23 giugno Analisi dei Servizi al Cittadino Stato Avanzamento Lavori

23 giugno 2016 © 2003 Hacking Team All Rights Reserved 2 Problematiche (per ora) 1. E’ possibile impersonificare un altro paziente ed ottenere le relative informazioni a. cambiamento del parametro CF nella POST inviata alla servlet FrontController 2. Possibilità di far cambiare il medico (esistono anche altri scenari di attacco derivanti dal punto 1) 3. Potrebbe essere possibile ottenere informazioni anche se il paziente non ha dato il suo consenso a. cambiamento della variabile consenso nel menù 4. Possibile redirect verso un sito malevolo dopo l’autenticazione a. Concatenamento URL per non controllo del parametro goto

Dove si sta indagando… Vengono installate sul computer dell'utente i seguenti componenti: Postazione di Lavoro del Cittadino 3.0 (OcxKitCittadino.dll) Posto di Lavoro del Cittadino – Attestazione (crspdlcx.dll) Posto di Lavoro del Cittadino – Autenticazione utente (OcxCertUpdate.dll) Posto di Lavoro del Cittadino – Interprete Dati (OcxCrsInfo.dll) Tali ActiveX, unitamente alla vulnerabilità del redirect dell'autenticazione utente, potrebbero essere sfruttati da remoto, ad esempio creando un disservizio Blocco della smartcard (PIN) I possibili impatti sono in fase di identificazione e di analisi 23 giugno 2016 © 2003 Hacking Team All Rights Reserved 3

Principali cause Aggirabilità/mancanza del meccanismo di sicurezza per l’autorizzazione (nessuna politica di protezione nell’accesso al dato, smartcard pressoché inutilizzata) Mancanza di sicurezza a livello architetturale (controllo e protezione della sola sessione; sviluppo software da parte di gruppi separati e non comunicanti) Mancanza dei criteri di sicurezza: sicuramente nell’implementazione applicativa e nel testing, forse nella progettazione. Non aderenza a quanto previsto dalla normativa privacy (verifica delle autorizzazioni al trattamento dei dati) 23 giugno 2016 © 2003 Hacking Team All Rights Reserved 4

Necessità a breve termine 1. Approfondire l’analisi sulle componenti target 2. Verificare, o meglio confermare, la sfruttabilità delle vulnerabilità in ambiente di produzione 3. La fase extranet è ancora da effettuare 4. Coinvolgimento di Lombardia Informatica o di chi si ritiene più opportuno 23 giugno 2016 © 2003 Hacking Team All Rights Reserved 5

Studi a completamento 1. Analizzare anche le altre parti dell’applicativo 2. Completare l’analisi con gli altri servizi del portale 3. Eseguire l’analisi anche sulla parte server (Web Application Assessment) 4. Cominciare ad approntare l’idonea strategia di messa in sicurezza dell’intero ambiente a. analisi generale del modello di sicurezza esistente b. revisione dell’intero sistema applicativo c. definizione del security plan d. revisione delle procedure operative ed organizzative esistenti 23 giugno 2016 © 2003 Hacking Team All Rights Reserved 6