Archivi del mese: novembre 2012

QuickSSL Premium Di GeoTrust In Offerta Fino A Fine Mese

In un recente post su Sicurezza Digitale avevamo parlato della sicurezza dei certificati SSL di GeoTrust e della vasta gamma di prodotti per la protezione dei siti web disponibile online.

Nella serata di ieri il rivenditore britannico di certificazioni SSL Trustico Online Limited ha twittato sul proprio profilo aziendale una particolare promozione per l’acquisto di un certificato SSL QuickSSL Premium per un anno a 75,00€ IVA inclusa.

L’offerta è disponibile fino al prossimo 30 Novembre e per i primi 10 acquirenti che si completeranno l’ordine sul sito italiano della società.

Utilizzando il buono d’acquisto offerto da Trustico sarà possibile acquistare il prodotto risparmiando oltre 10€ rispetto al prezzo presente sul sito internet (€86,50).

Ecco le principali caratteristiche del certificato SSL in offerta:

Clicca qui per acquistare il prodotto.

Annunci

Lascia un commento

Archiviato in Catena Di Certificazione/Certificate Chain, Certificati SSL, E-Commerce, HTTPS, Recensioni, Sicurezza Connessioni, Sicurezza Mobile

Il Malware Punta I Riflettori Su Ciò Che Fa Tendenza Online

Leggendo il nostro blog, o cercando informazioni in Rete relativamente alle minacce relative alla sicurezza informatica, ci si sarà certamente accorti di quanto gli attacchi malware prendano in oggetto i termini e le tematiche più in voga al momento. L’attualità, catturando in diversa misura l’attenzione anche di chi naviga il web (la quasi totalità della popolazione mondiale, soprattutto per quanto concerne i Paesi più sviluppati), “provoca” click sui link pubblicati sulle pagine web e/o ricevuti via e-mail e social network (Facebook, Twitter, LinkedIn, ecc.).

Mentre argomenti come la pornografia e la ricerca di lavoro restano degli evergreen (in quest’ultimo caso nazioni in crisi occupazionale come quella italiana attirano in maggior misura questo genere di offensive, per motivi che si possono facilmente immaginare), vi sono notizie che acquisiscono in pochi giorni estrema popolarità, provocata da avvenimenti che ne aumentano esponenzialmente il livello di esposizione mediatica.

Le elezioni americane, svoltesi poche settimane fa, hanno portato i notiziari di tutto il pianeta a raccontare la rielezione del Presidente degli Stati Uniti d’America Barack Obama, con immagini e video pubblicati e condivisi sui social media più famosi. La figura di Obama, vista da molti come innovativa e in grado di infondere speranza nei confronti della politica di tutto il mondo, è in queste ultime ore sfruttata dai criminali informatici che hanno riversato nel web un video fasullo che, secondo il testo del malware, lo ritrarrebbe in atteggiamenti violenti nei confronti di un ragazzo che si sarebbe rivolto a lui con epiteti aventi come oggetto il colore della sua pelle.

obama-malware-twitter

Il tweet incriminato, dal quale parte il contagio malware con Barack Obama quale involontario protagonista

Panda Security ha lanciato, attraverso il Direttore Tecnico Luis Corrons, l’allarme relativo a questo malware, partito da Twitter e avente come “spalla” Facebook e Youtube.

Il link porta ad una pagina di Facebook che richiede l’inserimento del nome utente e della password impostata dall’utente per l’accesso a Twitter; effettuando malauguratamente quanto richiesto in questo passaggio si concederà ai cybercriminali di inondare il profilo di tutti gli utenti con i quali si è connessi. Successivamente il browser del navigatore verrà indirizzato automaticamente ad una pagina contenente il video, visibile non prima di aggiornare il software che consente l’accesso a Youtube e che nasconde il file progettato per consentire l’appropriazione indebita dei dati personali (Koobface.LP).

Koobface.LP-obama-malware

La schermata prodotta dal malware che porta l’utente da Facebook a Youtube, provocando il furto di dati personali.

Come nella totalità delle minacce malware finora analizzate, e commentate sul nostro blog, la diffusione potrebbe essere arrestata prestando ulteriore attenzione alle notizie circolanti sul web e sui social media, evitando di cliccare sui link che possano destare sospetto.

Lascia un commento

Archiviato in Attacchi Informatici/Crimine Informatico, Facebook, LinkedIn, Phishing & Malware, Privacy, Social Media & Network, Twitter, Youtube

AffirmTrust, Erano Solo Promesse?

