Alfonso Maruccia

Datagate, la NSA decodifica la Internet sicura

Le ultime rivelazioni sullo scandalo della sorveglianza globale sono una vera e propria bomba: l'intelligence USA - assieme ai compari britannici - Ŕ in grado di superare le protezioni crittografiche comunemente usate online

Roma - I nuovi report pubblicati in queste ore da Guardian, New York Times e Pro Publica scavano ancora più a fondo nel Datagate e rivelano uno dei segreti più esplosivi dell'intelligence statunitense: ad oggi, la NSA è in grado di decriptare il traffico Internet protetto dalle tecnologie di sicurezza comunemente adottate online.

Un segreto imbarazzante, quello svelato dall'ennesima tornata di documenti forniti dalla talpa Edward Snowden, al punto che le autorità statunitensi hanno provato fino all'ultimo a evitare la pubblicazione degli articoli succitati: alcuni dei particolari più scottanti sono dunque stati "emendati", nondimeno le rivelazioni sono di quelle da far tremare le vene e i polsi.

Internet non è più un posto sicuro, svelano i documenti top-secret trafugati, nemmeno nei suoi angoli più oscuri: grazie all'uso di un mix di supercomputer, "trucchi" tecnici, ordini giudiziari e iniziative di "persuasione" dietro le quinte, la NSA è in grado di decriptare il traffico di rete protetto da tecnologie come VPN, SSL e TLS.
La capacità di bypassare i meccanismi di protezione più usati online sarebbe il risultato di uno sforzo "aggressivo" e prolungato da parte di NSA durato 10 anni, alla fine del quale - come indicato in un memo risalente al 2010 e rivolto ai "cugini" spioni del GCHQ britannico - nuove capacità di criptanalisi sono entrate a far parte dell'arsenale della sorveglianza globale dell'intelligence a stelle e strisce. "Vaste quantità di dati Internet cifrati - spiegano i federali nei documenti - che fino a ora sono stati messi da parte sono ora utilizzabili".

La NSA ha crackato le VPN, le connessioni sicure su HTTP e non solo, rivela la documentazione fornita da Snowden, servendosi tra l'altro di vere e proprie backdoor inserite all'interno degli standard di sicurezza vidimati dalla sin qui prestigiosa National Institute of Standards and Technology (NIST). Non contenta della tecnica, l'intelligence ha usato anche la strategia influenzando la politica di Washington, ha "forzato" in tutti i modi la collaborazione delle principali aziende IT - statunitensi e internazionali - e chissà cos'altro. Grazie alle nuove capacità di criptanalisi, nel 2010 la GCHQ sosteneva di essere in grado di decriptare il traffico di 30 prodotti basati su VPN e di poter arrivare a 300 entro il 2015.

Le ultime rivelazioni del Datagate sono evidentemente destinate ad avere contraccolpi senza precedenti sull'intera industria tecnologica, il business del cosiddetto "cloud computing" e tutto quanto: il governo statunitense "ha tradito Internet", spiega l'esperto di crittografia Bruce Schneier sul Guardian, e quello che ora occorre fare è provare a riprendersi il mezzo di comunicazione più pervasivo del nuovo millennio ritirando prima di tutto la fiducia alle corporation (Google, Microsoft, Facebook, Apple, Yahoo! ecc.) che controllano i silos autoreferenziali e i servizi più usati dagli utenti.

Un'azione così aggressiva e senza precedenti come quella della NSA non farà che provocare effetti indesiderati prima di tutto per la stessa NSA, si sostiene su Ars Technica, visto che le backdoor all'interno degli standard di sicurezza più popolari potranno essere adottate da chiunque e non solo dai "bravi ragazzi" in nero del governo federale a stelle, tecnosorveglianza e strisce.

