Ma non era meglio pensarci prima?

Questo articolo fa parte della serie Spiegare la sicurezza, e analizza un case study interessante per capire come prevenire certi eventi.

Tutti penso sappiate dei pesantissimi attacchi subiti da Sony Computer Entertainment lo scorso anno. L’attacco principale ha portato alla chiusura del PlayStation Network, con il furto di dati di milioni di utenti, una figuraccia globale e danni quasi incalcolabili di immagine e soldi.

Dell’attacco in se si è parlato molto, ma di cosa succedeva all’interno di SCE si sapeva poco o nulla. Certo i rumori delle teste che venivano falciate si sentiva bene qui tra gli USA e il Giappone, ma poi cosa è successo davvero?

Ora un’esclusiva di SC Magazine Australia fa luce su come Sony ha reagito ai violentissimi e devastanti attacchi.

Vediamo cosa è successo, e cerchiamo di capire come questo può essere un esempio per implementare correttamente la sicurezza in un’azienda di queste dimensioni.

Prima di tutto, hanno chiamato Wolf a risolvere i problemi.
Chiamare Brett Wahlin a diventare il primo CSO di Sony Network Entertainment è stato sicuramente un gran colpo (che sarà costato molto…), ma cosa ci dice questo?

Ci dice che non c’era un Chief Security Officer.

Questa cosa è gravissima in qualsiasi azienda di quel livello, ma è allucinante se si pensa che Sony erogava servizi a milioni di clienti, su decine di piattaforme diverse e con una superficie d’attacco praticamente sconfinata.

Wahlin è un grande esperto del settore, in particolare di intelligence. Cosa ha fatto appena arrivato?

The new department, Wahlin says, is the “connective tissue” that ties Sony’s electronics and computer divisions together and is the company’s biggest investment in information security.

Ha subito riattivato l’unità di sicurezza interna e, soprattutto, ha creato un centro di coordinamento di tutte le strutture di sicurezza interna, cosa che prima evidentemente non c’era e che:

[Will] analyse feeds from all corners of SonyEntertainment Network, including information security and CCTV feeds. The centre’s goal is to automate security prevention capabilities so staff may work on enhanced detection and response.

In pratica il nuovo SOC farà da concentratore di tutti gli eventi di sicurezza, sia fisica che logica, in modo da avere una visione globale di tutto quello che succede. Allo stesso tempo automatizzare alcuni controlli significa liberare risorse umane per una migliore analisi e risposta agli eventi più complessi.

Considerato poi che uno dei vettori di attacco più usati contro Sony è stato lo spear phishing, l’esperienza di Wahlin nel controspionaggio militare ha puntato su due ambiti di azione ben definiti:

  • Locking down: ovvero blindare quanto più possibile la rete Sony da possibili attacchi esterni, convogliare gli eventi di sicurezza nell’unico SOC. Questo comprende il monitoraggio degli accessi fisici, delle telefonate, e anche i sistemi antifrode del PlayStation Network, precedentemente lasciati isolati dalla gestione della sicurezza, che non aveva pensato a correlare eventi che provenissero da tutti gli ambienti. Dimenticando appunto che sono tutti collegati, e che un attaccante può colpire con molti vettori in contemporanea.
  • Educazione: altro fattore fondamentale è la formazione di tutti i dipendenti, soprattutto i tecnici chiave che possono essere più soggetti ad attacchi, ad un livello di consapevolezza adeguato. Quindi corsi, procedure, best practice e quant’altro serva per far comprendere che i rischi sono molto più diffusi di quanto si pensi.

Come dice giustamente Wahlin:

Put simply, be safe if you don’t want to go to hospital.

Questa è sicuramente un’implementazione da manuale della sicurezza in un’azienda di queste proporzioni e con questi servizi. Sicuramente non la renderà invincibile, ma di certo dovrà essere presa come esempio.

Vediamo però cos’altro ci insegna questa vicenda.
Torno al titolo: non era meglio fare tutto prima?

La situazione prima dell’arrivo di “only four security staff remained at the company in October last year“. Ora non so se è perché sono stati cacciati o se ne sono andati volontariamente, fatto sta che i danni subiti da Sony erano incredibilmente alti.

Ma proprio perché la reazione della società è stata da manuale, dovrebbe essere altrettanto da manuale comprendere che bisognava pensarci prima.

Sono abbastanza sicuro che molte volte all’interno di Sony si è parlato di creare un CSO, lo dico perché chi lavora nella sicurezza di aziende come quella non è di certo l’ultimo arrivato, e sa cosa sta facendo (almeno, lo spero). Non è stato però capace di trasmettere al top management il messaggio corretto, cioè che serviva un coordinamento centrale, serviva analizzare meglio tutte le fonti. Perché solo così si riesce ad avere una visione complessiva delle possibili minacce e degli eventi in corso. Eventi e attacchi che impattano su più linee operative per raggiungere lo scopo.

Quello che è successo è esattamente la stessa situazione che ho affrontato parlando di compliance. Quando c’è una pressione, in quel caso legale in questo caso economica e di immagine, il commitment arriva alla velocità della luce. Ma arriva come un bombardamento a tappeto, non con perizia e precisione chirurgica.

Quindi il mio consiglio è quello sì di prendere la vicenda Sony come case study su come organizzare la sicurezza di un’azienda. Ma soprattutto di prenderlo ad esempio su come non dover aspettare il dramma per agire. Perché al di la di chiamare il super esperto, cosa che ovviamente non tutti possono permettersi, le azioni decise da Wahlin sono assolutamente in linea e fattibili in qualunque posto.

Necessitano di investimenti e devono essere adeguatamente progettate e motivate, ma sono le azioni base su cui costruire tutto.

Centralizzazione di tutti gli eventi in un SOC (da dare in outsourcing ad esperti se non si ha il know-how adeguato), analisi dei rischi a cui i propri servizi possono andare incontro, controllare le minacce interne ed educare il personale per comprendere che le azioni fatte con eccessiva leggerezza possono mettere a rischio la stabilità dell’azienda.

Questa non è fantascienza, e tutti i responsabili della sicurezza devono, se non l’hanno già fatto, inserire quanto prima questi passi nella propria agenda. Devono anche analizzare bene il caso Sony, e presentarlo ai propri capi per far comprendere che non è necessario fare il botto per risolvere i problemi.

Ma per farlo dovrete avere una proposta ben strutturata, che non sia quella di fondi e persone illimitate ma che sia basata sulle reali necessità di sicurezza dell’azienda. E che ne comprenda le dinamiche e risolva i problemi quanto più possibile con una migliore organizzazione. Ed è molto più facile di quanto pensiate.

Siete in grado di farlo?

Perché se non lo siete, quando succederà qualcosa (e qualcosa succederà sempre), i vostri capi chiameranno Wolf.

Sono Wolf. Risolvo problemi.

“Sono Wolf. Risolvo problemi.”

Non voi.

Bye!

P.S. Un po’ scomodo che SC Magazine richieda la registrazione per vedere articoli più vecchi di sette giorni, però non è proprio carino che una rivista di sicurezza permetta poi di bypassare questo controllo semplicemente inserendo l’ID dell’articolo nella funzione di print. 🙂

Proteggi la tua privacy online con Tor

Trovate qui la traduzione italiana del mio articolo pubblicato sul numero 26 di ClubHACK Magazine.

Tor logo

Che cos’è Tor?

Iniziamo con spiegare cosa significa Tor: è un acronimo che sta per The Onion Router (Il Router Cipolla).
Un router è un dispositivo che gestisce e smista il traffico su una rete di computer. Quando scrivere una URL nel vostro browser, come http://chmag.in e date invio, inviate questa richiesta al router del vostro ISP, che la rigirerà ad un altro router esterno e così via, finché non raggiungete il router dell’ISP di CHmag, che vi invierà la pagina del sito. Ognuno di questi passaggi è chiamato tecnicamente un hop.

Tor funziona esattamente come questo sistema di router, però poi c’è la cipolla. Beh, la cipolla è… una cipolla! 🙂
La ragione per cui gli sviluppatori di Tor hanno usato questa metafora è che quando si usa il sistema di routing di Tor, i dati vengono inviati all’interno di diversi livelli di cifratura, esattamente come passare tutti gli strati di una cipolla!

La pagina di Wikipedia di Tor ha un’eccellente immagine che spiega il funzionamento.

TOR The Onion Network

Electronic Frontier Foundation “How Tor Works” – licensed CC Attribution 3.0

Ma c’è un sacco di gente lì dentro! Non dovrebbe difendere la mia privacy?

Può sembrare strano ma così si difende la privacy.

