Vai al contenuto
Pagare 8 dollari non “verifica” nulla, lo dice persino Twitter

Pagare 8 dollari non “verifica” nulla, lo dice persino Twitter

Ultimo aggiornamento: 2022/11/18 9:50. Questo articolo è stato riscritto
estesamente per tenere conto degli aggiornamenti ed è disponibile anche in
versione podcast audio.

La cosa più bizzarra in tutta la vicenda delle “spunte blu” di Twitter è che
salta fuori che pagare 8 dollari a Twitter per avere un cosiddetto “account
verificato” (che conferisce all’utente questa spunta) in realtà
non verifica assolutamente nulla, e Twitter lo scrive nero su bianco.

In questo momento, e per i prossimi mesi secondo gli
annunci
di Musk (“All unpaid legacy Blue checkmarks will be removed in a few months”), su Twitter ci sono due tipi di bollino blu: quello vecchio stile di
chi si è autenticato mandando un documento e quello di chi ha pagato 8
dollari. 

Visivamente sono identici, ma per distinguerli c’è un trucco: si può
cliccare sul profilo dell’account e poi sul bollino nel profilo. Se le
Informazioni dell’account dicono che l’account è per esempio
“verificato perché è considerato degno di nota”, allora è un account
davvero verificato, alla vecchia maniera. Se invece dicono che
“Questo account è verificato in quanto è abbonato a Twitter Blue”, è un
account che ha semplicemente pagato per il bollino.

[Per fare lo stesso controllo si può anche usare un’estensione per Google
Chrome chiamata
eight dollars, che visualizza concisamente la motivazione del bollino.]

Sono pochissimi gli utenti che sanno di questi metodi di controllo e sono
ovviamente ancora meno quelli che li applicano regolarmente, col risultato che
truffe e inganni possono prosperare più di prima perché ora, grazie alle
modifiche imposte da Elon Musk, i truffatori possono avere addirittura account
apparentemente autenticati.

Facendo clic sul profilo di un utente e poi cliccando sul suo bollino compare
una di queste due finestre informative: sopra, quella del bollino vecchio (di
utente che si è verificato mandando una scansione di un documento e
dimostrando di essere persona o ente degno di nota); sotto, quella del bollino
nuovo (che può avere chiunque, nei cinque paesi abilitati, pagando 8 dollari).
Notate che in entrambi i casi si parla di
“account verificato.

[C’è anche un altro
modo di
distinguere i due tipi di bollino: immettere nella casella di ricerca di
Twitter la stringa filter:blue_verified -filter:verified. Al momento in
cui scrivo questo paragrafo (12 novembre sera) restituisce soltanto account
che hanno pagato per avere il bollino. Chi vuole applicare questa ricerca ai propri follower può aggiungere filter:follows.]

La società di sicurezza informatica
Tripwire
avvisa che i criminali stanno già approfittando della confusione sui bollini
per mandare mail nelle quali si spacciano per il servizio clienti di Twitter e
invitano gli utenti a immettere nome, cognome e password in un modulo online
per non perdere il bollino blu.

Dai criminali è abbastanza ovvio aspettarsi degli inganni. È meno ovvio che
sia Twitter a ingannare gli utenti paganti. Infatti se si leggono le
attuali condizioni di Twitter Blue
(copia permanente) emerge che
non è vero che gli account da 8 dollari sono verificati: lo dichiara
Twitter stesso.
Le condizioni dicono chiaramente che
“Gli account che ricevono la spunta blu nell’ambito di un abbonamento a
Twitter Blue non verranno sottoposti a riesame per confermare che
sono conformi ai criteri di attività, notorietà e autenticità usati
nella procedura precedente”
, quella vecchio stile (“Accounts that receive the blue checkmark as part of a Twitter Blue
subscription will not undergo review to confirm that they meet the
active, notable and authentic criteria that was used in the previous
process”
)

[Ho aggiunto io i grassetti qui sopra per chiarezza. Anche
Ars Technica
ha notato questa dicitura, quindi la contraddizione non è solo una mia
interpretazione].

Non c’è nessun controllo di autenticità. Però Twitter li chiama account
“verificati”. Far pagare per un prodotto che non è quello che dice di
essere non sembra un buon modo per attirare clienti.

Twitter, è ora di proteggere meglio i nostri account

Twitter, è ora di proteggere meglio i nostri account

Ultimo aggiornamento: 2022/11/17 10:40. L’articolo è stato riscritto
estesamente per tenere conto degli aggiornamenti ed è disponibile anche in
versione podcast audio. Immagine generata appositamente da
Lexica.art.

Con le
dimissioni
dei responsabili per la privacy e la
sicurezza
e metà del personale licenziato, Twitter è particolarmente vulnerabile ad
attacchi o a passi falsi dei suoi addetti, sotto stress per le richieste
sempre più incoerenti ed estreme di Elon Musk di effettuare modifiche senza
effettuare prove preliminari.

Sull’azienda pesa anche un
consent agreement con la FTC statunitense, che prevede che ogni nuovo prodotto o servizio sia
sottoposto a un vaglio documentato di sicurezza consegnato per iscritto. In
caso di inadempienza, Twitter dovrebbe pagare sanzioni pesantissime, come già
successo a Facebook. L’impossibilità di fornire questa documentazione a causa
delle richieste continue di modifiche fatte da Elon Musk sarebbe la ragione
principale delle dimissioni dei responsabili di privacy e sicurezza.

Vista la fragilità di Twitter, se lo usate è opportuno fare una copia di
backup del vostro account: trovate le istruzioni nelle pagine Web di
assistenza clienti di Twitter. Una volta fatto il backup, vi conviene
eliminare qualunque messaggio privato potenzialmente imbarazzante.

È infatti importante ricordare che
i messaggi “privati” su Twitter, i cosiddetti DM, non sono cifrati
end-to-end; non lo sono da anni, non è una novità.

Per cui i dipendenti di Twitter possono leggerli e un loro errore tecnico può
esporli a malintenzionati. Oggi più che mai, quindi, è sconsigliabile usarli
per qualunque comunicazione che potrebbe causarvi disagio o imbarazzo qualora
diventasse pubblica.

C’è anche il rischio che il personale neoassunto potrebbe approfittare di
eventuali accessi ai DM per scopi personali. Visto che è stato assunto di
corsa, non si sa se ci sia stato un vaglio o vetting degli assunti.

In ogni caso, è evidente che il momento di minore sicurezza di qualunque
azienda è quello in cui sta avvenendo un grande ricambio del personale. Se poi
dall’alto arrivano richieste continue di modifiche da mettere immediatamente
in produzione, il rischio di un passo falso è molto alto.

A questo punto credo che sia opportuno dare quattro consigli:

  1. Fate un backup del vostro account Twitter
  2. Attivate l’autenticazione a due fattori, se non l’avete già fatto, ma
    attenzione a non uscire dall’account
  3. Eliminate i vostri DM
  4. Usate Signal o altre app con cifratura end-to-end per i messaggi non
    pubblici

Chiedo a chiunque abbia scambiato DM con me di cancellarli, come sto facendo
io. Non ho mai usato i DM per cose particolarmente sensibili, ma preferisco
fare pulizia totale. Grazie.

Come fare un backup del proprio account

Per fare il backup del proprio account, le istruzioni in italiano sono
qui su Twitter

Si riceve un file ZIP che, una volta scompattato, include un file HTML e delle
cartelle contenenti i dati. Il file HTML fa da indice sfogliabile (ma è molto
incompleto; leggete i file README.txt inclusi nello ZIP per sapere come
sfogliare tutti i dati):

Cliccando sulle voci Tweet e Messaggi Diretti della colonna di
sinistra compare un elenco cercabile delle rispettive sezioni. Consiglio
comunque di leggere direttamente i file JSON forniti nello ZIP.

Come eliminare i DM

Attenzione: eliminare i DM li cancella dai vostri dispositivi ma non da
quelli del destinatario e neanche dai server di Twitter. È comunque meglio di
niente, perché se qualcuno vi ruba l’account, approfittando magari di qualche
falla di Twitter, non potrà leggere i vostri DM [Graham Cluley].

Potete inoltre chiedere al destinatario di eliminare i DM che vi siete
scambiati, oppure eliminare completamente il vostro account Twitter. 

Per eliminare rapidamente tutti i messaggi privati scambiati con un dato
utente, sull’app si può toccare l’icona di info in alto a destra nella
conversazione con l’utente in questione e poi toccare
“Elimina conversazione”.

Attenzione all’autenticazione a due fattori

A questo punto normalmente vi consiglierei di verificare di aver attivato
l’autenticazione a due fattori, ma a riprova della fragilità di Twitter in
queste prime settimane della gestione Musk, molti utenti stanno segnalando che
una delle modifiche richieste da Elon Musk ha probabilmente danneggiato il
sistema di autenticazione, per cui chi esce dal proprio account e ha
l’autenticazione a due fattori non riesce a rientrarvi. Siate prudenti.

Trevor Noah spiega il disastro di Twitter in quattro minuti

Trevor Noah spiega il disastro di Twitter in quattro minuti

Spero di avere il tempo di tradurre questa spiegazione azzeccata, da parte di
Trevor Noah, del caos intorno alla gestione di Twitter da quando è arrivato
Elon Musk. Merita. Non solo per la sintesi, ma anche per la riflessione sulla
libertà di espressione tanto sbandierata da Musk: quelli che si dicono tifosi
assoluti di questa libertà stranamente vogliono essere liberi di dire quello
che loro vogliono, ma non vogliono che gli altri siano altrettanto
liberi.

Ringrazio Adriano Pedrana che mi ha mandato questa trascrizione e successiva
traduzione:

Oh, boy. You know, this whole thing happening with Elon Musk and Twitter
reminds me of, I think it was Mike Tyson, who had that line where he said,
“Everybody has a plan until they get punched in the face.” (risate del
pubblico)

Because now, it feels like Elon Musk is just like scrambling, making it up
as he goes along, which I get, which I get. You’ve spent 44 billion dollars
for a company that most people say shouldn’t be more than worth like 20
something billion (risate del pubblico). You’re gonna scramble, you know?

And he’s trying everything. What’s amazing to me is, like, what’s happening
with Elon Musk is a wonderful microcosm to show you how much, or how
quickly, people will abandon what they say is a principle when things aren’t
going their way, you know? So one of the first things Elon said when he took
over was like, “Comedy is now legal on Twitter.” And he was like, “It’s time
for free speech, time for comedy, time for people to actually have fun on
Twitter again!”

And then what people started doing was, they started changing their names to
Elon Musk. (risate del pubblico) Right? So people changed their Twitter
handles to Elon Musk. Then they just started tweeting things as if they were
Elon Musk. They were like, “I’m such a terrible person. My wife left me.”
Just random, random shit, right?

And then Twitter just banned all of their accounts.They’re like, “Suspended,
suspended.” And then he was like, “No parodying of people, unless you say
it’s a parody!” It’s like “What? So it’s not funny now? ” (risate del
pubblico) It’s not funny.

And this is the thing that people never seem to understand, is everybody who
is pro free speech is not pro all speech. What they’re pro is the
speech that they wish to use that might hurt to offend other people.
(applausi del pubblico)

And then, ‘Cause you’re like what’s wrong, Elon? People are just messing
around with their handles. Like, “No, they’re impersonating me.” And it’s
like, “why is that a bad thing?” “Because this could cause harm and panic.”
Oh, it could cause harm and panic? So you’re saying somebody just saying
something could cause harm? “Well, not in the way you’re saying it…”

It’s like, yeah, man, everyone thinks jokes are funny until the joke is
about them. That’s the thing I’ve learned, right?

