RSS

Archivi tag: sicurezza

Luxottica, a settembre ci fu anche un data breach

21 settembre: i media parlano di un attacco hacker alla Luxottica, con conseguente blocco della produzione nelle sedi Agordo e Sedico (BL). L’azienda – riferisce una nota sindacale Femca-Cisl – dichiara di aver subito un “tentativo mosso dall’esterno di entrare negli apparati informatici Luxottica”. Un attacco ransomware che però, riporta la stessa nota, sarebbe riuscito solo in parte perché le misure di protezione avrebbero retto, non si sarebbe verificato alcun data breach e il blocco della produzione sarebbe stato la conseguenza di una disconnessione precauzionale dei server.

20 ottobre: un tweet di Odisseus, un ricercatore indipendente, svela che Nefilim – un gruppo criminale – ha diffuso sul dark web ben 2 GB di dati dell’azienda veneta, pubblicando una dichiarazione che si conclude così:

Sembra che i consulenti per la sicurezza non sappiano fare il loro lavoro, o che sia stato chiesto loro da Luxottica di mentire per loro. Luxottica sapeva che il breach era avvenuto e ha ricevuto le prove

Oggetto del breach, informazioni sulle risorse umane e sul settore finanziario. La rivelazione spazza via tutte le minimizzazioni diffuse a settembre e fa apparire uno scenario per nulla rassicurante. A farne le spese non è solo Luxottica, che è parte lesa per il danno patrimoniale derivante dall’attacco e dal blocco della produzione, ma anche per questioni di immagine e, forse, di business. Ma le prime vittime di questa violazione sono tutte le persone i cui dati personali – e probabilmente anche sensibili – sono stati pubblicati.

 
Lascia un commento

Pubblicato da su 22 ottobre 2020 in security

 

Tag: , , , , , , ,

Un “virus informatico” può essere un’arma letale

10 settembre – Düsseldorf (Germania): la rete informatica dell’ospedale universitario della città tedesca viene bloccata da un attacco informatico. Una paziente, bisognosa di cure immediate, viene così trasferita al più lontano ospedale di Wuppertal, ma le sue condizioni sono troppo gravi e muore proprio perché non è stato possibile curarla tempestivamente. Secondo quanto riportato dalla stampa tedesca, si tratterebbe del primo caso di morte conseguente ad un ransomware, un malware che attiva un blocco sui contenuti dei computer colpiti, che possono essere sbloccati in seguito al pagamento di un vero e proprio riscatto.

21 settembre – Milano, Belluno, Padova – la rete di alcune sedi di Luxottica subisce un attacco sferrato allo stesso scopo (criptare i dati aziendali). L’azione non ottiene l’effetto sperato da parte dei malintenzionati, ma causa disagi che spingono l’azienda a disattivare alcuni servizi online e sospendere l’attività di alcuni reparti produttivi. Nel giro di alcune ore un problema analogo viene segnalato dal gruppo Carraro: attività lavorativa bloccata, settecento dipendenti in cassa integrazione per alcuni giorni, fino al ripristino dei sistemi informatici dell’azienda.

Sono solo due esempi recenti di quanto pericolisi possano essere attacchi di questo tipo. Gli ultimi in ordine di tempo, ma del tutto simili ad altri che sono accaduti in precedenza, ai danni di molte altre aziende, più o meno note al grande pubblico. Molto spesso – da chi non ha mai subìto conseguenze di rilievo – il “virus informatico” viene ritenuto un problema di lieve entità, con conseguenze superabili, da risolvere con un backup effettuato senza troppa attenzione. La realtà è ben diversa e naturalmente i problemi sono maggiori se l’attività dell’organizzazione ha importanza critica, coinvolge molte persone e viene svolta con un’infrastruttura complessa.

Non è necessario spiegare la criticità dell’attività di un ospedale, che si impegna nel curare e salvare vite umane (e si attendono conferme sulla possibilità che in un ospedale americano siano deceduti quattro pazienti per motivi analoghi), ma non deve sfuggire che un’azienda manifatturiera o di servizi che non può accedere alle proprie informazioni, può essere messa improvvisamente in ginocchio con conseguenze paragonabili alle peggiori crisi di mercato. Gli imprenditori, che sanno cosa significa avere un’azienda ferma e sanno cosa comporta dover mandare a casa i propri dipendenti, comprenderanno sicuramente la necessità di dotarsi di misure di sicurezza adeguate, che non devono più essere considerate un costo, ma un investimento.

Ma anche chi gestisce un servizio di interesse collettivo può cogliere l’occasione di riflettere su quanto possa essere a rischio un’attività il cui funzionamento tutti danno per scontato: dagli acquedotti agli enti che distribuiscono la corrente elettrica, fino alla gestione della viabilità di una città (semafori inclusi), i servizi che possono andare il tilt e creare danno estremamente seri sono moltissimi.

Proporzionalmente, questa necessità riguarda tutti noi: anche il privato cittadino ha solo da perdere, se non mette al sicuro i propri dati. Quindi cominciamo a vedere la sicurezza dei dati come una necessità, non come qualcosa in più.

 
Lascia un commento

Pubblicato da su 28 settembre 2020 in news

 

Tag: , , , , , , , , , , , , , , , , , ,

Perché il filtro automatico ai contenuti “hot” non può funzionare

Un articolo contenuto nel testo del Decreto Giustizia approvato in via definitiva alla Camera contiene una norma – originata da un emendamento firmato dal senatore Simone Pillon – che prevede l’applicazione di un blocco automatico sui contenuti pornografici. L’obiettivo può essere condivisibile, tuttavia, facendo un confronto tra la presentazione di questa norma e il suo testo effettivo, tecnicamente le differenze sono notevoli. La dichiarazione del senatore Pillon, riportata da più fonti, va in una direzione precisa e parla dell’installazione del filtro sui dispositivi:

“È stata accolta (una volta ogni tanto la maggioranza ci ascolta) la mia proposta, che rappresenta la cosa che mi sta più a cuore: l’introduzione dell’obbligo per i fornitori di telefonini, tablet, laptop, tv e altri device di preinstallare gratuitamente sugli apparati un filtro per bloccare contenuti violenti, pornografici o inadeguati per i minori”

Il testo approvato, invece, non coinvolge i fornitori dei dispositivi, bensì gli operatori di telefonia, cioè chi fornisce il servizio di connettività:

Articolo 7-bis. (Sistemi di protezione dei minori dai rischi del cyberspazio)

1. I contratti di fornitura nei servizi di comunicazione elettronica disciplinati dal codice di cui al decreto legislativo 1° agosto 2003, n. 259, devono prevedere tra i servizi preattivati sistemi di controllo parentale ovvero di filtro di contenuti inappropriati per i minori e di blocco di contenuti riservati ad un pubblico di età superiore agli anni diciotto.

2. I servizi preattivati di cui al comma 1 sono gratuiti e disattivabili solo su richiesta del consumatore, titolare del contratto.

3. Gli operatori di telefonia, di reti televisive e di comunicazioni elettroniche assicurano adeguate forme di pubblicità dei servizi preattivati di cui al comma 1 in modo da assicurare che i consumatori possano compiere scelte informate.

4. In caso di violazione degli obblighi di cui al presente articolo, l’Autorità per le garanzie nelle comunicazioni ordina all’operatore la cessazione della condotta e la restituzione delle eventuali somme ingiustificatamente addebitate agli utenti, indicando in ogni caso un termine non inferiore a sessanta giorni entro cui adempiere.

Da qualunque parte la si guardi, la norma così approvata rischia di essere più nociva che benefica, perché mette in difficoltà i fornitori di connettività: chi si vedrà impossibilitato ad applicare il filtro stabilito sarà etichettabile come fuorilegge, mentre chi ci proverà andrà incontro a problemi di discrezionalità e di censura (chi stabilisce se un contenuto deve essere bloccato, e con quali criteri oggettivi?). Ed è proprio per questo motivo che, nel Regno Unito, un’iniziativa analoga si è bloccata.

Il problema non è affatto banale: se la norma avesse davvero previsto l’installazione di un software sui dispositivi, come dichiarato dal senatore Pillon, il controllo sui contenuti sarebbe stato attuabile indipendentemente dal tipo di programma utilizzato. L’utente avrebbe potuto utilizzare TikTok, Facebook, Twitter, WhatsApp, il browser per navigare in Internet o qualunque altra soluzione, e il “filtro” avrebbe impedito l’accesso ai contenuti indicati come “vietati ai minori”.

La norma invece stabilisce che il “controllo parentale” sia applicato da chi fornisce la connettività ed è qui che si apre la questione: è molto difficile che un fornitore di connettività possa bloccare l’accesso a un contenuto “proibito”, perché dovrebbe analizzare tutto il traffico Internet che deriva dalla navigazione di un utente, ma dal momento che questa avviene su connessioni cifrate – ormai per quasi tutti i siti web – il provider non può sapere a quali contenuti l’utente sta accedendo.

Sicuramente può essere semplice bloccare totalmente l’accesso a un portale web dedicato ai contenuti pornografici (si può fare via DNS, soluzione comunque aggirabile, anche se non per tutti), ma è molto meno agevole farlo su piattaforme come i social network, per non parlare di sistemi di messaggistica come WhatsApp.

Per la serie “fatta la legge, trovato l’inganno”, ovviamente sappiamo che è possibile anche bypassare il problema di un blocco totale su un sito web utilizzando una VPN, cioè una connessione cifrata. Esistono soluzioni standard, ma anche soluzioni dedicate (c’è già chi ha pensato di offrire gratuitamente ai propri utenti un servizio VPN dedicato).

L’impressione è che – anche in questo caso – una norma che prevede presupposti tecnici sia stata pensata senza il supporto tecnico di professionisti competenti in materia.

 
Lascia un commento

Pubblicato da su 26 giugno 2020 in news

 

Tag: , , , , , , , , , ,

Immuni, l’app che divide ancor prima di esistere

Grafico App Immuni © Ansa

Questa grafica diffusa dall’ANSA contiene un sommario delle informazioni rese note al pubblico – su cui tutti stanno basando le proprie considerazioni, riflessioni e osservazioni – in riferimento a Immuni, la app per smartphone iOS e Android per il contact tracing dei cittadini risultati positivi al nuovo coronavirus, selezionata dalla task force istituita dal Ministero per l’Innovazione tecnologica e la Digitalizzazione e dal Ministero della Salute, responsabili della scelta.

Innanzitutto, c’è la contraddizione nel nome: si chiama “Immuni” e serve per individuare i soggetti infetti. Probabilmente la scelta di un nome più coerente come “Infetti” ne avrebbe minato l’attrattiva, perché in un nome – così come uno slogan – si deve evitare le negatività: “Positivi” per esempio sarebbe andato benissimo.

Digressioni a parte, il nome dell’app creata da Bending spoons compare sull’ordinanza datata 16 aprile in cui il commissario per l’emergenza Domenico Arcuri ha disposto la stipula del contratto di concessione gratuita della licenza d’uso e di appalto di servizio gratuito. Secondo quanto indicato dal Ministero della Salute, non sarà obbligatoria (ma già si legge di possibili limitazioni negli spostamenti per chi non la vorrà utilizzare) e funzionerà tramite bluetooth, registrando la prossimità tra gli smartphone delle persone con i quali l’utente è venuto a contatto tramite dati “non direttamente idonei” a rivelarne l’identità, che “rimarranno all’interno del cellulare fino all’eventuale diagnosi di contagio”. Escluso l’obiettivo della geolocalizzazione, il fine dell’app è “tracciare per un determinato periodo di tempo degli identificativi criptati dei cellulari con il quale il soggetto positivo al virus è entrato in stretto contatto. Questo accade solo se in entrambi i cellulari è presente l’applicazione di tracciamento”. Tre le informazioni contenute dal “registro dei contatti” della app:

  • dispositivo contattato
  • distanza del contatto
  • durata del contatto

L’elemento su cui convergono molte perplessità – e su cui al momento non sono disponibili dettagli tecnici – è in questo principio: i soggetti entrati in contatto con un utente risultato positivo al nuovo coronavirus, vengono informati di questo contatto con un alert dall’operatore medico autorizzato dal cittadino positivo (così spiega la nota del ministero).

Ma finché non saranno disponibili ulteriori informazioni concrete, inutile alimentare discussioni o fasciarsi la testa per qualcosa che potrebbe non essere di nostro gradimento o interesse. Meglio parlarne quando se ne saprà di più.

 
Lascia un commento

Pubblicato da su 20 aprile 2020 in news

 

Tag: , , , , , , ,

Zoom, abbiamo un problema…

Molti utenti in questo periodo di isolamento o quarantena hanno conosciuto Zoom, una soluzione per videochiamate di gruppo che viene utilizzata da molti insegnanti per lo svolgimento di videolezioni, ma non è solo per la didattica, viene utilizzato anche a livello sportivo e professionale, contesto per il quale è stato pensato (è uno degli strumenti di cui parlavo un mese fa nel post su telelavoro, smart working e didattica a distanza). Gli utenti giornalieri attualmente sono circa 200 milioni, ma fino a dicembre non superavano i 10 milioni. L’impennata ha catturato l’attenzione di alcuni esperti di sicurezza, che si sono preoccupati di analizzarla. Risultato: bene, ma non benissimo.

Il Washington Post ha scoperto che su servizi come Amazon Web Services, Youtube e Vimeo si possono trovare moltissimi video di videochiamate registrate. Zoom permette infatti la registrazione dei meeting e in tal caso ogni partecipante viene avvisato dall’applicazione, quindi è all’utente che spetta gestire se mantenere la registrazione sul proprio computer oppure online e nulla gli impedisce di caricare i video su una piattaforma di suo gradimento. L’azienda si limita a raccomandare estrema cautela e chiede agli utenti di essere “trasparenti” con i partecipanti alle videochiamate (“ah tizio, ti avviso che la registrazione della nostra conversazione vorrei caricarla su Youtube”).
Da una ricerca di The Intercept emerge inoltre che in Zoom la crittografia sarebbe implementata solo tra utente e server della piattaforma, non tra gli utenti. E non è finita: The Verge ci informa che con il software zWarDial è stato possibile scovare in un giorno almeno 2.400 indirizzi di meeting organizzati con Zoom, e se per il meeting non è stata impostata una password… ci si può imbucare (da cui è nato il termine zoombombing). Niente di male per una trasmissione per cui si vuole intenzionalmente avere il maggior numero di partecipanti possibile, ma sarebbe una bella “scocciatura” per un meeting con scambio di informazioni riservate.
I vertici dell’azienda hanno dichiarato di voler risolvere tutti i problemi legati alla privacy, riconoscendo di non essere stati all’altezza delle aspettative degli utenti e di quanto richiesto in termini di sicurezza. Doveroso, ma questo tradisce la superficialità dell’approccio adottato per una piattaforma che si dichiara nata per il mondo enterprise, ma che ha un’intuitività di utilizzo che la rende adatta per il mondo dell’istruzione, oltre che per community di utenti privati.
In ogni caso, due raccomandazioni per quando si crea un meeting con Zoom:
  • se lo registrate, mantenetelo sul vostro computer e non salvatelo online (a meno che non si tratti di uno storage in cloud, vostro e adeguatamente protetto);
  • impostate una password per l’accesso al meeting (quest’ultima indicazione dovrebbe diventare o già essere un default, dato che Zoom pare aver recepito le numerose segnalazioni e lamentele)
 
Lascia un commento

Pubblicato da su 6 aprile 2020 in news

 

Tag: , , , , , , , , , , , ,

INPS up! Bene… ma non benissimo

Uno dice: dopo quanto accaduto ieri, se oggi il sito INPS è di nuovo attivo sarà “a posto”! Giusto?

Pare di no: la ricostruzione curata da Gianmarco Vinciguerra su DR COMMODORE.it ci racconta un’altro problemino: dopo l’accesso al portale nella sezione del bonus baby-sitting, un utente si è trovato di fronte un pannello che sostanzialmente gli permetteva di leggere i dati di tutte le domande inserite in precedenza, con i dati personali dei richiedenti. Ma i dati non solo erano consultabili, ma anche modificabili:

 
Lascia un commento

Pubblicato da su 2 aprile 2020 in Internet, istituzioni, news

 

Tag: , , , , , , ,

Protetti e spiati

Qual è il mestiere di chi lavora per un’agenzia di intelligence? Raccogliere ed elaborare informazioni, senza limiti sugli strumenti utilizzabili, e parte integrante di questa attività è ovviamente lo spionaggio. Per cui non troveremmo nulla di stupefacente nell’apprendere che i servizi segreti USA (cioè la CIA) e quelli tedeschi (cioè la BND) hanno spiato le comunicazioni di oltre un centinaio di Stati per mezzo secolo. Ma il problema è nel “come” hanno condotto per decenni quell’attività di spionaggio, cioè utilizzando i dispositivi di crittografia prodotti da un’azienda svizzera, la Crypto AG. I Paesi adottavano quei dispositivi allo scopo di mettere in sicurezza le proprie comunicazioni, ignorando un’informazione fondamentale: la Crypto era “controllata” – dal punto di vista azionario, quindi a livello di proprietà – proprio da CIA e BND.

L’azienda ha iniziato questa attività durante la seconda guerra mondiale, trovando nell’esercito USA il suo primo cliente. Cavalcando l’evoluzione tecnologica, è cresciuta fino ai giorni nostri, fornendo a vari Paesi nel mondo i propri dispositivi in grado di criptare le comunicazioni più riservate e protette, che però servizi segreti americani e tedeschi erano perfettamente in grado di decodificare. CIA e BND avrebbero acquisito la proprietà della Crypto nel 1970, mediante una fondazione con sede nel Liechtenstein.

Secondo quanto ricostruito dall’inchiesta congiunta dal Washington Post e dalle redazioni giornalistiche della ZDF (emittente tedesca) e della SRF (emittente svizzera), l’agenzia di intelligence avrebbe ceduto le proprie azioni nel 1994, mentre la CIA sarebbe rimasta azionista fino al 2018, quando la proprietà è passata all’azienda svedese Crypto International, che in un comunicato pubblicato in questi giorni (addirittura sulla propria homepage) prende le distanze da tutta la vicenda, definendola “molto angosciante”.

