Post AHLmbjPQsDb7cpfULA by sabrinaweb71@poliverso.org
(DIR) More posts by sabrinaweb71@poliverso.org
(DIR) Post #AHLLAcL8LrKD7RVJNA by miriamgreco@mastodon.uno
2022-03-12T16:41:59Z
0 likes, 0 repeats
Il Disinformatico: Che si fa con #Telegram? È russo. Ma quel che conta è che non è “end-to-end” di default https://attivissimo.blogspot.com/2022/03/che-si-fa-con-telegram-e-russo.htmlIl vero problema della sicurezza di Telegram, in realtà, è un altro ed è slegato dall’attuale crisi russa: moltissimi utenti dell’app credono che tutti i messaggi e contenuti che scambiano attraverso Telegram siano criptati end-to-end, (...) Ma non è così.
(DIR) Post #AHLLAcn8fjj6WIbg1Y by Shamar@qoto.org
2022-03-12T17:14:37Z
0 likes, 0 repeats
@miriamgrecoEd i sorgenti non sono disponibili.Ed è centralizzato.Come #Signal, ad esempio.
(DIR) Post #AHLPCD5xa7A5DgQCgq by fatualux@mastodon.uno
2022-03-12T17:59:43Z
0 likes, 0 repeats
@Shamar @miriamgreco per caso conosci alternative migliori per la messaggistica rispetto a Telegram e Signal? nel caso mi piacerebbe provarle, e potrei tentare di consigliarle ai miei contatti... anche se già avevo provato con telegram, ma molti preferiscono tuttora WhatsApp
(DIR) Post #AHLmANw4bTyRCvtbkm by Shamar@qoto.org
2022-03-12T22:17:07Z
0 likes, 0 repeats
@fatualuxIo uso #Element, basato su protocollo #Matrix.È federato, open-source ed il contenuto dei messaggi è cifrato end-to-end by default. Solo alcuni metadati in chiaro rimangono visibili agli amministratori delle istanze.Oltre a Element esistono altri client che trovi anche su F-Droid. E conosco diverse persone che gestiscono i propri sever (sempre open-source).È meglio di Telegram, Signal e WhatsApp, ma non è di livello militare.Se ti serve qualcosa di livello militare, FORSE puoi provare #Briar.Ne ho letto bene... ma non l'ho ancora provato e non ne ho studiato il sorgente.@miriamgreco
(DIR) Post #AHLmbjPQsDb7cpfULA by sabrinaweb71@poliverso.org
2022-03-12T22:21:14Z
0 likes, 0 repeats
@Shamar@miriamgreco@fatualux il problema delle app di messaggistica è convincere i tuoi contatti a usare quelle
(DIR) Post #AHMaXewsVktqLCZ1tY by miriamgreco@mastodon.uno
2022-03-13T07:41:34Z
0 likes, 0 repeats
@Shamar La centralizzazione (anche su server federati) è necessaria se vuoi supportare comunicazioni asincrone (in stile SMS). Altrimenti sarebbero possibili solo comunicazioni sincrone. Considerando lo scopo di queste piattaforme (scambiarsi messaggi) direi che quello è il problema minore.
(DIR) Post #AHMdDfwlOFjDVWfmF6 by Shamar@qoto.org
2022-03-13T08:11:35Z
0 likes, 0 repeats
@miriamgrecoNo: il Fediverse è un sistema decentralizzato (federato) e ti permette messaggi asincroni.Analogamente #Element (che usa il protocollo #Matrix) usa un sistema di server federati che, esattamente come il fediverse, ti permette di comunicare in modo asincrono SENZA centralizzazione.Dunque la centralizzazione NON è necessaria per la messaggistica asincrona e chi ti ha detto il contrario, nella migliore delle ipotesi, non sapeva di cosa parlava.Discorso diverso vale per i protocolli peer-to-peer (come quelli usato da #Jami e #Briar) che richiedono che sia mittente che destinatario siano online per distribuire un messaggio.In questi protocolli la comunicazione può essere asincrona ma il messaggio rimane sul dispositivo del mittente fintanto che il destinatario non diventa raggiungibile. Il che può essere effettivamente noioso per app mobili.Tuttavia non tutti i sistemi decentralizzati sono anche peer-to-peer.
(DIR) Post #AHMdaQmFxKiP7XboGG by miriamgreco@mastodon.uno
2022-03-13T08:15:41Z
0 likes, 0 repeats
@Shamar Il messaggio rimane sul server in attesa che il destinatario sia raggiungibile? Se la risposta è si, che sia un cluster centralizzato o un sistema di server federati non cambia nulla. Hai bisogno del server e devi fidarti di chi lo gestisce.