And now, he’s there and all of it. Like, “Oh the company, we’re gonna do it
like we don’t care.” He’s like, “That’s why I’m buying it, because then, you
don’t have to worry about the advertisers. We’re gonna do this thing.”And
then the advertisers are like, “All right, well, we’re leaving.”
“Wait!” (risate del pubblico) “Wait, I do care about the
advertisers!” (Trevor ride) Oh, man. (applausi del pubblico) 

And then, it’s funny how he does it. Like, even his logic becomes illogical
based on his own logic. So he goes, “We’re gonna do verified for everybody.
You just have to pay 8 dollars.” Which undermines the purpose of
verification. Now I’m not for or against, I think, to be honest with you, I
would love to live in a world where everyone on Twitter is verified. I would
like to know that we’re talking to humans as opposed to a bot or anything
else. So I don’t mind if everyone is verified. But what’s funny is Elon
going like, “No, I’m making this for the people. And so if the people pay 8
dollars, you all get to be verified.”

And it’s like, wait, so if people pay, they’re verified? Yeah. Then
someone was like, then how will you know if this is now a government
institution? ‘Cause someone could just start an account of someone who
doesn’t even have an account. Then they could verify it. Now technically,
there’s no other account that they’re parodying. So are they the account?
And then when people go on, they’re like, “It is the account. It’s
verified”. Do they act on that information? And then, like the team at
Twitter and Elon were like, “No, under the verification will be some sort of
verification to say that they are.” (risate del pubblico) And I’m like, “Oh,
so now, there’s gonna be double verification. What happened to power to the
people?” Now, you are gonna be like, “I’m double verified versus your one
verified.” Then it’s like, oh, all right, 16 dollars? (Trevor ride) Oh, man.

Oh ragazzi. Sapete, tutto quello che sta succedendo con Elon Musk e Twitter
mi riporta in mente… mi pare fosse Mike Tyson e quella sua battuta che
diceva: “Tutti hanno un piano fino a quando non si prendono un pugno in
faccia”. (pubblico ride)

Perché adesso Elon Musk sembra trovarsi in affanno e si sta inventando cose
man mano, e lo capisco, lo capisco. Hai speso 44 miliardi di dollari per
un’azienda che quasi tutti dicono non ne valga più di 20 miliardi circa.
(pubblico ride) Ti trovi in affanno, vero?

E lui le prova tutte. Quello che trovo affascinante è che ciò che sta
accadendo con Elon Musk è come un microcosmo fantastico che mostra quanto o
quanto velocemente le persone abbandonano quelli che chiamano principi
quando le cose non vanno come vorrebbero. E così quando ha concluso
l’acquisizione, una delle prime cose che Elon ha detto è stata: “La comicità
ora è legale su Twitter”. E ha detto: “È arrivato il tempo della libertà di
espressione, della comicità, il tempo in cui la gente potrà tornare a
divertirsi veramente su Twitter!”

E così le persone hanno cominciato a modificare il loro nome usando quello
di Elon Musk. (pubblico ride) Ok? Così la gente ha modificato il proprio
nome visualizzato su Twitter sostituendolo con quello di Elon Musk. E poi
hanno iniziato a scrivere tweet come se fossero lui, cose del tipo: “Sono
una persona terribile. Mia moglie mi ha lasciato”. Cose un po’ a caso, ok?

Poi Twitter ha sospeso tutti questi account: “Sospeso, sospeso”. E Musk ha
detto: “Non si possono fare parodie delle persone, a meno di dichiararlo in
maniera esplicita”. “Ma come? Non è più così divertente ora?” (pubblico
ride) “Non è divertente?”.

Una cosa che la gente sembra non capire è che quelli che sostengono la
libertà di parola non sono a favore dell’espressione delle opinioni di
tutti, ma di quelle che loro vogliono esprimere e che potrebbero offendere o
ferire altre persone (pubblico applaude).

E poi dicono ma cosa c’è di sbagliato Elon? Stanno solo giocando con i loro
nome su Twitter. E lui: “No! Fingono di essere me”. E quindi? Perché è
qualcosa di negativo? “Perché questo potrebbe provocare panico e danni”. Oh,
potrebbe provocare panico e danni? Quindi stai dicendo che il semplice fatto
di dire qualcosa possa provocare danni? “Beh, ma non come lo intendi tu.”

Ed è come se, ok, tutti trovano le battute divertenti a meno che la battuta
non riguardi loro personalmente. Questo è quello che ho capito.

E così, dopo tutto questo lui dice: “Ok gestiamo questa azienda come non ci
interessasse”. E poi dice: “Ecco perché la sto comprando, perché poi non
devi più preoccuparti degli inserzionisti. Faremo così”. E così gli
inserzionisti rispondono: “Ok, allora ce ne andiamo tutti”. “Aspettate!”
(pubblico ride) “Aspettate, gli inserzionisti mi interessano.” (Trevor ride
di gusto) Oh, ragazzi. (pubblico applaude)

Questo suo modo di procedere è così divertente. Persino la sua logica
diventa illogica se la si giudica in base alla sua logica. E così dice:
“Daremo account verificati a tutti. Basta pagare 8 dollari”. Il che mina
l’obiettivo stesso della verifica. Ora, non sono né a favore, né contro a
questa cosa. A essere onesti, mi piacerebbe tanto vivere in un mondo dove
tutti su Twitter sono verificati. Mi piacerebbe sapere che sto dialogando
con esseri umani e non con un bot o qualsiasi altra cosa. Quindi non mi
dispiace che tutti su Twitter vengano verificati. Ma mi diverte sentire Elon
che dice: “No, lo faccio per le persone. E se pagate otto dollari sarete
tutti verificati”.

Aspetta: quindi chi paga sarà verificato? E lui “Sì!”. E poi qualcuno dice,
ma come fai a saperlo? Ora è forse un ente governativo? Perché qualcuno
potrebbe aprire un account col nome di una persona che non ha un suo
account, e farlo verificare. Tecnicamente non c’è un altro account di cui
sta facendo la parodia. Quindi è quello il suo vero account? E così gli
utenti penseranno che si tratti del suo account, visto che è verificato. Si
comporteranno basandosi su questa informazione? A questo punto il team di
Twitter ed Elon rispondono: “No, al di sotto della verifica ci sarà un
qualche tipo di verifica che confermi l’identità. (pubblico ride) Allora io
penso, ok, quindi ci sarà una doppia verifica. Dove è finita l’idea di
restituire il potere alla gente? Ora uno può dire: “Io ho la doppia verifica
e tu solo una”. E così quanto fa: 16 dollari? (Trevor ride) Oh ragazzi.

Dati a spasso nel cloud: un’azienda italiana ha lasciato accessibili le scansioni dei documenti dei clienti

Dati a spasso nel cloud: un’azienda italiana ha lasciato accessibili le scansioni dei documenti dei clienti

Questo articolo è disponibile anche in
versione podcast audio. Ultimo aggiornamento: 2022/09/09 13:00.

Il cloud è bello. Permette di accedere ai propri dati da qualunque dispositivo
in qualunque momento, consente la condivisione e la collaborazione, riduce i
costi aziendali. Ma quando è fatto male e configurato peggio, apre la strada a
disastri di sicurezza e i dati personali diventano accessibili e rubabili da
chiunque. Oggi vi racconto uno di questi disastri.

Mi è arrivata la segnalazione confidenziale, tramite un’app di messaggistica
sicura, di un’azienda italiana che ha un bucket Amazon completamente aperto
e world-readable che causa un data leak
gravissimo.

Traduzione: le scansioni dei documenti d’identità dei clienti di quell’azienda
sono leggibili e scaricabili da chiunque usando un semplice programma di
navigazione, senza dover digitare password o altro, in violazione di tutti i
princìpi e le leggi sulla protezione dei dati personali. Nomi, cognomi,
fotografie, tessere sanitarie, moduli con indirizzi di casa e date di nascita,
insomma tutto quello che serve per un furto di identità di massa o per una
serie di truffe online, è aperto e a disposizione di qualunque saccheggiatore.

Partiamo dalle basi. Un bucket è un contenitore di dati del servizio
cloud di Amazon. Molti utenti comuni non lo sanno, ma Amazon, oltre a essere
un immenso negozio online, è anche un grandissimo fornitore di servizi cloud.
In pratica, numerosissime aziende di tutto il mondo affittano spazio sui
server di Amazon e vi depositano i propri dati. Invece di costruirsi un
cloud

interno, con tutti i costi e le complicazioni del caso, creano un cloud
sui computer di Amazon.

Il problema è che se questo cloud non viene impostato correttamente, i
dati sono accessibili a chiunque, ossia sono leggibili da tutto il
mondo: world-readable, appunto. Basta digitare in un qualsiasi browser
il nome del bucket
dell’azienda, che è facilmente reperibile o intuibile, seguito da
.s3.amazonaws.com, e si ottiene un elenco di tutti i file presenti nel
bucket.

A quel punto diventa banale creare un programma o script che legga
questo elenco e si scarichi tutti i file del bucket della malcapitata
azienda, creando una fuga di dati, ossia un data leak, di proporzioni
epiche.

E in effetti il caso che mi è stato segnalato è particolarmente imbarazzante e
grave. Ho verificato personalmente che i dati dei clienti dell’azienda, circa
un migliaio di file, sono perfettamente accessibili. Non faccio il nome
dell’azienda per ovvie ragioni di sicurezza e mi limito a dire che si tratta
di un nome piuttosto noto nel settore della fornitura di energia elettrica e
di gas in Italia.

Vedo per esempio la carta d’identità di Francesca, che abita a Casalecchio di
Reno, e anche la sua patente e la sua tessera sanitaria. Vedo i documenti di
Aurora, nata a Bologna nel 1997, e quelli parecchio sgualciti di Roberto, nato
a Prato nel 1975. Di queste persone vedo date di nascita, indirizzi di casa,
fotografie a colori. E ce ne sono tante, tante altre, inconsapevoli del fatto
che i loro dati personali sono a spasso sul Web. Se vi siete mai chiesti come
fanno i criminali ad aprire conti correnti o abbonamenti telefonici o altri
servizi senza usare i propri dati personali e farsi tracciare, ora avete la
risposta.

Ora che l’emorragia di dati è accertata, resta il problema di cosa fare. È
impraticabile contattare i singoli utenti per avvisarli che le scansioni dei
loro documenti sono accessibili via Internet e che quindi devono fare
attenzione a eventuali attivazioni fraudolente di servizi a loro nome ed
eventualmente denunciare l’azienda in questione per violazione delle norme
sulla riservatezza dei dati. Gli utenti da contattare sarebbero troppi, e
comunque molti di loro sarebbero diffidenti verso chiunque li contattasse con
un avviso del genere.

Le vittime dell’errore informatico resteranno quindi, purtroppo, all’oscuro di
tutto. Si potrebbe allora contattare l’azienda in questione e avvisarla. Ma
chi mi ha segnalato il problema dice di averlo già fatto, senza ottenere
risultato. L’ho fatto anch’io, trovando con fatica nel sito dell’azienda
l’indirizzo di mail del responsabile per la protezione dei dati, e gli ho
scritto avvisandolo che avrei raccontato pubblicamente la vicenda. Al momento
in cui registro questo podcast non ho ancora avuto risposta. Ma un primo
risultato sembra che ci sia: poco dopo l’invio della mia mail, i dati non
risultano più accessibili. Forse la segnalazione ha avuto effetto.

Purtroppo capita spesso che le aziende facciano invece finta di niente e
continuino a lasciare in bella vista i dati dei loro clienti nonostante siano
state ampiamente avvisate. In casi come questi si finisce per fare una
segnalazione al Garante per la privacy
[in Svizzera si fa all’Incaricato Federale per la Protezione dei Dati], che prende poi i provvedimenti del caso, che possono includere sanzioni
molto elevate.

Queste sanzioni per chi commette errori grossolani dovrebbero in teoria fare
da deterrente e indurre le aziende a lavorare con più attenzione, ma non
sempre è così. In ogni caso, le sanzioni non risolvono il problema che le
informazioni personali degli utenti sono ormai disseminate su Internet e non
c’è modo di riprenderle. E ovviamente dati come la data di nascita o il nome e
cognome non sono modificabili in caso di furto come si fa con le password.

L’unica, magra consolazione è che almeno alcuni dei documenti hanno una data
di scadenza, per cui fra qualche anno le loro scansioni non saranno
utilizzabili. Nel frattempo, a noi utenti, ai quali viene chiesto
continuamente di mandare scansioni di documenti per fare acquisti e
attivazioni online di ogni genere, non resta che alzare la guardia, rifiutando
se possibile queste scansioni e facendo attenzione a eventuali avvisi di
attivazione di servizi o di acquisti sospetti.

Addendum post-podcast 1: Molti commentatori mi hanno giustamente chiesto
come mai non ho segnalato alle autorità, per esempio alla Polizia Postale,
questa violazione delle norme sulla protezione dei dati, dato che si tratta
quasi sicuramente di un reato di cui ho notizia. La risposta è che ho scelto
la strada che prometteva di tutelare più rapidamente le vittime di questa
situazione, ossia i titolari dei documenti pubblicati online.

Se avessi fatto la segnalazione alla Postale o al Garante Privacy italiano, ci
sarebbe stata l’incognita dei suoi tempi di intervento, oltre al tempo che
avrei dovuto spendere per spiegare in dettaglio l’accaduto e per rispondere
all’inevitabile domanda “Ma lei come ha fatto a scoprirlo?” che mi
avrebbe portato a dover spiegare tutta la questione delle fonti confidenziali
e della loro tutela giornalistica. Mandando una mail direttamente all’azienda,
invece, c’era la speranza che ci sarebbe stato un intervento immediato, e
stavolta è andata così. Se non ci fosse stato l’intervento, a quel punto avrei
seguito la strada ben più lenta e tortuosa della segnalazione alle autorità
competenti.

In questo caso è bastata una normale mail (neanche una PEC) molto concisa al
DPO (data protection officer o responsabile per la protezione dei dati)
dell’azienda. Questa:

Buongiorno, sono un giornalista informatico. Vi segnalo che un vostro
bucket
Amazon è completamente aperto e accessibile a chiunque,
consentendo di
accedere a scansioni di documenti personali.

Link di esempio:

https://[omissis].amazonaws.com/filled/%5Bomissis%5D.JPG

Sto
preparando un articolo sulla vicenda, nel quale non citerò
esplicitamente
il nome della vostra azienda per tutelare i vostri clienti.

Naturalmente
è opportuno che provvediate a chiudere questa vulnerabilità.

Vi
chiedo, se possibile, un commento pubblicabile sulla questione.
L’articolo
sarà pubblicato tra circa due ore su Disinformatico.info.

Cordiali
saluti

Paolo Attivissimo

Sono passate ormai quasi 24 ore da quando ho inviato la mail, ma non ho ancora
ricevuto nessuna comunicazione da parte del DPO, nemmeno un semplice
“grazie”. Presumo che non arriverà mai. 

Addendum post-podcast 2: Dai commenti arriva un suggerimento protettivo interessante: quando si fa una scansione/fotocopia di un documento di identità, apporre sopra l’immagine una dicitura del tipo “Scansione ad uso esclusivo di [NomeAzienda]”. In caso di fuga di dati, questo permette di tracciarne la fonte; in caso di uso fraudolento di una scansione o fotocopia, mette in allarme l’azienda alla quale viene inviata indebitamente.

Quando l’intelligenza artificiale esegue gli ordini alla lettera, succedono disastri o c’è da ridere

L’intelligenza artificiale spesso fa quello che le specificano di fare i suoi
creatori invece di fare quello che intendevano. Mi sono imbattuto in
questo tweet
che racconta un esperimento: collegare una rete neurale a un aspirapolvere
robotico Roomba, con l’intento di insegnarli a spostarsi senza scontrarsi
contro gli oggetti. La rete viene “premiata” quando lo spostamento è veloce e
“punita” quando i sensori registrano un impatto. Soluzione geniale trovata
dalla rete neurale: andare in retromarcia, perché non ci sono sensori
d’impatto sul retro e quindi può schiantarsi velocemente contro qualunque cosa
ricevendo solo premi e nessuna punizione.

Collegato a quel tweet ho poi trovato
questo documento in inglese, che compila una serie al tempo stesso esilarante e inquietante di equivoci
e di “furbizie” di questi sistemi di intelligenza artificiale. Alcuni esempi:

  • Una rete neurale concepita per distinguere funghi commestibili e velenosi
    sfrutta il fatto che i dati le vengono presentati in ordine alternato e
    quindi non impara nessuna delle caratteristiche presenti nelle immagini dei
    vari funghi.
  • Creature virtuali hanno il compito di evolversi per diventare sempre più
    veloci. Soluzione: diventare man mano più alte e lasciarsi cadere per terra,
    perché la caduta genera velocità elevate.
  • Un software ha il compito di impilare mattoncini di Lego e quindi viene
    “premiato” quando la coordinata dell’altezza della faccia inferiore di un
    mattoncino aumenta di valore. Soluzione del software: capovolgere tutti i
    mattoncini, facendo in modo che la faccia inferiore sia più in alto di
    prima.
  • Un agente per giocare a Tetris ha il compito di non perdere. Soluzione:
    mettere il gioco in pausa.

Il 21 novembre la RSI dedicherà un programma speciale ai Big Data, alla
robotica e all’intelligenza artificiale. Per saperne di più, seguite
questo link.

Basta un’immagine per far impazzire GPS, telecamera posteriore e infotainment di certe Mazda: 1500 dollari di riparazione

Questo articolo è disponibile anche in versione podcast.

Si fa un gran parlare di automobili “smart”, sempre più connesse e
informatizzate, e poi arrivano notizie come questa che fanno capire quanta
strada (informatica) c’è ancora da fare. 

A Seattle, negli Stati Uniti, centinaia di proprietari di alcuni modelli di
auto Mazda hanno perso improvvisamente l’uso del GPS e della telecamera
posteriore e si sono trovati con l’autoradio bloccata su una singola stazione
radio. La colpa, dice Mazda, è un’immagine che hanno ricevuto, e per sistemare
il problema servirà una riparazione da circa 1500 dollari.

Come è possibile che il semplice atto di ricevere un’immagine possa
danneggiare così tanto un’automobile?

Cominciamo dall’inizio. Ai primi di febbraio 2022 vari proprietari
statunitensi di auto Mazda fabbricate fra il 2014 e il 2017 hanno iniziato a
segnalare su Reddit
un problema strano: di colpo il navigatore GPS si guastava e la telecamera
posteriore diventava inservibile. Il sistema di infotainment, ossia il
computer di bordo e lo schermo che mostrava tutte le informazioni del veicolo,
continuava a riavviarsi. Spegnere e riavviare l’auto non risolveva il
guasto.

C’era anche una coincidenza molto bizzarra: tutte le auto si erano guastate in
questo modo dopo che i proprietari avevano sintonizzato la radio di bordo
sulla stessa stazione FM, KUOW.

L’emittente radio ha notato pubblicamente la coincidenza ma ha dichiarato di
non avere idea del motivo del malfunzionamento.

Inizialmente la colpa è stata data alla transizione della rete cellulare dal
3G al 5G, ma questa giustificazione era tecnicamente priva di senso. Poi è
arrivata la spiegazione reale, che a prima vista non sembra granché sensata
neanche lei: il guasto, ha detto Mazda, era stato causato
dalla stazione radio.

KUOW, infatti, è una delle tante emittenti radiofoniche del mondo che insieme
all’audio trasmette un flusso digitale di dati (specificamente con il sistema
HD Radio). Questo flusso viene ricevuto e
decodificato dalle autoradio appositamente predisposte, mostrando sullo
schermo informazioni come il nome della stazione radio, il titolo del brano
trasmesso e il nome del suo interprete, o un’immagine della copertina del
brano.

Ma KUOW aveva diffuso un’immagine al cui nome mancava l’estensione standard,
per esempio
JPG, GIF (in inglese si pronuncia ghif; in italiano gif con la G di “giraffa”)
o PNG, e il computer di bordo delle Mazda, che si aspettava che tutte
le immagini ricevute avessero un nome completo e corretto, è andato in
crash, e ci è rimasto, bloccato in un loop infinito, perché non
riusciva a riconoscere e gestire un file d’immagine privo di estensione. Non è riuscito a uscire dal loop perché quando si riavviava, la prima cosa che faceva era tentare di identificare l’immagine,
ma falliva e quindi andava di nuovo in crash. Non è un comportamento molto
smart.

Mazda ha
confermato
questa spiegazione, dicendo che la Connectivity Master Unit delle auto
colpite da questo problema non è riparabile e dovrà essere sostituita. Questo
componente costa 1500 dollari e verrà sostituito gratuitamente, ma al momento
è introvabile a causa di ritardi logistici. 

Riferisce Gizmodo

Between 1/24-1/31, a radio station in the Seattle area sent image
files with no extension (e.g., missing .jpeg or .gif), which caused an
issue on some 2014-2017 Mazda vehicles with older software,” Tamara
Mlynarczyk, a public affairs manager at Mazda North American Operations,
wrote to Gizmodo. “Mazda North American Operations (MNAO) has
distributed service alerts advising dealers of the issue.

In sintesi, ancora nel 2017, quindi solo cinque anni fa, una casa
automobilistica metteva sul mercato un computer di bordo che poteva essere
danneggiato permanentemente, in modo fisico, mandandogli semplicemente
un’immagine con un nome leggermente diverso da quello che si aspettava. Il software di quel computer era
scritto così male da non saper riconoscere un’immagine se l’immagine non si
presentava
esattamente con il nome giusto.

E non è neanche la prima volta che succede. Nel 2019 alcune Mazda erano
impazzite quando i loro proprietari avevano cercato di ascoltare uno specifico
podcast. La colpa, ancora una volta, era del software, che non sapeva gestire
una cosa banale come un carattere non alfabetico nel nome del podcast. Il
podcast, infatti, si intitolava
99% Invisible, con il numero scritto in cifre e accompagnato dal simbolo di percentuale.
Quel simbolo veniva interpretato male, causando un crash.

Va sottolineato che questo incidente con la stazione radio KUOW non riguarda
delle auto connesse a Internet: il “malware”, se vogliamo chiamarlo così,
ossia l’immagine involontariamente ostile, viene ricevuto via radio. Oggi molti
utenti, soprattutto informatici, sono preoccupati per la nuova tendenza a
collegare le auto a Internet e credono che quelle non connesse siano più
sicure. Ma questo episodio dimostra che non è necessariamente così.

Il problema di fondo, qui, non è la connessione a Internet o meno: è il modo
in cui viene scritto il software che oggi gestisce praticamente qualunque
automobile. Se non è scritto bene, rispettando regole elementari come
“non fidarti ciecamente di quello che ti arriva” (la cosiddetta
input sanitization) e isolando bene le funzioni di intrattenimento da quelle necessarie per la
guida, come il GPS o la telecamera di retromarcia, incidenti come questo
continueranno a succedere.

Quasi quasi come titolo della prossima puntata del podcast scelgo
apice UNION SELECT username, password FROM users
trattino trattino. E vediamo che succede 🙂


Fonti aggiuntive:
Portswigger,
Geekwire,
Driving, BBC, KUOW, Seattle Times, Gizmodo, Ars Technica.

Internet in tilt per un’oretta, tutta colpa di una singola azienda. Come è possibile?

Internet in tilt per un’oretta, tutta colpa di una singola azienda. Come è possibile?

Ultimo aggiornamento: 2021/06/11 1:50.

Martedì scorso (8 giugno) moltissimi siti Internet sono diventati inaccessibili per circa un’ora: siti governativi, Amazon, Reddit, Twitch, Hulu, PayPal, Vimeo e molte testate giornalistiche.

