Xz, Solarwinds e l'Armageddon prossimo venturo

Cassandra Crossing/ Il sabotaggio della libreria Xz è stato sventato e ancora una volta i buoni hanno vinto. Ma siamo sicuri che altrove gli attacchi alla supply chain del software non siano riusciti senza che nessuno se ne sia accorto?



[ZEUS News - www.zeusnews.it - 08-04-2024]

cassandra armageddon 01
Immagine generata con DiffusionArt.

La realtà costringe Cassandra a prolungare ulteriormente la serie di articoli sulla fine del mondo" perché nuovi, gravissimi indizi emergono riguardo al fatto che le armi per l'Armageddon informatico prossimo venturo continuano ad accumularsi.

Di nuovo, ventate di ottimismo, espresse anche da addetti ai lavori, si propagano in maniera tanto inesplicabile quanto pericolosa. Non certo per stupidità o per incompetenza; forse per desiderio di quieto vivere, forse per ingiustificato ottimismo; ma per poter esprimere compiutamente e in maniera comprensibile la sua tesi, Cassandra è come al solito costretta a riavvolgere il nastro e narrare un po' di antefatti.

Per fortuna ci basta riavvolgere solo al 2003, anno in cui viene portato alla luce il tentativo di introdurre una backdoor addirittura nel kernel di Linux.

Un amministratore del repository dei sorgenti ufficiali si accorse che una modifica minima apportata a una banale routine del kernel non appariva richiesta da nessuno. Cassandra non pretende che il C sia patrimonio dei suoi lettori ma, giusto al fine di illustrare la diabolicità della modifica, si tratta della variazione di un singolo carattere in una singola riga, cioè da

if ((options == (__WCLONE|__WALL)) && (current->uid == 0))

a

if ((options == (__WCLONE|__WALL)) && (current->uid = 0))

La mancanza dell'ultimo "=" faceva sì che, ad esempio, qualunque utente avesse usato il comando kill con un parametro opportuno (un valore a 16 bit) si sarebbe trovato promosso a root e quindi avrebbe potuto prendere il completo controllo del server.

La modifica fu annullata, l'infrastruttura dei server di compilazione fu piallata e ricostruita da zero, e i sorgenti furono ricaricati da un backup. Buoni 1, Cattivi 0.

Ma basta fare un avanti veloce al 2006 per trovare una ulteriore modifica diabolica nella libreria OpenSSL. Due semplici linee commentate diminuivano drasticamente l'entropia dell'RNG della libreria.

Per farla anche qui semplice, facevano sì che, per esempio, il numero di differenti chiavi crittografiche generabili dalla libreria passasse da un valore praticamente infinito a 32767. Chi avesse conosciuto questo fatto e precalcolato le opportune chiavi avrebbe potuto forzare qualunque algoritmo crittografico che usasse OpenSSL (cioè praticamente tutti) con estrema facilità.

Quando il problema fu scoperto e prontamente risolto, i suoi effetti non cessarono subito. Infatti ci vollero oltre due anni perché la maggioranza delle chiavi "deboli" generate e diffuse per tutta Internet venisse rimpiazzata, cosa che ha lasciato ulteriori due anni di tempo agli autori della malefatta per approfittare dei suoi effetti. Questo evento fu così sentito dai cronisti dell'epoca che addirittura il fumetto XKCD gli dedicò un'arguta vignetta.

Ma andiamo avanti, perché purtroppo non c'è niente da ridere. Ci fu chi disse Buoni 2, Cattivi 0 e palla al centro. Del calcolo di questo punteggio, che è un po' il nocciolo del ragionamento di Cassandra, riparleremo alla fine di questa esternazione.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Buoni 4, Cattivi 0?

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Il trojan di Stato che spia i cittadini
Botnet, la fabbrica dei soldi
Malware, uno su tre è Trojan (o figlio di Trojan)
Keylogger, come funzionano e come identificarli
Linux, sventato hacking del nuovo kernel

Commenti all'articolo (ultimi 5 di 8)

Di addetti ai lavori spero e penso ce ne siano davvero pochi o, meglio, nessuno, purtroppo però di non addetti ai lavori temo ce ne siano veramente tanti e anche loro possono far danni in particolar modo se sono in posizione, ad esempio, di poter decidere i budget degli addetti ai lavori... Leggi tutto
13-4-2024 14:24

Quando hai a che fare con agenzie spionistiche al servizio di stati, con magari un bilancio adeguati ai compiti ed agli obiettivi, non esiste difesa possibile, poiché essi non agiscono sulla forza bruta modello terminator, ma sull'infiltrazione, la corruzione, la captazione modello Matahari, per cui la difesa si basa sul... Leggi tutto
10-4-2024 16:10

Il closed source è scrutinato in maniera formale, e spesso insufficiente. Avendo lavorato in entrambi i campi, percepisco chiaramente la potenza dell'hype dei marchi del closed source rispetto all'anonimità dell' software livero ed open source. Ma la qualità è oggettiva, e si vede in ambedue i campi. Raggirare poi i meccanismi... Leggi tutto
10-4-2024 10:15

{Ulissio}
@zero: il closed source ha il vantaggio che solo alcuni dipendenti della company possono verificarlo e correggerlo; ma questo è anche il suo svantaggio. Alla fine basta un dipendente infedele.
9-4-2024 09:15

chi gestisce il repository di questo software si è fatto raggirare, e neanche in un modo così evidente se cerchi su Internet trovi un sacco di dettagli, a partire dal fatto che questa 'operazione' è iniziata più di due anni fa :shock: (edit: è chiarito anche nella seconda parte dell'articolo) Leggi tutto
8-4-2024 16:16

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
L'auto che si guida da sola... (completa la frase)
ci permetterà di sfruttare il tempo perso guidando, magari in coda.
ci toglierà l'ultimo brandello di privacy.
ci farà viaggiare più sicuri.
ci esporrà a nuovi pericoli, dovuti ai bug o agli attacchi degli hacker.
ci consentirà di ridurre l'inquinamento.
ci priverà dell'autonomia.
sarà accettabile solo se ci permetterà sempre di scegliere la guida manuale.
sarà sicura solo se non permetterà mai la guida manuale.

Mostra i risultati (6140 voti)
Giugno 2024
Il viaggio verso Marte rischia di devastare i reni degli astronauti
2030, Mastercard elimina il numero della carta di credito.
HP, un BIOS difettoso rende inutilizzabili i ProBook
Adobe, utenti in rivolta contro i nuovi Termini d'Uso
Napster compie 25 anni
Tre libri
Maggio 2024
Chatbot, fallimenti a ripetizione
Imparare l'hacking
Il passaporto elettronico si farà alle Poste, anche nei comuni più grandi
Google infila la IA dappertutto
Il reddito universale di base secondo OpenAI
Windows 11 24H2 cripta tutti i drive all'insaputa dell'utente
L'app per snellire Windows 11 rimuove anche la pubblicità
Netflix, utenti obbligati a passare agli abbonamenti più costosi
Aprile 2024
La fine del mondo, di silicio
Tutti gli Arretrati
Accadde oggi - 19 giugno


web metrics