Password Open E Sicurezza Web Server Myhome F452 - a me sembra una farsa

[gianni253]

Ripropongo qui un topic che nel forum "ufficiale" BTicino mi è stato "censurato" (leggasi "cancellato") per ben 2 volte, ed in gran fretta ....

In sostanza, si parla di un dispositivo BTicino ("Web Server", nella terminologia adottata) che serve da gateway tra il BUS domotico BTicino e la rete TCP/IP.

Grazie a questo dispositivo è quindi possibile controllare/gestire il proprio impianto domotico da un computer, magari anche attraverso la rete internet ....

In particolare si parla di come BTicino ha implementato la sua sicurezza.

Direte: bellissimo !!! Ma ... quali rischi si corrono ?

Siccome mi sembra un argomento di non secondaria importanza, fidando nello spirito sicuramente più aperto e democratico di questo forum, lo ripropongo qui.

Il fatto che il thread sia stato cancellato mi ha fornito tutte le spiegazioni per cercavo.

Vorrei condividerle con Voi.

A Voi le conclusioni ....

inizio del post

*****************************************************************************

La cosiddetta "password OPEN" serve per conferire sicurezza alle applicazioni sviluppate da BTicino ma non è utilizzabile da applicazioni custom, dal momento che i dettagli dell'handshaking SEQ1-SEQ2 non vengono divulgati da BTicino "per evitare che chiunque possa entrare nel tuo WS e controllare il tuo impianto domotico".

Mi sembra che sia questa la motivazione "ufficiale" addotta da BTicino.

A mio modesto avviso, questa giustificazione non regge:

il fatto che BTicino metta a disposizione una libreria/algoritmo per l'utilizzo della password OPEN anche da parte di applicativi di terze parti, non compromette assolutamente la sicurezza del Web Server, dal momento che LA SICUREZZA DOVREBBE ESSERE GARANTITA DALLA CONOSCENZA DELLA PASSWORD OPEN STESSA.

Ricorrendo ad un'analogia, gli algoritmi di cifratura AES, DES, triple DES sono tutti ben noti e pubblici, ma non per questo decade il loro valore.

Una buona sicurezza per l'autenticazione di un utente si dovrebbe infatti esclusivamente basare sulla SEGRETEZZA DELLA PASSWORD IMPOSTATA e non sulla segretezza dell'algoritmo (si pensi alla sicurezza delle reti wireless, al WPA-TKIP, al WPA2 ecc.).

Al contrario, è proprio l'utilizzo di quel meccanismo dei "range di indirizzi abilitati" che introduce una gravissima vulnerabilità.

Dando per scontato che il grande valore aggiunto di un sistema di telecontrollo dell'impianto domotico abbia senso solo quando CI SI TROVA FUORI CASA,

(per esempio quando uno sta in vacanza, o sta in viaggio per lavoro ecc. ), supponendo che un utente si compri il Web Server per questa finalità e lo voglia fare utilizzando un applicativo "custom", questo utente è obbligato ad abilitare l'indirizzo IP dell'host sul quale gira l'applicativo, ma questo è concettualmente errato per almeno 2 motivi:

1- nel 99% dei casi si tratterà di un ip dinamico

2- è proprio "aprendo" anche un solo ip che si crea una falla di sicurezza che consente a CHIUNQUE di "entrare in casa tua". E dico letteralmente "entrare", perchè se hai domotizzato anche gli accessi, ti aprono fisicamente il portone di casa.

Vi assicuro che, anche nell'improbabile ipotesi che abbiate abilitato un solo indirizzo ip (caso assai improbabile per il suddetto punto 1), scovare quest'indirizzo ed "impersonarlo" è un gioco da ragazzi (tanto più che la porta di ascolto del Web Server non è modificabile).

La sicurezza basata sull'indirizzo ip è una favola che può essere raccontata a chi non sa nulla dell'argomento.

Per chi non lo sapesse, anche la sicurezza basata sul MAC address (l'indirizzo fisico della scheda di rete) è facilmente aggirabile.

In sintesi, la mia impressione è una sola: Bticino, implementando questo perverso sistema di sicurezza, ha inteso conferire sicurezza solo ai propri applicativi,

NEGANDO INVECE QUESTA PREROGATIVA A TUTTI GLI APPLICATIVI SVILUPPATI DA TERZE PARI.

A questo punto, sorge spontanea la domanda: ma allora, cosa ce ne facciamo del sistema "pseudo aperto" OPEN WebNet se poi non lo possiamo usare?

Di fatto, negare la sicurezza a questo genere di applicativi è equivalente a negarne lo sviluppo.

