Pensieri e appunti

Inizia il Security Summit di Roma. Bella la presentazione di Udo Helmbrecht , Executive Director di ENISA . Si parla, come succede di frequente in questo periodo, di "Cloud Security".

Oggi assemblea di primavera del Clusit. Metà platea a Milano in Oracle, l'altra metà a Roma via WebEx grazie agli sforzi di Marco Misitano. La bella novità è stato il dibattito su quali "nuovi stimoli" possiamo inventarci per il decennale dell'Associazione: per la prima volta numerosi soci hanno proposto delle belle e sane idee per le future direzioni strategiche che il Clusit potrà prendere. Nella foto seduti da sinistra l'indispensabile Paolo "Monsieur le Sécretair General" e Gigi "the President". In piedi, mentre espone le sue proposte, un infervorato Alessandro Feltrin.

L'unica vera domanda è: perché ci hanno messo così tanto? La possibilità di usare sempre HTTPS (tra l'altro evitando con un redirect di accedere in HTTP) c'era già da tempo - ma andava attivata esplicitamente. Posso solo dire "meglio tardi che mai".

Un telefonino crackato per ricevere gli SMS indirizzati ad altri ?? Spaventoso! Ed ecco anche la tanto vantata "sicurezza della rete" GSM che se ne va giù nello scarico... :-(

http://www.networkworld.com/news/2009/042709-burning-security-questions.html

Leggo che il venture capital che si è comprato SafeNet ha finalizzato anche l'acquisizione di Aladdin . Aggiungendo che Aladdin si era comprata EutronSec l'anno scorso, e che SafeNet ha ormai da molti anni integrato la vecchia Rainbow, l'effetto complessivo è quello di unificare le due aziende leader di mercato in Italia per la protezione del software (gli ormai tradizionali "dongle"). E tanti saluti alla concorrenza :-) I nuovi proprietari hanno annunciato ieri che Aladdin verrà sostanzialmente gestita dai manager di SafeNet, con l'idea di integrare prima o poi la prima nella seconda. Mi sembra comunque una buona notizia, il mercato dei vendor di security ha grande bisogno di un consolidamento.

Da qualche tempo cerco di spingere su questa idea, ma sembra che solo ora la cosa stia diventando "mainstream": come scrive ZDNET qui , gli attacchi informatici non si fanno problemi a combinare nel modo più efficace e psicologicamente meno intrusivo i vari canali di comunicazione. Così si assiste ad un'e-mail che riporta un link che porta ad un sito "defaced" dove è stato abilmente inserito del malware, che approfittando di una vulnerabilità del browser (generalmente ce ne sono svariate tra cui scegliere) compromette il PC, ed installa una backdoor, uno spyware, un server Web per autoreplicarsi ed uno SMTP per inviare copie del messaggio con cui il processo è iniziato. Non c'è limite al peggio, giusto?

Articolo da C|Net. Direi estremamente lucido e saggio.

OK, un altro gioiello nella corona di Google. I servizi della Postini costavano un sacco, però sono stati fin dall'inizio servizi di prim'ordine. Ora a quanto pare andranno ad arricchire le già capienti tasche di Page e Brin: http://www.networkworld.com/news/2007/070907-google-to-buy-postini-for.html?netht=070907dailynews2&

Chi pensa alla sicurezza quando si nomina AT&T? Ed invece la fanno - e, a quanto pare, hanno anche delle idee interessanti. Come ad esempio quella di raccogliere i dati di NetFlow dai router dei loro clienti, importare il tutto in un data warehouse, ed applicarli sopra delle euristiche (che evidentemente hanno già) per cercare anomalie. L'articolo è qui . Gli esperti di intelligence lo chiamano "traffic analysis" ed è da parecchio che si sa che può dare informazioni molto utili - non occorre capire cosa dice un sottomarino nemico che trasmette un messaggio radio, mi basta scoprire la sua posizione mentre lo fa...

A quanto pare Interop sta entrando a pieno titolo nel circuito degli show di sicurezza, e la cosa ha senso, in quanto (e lo diciamo da un po') la security sta diventando mainstream, non c'è più IT senza security, ecc. ecc.. Mi fa assai piacere che nell' articolo che ho letto si dia un messaggio corretto su come la sicurezza sia tecnologia in misura minoritaria: il resto è processi, persone, politiche. Negli USA la cosa ormai arriva in un trade show generalista, speriamo in Italia di farcela per il 2010. Un'altra cosa di cui negli Stati Uniti si parla parecchio, ovvero il nuovo hype che i vendor di security hanno scelto per care i business plan di quest'anno, è il NAC: "Network Access Control". L'idea non è nuova, ma finora le implementazioni non hanno pullulato. In sintesi, non c'è nulla di particolarmente travolgente nel portare IEEE 802.1x (che è nato per il Wi-Fi) sui fili, però la promessa di poter 1) finalmente eliminare le vulnerabilità date...

I.NET partecipa alla Security Conference di IDC anche quest'anno, e mi ha chiesto di presentare, insieme ad un cliente, una Case History. Sono stato ovviamente lusingato, ed ho immediatamente accettato anche se la cosa ha significato qualche altra serata di lavoro. Abbiamo trovato in Esprinet un cliente ben disposto, ed abbiamo preparato quindi la presentazione... che mi sono trovato poi a fare da solo a causa dell'assenza del dr. Pedrazzini, Responsabile IT di Esprinet, ben giustificata dal motivo che era in Spagna per avviare parte del progetto che abbiamo presentato :-) A chi interessasse, la presentazione dovrebbe prima o poi essere scaricabile dal sito di IDC .

Oggi sono stato a Infosecurity, manifestazione molto interessante e che per me ha il pregio di essere un po' una riunione di famiglia (tenendo presente che mia madre aveva 12 tra fratelli e sorelle, quasi tutti assai prolifici; in tutto siamo 48 cugini, quasi tutti sposati e con prole, e quindi le rare volte che ci si ritrovava tutti si era circa 150). Quindi parecchia folla, ma "ah ciao! come stai? quanto tempo che non ci si vede", ecc. ecc. ogni pochi minuti, seguita dalle immancabili strette di mano, ricordo dei tempi andati, ma cosa fai adesso, e così via. Forse lavoro in questo settore da troppo? La cosa migliore, comunque, è stato il Premio Tesi del CLUSIT, giunto ben alla seconda edizione, ma con un grande avvenire davanti a sè. Ho avuto il privilegio di far parte della commissione che ha valutato le tesi, e, anche se l'ho già detto a voce a tutti i "nominees", è stato veramente difficile scegliere; le tesi in "short list" erano veramente tu...

PayPal evidentemente ha subito così tanti tentativi di phishing che ha deciso di intraprendere la strada difficile: la Strong Authentication (come opzione) per i suoi clienti. Fanno contribuire (simbolicamente) gli utenti privati, così non sembra che sia una cosa di poco conto. Finalmente. Ecco qui la notizia su C|Net .