Prima di tutto, quando si usa il tradizionale sistema di router, la richiesta passa lo stesso attraverso un numero di hop, ma in più può essere intercettata, letta e modificata. Questo perché chi controlla quell’hop può vedere la richiesta inviata, e sapere cosa stava cercando chi l’ha inviata.

All’interno del network tor questo non può succedere. Poiché il percorso è scelto in maniera casuale ogni hop può solamente decifrare il piccolo livello cipolla di cifratura che gli compete, e poi passare al seguente salto.

Come si può vedere dall’immagine sopra solo l’ultimo passaggio è in chiaro, dal cosiddetto nodo di uscita fino al web server di destinazione. Questo è necessario perché l’ultimo nodo deve necessariamente conoscere il destinatario della richiesta e cosa chiedere. Ma la privacy di chi ha fatto la richiesta è comunque protetta, visto che anche sniffando (cioè intercettando i dati inviati sulla rete), il nodo di uscita non può sapere chi ha fatto la richiesta, quindi nessuno può identificarvi. Il server di destinazione vedrà solo l’indirizzo IP, che identifica univocamente ogni dispositivo sulla rete, del nodo di uscita.
Il funzionamento è molto più semplice di quanto sembri, lo vedremo tra poco.

Poiché l’uso di Tor è assolutamente gratuito, ogni utente che si connette diventa un membro della rete e contribuisce a passare “cipolle” su e giù di continuo. Ma non c’è da preoccuparsi, nessuno è obbligato a funzionare da nodo di uscita, è possibile farlo ovviamente, ma questa opzione deve essere abilitata volontariamente.

Sembra molto complicato… non sono un hacker! Non posso usarlo!

In effetti sì, il progetto Tor è veramente molto complesso nel suo funzionamento. Gli sviluppatori hanno tuttavia fatto, e continuano a fare, un lavoro eccellente di semplificazione nell’utilizzo dello strumento, e lo hanno reso accessibile a chiunque, in modo estremamente semplice.

Tor ha infatti un sotto-progetto chiamato Tor Browser Bundle. Il software non richiede installazione e permette di navigare in sicurezza con un semplice clic. Non essendo necessario installarlo è semplice da trasportare su una chiavetta USB, in modo da averlo disponibile su ogni sistema che utilizzate, sia il proprio pc, un hotel, un internet cafè o il computer dell’ufficio.

L’unica cosa da fare è scaricarlo dalla pagina del progetto, è disponibile anche una versione italiana e c’è per Windows, Mac OS X o Linux.

Una volta scaricato e scompattato l’archivio .exe avrete questa serie di icone

Tor Browser Bundle

A questo punto manca solo un clic dal navigare sicuro. Basta far partire “Start Tor Browser.exe” e Tor inizierà a connettersi alla rete protetta.

Nel giro di pochi secondi vedrete questa finestra:

Vidalia Control Panel

Non dovete preoccuparvi di tutti i bottoni e le funzioni all’interno del pannello di controllo di Vidalia, l’unica cosa che conta è la cipolla verde e le parole “Connesso alla rete Tor!“. Questo significa che ora siete protetti.

Ma la magia di questo strumento non finisce qui. Non appena stabilita la connessione con la rete Tor una versione speciale di Firefox, inclusa nel pacchetto, si aprirà automaticamente con questa schermata:

Firefox Tor Portable

Questo vuol dire che è tutto finito! Usando questo Firefox navigherete automaticamente all’interno della rete Tor, in modo del tutto anonimo e sicuro. Volete provare? Andate su http://whatsmyip.net sia dal Firefox incluso nel Tor Bundle sia dal vostro brower classico, e vedrete che gli indirizzi IP sono diversi. Questo significa che state usando l’IP del nodo di uscita, come spiegato in precedenza. Quando non vorrete più usare Tor, basta chiudere la finestra di Firefox, si chiuderà anche il pannello di controllo di Vidalia e la connessione alla rete Tor terminerà.

In conclusione, avete visto che è molto semplice usare Tor. D’ora in poi, se volete proteggere la vostra privacy online, non dimenticatevi di usare Tor Browser, e portatelo sempre con voi, specialmente su postazioni che non conoscete.

Proteggersi non è così complicato come sembra, anzi non è complicato per nulla! Basta seguire dei semplici passaggi ed è fatta. Questo è solo l’inizio di molti altri servizi che sono disponibili all’interno del progetto Tor, ma questo passo è quello che vi serve per navigare protetti.