Spero sinceramente di sbagliarmi e che qualche voce autorevole mi smentisca (e ci spieghi anche come sviluppare un applicativo veramente sicuro, senza dover ricorrere

ad altre infrastrutture tipo VPN ecc.)

*****************************************************************************

fine del post

[3bit-lorenzo]

Ripropongo qui un topic che nel forum "ufficiale" BTicino mi è stato "censurato" (leggasi "cancellato") per ben 2 volte, ed in gran fretta ....

Per correttezza di informazione dei lettori di questo forum, non me ne voglia il moderatore, la questione posta da gianni non solo non è stata censurata / cancellata, come da lui frettolosamente detto, ma è proseguita esattamente laddove l'ha scritta.

Siccome mi sembra un argomento di non secondaria importanza, fidando nello spirito sicuramente più aperto e democratico di questo forum, lo ripropongo qui.

Il fatto che il thread sia stato cancellato mi ha fornito tutte le spiegazioni per cercavo.

Chi fosse interessato a seguire il thread originale senza censure e con la partecipazione di chi ha ritenuto democraticamente di scrivere le proprie opinioni, può farlo a questo link.

Mi perdonino i moderatori se mi sono trovato costretto a rispondere a questo messaggio.

saluti

[FlavioG]

Confermo quanto dice Lorenzo, anche perché faccio parte anch'io della discussione e almeno che non me l'hanno "segata" sotto gli occhi e non me ne sono accorto siamo ancora là a scrivere.

Comunque, gianni, se vuoi possiamo parlarne anche qui di quel problema del web server e delle possibili soluzioni.

[del_user_56966]

Mi perdonino i moderatori se mi sono trovato costretto a rispondere a questo messaggio.

be non sei mica fuori tema, la domanda era mirata, quindi serve una risposta mirata..

2- è proprio "aprendo" anche un solo ip che si crea una falla di sicurezza che consente a CHIUNQUE di "entrare in casa tua". E dico letteralmente "entrare", perchè se hai domotizzato anche gli accessi, ti aprono fisicamente il portone di casa.

Riassumo le tue perplessità al riguardo, questo che si propende come apertura da un lato può essere un fattore positivo ma da quello della sicurezza

non lo è affatto, ciò che è pubblico e disponibile a tutti quindi se non sono prese misure mirate alla sicurezza non potrai mai proteggere un sistema,

tu dici che è semplice assumere un identità IP pensa se quanto è più semplice collegarsi al cavo di un bus in giardino...

fingersi un pacchetto di un sistema "aperto" se il protocollo è accessibile a tutti e facilmente sniffabile,

apertura di un sistema e sicurezza non vanno affatto in accordo fra loro...

Nel Myhome visto che è solo semi-aperto la protezione forse sta più nel lato chiuso ovvero sul bus interno che non è semplicemente violabile,

proprio perché è chiuso ecco perché per soluzioni di sicurezza lo preferirei ad altri...

ma considera che se è solo per accendere

una lampada non penso che nessun hackers si metta a perder tempo su queste cose...

Modificato: 27 ottobre 2009 da Aleandro2008

[Livio Orsini]

Mi perdonino i moderatori se mi sono trovato costretto a rispondere a questo messaggio.

I soli limiti ai messaggi su PLCForum sono imposti da:

1 - la legislazione vigente

2 - la buona educazione e le regole del vivere civile

3 - il regolamento di PLCForum

Tutto quello che non interferisce con questi tre vingoli ha diritto di pubblicazione.

[ffolks]

La debolezza del sistema, per quanto osservato da gianni253, sarebbe rappresentata dal fatto di non conoscere come avviene la codifica cifrata dell'handshaking SEQ1-SEQ2 con la chiave rappresentata da "password OPEN".

Gianni253 in linea di principio non ha torto, in quanto, come lo stesso ha anticipato, la fragilità di un sistema di criptaggio è data proprio dal fatto di tenere nascosto l'algoritmo di cifratura stesso.

La sicurezza o forza (inviolabilità) del cifrario deve essere contenuta esclusivamente nella chiave di cifratura (in questo caso la password OPEN) e non nel non fare sapere come l'algoritmo di cifra usi la chiave, per l'appunto, per cifrare e decifrare.

Tanto è vero che dal DES in poi, sino all'attuale sistema di cifratura a chiave privata singola, noto come AES, l'algoritmo di cifratura è aperto e noto a chiunque.

Un algoritmo di cifratura APERTO e PUBBLICO permette di verificare un'eventuale debolezza dello stesso (cr**k dell'algoritmo) e permette di intervenire al fine di renderlo più sicuro (non accade mai) o sostituirlo con un nuovo algoritmo di cifratura ( sempre, vedi il caso del DES, sostituito dal TripleDES).

Forse BTicino dovrebbe rendere noto l'algoritmo per dimostrarne/verificarne l'inviolabilità per chiudere definitivamente la diatriba.