Per cercare di riportare la discussione a livelli meno emotivi dopo l'impatto iniziale delle nuove rivelazioni, il già citato Bruce Schneier sostiene che in realtà la NSA non ha "crackato" la cosa più importante, vale a dire gli algoritmi matematici alla base di VPN, SSL e TLS: l'intelligence ha sconfitto le protezioni con attacchi laterali ma la matematica alla loro base è ancora degna di fiducia da parte della community e degli utenti, spiega l'esperto. E anche se la "sicurezza" su Internet non è più garanzia di alcunché, dice ancora Schneier, usare VPN, crittografia e reti anonimizzatrici come TOR resta un buon metodo per non rendere il lavoro degli spioni della NSA troppo facile.

Alfonso Maruccia
Notizie collegate
  • AttualitàDatagate, l'America Latina ribolleLe rivelazioni sullo spionaggio dell'intelligence USA continuano a fare danni in giro per il mondo. Le autoritÓ centroamericane chiedono trasparenza, quelle indiane mettono al bando i servizi email statunitensi. Dagli USA arrivano nuove intercettazioni
176 Commenti alla Notizia Datagate, la NSA decodifica la Internet sicura
Ordina
  • Per (continuare ad essere) padroni del mondo, ora è necessario e possibile conoscere tutto di tutti
    non+autenticato
  • ...ha appena cambiato il certificato ssl, credo che la motivazione sia ovvia.
    non+autenticato
  • - Scritto da: fred
    > ...ha appena cambiato il certificato ssl, credo
    > che la motivazione sia
    > ovvia.

    era scaduto quello vecchio?
    non+autenticato
  • alcuni dei nuvi certificati non erano nemmeno depositati e c'era il warning sulla status bar, e questo e' molto sospetto.
    Ora sono stati cambiati nuovamente pero' il certificatore e' diventato Google Inc; che e' ok per firefox ma non per una o piu' estensione che ho installato che continuano a dirmi che c'e' un problema con la certificazione.
    non+autenticato
  • Reduce da una discussione su irc.

    Freedomhosting, secondo le informazioni rilasciate il piu' grande network di Pedoporno mai bloccato, si trovava in un datacenter in un paese dell'est connesso attraverso una vpn, fino ad un nodo in un altro paesee che lo immetteva alla rete di tor.
    Tale vpn potrebbe essere stata o non stata compromessa, ma il metodo con cui si soono introdotti non ha importanza qui.

    Il server o il network di Freedom hosting (non mi e' chiaro ma anche questo non importa), mettevano a disposizione pagine web gratuite come altri server server in chiaro dove chiunque potrebbe creare la sua pagina.

    E qui arriva il punto, nello stesso server/network da anni girava il servizio tormail, che era anche il principale collegamento fra wikileaks e i suoi informatori, e non solo loro in quanto il servizio era aperto a tutti coloro che volevano mantenere i lalto livello di anonimizzazione delle loro comunicazioni via mail.

    A questo punto siamo sicuri che non fosse il servizio di tormail il vero obbiettivo?

    Si e' discusso del fatto che grosse quantita' di materiale pedoporno siano state introdotte nel server; che questo sia direttamente stato fatto da NSA o da qualcuno per conto loro, allo scopo di creare le condizioni ideali per poter avere i server in consegna con l'intero database di posta; infatti se vuoi farti consegnare server e gestori con facilita' bisogna che questi abbiano commesso reati straordinariamente gravi.

    Come terrorismo non poteva funzionare, la nazione che ospitava i server li avrebbero potuti trattenere per verificare se vi fosse stato rischio nazionale.

    Ma come nel caso di un grosso ring giro di pedoporno (a questo punto direi presunto), chi non estraderebbe i responsabili e tutti i loro mezzi senza pensarci 2 volte?

