RSS

Archivi tag: sicurezza

Google Nest Guard, il microfono c’era, ma non si vedeva (e nessuno sapeva)

Nest Guard, sistema di sicurezza domestico, a inizio febbraio è stato aggiornato e Google ha pensato bene di rendere noto che l’update lo ha reso compatibile con il suo assistente vocale. “Strano – hanno pensato gli utenti – le specifiche tecniche non indicano la presenza di un microfono, come può funzionare?” Il problema è proprio nella sbadataggine di Google: non si era dimenticata di integrarlo nel sistema, ma di avvisare i propri ignari utenti che il microfono era già presente.

“Si è trattato di un errore da parte nostra” dicono da Google, riferendosi ovviamente al fatto di non averlo indicato in alcun documento, ma il microfono – sempre a detta loro – “non è mai stato acceso e viene attivato solo quando gli utenti abilitano specificamente l’opzione”. La sua presenza era stata prevista con la prospettiva di aggiungere nuove funzionalità di sicurezza, ad esempio la possibilità di rilevare rumori sospetti, come quello della rottura di un vetro.

La (dis)attenzione di Google per la privacy degli utenti non è una novità, ma l’attenzione degli utenti verso queste problematiche deve essere sempre alta: tutti i dispositivi legati al mondo di smart home e smart building sono connessi e quindi potenzialmente sempre più vulnerabili alle possibilità di sfruttamento remoto da parte di terzi. In assenza di adeguata protezione, queste soluzioni possono consentire a qualcuno non solo di carpire dati personali (come nel caso di un microfono nascosto), ma potrebbero essere utilizzati anche per prendere letteralmente il controllo di un’appartamento o di un edificio e permettere azioni ai danni del proprietario, a partire dalla disattivazione dei sistema di allarme e sorveglianza fino ad arrivare all’attivazione di elettrodomestici e impianti, o all’apertura di porte e finestre.

 

 
Lascia un commento

Pubblicato da su 21 febbraio 2019 in news

 

Tag: , , , , , , , ,

Rousseau e il sondaggio elettronico

Tocco solamente per aspetti tecnici l’argomento Rousseau, intendendo indicare con tale nome ovviamente la Piattaforma Rousseau, il “sistema operativo” del MoVimento 5 Stelle, utilizzato ieri dalle 10 del mattino per la consultazione popolare riguardo all’autorizzazione del tribunale di Catania a procedere nei confronti di Matteo Salvini, vicepresidente del consiglio e ministro dell’Interno, per l’accusa di sequestro di persona per il caso della Nave Diciotti.

Tecnicamente nella giornata di ieri sulla piattaforma sono stati rilevati svariati problemi tecnici, dalla lentezza alla vera e propria impossibilità ad accedere: inizialmente previste dalle 10 alle 19, le operazioni di consultazione sono state spostate di un’ora (e quindi aperte dalle 11 alle 20) per poi essere ulteriormente prorogate fino alle 21.30. Problemi dovuti verosimilmente ad una notevole affluenza – cioè ad un numero di richieste da parte degli utenti – sicuramente superiore alle capacità ricettive del sistema (problemi simili erano già stati rilevati in altre occasioni). Le difficoltà potrebbero anche essere state causate da un attacco informatico (anche qui ci sono dei precedenti, ricordiamo gli attacchi degli hacker EvaristeGalois e R0gue0, che era riuscito ad accedere alla piattaforma, prelevandone dati poi pubblicati), ma al momento l’ipotesi più accreditata è che si sia trattato di problemi dell’infrastruttura, apparentemente non in grado di sostenere operazioni di voto elettronico rivolte a decine di migliaia di utenti. Dopo le 15.30 è stata confermata l’operatività e la raggiungibilità del sistema.

Non mi interessa commentare le polemiche, rilevo solamente che – da quanto dichiarato ufficialmente – alle operazioni hanno partecipato 52.417 iscritti in una sola giornata. L’affluenza non deve rappresentare un problema in contesti simili. Se l’entità di questo riscontro costituisce realmente un problema per la piattaforma Rousseau, significa che la sua infrastruttura non è tecnicamente adeguata a gestire questo numero di richieste e utilizzarla per operazioni consultive, le definisco così senza parlare esplicitamente di “voto elettronico”, poiché ritengo che questo richieda ben altro livello di sicurezza per garantire certezza e anonimato, cioè oggettività che oggi non vedo raggiungibili, indipendentemente dalla tecnologia impiegata, neanche con la blockchain. Rimango dell’idea che operazioni di questo tipo possano essere definite “sondaggio”.

 

 
2 commenti

Pubblicato da su 19 febbraio 2019 in news

 

Tag: , , , , , , , , , , ,

SAR degli smartphone, classifica aggiornata ;-)

Conoscete il SAR del vostro smartphone? Lo so, ho già posto la stessa domanda qualche mese fa, ma credo che l’argomento sia degno di attenzione e di essere riproposto di tanto in tanto, considerando che il SAR (Specific Absorption Rate) indica il livello di onde elettromagnetiche a cui l’utilizzatore di un dispositivo viene esposto.

Su statista.com c’è la nuova classifica di “buoni” e “cattivi”. Vediamo innanzitutto questi ultimi:

E, di seguito, la lista dei “buoni”

Se non trovate i valori relativi al vostro smartphone, potete cercarli qui indicando marca e modello: http://www.bfs.de/SiteGlobals/Forms/Suche/BfS/DE/SARsuche_Formular.html

Ad oggi, è bene ricordarlo, non esiste una ricerca che dimostri con basi scientifiche i livelli di sicurezza effettivi di assorbimento di emissioni da smartphone e telefoni cellulari. Il rapporto tra salute e utilizzo di questi dispositivi è comunque un argomento molto serio, che è stato ed è tuttora oggetto di studio per moltissimi aspetti. Il Bundesamt für Strahlenschutz (L’Ente federale tedesco per la protezione dalle radiazioni) stila queste classifiche in base ad un criterio che considera due soglie di assorbimento, inferiore o superiore a 0,6 watt per kilogrammo.

Non è un valore finalizzato alla criminalizzazione dei dispositivi esaminati, ma un’indicazione in più per la nostra consapevolezza su ciò che comporta l’uso di uno smartphone, sempre più quotidiano e frequente non solo per comunicare. Tenuto in borsa, in tasca o accostato all’orecchio durante una telefonata, uno smartphone ci accompagna sempre.

 
Lascia un commento

Pubblicato da su 15 febbraio 2019 in news

 

Tag: , , , , , , ,

And the winner is… 123456! (le peggiori password del 2018)

Anche quest’anno 123456 è in vetta alla classifica delle peggiori password più utilizzate al mondo! Lo riferisce SplashData, che ha elaborato un database di credenziali (5 milioni di utenze) formato da dati resi pubblici in seguito ad attacchi di varia natura, inclusi phishing e ransomware.

La classifica viene stilata da otto anni e 123456 vince per il quinto anno consecutivo. E’ evidente come, nonostante l’aumento degli attacchi e la crescita delle vulnerabilità rilevate, la consapevolezza degli utenti rimanga sempre allo stesso livello: scarso.

Ferma restando la certezza che nel mondo digitale nulla è sicuro al 100%, è ormai risaputo che una password solida deve rispondere ad alcuni requisiti minimi di complessità che la rendano difficilmente individuabile ed è necessario considerare che, per scoprirla, oltre ad espedienti ingannevoli per carpirle direttamente agli utenti, è possibile ricorrere a programmi che la trovano tentando ogni possibile combinazione di caratteri. Questi sistemi riescono in pochissimo tempo a scovare una password “semplice”: una frazione di secondo è sufficiente per rivelare una password che deriva da un termine presente nel dizionario, altrimenti – in caso di stringhe di caratteri prive di senso compiuto – pochi secondi bastano per individuare una password di sei caratteri, una decina di minuti per una da sette caratteri.

Molti utenti si demotivano a creare password sicure per due ragioni: il tempo e la memoria. Perché il tempo? Perché scegliere una nuova password è una seccatura, quindi spesso viene ideata di fretta perché accade ad esempio di doverne inventare una nuova alla scadenza di una password vecchia, e allora si ricorre ad una soluzione rapida per accedere velocemente a computer o dati. Ma si ha fretta anche quando la si deve digitare, perché anche scrivere una password lunga viene ritenuta una seccatura. A monte di tutto questo c’è la necessità di doversela ricordare – per questo parlavo di memoria – e una password semplice e breve è ovviamente più facile da ricordare di una complessa: si fa prima con “0000” oppure con “Qp5%èMa9C#”?

Però, onestamente, tra digitare una password di 4 zeri e una password complessa, pur composta da lettere, numeri e caratteri speciali, c’è una differenza di qualche secondo. E’ da considerare come un investimento di tempo, breve ma utile alla sicurezza delle informazioni che protegge. Per capire quanto è sicura una password, propongo una piccola verifica su uno di questi due siti web:

Entrambi assicurano di non tenere traccia di quanto digitato, ma in ogni caso non è indispensabile scrivere esattamente la password che intendete utilizzare: è possibile provarne una simile, con lo stesso numero di caratteri e composta con lo stesso criterio.

 
Lascia un commento

Pubblicato da su 17 dicembre 2018 in news, security

 

Tag: , , , ,

Tutti gli smartphone del Presidente (interessano a Cina e Russia)

Cina e Russia intercettano le telefonate personali del presidente Donald Trump: lo riferisce il New York Times citando fonti coperte da anonimato, ma vicine all’attuale POTUS (the President Of The United States) in quanto suoi collaboratori, attuali e non solo. Le finalità, secondo queste fonti, sarebbero diverse e parallele: mentre l’intercettazione della Russia rientrerebbe nell’attività di intelligence mirata alla sicurezza nazionale, la Cina porrebbe attenzione agli argomenti a cui Trump è interessato per mantenere viva una guerra commerciale con gli Stati Uniti, con la complicità di uomini d’affari cinesi in contatto con il presidente americano e alcune persone di sua fiducia.

Secondo le rivelazioni, Trump ha due iPhone “ufficiali”, che la NSA (National Security Agency) ha opportunamente modificato per limitarne la vulnerabilità, uno per l’account Twitter e uno per le telefonate. Ma dispone anche di un terzo iPhone assolutamente standard, che utilizza perché gli permette di memorizzare i contatti (opzione eliminata sugli altri due apparecchi). Non sarebbe stato necessario fare alcuna attività di hacking sugli smartphone: le intercettazioni riguardano comunque le conversazioni telefoniche che viaggiano sulle reti telefoniche fisse e mobili attraverso infrastrutture con apparati, antenne, cavi.

Altri tempi, in confronto al suo predecessore Barack Obama, che non si era sottratto ai vincoli della sicurezza: con il suo smartphone non poteva telefonare (il microfono era disattivato, così come la fotocamera), riceveva mail solo da un indirizzo riservato e non poteva gestire sms. Per chiamare utilizzava il cellulare di un assistente.

Ma la scarsa dimistichezza dell’attuale presidente per la tecnologia ha un risvolto positivo: l’utilizza della posta elettronica da parte di Trump è pressoché nullo, quindi non c’è pericolo di cadere in trappole di phishing.

 
Lascia un commento

Pubblicato da su 25 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Spiati dalle smart tv? Fosse solo quello il problema…

Utenti spiati dalle smart tv, colpiti alcuni modelli di Sony Bravia

Così titolava Repubblica tre giorni fa, introducendo un articolo di Alessandro Longo relativo a tre vulnerabilità ai danni di alcuni modelli di smart tv della gamma Sony Bravia. Gli effetti di queste falle segnalate da Fortinet – che Sony dichiara di aver sanato con il rilascio degli opportuni aggiornamenti – vanno dalla possibilità di controllo totale dell’apparecchio (e quindi ad esempio della webcam, da cui si potrebbe essere spiati e registrati) al malfunzionamento di alcune applicazioni disponibili sul dispositivo.

Come detto sopra, rilevato il problema e individuata la soluzione, il produttore rilascia gli aggiornamenti di sicurezza, ma il dispositivo resta vulnerabile se questi update non vengono scaricati e installati: è quindi vitale verificare le impostazioni del sistema affinché vengano applicati automaticamente appena disponibili.

La gamma Bravia è solo l’ultima (scoperta) tra le possibili vittime di questo tipo di bug: per rimanere in tema di prodotti molto diffusi, in febbraio Consumer Reports aveva illustrato altre criticità per televisori Samsung, TCL e device Roku. Alla base del problema c’è il fatto che i dispositivi connessi alla rete sono sostanzialmente “esposti” e ciò implica la necessità che tale collegamento avvenga in un contesto controllato e consapevole. Dall’altra parte della connessione, infatti, è molto semplice e agevole monitorare gli utenti dei dispositivi connessi, e non importa che si tratti di TV, computer, sistemi di automazione domestica o industriale, smartphone.

Anni fa ho avuto occasione di evidenziare un esempio di quanto Google fosse in grado di controllare gli spostamenti degli utenti attraverso la Location History (cronologia delle posizioni). Quanti, oggi, ne sono consapevoli? Davvero dal Datagate non abbiamo imparato nulla, con tutte le tracce che lasciamo in rete?

 
Lascia un commento

Pubblicato da su 15 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Google plus vicino al tramonto, verrà limitato al mondo business

Google Plus verrà chiuso entro i prossimi dieci mesi. La decisione di staccargli la spina è giunta dopo l’amara constatazione che le sessioni della maggior parte degli utenti (90%) non durano oltre 5 secondi, troppo brevi per essere remunerative. C’è però un altro fattore, emerso recentemente: una vulnerabilità – scoperta lo scorso marzo – che avrebbe esposto i dati  di 500mila account (con profilo non pubblico) al rischio di accesso indesiderato.

L’annunciata chiusura di Google+ riguarda “solo” la parte consumer, mentre rimarrà in vita la versione business. L’azienda è convinta che il suo social abbia notevoli potenzialità per i clienti aziendali e a breve si capirà se il gruppo sarà in grado di ridargli linfa vitale in questa dimensione, oppure se si sarà trattato solo di accanimento terapeutico.

La sua chiusura era questione di tempo, ma va reso atto a Google di aver avuto il coraggio di investire risorse e “dire la sua” in un campo difficile da conquistare, perché già caratterizzato da una leadership consolidata. I tentativi precedenti non sono mancati, le tombe virtuali di Wave e Buzz lo testimoniano, e non è detto che la G non ricompaia nel mondo dei social network sotto nuove spoglie. Oppure – la butto lì – semplicemente nel revamping di YouTube.

 
Lascia un commento

Pubblicato da su 9 ottobre 2018 in news

 

Tag: , , , , , , , , ,

Windows 10 October Update, prima dell’aggiornamento fate un backup

Stando a un buon numero di segnalazioni, vari utenti che hanno provveduto in anticipo all’aggiornamento di Windows 10 lamentano la sparizione di file dalle cartelle Documenti e Immagini, a causa di un bug legato a OneDrive.

L’update verrà rilasciato dalla piattaforma di aggiornamenti automatici Microsoft a partire da martedì 9 ottobre, ma è già possibile ottenerlo direttamente dal sito Microsoft. Onde evitare sorprese, probabilmente è invece opportuno aspettare il normale roll-out. In ogni caso, se non forzate l’aggiornamento, prima del 9 ottobre fate un backup dei vostri dati!

Chi volesse posticipare l’aggiornamento può sospenderlo, aggirando gli automatismi impostati nel sistema operativo: dato che questo update comporta un download piuttosto corposo, è possibile bloccare questo e altri download di dimensioni “importanti” configurando in Windows le impostazioni della connessione a consumo. L’operazione va fatta con la consapevolezza che potrebbero essere impediti aggiornamenti importanti anche per altre applicazioni installate. Chi volesse effettuarla, deve andare su Impostazioni e selezionare Rete e Internet. Dalla colonna sinistra è necessario selezionare Ethernet oppure Wi-Fi (in funzione di quella che si sta utilizzando). Fatto questo, bisogna cliccare sul nome della rete utilizzata per approdare alla pagina delle proprietà. Al paragrafo Connessione a consumo, c’è un interruttore. Attivandolo, si bloccherà il download degli update corposi (come l’October Update).

UPDATE: Microsoft sospende e ritira l’October Update, sia dagli aggiornamenti automatici che dal sito web, che ora è tornato a proporre Windows 10 April 2018 Update

Immagine

 

 
1 Commento

Pubblicato da su 5 ottobre 2018 in news

 

Tag: , , , , ,

Facebook, 50 milioni di account compromessi da una falla. Sì, un’altra

Analitica

Il 2018 non è finito, e nemmeno i problemi di Facebook con i dati dei suoi utenti: secondo il New York Times, 90 milioni di loro in queste ore sono stati indotti ad autenticarsi per accedere di nuovo al social network, dopo l’attivazione di una procedura di sicurezza da parte dello staff guidato da Mark Zuckerberg, in seguito alla scoperta di una falla che ha compromesso la sicurezza dei dati personali relativi a 50 milioni di account.

Se anche a voi è capitato di dover accedere nuovamente tramite app o da browser, ecco spiegato il motivo. Nel frattempo è stato disattivato il servizio “Visualizza come…” (quello che permette all’utente di sapere come la sua timeline viene visualizzata da un determinato amico).

Le indagini sono tutt’ora in corso ed è probabile che a breve si possa capire qualcosa di più sul problema dichiarato. Cifre e versioni potrebbero cambiare. Ma sembra ormai assodato che, nonostante il caso Cambridge Analitica, Facebook continui a trattare i dati degli utenti con un’ingiustificabile disinvoltura e con un’attenzione inadeguata dal punto di vista della sicurezza delle informazioni.

Nel frattempo, la raccomandazione rimane sempre la stessa: non condividete su Facebook informazioni personali (sia nei dati del profilo che in testi, foto e video) che potrebbero essere sfruttate da malintenzionati. Più in generale, non cedete dati personali come contropartita di qualche servizio o beneficio apparentemente gratuito.

Mantenete sempre la consapevolezza del fatto che nel mondo digitale la sicurezza al 100% non esiste. La riservatezza di ciò che vi sta davvero a cuore non ha prezzo.

 
2 commenti

Pubblicato da su 28 settembre 2018 in news

 

Tag: , , , , ,

Non diffondete codici a barre e qr con i vostri dati personali

Senza entrare inutilmente nel merito della polemica sui biglietti “Economy” acquistati dal ministro Luigi di Maio per recarsi in Cina, porrei l’attenzione su un problema di sicurezza che spiega perché pubblicare in quel modo le immagini di biglietti aerei – seppur in nome di una sacrosanta trasparenza – non è affatto una buona idea: oltre alla classe del biglietto, è stato pubblicato in modo trasparente anche il QR code presente sulla sinistra, dalla cui lettura, oltre ai dati del volo, possono emergere informazioni personali (nome, parte dei contatti come indirizzo mail e numero di telefono, riferimenti dello strumento di pagamento). Basta avere un lettore di QR code, disponibile anche in forma di app per smartphone, per ottenerli senza nemmeno correggere l’inclinazione dell’immagine pubblicata. Attenzione!

 
Lascia un commento

Pubblicato da su 21 settembre 2018 in news

 

Tag: , , , , , ,

Occhio al mittente (e al messaggio)

Sono anni che riceviamo messaggi palesemente malevoli come quello riportato in figura, eppure c’è ancora chi ci casca. Per cui nessuna meraviglia se c’è anche chi sprofonda nella trappola indicata oggi dalla Polizia delle Comunicazioni:

È in corso massiva attività di spamming a scopo estorsivo con l’invio di email in cui gli utenti vengono informati dell’hackeraggio del proprio account di posta elettronica ad opera di un gruppo internazionale di Criminali. L’account sarebbe stato hackerato attraverso l’inoculamento di un virus mentre venivano visitati siti per adulti. Da qui scaturisce la minaccia di divulgare a tutti il tipo di siti visitati e la conseguente richiesta di denaro in criptovaluta.

Il messaggio indicato dalla Polizia generalmente si presenta così:

Salve!

Come avrai già indovinato, il tuo account xxxxxxx è stato hackerato, perché è da lì che ho inviato questo messaggio  🙁

Io rappresento un gruppo internazionale famoso di hacker.
Nel periodo dal xx.yy.2018 al xy.yz.2018, su uno dei siti per adulti che hai visitato, hai preso un virus che avevamo creato noi.
In questo momento noi abbiamo accesso a tutta la tua corrispondenza, reti sociali, messenger.
Anzi, abbiamo i dump completi di questo tipo di informazioni.

Nel seguito del messaggio, arriva la richiesta di estorsione, pena la diffusine di tutte le peccaminose informazioni.

In realtà non c’è niente di vero in quelle mail. Quindi, chi ci casca? Un utente che, oltre a non essere troppo smaliziato da capire che si tratta di un’esca, ha visitato – magari una tantum – un sito per adulti. Si tratta di una possibilità ampiamente concreta, perché i siti web vietati ai minori sono tra i più frequentati al mondo. Pertanto, nell’affollato e pescoso mare degli utenti, non è affatto difficile trovare qualcuno che abbocchi facilmente al phishing (espediente per indurre un utente a compiere un’azione apparentemente innocua, ma in realtà foriera di disastri).

Non credete a tutto ciò che ricevete via mail, soprattutto quando l’utente è sconosciuto, o addirittura quando il mittente siete voi (e non vi risulta di aver spedito a voi stessi quel messaggio)! 


 
Lascia un commento

Pubblicato da su 20 settembre 2018 in news

 

Tag: , , , , ,

Occhio agli smartphone che “emettono” di più (e di meno)

Conoscete il SAR del vostro smartphone? SAR sta per Specific Absorption Rate, che in italiano potrebbe essere tradotto come TAS (Tasso di Assorbimento Specifico) ed indica il livello di onde elettromagnetiche a cui l’utilizzatore di un dispositivo viene esposto e si esprime in W/kg (Watt su chilogrammo). Nella Direttiva 2013/35/UE si legge:

Tasso di assorbimento specifico di energia (SAR). Si tratta del valore mediato, su tutto il corpo o su alcune parti di esso, del tasso di assorbimento di energia per unità di massa del tessuto corporeo ed è espresso in watt per kilogrammo (Wkg–1). Il SAR riferito a tutto il corpo è una misura ampiamente accettata per porre in rapporto gli effetti termici nocivi all’esposizione alle radiofrequenze (RF). Oltre al valore del SAR mediato su tutto il corpo, sono necessari anche valori locali del SAR per valutare e limitare la deposizione eccessiva di energia in parti piccole del corpo conseguenti a particolari condizioni di esposizione, quali ad esempio il caso di un individuo esposto a RF dell’ordine di pochi MHz (ad esempio provenienti da riscaldatori dielettrici), e di individui esposti nel campo vicino di un’antenna.

La Direttiva stabilisce un livello massimo di 2 W/kg, ma – come in tutti i casi in cui esistono limiti massimi imposti dalla legge – minore è il valore e meglio è.

La scorsa settimana il portale tedesco Statista ha pubblicato la classifica aggiornata dei 15 smartphone con il SAR più elevato (in termini di valori rilevati quando il dispositivo viene portato all’orecchio) in cui svettano Xiaomi, OnePlus, Huawei ed Apple:

  1. Xiaomi Mi A1: 1,75
  2. OnePlus ST: 1,68
  3. Huawei Mate 9: 1,64
  4. Huawei P9 Plus: 1,48
  5. Huawei GX8: 1,44
  6. Huawei P9: 1,43
  7. Huawei Nova Plus: 1,41
  8. OnePlus 5: 1,39
  9. Huawei P9 Lite: 1,38
  10. Apple iPhone 7: 1,38
  11. Sony Xperia XZ1 Compact: 1,36
  12. OnePlus 6: 1,33
  13. Apple iPhone 8: 1,32
  14. Xiaomi Redmi Note 5: 1,29
  15. ZTE Axon 7 Mini: 1,29

Dalla classifica emerge che tutti gli smartphone rimangono al di sotto della soglia di pericolo per la salute umana (indicata dalla legge e dall’Organizzazione Mondiale della Sanità). Naturalmente, con qualunque telefonino o smartphone, è possibile limitare ulteriormente l’esposizione utilizzando auricolari tradizionali (non Bluetooth). In ogni caso, se volete sapere di più sul telefono che utilizzate, sul sito web del Bundesamt für Strahlenschutz (l’Ufficio Federale Tedesco per la protezione dalle radiazioni) è possibile consultare il database di apparecchi – attuali o fuori produzione – per conoscerne il relativo SAR (è sufficiente inserire marca e modello nella casella di ricerca).

Per equilibrio di informazione, segnalo anche la classifica dei 15 smartphone con il SAR più basso. Qui si nota la presenza di SamsungLG, HTC e Motorola, assenti nella classifica dei meno virtuosi.

Per Samsung, il valore evidenziato per il Galaxy Note 8 è un elemento a favore  che potrebbe contribuire a risollevare l’immagine di questa gamma. che aveva risentito pesantemente dei problemi (di batteria) emersi con il predecessore Note 7.

 
1 Commento

Pubblicato da su 30 agosto 2018 in cellulari & smartphone, news

 

Tag: , , , ,

Più stalker che provider

Circa cinque anni fa ho scritto “Google è un grande follower”, per spiegare come fosse estremamente facile – per Google – tracciare tutti gli spostamenti degli utenti che avessero attivato sullo smartphone i servizi di posizionamento, per poi rivederli nella Location History (Cronologia delle posizioni). Allora la prassi di tracciare gli utenti – seguita dalle aziende attive su Internet – era ancora poco conosciuta (ben nota agli addetti ai lavori, ma non alla maggior parte degli utenti). Oggi le informazioni disponibili su questo argomento sono molte di più, tuttavia negli utenti non si riscontra maggiore consapevolezza. In parole povere, ancora oggi pochi si rendono conto di quanto siano estese e capillari le attività di monitoraggio e controllo delle persone che utilizzano servizi in rete. Naturalmente per “servizi” intendo tutto ciò che viaggia su Internet, dai social network ai sempre più diffusi assistenti vocali. È proprio a questo che è necessario porre massima attenzione, sia nei casi di utilizzo personale che in quelli legati a esigenze professionali e aziendali.

Le tracce appetibili che ognuno di noi lascia in rete sono tante, a partire dall’indirizzo IP, una coordinata univoca attribuita ad ogni computer collegato in rete, che permette l’identificazione e la localizzazione dell’hardware utilizzato. Le informazioni sul software, invece, le danno i browser (Chrome, Edge, Explorer, Firefox, Opera, Safari, eccetera) e altre applicazioni che naturalmente possono fornire dati interessanti, direttamente o attraverso i cookie. Tutti i servizi che orbitano ad esempio attorno a Google (il cui motore registra con accuratezza tutte le ricerche effettuate attraverso tutti i servizi ad esso collegati, da Maps a YouTube), nonché Chrome e il sistema operativo Android presente sugli smartphone, fanno largo uso di queste soluzioni che trattano informazioni preziose per chi ha un business che si regge sulla raccolta di inserzioni pubblicitarie e sulla profilazione degli utenti, a cui sottoporre banner pubblicitari e promozioni in modo sempre più preciso.

Certo indicare sul computer l’indirizzo 8.8.8.8 come server DNS preferito è già un consenso automatico e implicito alla trasmissione dei propri dati di navigazione a Google, ma anche il browser Firefox non ce la dice tutta, quando invia le query DNS degli utenti ai server Cloudflare. Se qualcuno non sapesse di cosa sto parlando, mi spiego in parole misere: i server DNS (Domain Name Server) consentono a tutti gli utenti di collegarsi ai siti Internet attraverso un nome, senza doverne conoscere l’indirizzo IP. Ogni computer, per collegarsi ad un servizio o ad un sito web qualunque, interroga di volta in volta il proprio server DNS di riferimento che traduce per lui un dominio (http://www.nomedelsito.it) nel corrispondente indirizzo IP. Chi è in grado di registrare queste operazioni può dunque fotografare l’attività in rete di un utente e comporne un profilo da memorizzare e studiare. Lo scopo potrebbe essere pubblicitario o politico, ma è importante capire che questi dati hanno un mercato.

Per comprendere quanto ci si possa spingere oltre, un esempio su tutti: quando Facebook è finita nell’occhio del ciclone per il caso Cambridge Analytica, il suo frontman Mark Zuckerberg è stato convocato in audizione al Congresso USA in merito ad una serie di questioni, alle quali – oltre alle (poche) spiegazioni immediate – ha risposto in un secondo momento con un report di 454 pagine. In buona parte il documento contiene le medesime informazioni che ognuno può leggere nelle condizioni di utilizzo del social network (sì, quelle di cui il senatore John Kennedy disse “fanno schifo”), ma in mezzo alla molta aria fritta sono emersi alcuni aspetti interessanti: in primis il fatto che Facebook raccoglie anche dati di utenti non iscritti al social network, attraverso app o siti web che utilizzano le sue tecnologie (il “like” o il “commenta” sotto un articolo, per esempio). Si tratta di dati che potrebbero riguardare le letture o gli acquisti effettuati tramite quei siti, ma soprattutto informazioni ottenute dal dispositivo utilizzato in quella connessione.

Questa ammissione va oltre ciò che è già noto da qualche anno e ciò che l’utente ignora è che tutto è registrabile: dalle caratteristiche tecniche di computer e smartphone connessi alle operazioni compiute dall’utente durante la navigazione (finestre mantenute in primo/secondo piano, movimenti del mouse, segnali Wi-Fi e di telefonia mobile, localizzazione, cookie, eccetera). E non mi riferisco ancora a ciò che potrebbe essere possibile acquisire con l’ausilio di assistenti vocali come Alexa, Cortana, Google Assistant, Siri.

Tutto ciò era in ogni caso già intuibile quando – sempre cinque anni fa – scoppiò il Datagate, lo scandalo che coinvolse la NSA, l’agenzia americana per la sicurezza nazionale, che tuttora intercetta le comunicazioni elettroniche e telefoniche che transitano dagli USA, come spiega The Intercept.

E giusto per chiudere in “tranquillità”: per queste attività di intercettazione – che l’agenzia svolge nell’ambito del programma Fairview – vengono utilizzati otto edifici della compagnia telefonica AT&T, dislocati in altrettante città degli Stati Uniti. Il controllo coinvolge ovviamente il traffico di altre compagnie telefoniche. Tra queste troviamo anche Telecom Italia:

Tutto questo per ricordarci quanto è importante un utilizzo consapevole degli strumenti di comunicazione.

 
1 Commento

Pubblicato da su 3 luglio 2018 in news

 

Tag: , , , , , , , , , , , , , , , , , ,

L’insegnamento di Petya, NotPetya, GoldenEye e affini

Dopo l’ondata di WannaCry, ecco arrivare quella della famiglia Petya (la chiamo così nella consapevolezza che il worm in propagazione in queste ore assomiglia a Petya per alcune parti del suo codice, ma non sembra condividerne altre). Che insieme alle infezioni – che colpiscono i computer – è foriera anche di qualche stranezza, come il titolo di un articolo di giornale che riporto nell’immagine, ma andiamo oltre.

Queste ondate ci fanno capire quanto sia pericoloso non mantenere aggiornati i sistemi che utilizziamo, dal momento che la propagazione avviene attraverso lo stesso exploit di WannaCry (EternalBlue) insieme a EternalRomance. La cancellazione della casella postale a cui gli utenti avrebbero dovuto rivolgersi rende pressoché impossibile procedere a confermare il pagamento del “riscatto”. Inoltre, per essere un ransomware, il piatto piange: i riscatti incassati finora ammontano a circa 4 bitcoin, più o meno 10mila dollari – 9mila euro (su blockchain.info si può verificarne l’aggiornamento). Per questo motivo si profila l’ipotesi che si tratti in realtà di un wiper, ossia un malware pensato per essere di rapida diffusione e dannoso, senza reali intenti estorsivi. Ma potrebbe anche essere un test che prelude ad un attacco di proporzioni maggiori.

Che si tratti di un ransomware, un wiper o qualsiasi altra diavoleria, resta fermo il fatto che provoca danni, forse con target ben determinati, dal momento che il novero delle vittime illustri include colossi come Mondelez, aziende del calibro di Merck, Saint-Gobain, Maersk, TNT e altre ancora. Pertanto è meglio fare in modo di non esserne vittime collaterali. Le falle di sistema sfruttate sono già state tappate da mesi da Microsoft. Quindi le parole chiave per non farsi travolgere sono:

E non è solamente una questione di tutela dei “dati personali”: l’esempio di un’azienda italiana la cui produzione rimane ferma è abbastanza eloquente. A rischio, oltre ai dati personali, ci sono quelli aziendali, legati al ciclo produttivo, al know-how, alle informazioni commerciali e di rilevanza amministrativa. A rischio – senza alcuna esagerazione – c’è il lavoro delle persone, la loro occupazione. La sicurezza assoluta non esiste, ma esiste la possibilità di fare del proprio meglio e quanto necessario per ridurre i rischi.

 
Commenti disabilitati su L’insegnamento di Petya, NotPetya, GoldenEye e affini

Pubblicato da su 29 giugno 2017 in news

 

Tag: , , , , , , , ,

 
%d blogger hanno fatto clic su Mi Piace per questo: