Svizzera – Pagina 5 – Attivissimo.me

Voto elettronico svizzero, analisi impietosa delle falle che hanno portato alla sua sospensione

Pochi giorni fa Sarah Jamie Lewis di Open Privacy è stata a Zurigo per una presentazione sulle falle scoperte da lei e altri ricercatori (Vanessa Teague e Olivier Pereira) nel sistema di e-voting svizzero proposto da Swisspost e Scytl, di cui ho parlato in altri articoli. Questo è il video della sua conferenza: le slide sono disponibili qui. La conferenza vera e propria inizia a 6:25.

La conferenza è piuttosto tecnica, ma in estrema sintesi, l’analisi dimostra che sarebbe stato possibile alterare i risultati di voto senza lasciare tracce e soprattutto producendo una verifica (illusoria) che avrebbe fatto credere a tutti che non c’era stata alcuna alterazione e che anzi il risultato era garantito dalla matematica.

Come dice Sarah Jamie Lewis, “se dei ricercatori che lavorano quando sono a corto di sonno possono scardinare il tuo sistema, allora possono farlo anche i veri malintenzionati”.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Rapporto MELANI: lo stato dell’arte degli attacchi informatici in Svizzera

2019-05-18
di Paolo Attivissimo
attacchi informatici, Internet delle cose, ReteTreRSI, Svizzera

È uscito il ventottesimo rapporto semestrale della Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) della Confederazione Svizzera, che descrive i principali incidenti informatici accaduti in Svizzera e all’estero nel secondo semestre del 2018 ed è un’ottima guida informativa per chiunque si occupi di sicurezza e voglia esempi concreti per capire le realtà dei rischi informatici. Il rapporto è disponibile anche in italiano.

Contiene davvero di tutto: dai blackout tramite dispositivi IoT all’evoluzione dell’estorsione-bluff che diceva di averti ripreso mentre guardavi video pornografici e chiedeva soldi per non diffondere il video; dalle tecniche usate dai ladri informatici per entrare negli account Office 365 e alterare le coordinate bancarie nelle fatture, in modo che le aziende facciano bonifici pensando di pagare i fornitori ma i soldi finiscano nei conti gestiti dai criminali, all’attacco informatico (fallito) al sistema automatico di gestione dell’approvvigionamento idrico di Ebikon, vicino a Lucerna. Buona lettura.

E-voting svizzero ha problemi di affidabilità: l’analisi tecnica in breve

Secondo la ricerca pubblicata poco fa da Sarah Jamie Lewis, Olivier Pereira e Vanessa Teague (OpenPrivacy, UCLouvain e University of Melbourne), il sistema di voto elettronico svizzero proposto da SwissPost e oggetto di un test pubblico di sicurezza ha delle falle notevoli.

Sarebbe infatti possibile creare una “manipolazione dei voti non rilevabile”: “nel sistema SwissPost, i voti elettronici cifrati devono essere rimescolati per proteggere la riservatezza del singolo voto. Ogni server che rimescola i voti dovrebbe dimostrare che l’insieme di voti in ingresso che ha ricevuto corrisponde esattamente ai voti diversamente cifrati in uscita. Questo ha lo scopo di fornire un equivalente elettronico dell’uso pubblicamente osservabile di un’urna fisica o teca trasparente”.

I ricercatori forniscono “due esempi di come un’autorità che implementasse o amministrasse un server di rimescolamento potrebbe produrre una trascrizione che viene verificata perfettamente mentre in realtà i voti vengono manipolati.”

Aggiungono inoltre che nella loro analisi “nulla suggerisce che questo problema sia stato introdotto intenzionalmente. È totalmente compatibile con un’implementazione ingenua di un protocollo crittografico complesso da parte di persone con buone intenzioni che non hanno una piena comprensione dei suoi assunti di sicurezza e di altri dettagli importanti.”

In questo flusso di tweet, Sarah Jamie Lewis osserva che SwissPost ha dichiarato che si tratta effettivamente di un difetto e che lo si sapeva sin dal 2017, ma che Scytl (società partner del progetto) non l’aveva corretto. Ora SwissPost ha annunciato la correzione.

Si potrebbe dire che lo scopo del test pubblico del sistema di voto elettronico sia stato parzialmente raggiunto: evidenziare eventuali lacune prima che venga utilizzato. Ma è importante sottolineare che è stato raggiunto grazie al fatto che questi ricercatori non hanno rispettato i paletti inaccettabili di riservatezza proposti dal test, che richiedevano ai partecipanti al test di sottoscrivere un accordo di non pubblicazione salvo approvazione da parte di SwissPost.