(DIR) Post #AHMds2aIdvzxIgPgES by Shamar@qoto.org
2022-03-13T08:18:52Z
0 likes, 0 repeats
@miriamgrecoLa centralizzazione poi è un problema rilevante sia in termini di sicurezza che di privacy in quanti determina un single point of failure sia tecnico che amministrativo.Possono essere censurati a livello statale, possono raccogliere metadati delle comunicazioni fra TUTTI gli utenti (anche quando è abilitata la cifratura end-to-end) etc.Consigliare sistemi di messaggistica centralizzata nel 2022, con una guerra in corso, è ridicolo.Oggi lo fanno gli stessi che anni fa suggerivano #Telegram: nella migliore delle ipotesi, non sanno di cosa parlano.
(DIR) Post #AHMeCFZw2bDXOOsa7k by Shamar@qoto.org
2022-03-13T08:22:32Z
0 likes, 0 repeats
@miriamgrecoLa centralizzazione poi è un problema rilevante sia in termini di sicurezza che di privacy in quanti determina un single point of failure sia tecnico che amministrativo.Possono essere censurati a livello statale, possono raccogliere metadati delle comunicazioni fra TUTTI gli utenti (anche quando è abilitata la cifratura end-to-end) etc.Per non parlare del lock-in: se il tuo amministratore #Matrix perde la tua fiducia, puoi cambiare facilmente server.Con un qualsiasi sistema centralizzato non puoi.Consigliare sistemi di messaggistica centralizzata nel 2022, con una guerra in corso, è ridicolo.Oggi lo fanno gli stessi che anni fa suggerivano #Telegram: nella migliore delle ipotesi, non sanno di cosa parlano.
(DIR) Post #AHMgyWbKFrnDzkg0ga by Shamar@qoto.org
2022-03-13T08:53:39Z
0 likes, 0 repeats
@miriamgrecoSì, ma c'è un enorme differenza fra doverti fidare di qualcuno che non conosci, per cui sei un numero e che non deve risponderti di niente perché tanto non hai alternative, e fidarti di qualcuno che conosci e che comunque puoi cambiare in pochi minuti.Inoltre molti server significa meno dati in ogni server nonché la possibilità tecnica e legale di avere più account.Tutto ciò riduce l'impatto di un qualsiasi problema per te e rende impossibile una profilazione di massa riducendo il rischio collettivo quanto quello individuale.
(DIR) Post #AHMyg6z6uuanIRCSPo by miriamgreco@mastodon.uno
2022-03-13T07:52:33Z
0 likes, 0 repeats
@fatualux @Shamar Se non ricordo male @loweel aveva parlato positivamente di Jami https://jami.net/Io credo che alla fine comunque tutto debba essere proporzionato all'uso. Certi livelli di sicurezza hanno senso solo in contesti specifici, non certo per il gruppo delle mamme o per la chat del calcetto :)
(DIR) Post #AHMyg7aKgWMn9scBQu by loweel@bbs.keinpfusch.net
2022-03-13T09:35:35.258512Z
0 likes, 0 repeats
@miriamgreco @fatualux @Shamar @miriamgreco @fatualux @Shamar la tua frase e’ corretta, e normalmente non si dice “uso” ma “threat model”.E’ inutile chiedersi quale sia il software “sicuro”. Sicuro contro cosa? Se ad attaccarti e’ la CIA, il software sicuro non esiste, a meno che tu non sia dei servizi cinesi e stai chiuso in un bunker col suo datacenter isolato.Se ad attaccarti e’ un gruppo di hackers, probabilmente Jami va benissimo.Se si tratta di script kiddies, beh, anche un XMPP con SSL va benissimo.MA poi, che cos’e’ “attaccare”? Che cosa vuole l’avversario?Se e’ la CIA e vuole colpirti con un missile cruise, nemmeno Jami o Tor sono tanto efficaci: per usare un cruise devi essere in una zona deserta, e se sei l’unico pirla con un cellulare in mezzo al sahara, aspettati il missile.Se vogliono solo installarti un malware per spiarti, beh, gia’ puoi avere delle precauzioni. Il problema , appunto, e’ anche il “threat model”. Cosa vogliono fare? Come? Chi? Da dove? Con quali mezzi?E’ diverso difendersi dal marito che vuole spiarti (e ti mette un microfono nella stanza mentre telefoni) , o dal vicino di casa, o dalla CIA.