    E non ditemi che non userebbero mai metodi cosi' sporchi, le notizie che escono ogni giorno dimostrano che sono disposti a tutto.....
    non+autenticato
  • - Scritto da: fred

    > E non ditemi che non userebbero mai metodi cosi'
    > sporchi, le notizie che escono ogni giorno
    > dimostrano che sono disposti a
    > tutto.....

    hanno inventato presunte prove sulla Siria, è ovvio che sono capaci di tutto
    non+autenticato
  • - Scritto da: fred
    > Reduce da una discussione su irc.
    >
    > Freedomhosting, secondo le informazioni
    > rilasciate il piu' grande network di Pedoporno
    > mai bloccato, si trovava in un datacenter in un
    > paese dell'est connesso attraverso una vpn, fino
    > ad un nodo in un altro paesee che lo immetteva
    > alla rete di
    > tor.
    > Tale vpn potrebbe essere stata o non stata
    > compromessa, ma il metodo con cui si soono
    > introdotti non ha importanza
    > qui.

    Si, non ha importanza per l'ipotesi che fai subito dopo, però ricordiamoci che in realtà avrebbe molta importanza sapere come si è arrivati all'identità del gestore di Freedom Hosting, perchè da come lo si è scoperto si capirebbe se c'è un bug nel sistema Tor o almeno negli hidden services, se è stata una sciocchezza fatta da quel gestore che ha lasciato informazioni de-anonimizzanti sul server, se oltre al famoso bug di Firefox sfruttato via Javascript è stato sfruttato un bug del server e in che modo, se il gestore era già noto per altre vie non legate direttamente a falle software e aspettavano solo il momento migliore per beccarlo ecc.
    Sarebbe importante saperlo, perchè si capirebbe quanto esposto è il fatto di gestire un hidden service.

    > A questo punto siamo sicuri che non fosse il
    > servizio di tormail il vero
    > obbiettivo?

    Buona ipotesi.

    > E non ditemi che non userebbero mai metodi cosi'
    > sporchi, le notizie che escono ogni giorno
    > dimostrano che sono disposti a
    > tutto.....

    Assolutamente si.

    Gli inquirenti USA sono autorizzati ad immettere materiale illegale in rete per fare "entrapment", quindi potrebbero averlo fatto addirittura a norma di legge!
    In Italia l'"entrapment" è ammesso, guarda caso, per il pedoporno (e solo per quello, credo), con limitazioni che però a volte sono state ignorate (con la creazione di "siti trappola" veri e propri), come si deduce da sentenze della magistratura stessa che hanno censurato quei comportamenti (ma la giurisprudenza italiana non sembra univoca).
    Figuriamoci se negli USA, dove è assolutamente ammesso, avrebbero scrupoli a farlo!
    non+autenticato
  • difficile da sapere

    del resto potrebbe benissimo trattarsi di un piccolo criminale locale, usato come capro espiatorio in una colossale messinscena

    non dimentichiamo che questa è gente che ha usato/usa schede SIM intestate ad ignari cittadini ( ti ricordi come comunicavano gli spione della CIA che rapirono Abu Omar? )

    a questa gente non frega niente di distruggere la vita di un pinco pallino qualcuno, basta che possano raggiungere i loro obiettivi
    non+autenticato
  • Era il Mossad che copriva 'identita' dei sui agenti con l'identita' di cittadini Francesi e di altre nazionalita', per fare i lavori sporchi;

    Sembrava che il Mossad dovesse insegnare in questo campo, ma ora mi sorge il dubbio sul chi ha insegnato a chi.
    non+autenticato
  • > però ricordiamoci che in realtà
    > avrebbe molta importanza sapere come si è
    > arrivati all'identità del gestore di Freedom
    > Hosting,

    A questo punto non so quanto le notizie siano affidabili, la versione ufficiale e' che abbia fatto dei versamenti che "dovrebbero" essere riconducibili al pagamento del servizio di hosting che teneva i server.

