October 2021 - nexa - server-nexa.polito.it

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Roberto Resoli

Il 27/10/21 13:47, Roberto Resoli ha scritto: > Il 27/10/21 13:08, Stefano Quintarelli ha scritto: >> e' una sola coppia di chiavi ? > > Quelle compromesse imho sono almeno due: >>> >>> Stefano Zanero, docente di computer security e informatica forense al Politecnico di Milano, ha commentato pubblicamente in questo modo: “che si sia trattato di un leak o quantomeno di un abuso di chiavi di firma non è che sia discutibile, è abbastanza evidente.> >> Già. Al momento per quanto posso capire i GP a nome AH con anno di nascita 1900 non sono più verificati da VerificaC19 (regole aggiornate alle 11:30). E' quello che appare emesso da "CNAM" (l'autorità francese). >> >> Rimane valido (almeno per la mia app) quello con anno 1930, che appare emesso da "PL". >> > > Quindi stamattina apparentemente una chiave è stata ritirata, l'altra è ancora attiva in questo momento. Probabilmente sono in corso analisi di impatto. Ora anche AH-1930 non valida più. rob

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Roberto Resoli

Il 27/10/21 13:08, Stefano Quintarelli ha scritto: > e' una sola coppia di chiavi ? Quelle compromesse imho sono almeno due: >> >> Stefano Zanero, docente di computer security e informatica forense al Politecnico di Milano, ha commentato pubblicamente in questo modo: “che si sia trattato di un leak o quantomeno di un abuso di chiavi di firma non è che sia discutibile, è abbastanza evidente.> > Già. Al momento per quanto posso capire i GP a nome AH con anno di nascita 1900 non sono più verificati da VerificaC19 (regole aggiornate alle 11:30). E' quello che appare emesso da "CNAM" (l'autorità francese). > > Rimane valido (almeno per la mia app) quello con anno 1930, che appare emesso da "PL". > Quindi stamattina apparentemente una chiave è stata ritirata, l'altra è ancora attiva in questo momento. Probabilmente sono in corso analisi di impatto. rob

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Stefano Quintarelli

e' una sola coppia di chiavi ? On 27/10/21 13:04, Antonio Iacono wrote: >> non vorrei essere nei panni del "burlone" che ha fatto questa cavolata > > burlone sì, ma immagino fesso no. > In quanti sono a conoscere le chiavi private di questi certificati in > Europa, 100, 1000 > e vuoi tra questi non ce ne siano di "burloni"? > La chiave privata è una stringa di poco più di 1600 caratteri, nulla, > un copia/incolla. > Puoi usare un qualsiasi sistema leaks (ultimamente anche Wired ne ha uno [1]) > ovviamente dietro Tor e diffonderla, nessuno ti troverà mai. > Una volta si diceva il "segreto di Pulcinella". > > A. > > [1] https://www.wiredleaks.it/ > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Antonio Iacono

> non vorrei essere nei panni del "burlone" che ha fatto questa cavolata burlone sì, ma immagino fesso no. In quanti sono a conoscere le chiavi private di questi certificati in Europa, 100, 1000 e vuoi tra questi non ce ne siano di "burloni"? La chiave privata è una stringa di poco più di 1600 caratteri, nulla, un copia/incolla. Puoi usare un qualsiasi sistema leaks (ultimamente anche Wired ne ha uno [1]) ovviamente dietro Tor e diffonderla, nessuno ti troverà mai. Una volta si diceva il "segreto di Pulcinella". A. [1] https://www.wiredleaks.it/

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Stefano Quintarelli

certo, questo e' il problema non vorrei essere nei panni del "burlone" che ha fatto questa cavolata On 27/10/21 12:39, Roberto Resoli wrote: > Il 27/10/21 12:33, Stefano Quintarelli ha scritto: >> e' riconosciuto un solo certificato di firma o sono tanti ? >> se sono tanti, potrebbe essere stato un operatore burlone in uno di questi ? (e alla >> prima sincronizzazione il certificato di firma non e' riconosciuto piu' come valido ?) >> >> certo che ci possono essere documenti farlocchi. basta che chi li produce li farlocchi >> in origine. vale per tutto... >> >> una volta, in viaggio in sudamerica, uno zelante funzionario di una polizia di frontier >> mi offri' a prezzo modesto un passaporto originale... >> >> ciao, s. > > Temo che il problema sia assai più grave ... > > come noto non è possibile revocare singoli GP, ma solo invalidare (ritirare) le > chiavi con cui sono stati firmati. Non ho idea sinceramente di quante siano queste chiavi, > ma invalidarne una significa togliere validità all'intero lotto di GP firmati con quella. > > https://nitter.1d4.us/jaromil/status/1453255678714335232?s=20 > > rob > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Roberto Resoli

Il 27/10/21 12:33, Stefano Quintarelli ha scritto: > e' riconosciuto un solo certificato di firma o sono tanti ? > se sono tanti, potrebbe essere stato un operatore burlone in uno di questi ? (e alla prima sincronizzazione il certificato di firma non e' riconosciuto piu' come valido ?) > > certo che ci possono essere documenti farlocchi. basta che chi li produce li farlocchi in origine. vale per tutto... > > una volta, in viaggio in sudamerica, uno zelante funzionario di una polizia di frontier mi offri' a prezzo modesto un passaporto originale... > > ciao, s. Temo che il problema sia assai più grave ... come noto non è possibile revocare singoli GP, ma solo invalidare (ritirare) le chiavi con cui sono stati firmati. Non ho idea sinceramente di quante siano queste chiavi, ma invalidarne una significa togliere validità all'intero lotto di GP firmati con quella. https://nitter.1d4.us/jaromil/status/1453255678714335232?s=20 rob