La forza (sicurezza) di un sistema di cifratura risiede solo nella chiave, mai nell'algoritmo di cifratura/decifratura.

[del_user_56966]

Forse BTicino dovrebbe rendere noto l'algoritmo per dimostrarne/verificarne l'inviolabilità per chiudere definitivamente la diatriba.

Non penso che ticino debba dimostrare qualcosa a qualcuno, semmai se qualcuno pensa di bypassare delle sicurezze e lo vuole dimostrare

a campo libero per farlo, di solito fatto questo vengono pubblicati i risultati dell'intrusione e quindi l'inefficacia del sistema di sicurezza,

fintanto che qualcuno lo dice ma non lo fa... il sistema è da considerasi sicuro...

[ffolks]

La pubblicazione degli algoritmi di cifratura è una prassi, proprio per dimostrarne l'inviolabilità, così come riportato in innumerevoli pubblicazioni in merito agli standard crittografici e come accaduto per la selezione dell'AES.

Poi un produttore sceglie la politica commerciale che preferisce, ma deve anche accettare il fatto di ingenerare discussioni circa la sicurezza come quella che vedo in corso.

Modificato: 27 ottobre 2009 da ffolks

[del_user_56966]

ma deve anche accettare il fatto di ingenerare discussioni circa la sicurezza come quella che vedo in corso.

Non mi sembra che la discussione sia negata, ma per quanto mi riguarda le sicurezze che tu enunci sono da considerare per uso pubblico,

mentre quelle di sistemi non pubblici non vengono mai pubblicate, anzi i migliori sistemi di sicurezza sono sviluppati ad hoc per l'applicazione

e i dettagli tenuti altamente protetti, quindi differenzierei nettamente le due cose...

e come detto prima salvo le discussioni al riguardo prima si viola un sistema poi si dice che è critico,

questa è la procedura altrimenti tutti sarebbero potenziali hackers...

meno male che la maggior parte di questi riesce a violare solo quello di cui trova documentazione su Internet o tramite

quella legata al sistema...

[ffolks]

L' algoritmo di cifratura AES è pubblico.

Nessuno ad oggi è riuscito a violare la cifratura AES.

Le reti domestiche wifi che si hanno comunemente in casa implementano la cifratura AES (protocollo WPA 2 personal, cifratura AES o TKIP).

Esiste uno studio teorico su come violare l'AES scritto da Alex Biryukov e Dmitry Khovratovich, per chi volesse leggerlo, LINK

La sua relizzazione pratica richiede potenze di calcolo molto molto distanti dalle attuali .

Lo studio comunque riduce la possibilità di mettere in chiaro una cifratura AES a 256 bits da 2^119 a 2^110.5, come discusso da Bruce Schneier in questo LINK

Si può affermare che per i prossimi anni L'AES dovrebbe rimanere sicuro.

Per chi è appassionato dell'argomento, il NIST (National Institute of Standards and Technology) , ha già chiuso il concorso per la creazione di quello che sarà il nuovo algoritmo hash standard per la famiglia SHA per il 2012, l'SHA-3.

Da un punto di vista pratico, se gli utenti finali di un prodotto domotico, come quello oggetto della 'viva' discussione di questo topic, dovessero ritenere la sicurezza dell'accessibilità alla loro rete domotica un fattore imprescindibile, basterebbe inserire, da parte del produttore, un chip tipo Xmega , che al costo di pochi dollari ti fornisce la sicurezza AES implementata a livello hardware.

Così sarebbero tutti felici !!!

[del_user_56966]

Il problema delle cose pubbliche è proprio questo gli hackers disponendo di tutti i dettagli

sugli algoritmi fanno poi a gara a chi vi entra per primo in pratica più è difficile e più si divertono...

Risale infatti allo scorso Novembre la scoperta, l'annuncio che nel giro di 12-15 minuti

quello che era stato considerato, fino a quel momento, come un sistema di protezione molto solido è stato bucato.

ne più ne meno come fai tu adesso...

Da quel giorno il WPA non ha avuto più pace e, inaspettato come una pioggia a Dicembre, è arrivato l’annuncio da parte di due ricercatori giapponesi: “siamo riusciti a crackare il Wi-Fi Protected Access in un solo minuto!”

Il mondo informatico adesso esclama..."Adesso dobbiamo iniziarci a preoccupare seriamente!!"

Si può affermare che per i prossimi anni L'AES dovrebbe rimanere sicuro.

è quel Dovrebbe che non piace, ma salvo questo stiamo parlando solo di domotica che fa funzioni non di vitale importanza....

[gianni253]

ffolks ha centrato in pieno il cuore dell'argomento (e si vede che di sicurezza e crittografia se ne intende ...).

