Sicurezza Web e cyber attacchi: guida alla sopravvivenza di Imperva

Tra chi riceve intimazioni di pagamento di ingenti importi pena il veder crollare il proprio sito sotto una moltitudine di attacchi DDoS, chi apre un Google alert e scopre di essere l’obiettivo del prossimo attacco da parte degli hacktivist e chi invece riscontra che il framework applicativo su cui poggia il proprio sito è un colabrodo e che ci vorranno mesi per rimuovere tutte le vulnerabilità, si stima che il 74% di tutte le organizzazioni, pubbliche o private, a livello globale sia stato vittima almeno una volta di un attacco e che alcuni siti a traffico elevato subiscano fino a 26 tentativi di attacco al minuto. Cosa fare quando l’incubo peggiore si tramuta in realtà? 

Sebbene gli attacchi condotti via web non siano una novità, è innegabile che essi evolvano nel tempo. L’industrializzazione del cybercrime ha visto tecniche di attacco articolate, tra cui cross site scripting (XSS), directory traversal, remote file inclusion (RFI), local file inclusion (LFI), cross-site request forgery, attacchi DDoS e varianti scavalcare il tipico attacco frontale ai danni di aziende pubbliche e private di qualsiasi dimensione e tipo. L’intento è noto a chiunque: carpire dati riservati da rivendere al mercato nero o utilizzare a scopo fraudolento, mettere in ginocchio server Web o modificarne i contenuti o per motivi politici o per frodare gli ignari utenti.

Le modalità di un attacco Web variano drasticamente in base a chi lo conduce. Uno script kiddie che attacca un sito e-commerce per trafugare i dati delle carte di credito utilizza strumenti e tecniche ben diverse da un gruppo di hacktivists intento a mettere in ginocchio il sito di una banca tra le Fortune 50. Peraltro gli stessi strumenti impiegati subiscono numerose variazioni nel tempo: gli hacker ne creano costantemente di nuovi per aggirare i sistemi di identificazione delle signature lasciando con un palmo di naso chi sviluppa le applicazioni. 

Ne consegue che anche le modalità di contrasto di un attacco dovranno essere flessibili. Indipendentemente dalla motivazione dell’attacco infatti, gli hacker mirano in genere a siti che ritengono potenzialmente vulnerabili. Una volta esaurito il portafoglio di tecniche di attacco, passeranno alla prossima vittima. Le organizzazioni possono rendere i propri siti verosimilmente impenetrabili agli attacchi, implementando difese inviolabili tra cui il blocco degli attacchi in tempo reale, misure anti-automatizzazione, elasticità di banda multi-gigabit e protezione delle sessioni, con la speranza che gli hacker abbandonino rapidamente l’impresa.

In base alle numerose interviste condotte con un ampio pool di esperti di sicurezza in prima linea nella guerra contro il cybercrime, con consulenti che aiutano quotidianamente le aziende a prepararsi a contrastare attacchi informatici, oltre che con professionisti della sicurezza che hanno letteralmente sprangato i propri siti per proteggersi da eventuali attacchi, Imperva Inc. (NYSE: IMPV) pioniere del terzo pilastro della sicurezza IT e produttore leader di soluzioni che colmano le lacune dei sistemi di sicurezza tradizionali proteggendo direttamente applicazioni critiche e dati sensibili in data center fisici e virtualizzati, ha prodotto una comoda “guida per la sopravvivenza” agli attacchi web, condotti oggi nel 75% dei casi ai danni delle applicazioni su cui poggiano i siti stessi (cfr. Gartner Research).

Nello specifico degli attacchi DDoS ad esempio, questi non si limitano più a “mandare in tilt” un server inondandolo con miliardi di pacchetti TCP o UDP e picchi di traffico di fino a 300 Gbps, ma sfruttano a tale scopo proprio le vulnerabilità delle applicazioni o del database integrato nel sito. A fronte di campagne di attacco continue, vale la pena di prepararsi in modo da respingere con successo tali attacchi.

