Buongiorno Roberto e nexiane, grazie mille Roberto della segnalazione! Ho dato una rapida occhiata nei miei archivi e non mi pare che questa _specifica_ vulnerabilità sia stata segnalata prima in questa lista, anche se è il replay attack è chiaramente segnalato come possibile vulnerabilità in almeno un paio di paper girati qui sul tema. Roberto Resoli <roberto@resolutions.it> writes:
Il 19/10/20 11:55, Roberto Resoli ha scritto:
[...]
Vedo che l'autore è Vincenzo Iovino, ricercatore all'università di Salerno, che ha anche pubblicato al riguardo un articolo su agendadigitale.eu:
https://www.agendadigitale.eu/sicurezza/privacy/replay-attack-contro-immuni-...
In buona sostanza si tratta *solo*, e sottolineo _solo_, di una simulazione "casalinga" di un replay attack (auto inflitto o verso terzi fa poca differenza): complimenti a Iovino che ha sviluppato il proof-of-concept e lo ha attuato con strumenti alla portata di molti con le necessarie competenze. Il commento ufficiale di Immuni [1] dice che non ci possono far nulla perché si tratta di un problema di GAEN: comodo eh! :-D Da quanto leggiamo, qundi, è altamente probabile che tutte le applicazioni che usano GAEN sono vulnerabili a questo attacco: cosa si starà dicendo in Germania o altri paesi "interoperabili" di 'sta cosa?!? Tutto tace. In Svizzera a quanto pare la "Swiss cybersecurity agency" e la "Swiss public health authority" hanno dichiarato [2] che due attacchi evidenziati da una analisi dei soliti Serge Vaudenay e Martin Vuagnoux, tra cui il replay attack, sono improbabili. In *teoria*, ma è ovvio che nessuno lo vorrà mai fare, un attacco del genere è alla portata di chi può installare sufficienti beacon bluetooth e usare "fake base station" [3] per coprire aree pubbliche molto frequentate. Però è ovvio che nessuno lo vorrà mai fare, sarebbe assurdo no? Teorire paranoiche (?!?) a parte, la cosa interessante (triste?) è che i rompiscatole come Iovino et al. non si sono limitati a segnalare ma hanno fornito interessanti contributi per trovare le migliori soluzioni ai problemi riscontrati, ma *pare* siano stati inascoltati... o meglio: "non possiamo farci niente, rivolgetevi all'ufficio reclami"... alla faccia del software libero. Ora veniamo al nocciolo della questione: tutto questo era AMPIAMENTE noto [3] prima del 20 Maggio, giorno in cui Vittorio Bertola ha aperto la issue #58: https://github.com/immuni-app/immuni-documentation/issues/58 (issue tuttora in stato "open") Sostanzialmente la issue segnala questo paper: https://down.dsg.cs.tcd.ie/tact/replay.pdf «A Coronavirus Contact Tracing App Replay Attack with Estimated Amplification Factors» pubblicata il 19 Maggio 2020 da due ricercatori del Trinity College di Dublino. Se proprio avete lo stomaco, vi invito a dare un'occhiata al thread scaturito in quella issue, giusto per rendervi conto coi vostri occhi del tenore delle risposte ricevute. Se non avete lo stomaco e avete il coraggio di fidarvi di me, posso solo dirvi che al netto di trolleggiamenti vari quella issue conferma che il problema è "irricevibile" da Immuni perché SAREBBE risolvibile solo mettendo mano a GAEN. Inoltre in quella issue non mancano le solite critiche al fatto che un tipo di attacco del genere non gioverebbe a nessuno e quindi possiamo tranquillamente ignorarlo. Saluti, Giovanni. [...] [1] https://github.com/immuni-app/immuni-app-android/issues/278#issuecomment-699... [2] https://deepai.org/publication/swisscovid-a-critical-analysis-of-risk-assess... [3] sono illegali ma fattibili https://www.blackhat.com/docs/eu-15/materials/eu-15-Borgaonkar-LTE-And-IMSI-... chi non le sa fare le può acquistare già belle che fatte al costo di una decina di migliaia di EUR: https://yatebts.com/products/satsite/ -- Giovanni Biscuolo