Ma vado oltre.

Il fatto che BTicino non intende documentare il processo di autenticazione sulla porta 20000 mi suscita molte perplessità:

1) non abbiamo nessuna prova che la password OPEN venga effettivamente utilizzata in questo processo, e questo implicherebbe l'esistenza di una backdoor ad esclusivo uso di BTicino;

2) se effettivamente la password OPEN deve essere "conosciuta" ed utilizzata per l'autenticazione (come tutti speriamo), perchè mai BTicino non dovrebbe rendere pubblico "come" utilizzare questa password per autenticarsi ?

Ad un utente straniero che tempo addietro chiedeva la documentazione di questo processo di autenticazione, il moderatore ha risposto testualmente:

"I understand your reason, but the algorithm is and will not declared.

If we declare it everyone could be able to use a client to controll every webserver, this is not so "good"..."

Voi come interpretate ?

Alla mia richiesta di chiarimento su questo punto, il moderatore mi ha risposto:

"Ti do l'algoritmo

Password di 5 cifre

In quanti tentativi mi guardi dentro il web server?

Se sono sfigato: 99999

Ti basta come spiegazione?"

Mi risponde praticamente che, essendo la password di default lunga 5 bytes, con al massimo 99999 tentativi si riesce ad indovinarla ...

Vi sembra una risposta che ha senso ?

Io dico che se un utente vuole lasciare la password di default, o non intende allungarla, o non intende complicarla ... sono affari suoi !

Aggiungo un piccolo inciso riguardo la "censura" che ho subito sul sito della bticino e che il moderatore ha qui smentito.

Io confermo tutto.

Il moderatore ha cancellato i miei due post.

Solo successivamente, dopo la mia denuncia in questo forum, lo ha reinserito e spostato dall'area "Web Server" (che mi sembrava la più appropriata, ed è specifica per questo genere di dispositivi) all'area "Development".

Lo si evince anche dal fatto che adesso nell'area "Development" ci sono 2 post da me originati con lo stesso titolo; uno risulta effettivamente "moved" ma l'altro no ... eppure io non ho mai postato in questa area !

Evidentemente ho toccato un argomento piuttosto delicato e scottante ... il moderatore si è molto agitato, mi ha dato dell'incivile ed i toni si sono alzati troppo per i miei gusti.

Motivo per cui ho deciso di abbandonare il confronto in quella sede e lasciare tutti più sereni e convinti nelle loro certezze.

Non so se posso linkare qui il thread della bticino ma, se il moderatore di plcforum me lo consente, lo faccio volentieri.

[Livio Orsini]

Non so se posso linkare qui il thread della bticino ma,...

gianni253, come ti ho già scritto in altra discussione, le tue diatribe personali con il forum di BTicino le devi risolvere in altra sede, non su questo forum.

Se a qualcuno interessa, ci sono già i dati sufficienti e necesari per andarsi a docucumentare direttamente sul forum in oggetto, e farsi la sua opinione.

L'oggetto della discussione è "Password Open e Sicurezza Web Server Myhome F452".

Sino ad ora i partecipanti alla discussione, hanno espresso i loro pareri tecnici sul dispositivo in oggetto e sulla sicurezza in generale.

La discussione non deve derogare da questa linea.

[gianni253]

La discussione non deve derogare da questa linea.

Ricevuto !

Chiedo scusa a tutti per la mia divagazione.

[ffolks]

Ciao Alen,

WPA e non WPA-2.

I 'ragazzacci' sono Toshihiro Ohigashi and Masakatu Morii.

Mi risulta violata solo la WPA a livello di pre-shared key.

Comunque basta usare una chiave a 63 caratteri random per risolvere il problema.

Per quanto riguarda WPA-2 niente da fare, è intatto.

Per maggiori dettagli LINK

[del_user_56966]

In linea di principio puoi avere ragione, la tua è una domanda legittima,

ma fatta la domanda come utente ti dovresti fermare, se proprio ritieni che vi siano dei backdoor sta a te

provarlo non all'azienda indistintamente da qualsiasi essa sia, già il fatto che tu non riesca a capire delle procedure se queste

non sono pubbliche può essere un notevole filtro per migliaia di potenziali tentativi di violazione,

In sicurezza quello che non conosce chi tenta di violare una rete è già un primo filtro,

mi suscita molte perplessità:

non abbiamo nessuna prova che la password OPEN venga effettivamente utilizzata in questo processo, e questo implicherebbe l'esistenza di una backdoor

Questo è lecito ma nessuno può obbligare un azienda a rilevare dei parametri giudicati di sicurezza se non strategici...

ad esclusivo uso di BTicino;

2) se effettivamente la password OPEN deve essere "conosciuta" ed utilizzata per l'autenticazione (come tutti speriamo), perchè mai BTicino non dovrebbe rendere pubblico "come" utilizzare questa password per autenticarsi ?