(DIR) Post #AHMyg85snDbUjjNNbs by Shamar@qoto.org
2022-03-13T12:11:58Z
0 likes, 1 repeats
@loweelTutto giusto ma attenzione che la modellazione delle minacce fornisce uno specchietto sintetico utile e comprensibile ai decisori in modo che finanzino gli investimenti necessari, ma non esaurisce assolutamente l'analisi dei rischi cibernetici.Anche perché le minacce sono fuori del tuo controllo e molto spesso anche della tua consapevolezza.Quindi limitarsi al threat modeling significa assumere una prospettiva fatalista: in sostanza c'è poco da fare.E non è affatto così, anche se il tuo avversario dovesse essere la CIA.Il rischio di un sistema cibernetico è determinato da tre fattori che possono essere analizzati indipendentemente ed in maniera integrata nonché monitorati nel tempo per minimizzare tale rischio cibernetico: 1) vulnerabilità presenti2) minacce3) impattiSulle minacce si può fare poco più che elencarle, valutarne la probabilità e prepararsi ad identificarle il prima possibile quando si presentano.È quello che fai con un sistema d'allarme perimetrale in casa, ad esempio: funziona bene se sei circondato da amici e parenti e contro il ladro che cerca di forzare la porta di notte. Ma non funziona contro il finto esattore delle tasse, o il finto collega del marito che si presenta a casa con una scusa.Analogamente se sai di essere un bersaglio di interesse della CIA puoi prepararti ad identificare i loro accessi, a disseminare i tuoi storage di informazioni false ed honeypot etc...In questo modo riduci o elimini certi tipi di impatto in caso di attacco portato a termine con successo, ma non elimini la minaccia.La minaccia però per essere attuata deve SEMPRE sfruttare delle vulnerabilità.Minimizzare le vulnerabilità di un sistema cibernetico è sempre possibile anche se azzerarle può essere impossibile.Talvolta però si tratta di applicare semplice buon senso, come evitare di mettere tutte le uova in un paniere: non riutilizzare le password o evitare servizi centralizzati (come #Telegram, #Signal o #WhatsApp) o personal assistants (come #Alexa, #GoogleAssistant o #Cortana) etc... sono tutte ovvie applicazioni di questo principio generale.Poi si può minimizzare l'impatto di un attacco: ad esempio non mischiando le attività (o i contatti) personali e quelle professionali sullo stesso dispositivo si sottrae ciascun gruppo in caso di compromissione dell'altro. Cifrando il disco di un PC, lasciandolo spento quando non in uso e memorizzando una password sicura, si riduce l'impatto di un furto del PC stesso e così via.La minimizzazione del rischio cibernetico non lo azzera, ma lo può ridurre enormemente, aumentando notevolmente il costo e la complessità di un attacco.E molte delle pratiche da mettere in atto proteggono tanto dalla CIA quanto dal marito geloso.@fatualux @miriamgreco
(DIR) Post #AHN94pRYGs0PfrvaFc by loweel@bbs.keinpfusch.net
2022-03-13T12:31:17.652546Z
0 likes, 0 repeats
@Shamar @fatualux @miriamgreco grazie per la lezioncina, ma contesto il discorso del fatalismo.Per diversi motivi.sono almeno 20 anni che si produce software contando le linee di codice, ignorando completamente la sicurezza e lamentandosi che la sicurezza fa ritardare i progetti. Nel mondo OSS c’e’ QUALCHE attenzione per la sicurezza, ma da quando l’open source e’ diventato il playground di fondazioni finanziate da aziende, la logica e’ questa. anche l’hardware non e’ da meno. In teoria le fonderie del silicio sottopongono tutto il design a verifica formale. Ultimamente stiamo scoprendo bachi alla sicurezza anche nel silicio, cioe’ nelle CPU e nei SoC. Viene da chiedersi come abbiano passato una verifica formale.stiamo comprando tutto lo stack da aziende di una nazione che obbliga il produttore ad inserire delle backdoor. E da quando sono entrate nel kernel di linux, idem con patate: l’ultima e’ stata scoperta due settimane fa da ricercatori cinesi.gli zero-day vengono comprati e trattenuti per mesi e mesi da attori governativi o paragovernativi , prima di venire rilasciati al pubblico. Col risultato che ci puoi fare davvero poco.Non e’ fatalismo, e’ la semplice realta’.In questa condizione, personalmente rifiuto di pensare che esista un sistema sicuro. Esistono sistemi piu’ o meno sicuri, ma se ti illudi di fare il coglione con un’azienda che ha costruito la tua CPU, ti consiglio di metterti ad un test bench e testare le migliaia di istruzioni NON DOCUMENTATE del tuo processore.L’idea che esistano sistemi sicuri e’ semplicemente surreale. Si parte dall’idea che i sistemi siano insicuri, e si segregano gli asset in modo che chi prende meta’ del biglietto da 1000 dollari non prenda anche l’altra meta’.Ma e’ tutto quello che puoi fare.Realisticamente.
(DIR) Post #AHN94q2Q3nUpWDB1iS by Shamar@qoto.org
2022-03-13T14:08:30Z
0 likes, 0 repeats
@loweelROTFL! :-DLa mia non voleva essere una "lezioncina": hai introdotto un concetto di cyber security in risposta a @miriamgreco e ho voluto estenderne il contesto perché limitarsi a dire che tutto tanto rimane insicuro è il primo passo per smettere di investire in sicurezza.Di nuovo, quello che dici è vero¹, ma è molto parziale.Non puoi ridurre la sicurezza informatica ad un valore scalare che si colloca fra insicuro (0) e sicuro (1).Dipende da cosa vuoi proteggere (gli asset), dai perché (gli impatti che vuoi limitare), dalle minacce che ti circondano e dalle vulnerabilità cui sei sottoposto.Vero, #Meltdown e #Spectre non sono mitigabili. Ma puoi controllare chi accede alla macchina.Vero, i #WebBrowser sono estremamente ostili agli utenti, eseguono automaticamente codice personalizzato sotto il controllo di terze parti, ma puoi educare gli utenti a minimizzare i rischi in vari modi (plug-in, VPN, Tor etc...) o fornire loro macchine dedicate alla navigazione in rete etc...Non è vero che non puoi far nulla.E non è vero che ti basta una analisi delle minacce per decidere cosa fare.E non è vero che ti basta una analisi delle vulnerabilità.È vero che rimane sempre un rischio residuo. È vero che nessun sistema è sicuro contro qualsiasi avversario. ²Tuttavia si può minimizzare (NON azzerare) tutta una serie di rischi.E per farlo bisogna sapere che è effettivamente possibile e come.Ed un modo per ridurre tutta una serie di vulnerabilità è evitare i sistemi centralizzati e quelli non ispezionabili (ovvero proprietari).Questo non rimuove tutti i rischi, ma ne riduce moltissimi. E costa relativamente poco.Ad esempio, #Matrix (sebbene ancora imperfetto) è molto migliore di #Signal, #Telegram e #WhatsApp perché open source, decentralizzato ed end-to-end encrypted by default (per quanto riguarda i dati.. i metadati sono un'altra storia).Dire "eh ma tanto ti devi fidare dell'amministratore" significa fare una affermazione corretta ma tanto parziale da risultare irrilevante: è vero, ma la federazione ti permette di avere più account, ti permette di scegliere di chi fidarti e di rimuovere tale fiducia rapidamente (per non parlare del fatto che l'amministratore non può comunque conoscere il contenuto dei tuoi messaggi).Insomma, essere fatalisti è irrazionale.E non aiuta a migliorare le cose.Perché se ci troviamo nel mondo cibernetico attuale è proprio a causa della profonda ignoranza delle persone su questi temi che, in quanto ignoranti, non possono esercitare una scelta consapevole come consumatori, acquirenti e utenti.¹ per intenderci, sono talmente d'accordo da averne scritto profusamente in passato, attirandomi ban da diverse comunità amministrate da dipendenti di Google, vedi ad esempio http://www.tesio.it/2018/07/31/the-web-is-still-a-darpa-weapon.html http://www.tesio.it/2018/07/31/the-web-is-still-a-darpa-weapon.html https://dev.to/shamar/i-have-been-banned-from-lobsters-ask-me-anything-5041 etc...² neanche un computer spento e disconnesso è sicuro contro chi vi ha accesso fisico@fatualux
(DIR) Post #AHNjJQDnvL5y8zktU0 by loweel@bbs.keinpfusch.net
2022-03-13T17:01:41.765576Z
0 likes, 0 repeats
