Il consorzio OASIS ha recentemente annunciato il rilascio della versione 1.0 dello standard DSS (Digital Signature Services).
Ciò che caratterizza questo standard e lo rende interessante è l'adozione di un approccio integrato nei confronti della firma digitale volto a superare alcuni degli ostacoli tradizionalmente connessi con la gestione di tale supporto, particolarmente onerosa soprattutto nelle grandi organizzazioni, nonchè una riduzione dei costi connessa con la localizzazione della sicurezza certamente da non sottovalutare.
Lo standard definisce una interfaccia XML in grado di processare le firme digitali relative ai servizi Web e ad altre applicazioni senza che ciò comporti l'adozione di particolari software o configurazioni lato client.
In pratica DSS semplifica l'utilizzo della tecnologia di firma digitale permettendo alle singole entità il controllo, su base organizzativa, delle applicazioni di firma digitale tramite un server di rete sicuro sottoposto a rigorosi controlli di accesso ed a misure di sicurezza dirette a minimizzare il rischio di compromissione.
Le signatures, mantenute su questo server, possono essere create dai soggetti debitamente autorizzati senza che ciò richieda l'uso di particolari dispositivi e potendo l'organizzazione continuare ad utilizzare i proprio meccanismi di autenticazione (password, biometria, ecc...).
Tutto questo permette dunque ad una organizzazione di gestire in modo efficiente la sicurezza dei propri documenti pur mantenendo un livello di "accountability" su base individuale.
Il DSS è basato su un set di componenti e procedure che si prestano anche ad utilizzi specifici come il timestamping o il supporto per i marchi o i sigilli aziendali.
I protocolli previsti basati su XML sono due di richiesta e di risposta: le interazioni tra i due protocolli permettono, ad esempio, di inviare un documento al server e ricevere un documento firmato, oppure di inviare un documento ed una firma e ricevere una risposta circa l'attendibilità della firma.
Il valore dei dati delle memorie volatili nelle indagini digitali
Per la prima volta nella storia giudiziaria degli Stati Uniti un giudice federale, in una controversia che vede come protagonista la Motion Picture Association contro uno dei più grandi provider di media digitali, ha decretato che le tracce elettroniche contenute all'interno della memoria RAM di un sistema informatico costituiscono, a tutti gli effetti, "informazioni conservate" e, pertanto, assurgono al valore di evidenza probatoria.
Questa pronuncia quindi sposterà in parte l'attenzione degli investigatori forensi su questa tipologia di dati sottolineando l'importanza cruciale, ai fini del buon esito di una investigazione, di acquisire e e gestire i dati volatili che altrimenti verrebbero persi nel tradizionale approccio basato sulla disattivazione del sistema sospetto.
Analisi degli eseguibili Windows mediante PE iDentifier
Segnalo un tool per l'analisi degli eseguibili Windows chiamato PE iDentifier.
Si tratta di una GUI, ma con pieno supporto per la linea di comando, in grado di identificare la presenza negli eseguibili di più di 600 signatures tra cui quelle di molti compilatori, compressori e cifratori.
Inoltre sono presenti delle caratteristiche interessanti perfettamente integrate come:
- l'estendibilità delle funzionalità mediante plugins
- la scansione multipla e ricorsiva di directory
- un visualizzatore di processi
- un visualizzatore esadecimale
- un visualizzatore delle tabelle delle risorse nonchè di importazione, esportazione e TLS
- una interfaccia delle signatures esterne aggiornabile su richiesta
Il tool si presenta leggero, versatile e abbastanza funzionale per poter essere impiegato in contesti particolari come l'analisi statica di malware.
Interrogazione da web della National Software Reference Library
Segnalo che a questo indirizzo è stata resa pubblicamente disponibile una interfaccia Web che consente di effettuare interrogazioni della National Software Reference Library (http://www.nsrl.nist.gov/) un database governativo, utilizzato soprattutto nel settore della digital investigation, che racchiude gli hash MD5 e SHA1 di circa 42 milioni di files conosciuti di uso lecito e meno lecito.
Al momento della scrittura di questo post la pagina citata si interfaccia con la versione 2.16 della RDS (Reference Data Set) rilasciata nel marzo del 2007.