A Blueprint for Web Attack Survival from Imperva

La guida alla sopravvivenza contro gli attacchi web, reperibile su https://www.imperva.com/lg/lgg.asp?pid=329 non si limita a trattare le metodologie di attacco e gli strumenti impiegati da hacktivists e cybercriminali, bensì illustra processi, tecnologie ed esempi di configurazione delle policy impiegabili al fine di salvaguardare il proprio sito da eventuali attacchi e rappresenta un punto di partenza concreto per la corretta prioritizzazione delle misure di sicurezza da adottare, facendo luce su aspetti di norma poco considerati, tra cui: 

L’origine delle minacce 

Che la minaccia provenga da un gruppo di hacktivists (p.es. Anonymous o similari), da uno script kiddie o da cybercriminali organizzati, sarebbe auspicabile compiere ricerche sulle rispettive tecniche di attacco e sugli strumenti che impiegano. Mentre monitorare le attività degli hacktivists è relativamente semplice, poiché pubblicizzano modalità e strumenti impiegati sui social e tramite forum, profilare le attività del crimine organizzato risulta più difficile. In questo caso l’opzione migliore è condividere con i vostri colleghi eventuali fonti di attacchi subiti, come le relative tecniche e gli strumenti adottati dai criminali, oppure consultare regolarmente i rapporti di “Hacker Intelligence” ed eventuali ricerche sulla sicurezza pertinenti al vostro settore di mercato.

Una corretta pianificazione

Oltre a definire un team di esperti di sicurezza che si renda disponibile h24 in caso di emergenza, si raccomanda di raccogliere informazioni salienti sulla propria rete e sui propri server, inclusi gli indirizzi IP dei server (Web / database) e delle appliance di rete (router / firewall) in uso, come quelli relativi all’infrastruttura di backup in caso di disaster recovery. E’ altresì opportuno produrre diagrammi che illustrino l’architettura di rete dei data center a rischio, oppure - qualora questi esistano - tenerli sempre aggiornati. Ovviamente tali informazioni vanno condivise solo tra gli addetti ai lavori, evitando l’invio per email o l’archiviazione delle informazioni su un file server accessibile a qualsivoglia impiegato. Nel contempo è necessario evangelizzare gli utenti aziendali in merito all’uso di password sicure, al phishing e al social engineering.

L’esatta localizzazione e identificazione di server, applicazioni e database

Nonostante un’accurata documentazione a volte sfuggono server isolati, implementati magari su piattaforme cloud dal reparto di ricerca e sviluppo per testare nuove applicazioni o nuovi database, oppure applicazioni installate senza previa autorizzazione sul client di qualche utente. Senza una verifica approfondita e una classificazione certa della località e della tipologia di tutti i server e delle applicazioni effettivamente in uso, la valutazione dei rischi non sarà completa e non consentirà agli amministratori di sistema di focalizzare i propri sforzi sulle aree realmente compromesse. 

Inoltre è necessario identificare e mettere in sicurezza i database che contengono dati sensibili tra cui informazioni personali, dati sanitari, numeri di carte di credito o proprietà intellettuali e definire quali applicazioni sono essenziali per il successo aziendale. Anche qualora il sito non dovesse contenere informazioni sensibili o essere direttamente collegato al vostro ERP, è comunque passibile di attacchi sia per la maggiore visibilità pubblica sia perché comunque è una potenziale porta d’accesso alle risorse di rete. 

I giusti strumenti per proteggersi

Una volta analizzate e rimosse le vulnerabilità di server e applicazioni, è il caso di potenziare le proprie difese. Per sventare un attacco è necessario applicare policy di sicurezza più rigide per applicazioni, server e reti. A tale scopo si raccomanda l’applicazione di policy di Intrusion Prevention stringenti attraverso adeguati firewall perimetrali, l’installazione di moderne soluzioni antivirus e l’aggiornamento costante delle rispettive definizioni sia sui client sia sui server. Qualora si impieghi un database firewall, sarebbe opportuno configurarlo in modo che lo stesso applichi virtualmente le patch ai database non patchati. Il database firewall sarà anche in grado di bloccare eventuali query non autorizzate al database.

