White Paper: Il modo più semplice per aggirare SSL

Buongiorno a tutti. Volevo rendere partecipa la comunità che sul mio sito webteca.altervista.org è disponibile uno white paper dal titolo:

Il modo più semplice per aggirare SSL

Lo "abstract" è questo:

In questo documento viene illustrato come, con la semplice sostituzione di una stringa, sia spesso possibile aggirare un'implementazione "sicura" basata su un uso non adeguato di SSL.
Si sottolinea che questo documento non contiene alcuna informazione riguardante possibili debolezze del protocollo SSL ma illustra il metodo più semplice per fare in modo – ove possibile – che tale protocollo non venga utilizzato.
In questo documento vengono illustrate le tipiche implementazioni “debolmente sicure” che utilizzano tale protocollo.
Viene inoltre proposto una semplice applicazione di test per verificare le implementazioni “debolmente sicure”.
Si informa il lettore che questo documento ha un carattere prevalentemente divulgativo.

Stuzzicato l'appetito? Allora siete invitati a scaricare l'intero documento:

http://webteca.altervista.org/download.php

Per chi preferisce c'è la versione in inglese.
Ovviamente attendo commenti.

Nessun commento? strano, l'argomento mi sembrava interessante :D

sinceramente io non ho capito neanche di csa sti parlando! :cry:

SSL è il protocollo Secret Socket Layer, quello che viene normalmente utilizzato quando si fanno transazioni finaziarie in internet (acquisti on line, banca virtuale eccetera). Detta in modo molto spiccio, utilizzando questo protocollo le informazioni vengono crittate.
Nello whitepaper viene spiegato come pesso i siti che utilizzano SSL lo utilizzano male. Come conseguenza è possibile (e nello WP spiego come) aggirare SSL in modo fin troppo facile.

a ok. quindi aggirandolo si riesce a risalire alle informazioni fornite dagli acquirenti (come numeri di carte di credito ecc..) giusto?

Esatto. Provare per credere...

Oltre ad essere un argomento illegale e vietato è anche perseguibile dalla legge italiana per violazione della privacy e utilizzo non autorizzato dal propietario dei suoi dati.
... Spero che l'utilizzo di questo documento possa essere utilizzato in un futuro per rendere più sicuro le transazioni finanziare in internet. :wink:

Premetto che non voglio fare polemiche, ma...

1) a quanto mi risulta la libertà di parola è ancora garantita in Italia quindi non vedo come un documento dove espongo qualche cosa (qualsiasi cosa)possa essere illegale.

2) nel documento si spiega (abbastanza bene per i riscontri che ho avuto fino ad ora) che il protocollo SSL deve essere usato bene, perchè altrimenti è inutile. E per darne prova ho preparato un programma apposito che, si noti, deve essere installato e configurato consapevolmente.

3) Con le informazioni contenute del documento è possibile provare (a casa propria, sul proprio PC) che la maggior parte dei siti che si dicono sicuri in realtà non lo sono (completamente). E si spiega il perchè.

Allora la domanda che giro a Leons86 (immagino che tu abbia letto il documento) trovi che il mio documento sia illegale? Spiegami il perchè.

Attendo replica.

Citazione:

---

1) a quanto mi risulta la libertà di parola è ancora garantita in Italia quindi non vedo come un documento dove espongo qualche cosa (qualsiasi cosa)possa essere illegale.

---

il fatto non è che non puoi scrivere quello che vuoi ma è il fatto che cmq sia alcuni argomenti potrebbero essere malcapiti alla prima occhiata. :wink:

chiedo scusa :)

Accetto le scuse :)

Non metto in dubbio che certi argomenti possano suscitare perplessità. Anzi lo scopo principale del documento è suscitare perplessità, non del contenuto in sè, ma per le conseguenze di tale contenuto.

Facendo un po' di prove con siti reali, infatti, la situazione è, a mio avviso, alquanto preoccupante. Su tutti i siti che ho provato solo la minima parte si comporta correttamente.

Questo implica 2 cose:

1) molto spesso i siti cosiddetti sicuri in realtà lo sono molto meno di quanto sarebbe desiderabile.

2) chiunque accede ad internet tramite un proxy (praticamente la totalità delle connessioni) deve fidarsi ciecamente del proprio provider. È infatti una banalità bypassare protocolli di sicurezza decisamente robusti come SSL per chi sta nel mezzo fra utente e sito remoto.

Resto a disposizione per ulteriori chiarimenti.