La domanda, a questo punto, è come mai questi difetti del software di voto sono stati scoperti e corretti soltanto oggi, dopo anni, e da tre ricercatori esterni che si sono chinati per qualche giorni sulla questione, invece di essere rivelati dalle ripetute verifiche interne di SwissPost e Scytl. E soprattutto quanti altri errori attendono di essere scoperti.

Il test pubblico del software di voto elettronico svizzero rivela problemi seri; meglio così

Ricordate l’invito delle Poste Svizzere ad “hackerare” il sistema di voto elettronico legalmente in un test pubblico, con un premio in denaro in palio? Ne avevo parlato a novembre e dicembre 2018. L’inizio del test è previsto per il 25 febbraio, ma gli informatici si sono messi già al lavoro e hanno trovato magagne serie ancora prima dell’avvio formale della sfida.

Una di questi informatici è Sarah Jamie Lewis, ex addetta alla sicurezza informatica di Amazon dopo aver lavorato per l’agenzia di intelligence britannica GCHQ e ora executive director della Open Privacy Research Society, a Vancouver, in Canada.

In una serie di tweet impietosi e in un’intervista a Motherboard, Sarah Jamie Lewis ha messo in luce alcune carenze del codice sorgente del software di voto elettronico, che deve essere accessibile agli esperti, come da Ordinanza della Cancelleria Federale, ma è stato invece reso disponibile a tutti su Internet da ignoti. Questo è in violazione delle disposizioni di utilizzo, ma ha consentito a molti più esperti di esaminare il software e di criticarlo senza le restrizioni previste dagli accordi di partecipazione al test.

Il risultato non è incoraggiante. Ecco alcuni stralci dalla serie di tweet:

So, I took a look at swiss online voting system code that someone leaked, and having written, deployed and audited large enterprise java code…that thing triggers every flag.

— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019

The core reencryption mixnet code is spread across dozens of different files, not included the auxiliary/utility/deployment packages.

Also this work in progress is reassuring pic.twitter.com/v93km0T41E

— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019

oh ffs, how about some basic defense in depth people. This is not how you start a function designed to verify a proof as being correct.

*headdesk* pic.twitter.com/NRtIWGdwZR

— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019

There is an entire javascript package dedicated to collecting entropy in that codebase.

Hope that was well audited. pic.twitter.com/7xIhJapLrR

— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019

Definitely want to make sure that clients using a browser that has been out of extended support for 5 years are generating secure random numbers too. pic.twitter.com/HZGx5PEzSQ

— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019

La sua non è l’unica voce che esprime dubbi:

I’m dying 😀 pic.twitter.com/IPBQqJdGj2

— Malapropismus (@malapropismus) 18 febbraio 2019

Il suo thread di commenti su Twitter, troppo lungo e articolato da riportare integralmente qui, si conclude così:

Anyway, I wish the swiss election team the best of luck in ensuring that the thousands of new, highly configurable, ZKP code, written in Java, decomposed over hundreds of files, is up to the standard of securing national elections.

— Sarah Jamie Lewis (@SarahJamieLewis) February 18, 2019

Il problema di fondo del software di voto, sviluppato dalle Poste Svizzere e dalla società Scytl di Barcellona, è che non è software open source, ma è proprietario, per cui non è liberamente ispezionabile in piena trasparenza.

Le condizioni di accesso infatti ribadiscono che “The published code, including the source code, is the intellectual property of the companies Scytl and Post CH Ltd. The code in question is proprietary and not subject to a free and open source software (FOSS) licence” e che “Post CH Ltd must be consulted before any findings may be published”, per cui i ricercatori devono avere il permesso delle Poste per pubblicare i propri risultati. Questo limita fortemente l’ispezionabilità del codice e non aiuta a raggiungere l’obiettivo di “creare fiducia nell’opinione pubblica”.

Dal canto loro, le Poste Svizzere hanno risposto, tramite la portavoce Nathalie Dérobert, che il test d’intrusione non è concepito per validare il codice o dimostrare la sicurezza del sistema, ma solo per aiutare gli sviluppatori a capire quali migliorie devono fare. A giudicare dalle critiche fatte online, le migliorie da mettere in cantiere saranno tante.

Le parole di Internet: voice phishing o vishing

Credit: VPN Guru.

Alcuni media svizzeri riportano la notizia della conclusione di un procedimento penale per voice phishing da parte del Ministero Pubblico della Confederazione e della promozione dell’accusa, dinanzi al Tribunale Penale Federale a Bellinzona, contro una donna che è appunto accusata di far parte di un gruppo criminale attivo in Svizzera.

La donna era stata localizzata e identificata nei Paesi Bassi grazie alla collaborazione con le autorità olandesi e al sostegno dell’Ufficio Federale di Polizia (Fedpol) e di Eurojust.

Ma che cos’è il voice phishing? Si chiama anche vishing ed è la tecnica di furto di dati informatici usando uno strumento poco informatico e molto umano: la parlantina. Il criminale telefona alla vittima fingendo di essere un’autorità, un’agenzia governativa, una banca o un’azienda di solida reputazione, oppure un amico o un familiare, e riesce farsi dare dalla vittima del denaro o delle informazioni personali riservate, come password o codici di sicurezza di carte di credito o di carte prepagate di circuiti di gioco o di musica.

Nel caso in questione, i dati ottenuti sono stati usati per compiere trasferimenti di denaro illeciti ai danni di circa 50 vittime in Svizzera, per un totale di oltre 2 milioni di franchi (1,8 milioni di euro).

Può sembrare incredibile che qualcuno non si accorga che la voce del familiare non è la sua o non pensi che una banca non chiederebbe mai PIN o codici di sicurezza, ma come tante truffe online anche il voice phishing lavora sui grandi numeri: a furia di tentativi, prima o poi il truffatore trova la vittima più sensibile o fiduciosa.

I truffatori, inoltre, sono professionisti e quindi sanno esattamente come manipolare le proprie vittime tecnicamente ed emotivamente, facendo comparire sui loro telefoni numeri del chiamante corrispondenti a enti attendibili. A volte usano sistemi automatici (wardialer) che chiamano numeri a caso e avvisano la vittima, con una voce preregistrata, che la sua carta di credito è stata rubata e che deve digitarne il numero per avviare la procedura di protezione, oppure che ha vinto un piccolo premio e per incassarlo deve dare appunto il numero della carta. Se la vittima lo digita, subentra il truffatore in carne e ossa che tranquillizza la vittima e la convince a dare anche i codici segreti della carta con la scusa di una verifica.

La difesa contro attacchi di questo genere è una sola: non dobbiamo mai dare per telefono a nessuno dati personali o segreti, soprattutto se la chiamata è stata ricevuta e non iniziata da noi.

“Hackerare” il voto elettronico svizzero legalmente: un aggiornamento

Ricordate l’invito a testare la sicurezza del sistema di voto elettronico svizzero di metà novembre scorso? Con tanto di premio?

Mi sono iscritto, e stamattina mi è arrivato questo aggiornamento:

Dear Security Researcher

Thank you for pre-registering for the Public Intrusion Test (PIT). Swiss Post’s online voting system will be tested under the requirements of the Swiss Confederation and the Swiss Cantons.

In the next few weeks you will receive:

• detailed information about the PIT, such as dates, compensation system, scope of the test, code of conduct, etc.
• a link to the official registration platform for the PIT, where you’ll be able to definitely sign up

The source code will be published before the intrusion test. If you register on the official platform in the beginning of the year, you will receive a notification when the code has been published.

Kind regards
Swiss Post

In traduzione:

Caro Ricercatore di Sicurezza

Grazie per esserti preregistrato per il Test Pubblico di Intrusione (TPI). Il sistema di voto online della Posta Svizzera verrà testato secondo i requisiti della Confederazione Svizzera e dei Cantoni Svizzeri.

Nelle prossime settimane riceverai:

• informazioni dettagliate sul TPI, come per esempio le date, il sistema di ricompensa, l’ambito del test, il codice di condotta, eccetera
• un link alla piattaforma di registrazione ufficiale per il TPI, dove potrai iscriverti definitivamente

Il codice sorgente verrà pubblicato prima del test di intrusione. Se ti registri sulla piattaforma ufficiale all’inizio dell’anno, ricevera una notifica quando sarà stato pubblicato il codice.

Momenti di nerditudine: ho comprato una targa da Trekker

Ultimo aggiornamento: 2018/12/17 21:35.

In Svizzera viene tenuta periodicamente un’asta ufficiale per le targhe delle automobili: per il Canton Ticino la trovate qui su Ti.ch. Ci si iscrive e si partecipa via Internet, e quando viene indetta l’asta (che è sempre serale) si viene allertati via mail: comodissimo. Da appassionato di Star Trek, non sono riuscito a trattenermi dal fare una piccola pazzia e mi sono aggiudicato questa targa.