    Sull'affidabilita' delle notizie nutro molti dubbi;
    in proposito cito un altro argomento, ovvero come si sia arrivati a identificare i componenti del gruppo Lulzsec;
    la verione ufficiale dice che sia stato il loro capo "Sabu" a passare i nomi, tuttavia non e' dato sapere se realmente si conoscessero tutti di persona (il che mi pare strano).
    Piu' interessante invece il fatto che comunicassero fra di loro tramite un noto server irc e una comunicazione ssl su una delle porte;
    se tutto cio fosse stato violato probabilmente avrebbero avuto gli elementi necessari per individuare gli ip delle persone coinvolte.
    In tal caso sarebbe arrivata l'accusa "Sabu ha fatto i nomi" per non rivelare il fatto che il protocollo ssl prima di Rizon poi del server alternativo era bucabile o forse bucato, rivelando cio' che si e' scoperto dal Guardian qualche giorno fa.

    E' comunque solo un'ipotesi.

    E ancora m itrona in mente qualche vecchi articolo, su uno di questi si parlava dell'individuazione del reo grazie alla collaborazione di Microsoft, ma non e' mai uscito un solo dettaglio.

    gli indizi sono tanti, pero' ancora rimangono indizi.....
    non+autenticato
  • Mi chiedo: se la NSA ha tutta sta potenza di intercettare tutto e tutti, perché al tizio di Lavabit gli hanno intimato di aiutarli in segreto e lui è stato costretto a chiudere?

    Vuol dire che funzionava davvero. Quindi i sistemi per stare tranquilli ci sono, il problema è che bisogna saperli usare e soprattutto scegliere.
  • contenuto non disponibile
  • Infatti il problema non è negli algoritmi matematici, ma nella loro implementazione. Se sono implementati in maniera pulita c'è poco o nulla da fare se la chiave non è banale. Solo se i sorgenti sono pubblici si può stare abbastanza tranquilli.
    non+autenticato
  • a questo proposito c'è una testimonianza d'eccezione http://www.mail-archive.com/cryptography@metzdowd....

    a quanto pare, lavorano alacremente per indebolire i sistemi crittografici, evidentemente perchè non hanno la possibilità di bypassare quelli implementati a dovere

    ovviamente il danno collaterale è che ci ( tutti noi ) hanno esposto ad attacchi non solo di altri governi, ma pure di organizzazioni criminali e non sufficientemente capaci e ben finanziate
    non+autenticato
  • L'articolo pubblicato l'altro ieri dal nyt chiudeva con una frase molto semplice: diffidate di tutte le compagnie che hanno "legami fisici" (originale: physical tie) con gli Stati Uniti.
    non+autenticato
  • - Scritto da: TADsince1995
    > Mi chiedo: se la NSA ha tutta sta potenza di
    > intercettare tutto e tutti, perché al tizio di
    > Lavabit gli hanno intimato di aiutarli in segreto
    > e lui è stato costretto a
    > chiudere?
    >
    > Vuol dire che funzionava davvero. Quindi i
    > sistemi per stare tranquilli ci sono, il problema
    > è che bisogna saperli usare e soprattutto
    > scegliere.

    Il motivo per cui possono intercettare tutti è che impongono ai servizi come lavabit di collaborare. Come da articolo
    non+autenticato
  • > Il motivo per cui possono intercettare tutti è
    > che impongono ai servizi come lavabit di
    > collaborare. Come da
    > articolo

    Appunto. Siccome ci si interrogava sull'efficacia della crittografia, se lo impongono vuol dire che nulla possono autonomamente contro una crittografia fatta bene. E questa è solo una buona notizia.
  • - Scritto da: TADsince1995
    > > Il motivo per cui possono intercettare tutti
    > è
    > > che impongono ai servizi come lavabit di
    > > collaborare. Come da
    > > articolo
    >
    > Appunto. Siccome ci si interrogava sull'efficacia
    > della crittografia, se lo impongono vuol dire che
    > nulla possono autonomamente contro una
    > crittografia fatta bene. E questa è solo una
    > buona
    > notizia.
    O dell'ottimo fumo negli occhiOcchiolino
    non+autenticato
  • contenuto non disponibile
  • - Scritto da: unaDuraLezione
    > - Scritto da: ...
    >
    > > O dell'ottimo fumo negli occhiOcchiolino
    >
    > La prova del nove è molto semplice: che tipo ci
    > cifratura utilizzano loro stessi e le loro forze
    > militari?
    > Dici che usano ancora i navajos?
    Aspetta, chiedo, mando gli appositi segnali di fumo ad aquila della notteOcchiolino
    non+autenticato
  • Oltre a voler comunicare senza che terze parti possano capire ciò che si dice (crittografia) si potrebbe desiderare che nessuno si accorga dell'avvenuta comunicazione.

