Discussion:
Research In Motion, Blackberry, Arabia Saudita e altri
(too old to reply)
Andrea Glorioso
2010-08-12 08:54:28 UTC
Permalink
Cari tutti,

per motivi professionali sto analizzando le recenti discussioni tra
Research In Motion (l'azienda che produce i Blackberry) e vari
paesi del Medio Oriente, tra cui l'Arabia Saudita, gli Emirati
Arabi Uniti e altri.

Non sono un esperto dell'architettura di rete e della sicurezza
dei Blackberry (per dirla diplomaticamente..) ma ho letto numerosi
articoli/manuali tecnici di RIM e commenti di terze parti. Ho
ancora numerosi dubbi e ho pensato che forse i membri di questa
lista potrebbero aiutarmi a chiarirli.

In sintesi:

- RIM sostiene che "[t]he BlackBerry security architecture for enterprise
customers is purposefully designed to exclude the capability for RIM
or any third party to read encrypted information under any circumstances",
in particolare perche` "[a]ll data remains encrypted through all points of
transfer between the customer's BlackBerry Enterprise Server and the
customer's device (at no point in the transfer is data decrypted and
re-encrypted)";

- sulla base di questa dichiarazione e dalla lettura dei manuali di cui
sopra, sono pronto a credere che vi sia una cifratura end-to-end a livello
di trasporto tra il BES (l'Enterprise Server) e il Blackberry. Che il traffico
in questione passi per il NOC di RIM, per essere poi inviato tramite
"push" (usando il protocollo PAP o Push Access Protocol, se ho ben
capito) non permette a RIM di avere accesso al 'plaintext'. Pero`:

- cosa succede se la comunicazione avviene tra due Blackberry che
afferiscono a due BES differenti (o all'interno della stessa organizzazione,
o tra due organizzazioni differenti)? Anche in questo caso la cifratura
end-to-end a livello di trasporto e` salvaguardata? Se si`, chi gestisce
le chiavi che permettono tale cifratura?

- se quanto dice RIM e quanto capisco dai manuali e` corretto, perche`
l'Arabia Saudita (e, a quanto pare, altri stati tra cui la Russia) pare
essere soddisfatta dall'offerta di installare uno dei server di RIM (ovvero,
immagino, uno dei server che costituiscono il NOC distribuito di RIM)
all'interno del proprio territorio? Per avere un accesso piu` facile al
'ciphertext'? Per avere una quantita` di 'ciphertext' piu` ampia a propria
disposizione, in maniera da permetterne una criptoanalisi approfondita?
L'Arabia Saudita e` in possesso delle risorse per craccare in tempi
ragionevoli 3DES o AES (gli algoritmi usati dal BES)? Oppure e` solo
per avere un accesso piu` rapido ai metadati (chi ha spedito il msg,
a chi, quando, etc)?

- in ogni caso, qual e` la vera differenza tra avere l'accesso a questo
nodo del NOC e richiedere ai carrier che operano all'interno del proprio
territorio gli stessi dati? Come sopra, e` solo una questione di
semplicita` nell'avere un unico punto centralizzato a cui rivolgere
le proprie richieste di intercettazione/analisi?

- a quanto pare l'India ha ottenuto da RIM che "that they can provide
the Metadata of the message ie the IP address of the BES and PIN
& IMEI of the BlackBerry mobile. The concerned internet service
provider can also tell the location of the services as well. From
these information, the security agencies can easily locate the BES
and obtain the decrypted message. They also stated that they
have a setup to help the security agencies in tracking the messages
in which security agencies are interested in,”. Questo sembra
confermare che il NOC di RIM non ha accesso al 'plaintext'.
(http://economictimes.indiatimes.com/infotech/hardware/BlackBerry-to-open-code-for-security-check/articleshow/6249666.cms)

Grazie a tutti coloro che potranno/sapranno/vorranno aiutarmi
a chiarire alcuni (o anche tutti, eh :) di questi dubbi.