Semplicemente penso che che tu debba leggere il manuale utente e limitarti ad inserire la password non cercare di andare oltre

se poi sei esperto e vuoi cercare di violare una funzione di protezione sia che questo sia per la tua sicurezza personale sia per altri scopi..

non dovresti comunque contare sull'aiuto dell'azienda ma solo sulle tue capacità, ti ricordo che stiamo parlando di un sistema domotico

non di un conto bancario...

Ad un utente straniero che tempo addietro chiedeva la documentazione di questo processo di autenticazione, il moderatore ha risposto testualmente:

"I understand your reason, but the algorithm is and will not declared.

If we declare it everyone could be able to use a client to controll every webserver, this is not so "good"..."

Voi come interpretate ?

Mi sembra che nella risposta ci sia anche il motivo.. quindi il nesso!?...

Evidentemente ho toccato un argomento piuttosto delicato e scottante ... il moderatore si è molto agitato,

Secondo me l'unica cosa che c'è di sbagliato nella risposta è che poteva essere più semplice e mirata!

ovvero io ti avrei risposto semplicemente che "l'algoritmo non è pubblico"... e stop!...

Vedi ognuno di noi può avere delle opinioni diverse uno dall'altro ma questo fa parte del gioco, del mercato salvo questo

tu puoi obiettare che la politica di una data azienda non ti soddisfa e sceglierne altre ma

come ripeto spesso ultimamente le forzature non sono gradite da nessuno...

Poco tempo fa mi sono messo a discutere qui sul forum con Lorenzo e Flavio, Flavio in particolare mi spiegava la politica del Myhome

è devo dire che (salvo qualche paragone secondo me un po azzardato con i PLC) mi sembra corretta, per quanto ne so anche commercialmente vincente,

io avevo ricordo della programmazione a ponticelli, Flavio ha mostrato il programma con cui ora si possono sviluppare le logiche

non lo testato ma sembra un programma adatto al pubblico su cui è mirato il sistema, ora potrei capire le tue perplessità

se qualcuno vendesse il MyHome come sistema di sicurezza per banche ti potrei seguire, ma capito a cosa si riferisce

non capisco la tua necessità di sicurezza al 100%, magari l'utente è protetto dal lato Webserver

e poi come spesso accade la sua rete WI-FI è completamente aperta..

inoltre se un azienda ritiene opportuno non rilasciare delle informazioni è un suo diritto farlo, specialmente se ritiene

che questo garantisca ancora di più gli utilizzatori, è possibile anche un altra ipotesi, che non le rilasci "al primo che capita" ma solo

ai propri Partner e questo succede molto spesso in tutte le realtà!

Modificato: 28 ottobre 2009 da Aleandro2008

[del_user_56966]

WPA e non WPA-2.

Ma va!

ti sei perso l'ultima frase dove dici..

Si può affermare che per i prossimi anni L'AES dovrebbe rimanere sicuro.

io mi riferivo appunto al WPA-2 e al fatto che tu dica "dovrebbe" il che in fatto temporale non ci garantisce se non per ora...

[ffolks]

Sono i dubbi sui sistemi di sicurezza del tipo 'è mio e non te lo dico' che hanno scatenato il caso del chip " CLIPPER", sponsorizzato dall'amministrazione federale statunitense come sistema per garantire la sicurezza sulle linee dati, sia fossero fonia che digitali.

Il sistema era stato presentato come sicuro ed inattaccabile, ma di dati precisi, a livello di implementazione, non ne furono mai rilasciati.

Volevano metterlo in ogni telefono, fax, cellulare, modem, computer etc…

Alle pressanti richieste di informazioni circa la privacy degli utilizzatori, non rispondevano, se non con laconici "E' sicuro"

Un bel giorno, il solito "rompiballe" di turno, della categoria fatemi sapere come funziona, M. Blaze, matematico dei Laboratori Bell At&T, scoprì l'esistenza di una backdoor nel chip, su una porta secondaria.

Ergo, chi di dovere, poteva leggere ogni documento crittografato senza il bisogno di infrangere nessuna chiave (leggi: tu mettevi la password, ma tanto non serviva a niente)

Divulgata la notizia, le più grandi aziende americane e mondiali minacciarono di non comprare più computer americani conteneti il chip di controllo.

Alla fine il governo americano, sponsor del progetto clipper-chip, ritirò il sostegno all'iniziativa.