Questa partnership sembrerebbe, a tutti gli effetti, uno dei segreti meglio custoditi durante la Guerra Fredda, che emerge ora proprio da questa inchiesta, che rivela un’enorme operazione di controllo, indicata prima con il nome in codice “Thesaurus” e poi “Rubicon”, e che l’inchiesta definisce “il colpo di stato dell’intelligence del secolo”.

In pratica, i governi clienti di Crypto pagavano inconsapevolmente miliardi di dollari a USA e Germania Occidentale perché potessero leggere le loro comunicazioni più riservate e la “maschera” di azienda operativa in un Paese neutrale come la Svizzera conferiva alla stessa Crypto un’etichetta di affidabilità che le permetteva di entrare sia in mercati alleati che in Paesi “ostili” (ad esempio Libia, Iraq, Iran). Nel portafoglio di Crypto c’erano anche l’Italia e lo Stato Vaticano (che nel frattempo, però, non avrebbero più rinnovato i contratti di fornitura). Assenti Russia e Cina, dato che induce a pensare che i due Paesi non riponessero fiducia nel produttore svizzero.

Sicuramente la vicenda non si chiude qui e avremo modo di parlarne di nuovo, molto probabilmente con nuovi dettagli!

 

 
1 Commento

Pubblicato da su 11 febbraio 2020 in news

 

Tag: , , , , , , , , , , ,

Google Nest Guard, il microfono c’era, ma non si vedeva (e nessuno sapeva)

Nest Guard, sistema di sicurezza domestico, a inizio febbraio è stato aggiornato e Google ha pensato bene di rendere noto che l’update lo ha reso compatibile con il suo assistente vocale. “Strano – hanno pensato gli utenti – le specifiche tecniche non indicano la presenza di un microfono, come può funzionare?” Il problema è proprio nella sbadataggine di Google: non si era dimenticata di integrarlo nel sistema, ma di avvisare i propri ignari utenti che il microfono era già presente.

“Si è trattato di un errore da parte nostra” dicono da Google, riferendosi ovviamente al fatto di non averlo indicato in alcun documento, ma il microfono – sempre a detta loro – “non è mai stato acceso e viene attivato solo quando gli utenti abilitano specificamente l’opzione”. La sua presenza era stata prevista con la prospettiva di aggiungere nuove funzionalità di sicurezza, ad esempio la possibilità di rilevare rumori sospetti, come quello della rottura di un vetro.

La (dis)attenzione di Google per la privacy degli utenti non è una novità, ma l’attenzione degli utenti verso queste problematiche deve essere sempre alta: tutti i dispositivi legati al mondo di smart home e smart building sono connessi e quindi potenzialmente sempre più vulnerabili alle possibilità di sfruttamento remoto da parte di terzi. In assenza di adeguata protezione, queste soluzioni possono consentire a qualcuno non solo di carpire dati personali (come nel caso di un microfono nascosto), ma potrebbero essere utilizzati anche per prendere letteralmente il controllo di un’appartamento o di un edificio e permettere azioni ai danni del proprietario, a partire dalla disattivazione dei sistema di allarme e sorveglianza fino ad arrivare all’attivazione di elettrodomestici e impianti, o all’apertura di porte e finestre.

 

 
Commenti disabilitati su Google Nest Guard, il microfono c’era, ma non si vedeva (e nessuno sapeva)

Pubblicato da su 21 febbraio 2019 in news

 

Tag: , , , , , , , ,

Rousseau e il sondaggio elettronico

Tocco solamente per aspetti tecnici l’argomento Rousseau, intendendo indicare con tale nome ovviamente la Piattaforma Rousseau, il “sistema operativo” del MoVimento 5 Stelle, utilizzato ieri dalle 10 del mattino per la consultazione popolare riguardo all’autorizzazione del tribunale di Catania a procedere nei confronti di Matteo Salvini, vicepresidente del consiglio e ministro dell’Interno, per l’accusa di sequestro di persona per il caso della Nave Diciotti.

Tecnicamente nella giornata di ieri sulla piattaforma sono stati rilevati svariati problemi tecnici, dalla lentezza alla vera e propria impossibilità ad accedere: inizialmente previste dalle 10 alle 19, le operazioni di consultazione sono state spostate di un’ora (e quindi aperte dalle 11 alle 20) per poi essere ulteriormente prorogate fino alle 21.30. Problemi dovuti verosimilmente ad una notevole affluenza – cioè ad un numero di richieste da parte degli utenti – sicuramente superiore alle capacità ricettive del sistema (problemi simili erano già stati rilevati in altre occasioni). Le difficoltà potrebbero anche essere state causate da un attacco informatico (anche qui ci sono dei precedenti, ricordiamo gli attacchi degli hacker EvaristeGalois e R0gue0, che era riuscito ad accedere alla piattaforma, prelevandone dati poi pubblicati), ma al momento l’ipotesi più accreditata è che si sia trattato di problemi dell’infrastruttura, apparentemente non in grado di sostenere operazioni di voto elettronico rivolte a decine di migliaia di utenti. Dopo le 15.30 è stata confermata l’operatività e la raggiungibilità del sistema.

