Il 21/10/20 10:00, Giovanni Biscuolo ha scritto:
Caro Roberto,
solo un paio di commenti "a caldo",
Roberto Resoli <roberto@resolutions.it> writes:
Il 20/10/20 17:00, Giovanni Biscuolo ha scritto: [...]
Roberto Resoli <roberto@resolutions.it> writes: [...] ... [...]
Rispetto a questo scenario, inoltre, l'attacco prospettato da Iovino non necessita "harvests Bluetooth beacon data from millions of users",
Sì, credo si riferisse all'attacco di re-identificazione
Non credo; entrambi gli attacchi 2.1 e 2.2 nel paper di Dehaye (re-identificazione e replay) prevedono la raccolta massiva di RPI. La verifica di fattibilità fatta da Iovino è fatta rigenerando gli RPI e modificando l'ora del telefono principalmente per non commettere reati (come giustamente sottolinei, la raccolta massiva sul campo di RPI è illegale). Lo chiarisce direttamente in questo tweet: https://twitter.com/vincenzoiovino/status/1312742967799615488?s=20 "Last but not least, questi replay Attack con macchina del tempo si ricorda sono usati per simulare un attacco reale senza fare cose ilelgali. L'attaccante reale piazza uno sniffer all'aeroporto dove ogni giorno numero infetti>1" Ciò non toglie che l'attacco "targeted" con modifica dell'ora del telefono sia comunque possibile, anche senza accesso fisico al dispositivo: https://github.com/google/exposure-notifications-internals/issues/19#issueco... "I did the attack outside the house of a "victim" (who was informed of the fact but a real attacker would not inform him). I just needed to know the password of the wifi and guess by several attempts the IP of his phone. The attack was successful. Similarly, you can do the attack in any place (bar, restaurant, bus stations, etc.) where people stay for 15 minutes and they are connected to a wifi to which you can also connect. So it is very doable. Users can notice it but is only for 15 minutes. Via another trick that we did not disclose yet, you can shorten the time to much less than 15 minutes." rob