Il segretissimo, privatissimo algoritmo finì miseramente in soffitta

Ritengo pertanto lecito, se non quasi un diritto, sapere se, ad esempio, le telecamere di casa tua, collegate all'impianto domotico, possano essere accessibili a chiunque, con tutto quello che ne può conseguire.

[3bit-lorenzo]

Ciao Gianni,

mi trovo di nuovo sconsolatamente costretto tornare sull'argomento "censura":

ggiungo un piccolo inciso riguardo la "censura" che ho subito sul sito della bticino e che il moderatore ha qui smentito.

Io confermo tutto.

Il moderatore ha cancellato i miei due post.

Solo successivamente, dopo la mia denuncia in questo forum, lo ha reinserito e spostato dall'area "Web Server" (che mi sembrava la più appropriata, ed è specifica per questo genere di dispositivi) all'area "Development".

Lo si evince anche dal fatto che adesso nell'area "Development" ci sono 2 post da me originati con lo stesso titolo; uno risulta effettivamente "moved" ma l'altro no ... eppure io non ho mai postato in questa area !

Evidentemente ho toccato un argomento piuttosto delicato e scottante ... il moderatore si è molto agitato, mi ha dato dell'incivile ed i toni si sono alzati troppo per i miei gusti.

Motivo per cui ho deciso di abbandonare il confronto in quella sede e lasciare tutti più sereni e convinti nelle loro certezze.

Non so se posso linkare qui il thread della bticino ma, se il moderatore di plcforum me lo consente, lo faccio volentieri.

Essendo io il moderatore di quel forum, e facendolo per lavoro, non per diletto, penso di avere anche l'autorità di poter decidere con cognizione di causa se spostare un argomento da un forum ad un altro.

Non si può parlare di censura se io prendo un topic e dall' area "Web Server" lo sposto in "Development Software", poiché ritengo che quella sia l'area appropriata. Tutte le discussioni precedenti sul tema sono in quel "contenitore", magari poi se mi metto a spulciare mi accorgo di non averle spostate tutte.

Successivamente, visto che sbraitavi, ho fatto una cosa semplicissima, aggiungendo nel forum "Web Server" il fatto che la discussione era stata spostata.

Solo questo dovrebbe dimostrarti che non c'è censura, che hai libertà di critica, che altri utenti possono partecipare e dire la loro.

Ti sfido a trovare un solo argomento, critica, discussione anche accesa, dove è stata modificata una sola virgola.

Quel canale di comunicazione è aperto a tutto, come ha scritto Livio sta al buon senso e all'educazione degli utenti il fatto che venga "moderato" da un moderatore.

Se mi pubblichi 2 messaggi IDENTICI, il secondo si, te lo cancello. Ma è censura???

Io non mi sono agitato, al massimo quello che da l'idea di essere poco sereno, anche visto i toni usati qui fu PLC Forum, è chi parla di censura.

Mi auguro che questo discorso sia chiuso, qui e altrove.

Altrove ti aspetto serenamente per ascoltare i tuoi consigli in tema di sicurezza.

Ma vado oltre.

Il fatto che BTicino non intende documentare il processo di autenticazione sulla porta 20000 mi suscita molte perplessità:

1) non abbiamo nessuna prova che la password OPEN venga effettivamente utilizzata in questo processo, e questo implicherebbe l'esistenza di una backdoor ad esclusivo uso di BTicino;

2) se effettivamente la password OPEN deve essere "conosciuta" ed utilizzata per l'autenticazione (come tutti speriamo), perchè mai BTicino non dovrebbe rendere pubblico "come" utilizzare questa password per autenticarsi ?

Ad un utente straniero che tempo addietro chiedeva la documentazione di questo processo di autenticazione, il moderatore ha risposto testualmente:

"I understand your reason, but the algorithm is and will not declared.

If we declare it everyone could be able to use a client to controll every webserver, this is not so "good"..."

Voi come interpretate ?

Alla mia richiesta di chiarimento su questo punto, il moderatore mi ha risposto:

"Ti do l'algoritmo

Password di 5 cifre

In quanti tentativi mi guardi dentro il web server?

Se sono sfigato: 99999

Ti basta come spiegazione?"

Mi risponde praticamente che, essendo la password di default lunga 5 bytes, con al massimo 99999 tentativi si riesce ad indovinarla ...

Sono disarmato di fronte ad una simile cocciutagine... oltre che parzialità nel riportare le informazioni.

Penso che quanto scritto da Alessandro basti a chiudere la questione, ma vado oltre e spero di farlo nel bene di questo scambio di informazioni.

Rispondendo a te, rispondo anche ad Alessandro, ffolks, e chiunque legga questo topic circa algoritmo, password, etc.

Il fatto di farlo qui, in territorio neutro, spero renda l'idea che sono qui per confrontarmi e non per nascondermi.

Altrimenti potevo benissimo lasciarvi discutere e parlare bene/male.

Algoritmo e password per la comunicazione con un web server MyHome sono stati pensati alla loro origine per essere implementati nei software di configurazione.

Allora la necessità era semplice: da rete LAN accedere al WS, verificare che l'utente che configurava era colui che lo doveva fare inserendo una password identificativa (chiamiamola "password open").

Quindi, la scelta era tra l'implementazione di un algoritmo a chiave pubblica e uno a chiave privata.

Il primo ha delle complessità "x" e un grado di sicurezza certamente più elevato.

Il secondo ha una complessità inferiore e certamente un grado di sicurezza con dei vincoli.

La scelta ricadde sul secondo. Non penso che ci sia da spiegare perché e mettersi qui a criticare o meno la scelta.

Cosa comporta questa scelta, in termini semplici, senza perderci in teorie dei sistemi?

Che la sicurezza della comunicazione è garantita finché l'algoritmo resta segreto, così come deve essere segreta la password.

Quindi, l'utente HA LA RESPONSABILITA' di scegliere una password diversa da quella di default.

E' inutile disporre di un servizio di password se poi lascio "lorenzo1977" invece di "#l*7eR3c-oo" .

Quindi:

- Web Server da usare come gateway e da configurare in LAN

- Software di configurazione usato da chi conosce la password configurata sul Web Server (nella prima connessione sarà quella di default)

- Password di default che deve essere modificata dall'utente da "12345" a una di nove cifre

Fin qui ci siamo?

Se io divulgo l'algoritmo, per quanto detto, in pratica ho azzerato del tutto la sicurezza.

Ecco perché ti ho scritto che con un massimo 99999 tentativi entro nel web server usato come gateway se conosco l'algoritmo.

Questa è la risposta alla tua seconda domanda.

Se questo non è chiaro possiamo pure finirla qui.

Sulla prima domanda

1) non abbiamo nessuna prova che la password OPEN venga effettivamente utilizzata in questo processo, e questo implicherebbe l'esistenza di una backdoor ad esclusivo uso di BTicino;

Qui o ti fidi oppure non ti fidi.

In questo secondo caso stai implicitamente pensando che BTicino non è un'azienda seria e mente ai suoi clienti.

Quindi, o siamo scemi fino nel midollo, oppure sei malfidente più del dovuto e ritorno a chiederti perché ti fidi ad avere un conto in banca.

Il perché l'algoritmo sia a "nostro esclusivo" uso spero ti sia finalmente chiaro, così come ti avevo già abbondantemente spiegato altrove.

E' usato nei software di configurazione e per quello serve. Lo usa non Bticino, ma il cliente o l'installatore che configura il proprio Web Server.

Se mi entra in casa il ladro e questo ha pure voglia di giocare con il mio web server, direi che il reato è già stato fatto nel momento in cui il ladro è entrato in casa.

Se decidi di supervisionare la casa da remoto, usi una VPN .

Non si può imputare a Bticino la responsabilità che un utente lasci una pwd di default, oppure che questa sia troppo facile, oppure che l'utente lasci le chiavi di casa sua attaccate alla porta o la lasci proprio aperta.

Sicuramente Ale e fflocks ne possono sapere più di me, io ho in mete 1 gateway ethernet modbus, mostratomi da un system integrator.

Non esisteva password o algoritmo di alcun genere.

Se si prendeva questo oggetto e lo si esponeva in WAN la sicurezza era demandata a chi lo esponeva in rete.

In questo, davvero, non ci vedo nulla di fantascientifico.

Per il resto mi trovo felicemente sorpreso nel poter quotare in toto quanto scritto da Alessandro2008

Ciao

Lorenzo

[del_user_56966]

Un bel giorno, il solito "rompiballe" di turno, della categoria fatemi sapere come funziona, M. Blaze, matematico dei Laboratori Bell At&T, scoprì l'esistenza di una backdoor nel chip, su una porta secondaria.

Si ma vedi bene che c'è voluto una persona di alta cultura tecnica per capire come entrare, oltremodo penso che non avrebbe pubblicato su internet

un programma per tutti...

Ora non penso che Mr. Blaze interessi qualcosa di entrare nel sistema myHome, semmai sono altri di livello diverso che in forte quantità e con le giuste

"Istruzioni d'uso" vorrebbero entrare nel sistema e poi per prima cosa pubblicare come!..

Quindi come dicevo prima non è impossibile, ma solo che avere già un filtro che limiti da migliaia di curiosi a 1 o 2 persone particolari (e che non è detto

che si perdano in queste cose..) i possibili intrusi, mi sembra già una forte garanzia!