Ciao,

Andrea
Massimiliano Sala
2010-08-15 22:45:23 UTC
Permalink
Post by Andrea Glorioso
- se quanto dice RIM e quanto capisco dai manuali e` corretto, perche`
l'Arabia Saudita (e, a quanto pare, altri stati tra cui la Russia) pare
essere soddisfatta dall'offerta di installare uno dei server di RIM (ovvero,
immagino, uno dei server che costituiscono il NOC distribuito di RIM)
all'interno del proprio territorio? Per avere un accesso piu` facile al
'ciphertext'? Per avere una quantita` di 'ciphertext' piu` ampia a propria
disposizione, in maniera da permetterne una criptoanalisi approfondita?
L'Arabia Saudita e` in possesso delle risorse per craccare in tempi
ragionevoli 3DES o AES (gli algoritmi usati dal BES)? Oppure e` solo
per avere un accesso piu` rapido ai metadati (chi ha spedito il msg,
a chi, quando, etc)?
- in ogni caso, qual e` la vera differenza tra avere l'accesso a questo
nodo del NOC e richiedere ai carrier che operano all'interno del proprio
territorio gli stessi dati? Come sopra, e` solo una questione di
semplicita` nell'avere un unico punto centralizzato a cui rivolgere
le proprie richieste di intercettazione/analisi?
a) tranquillo, nessuno ha le risorse per craccare 3DES e tantomeno AES, a meno
di attacchi nuovi e supersegreti, difficilmente immaginabili.

b) mi risulta che le chiavi siano comunque nel BES; anche se RIM
conserva il crittato,
puo' decrtittare quando vuole, sebbene si impegnerebbe a non farlo
(per lo meno dove
gli stati non rompono le scatole).

Non capisco invece questo accanimento contro RIM, con tutti i tel
anti-intercettazione che ci sono. Mi verrebbero cattivi pensieri,
lasciamo stare.

Ciao

Max
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Andrea Glorioso
2010-08-17 05:24:52 UTC
Permalink
Massimiliano,
Post by Massimiliano Sala
b) mi risulta che le chiavi siano comunque nel BES; anche se RIM
conserva il crittato,
   puo' decrtittare quando vuole, sebbene si impegnerebbe a non farlo
(per lo meno dove
   gli stati non rompono le scatole).
Se le chiavi siano nel BES, e RIM non ha accesso al BES (che è nelle
mani dell'organizzazione che l'ha acquistato/preso in licenza) in che
modo RIM "può decrittare quando vuole"? Nota per altro che questa
affermazione è il contrario di quanto RIM sostiene.
Post by Massimiliano Sala
Non capisco invece questo accanimento contro RIM, con tutti i tel
anti-intercettazione che ci sono. Mi verrebbero cattivi pensieri,
lasciamo stare.
No no, a me i cattivi pensieri interessano. :)

Ciao,

Andrea
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Paolo Marchiori
2010-08-19 10:04:45 UTC
Permalink
Post by Andrea Glorioso
Se le chiavi siano nel BES, e RIM non ha accesso al BES (che è nelle
mani dell'organizzazione che l'ha acquistato/preso in licenza) in che
modo RIM "può decrittare quando vuole"? Nota per altro che questa
affermazione è il contrario di quanto RIM sostiene.
Tento un breve quadro riepilogativo della situazione, nella speranza
di andare oltre la superficialità giornalistica....

Problema: io, governo saudita, vogio intercettare del traffico
crittografato end-to-end ad insaputa dell'intercettato. Ho il crittato
a disposizione, grazie all'operatore di rete.
Soluzione: mi procuro le chiavi private.
Caso A: entro in possesso della chiave sul device ad insaputa
dell'interessato (per brevità AIDI). Non facilissimo.
Caso B: entro in possesso della chiave sul server.
Caso B1: BB su BES: Fattibile. Posso ad esempio andare dal datore di
lavoro dell'interessato e farmi dare la chiave con le cattive. Se poi
la macchina è in housing ancora più facile (cfr. caso
Investici-Aruba).
Caso B2: BB su BIS: Andare in Canada o a Londra crea un SACCO di
problemi di giurisdizione. Soluzione: mi faccio mettere un BIS da RIM
sotto la mia giurisdizione e mi riconduco al caso precedente.

Problem Solved. Sbaglio?
--
p.
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Fabio Pietrosanti (naif)
2010-08-17 09:05:53 UTC
Permalink
Post by Andrea Glorioso
Cari tutti,
per motivi professionali sto analizzando le recenti discussioni tra
Research In Motion (l'azienda che produce i Blackberry) e vari
paesi del Medio Oriente, tra cui l'Arabia Saudita, gli Emirati
Arabi Uniti e altri.
Io consiglierei di vedere anche le posizioni di Francia e Germania,
perchè le vicende e le discussioni attorno a RIM sono molto variegate.