Qualora la vostra organizzazione disponga di un sito che interagisce con i vostri clienti e partner o integra applicazioni extranet dislocate nel cloud, è necessario assicurarsi che esso sia protetto da un Web Application Firewall. Esistono diverse soluzioni per salvaguardare applicazioni in hosting, erogate in modalità SaaS ad esempio. I Web Application Firewall di ultima generazione identificano le richieste provenienti dai i più comuni strumenti di verifica delle vulnerabilità e hacking dei siti, tra cui Nikto, Paros e Nessus. Queste soluzioni sono altresì in grado di bloccare eventuali scanner di siti in base alla frequenza delle violazioni di sicurezza in un dato lasso di tempo. Per evitare che eventuali criminali identifichino vulnerabilità sul vostro sito è opportuno configurare il WAF in modo da bloccare tali scanner e/o applicazioni esplorative.

Infine, per ridurre il rischio di downtime, è necessario implementare policy specifiche, illustrate nel dettaglio nella “guida alla sopravvivenza”, prima che l’attacco abbia luogo. Tali policy andranno attivate immediatamente e adattate qualora si subisca un attacco. E’ anche opportuno far sì che tutti i device preposti alla sicurezza dell’infrastruttura IT e dei dati siano gestibili tramite una rete alternativa out-of-band, evitando l’irreperibilità dei device quando ne avrete assoluta necessità, ossia durante un attacco DDoS.

Procedure di monitoraggio e tuning in caso di attacco

Quanto elencato in precedenza fa capo alle misure preventive, ma cosa fare per contrastare un attacco in corso? Indubbiamente il team di esperti precedentemente determinato dovrà monitorare e gestire l’attacco sulla base di quanto riportato in primis dal web application firewall e in secondo luogo dagli altri baluardi di sicurezza posti all’interno dell’infrastruttura, al fine di adattare le policy precedentemente generate in modo opportuno e consono al tipo di attacco subito. 

Una volta terminato l’attacco, oltre a tirare un respiro di sollievo è assolutamente prioritario effettuare un’analisi dettagliata della situazione in termini di eventuali danni o di successi riscontrati nelle attività di contrasto dell’attacco, con l’intento di perfezionare strumenti e misure per la messa in sicurezza della propria infrastruttura e dei dati che essa ospita. A tale scopo è utile verificare sui social se c’è qualche traccia dell’attacco sferrato e/o se sono state pubblicate informazioni sugli strumenti utilizzati, ad esempio gli hacktivists comunicano con la sigla “#TangoDown” l’avvenuto crash del o dei server a cui miravano rendendo note su appositi forum le modalità di attacco. Link: http://tinyurl.com/IMPERVA-Survival-Guide Fonte: Sab Communications

Kaspersky Lab brevetta tecnologia per facile recupero dei dati criptati

Kaspersky Lab ha annunciato che i propri esperti hanno sviluppato e brevettato un’avanzata tecnologia che consente di recuperare le password e le chiavi di crittografia sui dispositivi mobile. Il brevetto N. 2481632, rilasciato da Rospatent, utilizza una metodologia che elimina qualsiasi possibilità di compromissione dei dati. La crittografia è un metodo estremamente sicuro per la protezione dei dati riservati, ed è ampiamente utilizzata sia da aziende che da utenti privati. 

Tuttavia, esiste una criticità nella sua applicazione: le persone, infatti, possono dimenticare o perdere le password per accedere ai dati criptati. Da un lato questo mette in evidenza i pericoli causati dalla perdita delle password, poiché se la password non può essere recuperata i dati criptati rimangono inaccessibili. Dall’altro lato, il recupero di una password aumenta il rischio che i dati sensibili vengano compromessi. Bisogna anche tenere in considerazione che i metodi utilizzati per proteggere le copie di backup possono contenere delle vulnerabilità che potrebbero consentire l'accesso non autorizzato ai dati sensibili. 

Il risultato è che i consumatori di solito devono scegliere il minore tra due mali, quindi o utilizzano soluzioni che non consentono nessun margine di errore umano e non consentono il recupero della password, oppure ripongono la massima fiducia nell’affidabilità dei produttori di infrastrutture IT se consentono il recupero della password. Kaspersky Lab ha cercato di evitare questo compromesso, sviluppando una propria tecnologia per recuperare le password e le chiavi di crittografia sui dispositivi mobile.

