Alfonso Maruccia

Socat, tool amministrativo con backdoor incorporata?

I ricercatori identificano una grave falla di sicurezza all'interno di un popolare software per la gestione di rete su sistemi *nix, un bug che potrebbe corrispondere a una vera e propria backdoor. Introdotta da uno sviluppatore cinese

Roma - Socat è a rischio backdoor, dicono i ricercatori, perché la sua implementazione della libreria OpenSSL per le comunicazioni cifrate non è sicura come dovrebbe; gli sviluppatori sono già corsi ai ripari, mentre la caccia al responsabile è già finita e ora tutti sono in attesa di qualche spiegazione.

Socat è una variante più complessa di Netcat, servizio di amministrazione delle reti sotto i sistemi operativi Unix e Unix-like che include funzionalità come la scansione delle porte, il trasferimento di file e la messa in ascolto: oltre che per amministrare un network, insomma, Netcat/Socat ha tutto quello che serve per funzionare da vera e propria backdoor.
Il problema di sicurezza identificato dai ricercatori non riguarda in ogni caso le funzionalità di Socat, quanto piuttosto il modo in cui è stato implementato il meccanismo dello scambio di chiavi crittografiche noto come Diffie-Hellman e già noto per le sue vocazioni al tecncontrollo, complice NSA.

L'implementazione OpenSSL di Socat implementa un parametro "p" per DH già codificato in partenza, con una lunghezza a 1024 bit e un numero non primo. L'effettiva robustezza delle chiavi scambiate tramite questo parametro predeterminato è inferiore rispetto a quella ottenibile con l'uso di un numero primo, ammettono gli sviluppatori, e l'esistenza della falla potrebbe indicare l'introduzione di una vera e propria backdoor per l'intercettazione delle comunicazioni sicure.
Il codice incriminato è presente nel progetto da ben 12 mesi, e il responsabile è lo sviluppatore cinese Zhigang Wang impiegato presso Oracle. La presunta backdoor è stata scritta come patch a un problema evidenziato in precedenza, e ora gli sviluppatori di Socat - ma anche chiunque altro - chiedono spiegazioni a Wang. Nel mentre la vulnerabilità è già stata rimossa e la lunghezza del parametro "p" è stata portata a 2048 bit.

Alfonso Maruccia
Notizie collegate
  • SicurezzaFortinet, la backdoor si spalancaL'azienda allarga l'indagine interna e identifica nuovi prodotti vulnerabili, mentre dall'esterno ignoti indirizzi IP cinesi si sono già attivati per scovare gli apparati di rete attaccabili
  • SicurezzaNSA, il cracking crittografico costa miliardiUn nuovo studio descrive il modo in cui l'intelligence statunitense è stata in grado di bypassare le protezioni crittografiche del traffico Internet (teoricamente) sicuro, usando in sostanza un approccio a forza bruta a dir poco costoso
  • SicurezzaCassandra Crossing/ Il crittografo e il Grande Fratellodi M. Calamari - David Chaum è padre di invenzioni rivoluzionarie nell'ambito della crittografia: teorizza la moneta digitale e il principio delle mix-net. Ma certe proposte recenti prestano il fianco al tecnocontrollo
15 Commenti alla Notizia Socat, tool amministrativo con backdoor incorporata?
Ordina
  • Troppo facile scaricare sull'ultima ruota del carro...
    non+autenticato
  • Il tizio va messo sotto torchio per scoprite eventuali "favori" e/o "pressioni" nei suoi confronti, una volta appurati i fatti e comprovata l' eventuale responsabilità si va giù di legnate senza pietà, forse così i prossimi ci penseranno bene prima di fare i furbi.

    Il pescivendolo se ci prova a vendere un chilo di cozze marce lo rovinano, i programmatori peracottari fanno cappellate planetarie tutti i sacrosanti giorni e nessuno gli torce un capello.
    non+autenticato
  • è una azienda "normale" o stiamo parlando di cantinari ?
    Il discorso è analogo al caso wolkswagen ...
    non+autenticato
  • Quello che importa è il danno arrecato cantinari o no.
    non+autenticato
  • - Scritto da: iceman

    > Il pescivendolo se ci prova a vendere un chilo di
    > cozze marce lo rovinano, i programmatori
    > peracottari fanno cappellate planetarie tutti i
    > sacrosanti giorni e nessuno gli torce un
    > capello

    È quello che dico io da tempo... non capisco perché si vada avanti con questa situazione inaccettabile.