@Shamar @miriamgreco @fatualux vediamo di capirci. A me del tuo browser non frega un cazzo. Semplicemente lavoro come system architect, e progetto segmenti di rete di accesso in FTTH , B, C.E quando chiedi al cliente di comprare una ventina di milioni di hardware che tu gli stai elencando, venire a sapere DOPO che si stanno facendo sviluppare un OSS a San Pietroburgo ti dice “ehi, mettiamoci il culo al riparo”.Dire al cliente che un sistema aperto (perche’ non sai ancora cosa attaccheranno all’ OLT i tuoi subscriber) puo’ essere sicuro vuol dire che finisci nella merda se non sai che l’azienda di 285.000 dipendenti ha un dipartimento che si fa sviluppare il software a San Pietroburgo.Quindi quello che fai e’ fare un Threat model e dici “allora, cara azienda, il tuo OSS lo considero sicuro o no?”. Se mi dici che e’ insicuro ti costa qualcosa perche’ devo fare sicurezza perimetrale contro l’ OSS. Morale: l’azienda di dice che OSS per loro e’ sicuro, e sono cazzi loro se hanno chiesto al nipote di Putin di sviluppargli il software.Quando tu vuoi comprare switch disaggregati per il service edge e fare tu il SE usando sw opensource, ma il cliente ti scende con il suo bel Huawei che costa meno, non gli dici che la rete potrebbe essere sicura. Gli dici “sto facendo i threat model, gli switch per te sono sicuri, visto che li hai scelti tu?”Oppure, ancora: capita che i sindacalisti sabotino qualsiasi cosa faccia una ditta esterna. Vanno nei CO e guarda caso ci sono cavi scollegati. Guarda caso sempre quelli dell’offband, cosi’ perdi le telemetrie. Cioe’ la sicurezza. Allora, quando considero la sicurezza fisica, il CO per me deve essere sicuro? Lo chiedo al cliente, e se la grande telco non sa fare a tenere fermi i sabotatori dei sindacati, sono cazzi loro: per me la sicurezza fisica e’ parte di un threat model o meno.Quindi mi spiace, sul tuo pianeta teorico sicuramente il tuo blablabla funziona, ma quando hai a che fare con la realta’, una bella lista di threat model concordata col cliente ti toglie di dosso tutte le cazzate che fa il cliente, e che magari poi faranno andare fuori rete la Baviera perche’ Putin oggi ha le emorroidi.
(DIR) Post #AHNjJQlTu829pRVmyW by Shamar@qoto.org
2022-03-13T20:54:32Z
0 likes, 0 repeats
@loweelEsatto.Confermi, come dicevo, che il threat modelling NON serve a rendere sicuro il sistema cibernetico.Tu lo usi per minimizzare il rischio ed il costo delle contestazioni del tuo operato in caso di incidenti, sapendo che tali incidenti prima o poi avverranno.E non sei solo!E se rileggi ciò che ho scritto noterai che ho menzionato questa funzione del threat modelling sin dal principio del nostro scambio: "attenzione che la modellazione delle minacce fornisce uno specchietto sintetico utile e comprensibile ai decisori in modo che finanzino gli investimenti necessari"La tua analisi rende il sistema più sicuro?A leggere ciò che hai scritto, si direbbe di no: fotografi lo status quo e basta.Cosa che, per carità, è utilissima, ma solo come punto di partenza.Tu invece ti fermi lì.Per questo tendi a ridurre la questione a "tanto è tutto insicuro".Io non posso permettermi il lusso di questa riduzione e devo valutare i rischi ed ideare modi di minimizzarli.Per questo ciò che a te sembra solo un impalcatura teorica, è parte del mio lavoro.PS: non capisco l'acredine dei tuoi toni, non sono un tuo cliente e non ti ho insultato.Sono felice di avere una conversazione civile nel merito, se ti interessa.Se non ti interessa... amen.Ma la vita è troppo breve per lasciarla consumare all'ira.@fatualux @miriamgreco
(DIR) Post #AHObWG00dZ3ZjFs8GW by loweel@bbs.keinpfusch.net
2022-03-13T23:24:01.487076Z
0 likes, 0 repeats
@Shamar @fatualux @miriamgreco ma non PUOI rendere sicuri sistemi che per decenni sono stati disegnati e implementati a cazzo di cane. Non mi raccontare vhe tu hai la ricetta magica che fanil sistema sicuro, perché ci siamo ficcati in una situazione in cui messun sistema puó esserlo, e serviranno decenni per uscirne....
