About these ads

Archive

Posts Tagged ‘RealTek’

Another Certification Authority Breached (the 12th!)

December 10, 2011 1 comment

2011 CA Attacks Timeline (Click To Enlarge)This year is nearly at the end but it looks like it is really endless, at least from an Information Security Perspective. As a matter of fact this 2011 will leave an heavy and embarassing heritage to Information Security: the Certification Authority authentication model, which has been continuously under siege in this troubled year; a siege that seems endless and which has shown its ultimate expression on the alleged compromise of yet another Dutch Certification Authority: Gemnet.

Gemnet, an affiliate of KPN, has suspended certificate signing operation after an intrusion on its publicly accessible instance of phpMyAdmin (a web interface for managing SQL Database) which was, against any acceptable best practice, exposed on the Internet and not protected by password. As in case of Diginotar, another Dutch Certification Authority which declared Bankrupt few days after being compromised by the infamous Comodo Hacker, Gamnet has  the Dutch government among its customers including the Ministry of Security and Justice, Bank of Dutch Municipalities and the police.

After the intrusion, the attacker claimed to have manipulated the databases, and to allegedly have been able to gain control over the system and all of the documents contained on it, although KPN, claims the documents contained on the server were all publicly available. Moreover the attacker claimed the attack was successful since he could obtain the password (braTica4) used for administrative tasks on the server. As a precaution, while further information is collected about the incident, Gemnet CSP, KPN’s certificate authority division, has also suspended access to their website.

The breach is very different, in purpose and motivations, from the one occurred to Diginotar, at the end of July, which led to the issuance of more than 500 bogus Certificates (on behalf of Google, Microsoft, and other companies). In case of Diginotar the certificates were used to intercept about 300,000 Iranians, as part of what was called “Operation Black Tulip“, a campaign aimed to eavesdrop and hijack dissidents’ emails. For the chronicles, the same author of the Diginotar hack, the Infamous Comodo Hacker, had already compromised another Certification Authority earlier this year, Comodo (which was at the origin of his nickname). In both cases, the hacks were performed for political reasons, respectively as a retaliation for the Massacre of Srebrenica (in which the Comodo Hacker claimed the Dutch UN Blue Helmets did not do enough to prevent it), and as a retaliation for Stuxnet, allegedly developed in a joint effort by Israel and US to delay Iranian Nuclear Program.

But although resounding, these are not the only examples of attacks or security incidents targeting Certification Authorities: after all, the attacks against CAs started virtually in 2010 with the infamous 21th century weapon Stuxnet, that could count among its records, the fact to be the first malware using a driver signed with a valid certificate belonging to Realtek Semiconductor Corps. A technique also used by Duqu, the so called Duqu’s son.

Since then, I counted 11 other breaches, perpetrated for different purposes: eavesdropping (as is the case of the Infamous Comodo Hacker), malware driver signatures, or “simple” compromised servers (with DDoS tools as in case of KPN).

At this point I wonder what else we could deploy to protect our identity, given that two factor authentication has been breached, CAs are under siege, and also SSL needs a substantial revision. Identity protection is getting more and more important, since our privacy is constantly under attack, but we are dangerously running out of ammunitions.

(Click below for references)

Read more…

About these ads

Stuxnet, Bufale E Dragoni: Il giorno dopo le rivelazioni del NYT

January 20, 2011 1 comment

L’ondata del giorno dopo sembra stia un po’ mitigando il fuoco mediatico appiccato dal New York Times, dopo la pubblicazione dell’articolo in cui si sosteneva un complotto USA Israeliano, alla base del virus Stuxnet.

I delatori sostengono che il NYT sia spinto un po’ troppo oltre nelle sue speculazioni e che la tesi del patto tra Washington e Tel Aviv non regga per almeno 4 motivi:

  • In primo luogo la ricostruzione del NYT non riporta alcuna prova del fatto che il malware sia stato realizzato nel complesso di Dimona, né appare plausibile che qualche gola profonda sia lasciata sfuggire il segreto verso un giornalista occidentale, vista la particolare attenzione del Mossad nei confronti di chi ha la cattiva abitudine di rivelare segreti militari ai giornalisti stranieri;
  • La dichiarazione del direttore del Mossad Meir Dagan, il giorno prima del suo pensionamento, in cui ha annunciato al Knesset che l’Iran non sarebbe stato capace, al contrario delle previsioni, di sviluppare un’arma nucleare sino al 2015, è stata presa dal quotidiano d’Oltreoceano come ulteriore prova del coinvolgimento israeliano. Il NYT tuttavia non riporta il disaccordo relativo alla dichiarazione, da parte del Primo Ministro Israeliano;
  • Ancora prima della pubblicazione del report dell’Agenzia Internazionale per l’Energia Atomica (IAEA) del 23 novembre era noto che l’Iran stesse incontrando problemi per la produzione dell’Uranio arricchito, ma mentre alcuni fanno risalire la causa dei problemi di produzione al virus Stuxnet, altri li riconducono all’utilizzo di macchine obsolete della famiglia P-1. Nello stesso giorno è stato pubblicato un documento di analisi del report da parte dell’Institute for Science and Security (ISIS), dove si indicava che nello stesso periodo l’Iran aveva incrementato la propria efficienza di operazione in quasi tutti i parametri.
  • Diversi esperti di sicurezza israeliani sostengono che la concezione del virus è troppo semplice per essere stata sviluppata da Israele per scopi militari;
  • Qualcuno ha anche riscontrato una inesattezza cronologica negli articoli del NYT (ma questo forse è un peccato veniale), facendo risalire l’inizio dell’infezione informatica a luglio 2009, ovvero un anno prima della scala cronologica del virus contenuta nel Report Symantec.
  • Un ulteriore documento ISIS “Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant?” sostiene che l’impatto di Stuxnet è stato, tutto sommato, limitato, ed ha interessato un numero limitato di centrifughe (modello IR-1 che tra il 2008 e il 2009 hanno sostituito le obsolete P-1), riuscendo in definitiva, solo parzialmente al suo scopo ed in maniera limitata nel tempo. Strategia diversa da quella sostenuta dal Primo Ministro Israeliano che ritiene le sanzioni come mezzo principale per contrastare la strategia nucleare dell’Iran, e l’opzione militare come seconda scelta.

Aspetto interessante, che ancora mancava all’appello, è costituito dalla presunta, immancabile, pista cinese per il malware, la quale, suffragata da alcune ipotesi, sta cominciando ad acquisire una certa (in)credibilità:

  • I miscelatori attaccati da Stuxnet sono prodotti in Cina da un’azienda finlandese (Vacon);
  • Il primo certificato digitale falsificato (e rubato) da Stuxnet appartiene a RealTek che ha una sede in Cina, nella stessa città (Suzhou) dove vengono prodotti i miscelatori Vacon;
  • La Cina ha accesso diretto al codice sorgente di Stuxnet, che avrebbe consentito di sviluppare così velocemente 4 nuove vulnerabilità 0-day;
  • L’infezione di Stuxnet è arrivata in Cina con 3 mesi di ritardo rispetto al resto del mondo, nonostante la massiccia diffusione di tecnologia Siemens nel paese dei Mandarini. Ironia della sorte, la notizia dell’infezione di milioni di PC appartenenti a 1000 impianti (infezione di cui sono stati accusati gli americani) è stata rilasciata da un produttore locale, Rising International, accusato di aver corrotto un funzionario, condannato a morte, per aver sparso terrorismo psicologico, intimando agli utenti di scaricare un antivirus della stessa azienda per proteggersi da un nuovo tipo di infezione (sembrerebbe che la pratica di sviluppare i virus sia molto diffusa tra i produttori cinesi che poi rivendono ai poveri consumatori gli antidoti informatici).

Perchè Stuxnet avrebbe gli occhi a mandorla? La risposta è (quasi) semplice: Pechino vorrebbe fermare la proliferazione nucleare dell’Iran, mostrando comunque un atteggiamento riverente nei confronti del suo terzo maggior fornitore di petrolio: e allora quale miglior modo del buon vecchio metodo: “un colpo al cerchio e uno alla botte”? Che significa criticare da un lato le sanzioni internazionali e sabotare dall’altro le centrali nucleari con un virus informatico?

Tesi realistica o Fantapolitica? (o meglio fantascientifica?), o più semplicemente controinormazione da pare di chi vuole nascondere la vera origine del virus? (Di nuovo) ai posteri l’ardua sentenza. Io intanto aspetto che venga scoperta qualche attinenza con la storia cinese relativamente a date e simboli contenuti all’interno del codice di Stuxnet, che magari non avrà raggiunto l’obiettivo di sabotare tutte le centrali nucleari iraniane, ma  è comunque riuscito nel ben più difficile intento di attirare su di sè l’attenzione di ricercatori e giornalisti di tuto il globo (sollevando severi interrogativi sul fatto che le le infrastrutture critiche siano effettivamente pronte ad affrontare minacce di siffatta portata).

Follow

Get every new post delivered to your Inbox.

Join 2,898 other followers