Phishing/Malware e social networking
A differenza di quanto possa far pensare il titolo di questo post non c'è nessuna relazione tra phishing/malware e social networking se non per il fatto che l'aumento di popolarità degli spazi su Web, dedicati a forme di aggregazione sociale, comincia ad attirare, sempre di più, l'attenzione di phisher e creatori di malware.
Su SecurityFocus si legge la notizia di attacco di phishing portato nei confronti degli utenti del popolare sito MySpace.
L'attacco sfrutta una modifica di un foglio di stile associato al profilo di ciascun utente per posizionare una immagine trasparente sulla pagina, causando perciò una ridirezione dell'utente verso una falsa pagina di login.
Come sempre più spesso accade l'efficacia dell'attacco è in stretta relazione con il livello di sofisticazione delle pagine clone e con l'ormai onnipresente supporto delle botnets (reti di sistemi compromessi).
D'altra parte già da qualche tempo si erano cominciate a notare le avvisaglie di questo fenomeno in espansione come testimoniato anche dall'apparizione dei primi worm "specializzati" come JS.Qspace che, sfruttando una tipica vulnerabilità di cross-site scripting, mirava a colpire proprio gli utenti di MySpace abbinandosi proprio a forme di phishing.
Vincolare l'esecuzione di programmi
Spesso vi può essere l'esigenza di limitare gli effetti o le interazioni derivanti, a livello di sistema operativo, dalla esecuzione di programmi di dubbia provenienza/funzionalità o di applicazioni che, pur provenendo da una fonte abbastanza attendibile, interagiscono con ambienti caratterizzati da un certo livello di rischio (vedasi browser, email client, ecc...).
In questi casi una delle possibili soluzioni consiste nel creare degli ambienti vincolati all'interno dei quali circoscrivere l'esecuzione dell'applicativo/i.
Al riguardo esistono approcci differenti: alcuni limitano le interazioni dell'applicativo con le varie componenti del sistema operativo, sulla base di policies predefinite o comunque elaborate dall'utente finale. Generalmente questo è il principio di funzionamento dei cd. "behaviour blockers o HIPS (Host Intrusion Prevention System)".
A seconda del software vi può essere o meno una elevata granularità nel livello di definizione delle policies ma, comunque, occorre che l'utente abbia una consapevolezza sull'entità dei possibili rischi derivanti dalla esecuzione di codice sospetto.
Questo vuol dire che, se ad un applicativo viene erronamente attribuita una eccessiva capacità di interazione con il sistema, quest'ultimo ne può risultare irrimediabilmente compromesso.
Altre soluzioni, invece, cd. sandbox, permettono al programma la più ampia interazione con l'ambiente sottostante ma rendono inefficace qualsiasi modifica apportata al sistema preservando dunque l'integrità di quest'ultimo.
In quest'ultima categoria si colloca una soluzione software particolarmente leggera e gratuita chiamata Sandboxie.
Il funzionamento del software è molto semplice e si basa sull'interposizione di un'area di memoria transitoria tra il processo/i, eseguito/i nel contesto della sandbox, ed il filesystem sottostante così da rendere vane tutte quelle operazioni che comportano la modifica in scrittura del sistema.Virtualizzazione mediante software GPL
VirtualBox è un software di virtualizzazione x86 rilasciato sotto licenza GPL per molteplici piattaforme tra le quali Windows, MacOSX, Linux e OpenBSD.
Finora non ho avuto modo di testarlo in modo approfondito, soprattutto in certe condizioni particolari di utilizzo ma, da una prima impressione, mi sembra abbastanza promettente. Sicuramente molto dipenderà dalla frequenza dei rilasci e dal coinvolgimento nel progetto di ampie comunità di sviluppatori.
Il software fornisce il supporto alle funzionalità di networking nelle modalità nat, internal lan e host bridge, alle periferiche USB, con possibilità di impostare filtri sui dispositivi utilizzabili, ed altre caratteristiche utili come come la possibilità di montare volumi ISO, il supporto degli snapshot, la possibilità di utilizzare immagini dei dischi create con VMWare, ecc...
Potrebbe effettivamente essere una alternativa ai software di tipo commerciale.
Sarebbe interessante testarne il funzionamento in modo dettagliato soprattutto in contesti particolari come la creazione di honeypots ad alta interazione o l'implementazione di ambienti segregati per l'analisi del malware.