(DIR) Post #AHObWGSMw7k39D8mTA by Shamar@qoto.org
2022-03-14T07:01:55Z
0 likes, 0 repeats
@loweelIo non ho descritto alcuna ricetta magica. Ho descritto gli strumenti di analisi che, SE adottati sistematicamente, permettono di minimizzare i rischi cibernetici per individui e organizzazioni.Non ho mai parlato di "sistemi sicuri" in astratto o in assoluto, ma di come un sistema possa diventare concretamente PIÙ sicuro, iterativamente, nel tempo.E non ho mai detto che sia sempre un processo economico.Il sistema progettato male richiederà costi economici enormi.Questi costi vanno però confrontati con i danni cibernetici che causerà non affrontarli.Dunque sì, hai ragione, ci vorranno decenni a raggiungere un livello decente di sicurezza cibernetica nel nostro Paese.Ma questa è una ottima ragione per cui cominciare il prima possibile ANZITUTTO dall'educazione e dall'informazione dei nostri concittadini.Suggerire che NON POSSONO farci niente, quando in realtà possono fare molto ed in modo molto semplice ed economico, significa peggiorare la situazione.Per questo, anche se posso comprendere la tua frustrazione (che per inciso, è anche la mia) non posso condividere il tuo fatalismo.C'e molto da fare.Ma SI PUÒ fare.@fatualux @miriamgreco
(DIR) Post #AHPdd2Nu3480b6MwOu by loweel@bbs.keinpfusch.net
2022-03-14T08:45:44.011800Z
0 likes, 0 repeats
@Shamar @fatualux @miriamgreco ecco, la seconda che hai detto non e’ possibile.usi semplicemente parole come “minimizzare”, che non indicano quantita’ precise. Usi la parola “rischi cibernetici” senza qualificarli.Facendo cosi’, posso dirti tranquillamente che attraverso la mia metodologia di lavoro possiamo bromare la supercazzola sino a livelli antanici. Cyber. Il problema del pensiero magico e’ proprio questo: l’uso di simboli svuotati di qualsiasi riferimento materiale, allo scopo di creare false aspettative.Usando un metodo come il risk assessment, almeno io SO quali fossero i rischi che il cliente accetta (avere lo sviluppo dell’OSS a San Pietroburgo) e quali sto affrontando. E posso scrivere su carta che garantisco che , date queste premesse, non succedera’ la tal cosa.Mentre alcuni promettono di “minimizzare” (un minimo puo’ avere qualsiasi valore a patto che ce ne sia uno piu’ grande: se accettiamo che esista N secondo Peano, OGNI numero di N e’ il minimo di un insieme) , i “rischi cyber”, che si guardano bene dal definire.Se fai un threat model, ALMENO sai quale sia il “rischio cyber” di cui parli, e come lo hai definito.Ed e’ proprio il blablabla di chi parla senza quantificare e qualificare uno dei problemi che il mondo IT ha: sono tutti “minimizzati” a qualsiasi valore, i rischi di cui non abbiamo mai parlato.Prematurati, i rischi di Antani. Sempre piu’ prematurati.
(DIR) Post #AHPdd2qcKJ6429ns9o by Shamar@qoto.org
2022-03-14T19:00:14Z
0 likes, 0 repeats
@loweel🤣Sai, a tuo modo sei divertente.Mi accusi di fare una supercazzola e farcisci i tuoi post di acronimi tecnici.Mi accusi di eccessiva astrazione ma per provare a confutare il mio approccio tiri in ballo insiemi ordinati e persino Peano.Opponi alla analisi dei rischi il threat modeling nonostante dal mio primo post io abbia chiarito che l'analisi e la minimizzazione dei rischi include ANCHE la modellazione delle minacce.Scrivi threat model per vendere ai tuoi clienti ciò che sai fare, pur sapendo che non è sufficiente.Insomma, non stai facendo una gran figura.Chi ci legge potrà valutare da sé chi di noi due sa di cosa parla e chi ripete l'unica lezione che ha imparato.Se avessi più tempo (e tu ti fossi mostrato in buona fede) potremmo tornare al contesto iniziale e confrontare i diversi sistemi di messaggistica per un uso personale con i due metodi confrontando i risultati.Intuitivamente scommetterei che ne emergerebbe una sostanziale equivalenza con il tuo metodo (mera analisi delle minacce) ed un discreto vantaggio dei sistemi federati con il mio metodo (per le ragioni già descritte nel resto del thread e per altre).In altri termini, il tuo metodo, da solo, è inutile.Se l'avevi introdotto in questo thread per sembrare un esperto in materia, ti è andata malissimo.Peccato però.Sembrava poter diventare una chiacchierata interessante.@fatualux @miriamgreco
(DIR) Post #AHUvN69D3WG7eAl1fc by tassoman@mastodon.uno
2022-03-17T07:11:26Z
0 likes, 0 repeats
@loweel @fatualux @miriamgreco @Shamar un giorno ho sentito con le mie orecchie: "il software più sicuro è quello che compili dai sorgenti", in quel momento pensavo che fosse una esagerazione 😅
(DIR) Post #AHUvN6p2XzifjuKQs4 by miriamgreco@mastodon.uno