Tre fattori indipendenti

Per recuperare le password e le chiavi per i dati crittografati, la tecnologia brevettata di Kaspersky Lab utilizza tre fattori indipendenti: ID utente, un ID per il dispositivo mobile e un numero casuale. Quando l'utente installa la soluzione mobile di sicurezza, il sistema di autenticazione richiede un indirizzo email. La tecnologia genera l’hash dell’indirizzo (la sequenza dei simboli ottenuti convertendo l’indirizzo email alfanumerico attraverso un algoritmo speciale). Inoltre, crea un ID univoco per il dispositivo in base alle sue caratteristiche hardware e infine genera un numero casuale. 

Dopo la registrazione, il numero casuale cifrato insieme con l’hash dell'indirizzo email e l'ID del dispositivo, vengono trasmessi ai server di Kaspersky Lab. Il numero casuale viene utilizzato dal prodotto per fornire una “difesa della difesa”. La tecnologia utilizza una speciale chiave di crittografia per i dati. Anche questa chiave ha bisogno di essere protetta tramite la crittografia, per garantire la sua sicurezza; di solito questa chiave viene protetta con una password. 

Ogni volta che un utente inserisce la password, prima viene decodificata la chiave e solo dopo è possibile accedere alle informazioni crittografate. La tecnologia brevettata può archiviare due copie delle chiavi sul dispositivo: la prima copia è crittografata con l’aiuto della password utente e la copia di backup viene crittografata utilizzando il numero casuale generato precedentemente. Se l’utente del dispositivo perde o dimentica la password, il servizio speciale per il recupero della password richiede l’indirizzo email. 

Il servizio identifica l’hash dell’indirizzo e lo confronta con il proprio database di hash precedentemente raccolto, tra tutti gli utenti che hanno questa tecnologia integrata nelle proprie soluzioni di sicurezza mobile. Se viene trovata una corrispondenza, il sistema invia il numero unico specificato dall'utente durante la registrazione a quell’indirizzo e-mail, insieme con le istruzioni per creare una nuova password. La tecnologia utilizza questo numero univoco per decrittare la chiave di backup, che a sua volta consente all'utente di accedere ai dati memorizzati nel dispositivo. 

Come risultato, gli specialisti di Kaspersky Lab sono stati in grado di sviluppare un algoritmo per il recupero dei dati, che è utile e al tempo stesso sicuro poiché nessuna delle parti coinvolte in questo processo ha accesso a tutti i dati necessari per decifrare le informazioni segrete. Kaspersky Lab non archivia né i backup delle password, né alcuna copia delle chiavi e nemmeno i dati personali dei clienti sui propri server; mantiene solo i valori criptati delle informazioni specifiche che consentono agli utenti di accedere ai propri dati. 

Queste informazioni sono totalmente inutili per i criminali informatici. “La nostra tecnologia 'nasconde' gli elementi necessari per accedere ai dati sensibili. Quindi, quando gli utenti hanno bisogno di questi, possono facilmente recuperarli, mentre i criminali informatici devono affrontare una vera e propria battaglia per mettere insieme tutti i diversi elementi della chiave”, ha dichiarato Victor Yablokov, Head of Web & Messaging Development di Kaspersky Lab, uno dei creatori di questa tecnologia.

Il software di crittografia di  Kaspersky preserva la riservatezza e l'integrità delle informazioni crittografate. Ciò significa che i dati possono essere letti, modificati o cancellati dagli utenti che conoscono la password predefinita che è stata inserita al momento della cifratura unica. Kaspersky Lab continua a lavorare sulla proprietà intellettuale. A partire dalla fine di giugno 2013, il portafoglio della società comprendeva oltre 120 brevetti rilasciati dalle autorità competenti di Stati Uniti, Russia, Cina ed Europa. Altre 200 applicazioni da brevettare, sono in corso di esame da parte degli uffici brevetti di questi paesi.

CSID, sei utenti su dieci utilizzano le stesse password per diversi servizi

Il sessantuno per cento dei consumatori riutilizzano le password, una pratica pericolosa che non può lasciare non solo i consumatori, ma anche le imprese vulnerabili alle violazioni della sicurezza. CSID, azienda americana leader mondiale nella protezione delle identità e delle tecnologie e soluzioni di rilevamento delle frodi, ha presentato i primi risultati di un'indagine sulle password abituali dei consumatori.

