On 17/01/21 17:37, Marco Ciampa wrote:
perché vuoi mettere per forza https visto
che tutti i pacchetti sono firmati e quindi non ci sono problemi di
sicurezza in http?
quando si parla di sicurezza non si può mai dire che qualcosa è sicuro e
senza problemi di sicurezza. Ad esempio recentemente hanno dimostrato
che è possibile usare la RAM presente in un PC per superare un sistema
air-gapped, usandola come se fosse una "scheda wi-fi". Mi sembra che
puoi trasferire 100 byte/s o qualcosa del genere per diversi metri di
distanza. Naturalmente questo è solo uno dei vari metodi trovati per
riuscire a superare un sistema air-gapped.
Io, personalmente, non avrei mai pensato/immaginato di usare la RAM in
questo modo...
I motivi per usare https e non http possono essere svariati. Se usi
http, un attaccante può usare diverse informazioni per poter tentare un
attacco. Se usi una connessione http puoi permettere ad un attaccante di
venire in possesso di determinate informazioni:
* intercettare quali repository usi
* intercettare che pacchetti e che versioni hai installato sul sistema[¹]
* bug su atp[2]
* può modificare il flusso di dati che ti arriva durante lo scaricamento
di un pacchetto (MITM Attack)
* può bloccarti lo scaricamento di un pacchetto (magari da security o
bloccarti interamente security) (MITM Attack)
era passata sulla lista debian-security un bel po' di tempo fa e, se non
erro, si consigliava l'uso di https per evitare diverse problematiche,
qui sopra ne ho improvvisate alcune, non mi ricordo se siano le stesse o
meno.
Se usi https, in teoria[³], un attaccante può avere successo solo se ha
almeno compromesso il server che stai usando come repository (non farti
avere aggiornamenti di sicurezza, vedere cosa utilizzi, ...), però deve
anche avere una chiave privata di un DD per firmare i pacchetti, se
vuole mettere versioni modificate... a meno che voglia attaccare il
sistema di gestione di pacchetti che usa l'attaccato.
Secondo me:
* la sicurezza è relativa e soggettiva: dipende da cosa vuoi proteggere
e quanto lo vuoi proteggere, valutando costi e risultati
* la sicurezza molte volte è temporale: quello che è sicuro oggi
potrebbe non esserlo più domani (e di solito quel domani c'è sempre)
* la sicurezza è un insieme di metodi per obbligare l'attaccante a
riuscire ad eseguire con successo un numero di passi sempre maggiore per
riuscire ad avere successo nell'attacco
Detto questo se si usa https si avrà un piccolo rallentamento nelle
operazioni di aggiornamento del sistema, un piccolo aumento dell'uso di
CPU e RAM... e quindi con un costo molto contenuto si può aggiungere una
difficoltà maggiore all'attaccante. Poi ognuno decide come preferisce e
rispetto a quello che lui reputa sicuro o meno per quella situazione
particolare.
Ciao
Davide
[¹]
questo può essere usato, ad esempio, che per impersonificare l'attaccato
creando una "firma" dell'attaccato ad esempio durante navigazione web. O
deanonimizzare l'attaccato se utilizza ad esempio Tor per navigare.
In pratica può riuscire a determinare quei parametri che possono essere
usati per identificare l'attaccato quando naviga.
È possibile identificare una persona a seconda di vari parametri che
sono inviati ad ogni pagina mentre si naviga e questa può essere vista
come una "firma" che può essere anche univoca o quasi univoca nella
maggior parte dei casi.
In ogni caso l'attaccante può prendere delle informazioni che gli
permettano di arrivare in possesso di altre informazioni o tentare un
attacco...
[²]
esempio questo vecchio bug ora corretto (cercato a caso, solo per far
vedere come nel 2016 usare http poteva essere sfruttato da un attaccante)
https://www.debian.org/security/2016/dsa-3733
[³]
https ha numerosi problemi che possono essere causati anche da che
versione tu accetti, da quali chiper consenti, ... Però è un livello in
più che rende un po' più complesso il tentativo di attacco
--
Strumenti per l'ufficio: https://www.libreoffice.org
GNU/Linux User: 302090: http://counter.li.org
Non autorizzo la memorizzazione del mio indirizzo su outlook