Buona privacy e navigazione tranquilla a tutti!

Federico Filacchione
pubblicato originariamente come “Protect your privacy online with ’TOR” su ClubHACK Magazine numero 26.

CAPTCHA, cosa sono e come usarli

Trovate qui la traduzione italiana del mio articolo pubblicato sul numero 50 di Hakin9.

Introduzione

CAPTCHA è un acronimo per Completely Automated Public Turing test to tell Computers and Humans Apart. Il test è stato creato nel 2000 da alcuni ricercatori della Carnegie Mellon University, per prevenire l’utilizzo illecito di strumenti come i bot nella fase di registrazione ad un servizio web. Il principale scopo di un CAPTCHA è infatti quello di prevenire una registrazione di tipo massivo, ad esempio ad un servizio di webmail gratuita. In questo articolo parleremo dei diversi tipi di test che è possibile implementare, analizzeremo quanto sicuri sono queste varianti, e cercheremo di capire quali sono le contromisure usate per eludere i CAPTCHA e come impostarli correttamente per renderli accessibili a tutti.

Come sono usati i CAPTCHA

Il CAPTCHA è un test di tipo challengeresponse. Questo significa che all’utente viene presentato un testo, e successivamente gli viene richiesto di digitare lo stesso testo in una form. Considerato che questa azione richiede un ragionamento, si presume che sia eseguibile solo da un umano, non da un bot (i bot sono programmi scritti per ripetere automaticamente l’attività di una persona, ma non a questi livelli). Esistono diverse tipologie di CAPTCHA, vediamo quali sono.

CAPTCHA grafico

Questo è il test più comune. Si presenta all’utente un’immagine , in cui il testo appare più o meno distorto, e viene richiesto di inserire quel testo (che può contenere numeri e/o lettere) in una form. In figura 1 potete vedere un esempio.

Figura 1 –  Yahoo graphic CAPTCHA from Wikipedia

Figura 1 - CAPTCHA grafico utilizzato da Yahoo! (da Wikipedia).

Questa tipologia di test è relativamente semplice sia da implementare che da utilizzare. L’utente deve solo leggere il testo, replicarlo, e il test è concluso. Per il provider, in questo caso di un servizio di webmail, è inoltre molto semplice scrivere una procedura che, all’interno di una form standard, cambi l’immagine ogni volta che la pagina viene ricaricata. Questo è senza dubbio il modo più semplice per usare un CAPTCHA, ma è abbastanza? Più importante ancora, è accessibile? La risposta ad entrambe le domande è no. Vediamo perché.

CAPTCHA grafico e sonoro

La seconda tipologia di test integra un CAPTCHA audio a quello visivo. Questo è necessario poiché un test solo grafico necessita unicamente dell’utilizzo della vista per essere risolto, euna persona con problemi di vista non potrebbe registrarsi al servizio. Nel test grafico e sonoro viene aggiunta una funzionalità che legge il testo presentato (o legge un altro testo, dipende da come viene implementato), permettendo quindi anche ad una persona ipo o non vedente di inserire nella form il testo corretto. Di seguito un esempio.

Figura 2 – CAPTCHA grafico e sonoro di Gmail

Figura 2 – CAPTCHA grafico e sonoro utilizzato da Google per la registrazione a Gmail.

Il CAPTCHA in figura 2 risulta molto accessibile poiché anche l’attributo HTML alt dell’immagine è valorizzato come “Ascolta e inserisci i numeri che senti“, in questo modo è possibile cliccare sull’icona della sedia a rotelle, ascoltare un file audio (che in questo caso presenta dei numeri, non delle lettere come nell’immagine) e superare il test. Ancora più interessante in questo caso è che il CAPTCHA è localizzato. Nell’immagine potete vedere la versione italiana, e i numeri sono effettivamente letti da una voce italiana. La stessa localizzazione c’è anche per l’inglese e le altre lingue di Google. Un’altra cosa da notare è che questo test ha di fatto due modi per essere risolto: sia inserire le lettere viste che i numeri ascoltati permettono di passare il test.

CAPTCHA cognitivo

C’è un ulteriore modalità di utilizzare i CAPTCHA, ed è forse la più complessa ma allo stesso tempo la più affascinante, soprattutto se usata all’interno di un social network. Questo tipo di CAPTCHA chiede all’utente, invece che mostrare lettere e numeri, di effettuare un’operazione logica del tipo: quanto fa 3+3/2? Oppure di che colore è il cielo quando non piove? Un altro modo di impostare un CAPTCHA cognitivo è quello di utilizzare informazioni conosciute sia dall’utente sia da chi espone il servizio. Questo funziona molto bene proprio nei social network, ed è stato implementato da Facebook. Se Facebook infatti pensa che il login sia stato effettuato in maniera illecita, ad esempio proviene da un IP che l’utente non aveva mai usato, mostra all’utente alcune foto dei suoi amici, chiedendogli di identificare tra le varie foto una specifica persona. Questo tipo di CAPTCHA è tuttavia molto difficile da realizzare, visto che necessita di un notevole database di domande/risposte possibili, e questo è un problema di sicurezza di cui parleremo dopo. Nell’altro caso necessita di conoscere un buon numero di informazioni dell’utente, quindi è impossibile utilizzarlo su servizi non autenticati (come un WHOIS per un dominio, ad esempio), o ancora peggio nella fase di registrazione ad un servizio.

E per quanto riguarda l’accessibilità?

L’accessibilità, o meglio la non-accessibilità dei CAPTCHA è un problema reale, ed è stato analizzato molte volte nel corso degli anni. Nel 2005 anche il World Wide Web Consortium ha pubblicato un documento a riguardo. Il documento del W3C non è molto attuale in alcuni passaggi, ma le considerazioni finali sono sicuramente molto interessanti, i problemi che espone sono reali, e dovrebbe essere tenuto in considerazione da chiunque utilizza o intende implementare i CAPTCHA nei propri servizi web. Come detto prima i test esclusivamente grafici non sono accessibili da persone cieche o ipovedenti. Tuttavia anche utilizzando la grafica e l’audio resta il rischio di tagliare fuori un discreto numero di utenti. Questo può succedere se l’utente non ha la possibilità di ascoltare il test (per problemi hardware, per mancanza di plugin specifici, ecc.), oppure se il test è svolto in un ambiente particolarmente rumoroso. Prendendo come esempio il test di Google, l’audio è molto complesso da comprendere anche in una situazione normale e da parte di una persona senza problemi di udito. Questo succede quando si sposta l’asse troppo dalla parte della sicurezza, chi ci rimette è proprio l’accessibilità. Anche il CAPTCHA cognitivo ha molti problemi di accessibilità, a cominciare ovviamente da utenti non vedenti, che non riescono a comprendere le immagini proposte. Questo si inquadra in un contesto molto più complesso, visto che un social network in se non è propriamente il servizio più accessibile presente su Internet. In questo caso tuttavia è possibile usare altre informazioni già in possesso di chi propone il test, come ad esempio la data di nascita dell’utente, la sua squadra preferita, oppure una domanda e risposta fatta impostare all’utente in fase di registrazione. Questo può aiutare ad implementare un CAPTCHA cognitivo accessibile a molte persone.

Ma i CAPTCHA sono sicuri?

Ora parliamo di sicurezza. Come ogni strumento atto a prevenire un utilizzo illecito di un servizio, anche i CAPTCHA sono pesantemente attaccati. Considerando poi che spesso difendono la registrazione a servizi di webmail gratuite, quasi tutti gli attacchi vengono da spammer, che mirano a registrare quanti più account possibili, per poi usarli ed inviare email. Analizziamo ora alcuni metodi utilizzati per risolvere il test automaticamente, ma è importante tenere in considerazione che questo tipo di attacchi è in continua evoluzione, e i ricercatori presentano soluzioni sempre più evolute anno dopo anno.

Risolvere un CAPTCHA automaticamente

Come già detto i CAPTCHA sono stati creati per evitare che i bot inviino richieste in modo massivo. I programmatori di bot hanno costantemente lavorato su tecniche per permettere una lettura automatica dell’immagine, superando automaticamente il test. Queste tecniche sono state sviluppate in modo parallelo alla nascita dei CAPTCHA. Considerando che questo tipo di attacco è molto simile alle tecnologie OCR, il modo migliore per evitarlo è distorcere il testo nell’immagine, aggiungendo quindi maggiore complessità.
Un esempio di distorsione.

Figura 3 – CAPTCHA di Yahoo! distorto per evitare una lettura automatica.

Figura 3 – CAPTCHA di Yahoo! distorto per evitare una lettura automatica.

Nel CAPTCHA in figura 3, è stata aggiunta distorsione e complessità al test presentato da Yahoo!. Questo è però un caso in cui la sicurezza prevale sull’accessibilità. Poiché più il testo viene distorto meno diventa leggibile, questo avviene sia per strumenti automatici che per esseri umani, che abbiano problemi di vista o no. Quante volte avete ricaricato un CAPTCHA perché il testo presentato era illeggibile? Molte volte immagino
Anche il CAPTCHA audio può essere ovviamente risolto automaticamente. Molti programmi sono in grado di ascoltare delle parole e scriverle su un file. Analogamente a quanto detto per la parte grafica, anche per l’audio è possibile aggiungere disturbi sonori o aumentare il rumore di fondo. Questo a discapito dell’accessibilità, ovviamente, ma non è ancora abbastanza. Uno studio recente su questo argomento ha mostrato come, anche aggiungendo distorsione al file audio, il CAPTCHA è stato risolto automaticamente il 67% delle volte per Google, il 70% per Digg e il 45% per reCAPTCHA(che è probabilmente il servizio di CAPTCHA più usato sul web, di proprietà di Google stessa). E ovviamente più rumore o distorsione viene aggiunto all’audio, meno diventa comprensibile da chiunque.
Per quanto riguarda il CAPTCHA cognitivo, il suo punto debole è senza dubbio la base dati delle domande. Mentre una combinazione di parole e numeri è illimitata, in questo caso è necessario creare un elenco di domande e risposte da chiedere. Risulta quindi facile per un attaccante studiare il test, collezionare le possibili domande e preparare un bot che sia in grado di rispondere a tutte. Se il CAPTCHA cognitivo è basato invece su informazioni possedute sia dal gestore del servizio che dall’utente, risulta molto più difficile da attaccare. Ma questo come già detto richiede una registrazione preventiva, quindi non è utilizzabile su servizi anonimi o in una form di registrazione.

Attaccare l’algoritmo di generazione dei CAPTCHA

Come ogni generatori di numeri casuali, anche l’algoritmo che genera un CAPTCHA può essere attaccato e scoperto, in questo modo sarebbe possibile risolvere il test prima ancora che venga presentato all’utente. Questo tipo di attacco è tuttavia molto difficile da eseguire. I moderni algoritmi sono robusti, in molti casi analizzati da una comunità open source, ed è difficile che un attaccante spenda tempo e risorse per cercare di comprendere la logica dietro l’algoritmo. Può tuttavia succedere che un provider utilizzi un sistema di generazione di CAPTCHA molto vecchio, con un algoritmo prevedibile. Questo è uno dei motivi per cui molti utilizzano i servizi di reCAPTCHA, che risulta molto sicuro da questo punto di vista.

Risolvere un CAPTCHA manualmente

Questo tipo di attacco può sembrare una contraddizione: se devo risolvere un CAPTCHA automaticamente perché dovrei tentare di attaccarlo risolvendolo manualmente? La risposta alla domanda è semplice: se un CAPTCHA è creato per essere risolto da umani, usiamo gli umani per risolverli! Questo tipo di attacco può essere svolto in due modi. Si può includere il CAPTCHA da attaccare all’interno di un proprio servizio web, pubblicato dall’attaccante.

Un altro modo è di pagare delle persone per fargli risolvere quanti più CAPTCHA possibili. Questo caso è stato citato anche nello studio del W3C di cui avevamo parlato prima, notando come un operatore specializzato in questo può risolvere centinaia di CAPTCHA ogni ora.

Questo tipo di attacchi sono comunque molto costosi e spesso non valgono la spesa, considerato che un sistema di risoluzione automatico è comunque più veloce di qualsiasi umano, e che è complesso creare dei siti fake in cui includere un CAPTCHA da un altro servizio web.