Francia e Germania hanno "bannato" l'uso di dispositivi RIM per uso
governativo per via dei potenziali rischi che "foreign intelligence
services" possano carpire informazioni strategice con "Political IT
attacks":
http://www.fiercewireless.com/europe/story/blackberry-security-worries-germany-bans-government-use/2010-08-11

Che è un punto di vista ancora diverso rispetto alle posizioni di paesi
come India o Arabia Saudita sono solo arrivati tardi nel capire che RIM
offre anche servizi di accesso ad internet oltre che smartphone.

Ci sto facendo sopra sviluppo sw di un client di telefonia sicura e devo
dire che come piattaforma alla sicurezza ci tengono molto di più che su
iPhone o Nokia.
Hanno supporti di security a tutti i livelli sia per l'uso enterprise
(on-device encryption, network encryption, policy di security ben
configurabili) sia per sviluppo e hanno acquisito l'anno scorso la
Certicom (www.certicom.com) che è azienda partner NSA che ha fornito
tutto lo stack crittografico di Blackberry.
Per dare una idea nella impostazioni avanzate di collegamento SSL si può
specificare di usare solo TLS v1 e selezionare solo algoritmi FIPS per
uso SSL. Su un iPhone o un Nokia un settings di security così avanzato
ce lo si scorda.

Tuttavia l'uso estensivo di protocolli proprietari lascia sempre un po'
l'amaro in bocca:
http://docs.blackberry.com/en/admin/deliverables/16558/RIM_propietary_protocols_1107871_11.jsp

Ho scritto un paio di settimane fa' un summary con molti link di
approfondimento sulle tecnologie di sicurezza di RIM ufficiali, su
quanto è stato fatto di hacking e reversing della loro piattaforma
basata su protocolli proprietari (SRP, IPPP, etc) e sulle varie
posizioni governative che ci sono in giro a riguardo (Russia, India,
UAE, Saudi Arabia, Francia, Germania, USA) qui:

http://infosecurity.ch/20100707/blackberry-security-and-encryption-devil-or-angel/
Post by Andrea Glorioso
- se quanto dice RIM e quanto capisco dai manuali e` corretto, perche`
l'Arabia Saudita (e, a quanto pare, altri stati tra cui la Russia) pare
essere soddisfatta dall'offerta di installare uno dei server di RIM (ovvero,
immagino, uno dei server che costituiscono il NOC distribuito di RIM)
all'interno del proprio territorio? Per avere un accesso piu` facile al
'ciphertext'? Per avere una quantita` di 'ciphertext' piu` ampia a propria
disposizione, in maniera da permetterne una criptoanalisi approfondita?
L'Arabia Saudita e` in possesso delle risorse per craccare in tempi
ragionevoli 3DES o AES (gli algoritmi usati dal BES)? Oppure e` solo
per avere un accesso piu` rapido ai metadati (chi ha spedito il msg,
a chi, quando, etc)?
- in ogni caso, qual e` la vera differenza tra avere l'accesso a questo
nodo del NOC e richiedere ai carrier che operano all'interno del proprio
territorio gli stessi dati? Come sopra, e` solo una questione di
semplicita` nell'avere un unico punto centralizzato a cui rivolgere
le proprie richieste di intercettazione/analisi?
La questione è che RIM non è solo un "manufacturer" ma è anche un
fornitore di servizi di messaggistica, servizi di accesso ad internet e
servizi enterprise di hosted VPN e centralized policy management.

Quando usi il tuo blackberry hai una moltitudine di punti di accesso che
possiamo riassumere, nella dialettica RIM:
- Direct-TCP (il collegamento ad internet tramite l'operatore mobile che
conosciamo)
- BIS-B (accesso ad internet tramite la rete RIM che trasporta i dati
via protocollo IPPP dal cellullare fino al punto di accesso RIM)
- BES (accesso alla intranet aziendale, ed eventualmente internet,
mediato dalla rete RIM che agisce da concentratore VPN)

Se usi BIS-B in europa esci da gateway in UK, ed è quando usi il browser
di default.
Ogni third party application developer per usare BIS-B cone la propria
applicazione deve fare una partnership con RIM e usare una speciale
applicazione.
RIM offre spesso free-roaming su molti operatori nelle offerte BIS-B, di
fatto bypassando il meccanismo di roaming agreement basato sulla rete
GRX inter-operatori mobili GSM/UMTS.

