Privacy e paradossi

Surprise, surprise, surprise. Profetico? No il corso di certi eventi è semplicemente inevitabile.

Privacy

-quack

Technorati tags: ,

Pubblicato sabato 29 dicembre 2007 alle 7:43 PM - 2 commenti so far
Archiviato in: Google, Privacy

Somme algebriche

I problemi con i PC sono come le correnti in un nodo: la somma algebrica è costante e magari fosse zero. In una puntata precedente erano rimasti sospesi due problemi o presunti tali. Quello dell'abbonamento di OneCare, che risultava erroneamente scaduto, e quello di un hard-disk che sembrava difettoso.

Il primo è stato risolto come "fixed" con 2 mesi di abbonamento gratis per l'impiccio:

There was a technical issue due to which your subscription was cancelled. This issue has now been fixed; we have extended your subscription and it will now expire on December 21, 2008. We apologize for this inconvenience, and thank you for being a Windows Live OneCare customer.

Il secondo invece è stato risolto come "by design". In effetti sembrava che certe operazioni ci mettessero tanto perché tra l'avvio dell'operazione e il completamento c'era sempre di mezzo un periodo di sleep. Ed io chissà che mi pensavo.

Per due problemi che vanno, due problemi che arrivano. Uno riguarda Windows Home Server ma questo post mi rassicura un po' almeno fino al rilascio della patch ufficiale; la paranoia intanto è alle stelle. Il secondo riguarda le previous versions e qualche interazione strana con OneCare (ancora tu?!). Di più appena io stesso ci vedo chiaro.

Forse vale la pena giocare qualche numero al lotto. Suggerimenti?

-quack

Pubblicato venerdì 28 dicembre 2007 alle 7:23 PM - 2 commenti so far
Archiviato in: Cazzate

TPM e bitlocker

bitlock Nella "puntata" precedente ho raccontato come funziona il secure boot su una Trusted Platfrom (TP). Bitlocker è una feature di encryption "tombale" introdotta con Vista per arginare il fenomeno del trafugamento dei dati via furto dei laptop. Bitlocker, per funzionare, non richiede la presenza del TPM ma laddove esistente ed abilitato ne può fare uso. In questo post farò ampio uso di terminologia (es. sealing, PCR) introdotta nella puntata precedente.

Bitlocker funziona in maniera piuttosto semplice. Innanzitutto divide la partizione principale (es. C:\) in due partizioni "asimmetriche". Una piccolina e destinata a contenere il minimo indispensabile verrà usata per fare il boot (di solito chiamata S:\); l'altra verrà usata per contenere tutto il resto del contenuto originale di C:\. Nella versione attuale Bitlocker non permette di sigillare drive non di sistema (D:\, E:\, ecc.).

Splittata la partizione di sistema, l'attivazione di Bitlocker avviene in due fasi: la creazione di una chiave simmetrica e successiva criptazione del drive C:\ con tale chiave simmetrica. La chiave simmetrica, che va sotto il nome di Volume Master Key (VMK), può essere memorizzata in due diverse locazioni: in assenza di TPM può essere archiviata su chiave USB[1]; laddove il TPM è presente la VMK viene "sigillata" e salvata sul drive S:\

Una copia della VMK (recovery) viene generata per dare la possibilità di sbloccare il boot laddove succeda legittimamente qualcosa che possa prevenire l'un-sealing della VMK (esempio: installazione di hardware che cambia la configurazione del BIOS). Ovviamente il consiglio è di stampare la chiave di recovery e tenerla chiusa in un posto "tranquillo": il parallelo è con la copia della chiave di casa.

La criptazione del drive avviene in background grazie al low priority IO e in maniera safe. L'algoritmo basato su AES, la cui interessantissima descrizione è contenuta in questo paper in inglese, è sector based: il SO è in grado di distinguere quali settori sono criptati e quali no, nel caso un evento esterno possa interrompere il processo di criptazione.

In aggiunta alla chiave simmetrica è possibile proteggere il boot tramite PIN. Tali impostazioni sono poi forzabili a livello aziendale via group policy.