In un mondo in cui le violazioni di sicurezza fanno notizia apparentemente ogni giorno, CSID ha trovato che i consumatori sono ancora incuranti della creazione di password, la gestione e la sicurezza, ma continuano a credere di essere sicuri, un'allarmante disconnessione che può lasciare molti consumatori e le imprese aperti a dati o violazione della sicurezza.

L'indagine password CSID ha scoperto che due terzi (61 per cento) dei consumatori utilizzano la stessa password per più siti. Quando un consumatore riutilizza una password e la combinazione di login su più siti e un sito è violato, lascia gli altri siti e le imprese alle loro spalle vulnerabili a violare pure. "Molte aziende non afferrano come le abitudini delle password dei consumatori possono influenzare la loro sicurezza e la sicurezza", ha detto Adam Tyler, CIO di CSID.

"I nostri risultati del sondaggio confermano quanto CSID ha a lungo sospettato: che i consumatori tendono a praticare abitualmente password povere, come riutilizzano gli stessi dati di accesso su più siti, senza nemmeno rendersi conto che tali pratiche sono pericolose. L'indagine mette in chiaro che le imprese non possono contare sui consumatori per esercitare pratiche di password sicura, e la necessità di comprendere il potenziale impatto di questo comportamento e su come ridurre i rischi".

Mentre la maggior parte dei consumatori (73 per cento) hanno detto di essere molto interessati alla sicurezza durante la creazione delle password, spesso si affacciano i problemi di sicurezza connessi al riutilizzo delle medesime password su più siti. Inoltre, il 57 per cento dei clienti dicono che preferiscono creare password facili da ricordare, rispetto a quelle che li metterebbero al sicuro.

Eppure, l'89 per cento degli utenti dicono di sentirsi al sicuro con le loro attuali password abituali, indicando che i consumatori non possono essere consapevoli che le loro password abituali possono aprire la porta agli hacker. Mentre l'educazione dei consumatori è una priorità importante, le aziende devono anche comprendere l'impatto delle pratiche di password povere, come il fatto che se i loro clienti utilizzano le stesse credenziali su un altro sito che è violato, sono anche a rischio anche.

CSID ha presentato i risultati delle indagini e le raccomandazioni su come le aziende possono ridurre il rischio dei consumatori sulle pratiche di password povere durante un webinar dal titolo "Mitigare il rischio di pratiche password scadenti" che si è svolto il 26 settembre scorso. Un white paper che illustra i risultati completi dell'indagine è ora disponibile presso www.csid.com/passwords.

E' comune per i siti web crittografare la password con un one-way hash. In parole povere, si tratta di un metodo che accetta la password e la trasforma in una lunga stringa di caratteri che viene poi memorizzata nel database del sito. Il sito web non conosce la password originale. Quando si accede al sito si applica la trasformazione e viene confrontata la stringa lunga con ciò che ha memorizzato nel database. Se corrispondono, allora sa di aver inserito la password corretta.

"Mentre ci sono molte tecniche sofisticate a disposizione dei criminali, una dellei più popolari è indicata come il metodo di 'forza brut'. Ogni parola d'ordine possibile viene provata. Date le password brevi e semplici che vengono utilizzati di routine, il criminale può rapidamente decifrare la maggior parte delle password criptate", spiega Joel Carleton, Direttore di Cyber Ingegneria CSID.

Per scoprire quanto sia semplice decifrare una password in MD5, basta provare su Google l'hash cifrato di una password comune "qwerty" = "d8578edf8458ce06fbc5bb76a58c5ca4". E 'abbastanza facile vedere qual'è la password originale anche senza usare software per la forza bruta. CSID è il fornitore leader globale di protezione identità e le tecnologie di rilevamento delle frodi per le imprese, i loro dipendenti, e dei consumatori.

Con le soluzioni enterprise CSID di elevato livello, le aziende possono adottare un approccio proattivo per proteggere l'identità dei loro clienti in tutto il mondo. CSID comprende prodotti avanzati per la protezione di identità e di monitoraggio del credito includendo una suite completa di servizi per monitoraggio di identità, assicurazione e scompleto servizio di ripristino, l'autenticazione e la biometria vocale, la mitigazione proattiva della violazione e la risoluzione. Per ulteriori informazioni, visitare il sito www.csid.com.

