Questa settimana in sicurezza: estensione della garanzia della tua auto, pignoramento del Fediverse e braccio MTE

Se hai risposto a tutte le chiamate spam che ho ricevuto io, probabilmente sentirai nel sonno la chiamata automatica truffa sulla garanzia: "Abbiamo cercato di contattarti riguardo all'estensione della garanzia della tua auto". Quella particolare operazione di robocall sta per esaurire i trimestri, poiché la FCC ha annunciato una multa di quasi 300 milioni di dollari contro quella particolare operazione. I truffatori avevano un elenco di 500 milioni di numeri di telefono e hanno effettuato oltre cinque miliardi di chiamate in tre mesi. Sono state violate numerose leggi, inclusi alcuni comportamenti davvero spregevoli come lo spoofing dell'ID chiamante del datore di lavoro, per cercare di convincere le persone a rispondere alla chiamata.

Ora, quella multa da record probabilmente non verrà mai pagata. Il gruppo di società agganciate per l'importo non esiste realmente in modo significativo. Gli individui dietro le truffe sono Roy Cox e Aaron Jones, che sono già stati multati in modo significativo e gli è stato vietato di effettuare chiamate di telemarketing. Nessuna di queste misure pose fine al problema, ma la Avid Telecom, la società che forniva il servizio telefonico, alla fine represse il progetto.

Ci sono alcuni trucchi in Mastodon. I messaggi diretti non sono crittografati end-to-end, i tuoi post sono visualizzabili pubblicamente e se l'operatore del tuo server viene attaccato dalle forze dell'ordine, i tuoi dati vengono coinvolti nel sequestro.

Il retroscena qui è che l'amministratore del server in questione aveva un problema legale non correlato ed è stato perquisito da agenti dell'FBI mentre lavorava su un problema con l'istanza Mastodon. Di conseguenza, quando gli agenti hanno sequestrato i dispositivi elettronici come prova, è stato sequestrato anche un backup del database dell’istanza. Sebbene i post di Mastodon siano ovviamente pubblici per natura, ci sono alcuni dati non pubblici che andranno persi. Gli indirizzi IP non sono esattamente fuori dalla portata delle forze dell'ordine, sono ancora informazioni personali che molti di noi preferiscono evitare di pubblicare. Poi ci sono le password con hash. Anche se è meglio delle password in chiaro, avere l'hash della tua password lì fuori che aspetta solo di essere forzato è un po' scoraggiante. Ma quello che fa davvero male è che Mastodon non ha la crittografia end-to-end per i messaggi privati.

Citrix è tornata a fare notizia, questa volta per un RCE nelle apparecchiature server Netscaler e Gateway. CVE-2023-3519 è stato utilizzato per la prima volta come 0-day a giugno e patchato il 18 luglio. L’RCE ha visto un utilizzo diffuso nel giro di un paio di giorni e ci sono almeno 640 sistemi compromessi in circolazione. Se disponi di uno di questi sistemi Citrix e non hai installato la patch entro il 20 luglio, vai avanti e supponi che sia compromesso.

Project Zero di Google ha messo le mani su alcuni hardware di pre-produzione che implementano le estensioni ARM Memory Tagging. Questo po' di magia di sicurezza mantiene alcuni metadati per ogni allocazione di memoria e gli accessi alla memoria utilizzano i primi quattro bit del valore del puntatore come chiave per quella memoria. Se la chiave del puntatore non corrisponde ai metadati, probabilmente si tratta di un accesso illecito e il programma può essere terminato con un segfault.

L’analisi in tre parti di questa tecnologia inizia con la questione dei canali laterali speculativi. MTE blocca Spectre e puoi usare qualcosa come Spectre per sconfiggerlo banalmente? La risposta ad entrambe le domande sembra essere un no. C'è un effetto collaterale interessante nell'usare i segfault per rafforzare la sicurezza della memoria: se un attacco può riscrivere il codice del gestore segfault, neutralizza la protezione MTE.

La seconda parte esamina quanto effettivamente MTE renda difficile il raggiungimento degli exploit. La risposta è, dipende. Nel caso di un exploit nel renderer di un browser, se un canale laterale in stile Spectre può essere utilizzato per rilevare le chiavi prima di lanciare il codice dell'exploit, MTE sarà probabilmente piuttosto facile da aggirare. Senza un canale laterale, diventa molto più difficile, in particolare se MTE funziona in modalità sincrona, dove l'errore viene generato immediatamente in caso di accesso non autorizzato alla memoria. Qualcosa come sfruttare il telefono da un SMS in arrivo? Da molto difficile a impossibile.

La terza parte esamina l'implementazione nel kernel Linux e i casi speciali e i problemi presentati. Uno dei più grandi è che ci sono parti del kernel in cui la gestione dei tag dei puntatori è semplicemente impossibile, quindi esiste una chiave principale nota che funziona sempre. E questo per non parlare di tutto l'accesso diretto alla memoria da altri bit hardware e altri problemi. Nel complesso, si tratta di un'interessante panoramica delle promesse e dei limiti della soluzione MTE di ARM.