2022-03-17T07:16:23Z
0 likes, 0 repeats
@tassoman @loweel @fatualux @Shamar In realtà stai solo spostando il problema 😉 Che ne sai di cosa faccia realmente il compilatore? E se fosse stato manomesso? E se avesse funzioni non documentate? 🥴
(DIR) Post #AHUvN7JAjxp3FMQUq0 by tassoman@mastodon.uno
2022-03-17T07:24:07Z
0 likes, 0 repeats
@miriamgreco @loweel @fatualux @Shamar era una conferenza, non c'era abbastanza tempo per parlarne ma riconosco valida la tua affermazione e quella di Loweel, su come fidarsi dell'hardware se non è documentato. Per questo ho totalmente fiducia nella birra 🍻
(DIR) Post #AHUvN7o0tIUan0r7uS by Shamar@qoto.org
2022-03-17T08:12:35Z
0 likes, 0 repeats
@tassoman Dipende dalla birra.Certe tradiscono la tua fiducia, certe l'abusano, certe sono deludenti...Insomma, non facciamo di tutte le birre un brodo! 🤣 @miriamgreco @loweel @fatualux
(DIR) Post #AHUwJPKBui0rv4hLAu by Shamar@qoto.org
2022-03-17T08:23:12Z
0 likes, 0 repeats
@miriamgreco Certo, questa è una ottima obbiezione.Quando ho iniziato il porting di #GCC su #Jehanne, non immaginavo assolutamente che avrebbe di lì a poco abbandonato il progetto #GNU. Né ero consapevole che la Steering Committee [1] fosse composta in ampia prevalenza da dipendenti di aziende con contratti miliardari con il DoD americano (9 membri su 13).Perché potessi accorgermene è stato necessario che togliessero #RMS su richiesta di un dipendente di #Facebook.D'altronde la questione è seria e ben nota sin dai tempi di "Reflections on Trusting Trust" [2] e molti ci stanno lavorando da anni, attaccando il problema da vari fronti.Detto questo rassegnarsi, collettivamente, al fatalismo del "eh ma tanto è tutto insicuro" è ciò che lascia molti esposti ad innumerevoli vulnerabilità che potrebbero essere facilmente evitate.____[1] https://gcc.gnu.org/steering.html[2] https://cs.cmu.edu/~rdriley/487/papers/Thompson_1984_ReflectionsonTrustingTrust.pdf@tassoman @loweel @fatualux
(DIR) Post #AHUzdaUoO8wYDkyoxE by loweel@bbs.keinpfusch.net
2022-03-17T08:34:02.234439Z
0 likes, 0 repeats
@tassoman @fatualux @miriamgreco @Shamar no, non lo e’. Prima di tutto perche’ non hai la possibilita’ di fare un auditing completo tipo EAL5 o EAL6 . Specialmente se sono milioni di righe di codice.Secondo perche’ non sai quasi nulla del compilatore. Terzo perche’ potrebbero essere compromesse le librerie.Prima che un codice sorgente diventi sicuro, ne deve passare di acqua sotto i ponti.
(DIR) Post #AHUzdaxAghd1diFT9s by Shamar@qoto.org
2022-03-17T09:00:26Z
0 likes, 0 repeats
@loweel La differenza fondamentale è che la probabilità di scoprire una vulnerabilità in un sorgente è nettamente superiore a quella di scoprirla in un binario.Naturalmente questa probabilità si riduce progressivamente all'aumentare della complessità del codice, ma fare di "tutta la birra un brodo" è, come già detto, miope.Giusto per fare un esempio, OpenBSD è più sicuro di Windows o Linux perché espone, nella configurazione di default, meno vulnerabilità.E' sicuro in assoluto e contro qualsiasi attaccante?No, ovviamente.Ma è _più_ sicuro di altri contro moltissimi attaccanti.Hai ragione: la sicurezza di un sorgente non può essere data per scontata.Ed una volta verificata, non puoi dare per scontata la sicurezza del compilatore e dunque del binario.Cioè hai un sistema più sicuro (hai rimosso le vulnerabilità del sorgente) ma non sicuro in assoluto.Su Linux, c'è chi sta lavorando proprio a minimizzare il grafo di dipendenze e rendere riproducibile la build a partire dai soli sorgenti:https://www.joyofsource.com/we-did-it.htmlhttps://github.com/fosslinux/live-bootstrapMa naturalmente non sono mai le persone che sono state convinte che sia impossibile, a far progredire il mondo. 😉 @miriamgreco @tassoman @fatualux
(DIR) Post #AHV3v2enL5z6IgEBSS by miriamgreco@mastodon.uno
2022-03-17T09:48:26Z
0 likes, 0 repeats
@Shamar @tassoman @loweel @fatualux Nessun fatalismo, assolutamente. Dico solo che una falsa sensazione di invulnerabilità è peggio di una vera insurezza
(DIR) Post #AHV8mkaJ9DAnhhzjVY by loweel@bbs.keinpfusch.net
2022-03-17T10:06:53.442039Z
0 likes, 0 repeats
@miriamgreco @Shamar @tassoman @fatualux a meno che tu non venda una finta sensazione si dicurezza in cambio di tanti bigliettoni.Cosa che la stragrande maggioranza delle aziende di “cybersicurezza” fanno. E sia chiaro, solo su HTTP e pochi altri protocolli.Abbiamo chiesto ad una di loro riguardi al comportamento di alcuni PADI/PADO , e la risposta “e’ stata che non li usa nessuno”.Da un tipo che era in Home Office.
(DIR) Post #AHV8mlEiixV1j2u0Uy by Shamar@qoto.org
2022-03-17T10:42:54Z
0 likes, 0 repeats
@loweel Sì beh, giusto per chiarire: io sviluppo software e NON vendo cybersecurity né consulenze sul tema.Di mestiere sviluppo software finanziario per alcuni grandi gruppi bancari.Nel mio tempo libero, oltre a sviluppare cose come http://jehanne.h--k.it/ e https://github.com/hermescenter/monitorapa mi occupo anche di educazione informatica e cibernetica ed insegno (sempre gratuitamente) a grandi e piccini concetti fondamentali che gli permettano di ragionare ed usare in maniera critica gli strumenti disponibili (ed anche di scegliere di NON usarli quando non valgono il costo che pagano in termini di autonomia).@miriamgreco @tassoman @fatualux
(DIR) Post #AHV96eUzU48ocYzuXg by Shamar@qoto.org
2022-03-17T10:46:34Z
0 likes, 0 repeats
@miriamgreco Su questo, ti assicuro, sono totalmente d'accordo.L'importante è capire che nella vita reale non si tratta mai di "tutto o niente".@tassoman @loweel @fatualux
(DIR) Post #AHe4VdYuhkhLAcKnGS by lupantano@mastodon.uno
2022-03-21T15:51:03Z
0 likes, 0 repeats
@sabrinaweb71 Quando passai 7 anni fa a #telegram ricordo che riuscii a portarmi dietro pochissime persone attratte dalle gif ed altre sciocchezze che all'epoca c'erano solamente su telegram.La sicurezza non attira al cambiamento.@Shamar @miriamgreco @fatualux
(DIR) Post #AHe4Ve6agXdWr45gky by Shamar@qoto.org
2022-03-21T18:07:26Z
0 likes, 0 repeats
@lupantanoE tu?Io sono raggiungibile solo attraverso canali decentralizzati (mail cifrata e2e e non, fediverse, matrix) o peer-to-peer.Chi mi vuole contattare si adatta (ed adattandosi, impara cose nuove che gli permettono di apprezzare i sistemi che uso).Molti mi hanno ringraziato ad esempio per avergli mostrato Element/Matrix proprio perché possono decidere a chi far conoscere il proprio account.@sabrinaweb71 @miriamgreco @fatualux
(DIR) Post #AHeJeODkbxyRVb4ENc by lupantano@mastodon.uno
2022-03-21T20:57:06Z
0 likes, 0 repeats
@Shamar La storia ci insegna che la policy “chi mi ama mi segua” ha successo solo in casi specifici. Sopratutto per lavoro é praticamente impossibile. Piú volte mi é stato detto “qui a lavoro usiamo le email ma per comunicazioni piú immediate usiamo whatsapp, di certo hai whatsapp”.@sabrinaweb71 @miriamgreco @fatualux
(DIR) Post #AHg9SvaJD0vFgsSnui by miriamgreco@mastodon.uno
2022-03-22T15:46:57Z
0 likes, 0 repeats
@lupantano @Shamar @sabrinaweb71 @fatualux Forse ricorderete la celebre arringa "Possiamo mettere fine agli allegati Word". Circola da 20 anni, e gli allegati Word sono ancora li. Poi per carità se si è così fortunati da poter imporre il canale di comunicazione, tanto di guadagnato. Ma come regola è inapplicabile alla generalità.
(DIR) Post #AHg9Sw3NSwAt9241Ds by sabrinaweb71@poliverso.org
2022-03-22T16:42:03Z
0 likes, 1 repeats
@miriamgreco@Shamar@lupantano@fatualux io ho un'altra regola: tu non decidi cosa devo o non devo installare sui miei dispositivi personali, né tantomeno quale tipo di dispositivo devo comprare con i miei soldi