Ma poi dico!,

una volta che è detto "è mio e me lo tengo" si dovrebbe capire che è l'ora di smettere di insistere!!

per quelli "bravi" è l'ora di provare a entrare!......

Ps: le telecamere di solito non sono in camera e in bagno sono puntate all'ingresso e sulle aree esterno casa quindi sai che visione!..

[3bit-lorenzo]

"ffolks"+-->

CITAZIONE("ffolks")

Se ritieni che l'uso di una VPN tra il mio iPhone o PC in ufficio e il modem router di casa mia possa in qualche modo non essere sicura, allora credo che la risposta sia scontata.

Se consideriamo l'algoritmo in questione, confinato nel suo campo di applicazione, ovvero la rete LAN di casa, allora penso di poter dormire sereno..

o forse no, visto che non scoprirò mai l'amante di mia moglie in casa mia

ciao

[del_user_56966]

Per il resto mi trovo felicemente sorpreso nel poter quotare in toto quanto scritto da Alessandro2008

Aleandro, non Alessandro non c'è verso di farsi chiamare per nome...

Penso che quanto scritto da Alessandro basti a chiudere la questione,

Comunque devo dire che sei molto ottimista...

[3bit-lorenzo]

Aleandro+-->

CITAZIONE(Aleandro)

hihihihi..

deformazione familiare

[gianni253]

Sono disarmato di fronte ad una simile cocciutagine... oltre che parzialità nel riportare le informazioni.

In primo luogo mi limiterei ad argomentazioni tecniche, e non a valutazioni personali alle quali non intendo rispondere (qui non c'è un moderatore ?)

Ora parliamo di cose tecniche.

Che la sicurezza della comunicazione è garantita finché l'algoritmo resta segreto

Rileggiti con attenzione quello che ffolks ha spiegato molto bene su AES.

Se io divulgo l'algoritmo, per quanto detto, in pratica ho azzerato del tutto la sicurezza.

Ecco perché ti ho scritto che con un massimo 99999 tentativi entro nel web server usato come gateway se conosco l'algoritmo.

Attenzione, occore fare chiarezza su cosa intendiamo per "algoritmo": in realtà quello che io chiedo è semplicemente che il dispositivo, quando siamo alla fase di autenticazione (quella che in BTicino chiamate SEQ1-SEQ2), mi chieda: qual'è la password ? Io rispondo con la password corretta e lui mi consente di proseguire con la sessione.

Quello che io chiedo è questo e solo questo. Non mi sembra una cosa fuori dal mondo !

Ora, se impostiamo una password molto lunga e complicata, mi spieghi perchè questo meccanismo dovrebbe "azzerare del tutto la sicurezza" ?

A me non interessa come BTicino tratti/memorizzi questa password, non è questo l'algoritmo che mi interessa.

A me interessa semplicemente poter utilizzare la mia password.

[at]Aleandro

Semplicemente penso che che tu debba leggere il manuale utente e limitarti ad inserire la password non cercare di andare oltre

E' proprio quello che desidererei fare, ma l'utilizzo della password è ad esclusivo appannaggio di BTicino.

Modificato: 28 ottobre 2009 da gianni253

[del_user_56966]

E' proprio quello che desidererei fare, ma l'utilizzo della password è ad esclusivo appannaggio di BTicino.

Ti faccio un esempio,

nella mia poca conoscenza in materia di password dire che la password di Microsoft è di esclusivo appannaggio della stessa,

mi sembra giusto che sia cosi, anche se poi non protegge più di tanto per altri motivi, quindi l'andare a cercare informazioni

sulla sicurezza, ma ancora di più il farlo tramite un forum pubblico può mettere in imbarazzo un azienda che cerca sempre

di dare delle risposte ai propri clienti... rimanendo nei limiti di ciò che serve per installare e utilizzare correttamente il prodotto

che distribuisce, se io volessi dei dati ulteriori a quelli che l'azienda ritiene opportuno dare ( cosa che faccio costantemente.. )

non ti chiedi se l'interlocutore a la possibilità di dare quelle informazioni senza un esplicita autorizzazione aziendale,

non ti chiedi se questi dati vengono dati si, ma solo a chi collabora a certi sviluppi per loro conto

infine non ti chiedi se la risposta è già stata data e anche se questa non corrisponde alle tue aspettative e pur comunque

una risposta e quindi non dovresti porre di nuovo la stessa domanda?

Quello di cui mi convinco ancora di più dai vari topic che al contrario di quello che si dice, il non conoscere questi codici sia un ottimo

filtro e che l'azienda fa bene a non divulgare informazioni che possano compromettere questa sicurezza...

Ora penso che la lista delle risposte possibili per dire semplicemente "non è documentazione pubblica" sia esaurito

quindi se ritenete opportuno fate la stessa domanda per l'ennesima volta...