Anche pubblicare un sito che presenti delle immagini pornografiche, in seguito alla risoluzione di un CAPTCHA è abbastanza inutile. Ci sono moltissime immagini immediatamente accessibili con una semplice ricerca, ed è improbabile che qualcuno perda tempo a risolvere un test per vederle. Questo tipo di attacco è poco più di una leggenda urbana, come analizza lo stesso Captcha.net in “L‘attacco tramite pornografia non è un problema“:

Mentre è molto semplice scrivere un bot che abusi di siti non protetti milioni di volte al giorno, reindirizzare i CAPTCHA per essere risolti da umani che vogliono vedere immagini pornografiche permetterebbe agli spammer di utilizzare illecitamente i servizi poche migliaia di volte al giorno. I conti di questo attacco semplicemente non tornano: ogni volta che un sito porno mostra un CAPTCHA prima di un’immagine rischia di perdere un utente, che si rivolgerebbe ad un altro sito senza quel blocco.

Devo monitorare i miei CAPTCHA?

La risposta a questa domanda è senza dubbio ! Chi espone un servizio deve mantenere un log di ogni cosa riguardi l’uso del CAPTCHA, e deve analizzare questo log molto attentamente.

Questo è necessario sia per la sicurezza che per l’accessibilità. È necessario analizzare quante volte gli utenti hanno fallito il test rispetto al totale degli accessi e, se avete un CAPTCHA audio e video, è necessario comprendere quanti utenti hanno passato il test leggendo le parole o ascoltando il file audio.

Analizzando questi log è possibile infatti capire se il test è realmente utile, se è troppo facile o difficile da passare, e quale soluzione è più efficace. Per esempio se pensate che il vostro servizio sia utilizzato da un piccolo numero di persone non vedenti, e i vostri log vi dicono che il CAPTCHA è stato superato al 50% per la parte visiva e al 50% per quella audio, questo può significare sia che la parte audio è vulnerabile ad attacchi, sia che la parte visiva è troppo complessa da leggere. Conoscere queste statistiche può senza dubbio aiutare a pubblicare un servizio migliore, e migliorare l’esperienza dei vostri utenti.

Correlando questi log con altre fonti, come ad esempio i log degli application server o dei firewall/IPS, è possibile avere informazioni chiare su chi, come e da dove sta usando (o forse abusando) dei vostri servizi.

Conclusioni

Abbiamo quindi fatto un tour sui tipi di CAPTCHA che possono essere usati, quali sono i punti di forza e le debolezze di ogni tipo, e come è possibile provare ad identificare abusi o possibili attacchi.

Come ogni misura tecnica i CAPTCHA non possono garantire il 100% di sicurezza sui vostri servizi. Sono uno strumento molto utile, ma è necessario implementarli molto bene. Bisogna pensare all’accessibilità, alla sicurezza e alla user experience, e questi sono problemi critici se il vostro servizio ha una platea di utenti molto ampia. Ancora di più se lo pubblicate come amministrazione pubblica o come servizio orientato ai cittadini.

La sicurezza del CAPTCHA può essere aumentata aggiungendo complessità, distorsione o domande logiche difficili (ma in gran numero). Bisogna però essere consci del fatto che più si aumenta la complessità, più il test diventa sicuro, ma meno è accessibile da una gran parte dell’utenza. Questo è il motivo principale per cui molti servizi che usano un CAPTCHA sono molto complessi da utilizzare, e questo genera frustrazione negli utenti, e quindi lamentele o abbandono del servizio. E di certo vorrete evitare questa situazione.

Come ulteriori scenari di implementazione, insieme ad un CAPTCHA in fase di registrazione ben bilanciato tra sicurezza e accessibilità e ben monitorato, è possibile attivare dei controlli ulteriori con questo test all’interno del servizio stesso. Se l’applicazione pensa ad esempio che l’utente stia facendo troppe operazioni in poco tempo, rispetto a quanto possa fare un essere umano, allora blocca la funzionalità e presenta un CAPTCHA.
Questo è esattamente quello che fa Google con il suo servizio di ricerca web, se provate a fare numerose ricerche con uno strumento automatico. Naturalmente Google non può mostrare un CAPTCHA ad ogni query di ricerca (non lo userebbe più nessuno), ma se il motore ritiene che voi siate un bot e non un umano, ferma tutto e vi chiede di risolvere un CAPTCHA cognitivo. E questo sicuramente rallenta e tenta di prevenire gli abusi.

In conclusione: rispettate sempre i vostri utenti, pensate bene a quale servizio state difendendo e bilanciate la sicurezza di conseguenza, e monitorate attentamente i log.

E sicuramente avrete un ottimo CAPTCHA!

Federico Filacchione
pubblicato originariamente come “CAPTCHAs, What They Are and How To Use Them” su Hakin9 numero 50© Software Press, Poland.