    Ci sono individui e aziende che hanno perso migliaia o anche decine di migliaia di Euro (sia in perdite effettive, sia in danni di immagine o di tempo "sprecato" per ripristinare la situazione) per via delle cappellate ad esempio di Adobe... eppure nessuno fa niente. Scandaloso.
    non+autenticato
  • - Scritto da: iceman
    > Il tizio va messo sotto torchio per scoprite
    > eventuali "favori" e/o "pressioni" nei suoi
    > confronti, una volta appurati i fatti e
    > comprovata l' eventuale responsabilità si va giù
    > di legnate senza pietà, forse così i prossimi ci
    > penseranno bene prima di fare i
    > furbi.
    >
    > Il pescivendolo se ci prova a vendere un chilo di
    > cozze marce lo rovinano, i programmatori
    > peracottari fanno cappellate planetarie tutti i
    > sacrosanti giorni e nessuno gli torce un
    > capello.

    Bravo, ora presenta una querela verso l'entità giuridica responsabile della messa in commercio di "sUcat".
    non+autenticato
  • - Scritto da: nome e cognome
    > - Scritto da: iceman
    > > Il tizio va messo sotto torchio per scoprite
    > > eventuali "favori" e/o "pressioni" nei suoi
    > > confronti, una volta appurati i fatti e
    > > comprovata l' eventuale responsabilità si va
    > giù
    > > di legnate senza pietà, forse così i
    > prossimi
    > ci
    > > penseranno bene prima di fare i
    > > furbi.
    > >
    > > Il pescivendolo se ci prova a vendere un
    > chilo
    > di
    > > cozze marce lo rovinano, i programmatori
    > > peracottari fanno cappellate planetarie
    > tutti
    > i
    > > sacrosanti giorni e nessuno gli torce un
    > > capello.
    >
    > Bravo, ora presenta una querela verso l'entità
    > giuridica responsabile della messa in commercio
    > di
    > "sUcat".

    A differenza di Microsoft che ti fa firmare un contratto in cui ti vieta di denunciarli? Rotola dal ridere
    non+autenticato
  • > A differenza di Microsoft che ti fa firmare un
    > contratto in cui ti vieta di denunciarli?
    > Rotola dal ridere

    I contratti si possono invalidare, "sUcat" invece è per definizione.
    non+autenticato
  • Denuncia oracle e facci sapere...
    non+autenticato
  • A casa mia si chiamano prestanome, una volta eliminati si vive tutti felici e contenti.
    non+autenticato
  • - Scritto da: ...
    > A casa mia si chiamano prestanome incapaci, una volta
    > eliminati si vive tutti felici e
    > contenti.
    Fixed!
    A bocca aperta
    non+autenticato
  • forza oracle, ci vuole impegno per fare peggioSorride
    non+autenticato
  • - Scritto da: Nome e cognome
    > forza oracle, ci vuole impegno per fare peggioSorride

    quando oltre metà dei dipendenti di un'azienda tecnologggica è composta da avvocati, non meravigliamoci se poi trovano numeri primi divisibili per 10 Rotola dal ridereRotola dal ridereRotola dal ridereRotola dal ridereRotola dal ridere
    non+autenticato
  • - Scritto da: omino di eratostene
    > - Scritto da: Nome e cognome
    > > forza oracle, ci vuole impegno per fare
    > peggio
    >Sorride
    >
    > quando oltre metà dei dipendenti di un'azienda
    > tecnologggica è composta da avvocati, non
    > meravigliamoci se poi trovano numeri primi
    > divisibili per 10
    > Rotola dal ridereRotola dal ridereRotola dal ridereRotola dal ridereRotola dal ridere
    Davvero?
    TristeIn lacrime
    e io che pensavo fosse un gomblotto!

    A bocca apertaA bocca aperta
    non+autenticato