Sebbene ci sia qualcuno che nei commenti del blog parla di EU certificate piu' o meno bucato non ci sono, a mio giudizio, significative novita'.
E' troppo presto per parlarne con dati.
Vediamo di capire come funziona un sistema di firma asimmetrica PRENDENDOMI UN PO DI LARGHI, cosi' capiscono anche quelli non del settore.
Inoltre non ho guardato il sorgente, non penso che sia una roba interessante.
Io uso un “numero” (chiave privata) che userò per codificare o firmare una cosa, es “pippo”, che diventera' una cosa come “erewferewf”
Dal mio “numero” derivo un affare “numero2” (chiave pubblica) che mi permette di trasformare “erewferewf” in “pippo", ma non il viceversa.
La cosa non e' attaccabile perche' se anche ho entrambi per provare quale chiave funziona per la traduzione se e' anche di 128 bit si tratta di un numero di tentavi stellare.
Solitamente le “chiavi” che uso per verificare sono gestite da un ente terzo (CA).
Cosi' quando cerco di verificare chiedo alla CA la firma pubblica e chiedo se e' valida, se non lo e' ciccia. In passato si sono uccise migliaia di firme per compromissione e addirittura CA intere.
Non e' quindi roba nuova o un problema particolare.
Immagino quindi che il sistema vaccinale (da ora EUC) avra' una pletora di certificati rilasciati dalla CA per ogni stato, potrebbe essere uno per provincia, uno per mese eccetera.
Quindi in caso di compromissione della chiave basta uccidere sulla CA la stessa (cosa che verra' notata dai dispositivi online, adesso hai capito perché usare un cellulare e non un affare piu' semplice) invalidando il QR frutto della stessa.
Al possessore dell'EUC bastera' riscaricarlo il giorno dopo firmato con una nuova firma. Noioso, ma semplice.
Salvo che si faccia uso di cannabis da parte dei progettisti sfondare sta roba e' abbastanza improbo.
Perché io potrei anche mettere le mani sul server EU, esserne amministratore, ma non sarei in grado di produrre un EUC comunque.
Per farlo mi serve non solo il SW, ma anche la chiave privata che viene mandata al gestore del sistema informatico che produce i QR. In pratica ad un piccolo pool di persone facilmente identificabili, salvo che qualcuno faccia uso di sostanze.
Ecco perche' le cose non tornano.
Per esempio il bravo flora prima racconta bla bla, poi chiude quasi con “hanno usato la magia” che non e' nel suo stile.
I casi sono 2
o non lo sa.
O non puo' dirlo perché il buco e' maledettamente grosso che anche un lamer puo' usarlo.
Anche l'attivissimo non e' molto chiaro.
Infatti parlano tutti di un sistema demo che non salva ma mostra. Che poi in digitale e' la stessa cosa, salvo che per “salvare", si intenda alterare il DB dei vaccinati.
Un sistema demo dovrebbe andare con la sua chiave, diversa da quella che usa la farmacia Siringhetti (in molti posti vaccinano anche le farmacie o i datori di lavoro).
I bar code funzionerebbero e permetterebbero di testare il sistema, ma ovviamente basta revocare alla CA la chiave o cambiarla per uccidere un uso “furbetto” come quello descritto: ovvero uso il prototipo per firmare un QR che, di fatto, e' perfettamente valido e regolare.
Da questo cumulo di banalita' non si capisce cosa effettivamente possa essere successo.
Certo uno puo' mettere la chiave usata da una provincia nel sistema di test (come farebbe ad averla?) e lasciarla li dopo un paio di canne.
Puo' esserci un errore di implementazione in stile WEP.
Quello che non torna e' che anche se il sistema puo' potenzialmente avere delle falle ci hanno lavorato per adattarlo migliaia di programmatori da decine di paesi: nessuno ha notato problemi?
Cioe' nessuno ha letto il codice? neppure per errore?
Per questo motivo anche se avessero messo in giro l'elenco password di uno dei webserver attivi (cosa di per se gravissima) come da vs commenti non e' tutto sto gran problema. Si cambiano le password e si controllano i log rigenerando i DB. Una rottura di caxxo ma non una roba insormontabile
La cosa piu' probabile e' qualche programmatoroto in outsourcing, quelli che usano “pippo3” o “meddacaxxo” come nomi di variabili, durante una manutenzione abbia generato quella roba.
Oppure il farmacista che ha lasciato lo schermo attivo ("che palle lo schermo che si blocca quando non lo uso!") e la donna delle pulizie si sia creata un paio di QR cosi' per ridere.
Salvo castronerie dovrebbe esserci un LOG che dice dove e quando e' stata generata quella roba. Un sistema del genere non giornalato sarebbe piu' che strano.
Da li non e' che dovrebbero esserci misteri.
Se dovessero rimanere misteri per piu' di qualche giorno... caxxo capisco perché pensano di riuscire ad esportate la PEC. Abbiamo infettato l'EU. :-P
2 commenti:
No aspetta, nessuno dice che abbiano bucato il sistema a chiave pubblica e privata ma che sia bucata la web interface europea che consente di generare i certificati.
In pratica, le credenziali "di lavoro" di Nginx usate da chi ha sviluppato il catanaio sono state pubblicate su github per sbaglio, i vari stati (25 su 27 parrebbe) hanno deciso che era troppa sbatta togliere la possibilità di accedere al catanaio con quelle credenziali e han tirato su i server nginx così com'erano.
Gli acari cattivi hanno semplicemente trovato i server, fatto l'accesso e schissato il bottone "genera certificato di prova". Solo che il nostro genialissimo sviluppatore ha fatto usare alla funzione le chiavi vere, generando di fatto certificati veri e validi MA non inseriti in nessun DB (altrimenti che prova è?).
Ora, non esiste un modo di revocare singolarmente questi certificati "a monte", perché non si sa nemmeno quanti ce ne siano.
Si potrebbero, una volta scopertone uno, revocare le chiavi usate, ma questo revocherebbe *milioni* di GP validi e non esiste nessuna funzione nell'accrocchio che faccia automaticamente scaricare un nuovo GP. Perché il sistema era stato pensato per funzionare offline lato utente.
Questo introduce il non banale problema logistico di milioni di persone per ciascun paese, molte delle quali tecnologicamente analfabete, che dovrebbero scoprire sul più bello che il loro GP è revocato e scaricarne uno nuovo. Oppure di trovare il sistema di notificarli tutti e guidarli attraverso la procedura (in entrambi i casi, auguroni).
Non è che non sia risolvibile, qualsiasi SNAFU è risolvibile in qualche modo.
Il problema è la faciloneria con cui si è messa in piedi la faccenda (che solleva forti sospetti su chissà quale altra castroneria si nasconda lì dentro) ed il costo che tutto sto macello avrà.
Poi sarò sciocco ed ingenuo io che mi ero illuso che essendo un grande progetto europeo per una volta non sarebbe stata l'ennesima PEC. Ma a quanto pare l'italianità è diffusa e apprezzata anche a Bruxell.
culla' capisco.
in 25 cannaioli anno fatto dei web server di test, con le credenziali "as is" gli hanno schiaffato UN certificato valido identico a uno di produzione (gegnacci^2) e vai che lo hanno lasciato attivo per non si sa quale ragione (g^3) (tutti e 25)...
Se non sono idioti il server di test ha UN certificato sui 200 o 300 che una nazione usa, quindi di fatto influisce solo sullo 0.x%. Che e' una rottura, son sempre milioni, ma nulla di grave, al limite si possono rifare scagionandoli in un mese prima di bruciare la chiave. In italia sarebbero qualche centomila. Non un nulla, ma neppure l'apocalisse.
Se dovessimo spedire a casa i GP gia' stampati a tutti costoro si parla di cifre piu' contenute dei monopattini in un mese.
Chi rompe paga.
Posta un commento