Il team di Sicurezza Digitale è costantemente alla ricerca di nuove opportunità ed iniziative da segnalare ai lettori del blog, e nel corso degli ultimi giorni ci siamo imbattuti in un notevole numero di notizie relative a AffirmTrust, fornitore di certificati SSL che qualche mese fa aveva promesso di sparigliare le carte della crittografia offrendo gratuitamente certificati SSL Domain Validation (DV, con i quali si certifica solamente il dominio per il quale il certificato SSL viene emesso e non la Società che lo detiene) pienamente riconosciuti dai browsers di navigazione.

certificato-ssl-affirmtrust-seal

Il primo contatto con AffirmTrust, avvenuto un anno fa all’incirca, ci aveva decisamente stupito: la società americana, fondata da ex dipendenti di GeoTrust, non solo prometteva di regalare fino alla fine del 2011 innumerevoli certificazioni SSL senza alcun costo per il cliente finale, ma affermava di poter garantire certificati SSL Extended Validation (EV, con “barra verde”, richiedenti documenti per la verifica della società che detiene il sito web in questione) a prezzi davvero irrisori, prossimi ai $75!

Al fine di poter testare la serietà del servizio offerto decidemmo, quindi, di “metterci in coda” per ottenere un certificato SSL DV gratuito (date le caratteristiche tecniche lo stesso avrebbe potuto essere assimilato, per molti versi, a GeoTrust QuickSSL Premium) e, dopo aver inserito il nostro indirizzo e-mail e ricevuto conferma di gestione della pratica, non abbiamo ricevuto più alcuna notizia…

Ulteriori indagini sul web hanno dimostrato quanto segue:

  • a fine giugno 2012 AffirmTrust è stata acquisita, per una cifra imprecisata, dalla giapponese Trend Micro Inc.;
  • le pagine Facebook e Twitter della società appaiono abbandonate già da diversi mesi;
  • AffirmTrust aveva già iniziato a contattare via internet il supporto tecnico di numerosi browser online (Chrome, Firefox, ecc.) chiedendo l’inclusione della sua radice di certificazione all’interno del registro di CA riconosciute, in maniera tale da permettere ai certificati SSL emessi di essere riconosciuti come validi online.

Da quanto traspare è possibile affermare che un progetto interessante e, per certi sensi, rivoluzionario come quello di AffirmTrust sia stato abortito (sarebbe meglio dire soppresso nell’incubatrice…) prima che potesse davvero rappresentare una reale minaccia nei confronti delle Certification Authority presenti in Rete.

Altre iniziative di questo tipo hanno avuto, nel corso del tempo, discreto successo (basti citare il caso di StartSSL), mentre resta preferita dalla stragrande maggioranza dei webmaster la possibilità di acquistare, spesso a prezzi non eccessivi, certificati SSL emessi da CA storicamente riconosciute a livello mondiale.

Lascia un commento

Archiviato in Catena Di Certificazione/Certificate Chain, Certificati SSL, Certificati SSL Gratis, CSR/Certificate Signing Authority, EV/Extended Validation, HTTPS

La Sicurezza Informatica Per Linux

Comparare il livello di sicurezza tra sistemi “a software proprietario” (come MS Windows) e altri “a software libero” (Linux su tutti, lanciato nel 1994) è uno dei passatempo preferiti dagli addetti del settore, che senza soluzione di continuità propongono confronti, più o meno approfonditi, sulla validità delle 2 alternative disponibili sul mercato.

Il confronto relativo al livello di sicurezza informatica dei 2 sistemi è, come prevedibile, in continuo divenire, in balìa del numero di malware che ne minacciano la stabilità. Va da sé che le attenzioni della cyber-criminalità si concentrino in primis sul sistema operativo più diffuso, sul quale un attacco potrebbe causare il più alto livello di danni. Sempre dal punto di vista dei criminali virtuali i sistemi “preferiti” sono quelli più vecchi e “accentrati”, meno abili a contrastare in maniera rapida ed efficace i contagi.

sicurezza-microsoft-windows-linux

La rivoluzione portata sul mercato dai sistemi operativi Linux, affidatasi nel corso del tempo, riscuote migliori valutazioni in termini di sicurezza non solo dai portavoce online, ma anche dagli stessi singoli utenti più o meno esperti nel settore. Le soluzioni Linux, in grado di separare gli account degli utenti da quello degli amministratori, risultano quelle meno esposte a questo tipo di pericoli.

Le statistiche disponibili in Rete danno una chiara indicazione di quanto sia minore, per quanto riguarda Linux, il pericolo connesso agli attacchi mediante malware. Se anni fa Linux era una scelta fatta quasi esclusivamente da sviluppatori e utenti particolarmente esperti, oggi questo genere di soluzioni risulta essere particolarmente indicato anche a livello business, grazie alla possibilità di isolare il contagio rimuovendone gli effetti direttamente sul codice sorgente.

Linux, basato sul concetto di stretta collaborazione tra gli sviluppatori, garantisce una più rapida scoperta delle falle e una loro veloce rimozione. Tra le principali proprietà innovative di Linux dal punto di vista della sicurezza è bene citare il comando SUDO (Super User DO), mediante il quale una limitata schiera di utenti, specificati in un file .txt modificabile, potrebbe gestire il sistema in situazioni critiche dovendo confermare i comandi attraverso una password di conferma.

