pericolosissimo?
2. Perchè non si parla di quali e quante vulnerabilità abbia TC?
3. Perchè il codice sorgente è scomparso? (http://www.truecrypt.org/docs/source-code è stato rimosso e punta alla paginetta-farsa) E' consuetudine che un progetto opensource venga migliorato da tutti coloro i quali possano ritenerlo opportuno. Se ho un problema nel mio codice, la community può vivere di vita propria e portare avanti un progetto che io, autore, ho deciso di non seguire più. Questo è del tutto normale e sono migliaia i progetti abbandonati e ripresi da altri.
4. Perchè non è più possibile scaricare vecchie versioni di TC?
5. Perchè viene osannato il passaggio a BitLocker (Microsoft, codice chiuso, backdoor inseribile facile facile...)? Se a me non interessa più sviluppare un prodotto, non certo mi metto a scrivere una guida su come fare la stessa cosa con altri software. Che senso ha tutta questa spinta verso BitLocker?

Ammesso che la chiusura sia voluta e non si tratti di un banale defacement o abuso della piattaforma sourgeforge (per cui decaderebbe qualsiasi ipotesi e si risolverebbe in un banale "scherzo"), lascio a voi le conclusioni.

Viviamo davvero nell'era della libertà digitale? Forse no, forse il macchiavellico concetto del fine che giustifica i mezzi è andato persino oltre le peggiori e pessimistiche aspettative. Il motto "combattiamo il terrorismo" è diventato forse il passepartout legale per ogni azione, seppur riprovevole?

Monitoraggio delle connessioni, controllo dei lavoratori e giurisprudenza Italiana

Molto spesso mi viene posta questa domanda: "posso, ed in che misura, legalmente monitorare le connessioni degli utenti?".

La legislazione Italiana è articolata e si divide tra il diritto del lavoratore a mantenere la propria privacy ed il diritto dell'imprenditore o dell'amministratore di rete ad impedire o limitare utilizzi impropri. Il tutto assorbendo le indicazioni del Data Protection Working Party, organo dell'UE preposto a consigliare gli stati membri su questo specifico argomento.

Proviamo a sintetizzare e semplificare il panorama attuale.

Affinchè un datore di lavoro o un amministratore di rete possano memorizzare e consultare informazioni sulle connessioni aziendali, è necessario ed imprescindibile che vengano rispettati i seguenti principi:

• Vi sia una reale e motivata necessità, ossia le attività di raccolta dati non siano di carattere generico e prive di un significativo scopo (volto a garantire la sicurezza, la continuità aziendale e a prevenire illeciti);
• Il lavoratore venga preventivamente ed accuratamente avvertito, garantendo sempre la trasparenza delle operazioni di verifica (Art. 4 Statuto dei Lavoratori);
• Chi esegue un controllo deve farlo proporzionalmente al fine, un controllo sproporzionato è esso stesso un illecito (se ad esempio si vuole appurare un'intrusione informatica su di un server pubblico e la raccolta dati sulla navigazione degli utenti non è necessaria, non va effettuata);
• I dati raccolti devono essere trattati in sicurezza e conservati per un periodo di tempo non superiore a quanto strettamente necessario.

Fatti salvi questi principi, dettati in appositi suggerimenti del Garante, ogni prova raccolta non in ottemperanza della Legge non è utilizzabile in sede giudiziaria e viene invalidata.

In relazione al principio di trasparenza, il Garante propone delle linee guida per la creazione delle Policy Aziendali, fondamentali affinchè il lavoratore venga adeguatamente informato. Eccone alcuni esempi:

• Indicare cosa è tollerato e cosa no (utilizzo di social network, ascolto di musica, visione di contenuti multimediali, etc.), ed in che fasce orarie;
• Indicare se è consentito l'utilizzo personale dei mezzi aziendali (posta elettronica, etc.), ed in che misura;
• Indicare quali informazioni sono memorizzate, per quanto tempo e con quali modalità verranno effettuati i controlli.

Il Garante, inoltre, consiglia l'adozione di strumenti atti a prevenire i controlli. Meglio (e lecito), quindi, bloccare i social network, piuttosto che analizzare i log alla ricerca di chi li usa.

Sono espressamente vietati dal Garante:

• I sistemi di ripresa audiovisiva in grado di risalire puntualmente alle attività svolte dai lavoratori, nello specifico è assolutamente vietato posizionare telecamere in grado di videoriprendere i monitor;
• I sistemi di memorizzazione immotivata di dati sensibili che possano dare indicazioni su orientamenti religiosi, politici e dati sensibili (quindi tutti i content filtering/proxy e logger delle pagine web);
• Keylogger ed ogni sistema in grado di memorizzare i caratteri digitati sul terminale;
• Programmi in grado di consentire l'analisi occulta delle macchine utilizzate dai lavoratori;

BlackBerry 10 (Z30) vs Android & iOS. Sicurezza e non solo...

Uno degli obiettivi più interessanti per chi produce malware o per gli spammer "professionisti" è indubbiamente il mondo del mobile. Pensiamoci per un attimo, sul nostro smartphone spesso è possibile trovare più informazioni di un computer. Oltre agli account tradizionali di posta, su un dispositivo mobile ci finisce spesso tutto il cloud (che si chiami Dropbox, Box, iCloud, SkyDrive o Google Drive, ma anche evernote o lastpass, poco importa), ma spesso anche informazioni finanziarie, come PIN, carte di credito, codici utenti e così via. Indubbiamente tutto questo è comodo, avere a portata di mano password e PIN è interessante, ma non dobbiamo dimenticarci che questo interesse può muovere anche chi di professione utilizza questi dati in maniera "opinabile".

Molto spesso mi sono domandato quale fosse il dispositivo più "sicuro", e molto spesso la risposta è stata "il nokia 3310". Scherzi a parte, rimango dell'idea che la sicurezza in ambito mobile praticamente non esista. Mentre i sistemi operativi desktop hanno affinato le loro protezioni dopo decenni di lotta e di debugging, i dispositivi mobili sono indubbiamente troppo "freschi", oltretutto le protezioni sono ridicole, almeno quanto un antivirus eseguito con privilegi utente. 

Prima era diverso anche lo spirito, le vulnerabilità venivano scovate e pubblicate, ora invece c'è più riservatezza e si tende a monetizzare le proprie scoperte e ad utilizzarle in maniera occulta. Ma questo è un aspetto "sociale" che meriterebbe un capitolo a parte.

Di certe ci sono solo due considerazioni: la prima è che da recenti statistiche si stima che il 52% dei dispositivi Android sia compromesso in maniera più o meno grave; la seconda è che un codice aperto può migliorare l'identificazione di backdoor, ma al superamento di un numero significativo di linee di codice la leggibilità viene indubbiamente e gravemente intaccata. Linus Trovalds stesso ha dichiarato che il kernel linux ora è troppo voluminoso causando, seppur in un codice in chiaro, illeggibilità.

Cosa concorre a raggiungere l'incredibile soglia di 1 telefono su 2 compromesso? Le App? Le ROM "cucinate" a codice aperto ma di oltre 300Mb e quindi quasi illeggibili? La disattenzione dell'utilizzatore che acconsente ad un semplice notepad di poter leggere le email, i contatti, i file condivisi, la posizione e quant'altro? I rootkit? Probabilmente una percentuale di tutte e quattro. Come una ricetta golosa, impastando e mescolando, guardate chi vi sta difronte o accanto: uno di voi due ha uno smartphone compromesso i cui dati in misura più o meno importante vengono utilizzati per fini poco nobili. Spiacevole, vero?

Personalmente ho sempre ritenuto che l'approfondimento nasca da una prova tangibile e pratica di ogni prodotto e di ogni sistema. Possiedo Android, Apple ed ora BlackBerry. Così come lavoro su Linux, utilizzo Windows e possiedo un notebook Mac. La chiave per non scendere nella pericolosa e spesso dilagante cecità tecnologica sta nell'esprimere giudizi solo dopo aver provato anche l'opposto. Sembra banale, ma non lo è. Un appassionato di MAC e che utilizza solo MAC parlerà bene di quest'ultimo. Ma che ne sa dei passi in avanti fatti dall'interfaccia di Windows 7 se è rimasto a Windows XP? E viceversa, e con Linux, e con tutto.

Arriviamo al dunque. Questa non vuole essere una recensione del BB10 Z30 tradizionale, non voglio parlare della scocca, del supermega display iperfull HD (che non ha, tra l'altro). Di recensioni ce ne sono tante, e vi invito a vederle, soprattutto se vi aspettate questo. Io, invece, voglio contestualizzare il dispositivo a due fattori primari:

1. L'utilizzo in ambito Business
2. La sicurezza

Partiamo da una rapida panoramica, molto generica e del tutto personale. E' vero, l'ho detto, non voglio parlare della scocca, ma qualche "pro e contro" seppur assolutamente personale, opinabile e superficiale è doveroso e si ricollega ai punti di cui sopra.

Pro

• Batteria: La batteria è strabiliante. Con un uso intensivo arriva anche a sfiorare i due giorni. Laddove a fine giornata con altri dispositivi si cerca ossessivamente una porta USB o una presa di corrente come fossimo tossico-energetici-dipendenti, con il BB Z30 guardi il telefono e ti accorgi di avere ancora il 60% di carica. Per la prima volta con uno smartphone non mi sono preoccupato di spegnere il GPS, di spegnere l'accesso ad internet o di centellinare l'utilizzo del navigatore o di applicazioni "battery killer" tipo skype, indoona et simila. La batteria c'è, puoi usarla quanto vuoi, ma lei non ti lascia alle 18,00, puoi starne tranquillo. Se sei stato proprio discolo ed hai abusato palesemente del dispositivo, dandoti alla pazza gioia con YouTube ed AngryBirds, lo ricaricherai prima di addormentarti al 35%.

• Audio e Vivavoce: Anche qui la differenza con i competitors è abissale. La qualità audio è quella di un BlackBerry, ottima, efficace, nitida. Troppo spesso gli smartphone sono tutto tranne che degli ottimi telefoni. Hanno 4 core, le GPU imbarazzano quelle di un notebook, ma le telefonate sono pessime, la ricezione è scadente... questo è anche un telefono. Indubbiamente. Per la prima volta mi sono ritrovato ad abbassare il volume delle applicazioni multimediali, perchè troppo potente (oltre a restituire un audio pieno su ogni lunghezza d'onda). Il vivavoce è eccellente, ormai in ufficio parlo solo in vivavoce, ho dismesso gli auricolari. Suono nitido, sento e mi sentono perfettamente anche se mi allontano. Una spanna sopra ogni cosa che abbia mai provato. Tablet inclusi.

• GPS: Le mappe e la navigazione è ottima, l'aggancio alla rete GPS è immediato, nella peggiore delle ipotesi, con il telefono "buttato" su qualche sedile, ci mette un paio di secondi.

• Ricezione: La ricezione è un punto a favore, solitamente superiore a Samsung S4 e ad iPhone 4. Perchè non ho provato con iPhone 5? Perchè non ne avevo sotto mano. Semplice.

• Costo delle App: Più simile ad Android che ad iOS, ad ogni modo molto accessibile.

• Crittografia: Nei concorrenti la crittografia ha un costo in termini di performance. A volte anche molto significativo. L'ultimo tablet Android che ho crittografato era al limite dell'inutilizzabile. Sullo Z30 francamente io non ho trovato alcuna differenza tra il dispositivo in chiaro e completamente crittografato. Non è un dettaglio da sottovalutare, crittografare in AES256 ed in maniera "serena" un dispositivo è un addon importante sotto il profilo della sicurezza.

• BlackBerry Hub: Il BlackBerry Hub è un "centralizzatore" di notifiche. Inizialmente lo si vede con un occhio molto critico, si è abituati ad aprire ogni singola applicazione per vedere le notifiche della stessa. Dopo qualche giorno diventa inseparabile ed indispensabile. Non solo risulta veramente ben integrato con tutto (dai social a linkedin, dalle email ad ogni app di messaggistica, dagli sms alle sveglie o agli allarmi di sistema), il vantaggio di gestire ogni notifica immaginabile da un'unica, ben fatta e rapida, interfaccia è notevole. Non è più necessario entrare in ogni applicazione. Con uno sguardo, a display bloccato o meno, si accede a tutto. Il grado di stress da "iper-connessioni" si riduce drasticamente e non si perde alcun messaggio.

• Google Account: Piena compatibilità con l'account google, contatti e calendari sono bidirezionali e funzionano in maniera eccellente. Non c'è alcuna differenza nell'utilizzo di un device Android con i contatti google ed un BB con gli stessi contatti.

• Sblocco a Griglia: Lo sblocco schermo a griglia numerica è uno degli sblocchi più efficaci che abbia mai visto, nonchè uno dei pochi in cui un visualizzatore esterno difficilmente capirà come sbloccare il dispositivo nonostante abbia visto la procedura:

        La griglia numerica è casuale e cambia ad ogni sblocco, mentre l'immagine di sfondo è scelta dall'utente. Ho preso l'immagine con dei bottoni per semplificare. Lo sblocco avviene portando un numero scelto in precedenza in un punto dell'immagine. Quindi immaginiamo di sbloccare il telefono portando il numero "1" sul bottone nero in alto verso destra. La griglia si sposta completamente e tutta trascinando un qualsiasi punto, quindi è del tutto impossibile comprendere la procedura di sblocco vedendolo fare. Oltretutto, cambiando la griglia e la disposizione dei numeri ad ogni sblocco, l'operazione di spostamento è sempre diversa.

Contro

• Display: La risoluzione e la definizione è ottima, ma la luminosità è più bassa del normale. Va detto, tuttavia, che comunque è molto leggibile in ogni condizione. Pian piano ci si abitua e ci si rende conto che spesso si abusa della luminosità semplicemente per migliorare la leggibilità. Se un display risulta nitido e leggibile anche con il sole alle proprie spalle, allora viene meno l'esigenza stessa di aumentarne l'intensità. Notevoli i neri, non si distingue il dispositivo spento da uno con uno sfondo nero.

• Tasti: Inizialmente si sente la mancanza del tasto "indietro" e del tasto "impostazioni", almeno fin quando non si prende la mano con il gesture del sistema.

• Touch: Risulta sensibilmente meno preciso di Apple e di alcuni dispositivi Android.

• Controllo Vocale: Il controllo vocale è davvero pessimo. SIRI è generazioni avanti ed anche Android è decisamente migliore. Il controllo vocale BB è al limite dell'inutilizzabile.

• CardDav: Il supporto a CalDav è ottimo, ma con la 10.2.1 CardDav (utile per sincronizzare contatti condivisi non google) è problematico. Va detto che questa, ad oggi, è una Beta e che nella versione precedente il problema non sussisteva, quindi indubbiamente verrà rivisto nella prossima Stable.

• BB World e App: Le app non sono molte se paragonate a quelle Android, ma non sono nemmeno poche. Ho trovato quasi tutto, e ciò che non ho trovato, l'ho scaricato da Snap. Snap consente l'installazione di ogni applicazione Android 4.2, in maniera controllata, chiusa, quasi in modalità "chroot" (giusto per fare un paragone). Da un punto di vista, quindi, è possibile trovare ogni app non presente in BB World ripiegando su un simil-AndroidPlay, da un altro punto di vista la sicurezza con cui queste app vengono eseguite rende il dispositivo ragionevolmente al riparo dalle classiche dinamiche Android (pur rendendo incompatibili un numero considerevole di app -quelle molto hardware oriented e quelle iper-googleaccount based-, cosa che verrà affinata a Gennaio con il rilascio della Stable). Per fare un esempio: Youtube di BB è pessimo, ma quello android gira perfettamente senza alcun problema.

• La situazione Aziendale: RIM con BB non sta passando un buon momento e non è escluso che l'azienda fallisca. Non penso accadrà mai di avere un dispositivo morto e non supportato, ma c'è la possibilità che si assista ad un profondo ridimensionamento del personale. Non è escluso, pur trattandosi di un'ipotesi remota, ma c'è ed è giusto citarla.
• Supporto tecnico: Praticamente assente in Italia, se avete avuto la sfortuna di avere un telefono guasto e non avete sottoscritto l'estensione di garanzia con l'operatore telefonico, incredibilmente non potrete vedere ottemperati i vostri diritti alla garanzia perchè non esistono centri d'assistenza tecnica. Valutate attentamente questo punto, da solo potrebbe contare più di tutti i pregi elencati sopra.

BlackBerry Z30, Utilizzo in ambito Business

Indubbiamente il BB Z30 è incredibilmente orientato al mondo business. Ha delle caratteristiche che lo portano su un piano professionale. La sensazione è che ci siano pochi fronzoli e molta sostanza. "I giochini e le migliaia di app incontrollate e pericolose, le lasciamo su altre piattaforme. Questo strumento è per chi lavora. E se vuoi Clash of Clans, comprati un iPhone." Sembra essere questo il messaggio chiaro dell'azienda Canadese. Tutto è di qualità e c'è poco spazio all'approssimazione.

Conclusioni

BB10, che io ho provato in Beta 10.2.1 su Z30, è un'ottima e valida alternativa ad Android ed Apple. Meriterebbe indubbiamente più mercato di quanto non abbia ora. Restituisce allo smartphone finalmente caratteristiche telefoniche di spessore, ci rende meno energetico-dipendenti ed ha una chiara connotazione business.
L'assenza di anche una minima forma di supporto tecnico condiziona la scelta e, ad oggi, non lo riacquisterei solo per questo motivo.
Da un punto di vista di sicurezza informatica è indubbiamente migliore dei suoi rivali (anche se l'architettura è solo uno degli ingredienti che fanno di un dispositivo innocuo un pericoloso ed invadente strumento contro di noi), inoltre non è sbagliato ricordare le maggiori certificazioni acquisite (che lo rendono compatibile con i criteri che un dispositivo deve avere per essere adoperato da moltissime agenzie governative internazionali):

• FIPS 140-2
• Common Criteria Certification
• CESG APS (CAPS)

Che poi questo possa o meno contribuire a fermare la dilagante insecurity di Apple e Android, ma non serva a fermare l'NSA, questo è indubbio. Ma questa è un'altra storia...

Discaimer: Ogni articolo di questo blog è stato integralmente scritto dall'autore. Il contenuto è completamente originale e la riproduzione è vietata salvo autorizzazione.

L'anno nero della Sicurezza Informatica

Il 2011 è stato considerato da tutti i professionisti internazionali del settore come l'anno nero della sicurezza informatica. Il 2012, tuttavia, non solo conferma il trend negativo, ma lo amplifica (per i dati del 2013 è ancora troppo presto ed è plausibile pensare che molti non si siano ancora accorti degli incidenti di sicurezza di cui sono vittime).

Proviamo a vedere gli eventi più famosi che hanno caratterizzato il solo 2011 (in ordine cronologico):

• RSA (produttore di token per la strong authentication, quelli usati in banca con i codici numerici che cambiano continuamente, per intenderci): viene sottratta una parte di dati importante e che, a detta di RSA stessa, può comprometterne la sicurezza. Solo negli USA si stima che la sostituzione dei token sia costata ad RSA 100 milioni di dollari
• Sony: 100 milioni di account sono stati compromessi; nomi, cognomi, email, password, indirizzi di fatturazione.. per un valore stimato di circa 14 miliardi di dollari
• Macchine del Fondo monetario Internazionale sono state colpite da un malware atto a catturarne i dati
• Sega: sono stati compromessi circa 1,3 milioni di account
• Un'azienda fornitrice del Pentagono ha subito un attacco da uno Stato straniero che ha causato il furto di circa 24.000 documenti. Un'arma è stata riprogettata in seguito all'evento
• NATO: C'è stata una violazione di documenti classificati
• SK Communication: 35 milioni di account sono stati compromessi, rivelando nomi, cognomi, password, etc.
• Borsa di Hong Kong: in seguito ad un'ondata di attacchi la borsa chiude per 2 giorni
• Mitsubishi: un attacco sottrae progetti di aerei giapponesi da combattimento, elicotteri e centrali nucleari
• Due modelli di droni americani vengono infettati da un malware in grado di catturare dati su ogni operazione
• Steam, piattaforma di vendita di giochi online, annuncia la compromissione di nomi, cognomi, password, indirizzi di fatturazione, numeri di carte di credito (cifrate), email,.. di 35 milioni di utenti
• Nexon: 13 milioni di account compromessi

Questi sono solo gli eventi più in vista, quelli più eclatanti che hanno fatto scalpore su ogni rivista del settore e quelli che ci è dato sapere. Senza contare i celebri attacchi alle CA, unica certezza ed unico fulcro di trusting (se la Certification Authority, entità che certifica la validità e l'integrità dei servizi online, non è più elemento di fiducia, di chi ci dobbiamo fidare?). Gli incidenti di sicurezza informatica sono stati centinaia di migliaia, se non milioni.

Volutamente ho glissato sui moltissimi attacchi ad enti governativi, veicolati probabilmente da altrettante nazioni. 

E nel 2012 ci sono casi persino peggiori.

Come si stanno muovendo i governi?

Tutti i governi, salvo rare e piccole eccezioni, stanno dotando le proprie infrastrutture di divisioni apposite. 

Fino a qualche anno fa era consuetudine sentir parlare di organi "civili", al servizio dei cittadini. Oggi la tendenza è diversa, le divisioni di difesa ed attacco informatico sono diventate in alcuni casi parte di una forza armata militare (aeronautica, esercito, marina,..), in altri casi un ente completamente assestante e con connotazioni sempre militari. Lo spazio virtuale è diventato un nuovo dominio oltre a terra, mare ed aria.

Gli investimenti in tal senso sono ingenti, ed i rischi anche. Un attacco informatico può paralizzare un intero paese, mandandolo nel caos. Basti pensare agli attacchi veicolati verso le centrali elettriche (anche nucleari) in Iran. Ma non sono da escludere obiettivi critici come ospedali, basi militari, ministeri, ambasciate, etc.

In Italia è notizia recente quella della formazione di un nucleo specialistico, direttamente ai comandi della Difesa, che ha reclutato pubblicamente via web a Luglio 2013 i soggetti interessati a parteciparvi (http://www.sicurezzanazionale.gov.it/sisr.nsf/lavora-con-noi.html).

Nonostante tutto e nonostante i governi abbiano strumenti straordinari (basti pensare alla possibilità di richiedere la visione di email, account, etc.. in caso di possibile minaccia), appare ancora evidente che una vera supremazia non ci sia ancora, anzi. Per riportare un aneddoto interessante che dimostra quanto ancora gli Stati siano succubi di questa continua ed incredibile guerra virtuale, basti pensare che tra maggio e giugno un noto gruppo hacker veicolò per svariate settimane attacchi massivi verso Sony, CIA, FBI, Nintendo e varie istituzioni NATO inclusa. Furono fermati solo da un altro gruppo hacker che, ritenendo eccessiva l'operazione, decisero di intervenire.

La piccola e media impresa che chance ha di difendersi?

La domanda sorge spontanea, se colossi che hanno centinaia di persone solo per curare la security vengono fatte "saltare" così "facilmente", il piccolo cosa può fare per difendersi?

Vanno, tuttavia, fatte delle considerazioni. Il piccolo ha una "superficie di attacco" molto più ridotta del grande. Esporrà meno servizi, ed i dati esposti, solitamente, sono meno importanti e meno interessanti. Da questo ne deriva che lo sforzo stesso di un  attaccante potrebbe essere minore e potrebbe essere visto come un inutile spreco di energia rispetto a chi gestisce centinaia di migliaia di account. Potrebbe.

Detto questo, tutto il mondo dell'IT Security lavora non per trovare la soluzione perfetta (impossibile come dimostrano i fatti quotidianamente), ma per elevare il livello di sicurezza dell'infrastruttura. Si ragiona per livelli: all'aumentare dell'altezza della mia staccionata, diminuiranno gli individui in grado di saltarla. Installando una porta blindata con una buona serratura, delle grate ed un sistema di allarme perimetrale, ridurrò i rischi di subire un furto da parte di teppisti poco organizzati e non in grado di superare questi vincoli. Nulla o poco potrò con il professionista in grado di fare key bumping e aprirmi la serratura della porta blindata europea, ma a quel punto avrò anche investito una cifra adatta a supportare quel tipo di rischi ed entro quel limite.

Active Directory Group Policy: potenzialità spesso poco valorizzate

Chi ha scelto di affidarsi alle tecnologie Microsoft Active Directory per il proprio controller di dominio, ha scelto sicuramente un prodotto affidabile, estremamente collaudato e performante che, ad oggi, ha obiettivamente poche alternative (soprattutto se si parla di GPO). Active Directory è un "must" anche per un attento osservatore delle tecnologie open source e del mondo Linux come il sottoscritto (confidando in un futuro in cui Samba possa colmare il divario su questo specifico settore). 

Siamo sicuri, però, di utilizzare a fondo tutte le potenzialità di Active Directory?

La risposta è molto probabilmente "no". Perchè le possibilità delle Group Policy sono infinite e, quando vengono usate, ci si limita spesso a qualche tuning della Default Domain Policy o a qualche impostazione per una UO specifica.

Active Directory, quindi, non è solo un LDAP che consente l'autenticazione centrale degli utenti, la possibilità di realizzare profili erranti e trasferire ad un File Server informazioni utili al realizzare criteri di accesso alle directory. Mediante lo strumento delle Group Policy, che si applicano alle Unità Organizzative o a interi Domini, è possibile trasferire impostazioni tutt'altro che banali.

Qualche esempio di impostazioni distribuite su tutte le macchine/tutti gli utenti della rete:

• Gestione del software:
• E' possibile installare su tutti i client specifici software (ad esempio l'Adobe Reader) al primo login dopo l'applicazione della GPO e a patto che si disponga del file .msi (superati i 200 host diventa quasi obbligatorio installare software tramite GPO.. salvo non volersi fare un giro di tutte le macchine.. ma a quel punto è una scelta più che altro di natura sportiva!)
• E' possibile vietare l'installazione di determinati software

• Abilitazione/Disabilitazione opzioni del pannello di controllo
• E' possibile evitare che gli utenti cambino, ad esempio, lo sfondo del desktop o le impostazioni della lingua
• Trasferimento di eccezioni di Windows Firewall
• Gestione centralizzata dei criteri di aggiornamento di Windows Update (anche e meglio se tramite server WSUS interni)

• Integrazione con Internet Explorer
• E' possibile evitare che venga cancellata la cronologia
• E' possibile trasferire e gestire i siti attendibili e quelli bloccati
• Congelamento dei componenti aggiuntivi evitando nuove installazioni di toolbar e gadget

• Reti
• Trasferire automaticamente reti wireless complete di tutte le impostazioni di connessione (SSID, crittografia, password, etc..)
• Gestione del Quality of Service
• Gestione e abilitazione sonde SNMP
• Criteri dei file offline e non in linea

• Backup e Varie
• Pianificazione dei backup delle postazioni o dei server
• Criteri di Autoplay
• Crittografia tramite BitLocker di tutte le postazioni
• Gestione dei servizi Desktop Remoto
• Gestione dei Driver delle periferiche (anche stampanti)

• Comportamenti
• E' possibile definire il comportamento di Windows Media Player, Windows Mail, etc..
• Blocco di periferiche USB e dell'utilizzo di DVD/CD anche in masterizzazione (utile per fare dell'endpoint protection al fine di evitare fuoriuscita di dati e la propagazione di virus mediante le pen drive)
• E' possibile definire il comportamento di Windows Defender

Questi sono solo alcuni esempi delle oltre 600 configurazioni che GPO può trasferire a tutte le macchine del dominio Active Directory. Dal togliere da tutti i computer della rete il "Nascondi estensioni per i tipi di file conosciuti" a impedire l'accesso alle impostazioni della scheda di rete anche ad un admin locale del computer. Ne vale la pena dedicare del tempo.

Alcune GPO meritano un approfondimento:

Disabilitare NetBios su tutte le macchine del dominio:

Creare una nuova Group Policy > Computers > Criteri > Windows > Script > Avvio

Visualizza file > Creare un nuovo file .bat con dentro questa stringa

wmic nicconfig where (TcpipNetbiosOptions!=Null and TcpipNetbiosOptions!=2) call SetTcpipNetbios 2

Aggiungi > inserire il file .bat

Nelle GPO  > Altre azioni > collega oggetto GPO esistente > mettere la nuova GPO

Bloccare account in seguito a troppi tentativi di accesso sbagliato

Creare nuova group policy > Computer > Impostazioni di windows > Protezione > Criteri Account > Blocco Account

Disattivare l’accesso locale (anche in TS) degli utenti su un DC

Editare la default group policy dei domain controller

Comp > Criteri > Windows > sicurezza > locali > assegnazione diritti utente > nega accesso locale

inserisci i gruppi a cui l’accesso locale è negato

Conclusioni

Dobbiamo sempre ricordarci che un'operazione banale, non lo è più se per farla devi impiegare un tempo considerevole. Impostazioni semplici, in una rete da 200 host o più, possono portare via anche delle giornate, sottraendo risorse e tempo al reparto IT. Le GPO, in una rete Microsoft con Active Directory, ci aiutano a trasferire rapidamente impostazioni e criteri differenziati e personalizzati anche per singole Unità Organizzative (Amministrazione, Magazzino, Reparto Tecnico e Ospiti sono UO che certo non possono avere gli stessi privilegi; giusto per fare un esempio).

Il tempo che dedicherete all'approfondimento delle GPO, non sarà certamente tempo perso, ma saprà ripagarsi al primo "giro" su tutte le postazioni risparmiato.


Discaimer: Ogni articolo di questo blog è stato integralmente scritto dall'autore. Il contenuto è completamente originale e la riproduzione è vietata salvo autorizzazione.