----- Forwarded message from Oronzo Berlen <oronzo.berlen(at)eunics.it> ----- From: Oronzo Berlen <oronzo.berlen(at)eunics.it> To: ml(at)sikurezza.org Subject: Re: [ml] Smart Card, GnuPg e Linux
Emanuele Olivetti ha scritto: > > Parlando con Werner Koch (autore gpg) mi diceva che l'attrezzatura > per leggere i dati nascosti nella smart card (quella che vende lui, ma > a quanto ho capito anche le altre) ha un costo intorno ai 10 mila euro. > Richiede di avere il possesso fisico della carta (non e' un attacco > tramite l'interfaccia di comunicazione). > Non sono un esperto in materia per cui riporto solo le sue parole. > Dubito che un attacco di questo genere, anche possedendo apparecchiature pi? sofisticate questo sia applicabile a smart card o chiavette USB con certificazioni ITSEC/CC elevate (ITSECE4 / CC EAL equivalenti), proprio perch? le protezioni da attacchi di questo tipo sono valutati; in particolare se si usano carte certificate Common Criteria con Protection Profile come il PP_SCSUGSC_V3.0 (definito dallo smart card user group, tra cui ci sono i principali circuiti di carte di credito) i cui dettagli li trovi in http://www.niap-ccevs.org/cc-scheme/pp/pp.cfm?id=PP_SCSUGSC_V3.0; in particolare le minacce nel paragrafo 3.3.1 del PP trovi le minacce da cui i token conformi a questo tipo di profilo devono essere protetti per passare la certificazione; dulcis in fundo, la protezione da questo tipo di minacce viene valutata da laboratori specializzati durante il processo di certificazione, quindi c'? da stare abbastanza tranquilli. > Inoltre, anche se potrebbe non essere molto pertinente, la maggior > parte dei lettori di smart card USB non ha una tastiera (solo la fessura > per la carta) quindi la digitazione delle password avviene su una > macchina che potrebbe essere compromessa con un keylogger. Non che > la perdita di segretezza della password annulli del tutto l'effetto > della smart card, pero'... > Infatti l'unico modo di proteggersi ad un livello pi? elevato ? il lettore di PIN o di impronta digitale integrato nel lettore si SC, altrimenti c'? il rischio di un attacco con keylogger; comunque alla fine della fiera, anche se non hai il lettore di PIN integrato, per avere successo in un attacco quando c'? di mezzo un token certificato devi avere la smart card dell'attaccato ed aver catturato il suo PIN, cosa certo molto pi? complessa che riuscire a penetrare una macchina, copiare il file che contiene la chiave privata, e tentare degli attacchi con calma a casa propria. Ronnie ----- End forwarded message -----
________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
