Specialista di sicurezza applicativa, sono certificato OSCE e OSCP e di giorno sono product security engineer in un'importante società che si occupa di software opensource. Sono un aspirante giocatore di hockey su ghiaccio, un marito e un papà e questo è il mio blog.
E’ almeno un annetto che il mio capo mi chiede se è possibile automatizzare
alcuni test. A lui si è aggiunto il mio team mate da un po’. Di solito quando
si tratta di cambiamenti così radicali, lascio che l’esigenza di ripresenti da
sola un po’ di volte per capire quanto è critica, prima di buttarmi a capofitto
nell’implementarla.
E’ passato un mese e mezzo dal primo post su
heartbleed
ed arrivati ad una decina di post, l’ultimo dei quali, sulle
startup
ha riscosso parecchio successo in termini di visite e commenti1, è ora di
stendere un piano di pubblicazione che dia un senso a questo post.
speriamo anche i post più in topic arrivino agli stessi risultati. ↩
Questo post nasce da un mio pensiero pubblicato su
Facebook a
proposito della qualità dei job posting nell’era delle startup innovative, o
comunque in un mercato, come quello Italiano, dove stiamo giustificando con la
crisi, il non adeguato compenso offerto a chi fa un lavoro tecnico (tranne a
quegli degli elettrodomestici).
Nel dialetto milanese, che ormai purtroppo in pochi conoscono e ancor meno
usano1, c’è un modo di dire che riassume bene il post che sto scrivendo oggi
che, a ridosso del weekend, non può essere altro che un post di meditazione da
leggersi, rigorosamente, questa sera con un buon bicchiere di vino o di
grappa o di passito2.
non me ne vogliano i fratelli e le sorelle italiane che parlano altri dialetti. E’ off topic qui, ma io credo con forza che il dialetto del luogo debba essere insegnato in ogni comune per farci comprendere bene le nostre radici. La storia di un popolo passa anche dalla cultura orale e rurale, dai modi di dire legati al territorio e da mille altre storie suggestive che stanno morendo insieme ai nostri nonni. ↩
la traduzione letterale è “A ciascun pasticcere la sua specializzazione” ↩
Spesso si ha l’esigenza di creare una stringa di caratteri alfanumerici che sia
casuale. Ad esempio possiamo usarla come password temporanea, come salt per
offuscare una password, come chiave, …
Se come sysadmin ti stai domandando chi mai potrà essere interessato a
recuperare informazioni su un host per un attacco successivo, allora ti manca
una profonda dose di awareness. Secondo Gartner, ma il dato che ricordo è
vecchiotto di un 6 – 7 anni, più dell’80% delle intrusioni informatiche avviene
dall’interno dell’infrastruttura aziendale.
Quella nel titolo, è pura ironia, l’Italia informaticamente parlando non ha
vinto il palmares della security e no, il neonato
codiceinsicuro non chiude.
Un software engineer non ha bisogno di troppi rimandi alle cose basilari di
application security. Parlando con alcuni sistemisti di
heartbleed,
è spuntato qualche sviluppatore in grado di indirizzare subito il problema
evidenziando come fosse necessario revocare anche tutti i certificati dei
server vulnerabili.
Come promesso, questo post va un po’ più nel dettaglio tecnico del bug
heartbleed introdotto in OpenSSL da un errore di
programmazione nel Dicembre 2011 e corretto nella versione 1.0.1g di
OpenSSL che ovviamente dovete installare.