Vulnerabilità in ASP.NET può consentire attacco DDos, patch a breve

Il 29 dicembre 2011, alle 10:00 ora del Pacifico Microsoft rilascerà un aggiornamento out-of-band di protezione per risolvere una falla critica di sicurezza (CVE-2011-3414) che si trova in ASP.NET, che colpisce tutte le versioni supportate di .NET Framework, che potrebbe consentire un attacco denial-of-service (DDoS) su server che servono pagine ASP.NET. Questi attacchi che sfruttano le tabelle hash, conosciuti come hash collision attacks, non sono specifici di tecnologie Microsoft, ma altri fornitori software di web service potrebbero risentirne. In un advisory pubblicato Mercoledì , il produttore di software ha detto che era consapevole del fatto che informazioni dettagliate erano state pubblicate per descrire gli attacchi di collisione hash.

Ed ha osservato: "[La vulnerabilità] interessa tutte le versioni di Microsoft NET framework e può condurre ad un attacco tipo denial-of-service non autenticato sui ​​server che servono le pagine ASP.NET. La vulnerabilità è dovuta al modo in cui ASP.NET processa i valori in un modulo post ASP.NET causando una collisione hash. E' possibile che un utente malintenzionato invii un piccolo numero di messaggi appositamente predisposto a un server ASP.NET, causando la degradazione in modo significativa delle prestazioni sufficienti a causare una condizione di negazione del servizio [DDos]". Anche se le informazioni sono già all'esterno e gli hacker potrebbero approfittarne, Microsoft è a conoscenza di attacchi attivi che si basano su questo difetto.

Fino a quando l'aggiornamento non verrà rilasciato, gli utenti dovrebbero sapere che per default IIS non è abilitato per le versioni attualmente supportate dal sistema operativo e i siti che non consentono application / x-www-form-urlencoded o multipart / form-data di contenuto types HTTP non sono suscettibili di un attacco. Fondamentalmente, i siti che servono solo contenuto statico o quelli che respingeono i tipi di contenuti dinamici di cui sopra non sono vulnerabili. Per aggirare il problema, Microsoft ha suggerito agli operatori Web configurare il limite della dimensione massima richiesta che ASP.NET accetta da un cliente, pena la diminuzione della suscettibilità di tali attacchi. Microsoft ha lavorato con i partner nel suo Active Protections Program (MAPP).

L'aggiornamento verrà reso disponibile per tutte le versioni di Windows, incluso Windows XP Service Pack 3, Windows Server 2008 e Windows 7 per sistemi a 64 bit. A tutti gli utenti del sistema operativo Windows si consiglia di installare l'aggiornamento al più presto appena verrà rilasciato per evitare spiacevoli incidenti. Per ora non ci sono ulteriori dettagli sul problema che riguarda Windows 7 64-bit, ma a giudicare da quello che Microsoft ha rivelato sul suo blog tedesco la scorsa settimana, è improbabile che qualcosa verrà rilasciata molto presto. Michael Kranawetter non ha fornito altri dettagli ed ha detto che "le indagini sono ancora in corso, perchè i passi necessari da intraprendere non sono ancora stati definiti". Il gigante del software pubblicherà una patch, una volta completa la sua indagine.

Informazioni su ASP.NET

ASP.NET è una tecnologia Microsoft che lavora con file compilato interpretato dal server e restituito come HTML. ASP.NET è molto produttivo per quanto riguarda lo sviluppo di Web applicazioni. La migliore programmazione enviroment per la maggior parte delle applicazioni web è ASP.NET. Per applicazioni Web, ASP.NET consente l'utilizzo di Visual Studio, che offre molti vantaggi e aiuta il programmatore a creare applicazioni in modo rapido. Lo sviluppo di applicazioni Web, ad esempio con Java, richiede più tempo per la sua maggiore difficoltà, e questo si traduce in minor produttività. Inoltre, le innumerevoli componenti ASP.NET sono già disponibili per l'uso, e questa disponibiltà diminuisce anche il tempo necessario per lo sviluppo di una nuova applicazione.

Mozilla rende pubblici accidentalmente ID utente e hash delle password

Mozilla ha esposto per errore 44.000 account registrati al programma addons.mozilla.org, con password cifrate con algoritmo hash MD5, su un server pubblico. Il rischio sembra minimo, ma potrebbe esserci una danno legato all'utiilizzo di nickname e password identiche su più portali. Ogni account conteneva anche informazioni quali l'indirizzo email, il nome e il cognome.

Mozilla, lo sviluppatore di popolari applicazioni open source come Firefox e Thunderbird, ha annunciato che un database contenente i nomi utente e gli hash delle password appartenenti a utenti dell'addons.mozilla.org è stato reso pubblico per caso. Se avete creato un account su addons.mozilla.org e voi siete uno dei 44.000 utenti che potrebbero essere stati colpiti da questa rivelazione accidentale, dovreste aver ricevuto una email di notifica da parte del team di sicurezza di Mozilla. 

Ma non si tratta di un'altra semplice storia di perdita di dati in un mare di nomi utente e password. Fortunatamente, Mozilla non memorizza le password in testo normale. Mozilla ha memorizzato le password prima del 9 Aprile 2009 come hash MD5 (Message Digest algorithm 5). Mentre l'algoritmo MD5 può essere utilizzato per memorizzare le password in modo sicuro, non è chiaro come l'MD5 sia stato utilizzato dall'infrastruttura di Mozilla. 

Mozilla ha controllato i propri registri e ha stabilito che l'unica persona al di fuori di Mozilla che ha avuto accesso al contenuto è stata la persona che ha rivelato la pubblicazione accidentale attraverso il programma web che permette ai volontari di segnalare bug relativi alla sicurezza. I funzionari della sicurezza di Mozilla sono stati informati della esposizione il 17 dicembre. 

La Fondazione ha inviato una notifica dell'esposizione via e-mail a tutti i titolari di account il 27 dicembre scorso. Mozilla ha cancellato i via precauzionale le password di tutti i 44.000 account che sono stati memorizzati in formato MD5 dal sito addons indipendentemente dal fatto che siano stati esposti o meno. Le password appena create non saranno vulnerabili da una simile rivelazione, infatti, dal 9 aprile 2009 Mozilla ha utilizzato la crittografia SHA-512 per memorizzare gli hash delle password di ogni utente, perchè considerata più sicura. 

Questo algoritmo di hash fornisce un significativo miglioramento della sicurezza per i titolari di un account addons.mozilla.org. Se voi foste uno dei sfortunati destinatari di una di queste e-mail, assicuratevi di non utilizzare la stessa password di Mozilla quando siete in altri siti. "Attualmente gli utenti e gli account di addons.mozilla.org non sono a rischio," ha dichiarato Chris Lyon, direttore dell'infrastruttura di sicurezza di Mozilla. 

Mentre Mozilla è abbastanza fiducioso che nessun altro, tranne la persona che ha denunciato l'accaduto abbia avuto accesso al fascicolo, se tali dichiarazioni fossero sbagliate o vengono divulgate le informazioni, altri account potrebbero essere a rischio. Ricordate, che le password univoche sono un obbligo, non un lusso. Sophos si congratula con Mozilla per la loro risposta a questo incidente, ma lascia alcune questioni che bisogna considerare. 

Come è accaduto che accidentalmente possano venir pubblicati i file contenenti i nomi utente e gli hash delle password? Sophos ha posto la domanda al team di sicurezza ed è stata deferita in un post del blog che spiega la loro risposta. Col senno di poi Mozilla aveva preso la decisione giusta quando, fino al 2009, aveva iniziato ad utilizzare un sistema più sicuro (SHA-512 per utente attivo). 

Questo è interessante e probabilmente anche importante, ma ancora non scusa o spiega, in primo luogo, come mai dettagli degli account siano stati compromessi. Infatti, i database degli account, quelli che contengono password codificati in hash, non dovrebbero essere leggibili da tutti. Purtroppo c'è un danno collaterale che Mozilla non può controllare, infatti molti utenti usano nickname e password identici su più portali. 

Chi ha scaricato il database potrebbe essersi appropriato quindi di una password valida anche su altri siti. Se si riceve una mail che avvisa che la vostra password potrebbe essere stata compromessa, sia da Mozilla o da chiunque altro, non cliccare su nessun link nella mail per andare ad aggiornare la vostra password. Questo è il trucco per i truffatori. Ricordatevi sempre di fare le operazioni sempre alla relativa pagina di modifica della password.