Vai al contenuto
Le app per il certificato COVID svizzero: ecco dove scaricarle, diffidate delle imitazioni

Le app per il certificato COVID svizzero: ecco dove scaricarle, diffidate delle imitazioni

I certificati COVID svizzeri, che facilitano gli spostamenti da un paese
all’altro e la partecipazione ai grandi eventi, sono ancora in
fase sperimentale
(arriveranno entro fine mese, sia in forma digitale sia in forma cartacea).
Sono però già disponibili per lo scaricamento le due app per la gestione di
questi certificati.

La prima è l’app per gli utenti, quella che custodisce il certificato (anche
per più persone) e si
usa per esibirlo, si chiama Covid Certificate ed è
qui
per iOS (installabile anche su iPad, dalla versione 12.0 e successive) e
qui
per dispositivi Android (compatibile con Android 7.0 e successivi).

La seconda app è quella che serve per verificare i certificati; è usabile da
chiunque per scansionare e verificare la validità dei certificati esibiti e si
chiama
Covid Certificate Check. La trovate
qui
per Android (7.0 e successivi) e
qui
per iOS (12.0 e successivi).

In attesa di poter usare queste app, diffidate delle imitazioni e delle app
quasi omonime presenti negli Store: installate soltanto le versioni originali,
che si possono riconoscere dal nome dello sviluppatore, che è l’Ufficio
federale della sanità pubblica (UFSP/BAG).

Per tutti i dettagli sul funzionamento dei certificati COVID potete leggere
questo mio articolo.

Antivaccinisti, avete rotto i coglioni. Ecco, l’ho detto

Ultimo aggiornamento: 2021/11/24 13:40. Tratto da
questo mio thread
su Twitter, ripulito e ampliato.

A chi ancora pensa che l’antivaccinismo sia semplicemente una rivendicazione
di un diritto personale o di una diversità di opinioni consiglio la lettura
dell’ondata di odio che mi è arrivata per
questo tweet.

Ovviamente silenzio tutti questi hater inesorabilmente, e presumo che
sappiano benissimo che questa è la fine che fanno i loro insulti. Ma lo fanno
lo stesso. Per cui no, mi spiace: l’antivaccinismo rabbioso non è una semplice
differenza di opinioni. È odio. È violenza. E come tale va trattato.

Discutere, ragionare, portare i dati, spiegare concetti è inutile con questa
gente che capisce solo l’odio. Quindi scusatemi se non perdo tempo ad
argomentare con chi tanto ha già deciso in partenza che non ascolterà.

Scusatemi, inoltre, se non spiego per filo e per segno perché non debunko il video X o
la frase Y. E scusatemi se non debunko puntualmente ogni singola frase Y,
video X e grafico Z.

Ammiro la pazienza infinita dei colleghi debunker che in questi quasi due anni
hanno diligentemente cercato di spiegare i miti, le bugie e le manipolazioni
alla base dell’antivaccinismo.

Ma sinceramente, a questo punto, dopo tutto questo tempo, dopo oltre cinque
milioni di morti nel mondo (centrotrentamila morti in Italia), chi non ha
ancora capito non capirà mai. 

Perché il suo antivaccinismo non è basato su argomenti, dati, numeri,
ricerche. Parte dall’odio, dal fottersene degli altri, dall’egoismo smisurato,
dall’arroganza ignorante, e solo dopo sceglie i dati, i video, le frasi
e gli “esperti” che gli confermano la sua visione del mondo.

L’antivaccinista hater non è uno che si è informato male. Non è una persona confusa che ha paura. È uno che
odia in partenza e che nell’antivaccinismo ha trovato l’appiglio per vomitare
il suo odio. Prima c’è l’odio, poi arriva l’antivaccinismo.

Se questa mia descrizione dell’antivaccinismo vi pare drastica o estrema,
ripeto: guardate i commenti che arrivano a qualunque tweet o post sui
vaccini. 

Quindi che si fa? Si rinuncia a fare debunking? Si smette di spiegare
pazientemente cose che ormai sono o dovrebbero essere straovvie? Ossia che il
Covid è un pericolo reale che fa collassare le terapie intensive (di nuovo) e l’intero sistema sanitario a danno di tutti, che il vaccino non è
perfetto ma funziona bene, e che
disquisire sull’ennesimo dettaglio è una perdita di tempo e bisogna
semplicemente vaccinarsi, mettere bene la mascherina, tenere le
distanze e non affollarsi in luoghi poco ventilati, punto e basta?

Opinione personale: , si smette. Io, perlomeno, smetto. I colleghi
più pazienti di me che continueranno avranno tutta la mia ammirazione e tutto
il mio rispetto. Ma per quel che mi riguarda, il tempo delle spiegazioni
pazienti è finito.

È ormai chiaro che c’è una fetta di popolazione, in ogni paese, che è
completamente refrattaria a qualunque spiegazione e ragionamento. Per colpa di
questa fetta, ci stiamo andando di mezzo tutti. Da quasi due anni.

Si è cercato di puntare sul buon senso, sulla solidarietà, sullo spiegare con
parole semplici, sulla fiducia nell’intelligenza del prossimo, ma alla fine
siamo ancora qui, alla quarta e presto quinta ondata, con i malati gravi e i
morti che aumentano. 

E alla fine qualcuno si è arreso all’evidenza e ha deciso che siccome
dialogare non serve a nulla e per colpa degli idioti ci stiamo andando di
mezzo tutti, resta una sola via, da affrontare con sconsolata rassegnazione
dopo aver esaurito tutte le altre. L’obbligo.

L’Austria è la prima in Europa ad aver
esaurito la pazienza. Altri stati non europei l’hanno già fatto da mesi.

Perché se ti dicono che se metti le dita nella presa di corrente rischi la
scossa e tu insisti a dire che prendere la scossa è un tuo diritto e tanto un
po’ di corrente non ha mai ucciso nessuno e la lobby degli elettricisti ce
l’ha con te, allora mi spiace: sei scemo.

E con gli scemi non si perde tempo in spiegazioni. Ci provi una volta, perché
è giusto provarci, dare una possibilità, ma quando vedi che non ti ascoltano
ma anzi ti attaccano e ti insultano, allora lasci perdere. 

Se lo scemo che rivendica il diritto di mettere le dita nella presa di
corrente contro la “dittatura elettrica” si folgora e toglie la corrente al
palazzo, allora gli altri inquilini che devono fare? Sopportare? Mettersi a
discutere con chi dice che 220 volt sono troppi e forse 110 o 50 sarebbero
meglio, anzi facciamo 12 volt e non se ne parla più? Dibattere se togliere
tutte le prese elettriche in ossequio al “principio di precauzione”? O
semplicemente levare la corrente a lui?

Quante cretinate, quanti cavillamenti su numeri, percentuali, “di / con / per”
dobbiamo sopportare, quanti altri malati cronici e morti, quante altre ondate,
quanti altri mesi di chiusure e mascherine dobbiamo pagare per colpa degli
scemi irrecuperabili?

In conclusione, scusatemi la schiettezza: mi sono rotto i coglioni di
sopportare le idiozie degli antivaccinisti. E anche quelle di quei colleghi
giornalisti che, puttane del clic, soffiano sul fuoco pur di vendere qualche
copia in più e compiacere l’omuncolo politico di turno che cavalca qualunque
scemenza pur di accaparrarsi qualche voto in più.

E mi rassegno all’idea che l’appello al buon senso e alla solidarietà è
fallito miseramente. Sarebbe ora di ammettere questo fallimento e agire di
conseguenza. Civilmente, educatamente, ma agire.

Piccolo avviso finale: se mi insultate, verrete silenziati. Se esigete da me
il debunking di questa o quella affermazione sui vaccini, verrete silenziati.
Se mi coinvolgete in battibecchi con gli antivaccinisti, verrete silenziati.
Nessun preavviso, nessun meme con delfino, nessun appello. Non ho più né tempo
né pazienza per queste cose.

Perché avete il sacrosanto diritto alla vostra opinione, ma io ho il
sacrosanto diritto di non doverla ascoltare. E di non rispondere ai
rompicoglioni attaccabrighe.

E per il vostro bene, vaccinatevi.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

Antibufala: Tutti i green pass italiani sono su eMule! Spoiler: no

Antibufala: Tutti i green pass italiani sono su eMule! Spoiler: no

Vedo che si parla molto della scoperta di numerosi green pass italiani su eMule; è partita un’indagine d’urgenza del Garante Privacy italiano. 

Matteo Flora, nel video qui sotto, Dario Fadda su Cybersecurity360.it e Bufale.net hanno già fatto egregiamente il punto della situazione, per cui non mi dilungo, ma in estrema sintesi: lo scenario più plausibile, al momento attuale, è che molto banalmente numerosi utenti di eMule hanno scaricato il proprio certificato Covid e lo hanno lasciato nella cartella Downloads… che è quella che hanno messo in condivisione col mondo in eMule.

Per cui qualcuno ha semplicemente cercato il nome standard dei file dei certificati Covid e ne ha fatto incetta. Poi ha lasciato l’incetta a disposizione degli altri su eMule.

Non c’è nulla, al momento, che faccia pensare a una violazione dei sistemi informatici che generano i “green pass”.

Certo che bisogna essere dei Veri Geni per 

a) usare ancora eMule nel 2021

b) settarlo per accedere alla cartella Downloads generica 

c) salvare il proprio certificato Covid nella cartella Downloads…

… e poi indignarsi perché su eMule si trovano certificati Covid.

Prima che salti fuori il Solito Polemista che dice che lui usa eMule da anni e non gli è mai successo niente, vorrei ricordare che esiste Shareaza LE, una versione di Shareaza usata per il monitoraggio dei circuiti peer-to-peer, dove LE sta per Law Enforcement. Se usate eMule e simili, siete sorvegliati. Se scaricate o condividete (anche per errore) qualunque cosa il cui checksum sia nelle liste di contenuti proibiti gestite dalle agenzie governative di lotta al crimine, verrete identificati in men che non si dica.

Lo so perché ho avuto modo, pochi mesi fa, di vedere concretamente come funziona Shareaza LE e tutto il sistema internazionale di segnalazione per lavoro. Posso solo dire che è stato molto interessante. Linko un paio di esempi statunitensi (uno; due), ma i princìpi tecnici valgono anche in Europa.

Poi non dite che non vi ho avvisato.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

“Green pass” falsi in vendita tramite il sistema italiano, dice il venditore

Su un noto forum di hacking è comparsa un’offerta di “green pass” falsi che
sarebbero prodotti usando un accesso a un sistema italiano, identificato nelle
schermate come “Cartella Sole” (wssole.regione.progetto-sole.it)
dell’Emilia-Romagna.

L’offerta è scritta in inglese maccheronico e in italiano quasi completamente
corretto ma non idiomatico.

Lascio in chiaro l’indirizzo di mail del sedicente venditore perché tanto
l’offerta è facilmente reperibile con un motore di ricerca e la pubblicazione
potrebbe facilitare il lavoro delle autorità, oltre a consentire di ostacolare
l’attività del venditore con un flooding delle sue caselle di mail.

ENGLISH:
– I sell Green Passes by registering directly from the Italian health system
“Cartella Sole” and “ASL”.-
The price amounts to 150EUR, I only accept
Bitcoin payment.

I only comunicate via this two MAIL:  

seriously3@onionmail.org
seriouslyy@onionmail.org

I am new online and have always sold to patients of a doctor.
Want more info? I’ll answer in this thread or via PM.
Please don’t ask for discounts lol.

As proof I have access to the panel, here is the screenshots:

[omissis]


Warning: Don’t lose my time asking stupid questions and don’t write random
commets about scam and shit only because you want it for free or because you
sell my same service, i already sold a lot of GP all over the world and i
have proof of it, about all the conversation with the customers.


ITALIAN:

– Vendo Green Passes registrandomi direttamente dal Sistema sanitario
italiano “Cartella Sole” e “ASL”.-
Il prezzo ammonta a 150EUR, accetto
solo pagamenti Bitcoin.

Io comunico SOLO tramite queste due MAIL: 

seriously3@onionmail.org
seriouslyy@onionmail.org

Sono nuovo online e ho sempre venduto ai pazienti di un medico.
Vuoi maggiori informazioni? Risponderò in questo thread o tramite PM.
Si prega di non chiedere sconti lol.

Come prova ho accesso al pannello, ecco gli screenshot:

[omissis]


Attenzione: non perdere il mio tempo a fare domande stupide e non scrivere
commenti casuali sul fatto che sia truffa e cazzate solo perché lo vuoi
gratuitamente o perché vendi il mio stesso servizio, ho già venduto un sacco
di GP in tutto il mondo e ne ho la prova, su tutte le conversazioni con i
clienti.

Va detto che il modus operandi di questo aspirante criminale (o troll)
non è particolarmente brillante: pubblicare queste offerte in forum
notoriamente monitorati, con tanto di indirizzo di mail facilmente tracciabile
e schermate che identificano il sistema usato, significa lasciare una pista
diretta che porta a casa sua.

Le schermate mostrate dall’offerente sono infatti queste e credo che
contengano informazioni sufficienti a consentire agli inquirenti di
identificare l’incosciente che sta mettendo a rischio tutti con questa frode:

Anche questo caso sembra indicare una violazione a basso livello del sistema (uso illecito da parte di un addetto o di qualcuno che simula di essere un addetto) e non un furto delle chiavi crittografiche di generazione dei “green pass”.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

Il ”green pass” di Bettino Craxi

Vaccino: EU/1/20/1525 

Tipo: J07BX03 (Vaxzevria di AstraZeneca)

Fabbricante: ORG-100001417

1 dose di 1

Data di vaccinazione: 1/10/21

Stato: Polonia

Emittente: Centrum e-Zdrowia

Non dico altro.

 

 

 

 

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

Perché questi codici QR sembrano “green pass” validi di Adolf Hitler, Topolino e Spongebob?

Pubblicazione iniziale: 2021/10/27 00:00. Ultimo aggiornamento: 2021/10/28
13:40.

Sto ricevendo numerose segnalazioni di codici QR come quello qui accanto, che
alcune applicazioni di verifica dei “green pass” considerano validi ma che
sono intestati ad Adolf Hitler. Successivamente si sono aggiunti altri codici
QR intestati a Topolino, a Spongebob e ad altri.

Provate a scansionare i primi tre codici QR di questo articolo con l’app
italiana VerificaC19 o con l’app svizzera equivalente, CovidCheck:
restituiscono HITLER come cognome, ADOLF come nome e
01.01.1900 (oppure 01.01.1930) come data di nascita. Cosa
più importante, queste app di verifica
li accettano come validi.

A prima vista sembrerebbe essere una gravissima violazione dell’affidabilità
del sistema dei green pass o certificati Covid digitali, che minerebbe
alla base la fiducia nel sistema di verifica. In teoria, infatti, soltanto gli
enti o operatori sanitari autorizzati hanno le chiavi crittografiche private
che consentono di generare green pass validi e rendono impossibile
alterare un green pass esistente immettendovi per esempio un nome
differente (questa
è la procedura di richiesta di autorizzazione in Svizzera, per esempio). Ma
affermazioni straordinarie richiedono prove straordinarie, che per ora
scarseggiano.

Questo è un altro codice QR (segnalato da
@reversebrain) che fornisce lo stesso risultato, anche qui con il nome e cognome
interamente in maiuscolo:

Questo, invece, risulta valido ma intestato a Adolf Hitler (in
minuscolo tranne le iniziali), con data di nascita 01.01.1930:

Secondo le prime analisi (grazie
@fuomag9
e alla sua app
Green Pass Decoder), l’ente emittente indicato nei primi due codici QR sarebbe la CNAM francese
(Caisse Nationale d’Assurance Maladie), ma secondo
queste
fonti
e i commenti qui sotto il dato potrebbe essere stato immesso da chiunque abbia
una chiave privata valida per l’emissione dei certificati Covid. La chiave
privata, infatti, consente di firmare un certificato inserendovi qualunque
valore o testo a piacere.

Il primo codice viene interpretato da Green Pass Decoder così:


{
	1:"CNAM",
	4:1697234400,
	6:1635199742,
	-260:{
		1:{
			"v":[
				{
					"ci":"URN:UVCI:01:FR:T5DWTJYS4ZR8#4",
					"co":"FR",
					"dn":2,
					"dt":"2021-10-01",
					"is":"CNAM",
					"ma":"ORG-100030215",
					"mp":"EU/1/20/1528",
					"sd":2,
					"tg":"840539006",
					"vp":"J07BX03"
				}
			],
			"dob":"1900-01-01",
			"nam":{
				"fn":"HITLER",
				"gn":"ADOLF",
				"fnt":"HITLER",
				"gnt":"ADOLF"
			},
			"ver":"1.3.0"
		}
	}
}

Il secondo codice viene letto da Green Pass Decoder come se fosse identico al
primo, mentre il terzo viene decifrato come segue:


{
	4:1685101990,
	6:1635098906,
	1:"PL",
	-260:{
		1:{
			"v":[
				{
					"dn":1,
					"ma":"ORG-100001417",
					"vp":"J07BX03",
					"dt":"2021-07-11",
					"co":"PL",
					"ci":"URN:UVCI:01:PL:1/AF2AA5873FAF45DFA826B8A01237BDC4",
					"mp":"EU/1/20/1525",
					"is":"Centrum e-Zdrowia",
					"sd":1,
					"tg":"840539006"
				}
			],
			"nam":{
				"fnt":"HITLER",
				"fn":"Hitler",
				"gnt":"ADOLF",
				"gn":"Adolf"
			},
			"ver":"1.0.0",
			"dob":"1930-01-01"
		}
	}
}

Secondo queste info,
dob è la data di nascita, fn è il cognome, gn è il nome,
co è il paese di vaccinazione, dn è il numero di dosi ricevute,
dt è la data di vaccinazione, is è l’ente che ha emesso il green
pass, ma è il produttore del vaccino, mp è l’identificativo di
prodotto del vaccino, sd è il numero totale di dosi, tg è la
malattia coperta dal vaccino, vp indica vaccino o profilassi,
ver è la versione dello schema, 4 indica la scadenza del codice
e 6 indica la data di generazione del codice.

Su Raidforums c’è una
discussione
molto lunga e tecnica secondo la quale sembrerebbe che siano state trovate le
chiavi private (o che siano state generate per forza bruta).
Open
ha indagato e dice che sembra che un utente polacco di Raidforums abbia creato
un codice QR a nome di Hitler per dimostrare di essere in grado di farlo e
offre il servizio a pagamento.

Se così fosse, chiunque potrebbe ottenere un green pass fraudolento e
l’intero sistema sarebbe da buttare e rifare da capo (o almeno sarebbe
necessario revocare tutte le chiavi private attuali e cambiarle) e in ogni
caso il green pass avrebbe perso gran parte della sua credibilità
presso l’opinione pubblica non esperta.

Stefano Zanero, docente di
computer security e informatica forense al Politecnico di Milano, ha
commentato
pubblicamente in questo modo:
“che si sia trattato di un leak o quantomeno di un abuso di chiavi di firma
non è che sia discutibile, è abbastanza evidente.”

— 

2021/10/27 1:25. VerificaC19 non riconosce più come validi i codici QR
mostrati qui sopra, o perlomeno questo è quello che dice l’app sul mio
telefono Android, mentre altre persone mi dicono che la loro app continua a
ritenerli validi:

L’app svizzera CovidCheck, invece, li riconosce ancora validi. 

2021/10.27 9:20. Oggi alle 9 circa ho registrato questi due video che
documentano la situazione a quel momento (il rumore che sentite nei video è
prodotto dalla mia gatta MiniCalzini, che è sorda e quindi non sa quanto è
rumorosa quando fa le fusa):

 

2021/10/27 12:10.
Ansa
parla di chiavi sottratte e dice che
“le chiavi che sono state sottratte sono state annullate e, di conseguenza,
sono stati invalidati tutti i green pass generati con quei codici.”

2021/10/27 13:00. Ne parla anche
Il Post. Sembra ormai piuttosto chiaro, anche da alcune verifiche tecniche che mi
sono arrivate confidenzialmente, che almeno la chiave privata francese e
quella polacca usate per firmare questi codici QR sono state rubate o ottenute
in qualche altro modo.

Intanto c’è anche un altro codice QR, stavolta intestato a
Rokotepassieu (cognome) Ota Yhteyttä Wickr (nome) con data di
nascita 06.12.1917. Dai commenti mi dicono che Rokote in
finlandese vuol dire “vaccino”, quindi Rokotepassieu starebbe per
“Passi Vaccino EU”, e Ota Yhteyttä Wickr dovrebbe voler dire
“contattami su Wickr”). Viene tuttora riconosciuto come valido da CovidCheck
ma non da VerificaC19 (perlomeno sul mio telefono Android):

2021/10/27 14:15. VerificaC19 ora non riconosce più come valido il mio
green pass svizzero. La faccenda si fa personale.

2021/10/27 16:40. La vicenda è approdata anche in Svizzera (LaRegione;
RSI.ch). Intanto 
Insicurezzadigitale.com
segnala un sito nel Dark Web (la parte di Internet accessibile via Tor) che
venderebbe green pass falsi a partire da 250 euro.

 

Per chiunque fosse tentato di acquistarne uno sentendosi particolarmente
furbo, ho due spunti di riflessione:

  • Il primo è che se sei disposto a violare la legge e a pagare 250 euro per
    qualcosa che potresti avere gratis semplicemente vaccinandoti, sei il
    bersaglio perfetto per gli spennapolli che popolano il Dark Web.
  • Il secondo è che se lo comperi, non illuderti che duri più di qualche ora:
    basta che un singolo agente di polizia o addetto alla sicurezza ne compri
    uno per sapere quale chiave privata è stata usata per generare i green pass
    falsi e revocare quella chiave e con essa tutti i green pass truffaldini. Ma
    i soldi che hai mandato ai truffatori non saranno altrettanto revocabili.

2021/10/27 20:40. Mi è stata segnalata da fonte confidenziale
l’esistenza di un codice QR che viene riconosciuto come green pass valido, sia
da VerificaC19 sia da Covid-Check, ed è intestato a Mickey Mouse, data
di nascita 31 dicembre 2001. Eccolo.

2021/10/28 00:25. Mi è arrivata la segnalazione di un altro codice QR
falso ma validato dall’app di verifica svizzera, stavolta a nome di Spongebob
Squarepants, nato l’1/10/1900, vaccinato il 27 settembre 2021 nel Regno Unito,
con Ministry of Health come emittente del certificato, tecnicamente
valevole fino al 27 settembre 2022.

Sulla base di tutto questo, di
questa analisi di Denys Vitali, di
quest’altra analisi, del fatto che i green pass falsi sono apparentemente firmati dalle chiavi
di numerosi paesi differenti e anche di alcune informazioni ricevute da fonti
confidenziali, sembra che la spiegazione più plausibile (per ora, sottolineo,
ipotetica) sia questa:

  • alcuni membri di piccole organizzazioni sanitarie autorizzate a emettere i
    certificati Covid avrebbero deciso di abusare della fiducia concessa loro e
    della scarsità di controlli interni (logici e fisici) e quindi avrebbero
    creato questi codici QR falsi per burla o per soldi.
  • Altri truffatori, nei forum online di criminali, avrebbero deciso di
    dire di poter generare green pass a pagamento e avrebbero usato
    questi green pass farlocchi come “dimostrazione” delle loro capacità. Gli
    allocchi pagherebbero e poi i truffatori scapperebbero coi soldi, senza
    consegnare il green pass promesso.

In tal caso, i  green pass corrispondenti sarebbero formalmente “veri”,
nel senso che sarebbero stati emessi da persone autorizzate, e non ci sarebbe
stata alcuna sottrazione massiccia di chiavi crittografiche private di paesi
multipli o sfruttamento di qualche falla tecnica del sistema o (ancora più
improbabile) bruteforcing per trovare queste chiavi. 

Quello degli addetti disonesti è insomma uno scenario che rispetta il Rasoio
di Occam.

2021/10/28 11:25. Matteo Flora ha pubblicato un video nel quale
mostra una tecnica che consentirebbe a quasi chiunque di generare un’anteprima
del green pass, senza salvarla, potendo quindi creare codici QR validi ma falsi senza lasciarne traccia nel sistema. Questa
sarebbe una falla procedurale davvero grossa, che ha parecchi indizi a supporto. Ecco il video:

2021/10/28 13:40. Sono stati trovati almeno sei punti di accesso al sistema di generazione delle anteprime dei green pass, lasciati stupidamente accessibili a chiunque. A questo punto è estremamente improbabile che siano state rubate chiavi crittografiche: i truffatori hanno semplicemente usato quello che gli addetti ai lavori hanno stupidamente lasciato in giro. Non c’è alcun bisogno di rubare chiavi, se la porta è aperta.

 Se scoprite altri dettagli, segnalatemeli nei commenti; aggiornerò questo
articolo man mano che avrò informazioni più dettagliate e sicure.

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

Il Fatto Quotidiano pubblica il QR di un green pass, nonostante i moniti del Garante Privacy

Il Fatto Quotidiano pubblica il QR di un green pass, nonostante i moniti del Garante Privacy

Alla redazione del Fatto Quotidiano non sono bastati tutti gli
avvisi
del Garante di non pubblicare Green Pass. Oggi il FQ ha pubblicato un
articolo
(link intenzionalmente alterato) nel quale la foto, che ho sfuocato qui accanto,
mostra un Green Pass perfettamente leggibile, intestato a Romano C.G., nato il
18/6/66.

Qualcuno ha sovrapposto al codice QR un pallino sfuocato, che però non rende
affatto illeggibile il codice, visto che i codici QR sono
fatti apposta per tollerare danni e cancellazioni.

Per chi obietta
“Ma tanto si tratta solo di nome, cognome e data di nascita”, ricordo
che il codice QR contiene
molti altri dati: lo stato di vaccinazione o meno, la data di eventuale vaccinazione, il tipo
di vaccino e altro ancora. Dati sanitari sensibili, insomma, che non vengono
letti dalle normali app di verifica ma possono essere letti tramite software
facilmente reperibile online. 

2021/10/06 2:50. Il Fatto ha cambiato la foto. La versione attuale non mostra più il codice QR.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

Quel coronavirus di 5 anni fa “creato in Cina”? La ricerca non è affatto cinese

Quel coronavirus di 5 anni fa “creato in Cina”? La ricerca non è affatto cinese

Ultimo aggiornamento: 2020/03/27 00:20.

A proposito della ricerca cinese di cinque anni fa sui coronavirus citata da TGR Leonardo che sta facendo delirare tutti e di cui ho già scritto ieri, avrei una domandina per tutti gli iracondi, politici compresi, che si sono scatenati ad accusare la Cina e a rigurgitare teorie di complotto sui cinesi cattivissimissimi: che figura ci farete, adesso, quando risulta che la ricerca non è affatto cinese?

In Italia i politici Matteo Salvini e Giorgia Meloni hanno “chiesto chiarezza”, come descrive con molto garbo e distacco Tvsvizzera.it. in realtà la Meloni, per esempio, ha tweetato La Cina ci ha mentito? VOGLIAMO LA VERITÀ!. Mi sono permesso di segnalarle i fatti e dai suoi seguaci mi è arrivato addosso di tutto.

Piaccia o meno ai politici e agli iracondi, la Cina non c’entra. Infatti ho ricevuto da una persona che si occupa di bioinformatica in Italia per lavoro queste osservazioni, che ho semplicemente reimpaginato e annotato per maggiore leggibilità. In grassetto trovate i concetti salienti; le note fra parentesi quadre sono mie precisazioni. Ringrazio pubblicamente questa persona ma non ne pubblico l’identità per tutelarla dai suddetti rabbiosi e molestatori.

Questo lavoro del 2015 [l’articolo scientifico citato da TGR Leonardo] viene ripetutamente identificato come il lavoro “realizzato in Cina”, “dei cinesi” e via dicendo. Se però si guardano i nomi e le affiliazioni degli autori, si nota questa cosa:

Elenco degli autori:

Vineet D Menachery (1), Boyd L Yount Jr (1), Kari Debbink (1,2), Sudhakar Agnihothram (3), Lisa E Gralinski (1), Jessica A Plante (1), Rachel L Graham (1), Trevor Scobey (1), Xing-Yi Ge (4), Eric F Donaldson (1), Scott H Randell (5,6), Antonio Lanzavecchia (7), Wayne A Marasco (8,9), Zhengli-Li Shi (4) & Ralph S Baric (1,2)

Elenco delle affiliazioni di ogni autore [riportate in fondo all’articolo di Nature (anche in PDF)]

  1. Department of Epidemiology, University of North Carolina at Chapel Hill, Chapel Hill, North Carolina, USA.
  2. Department of Microbiology and Immunology, University of North Carolina at Chapel Hill, Chapel Hill, North Carolina, USA. 
  3. National Center for Toxicological Research, Food and Drug Administration, Jefferson, Arkansas, USA. 
  4. Key Laboratory of Special Pathogens and Biosafety, Wuhan Institute of Virology, Chinese Academy of Sciences, Wuhan, China. 
  5. Department of Cell Biology and Physiology, University of North Carolina at Chapel Hill, Chapel Hill, North Carolina, USA. 
  6. Cystic Fibrosis Center, Marsico Lung Institute, University of North Carolina at Chapel Hill, Chapel Hill, North Carolina, USA. 
  7. Institute for Research in Biomedicine, Bellinzona Institute of Microbiology, Zurich, Switzerland. 
  8. Department of Cancer Immunology and AIDS, Dana-Farber Cancer Institute, Harvard Medical School, Boston, Massachusetts, USA. 
  9. Department of Medicine, Harvard Medical School, Boston, Massachusetts, USA.

I ricercatori cinesi (che effettivamente sono affiliati all’istituto di virologia di Wuhan) sono solo 2 su 15. La stragrande maggioranza degli altri autori sono ricercatori che lavorano in North Carolina, USA. Per giunta, i ricercatori “responsabili” del lavoro (vale a dire, in ambito biomedico, il primo, l’ultimo e i corresponding authors) sono tutti affiliati alla University of North Carolina:

“Correspondence should be addressed to R.S.B. (rbaric@email.unc.edu) or V.D.M. (vineet@email.unc.edu).”

Non solo: in penultima pagina, Nature Medicine riporta anche il contributo che ogni singolo autore ha dato alla ricerca:

Author contributions. V.D.M. designed, coordinated and performed experiments, completed analysis and wrote the manuscript. B.L.Y. designed the infectious clone and recovered chimeric viruses; S.A. completed neutralization assays; L.E.G. helped perform mouse experiments; T.S. and J.A.P. completed mouse experiments and plaque assays; X.-Y.G. performed pseudotyping experiments; K.D. generated structural figures and predictions; E.F.D. generated phylogenetic analysis; R.L.G. completed RNA analysis; S.H.R. provided primary HAE cultures; A.L. and W.A.M. provided critical monoclonal antibody reagents; and Z.-L.S. provided SHC014 spike sequences and plasmids. R.S.B. designed experiments and wrote manuscript.

Il contributo dei due cinesi appare piuttosto limitato (come è plausibile dalla loro posizione nell’elenco dei nomi). Zhengli-Li Shi ha semplicemente messo a disposizione le sequenze della proteina spike studiata, e i plasmidi (vettori) per introdurla nel virus. Xing-Yi Ge ha fatto esperimenti di “pseudotyping”. Come riporta (in grande sintesi, ma sostanzialmente in modo corretto) Wikipedia: “La pseudotipizzazione è un processo che consiste nella produzione di vettori virali in combinazione con differenti proteine d’envelope. Il risultato è una particella virale pseudotipizzata. Con questo metodo, l’uso di proteine d’envelope di diversa origine permette di modificare il tropismo del vettore o aumentarne/diminuirne la stabilità. Le particelle virali pseudotipizzate non contengono le informazioni genetiche per costruire le stesse proteine di rivestimento con cui hanno fatto budding quindi la mutazione fenotipica non può essere trasmessa alla progenie della stessa particella”.

Quindi, leggendo l’articolo, direi che Xing-Yi Ge ha creato un vettore virale a partire da un lentivirus (quindi non da un coronavirus) in cui ha inserito la proteina da studiare, per capire se questa era la proteina che determinava un aumento di infettività del virus nei confronti dell’essere umano, e ha fatto esperimenti da cui si evince che la proteina spike SHC014, messa da sola sul vettore lentivirale, NON è in grado di infettare le cellule su cui era stata messa a contatto.

Infatti i ricercatori dicono: “In WIV1, three of these residues vary from the epidemic SARS-CoV Urbani strain, but they were not expected to alter binding to ACE2 (Supplementary Fig. 1a,b and Supplementary Table 1). This fact is confirmed by both pseudotyping experiments that meas­ured the ability of lentiviruses encoding WIV1 spike proteins to enter cells expressing human ACE2 (Supplementary Fig. 1) and by in vitro replication assays of WIV1-CoV (ref. 1). In contrast, 7 of 14 ACE2-interaction residues in SHC014 are different from those in SARS-CoV, including all five residues critical for host range (Supplementary Fig. 1c and Supplementary Table 1). These changes, coupled with the failure of pseudotyped lentiviruses expressing the SHC014 spike to enter cells (Supplementary Fig. 1d), suggested that the SHC014 spike is unable to bind human ACE2. However, similar changes in related SARS-CoV strains had been reported to allow ACE2 bind­ing7,8, suggesting that additional functional testing was required for verification.”

Quindi, gli esperimenti fatti dai due cinesi nel lavoro sono sostanzialmente serviti a dire che la proteina da sola non basta per entrare nelle cellule. Di fatto, questi due ricercatori NON hanno creato il virus infettante: hanno creato un costrutto genico che NON è in grado di entrare da solo nelle cellule.

A quanto pare, il virus infettante è stato creato invece da chi ha inserito la proteina SHC014 non in un vettore lentivirale come hanno fatto i cinesi, ma in un coronavirus derivato dal topo. Infatti il lavoro procede dicendo “Therefore, we have synthesized the SHC014 spike in the con­text of the replication-competent, mouse-adapted SARS-CoV back­bone (we hereafter refer to the chimeric CoV as SHC014-MA15). Despite predictions from both struc­ture-based modeling and pseudotyping experiments, SHC014-MA15 was viable and replicated to high titers in Vero cells”.

In parole povere, quello che era fallito con l’esperimento dei cinesi nel lentivirus ha avuto successo inserendo la proteina in un coronavirus di topo. Chi è stato a farlo? Dall’elenco degli autori compare “B.L.Y. designed the infectious clone and recovered chimeric viruses”, quindi l’autore del virus infettivo da laboratorio è stato Boyd L Yount Jr, la cui affiliazione però non è Wuhan, ma la University of Carolina, Stati Uniti.

Da questo io evinco che la “colpa” (se di colpa si può parlare) dell’aver creato il virus artificiale non è di uno scienziato cinese, e probabilmente [questa creazione] non è stata fatta in Cina, ma a UNC, dove è stato concepito, generato e progettato tutto questo lavoro.

Non so quindi perché si continui a parlare di ricerca di cinesi: in questo lavoro a me pare che di cinese ci sia ben poco!

Per giunta, nel servizio di Tg Leonardo ad un certo punto si dice che l’amministrazione americana aveva tagliato i fondi per ricerche che potevano creare virus pericolosi, ma che questo non aveva fermato “il lavoro dei cinesi sulla SARS che era in fase avanzata e ritenuto non così pericoloso”.

Ragioniamo un attimo: con quali strumenti legislativi il governo USA avrebbe potuto tagliare i fondi a uno studio fatto in Cina da cinesi? E’ evidente che si tratta di una inesattezza: il governo USA taglia i fondi agli studi USA, e questo studio era riuscito a “sfuggire” alla moratoria perché era ormai quasi finito, ma è uno studio secondo me prevalentemente fatto negli USA, e il “supervirus” infettante è stato fatto dagli americani, e non dai cinesi.

La persona aggiunge che l’equivoco probabilmente è nato per la seguente ragione:

Nel commentary che è stato pubblicato su Nature News (e che probabilmente è la fonte di TGR Leonardo) si dice:

“In an article published in Nature Medicine on 9 November, scientists investigated a virus called SHC014, which is found in horseshoe bats in China. The researchers created a chimaeric virus, made up of a surface protein of SHC014 and the backbone of a SARS virus that had been adapted to grow in mice and to mimic human disease.”

La lettura frettolosa di questa frase ha fatto diventare cinese non l’origine del pipistrello a ferro di cavallo, ma la ricerca intera! Infatti, più oltre, si riporta anche la questione della moratoria USA e si dice:

“The latest study (vale a dire quello di Menachery et al) was already under way before the US moratorium began, and the US National Institutes of Health (NIH) allowed it to proceed while it was under review by the agency, says Ralph Baric, an infectious-disease researcher at the University of North Carolina at Chapel Hill, a co-author of the study. The NIH eventually concluded that the work was not so risky as to fall under the moratorium, he says.”

Ralph Baric è l’ultimo nome di questo studio, il responsabile, colui che “designed experiments and wrote manuscript” assieme al primo autore, vale a dire Menachery (sempre UNC come affiliazione). Quindi, Ralph Baric, di UNC, giustifica il fatto che malgrado il governo USA avesse messo a ottobre 2014 una moratoria, il lavoro era già stato spedito all’NIH, che ne ha dato l’autorizzazione pensando che non fosse così pericoloso.

Mi sembra che ora tutto quadri. Un “in China” mal interpretato è diventato a 5 anni di distanza il putiferio in cui viviamo ora. Altro che battito di ali di farfalla!

Il riferimento finale al battito delle ali di farfalla è questo.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Antibufala: Salvini sul Corriere, in Svizzera danno 500.000 euro compilando un foglio. È una balla

Antibufala: Salvini sul Corriere, in Svizzera danno 500.000 euro compilando un foglio. È una balla

Ultimo aggiornamento: 2020/03/30 16:20.

Un lettore mi manda questa foto di un articolo del Corriere della Sera nel quale Matteo Salvini dice che “La Svizzera, compilando un foglio, ti mette a disposizione fino a 500mila euro”. È falso.

Io abito e lavoro in Canton Ticino, il cantone svizzero più colpito dal coronavirus, e conosco direttamente la situazione. Sul sito del Dipartimento delle Finanze e dell’Economia del Cantone si trovano tutte le informazioni in proposito, con un approfondimento qui.

Anche TVSvizzera.it ha pubblicato un articolo di chiarimento sull’argomento con un titolo molto chiaro: “No, in Svizzera i soldi non piovono dal cielo”.

Primo: non “mi” mette a disposizione. Li mette a disposizione delle aziende, non dei singoli cittadini o residenti. Accostando il provvedimento svizzero a quello britannico e statunitense, sembra che si tratti di una cifra destinata a ogni singolo abitante. No.

E non è una mia interpretazione personale: Salvini stesso ha detto, al TG2, che secondo lui si applicherebbe a “cittadini e imprese”.


Non solo: come ha notato Bufale un tanto al Chilo, il team mediatico di Salvini ha addirittura messo a confronto il modulo di autodichiarazione per gli spostamenti in Italia con il “foglio” per il credito alle aziende svizzero. Non è un paragone fra mele e pere, ma fra burro e ferrovia:

Secondo: si tratta di un credito ponte, non di una elargizione a fondo perduto, cosa ben diversa dalle misure britanniche e USA.

Terzo: il “fino a” va capito bene, altrimenti sembra che siano soldi a pioggia per tutti. In realtà si tratta di “crediti transitori corrispondenti al massimo al 10% della […] cifra d’affari annua”. In altre parole, viene coperto circa un mese di fatturato, non di più. Il che significa che per avere diritto a 500.000 franchi bisognerebbe avere un fatturato di cinque milioni di CHF.

Quarto: non è vero che si ottiene “compilando un foglio”. La procedura esatta è questa:

La richiesta di credito si effettua in 7 passaggi

  1. Registrazione dei dati relativi all’impresa.
    Registri i dati dell’impresa richiedente, eventualmente effettuando una ricerca nel registro IDI.
  2. Dichiarazione circa i requisiti minimi
  3. Calcolare l’importo del credito
    Indichi l’importo auspicato del credito. Per il calcolo occorre indicare la cifra d’affari.
  4. Organizzazione di fideiussione competente
    EasyGov assegna l’organizzazione di fideiussione competente in funzione della sede dell’impresa. Le imprese a forte partecipazione femminile possono scegliere l’organizzazione di fideiussione SAFFA.
  5. Registri i dati di contatto della banca creditrice.
  6. Panoramica
    Controlli tutti i dati inseriti prima dell’invio.
  7. Conclusione
    Sulla base dei dati registrati, EasyGov genera una richiesta di credito.

Inoltre le imprese devono soddisfare determinati requisiti e devono autocertificare di “subire perdite di fatturato sostanziali in seguito
alla pandemia di coronavirus”
, spiega sempre Tvsvizzera.it. E ci sono controlli: “Se in un secondo momento, dopo un
controllo effettuato a posteriori, le informazioni dovessero rivelarsi
false, vengono inflitte multe (fino a 100’000 franchi)”, precisa il
Dipartimento federale delle finanze (DFF) nella lista di domande e risposte.”

E ovviamente non sono 500.000 euro, ma franchi svizzeri.

Certo, rispetto alle procedure iperburocratiche e labirintiche di altri paesi (come l’Italia), questa è una passeggiata, ma non è così spettacolarmente generosa e abbondante come l’ha descritta ripetutamente Salvini.

Sul ”noi no perché abbiamo l’euro” taccio per compassione. Mi sono permesso di segnalare i fatti a Salvini via Twitter. 

Nota: ogni commento politico verrà cestinato direttamente.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Piccola storia sui diversamente furbi che comprano i “green pass” falsi

Ultimo aggiornamento: 2021/08/09 9:20.

Matteo Flora ha pubblicato poco fa su Twitter questo suo resoconto dedicato alla vicenda dei “green pass” falsi offerti in vendita online. Leggete l’originale e condividetelo, visto che potrebbe educare qualcuno: lo riporto qui ripulendo alcuni refusi. Il link in fondo porta a uno dei gruppi Telegram citati.

I #GREENPASS FALSI? UNA DOPPIA FRODE! 

Può una truffa essere talmente bella da configurarsi come Arte?
La risposta è sì, e la migliore è quella ai danni dei #NoVax che ha visto la luce nelle scorse ore. 

Come forse sapete i “#NoGreenPass” hanno acquistato a caro prezzo (150€-350€), su gruppi #Telegram
che avete visto su tutti i quotidiani, dei documenti falsi nonostante
fosse palese che i pass NON POTEVANO essere contraffatti.  

Ora si sono aggregati in gruppi di “utenti delusi” quando hanno scoperto
che il FOTTUTO GENIO dietro ai gruppi non può e non vuole (ovviamente)
consegnarli. Scoperto l’inghippo, vogliono indietro i soldi, altrimenti
minacciano di denunciare chi glieli ha venduti.

Ma qui viene il bello: i truffatori ora hanno detto ai clienti che hanno
pagato (con codice fiscale e carta d’identità) che O PAGANO un
riscatto di 350€ in Bitcoin OPPURE diffonderanno i documenti online e
faranno avere i nominativi dei clienti alla Polizia.

È tutto così bello da fare quasi piangere. E non so chi tu sia, impavido
truffatore, ma passa che ti stendo di birre e pacche sulle spalle.

#Darwin vince. Sempre. 😀

go.mgpf.it/3irYKVW

La vicenda ha un seguito:

2021/08/09 9:20

La Polizia Postale ha avviato una retata con perquisizioni e sequestri nei confronti degli amministratori di 32 canali Telegram sui quali venivano asseritamente offerti certificati Covid digitali falsi. “Alcuni di questi canali, come «Green Pass ITA» o «Green Pass Italia Acquisto», contavano migliaia di iscritti (oltre 17mila il primo e 35mila il secondo)” (Open).