Re: Possibile attacco quasi sempre di successo basato su socialengineeri

On Fri, 2003-05-16 at 16:19, giovambattista vieri wrote:
> On Tuesday 13 May 2003 03:25 pm, fabio macor wrote:
> > Pochi giorni fa ho fatto un test sulla mia lan aziendale
> >
> > Ho realizzato un messaggio e-mail fatto in questo modo:
> >
> > =================================
> > from : Amministrazione
> >
> > Subject: Ci sono alcuni problemi con il tuo stipendio
> >
> > Data:
> >
> Salve, a mio avviso la tua mail e' un capolavoro di social engineering.
> Personalmente ritengo che non vi sia molto da fare contro un simile tipo di 
> attacchi. 
> Purtroppo a quanto pare non e' piu' sufficiente proteggere un server con le 
> migliori tecniche di networking.... Bisogna anche preoccuparsi di questo tipo 
> di attacchi che sono tecnicamente nulli ma devastanti ai fini pratici.
> 
> Mi piacerebbe conoscere la vostra opinione... La mia purtroppo e' che ci sia 
> poco da fare.

Smettere di usare sistemi che inviano password (in chiaro o dentro
tunnel criptati fa lo stesso) e usare invece meccanismi di challenge
response, magari con tanto di certificato digitale su smartcard.

In questo modo non c'è pericolo di dare in giro una password per
sbaglio.

Simo.

-- 
Simo Sorce - simo.sorce@xsec.it
Xsec s.r.l. - http://www.xsec.it
via Durando 10 Ed. G - 20158 - Milano
mobile: +39 329 328 7702
tel. +39 02 2399 7130 - fax: +39 02 700 442 399

This is a digitally signed message part