    A questo scopo si possono usare tecniche steganografiche.

    Più per diletto che per necessià, (non avendo io nessun segreto degno di chissà quali attenzioniA bocca aperta), ho scritto un software per la steganografia nelle immagini (Qt, C++, immagini compresse e non compresse, senza installazione) che gira su Windows, GNU/Linux e MaxOSX. Usa anche la crittografia forte, è gratuito, non è open source ma davvero non ha backdoor (cosa le avrei messe a fare?), e poi non direi proprio che possa essere annoverato tra i grandi e diffusi software a rischio di corruzione da parte di agenzie governative. Occhiolino

    Se volete provarlo:
    https://steg.drupalgardens.com
    non+autenticato
  • contenuto non disponibile
  • - Scritto da: unaDuraLezione
    > - Scritto da: Fabio
    >
    > > Usa anche la
    > > crittografia forte, è gratuito, non è open
    > source
    >
    > mah... non so... e se avesse backdoor
    >
    > > ma davvero non ha backdoor
    >
    > Ok, mi fido.
    meglio di no dato che ce ne sono un vagone open source di tools per la steganografia
    Occhiolino
    Okkio però che comincia a esserci anche qualche tool di "steganography detection"
    non+autenticato
  • "Non ci hai capito un tubo come al solito vero?
    Ma questa è tutto fuorché una novità come la tua abitudine alle figure di m...
    Occhiolino"

    Infatti è proprio così. Che te lo dico a fare?
    http://punto-informatico.it/b.aspx?i=3354739&m=335...
    non+autenticato
  • - Scritto da: Giza
    > "Non ci hai capito un tubo come al solito vero?
    A parte che continuiamo a non avere il polso...
    Che tu non capisca nulla di steganografia è alquanto probabile.
    Ma vorremo che ti occupassi ti cose più vicine a te...
    La data dell'ultimo post di questo tizio?
    Clicca per vedere le dimensioni originali
    non+autenticato
  • contenuto non disponibile
  • - Scritto da: unaDuraLezione
    > - Scritto da: tucumcari
    >
    > > meglio di no
    >
    > ma infatti lo scherzavo (cit.)

    Lo immaginavo non ti faccio così "niubbo".
    è più che altro per quelli così niubbi da cascarci... e non credere che non ce ne siano... nella mia lunga vita ho visto anche di peggio.

    >
    > > dato che ce ne sono un vagone open
    > > source di tools per la
    > > steganografia
    > > Occhiolino
    >
    > Dubito che ne avrò mai bisogno.
    > Spero.
    >
    > > Okkio però che comincia a esserci anche
    > qualche
    > > tool di "steganography
    > > detection"
    >
    > e hanno una vaga speranza di funzionare?
    Solo se sei particolarmente "niubbo" ....e quando dico particolarmente intendo davvero parecchio!
    Sorride
    non+autenticato
  • > e hanno una vaga speranza di funzionare?

    Dipende, in genere tendono a rilevare lo specifico modo di nascondere l'informazione di ciascun programma per la steganografia, ma se quest'ultimo è pensato bene le speranze credo siano poche.
    non+autenticato
  • > Okkio però che comincia a esserci anche qualche
    > tool di "steganography
    > detection"

    Posta qualche link, outgess lo conosco, so che ce ne sono commerciali ma scaricabili anche in versione demo?
    non+autenticato
  • > Posta qualche link, outgess

    Outguess
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
1 | 2 | 3 | 4 | Successiva
(pagina 1/4 - 20 discussioni)