Edward Felten continua a riferire informazioni preziose sullo scandalo delle macchine per il voto elettronico negli Stati Uniti.

Dopo il problema delle falle trovate nel codice sorgente e quello del tabulatore centrale dei voti che permetteva di creare un nuovo insieme di risultati elettorali con pochi comandi, l’ultima riguarda l’architettura insicura del protocollo di autorizzazione al voto.

Quando un elettore entra nel seggio, firma i registri e gli viene data una smartcard abilitata. Poi entra nella cabina, inserisce la smartcard e vota. A questo punto la smartcard viene disabilitata e l’elettore la restituisce.

Il problema sta nella comunicazione tra smartcard e macchina elettorale:

• macchina -> smartcard: “la mia password è xxxxxxxx” [8 byte]
• smartcard -> macchina: “Okay”
• macchina -> smartcard: “Sei una smartcard valida ?”
• smartcard -> macchina: “Certo!”
• macchina -> smartcard: “Per favore, disattivati”
• smartcard -> macchina: “Va bene”

Per chi non si è ancora messo le mani nei capelli, immaginiamoci l’equivalente “analogico”:

• scrutatore -> elettore: “sono lo scrutatore #xxxxxx”
• elettore -> scrutatore: “Okay”
• scrutatore -> elettore: “Hai il diritto di voto?”
• elettore -> scrutatore: “Certo!”
• scrutatore -> elettore: “Per favore, non votare più”
• elettore -> scrutatore: “Va bene”

Il problema del protocollo è che è molto facile crearsi una smartcard che dice tutto quello che gli si vuol far dire, con un kit da poche decine di dollari. Il terminale non chiede alla smartcard di provare la sua validità (mostrare la carta di identità, nell’equivalente analogico), le chiede solo se è valida. Un elettore (o uno scrutatore) con una smartcard programmata per non disabilitarsi su richiesta del terminale può votare più di una volta.

Errori come questo dimostrano l’importanza di avere sempre una prova cartacea dei voti (legittimi!) che sono stati inseriti nel terminale, e soprattutto, di avere sistemi elettorali il cui codice sorgente sia ispezionabile: macchine con il sistema visto sopra sono state già utilizzate, e se il codice sorgente non fosse stato svelato “per errore”, nessuno avrebbe pubblicizzato queste falle.

Cercare di avere un ambiente informatico sicuro è una fatica di Sisifo: Firefox security update, aggiornare alla versione 0.10.1.

I fortunati che hanno la 0.10, basta che installino una piccola patch. Che Firefox cercherà di bloccare: arriva da update.mozilla.org anzichè da www.mozilla.org. Forse è meglio che il progetto Mozilla decida in anticipo quali sono i siti fidati per il browser …

[hat-tip Antonio]

Le notizie sulla vulnerabilità nell’elaborazione delle immagini JPG resa pubblica 15 giorni da Microsoft continuano a peggiorare.

La prima cattiva notizia è che non è sufficiente aggiornare il PC da WIndows Update per essere al sicuro. Il programma di scansione di Microsoft non individua tutte le versioni della libreria GDI+ installate da applicazioni di terze parti.

E’ molto poco rassicurante far girare GDI Scan, il programma di scansione realizzato da Tom Liston e trovarsi un lungo elenco di librerie vulnerabili scritte in rosso (soprattutto in programmi di elaborazione grafica).

E il fatto che rimangano librerie vulnerabili non è di interesse solo accademico: dopo il primo exploit, è stato trovato il primo virus JPG (su Usenet, da Easynews).

Quando l’immagine viene visualizzata, il virus si connette ad un sito ftp e installa software di gestione remota del PC, come WinVNC e radmin. Poi si connette a IRC.

Secondo il principio, “noi possiamo vedere, chi si crede di essere il cittadino per vedere anche lui?”, un disegno di legge negli Stati Uniti prevede che il governo possa impedire l’accesso al pubblico delle foto acquistate
da operatori commerciali di satelliti, assieme a qualsiasi prodotto derivato, anche se le foto non presentano esigenze di sicurezza e non sono classificate.

Non sia mia che un urbanista possa studiare una foto satellitare di una città, un geologo la conformazione di un fiume, un meteorologo studiare i fenomeni atmosferici o un giornalista qualsiasi vedere che la fabbrica di armi nucleari che un certo paese starebbe ricostruendo in realtà rimane nello stesso stato di sempre …

Sotto l’egida della lotta al terrorismo sembra nascondersi l’eterna lotta alla trasparenza da parte dei governi. Se non c’era bisogno di nascondere queste foto quando il nemico (URSS) era dotato di missili nucleari e bombardieri a lunga gittata, perchè sarebbe necessario nasconderle ora ?

La legge appare anche inutile oltre che dannosa, visto che operatori commerciali di altri paesi (Russia, Israele, EU) saranno ben felici di approfittare delle nuove opportunità offerte da una legge di questo tipo. Un pò come succedeva fino a qualche anno fa, quando le aziende software Americane non potevano esportare software per criptare seriamente i dati.

Il numero di password che bisogna ricordarsi continua a crescere: webmail, home banking, hosting web, amministrazione dei weblog, gallerie fotografiche, intranet ecc. ecc.

La maggior parte delle soluzioni che si usano per affrontare il problema sono disastrosamente insicure: post-it sul PC (magari in un ufficio open space …), stessa password per tutti gli accessi (basta che venga compromessa la sicurezza di un solo sito …), password semplici da ricordare (e quindi da indovinare).

Nic Wolff ha avuto un idea interessante per risolvere il problema (via Jon’s Radio): un generatore di password che prende il nome del sito e una pass-phrase (una frase facile da ricordare ma difficile da indovinare) e ne fa un hash per creare una password specifica per il sito. In questo modo è sufficiente ricordarsi solo la pass-prase, e anche se la sicurezza di uno dei siti cui abbiamo accesso viene compromessa, le password per gli altri siti rimangono sicure.

Il generatore di password è in Javascript, quindi tutta l’elaborazione viene effettuata dal browser in locale. C’è anche una versione bookmarklet che può essere trascinata sulla barra degli strumenti del browser. Il bookmarklet prende automaticamente il nome del sito e riempie automaticamente il campo password, quindi è sufficiente fornire la pass-prase.