Spiegone per non-Trekker: NCC-1701 è il numero di matricola dell’astronave Enterprise. Mi sarebbe piaciuto avere TI 1701, ma le targhe a quattro cifre hanno prezzi per me proibitivi (varie migliaia di franchi/euro).

Spiegone per non ticinesi: riservazione è italiano svizzero. Qui si usa comunemente al posto di prenotazione.

Prevengo la domanda: 170100 e 170142 (come omaggio alla Guida Galattica per autostoppisti) non erano disponibili.

È per la Tesla Model 3 che ho preordinato? Dipende: non ho ancora deciso se acquistarla o no. Nel frattempo la monterò sulle mie auto attuali: quella a benzina, che spero di sostituire presto con una berlina elettrica, e la piccola city car elettrica che ho già (in Svizzera le targhe sono trasferibili se si usa una sola auto per volta).

Perché ho scelto 05 come cifre finali? Perché, se vogliamo essere nerd fino in fondo, lo 05 potrebbe rappresentare la quinta lettera dell’alfabeto (E) e quindi indicare l’Enterprise-E (oppure, come mi fate notare dai commenti, potrebbe essere la E di elettrico). In alternativa, potrebbe rappresentare la quinta versione dell’astronave, quindi l’Enterprise-D (visto che l’Enteprise originale non aveva lettere di versione).

Mi è arrivata una mail che conferma che mi sono aggiudicato la targa e ora devo aspettarne un’altra che mi avviserà non appena sarà disponibile: a quel punto potrò procedere al ritiro avviare le pratiche per il cambio di targa. Non l’ho mai fatto, quindi è tutto da scoprire.

2018/12/17: Sono finalmente andato a ritirare la targa.

Tentativo di rubare password alla SUPSI (Scuola universitaria professionale della Svizzera italiana)

2018-12-14
di Paolo Attivissimo
furto di password, phishing, ReteTreRSI, Svizzera

D3LabIT mi segnala questo tentativo di phishing ai danni degli utenti della SUPSI, la Scuola universitaria professionale della Svizzera italiana. La falsa pagina di login, mostrata qui sopra, si trova in realtà presso https://fusioncya punto com/sup/. Gli altri link nella pagina portano alle pagine corrispondenti del vero sito SUPSI.

I truffatori probabilmente portano le vittime su questa pagina mandando loro dei messaggi (mail o altri canali di messaggistica) contenenti un link che apparentemente porta al sito della SUPSI ma in realtà porta al sito dei truffatori. È sempre pericoloso cliccare su link contenuti in messaggi; diffidate di quelli che vi portano a pagine di login.

Notate il lucchetto, che può dare un falso senso di sicurezza: indica soltanto che la comunicazione è cifrata, ma non autentica il sito che lo presenta. Il certificato digitale che fa mostrare al browser questo lucchetto è fornito in questo caso gratuitamente da Let’s Encrypt.

Dopo aver cliccato su Login nella pagina dei ladri di password si viene portati alla vera pagina di login della SUPSI (https://webmail.ti-edu.ch/). Questo fa credere all’utente che ci sia stato semplicemente un banale errore di immissione, perfezionando l’inganno.

La falsa pagina di login.

La vera pagina di login.

Ovviamente non bisogna mai immettere password in pagine come questa. Se l’avete fatto, cambiate immediatamente la vostra password visitando il sito vero. Per essere sicuri di visitare il sito vero, digitatene a mano il nome nel vostro browser.

@supsi_ch vi segnaliamo una campagna di phishing a danno dei vostri utenti. Target la posta elettronica. Pagine clone su https[:]//fusioncya[.]com/sup/@PoliziaTI @disinformatico pic.twitter.com/7NNXmS3wel

— D3LabIT (@D3LabIT) December 13, 2018

Può avere senso visitare in massa la pagina dei ladri di password e immettere dati fasulli, in modo da inquinare e rendere inservibile l’archivio di login e password che stanno accumulando? È probabile. In ogni caso, prudenza.

2018/12/14 10:30. Firefox ora segnala il sito truffaldino come pericoloso, grazie a Google Safe Browsing.

Volete provare con me a violare il sistema di voto elettronico svizzero? È legale

Ultimo aggiornamento: 2018/11/16 7:50.

A quanto pare la Svizzera sta invitando gli informatici a mettere alla prova il sistema di voto elettronico messo a punto dalla Posta svizzera.