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Stefano Quintarelli

e' riconosciuto un solo certificato di firma o sono tanti ? se sono tanti, potrebbe essere stato un operatore burlone in uno di questi ? (e alla prima sincronizzazione il certificato di firma non e' riconosciuto piu' come valido ?) certo che ci possono essere documenti farlocchi. basta che chi li produce li farlocchi in origine. vale per tutto... una volta, in viaggio in sudamerica, uno zelante funzionario di una polizia di frontier mi offri' a prezzo modesto un passaporto originale... ciao, s. On 27/10/21 12:02, Michele Pinassi wrote: > In ogni caso, invalidare i due certificati non risolve il problema, nel > caso ci sia stato -come sembra molto probabile- un abuso nell'uso delle > chiavi private. Chissà quanti altri green pass "farlocchi" ci sono in > giro... > > MP > > Il 27/10/21 11:43, Roberto Resoli ha scritto: >> Il 27/10/21 09:00, Alberto Cammozzo via nexa ha scritto: >>> >>> Stefano Zanero, docente di computer security e informatica forense al >>> Politecnico di Milano, ha commentato pubblicamente in questo modo: >>> “che si sia trattato di un leak o quantomeno di un abuso di chiavi di >>> firma non è che sia discutibile, è abbastanza evidente.” >> >> Già. Al momento per quanto posso capire i GP a nome AH con anno di >> nascita 1900 non sono più verificati da VerificaC19 (regole aggiornate >> alle 11:30). E' quello che appare emesso da "CNAM" (l'autorità francese). >> >> Rimane valido (almeno per la mia app) quello con anno 1930, che appare >> emesso da "PL". >> >> rob > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Michele Pinassi

In ogni caso, invalidare i due certificati non risolve il problema, nel caso ci sia stato -come sembra molto probabile- un abuso nell'uso delle chiavi private. Chissà quanti altri green pass "farlocchi" ci sono in giro... MP Il 27/10/21 11:43, Roberto Resoli ha scritto: > Il 27/10/21 09:00, Alberto Cammozzo via nexa ha scritto: >> >> Stefano Zanero, docente di computer security e informatica forense al >> Politecnico di Milano, ha commentato pubblicamente in questo modo: >> “che si sia trattato di un leak o quantomeno di un abuso di chiavi di >> firma non è che sia discutibile, è abbastanza evidente.” > > Già. Al momento per quanto posso capire i GP a nome AH con anno di > nascita 1900 non sono più verificati da VerificaC19 (regole aggiornate > alle 11:30). E' quello che appare emesso da "CNAM" (l'autorità francese). > > Rimane valido (almeno per la mia app) quello con anno 1930, che appare > emesso da "PL". > > rob -- Michele Pinassi - Responsabile Cybersecurity Ufficio esercizio e tecnologie - CSIRT Università degli Studi di Siena irt(a)unisi.it

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Roberto Resoli

Il 27/10/21 09:00, Alberto Cammozzo via nexa ha scritto: > > Stefano Zanero, docente di computer security e informatica forense al Politecnico di Milano, ha commentato pubblicamente in questo modo: “che si sia trattato di un leak o quantomeno di un abuso di chiavi di firma non è che sia discutibile, è abbastanza evidente.” Già. Al momento per quanto posso capire i GP a nome AH con anno di nascita 1900 non sono più verificati da VerificaC19 (regole aggiornate alle 11:30). E' quello che appare emesso da "CNAM" (l'autorità francese). Rimane valido (almeno per la mia app) quello con anno 1930, che appare emesso da "PL". rob

Oct. 27, 2021

Re: [nexa] https://attivissimo.blogspot.com/2021/10/perche-questi-codici-qr-sembrano-green.html?m=1

by Giacomo Tesio

Fantastico! :-D On Wed, 27 Oct 2021 07:00:50 +0000 Alberto Cammozzo via nexa wrote: > "dt":"2021-10-01", Assumendo che gli hacker[1] non abbiano voluto strafare, immettendo nel sistema green pass contenenti vaccinazioni future, quel documento è in circolazione da una ventina di giorni. Quale sarà il primo citrullo a sostenere che sono stati i primi e gli unici ad ottenere le chiavi private? > in ogni caso il green pass avrebbe perso ogni credibilità presso > l’opinione pubblica Da ormai qualche anno Paolo Attivissimo è in prima fila a sostenere qualsiasi forma di soluzionismo tecnologico del Covid. A quanto ricordo, ha iniziato con Immuni e SwissCovid. Insomma, questo è in realtà un auspicio: che la perdita di credibilità si limiti al Green Pass, non estendendosi a tutte le sciocchezze che propaganda. Giacomo [1] si tratta infatti di un hack in piena regola: se avessero voluto semplicemente far TANTI soldi, avrebbero potuto vendere Green Pass validi in tutta Europa a 5 euro l'uno. Invece hanno fatto in modo di diffondere la conoscenza acquisita.

Oct. 27, 2021