Non mi interessa commentare le polemiche, rilevo solamente che – da quanto dichiarato ufficialmente – alle operazioni hanno partecipato 52.417 iscritti in una sola giornata. L’affluenza non deve rappresentare un problema in contesti simili. Se l’entità di questo riscontro costituisce realmente un problema per la piattaforma Rousseau, significa che la sua infrastruttura non è tecnicamente adeguata a gestire questo numero di richieste e utilizzarla per operazioni consultive, le definisco così senza parlare esplicitamente di “voto elettronico”, poiché ritengo che questo richieda ben altro livello di sicurezza per garantire certezza e anonimato, cioè oggettività che oggi non vedo raggiungibili, indipendentemente dalla tecnologia impiegata, neanche con la blockchain. Rimango dell’idea che operazioni di questo tipo possano essere definite “sondaggio”.

 

 
2 commenti

Pubblicato da su 19 febbraio 2019 in news

 

Tag: , , , , , , , , , , ,

SAR degli smartphone, classifica aggiornata ;-)

Conoscete il SAR del vostro smartphone? Lo so, ho già posto la stessa domanda qualche mese fa, ma credo che l’argomento sia degno di attenzione e di essere riproposto di tanto in tanto, considerando che il SAR (Specific Absorption Rate) indica il livello di onde elettromagnetiche a cui l’utilizzatore di un dispositivo viene esposto.

Su statista.com c’è la nuova classifica di “buoni” e “cattivi”. Vediamo innanzitutto questi ultimi:

E, di seguito, la lista dei “buoni”

Se non trovate i valori relativi al vostro smartphone, potete cercarli qui indicando marca e modello: http://www.bfs.de/SiteGlobals/Forms/Suche/BfS/DE/SARsuche_Formular.html

Ad oggi, è bene ricordarlo, non esiste una ricerca che dimostri con basi scientifiche i livelli di sicurezza effettivi di assorbimento di emissioni da smartphone e telefoni cellulari. Il rapporto tra salute e utilizzo di questi dispositivi è comunque un argomento molto serio, che è stato ed è tuttora oggetto di studio per moltissimi aspetti. Il Bundesamt für Strahlenschutz (L’Ente federale tedesco per la protezione dalle radiazioni) stila queste classifiche in base ad un criterio che considera due soglie di assorbimento, inferiore o superiore a 0,6 watt per kilogrammo.

Non è un valore finalizzato alla criminalizzazione dei dispositivi esaminati, ma un’indicazione in più per la nostra consapevolezza su ciò che comporta l’uso di uno smartphone, sempre più quotidiano e frequente non solo per comunicare. Tenuto in borsa, in tasca o accostato all’orecchio durante una telefonata, uno smartphone ci accompagna sempre.

 
Commenti disabilitati su SAR degli smartphone, classifica aggiornata ;-)

Pubblicato da su 15 febbraio 2019 in news

 

Tag: , , , , , , ,

And the winner is… 123456! (le peggiori password del 2018)

Anche quest’anno 123456 è in vetta alla classifica delle peggiori password più utilizzate al mondo! Lo riferisce SplashData, che ha elaborato un database di credenziali (5 milioni di utenze) formato da dati resi pubblici in seguito ad attacchi di varia natura, inclusi phishing e ransomware.

La classifica viene stilata da otto anni e 123456 vince per il quinto anno consecutivo. E’ evidente come, nonostante l’aumento degli attacchi e la crescita delle vulnerabilità rilevate, la consapevolezza degli utenti rimanga sempre allo stesso livello: scarso.

Ferma restando la certezza che nel mondo digitale nulla è sicuro al 100%, è ormai risaputo che una password solida deve rispondere ad alcuni requisiti minimi di complessità che la rendano difficilmente individuabile ed è necessario considerare che, per scoprirla, oltre ad espedienti ingannevoli per carpirle direttamente agli utenti, è possibile ricorrere a programmi che la trovano tentando ogni possibile combinazione di caratteri. Questi sistemi riescono in pochissimo tempo a scovare una password “semplice”: una frazione di secondo è sufficiente per rivelare una password che deriva da un termine presente nel dizionario, altrimenti – in caso di stringhe di caratteri prive di senso compiuto – pochi secondi bastano per individuare una password di sei caratteri, una decina di minuti per una da sette caratteri.