Questo per spiegare come non sia una mera fornitura di un device ma sia
incluso un servizio di accesso ad internet e roaming indipendente
dall'operatore, una overlay access network ch si appoggia al layer2
dell'operatore mobile.

Poi RIM ti offre il servizio di Blackberry Messenger, che è
centralizzato sulla loro, ed è stata una delle remore principali dei
Sauditi che si sono trovati nell'impossibilità di accedere ai messaggi
scambiati fra diversi Blackberry.

Di fatto il ragionamento dei Sauditi e Indiani è semplice:
Qui vendi telefonini, ma in realtà stai vendendo servizi di
telecomunicazione e quindi sei un operatore di telecomunicazione
soggetto alle normative sulla lawful interception, quindi mi devi dare
accesso ai dati come lo fanno gli operatori.

Solo che in Russia ci hanno pensato prima di autorizzare la vendita dei
Blackberry con un accordo preventivo fatto con l'FSB (ex-KGB), in Arabia
Saudita si sono resi conto solo a posteriori che RIM non è solo un
fornitore di device come Nokia ma offre anche servizi di accesso ad
internet e di messaggistica elettronica.
Post by Andrea Glorioso
- a quanto pare l'India ha ottenuto da RIM che "that they can provide
the Metadata of the message ie the IP address of the BES and PIN
& IMEI of the BlackBerry mobile. The concerned internet service
provider can also tell the location of the services as well. From
these information, the security agencies can easily locate the BES
and obtain the decrypted message. They also stated that they
have a setup to help the security agencies in tracking the messages
in which security agencies are interested in,”. Questo sembra
confermare che il NOC di RIM non ha accesso al 'plaintext'.
(http://economictimes.indiatimes.com/infotech/hardware/BlackBerry-to-open-code-for-security-check/articleshow/6249666.cms)
Questo secondo me è l'aspetto più sensibile.

Cioè che RIM possa e debba fornire servizi di lawful interception sul
loro servizio di accesso ad internet (BIS-B) e messaggistica (BB
Messenger) non ci piove qualificandosi a tutti gli effetti come fornitre
di servizi di comunicazione elettronica.

Certo è che quando agiscono da VPN concentratore fra i Blackberry e il
BES in azienda (che include un Blackberry Router che fornisce accesso a
tutte le risorse interne) la cosa si complica non poco.
Da documentazione, ma non da verifica indipendente essendo i protocolli
e i codici sorgenti chiusi, RIM non dovrebbe avere accesso ai dati in
transito (I BB client si collegano in IPPP alla rete RIM mentre i BES
server si collegano in SRP alla rete RIM.)

Ma anche assumendo che non vi siano backdoor, legalmente come vogliamo
qualificare il servizio di "concentratore VPN" che RIM offre ai clienti
aziendali sotto BES?

Fabio Pietrosanti (naif)
Panagiotis Atmatzidis
2010-08-22 20:23:05 UTC
Permalink
Ciao a tutti,
Post by Fabio Pietrosanti (naif)
Post by Andrea Glorioso
Cari tutti,
per motivi professionali sto analizzando le recenti discussioni tra
Research In Motion (l'azienda che produce i Blackberry) e vari
paesi del Medio Oriente, tra cui l'Arabia Saudita, gli Emirati
Arabi Uniti e altri.
[...]
Post by Andrea Glorioso
- a quanto pare l'India ha ottenuto da RIM che "that they can provide
the Metadata of the message ie the IP address of the BES and PIN
& IMEI of the BlackBerry mobile. The concerned internet service
provider can also tell the location of the services as well. From
these information, the security agencies can easily locate the BES
and obtain the decrypted message. They also stated that they
have a setup to help the security agencies in tracking the messages
in which security agencies are interested in,”. Questo sembra
confermare che il NOC di RIM non ha accesso al 'plaintext'.
(http://economictimes.indiatimes.com/infotech/hardware/BlackBerry-to-open-code-for-security-check/articleshow/6249666.cms)
Questo secondo me è l'aspetto più sensibile.
Cioè che RIM possa e debba fornire servizi di lawful interception sul
loro servizio di accesso ad internet (BIS-B) e messaggistica (BB
Messenger) non ci piove qualificandosi a tutti gli effetti come fornitre
di servizi di comunicazione elettronica.
Certo è che quando agiscono da VPN concentratore fra i Blackberry e il
BES in azienda (che include un Blackberry Router che fornisce accesso a
tutte le risorse interne) la cosa si complica non poco.
Da documentazione, ma non da verifica indipendente essendo i protocolli
e i codici sorgenti chiusi, RIM non dovrebbe avere accesso ai dati in
transito (I BB client si collegano in IPPP alla rete RIM mentre i BES
server si collegano in SRP alla rete RIM.)
Ma anche assumendo che non vi siano backdoor, legalmente come vogliamo
qualificare il servizio di "concentratore VPN" che RIM offre ai clienti
aziendali sotto BES?
Fabio Pietrosanti (naif)
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Bruce Schneier [1] cita da un punto la sicurezza che ofre il Blackberry e d'altro canto da un esempio (Russia, India, Cina) ove RIM ha datto "access". Per citare Schneier:

"How did they do that? Did they put RIM servers in those countries, and allow the government access to the traffic? Did they pipe the raw traffic back to those countries from their servers elsewhere? Did they just promise to turn over any data when asked?"

A questo punto, non credo che RIM non abbia accesso al plaintext. Che senso ha per le "inteligence" di uno stato avere accesso ad una communicazione cifrata?


[1] http://www.schneier.com/blog/archives/2010/08/uae_to_ban_blac.html


Panagiotis (atmosx) Atmatzidis

email: ***@convalesco.org
URL: http://www.convalesco.org
GnuPG ID: 0xFC4E8BB4
gpg --keyserver x-hkp://pgp.mit.edu --recv-keys 0xFC4E8BB4
--
The wise man said: "Never argue with an idiot. They bring you down to their level and beat you with experience."
Marco Ermini
2010-09-07 16:05:20 UTC
Permalink
2010/8/22 Panagiotis Atmatzidis:
[...]
Post by Panagiotis Atmatzidis
"How did they do that? Did they put RIM servers in those countries, and allow the government access to the traffic? Did they pipe the raw traffic back to those countries from their servers
elsewhere? Did they just promise to turn over any data when asked?"
A questo punto, non credo che RIM non abbia accesso al plaintext. Che senso ha per le "inteligence" di uno stato avere accesso ad una communicazione cifrata?
[1] http://www.schneier.com/blog/archives/2010/08/uae_to_ban_blac.html
La connessione ad un APN non è criptata. Non so perché la chiamate
"VPN" ma penso possa essere più facilmente comprensibile paragonandola
ad una VLAN.

Non conosco il sistema di messaggistica di Blackberry, ma immagino che
sia abbastanza semplice disabilitarlo da policy. Le policy RIM sono
estremamente dettagliate, come è stato spiegato molto bene in un altro
post.

Un governo che volesse disporre di lawful interception non deve fare
per un Blackberry nulla di diverso da quello che fa normalmente per
qualsiasi altro telefono. La differenza sostanziale è che i Blackberry
hanno la possibilità di configurare più di un APN da usare
"programmaticamente" per le applicazioni - per esempio, un APN
"corporate" per le email ed uno "Internet" per la nagivazione -, a
differenza degli altri telefoni dove questo non è possibile (al
massimo la scelta dell'APN è fatta dall'utente). Questo sicuramente
aiuta in termini di sicurezza, perché è possibile impostare regole di
routing e firewall che permettano l'accesso di risorse aziendali
soltanto da determinati APN; tuttavia non implica di per sé che la
trasmissione dati sia più sicura o sia impossibile la lawful
interception.


Cordiali saluti
--
Marco Ermini
***@human # mount -t life -o ro /dev/dna /genetic/research
http://www.linkedin.com/in/marcoermini
"Jesus saves... but Buddha makes incremental back-ups!"
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Giuseppe "Gippa" Paterno'
2010-09-08 13:36:00 UTC
Permalink
La connessione ad un APN non Ú criptata. Non so perché la chiamate
"VPN" ma penso possa essere più facilmente comprensibile paragonandola
ad una VLAN.
Ciao!

Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?

Ciao ciao,
Gippa
Andrea Dainese
2010-09-08 14:14:38 UTC
Permalink
Post by Giuseppe "Gippa" Paterno'
Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?
Magari sbaglio, ma per come l'ho sempre intesa io VPN non implica
nulla sulla cifratura del traffico, ma garantisce solamente una
separazione. In questo senso ho trovato riscontro su alcuni volumi
Cisco Press proprio sulle reti MPLS.
Ci sarebbe poi da chiedersi cosa associano i clienti alla parola VPN.

Andrea
--
To respect the cat is the beginning of the aesthetic sense. - Erasmus Darwin

http://www.linkedin.com/in/adainese
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Claudio Telmon
2010-09-08 20:23:39 UTC
Permalink
Post by Giuseppe "Gippa" Paterno'
Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?
Le prime volte che ho sentito usare il termine VPN a persone di ambito
telco (parlo di un po' di anni fa), si riferivano a circuiti virtuali, e
quando parlavo di cifratura del traffico mi guardavano strano ;)
Se vuoi, la loro attenzione era all'aspetto "disponibilità", che essendo
sicurezza qualifica anche i circuiti virtuali come VPN, anche se
l'aspetto riservatezza non è considerato. Per contro, le VPN IPSEC non
affrontano affatto la disponibilità. Direi quindi che sono entrambe VPN,
complementari.

ciao

- Claudio
--
Claudio Telmon
***@telmon.org
http://www.telmon.org

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Cesare
2010-09-08 21:25:01 UTC
Permalink
Il 08 settembre 2010 15:36, Giuseppe "Gippa" Paterno'
Post by Giuseppe "Gippa" Paterno'
Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?
Un APN di per sÚ permette una "separazione" del traffico generato dal
terminale mobile. Ovvero un provider mobile attraverso diversi APN può
impostare diversi QoS per offrire servizi e qualità (pensiamo a poter
distinguere traffico aziendale da quello privato).

Inoltre (seguendo le specifiche 3GPP [1]), un APN (Access Pont Name)
non Ú detto che sia esclusivamente una rete Internet, ma può essere
una rete privata (dove Ú offerto il sevizio WAP oppure un server MMS,
o altro) oppure una rete privata (corporate o intranet che sia).

Questo vuol dire che Ú possibile richiedere a un operatore di avere un
APN dedicato il quale poi viene associato a delle SIM (ovviamente
dello stesso operatore). A livello di interconnessione tra il nodo
GGSN e l'endpoint APN remoto Ú possibile una cifratura della sessione,
ad esempio con IPSEc, e rilascio di un indirizzo IP tramite
autentcazione MD5 (pagina 159 in [2]), se l'interconnessione viene
effettuata attraverso reti non sicure (ad esempio Internet), o anche
dirette (per maggior sicurezza).

Un APN Ú più di una VLAN e quasi una VPN.

Se poi il terminale mobile esegue a sua volta una cifratura del
traffico (come avviene per i BlackBerry) end-to-end (vedere [3]), la
lawful interception e qualsiasi ulteriore analisi del traffico
generato da terminali BB sarebbe vana, questo perchÚ il traffico che
transita da/verso gli APN BB sarebbe crittografato con un algoritmo in
possesso della sola RIM (altrimenti non si avrebbe il [4]).

[1] https://secure.wikimedia.org/wikipedia/en/wiki/Access_Point_Name
[2] http://www.ericsson.com/ericsson/corpinfo/publications/review/2000_03/files/2000034.pdf
[3] http://it.blackberry.com/ataglance/security/features.jsp
[4] http://it.reuters.com/article/itEuroRpt/idITMIE67C09T20100813
Germano Paciocco
2010-09-09 12:12:19 UTC
Permalink
Post by Giuseppe "Gippa" Paterno'
Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?
E' esattamente cos?. Ma la "percezione" dei client ? indotta subdolamente
dai fornitori di connettivit?, che utilizzano impropriamenti termino tecnici
come VPN ad uso e consumo del marketing, al solo scopo di farcire le offerte
di esoteriche sigle che i clienti poi collegano ad una sicurezza reale.
Le prime volte che ho sentito nominare VPN in luogo di MPLS ? stata proprio
da un commerciale di un grosso carrier italiano che, poverino, era proprio
convinto che le due parole fossero sinonimi. Poi molti clienti un po' pi?
smaliziati mi hanno confermato che spesso gliela propongono cos?. Quindi
quelli meno esperti, una volta acquistato un accesso MPLS, andranno al bar a
vantarsi di avere la VPN.
Io personalmente, quando possibile, propongo ai clienti di realizzare VPN
IPSEC sulle tratte MPLS.
Cristiano Cafferata
2010-09-13 13:24:42 UTC
Permalink
Post by Giuseppe "Gippa" Paterno'
La connessione ad un APN non ? criptata. Non so perch? la chiamate
"VPN" ma penso possa essere pi? facilmente comprensibile paragonandola
ad una VLAN.
Ciao!
Andando in giro dai clienti, spesso mi rendo conto che hanno la
percezione delle APN e delle reti MPLS come le "VPN". In realta' penso
che sia piu' appropriato paragonarle alle VLAN, come ha detto Marco e
non ad una sessione "protetta" (= criptata). E' ovvio che non e'
semplice fare un "MPLS hopping", ma comunque (volendo/potendo) i dati
sono sniffabili.
Voi come la pensate?
Ciao Giuseppe,
si, PURTROPPO capita spesso che "clienti finali" di Telco vivano MPLS
come "rete _sicura _come una VPN" , e deriva da come i "venditori" delle
varie telco spacciano il _protocollo di switching_ MPLS e qui nasce gi?
il primo problema :
VPN non vuole dire per forza "rete sicura" ma solo "trasporto" fra reti
non ruotabili, cos? come MPLS neppure vuole dire di sicuro rete sicura
... quindi MPLS e VPN sono "simili" , decisamente simili, xch? entrambi
mettono in comunicazione reti private che su internet (lapalisse si
rivolta nella tomba) non si parlerebbero.

Quando si scala a VPN IPSEC allora si aggiunge la sicurezza, cos? come
su MPLS da qualche tempo si ? visto sbucare il favoloso SMPLS ...
termine coniato ad arte per definire il "Secure Mpls" che ancora devo
trovare in qualsivoglia RFC :-)

Interessante direi
http://www.cisco.com/warp/public/cc/pd/iosw/prodlit/mxinf_ds.pdf che
mamma Cisco mette a disposizione !

Sugli APN, ho visto sempre gli stessi "venditori" dichiarare che l'apn
dedicato garantisce la sicurezza "come l'mpls rispetto al normale canale
internet" ma per fortuna i MIEI clienti su mpls e su apn dedicati
mettono cmq delle sane vpn ipsec o ssl ..

Credo che Naif, se sopravissuto ad ESC, dovrebbe poterci dare + dettagli
sulla sicurezza degli APN !!

Cesare ha ricordato che a livello di interconnessione tra il nodo GGSN
e l'endpoint APN remoto "? possibile la cifratura" ... (compreso
rilascio di ip tramite auth md5) ma .... possibile non vuole dire che
avviene by default ...

ed i dati su MPLS sono come minimo sniffabili dal provider stesso ....
che dite ?
quindi avere una VPN IPSEC con chiavi/certificati gestiti da se stessi e
non dal provider mpls ? cmq di base pi? sicuro!

Cristiano
Post by Giuseppe "Gippa" Paterno'
Ciao ciao,
Gippa
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Nessun virus nel messaggio in arrivo.
Controllato da AVG - www.avg.com
Versione: 9.0.851 / Database dei virus: 271.1.1/3126 - Data di rilascio: 09/10/10 09:08:00
Giuseppe "Gippa" Paterno'
2010-09-14 12:28:19 UTC
Permalink
Ciao Cristiano,
innanzi tutto grazie per il link al paper, direi molto interessante.
Post by Cristiano Cafferata
Cesare ha ricordato che a livello di interconnessione tra il nodo
GGSN e l'endpoint APN remoto "? possibile la cifratura" ... (compreso
In realta' tutte le APN che ho visto erano su tunnel IPsec dal GGSN o su
circuiti dedicati. Inoltre e' possibile richiedere un'autenticazione
tramite radius. Pero' dal lato radio (BTS) fino al GGSN -che io sappia-
viaggia tutto "in chiaro".... stessa cosa per MPLS.

Forse sarebbe bene capire se vale la pena criptare il traffico in
transito oppure no. IMHO non avrebbe piu' senso una APN dedicata oggi
con le VPN, se non per casi particolari.

Come ha scritto qualcuno in lista (sorry per la memoria) MPLS ti
garantisce anche della banda paragonabile al "frame-relay" di una volta.
E IMHO il paragone calza a pennello: non e' che venisse applicata
cifratura sui PVC, forse solo SNA lo permetteva.