Per ulteriori approfondimenti consiglio una visita al System Integrity Team Blog da cui cito un paio di post interessanti:

Possibili FAQ:

Quale differenza c'è tra tenere la chiave di volume (VMK) su pendrive e fare uso di TPM?
Aldilà di una questione soggettiva di praticità, solo un TPM può garantire che il sistema è integro tramite il meccanismo di secure boot.

Cosa succede se il sistema non si riavvia e chiede la chiave di recovery?
Questo può accadere per svariati motivi, uno dei quali la modifica legittima di impostazioni del BIOS, l'aggiunta/rimozione di hardware, installazione di un menù multi-boot, ecc. Una volta inserita la chiave di recovery, il sistema si avvia e a questo punto basta disattivare/riattivare Bitlocker per rigenerare l'impronta del sistema con le nuove impostazioni. Dal successivo riavvio la chiave di recovery non sarà più necessaria. Un'altra possibilità, per evitare questa noiosissima operazione in caso di frequenti cambi di impostazioni (es. il Sony Vaio ha uno switch stamina-performance che cambia le impostazioni nel bios), è quella di indicare esplicitamente i registri PCR da usare per il sealing della VMK. Questo si può fare con i seguenti via gpedit.msc -> Administrative Templates - Windows Components -Bitlocker Drive Encryption -> "Configure TPM Platform Validation Profile"

I dati criptati con BitLocker sono inviolabili?
Assolutamente no. BitLocker usa algoritmi pubblicamente documentati e attacchi di forza bruta sono sempre possibili. BitLocker è un deterrente eccezionale per il trafugamento di dati ma non è un espediente magico contro le forze del male. Con sufficiente tempo e risorse qualsiasi algoritmo di criptazione diventa violabile.

Posso conservare la chiave di recupero nella partizione di boot (S:\)?
Certo, ma è come chiudere la porta a chiave e lasciare la chiave nella serratura. Non mi sembra un'ottima idea.

Lo voglio "comprare" ed "installare", cosa devo fare?
BitLocker, come tutte le feature "aziendali" di Vista, è disponibile solo su Vista Enterprise o Vista Ultimate. Su quest'ultima è disponibile - via Ultimate Extra - il BitLocker drive preparation tool che semplifica le operazioni di ripartizionamento dell'HD. In ogni caso una guida passo passo è presente a questa pagina in inglese.

Argomento del prossimo post sul Trusted Computing sarà il controverso meccanismo della remote attestation.

-quack

Technorati Tags: ,

[1] Per memorizzare la chiave su pendrive è necessario - per ovvi motivi - che il sistema BIOS+chiavetta supporti il boot da pendrive: questo garantisce che il codice di pre-boot possa accedere allo VMK sul pendrive senza bisogno di driver

Pubblicato giovedì 27 dicembre 2007 alle 4:58 PM - 9 commenti so far
Archiviato in: Windows, Trusted Computing

Feste comandate

Oggi, a differenza di quanto accade in Italia, qui negli USA si lavora. Il calendario delle feste comandate è ovviamente completamente diverso:

FesteComandate

Il silenzio surreale nel building è impagabile: nel parcheggio ci sono quattro macchine soltanto. Per un papero solitario come me, fichissimo!

-quack

Technorati Tags: ,

Pubblicato mercoledì 26 dicembre 2007 alle 7:16 PM - 0 commenti so far
Archiviato in: Seattle e dintorni

Messaggi di auguri

Pochi giorni fa ho festeggiato i miei primi 35 anni. Un amico, nato esattamente 10 mesi prima di me, mi porge gli auguri in maniera bizarra. Lui alza la palla, io schiaccio:

Compleanno

Due regali eccezionali quest'anno: festeggiare il compleanno in "famiglia" per la prima volta in 10 lunghissimi anni e un corso di nuoto per principianti da fare a Gennaio; roba da buoni propositi, di quelli eterni sempre uguali da anni.

-quack

Pubblicato martedì 25 dicembre 2007 alle 8:14 PM - 3 commenti so far
Archiviato in: Cazzate, Aneddoti