La RSI cita la NZZ am Sonntag, che a sua volta fa riferimento a “fonti della Cancelleria federale”, e dice che nel 2019 “i due sistemi di voto elettronico in fase di sviluppo in Svizzera […] saranno messi alla prova dai pirati informatici di tutto il mondo.” Il sistema della Posta sarà sottoposto a prova di intrusione per quattro settimane la prossima primavera.

Ci sarebbero ben 250 mila franchi (circa 220 mila euro) “per organizzare la prova e offrire un montepremi che sia allettante per un gran numero di esperti informatici […] Gli interessati a partecipare possono già iscriversi rivolgendosi alla Posta via Internet.”

Se volete cimentarvi insieme a me, o comunque soltanto discutere delle tecnologie e della sicurezza del voto elettronico, i commenti sono a vostra disposizione.

La RSI nota che “non è specificato a quale indirizzo” ci si debba rivolgere e ipotizza che “forse è già una prima prova”. In effetti le istruzioni per iscriversi non sono linkate dalle varie fonti che annunciano la prova e non sembra esserci un link pubblico sul sito della Posta. Le informazioni per esperti sul sistema di e-voting sono invece facilmente reperibili qui e una demo è qui.

2018/11/13 11:50

Come è tipico di tante cose in Svizzera, basta chiedere: un commentatore, Angus, ha scoperto le istruzioni di preiscrizione semplicemente chiedendole via mail alla Posta svizzera. Sono presso https://pit.post.ch/en (solo in inglese).

2018/11/16 7:50

Le istruzioni contengono soltanto un fomulario di preiscrizione e queste informazioni (evidenziazioni aggiunte da me):

Swiss Post is continuing to develop its online voting solutions for Federal votes and elections.
For its next-generation system, Swiss Post is looking into running a public intrusion test in 2019 under the requirements of the Swiss Confederation and the Swiss Cantons.
Would you like to receive further information? You can now pre-register here below.
Pre-registered researchers will obtain additional information and a link to sign up until the end of 2018 if the public intrusion test (PIT) will be carried out.
Contact: pit@swisspost.ch

Notate il “is looking into” e quell’“if”, che indicano che si tratta per ora di una ipotesi ancora in fase di valutazione.

Naturalmente mi sono preiscritto: ho ottenuto questa laconica risposta, che ribadisce che non è ancora detto che il test si faccia davvero (evidenziazioni aggiunte da me):

Thank you for your interest. If the public intrusion test (PIT) will be carried out, you will obtain additional information and a link to sign up until the end of 2018.

Contact: pit@swisspost.ch

Fonti aggiuntive: 20min.ch, Swissinfo.ch, Corriere del Ticino, Ticinonews.ch.

Svizzera, 106 misure federali per migliorare la sicurezza informatica

Anche in Svizzera, come in molti altri paesi, la percezione del rischio informatico aziendale non è ancora matura. Molti pensano ancora che un attacco informatico sia il problema di qualcun altro e di essere troppo piccoli per essere presi di mira. Chi lavora nel settore della sicurezza sa invece che nessun bersaglio è troppo piccolo o insignificante per un criminale informatico in cerca di guadagni facili.

L’Ufficio federale per l’approvvigionamento economico (UFAE) ha pubblicato un documento nel quale propone uno standard minimo di protezione, orientato specificamente ai gestori di infrastrutture ma valido per chiunque, che si articola in 106 misure concrete. Queste misure sono strutturate in cinque gruppi fondamentali:

Identificare
Proteggere
Intercettare
Reagire
Ripristinare

Il documento si basa in parte sul lavoro del NIST statunitense ed è scaricabile qui (per ora solo in francese, tedesco e inglese) insieme a uno spreadsheet che facilita il compito di valutazione della sicurezza.

Le misure non contengono novità particolari per chi si occupa professionalmente di sicurezza informatica, ma il fatto che se ne parli nei media generalisti e che ci sia un’azione governativa forse aiuterà i responsabili della sicurezza informatica delle aziende a superare uno dei principali ostacoli alla protezione delle infrastrutture: il dirigente che non sa nulla d’informatica ma pretende lo stesso di decidere di testa propria quanto spendere in sicurezza (il meno possibile, di solito) e quali misure adottare (”dobbiamo davvero fare un backup tutti i giorni?”).

Il documento fa parte della Strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC), varata dal Consiglio Federale sei anni fa.

Fonti aggiuntive: Consiglio federale, RSI. Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.