Alcuni giornali hanno parlato frettolosamente di attacco hacker, senza alcuna prova a sostegno, per poi correggere il tiro. La ragione reale, infatti, è stata molto, molto più banale.

 

Incredibilmente banale: il collasso è stato causato da una singola azienda, Fastly, che è andata a gambe all’aria. Già questo è imbarazzante, ma non è finita: Fastly è crollata per colpa di un singolo utente.

Sul serio: un utente di Fastly ha cambiato le proprie impostazioni, ed è venuta giù buona parte di Internet. Come è possibile?

Fastly è un fornitore statunitense di edge cloud o cloud perimetrale: un servizio che rende più veloce il caricamento dei siti, li protegge contro gli attacchi informatici e li aiuta quando ci sono picchi di traffico da parte di visitatori. È uno di una rosa piuttosto ristretta, che include nomi come Amazon Web Services e Cloudflare. Praticamente tutti i siti Internet si appoggiano a questi fornitori, per cui l’idea che Internet sia in grado di sopportare un attacco nucleare, come si diceva al suo debutto, è ormai un mito da seppellire.

Incidenti come questo, dovuti alla dipendenza da questi fornitori, sono piuttosto frequenti anche se relativamente brevi. Nel 2017 capitò ad Amazon Web Services, che per quattro ore mise fuori uso siti come Netflix e Spotify. Nel 2019 toccò a Cloudflare, che mandò in tilt Dropbox, Discord, Medium, Soundcloud e molti altri siti frequentatissimi. E proprio stasera (10 giugno) un “aumento della temperatura ambiente” di un datacenter Amazon a Francoforte ha causato grossi problemi di connettività, nei quali sono probabilmente incappato anch’io: il webinar su Zoom che stavo coordinando è andato a gambe all’aria in diretta, lasciando scollegate alcune centinaia di partecipanti senza alcuna possibilità di riconnettersi (Zoom usa AWS).

Dalla pagina di stato di Amazon

The root cause of this issue was a failure of a control system which
disabled multiple air handlers in the affected Availability Zone. These
air handlers move cool air to the servers and equipment, and when they
were disabled, ambient temperatures began to rise. Servers and
networking equipment in the affected Availability Zone began to
power-off when unsafe temperatures were reached. Unfortunately, because
this issue impacted several redundant network switches, a larger number
of EC2 instances in this single Availability Zone lost network
connectivity.

While our operators would normally had been able to restore cooling
before impact, a fire suppression system activated inside a section of
the affected Availability Zone. When this system activates, the data
center is evacuated and sealed, and a chemical is dispersed to remove
oxygen from the air to extinguish any fire. In order to recover the
impacted instances and network equipment, we needed to wait until the
fire department was able to inspect the facility. After the fire
department determined that there was no fire in the data center and it
was safe to return, the building needed to be re-oxygenated before it
was safe for engineers to enter the facility and restore the affected
networking gear and servers. The fire suppression system that activated
remains disabled. This system is designed to require smoke to activate
and should not have discharged. This system will remain inactive until
we are able to determine what triggered it improperly. In the meantime,
alternate fire suppression measures are being used to protect the data
center.

Once cooling was restored and the servers and network equipment was
re-powered, affected instances recovered quickly. A very small number of
remaining instances and volumes that were adversely affected by the
increased ambient temperatures and loss of power remain unresolved.

Il collasso di martedì scorso è stato causato involontariamente da uno dei clienti di Fastly, che ha appunto cambiato le proprie impostazioni, in maniera assolutamente legittima, e così facendo ha attivato un bug che era presente in un aggiornamento software che Fastly aveva diffuso ai propri clienti a metà maggio. Il bug ha fatto sì che l’85% della rete di Fastly desse errore.

Per fortuna i tecnici di Fastly hanno capito rapidamente la causa del problema e nel giro di una cinquantina di minuti scarsi sono riusciti a rimettere in funzione il 95% della propria rete. L’azienda si è scusata e ha spiegato in parte cosa è successo in questa cronologia degli eventi e in questo rapporto.

L’unica cosa rimasta inspiegata è l’identità del cliente di Fastly che ha fatto crollare mezza Internet. Non so voi, ma se l’avessi fatto io lo metterei nel curriculum.

Pubblicati i dati riservati di 533 milioni di account Facebook: le cose da sapere

Pubblicati i dati riservati di 533 milioni di account Facebook: le cose da sapere

Sono stati disseminati su Internet, e sono facilmente reperibili, i dati
personali di oltre 500 milioni di utenti di Facebook. Questi dati includono il
nome e cognome dell’utente, la sua situazione relazionale, la data di nascita,
l’indirizzo di casa, il luogo di lavoro e il numero di telefono. 

Gli account italiani colpiti sono circa 36 milioni; quelli svizzeri sono circa
1,6 milioni. Un elenco della quantità di account colpiti in ciascun paese è
per esempio
qui.

Il pericolo principale, al momento, è che i numeri di telefono che gli utenti
hanno affidato a Facebook possano essere usati per molestie e per tentativi di
furto d’identità. Chi è vittima di partner o ex partner violenti e molestatori
è particolarmente a rischio.

In generale, chi ha affidato al social network un numero di telefono
confidenziale deve presumere che quel numero non sia più confidenziale e che
chiunque possa associarlo al suo nome. Sono già stati trovati i numeri di
telefono personali di politici e celebrità, compresi Donald Trump, ex
presidente degli Stati Uniti, e Mark Zuckerberg, boss di Facebook.

Al momento c’è un solo sito affidabile che permette di sapere se il proprio
numero è fra quelli resi pubblici:
Haveibeenpwned.com. Potete
provare
a immettere il vostro numero di telefono, con prefisso internazionale ma senza
00 iniziale (il “+” non è necessario e viene ignorato), oppure l’indirizzo di
mail che avete associato al vostro account Facebook. Diffidate di qualunque
altro sito che proponga servizi analoghi. 

Un sito italiano,
Haveibeenfacebooked.com, che
offriva in buona fede questo controllo, ha deciso di sospenderlo a seguito di
un
comunicato stampa
del Garante per la privacy italiano.

