Emanuele Olivetti wrote:
Parlando con Werner Koch (autore gpg) mi diceva che l'attrezzatura
per leggere i dati nascosti nella smart card (quella che vende lui, ma
a quanto ho capito anche le altre) ha un costo intorno ai 10 mila euro.
Richiede di avere il possesso fisico della carta (non e' un attacco
tramite l'interfaccia di comunicazione).
Non sono un esperto in materia per cui riporto solo le sue parole.
Per quanto il messaggio possa essere stato riportato fedelmente puo'
essere frainteso. L'attrezzatura funzionera' sicuramente bene, ma non
funziona con tutte le carte per il semplice motivo che le carte non sono
tutte uguali. Alcune carte prevedono protezione dagli attacchi logici
(il caso piu' semplice e' la SIM, in cui se sbagli 3 volte il pin si
pianta), mentre altre sono protette dagli attacchi fisici. Questo non
vuol dire che si siano riferiti a qualche standard di protezione (che
non esiste) ma che hanno implementato di metodi ah hoc che potrebbero
essere molto piu' suscettibili di altri e che quindi il sistema proposto
potrebbe danneggiare la carta invece di aprirla. I metodi di attacco
fisico, come dicevo nella precedente mail, possono addirittura basarsi
su processi chimici di abrasione stratificata, al fine di portare alla
luce le memorie interne. Processi che non sono certo realizzabili da un
kit da 10k euro. Alcune carte possono essere inserite in un unlooper
(dispositivo da 100 euro ca.) e continuare a funzionare, altre possono
bruciarsi subito a causa del processo aggressivo del device.
Insomma il messaggio e' che gli attacchi fisici sono tutt'altro che
plug-n-play.
Inoltre, anche se potrebbe non essere molto pertinente, la maggior
parte dei lettori di smart card USB non ha una tastiera (solo la fessura
per la carta) quindi la digitazione delle password avviene su una
macchina che potrebbe essere compromessa con un keylogger. Non che
la perdita di segretezza della password annulli del tutto l'effetto
della smart card, pero'...
Non lo annulla per niente. Se perdi la password ma non la carta non c'e'
modo per l'attaccante di risalire alla chiave. Ma questo vale anche per
pgp (se perdi la pw ma non la chiave privata). Se ti accorgi della
compromissione puoi sempre cambiare la password di accesso alla card e
tutto torna sicuro quanto lo era prima. Ti ricordo che sulla carta non
c'e' memorizzata una password che se viene persa da' accesso al sistema.
La carta puo' essere usata per esempio per negoziare una chiave di
sessione, ma non puo' fornire dati che, una volta intercettati, diano
accesso a qualcosa. Ovviamente sempre parlando di carte crittografiche
(es. pkcs#11) e non di storage device.
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