Lascia un commento

Archiviato in Attacchi Informatici/Crimine Informatico, Phishing & Malware, Sicurezza Connessioni, Sicurezza Reti Aziendali

Installare Un Certificato SSL Su IIS 7

Su richiesta di alcuni dei nostri lettori pubblichiamo oggi una rapida guida utile ad installare certificati di sicurezza SSL su server Microsoft IIS, in particolare nella versione 7.

IIS7

In caso di dubbi e/o problemi si consiglia di verificare la procedura d’installazione prevista dal libretto d’installazione del proprio server:

  1. seguire le indicazioni dell’e-mail con la quale è stato ricevuto il certificato SSL da installare, salvando il certificato dall’URL presente nell’e-mail sul desktop;
  2. scegliere il formato PKCS#7 (.p7b);
  3. accedere a “IIS 7 Manager” seguendo il percorso Start –> Strumenti Di Amministrazione –> Internet Information Services (IIS) Manager;
  4. selezionare il proprio server dal pannello;
  5. all’interno della consolle scegliere “Server Certificates”, presente all’interno della cartella “IIS”;
  6. dal pannello “Actions” selezionare “Complete Certificate Request” per accedere al Wizard;
  7. alla prima schermata visualizzata selezionare l’icona “…” e selezionare, dal desktop, il file contenente il certificato SSL (in basso cambiare il formato da *.cer a *.* in modo da poter visualizzare il file da caricare);
  8. selezionare e cliccare su “Open”;
  9. indicare, nel campo “Friendly Name”, il nome che si vuole dare al certificato, quindi cliccare su “OK”. In caso di errore accertarsi che l’installazione in corso sia effettuata sul server sul quale è stato creato precedentemente il CSR;
  10. tornare su “Internet Information Services (IIS) Manager”, selezionare il server sul pannello a sinistra e, da “Sites”, scegliere Default Web Site”. Da qui spostarsi sul lato destro del pannello e cliccare su “Bindings”;
  11. dalla finestra che si visualizzerà cliccare su “Add”, quindi nei campi “Type” scegliere “HTTPS” e in “IP Address” selezionare l’indirizzo IP dal menu a tendina;
  12. in basso, su “SSL Certificate”, selezionare il certificato SSL appena installato e fare “OK”;
  13. selezionare nuovamente la stringa “HTTPS” e cliccare su “Close”.

Lascia un commento

Archiviato in Certificati SSL, HTTPS, Installare Certificati SSL

20 Termini Letali Per I Filtri Anti Spam

FireEye ha pubblicato nei giorni scorsi la lista aggiornata relativa ai termini più usati dai criminali informatici nella denominazione dei files allegati alle proprie e-mail di spam, inoltrate in larga misura attraverso l’utilizzo di computer zombie.

parole-chiave-attacchi-spam-2012

“Notification” è una delle espressioni più usate per questo scopo, preferita da chi mette in atto questo genere di attacchi per via della connotazione di urgenza che esprime. Risulta importante anche la presenza di parole facenti riferimento al mondo finanziario (“report”), a quello della spedizione di merci e documenti (“dhl”, “delivery”, “shipping”, ecc.) e dei viaggi (“tickets”).

Con riferimento agli allegati, il formato più sfruttato (seppur in calo) resta essere il .zip (circa 77% dei casi rilevati); seguono a distanza considerevole i files .pdf e .exe, entrambi in discreto aumento numerico.

In generale questo tipo di minaccia informatica ha registrato nei primi 2 quadrimestri di quest’anno un incremento pari al 56%, specialmente dovuto alla crescente inefficacia degli strumenti difensivi adoperati all’interno dei dipartimenti di sicurezza IT. I sistemi in grado di scremare le e-mail in ingresso contenenti allegati sospetti (Signature Based Intrusion Detection System) soffrono il repentino cambio di strategia posto in essere dalla malavita virtuale; per porre rimedio a questa situazione è bene che i nuclei responsabili della sicurezza delle comunicazioni informatiche adeguino le proprie strutture rendendole più al passo coi tempi.

Il tema resta particolarmente importante in quanto ogni e-mail ingannevole potrebbe essere in grado con un solo click, se trattata con scarsa attenzione da parte del ricevente, di innescare una grave infezione al sistema in oggetto. L’elevata interconnessione esistente tra dispositivi fissi e mobili potrebbe propagare l’azione di virus anche a cellulari, tablets e smartphones, mettendo a rischio informazioni delicate e sensibili quali indirizzi e-mail e stradali, numeri di telefono, fotografie, ecc.

Pare, inoltre, che i criminali informatici abbiano iniziato a trarre ispirazione da siti di social networking, imitando lo stile grafico e comunicativo adoperato all’interno delle e-mail in questione.

Lascia un commento

Archiviato in Attacchi Informatici/Crimine Informatico, Phishing & Malware, Privacy, Sicurezza Mobile, Sicurezza Reti Aziendali