Ritornando a noi, sono da una parte "contento" che abbiate anche voi
questa percezione, dall'altro meno perche' spesso il commerciale del
telco "formatta" il cliente su determinati termini e poi e' difficile
"rimetterlo in carreggiata" e fargli capire il valore di alcune
soluzioni. Questo IMHO non vale solo per MPLS ma anche per altre
tecnologie (non solo di sicurezza).

Qualcuno sa come funziona in ambito Wi-Max? Purtroppo non ho avuto mai
modo di metterci le mani....

Ciao ciao,
Gippa

Marco Ermini
2010-09-08 15:47:15 UTC
Permalink
Post by Marco Ermini
Un governo che volesse disporre di lawful interception non deve fare
per un Blackberry nulla di diverso da quello che fa normalmente per
qualsiasi altro telefono. La differenza sostanziale è che i Blackberry
hanno la possibilità di configurare più di un APN
La differenza sostanziale e' che il traffico tra BES e BB e' cifrato,
quindi la lawful interception (o meglio, decodificare cio' che hai
catturato) ti richiede anche di carpire quelle chiavi.
Ovvio, ma questo è vero per qualsiasi sistema di email. L'equivalente
dell'Echelon in Arabia può intercettare il traffico IP, ma non
decriptare il contenuto. Se noi ci scambiamo le chiavi pubbliche e ci
mandiamo una email criptata per esempio via PGP, non c'è modo che il
governo riesca a decodificarla (facilmente o automaticamente, almeno).
Nulla di diverso con le email aziendali e il BES.

Francamente non credo sia questo il problema, visto che il server BES
è gestito da Saudi Telecom. Inoltre la lawful interception è fatta
regolarmente per i Blackberry in qualsiasi altro paese Europeo e non
ci sono problemi

Penso che sia molto difficile cosa ci sia veramente sotto, la
discussione è tra il governo Saudita e RIM ed è estremamente
confidenziale. Ovviamente il fatto che tutto il traffico BB passi per
il Canada è una bufala


Cordiali saluti
--
Marco Ermini
***@human # mount -t life -o ro /dev/dna /genetic/research
http://www.linkedin.com/in/marcoermini
"Jesus saves... but Buddha makes incremental back-ups!"
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Stefano Zanero
2010-09-08 14:44:38 UTC
Permalink
Post by Marco Ermini
Un governo che volesse disporre di lawful interception non deve fare
per un Blackberry nulla di diverso da quello che fa normalmente per
qualsiasi altro telefono. La differenza sostanziale è che i Blackberry
hanno la possibilità di configurare più di un APN
La differenza sostanziale e' che il traffico tra BES e BB e' cifrato,
quindi la lawful interception (o meglio, decodificare cio' che hai
catturato) ti richiede anche di carpire quelle chiavi.
--
Cordiali saluti,
Stefano Zanero

Politecnico di Milano - Dip. Elettronica e Informazione
Via Ponzio, 34/5 I-20133 Milano - ITALY
Tel. +39 02 2399-4017
Fax. +39 02 2399-3411
E-mail: ***@elet.polimi.it
Web: http://home.dei.polimi.it/zanero/
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Massimiliano Sala
2010-08-19 12:06:58 UTC
Permalink
Message: 1
Date: Tue, 17 Aug 2010 07:24:52 +0200
Subject: Re: [ml] Research In Motion, Blackberry, Arabia Saudita e
       altri
Content-Type: text/plain; charset=ISO-8859-1
Massimiliano,
Post by Massimiliano Sala
b) mi risulta che le chiavi siano comunque nel BES; anche se RIM
conserva il crittato,
   puo' decrtittare quando vuole, sebbene si impegnerebbe a non farlo
(per lo meno dove
   gli stati non rompono le scatole).
Se le chiavi siano nel BES, e RIM non ha accesso al BES (che è nelle
mani dell'organizzazione che l'ha acquistato/preso in licenza) in che
modo RIM "può decrittare quando vuole"? Nota per altro che questa
affermazione è il contrario di quanto RIM sostiene.
Si scusa, mi sono spiegato male.
Volevo dire che "chi gestisce il BES (RIM o chi per lui)" decritta quando vuole.

Max
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
Continue reading on narkive:
Loading...