Come difendersi dai rischi per la sicurezza se si gioca a poker online?

Nei giorni scorsi la ReVuln, una società di Malta che si occupa di vulnerabilità dei software, ha pubblicato un report sui rischi derivanti per la sicurezza del poker online.

Dopo aver analizzato le piattaforme di tre ditte produttrici di software per gaming (‘B3W’, Microgaming e Playtech) lo studio ha evidenziato notevoli fattori di rischio nella funzione di auto-aggiornamento del client e nel salvataggio della password in locale, in particolar modo quando si usano reti pubbliche e aziendali.

Per capire la reale portata del rischio, e le opportune contromisure da adottare, abbiamo contattato il dottor Luigi Auriemma della ReVuln.

IPC: Perchè l’auto-aggiornamento del software può rappresentare un fattore di rischio per la sicurezza quando si usano reti pubbliche e/o aziendali? Usando una rete privata i rischi diminuiscono?

LA: Ogni volta che un software di Poker Online viene avviato dall’utente, effettua un controllo sui server della rete di Poker dove si appoggia o sui server dell’azienda che produce il software per controllare se ci sono aggiornamenti (nuove versioni del programma che aggiungono funzionalita’ o correggono errori).

Durante questo controllo, però, alcuni software usano connessioni non-SSL (secure socket layers, protocollo che garantisce la cifratura delle comunicazioni), che quindi non possono essere verificate tramite il certificato incluso nel software per avere la certezza che il server a cui si è connessi è quello giusto. Altri software invece implementano in modo errato o parziale il controllo delle firme digitali dei files da aggiornare.

In entrambi i casi è quindi possibile che un attacker capace di dirottare la connessione dell’utente su un suo server (ad esempio tramite DNS hijacking o dirottando il traffico) può eseguire il suo codice malevolo sul computer dell’utente che ha avviato il software di Poker Online. Su reti pubbliche e aziendali quindi c’e’ un reale pericolo, mentre su una rete casalinga questo e’ più limitato.

Scenari di attacco in una rete privata esistono comunque, come ad esempio nel caso di un compagno di stanza (studenti che affittano un appartamento) o di un attacker capace di effettuare hijacking dei DNS di un Internet Provider.

IPC: Disabilitando il salvataggio della password in locale, i rischi evidenziati dal vostro report diminuiscono?

LA: In quel caso uno dei rischi che abbiamo evidenziato nel report, ossia quello inerente il salvataggio delle password, verrebbe meno proprio perchè l’utente non utilizza questa funzione ma resta il problema che se qualcuno conosce username e password può prendere controllo dell’account.

Pokerstars per minimizzare i rischi usa un metodo come quello delle banche (PIN e/o chiavetta RSA) dove anche conoscendo nome utente e password non si può fare nulla. Unico difetto del metodo di Pokerstars e’ che la chiavetta RSA ha un costo per l’azienda in quanto non e’ un semplice “software da scaricare”.

IPC: Che accorgimenti può prendere un utente di una poker-room per aumentare la sicurezza del proprio pc?

LA: Un utente dovrebbe fare il possibile per avere un computer quanto più possibile al riparo dai rischi, ossia seguire le classiche linee guida in materia di sicurezza del proprio PC, ma soprattutto evitare di usare software dove si fa uso di denaro reale su reti non sicure.­­­­­