Molti utenti si demotivano a creare password sicure per due ragioni: il tempo e la memoria. Perché il tempo? Perché scegliere una nuova password è una seccatura, quindi spesso viene ideata di fretta perché accade ad esempio di doverne inventare una nuova alla scadenza di una password vecchia, e allora si ricorre ad una soluzione rapida per accedere velocemente a computer o dati. Ma si ha fretta anche quando la si deve digitare, perché anche scrivere una password lunga viene ritenuta una seccatura. A monte di tutto questo c’è la necessità di doversela ricordare – per questo parlavo di memoria – e una password semplice e breve è ovviamente più facile da ricordare di una complessa: si fa prima con “0000” oppure con “Qp5%èMa9C#”?

Però, onestamente, tra digitare una password di 4 zeri e una password complessa, pur composta da lettere, numeri e caratteri speciali, c’è una differenza di qualche secondo. E’ da considerare come un investimento di tempo, breve ma utile alla sicurezza delle informazioni che protegge. Per capire quanto è sicura una password, propongo una piccola verifica su uno di questi due siti web:

Entrambi assicurano di non tenere traccia di quanto digitato, ma in ogni caso non è indispensabile scrivere esattamente la password che intendete utilizzare: è possibile provarne una simile, con lo stesso numero di caratteri e composta con lo stesso criterio.

 
Commenti disabilitati su And the winner is… 123456! (le peggiori password del 2018)

Pubblicato da su 17 dicembre 2018 in news, security

 

Tag: , , , ,

Tutti gli smartphone del Presidente (interessano a Cina e Russia)

Cina e Russia intercettano le telefonate personali del presidente Donald Trump: lo riferisce il New York Times citando fonti coperte da anonimato, ma vicine all’attuale POTUS (the President Of The United States) in quanto suoi collaboratori, attuali e non solo. Le finalità, secondo queste fonti, sarebbero diverse e parallele: mentre l’intercettazione della Russia rientrerebbe nell’attività di intelligence mirata alla sicurezza nazionale, la Cina porrebbe attenzione agli argomenti a cui Trump è interessato per mantenere viva una guerra commerciale con gli Stati Uniti, con la complicità di uomini d’affari cinesi in contatto con il presidente americano e alcune persone di sua fiducia.

Secondo le rivelazioni, Trump ha due iPhone “ufficiali”, che la NSA (National Security Agency) ha opportunamente modificato per limitarne la vulnerabilità, uno per l’account Twitter e uno per le telefonate. Ma dispone anche di un terzo iPhone assolutamente standard, che utilizza perché gli permette di memorizzare i contatti (opzione eliminata sugli altri due apparecchi). Non sarebbe stato necessario fare alcuna attività di hacking sugli smartphone: le intercettazioni riguardano comunque le conversazioni telefoniche che viaggiano sulle reti telefoniche fisse e mobili attraverso infrastrutture con apparati, antenne, cavi.

Altri tempi, in confronto al suo predecessore Barack Obama, che non si era sottratto ai vincoli della sicurezza: con il suo smartphone non poteva telefonare (il microfono era disattivato, così come la fotocamera), riceveva mail solo da un indirizzo riservato e non poteva gestire sms. Per chiamare utilizzava il cellulare di un assistente.

Ma la scarsa dimistichezza dell’attuale presidente per la tecnologia ha un risvolto positivo: l’utilizza della posta elettronica da parte di Trump è pressoché nullo, quindi non c’è pericolo di cadere in trappole di phishing.

 
Commenti disabilitati su Tutti gli smartphone del Presidente (interessano a Cina e Russia)

Pubblicato da su 25 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Spiati dalle smart tv? Fosse solo quello il problema…

Utenti spiati dalle smart tv, colpiti alcuni modelli di Sony Bravia

Così titolava Repubblica tre giorni fa, introducendo un articolo di Alessandro Longo relativo a tre vulnerabilità ai danni di alcuni modelli di smart tv della gamma Sony Bravia. Gli effetti di queste falle segnalate da Fortinet – che Sony dichiara di aver sanato con il rilascio degli opportuni aggiornamenti – vanno dalla possibilità di controllo totale dell’apparecchio (e quindi ad esempio della webcam, da cui si potrebbe essere spiati e registrati) al malfunzionamento di alcune applicazioni disponibili sul dispositivo.

Come detto sopra, rilevato il problema e individuata la soluzione, il produttore rilascia gli aggiornamenti di sicurezza, ma il dispositivo resta vulnerabile se questi update non vengono scaricati e installati: è quindi vitale verificare le impostazioni del sistema affinché vengano applicati automaticamente appena disponibili.