Consiglio a tutti di seguire le raccomandazioni di sicurezza pubblicate da
Il Post
e soprattutto di non usare il numero di telefono come metodo di conferma di
accesso (autenticazione a due fattori) e usare invece un’app apposita. E se
appena potete, smettete di usare Facebook, o perlomeno dategli dati
inventati.

Sul versante tecnico, il dump di dati di Facebook è stato offerto
inizialmente su un noto sito di hacking a giugno 2020, come spiega
BleepingComputer.com. I dati risalgono a prima di settembre 2019.

Facebook ha
commentato
la disseminazione dei dati dicendo che sono il risultato di un’operazione di
scraping, non di una violazione dei suoi sistemi, e che oggi questo
scraping non sarebbe più possibile e comunque era vietato dalle regole
di Facebook (questa precisazione ha causato l’ilarità
di molti esperti, visto che pensare che i criminali rispettino le regole è
perlomeno ingenuo).

In ogni caso, è troppo tardi per oltre 500 milioni di utenti, che vedono
ancora una volta dimostrato il fatto che non si possono affidare dati
personali ai social network.

Mikko Hypponen di F-Secure ha
ipotizzato
che lo scraping sia stato effettuato creando una rubrica contenente
tutti i numeri di telefono del mondo e poi chiedendo a Facebook di trovare gli
“amici” presenti nella rubrica. Un
thread Twitter di Ashkan Soltani
riassume molti dettagli tecnici della vicenda, cita molti esempi di persone in
posizioni di responsabilità di cui sono stati resi pubblici i numeri di
telefono e sembra confermare la possibilità di una enumeration massiva
usata per fare scraping. Precisa inoltre che il dump include
anche numeri di telefono che erano stati impostati come “privati” e non
visibili a nessuno in Facebook.

 

Come liberare spazio sulla rete informatica universitaria: basta cancellare tutti i dati e gli account

Come liberare spazio sulla rete informatica universitaria: basta cancellare tutti i dati e gli account

Se pensate che la vostra giornata informatica stia andando maluccio, consolatevi: c’è qualcuno a cui è andata assai peggio. 

Un paio di settimane fa i tecnici informatici della Victoria University di Wellington, in Nuova Zelanda, hanno avviato una procedura di manutenzione che aveva lo scopo di liberare spazio sulla rete informatica universitaria.

Il loro intento era eliminare i profili degli ex studenti che non erano più iscritti, ma le cose sono andate un po’ diversamente dal previsto, e la storia ha fatto il giro del mondo. 

Infatti, come riferiscono Ars Technica e una delle riviste degli studenti, The Critic, l’eliminazione ha avuto una portata leggermente superiore alle intenzioni: sono scomparsi anche i file dai desktop degli studenti attivi e i loro computer sono stati azzerati.

Si sono salvati soltanto i dati presenti sui dischi di rete dell’istituto e quelli custoditi sul cloud OneDrive di Microsoft. Alcuni studenti lamentano di aver perso un anno intero di dati che erano salvati esclusivamente sui loro computer locali (che ora, appunto, sono azzerati).

L’ipotesi formulata da Ars Technica è che si sia trattato di un errore di policy in Active Directory.

Disastri come questo sono sempre un promemoria importante della necessità di fare backup personali dei dati essenziali, anche se quei dati risiedono su una rete informatica che in teoria dovrebbe farne copie di sicurezza automaticamente.

In una situazione aziendale, tuttavia, le cose si complicano per via della necessità dell’azienda di tutelarsi (e tutelare i propri clienti) contro le fughe di dati. Sarebbe spiacevole che i dipendenti si portassero a casa la contabilità dell’intera società o i piani e progetti riservati, per poi dimenticarseli in giro o farseli rubare. Per non parlare dei dipendenti che attraversano la frontiera Svizzera-Italia con i dati bancari confidenziali dei clienti, ma questa è un’altra storia.

Morale della storia: se i dati sono strettamente vostri (una tesi, per esempio), non affidatevi ciecamente al reparto informatico pensando che tanto provvederanno loro di farne una copia. Fatela voi, fatene più di una, verificate periodicamente che siano leggibili e custodite il tutto con cura. Se invece i dati sono dell’azienda, parlate con il reparto informatico e verificate che ne venga fatto periodicamente un backup custodito in modo sicuro. In particolare, chiedete cosa succede ai dati salvati localmente.

 

Quando il cloud diventa una nuvola. Di fumo

Quando il cloud diventa una nuvola. Di fumo

Questa foto (credit: @mothattacks) mostra il datacenter di Strasburgo della Ovh, colpito da un incendio il 10 marzo scorso. In questo datacenter venivano ospitati i dati di migliaia di clienti della società francese: era insomma la parte concreta di quello che in gergo viene definito cloud. Quel cloud è diventato letteralmente una disastrosa nuvola di fumo.

Trovate tutti i dettagli e i nomi di molti dei clienti colpiti in questo articolo di Wired.it, ma il dato più importante è che Ovh ha invitato gli utenti ad attivare i propri piani di disaster recovery. Questo di solito non è un buon segno, e significa che i dati custoditi presso il datacenter sono da considerare perduti.

Anche se la dinamica di questo incendio è ancora tutta da definire, il segnale di fumo è molto chiaro: depositare i propri dati nel cloud non implica automaticamente che il gestore del cloud ne abbia una copia di scorta per emergenze come queste (leggete attentamente il vostro contratto) ed è possibile che spetti al cliente fare questa copia di scorta altrove.

Per contro, implica che se i vostri processi di lavoro dipendono dalla disponibilità di quei dati depositati nel cloud, in caso di disastro che colpisce il cloud non potrete più lavorare. A meno che abbiate una copia di scorta locale o presso un cloud separato.

Casi come questo sono un’occasione importante per riflettere sulle proprie strategie di backup e sui propri piani di disaster recovery. Ne avete uno? Lo avete mai messo alla prova? Sareste in grado di lavorare senza accesso al cloud? È il momento giusto per farsi queste domande.