La gamma Bravia è solo l’ultima (scoperta) tra le possibili vittime di questo tipo di bug: per rimanere in tema di prodotti molto diffusi, in febbraio Consumer Reports aveva illustrato altre criticità per televisori Samsung, TCL e device Roku. Alla base del problema c’è il fatto che i dispositivi connessi alla rete sono sostanzialmente “esposti” e ciò implica la necessità che tale collegamento avvenga in un contesto controllato e consapevole. Dall’altra parte della connessione, infatti, è molto semplice e agevole monitorare gli utenti dei dispositivi connessi, e non importa che si tratti di TV, computer, sistemi di automazione domestica o industriale, smartphone.

Anni fa ho avuto occasione di evidenziare un esempio di quanto Google fosse in grado di controllare gli spostamenti degli utenti attraverso la Location History (cronologia delle posizioni). Quanti, oggi, ne sono consapevoli? Davvero dal Datagate non abbiamo imparato nulla, con tutte le tracce che lasciamo in rete?

 
Commenti disabilitati su Spiati dalle smart tv? Fosse solo quello il problema…

Pubblicato da su 15 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Google plus vicino al tramonto, verrà limitato al mondo business

Google Plus verrà chiuso entro i prossimi dieci mesi. La decisione di staccargli la spina è giunta dopo l’amara constatazione che le sessioni della maggior parte degli utenti (90%) non durano oltre 5 secondi, troppo brevi per essere remunerative. C’è però un altro fattore, emerso recentemente: una vulnerabilità – scoperta lo scorso marzo – che avrebbe esposto i dati  di 500mila account (con profilo non pubblico) al rischio di accesso indesiderato.

L’annunciata chiusura di Google+ riguarda “solo” la parte consumer, mentre rimarrà in vita la versione business. L’azienda è convinta che il suo social abbia notevoli potenzialità per i clienti aziendali e a breve si capirà se il gruppo sarà in grado di ridargli linfa vitale in questa dimensione, oppure se si sarà trattato solo di accanimento terapeutico.

La sua chiusura era questione di tempo, ma va reso atto a Google di aver avuto il coraggio di investire risorse e “dire la sua” in un campo difficile da conquistare, perché già caratterizzato da una leadership consolidata. I tentativi precedenti non sono mancati, le tombe virtuali di Wave e Buzz lo testimoniano, e non è detto che la G non ricompaia nel mondo dei social network sotto nuove spoglie. Oppure – la butto lì – semplicemente nel revamping di YouTube.

 
Commenti disabilitati su Google plus vicino al tramonto, verrà limitato al mondo business

Pubblicato da su 9 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Windows 10 October Update, prima dell’aggiornamento fate un backup

Stando a un buon numero di segnalazioni, vari utenti che hanno provveduto in anticipo all’aggiornamento di Windows 10 lamentano la sparizione di file dalle cartelle Documenti e Immagini, a causa di un bug legato a OneDrive.

L’update verrà rilasciato dalla piattaforma di aggiornamenti automatici Microsoft a partire da martedì 9 ottobre, ma è già possibile ottenerlo direttamente dal sito Microsoft. Onde evitare sorprese, probabilmente è invece opportuno aspettare il normale roll-out. In ogni caso, se non forzate l’aggiornamento, prima del 9 ottobre fate un backup dei vostri dati!

Chi volesse posticipare l’aggiornamento può sospenderlo, aggirando gli automatismi impostati nel sistema operativo: dato che questo update comporta un download piuttosto corposo, è possibile bloccare questo e altri download di dimensioni “importanti” configurando in Windows le impostazioni della connessione a consumo. L’operazione va fatta con la consapevolezza che potrebbero essere impediti aggiornamenti importanti anche per altre applicazioni installate. Chi volesse effettuarla, deve andare su Impostazioni e selezionare Rete e Internet. Dalla colonna sinistra è necessario selezionare Ethernet oppure Wi-Fi (in funzione di quella che si sta utilizzando). Fatto questo, bisogna cliccare sul nome della rete utilizzata per approdare alla pagina delle proprietà. Al paragrafo Connessione a consumo, c’è un interruttore. Attivandolo, si bloccherà il download degli update corposi (come l’October Update).

UPDATE: Microsoft sospende e ritira l’October Update, sia dagli aggiornamenti automatici che dal sito web, che ora è tornato a proporre Windows 10 April 2018 Update

Immagine

 

 
1 Commento

Pubblicato da su 5 ottobre 2018 in news

 

Tag: , , , , ,

 
%d blogger hanno fatto clic su Mi Piace per questo: