Vai al contenuto

Falle multiple in Firefox, urgente aggiornarsi alla 1.0.5

Firefox, tempo di aggiornamenti

Secondo Secunia, ci sono varie falle di sicurezza in Firefox che permettono a un aggressore di penetrare nel computer della vittima. Le falle sono considerate “abbastanza critiche”. Per esempio, alcuni script vengono eseguiti anche quando Javascript è stato disattivato, e si può infettare il proprio computer scegliendo da un sito un’immagine e adottandolaa come sfondo (questa è bella).

La soluzione è aggiornare Firefox alla versione 1.0.5, che risolve questi difetti.

Le cose che non colsi - 2010/11/01

Le cose che non colsi – 2010/11/01

Firesheep guardone, falle di Adobe e Firefox, l’intelligente Suzette, scienziato complottista e altre chicche

Grafica di Gianluigi G. ispirata
dal titolo italiano di “Despicable Me”

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

La pecora di fuoco. Firesheep è un componente aggiuntivo per Firefox che permette di sbirciare con estrema facilità negli account altrui nei vari social network: decisamente interessante e un po’ preoccupante, perché abbassa la soglia di difficoltà e mostra la vulnerabilità dei social network. Ne ho parlato nel Disinformatico radiofonico qui, insieme alla lieta novella dello spammer russo Gusev incriminato e della sua rete di spamming bloccata, agli aggiornamenti di sicurezza per Firefox e Adobe Flash, al “virus” Koobface/Boonana per Mac (ne parla anche Macitynet) e a Suzette, il chatbot che ha superato una versione del Test di Turing convincendo un esperto che si trattava di una conversazione con un essere umano e aggiudicandosi il Premio Loebner.

Attentati fotocopia. Se bruciavate dalla voglia di sapere che modello di telefonino comandava le varie bombe camuffate dentro cartucce di toner e trovate negli aerei cargo nei giorni scorsi e attribuite ad al-Qaeda, F-Secure ha svolto un’indagine in merito. Un’altra dimostrazione della tragica massima della lotta al terrorismo: l’antiterrorismo deve avere successo ogni volta, ma al terrorista basta avere successo una volta sola.

“Tutti uccidono Hitler nel loro primo viaggio”. Stanchi di tutti questi avvistamenti di presunti viaggiatori nel tempo? Allora rilassatevi leggendo questo raccontino breve tratto da un immaginario forum Internet di crononauti. È in inglese, ma se convincete l’autore Desmond Warzel a concedere il permesso, lo traduco volentieri in italiano.

La polizia italiana spia su Facebook? L’Espresso ha pubblicato un articolo secondo il quale le forze dell’ordine italiane intercetterebbero disinvoltamente le comunicazioni private nei social network. La Polizia Postale smentisce e risponde all’Espresso, che a sua volta replica. A prima vista mi sembra che si stia facendo confusione fra intercettazione (inserimento in una comunicazione privata) e infiltrazione (un agente sotto falso nome ottiene l'”amicizia” di un utente bersaglio e quindi ha accesso alle sue conversazioni/condivisioni con gli “amici”); comunque sia, la polemica sottolinea ancora una volta la necessità di considerare pubblica qualunque conversazione fatta tramite social network. Se avete qualcosa di privato da dire, ditelo di persona, usate la crittografia, parlate in codice, ma non fidatevi delle promesse di privacy di Facebook e soci.

Wall Street Journal: le app di Facebook leggono i dati personali degli utenti. Secondo l’indagine del WSJ, “molte delle applicazioni o ‘app’ più popolari […] trasmettono informazioni identificanti – che in pratica danno accesso ai nomi delle persone e in alcuni casi ai nomi dei loro amici – a dozzine di società di tracciamento su Internet e di agenzie pubblicitarie”.

Alcolaser, bufala o realtà? La Stampa parla di un apparecchio laser di provenienza russa, capace di rilevare vapori di alcol dentro gli abitacoli di un’auto in corsa. Detta così pare una tecnologia un po’ improbabile; Autoblog.it ha fatto un’indagine. Il sito della filiale canadese della ditta che fabbrica l’Alcolaser è abbastanza laconico sui princìpi di funzionamento. La domanda fondamentale è – ammesso che si possa rilevare a distanza una parte per milione di alcol in un abitacolo – come sia possibile distinguere fra un conducente ubriaco e un passeggero sbronzo.

Se uno scienziato accusa la NASA di nascondere la vita su Marte. L’astrobiologo Chandra Wickramasinghe, dell’università di Cardiff, sostiene che la NASA abbia già prove inoppugnabili di forme di vita su Marte. Vita che esiste ora, non vita fossile. Perché le nasconde? Secondo Wickramasinghe, “considerazioni politiche e sociologiche… se fosse già stata scoperta la vita, non ci sarebbe bisogno di spendere grandi somme per continuare la sua ricerca”. Wickramasinghe non è certo il complottista medio, e quindi è interessante vedere come la comunità scientifica risponde alle sue asserzioni. Phil Plait, di Bad Astronomy, riassume elegantemente le argomentazioni in merito.

Toilette d’aereo apribili dall’esterno? Non mettete a rischio la sicurezza di volo di nessuno, ma se avete amici o colleghi nel settore, provate a scoprire se è vera questa storia di Lifehacker/Hipmunk: sotto la scritta “Lavatory” sulla porta delle toilette degli aerei c’è un comando che sblocca la serratura della porta. Non occorrono chiavi o altri attrezzi.

Google Street View ammette: abbiamo captato password e mail. The Inquirer segnala l’ammissione di Google: i ricevitori Wifi installati sulle sue automobili che hanno perlustrato le città del mondo per il servizio Street View hanno davvero intercettato “in alcuni casi intere mail e URL, nonché password”. Google si dichiara “mortificata”. Evidentemente c’è molta gente che ha connessioni Wifi aperte e non cifrate.

Io, complottista. WeWee, l’autore del blog MedBunker, ha scritto due articoli che sono un vero e proprio viaggio nella mentalità cospirazionista. Da non perdere: prima parte, seconda parte.

Privacy nei browser? Mica tanto

Privacy nei browser? Mica tanto

Le modalità private dei browser non sono private

Secondo una ricerca (PDF) presentata recentemente allo Usenix Security Symposium a Washington, le funzioni di navigazione privata offerte dai principali browser (Internet Explorer, Firefox, Chrome e Safari) non funzionano come promesso e possono dare un falso senso di sicurezza.

In teoria queste funzioni dovrebbero consentirvi di visitare un sito Web senza lasciarne traccia sul vostro computer, ma non è così. Per esempio, quando un utente visita in modalità privata uno dei tanti siti che usano certificati di sicurezza SSL, se usa IE, Firefox e Safari questa visita viene registrata comunque in un file sul suo computer. In Firefox, la modalità privata lascia tracce ogni volta che un utente imposta delle preferenze specifiche per un sito oppure usa un plug-in o un’estensione (componente aggiuntivo del browser) o visita un sito che usa le funzioni avanzate dell’HTML5. Internet Explorer è invece colto in fallo dai siti che effettuano query SMB per qualsiasi motivo.

In generale, i browser non isolano correttamente le sessioni di navigazione privata da quelle non private, per cui un sito appositamente predisposto può tenere traccia dei visitatori che lo consultano prima in modalità pubblica e poi in modalità privata. Gli autori della ricerca hanno trovato inoltre il modo di consentire a un sito di sapere se i suoi visitatori usano la modalità privata: basta l’uso attento di un IFRAME e di un po’ di Javascript.

Cosa ancora più interessante, i ricercatori hanno usato questo sistema per sapere in quali situazioni viene usata la navigazione privata. Anche se i produttori reclamizzano queste funzioni come soluzioni per acquistare regali senza che il destinatario lo venga a sapere in anticipo, in realtà l’uso più comune della navigazione privata riguarda i siti a luci rosse. Questo risultato statistico probabilmente non sorprenderà nessuno. La vera sorpresa è che la percentuale di utenti che adotta la modalità privata nei siti osé è molto vicina a quella di coloro che la usano per fare shopping o per la navigazione generica: rispettivamente l’8% e il 6%.

L’altro aspetto interessante è che c’è molta variabilità da un browser all’altro. Gli utenti di Internet Explorer sono quelli che usano meno le funzioni di privacy (il 2%, compresi i siti pornografici), mentre gli utenti di Safari sono all’estremo opposto con un notevole 14%. Il problema fondamentale è che a prescindere dal tipo di sito visitato, la ricerca mostra chiaramente che la fiducia degli utenti nelle funzioni pro-privacy dei programmi di navigazione è mal riposta. Qualunque cosa facciate online, è meglio sapere di essere osservati che credere di essere invisibili.

Fonti: The Register, The Inquirer, Gizmodo, Ars Technica.

Falla Firefox rattoppata di corsa

Falla Firefox rattoppata di corsa

Firefox 3.6 fallato, scaricate l’aggiornamento

Questo articolo vi arriva grazie alle gentili donazioni di “clagiulietti” e “arnaldo.r*” ed è stato aggiornato dopo la pubblicazione iniziale.

Anche a Firefox, come a Internet Explorer a gennaio, è toccata l’onta di essere messo all’indice dal governo tedesco. La BSI, vale a dire l’ufficio federale per la sicurezza informatica, ha infatti segnalato lunedì scorso (22 marzo) che una vulnerabilità in Firefox permetteva agli aggressori di eseguire programmi ostili sui computer degli utenti e ha quindi consigliato agli utenti di smettere di usare Firefox fino all’arrivo di una sua versione riveduta e corretta.

Mozilla ha confermato la falla, che riguarda solo la versione 3.6, e l’indomani ha rilasciato di corsa la versione 3.6.2 che corregge il problema. Se siete utenti Firefox, dovete quindi aggiornarvi: il procedimento dovrebbe essere automatico sotto Windows e Mac OS X, ma se non lo fosse, scegliete il menu Aiuto e la voce Controlla gli aggiornamenti mentre siete collegati a Internet (gli utenti Linux dovranno seguire una procedura che dipende dalla specifica distribuzione usata). Per sapere che versione di Firefox state usando, andate sempre al menu Aiuto e scegliete Informazioni su Mozilla Firefox. Per scaricare manualmente Firefox 3.6.2 potete andare a http://www.mozilla-europe.org/it/.

Fonti aggiuntive: BBC.

Firefox, falle da turare

Falle in Firefox 1.5 e 2.0, la pezza è pronta

Questo articolo vi arriva grazie alle gentili donazioni di “pilli48” e “giuseppe”.

Secunia segnala una serie di falle di Firefox che vanno turate subito in quanto definite “altamente critiche”. Sono colpite sia la versione vecchia, la 1.5, alla quale sono rimasti fedeli molti utenti, sia la più recente versione 2.0. Chi per il momento non può aggiornare Firefox farebbe bene a disabilitare Javascript.

Una delle falle riguarda Javascript, e l’utente si trova esposto a rischi di intrusione, furto di file ed esecuzione di programmi indesiderati, scelti dall’aggressore, in caso di visita a siti-trappola o di visualizzazione di un e-mail ostile in formato HTML.

Gli aggiornamenti per Firefox sono già disponibili: riceverete un avviso automatico che vi invita a scaricarli e installarli. Accettate l’avviso e riavviate Firefox per attivarli e navigare più tranquilli.

Sempre secondo Secunia, anche Internet Explorer 7 ha dei problemi con la stessa vulnerabilità, ma in misura “meno critica”.

Radio: estensioni Firefox, antivirus mangiaposta, messaggi subliminali

Disinformatico radio stamattina: Firefox mostra i muscoli, antivirus Microsoft mangia la posta di Outlook, studio scientifico “conferma” il subliminale

L’edizione radio del Disinformatico di oggi toccherà questi temi:

  • Firefox: come installare le “estensioni” che permettono di potenziare questo programma di navigazione libero e gratuito, e le estensioni più gettonate che consentono di navigare in Internet meglio e più veloci.
  • Niente pezze di sicurezza per Microsoft questo mese, ma in compenso c’è l’antivirus di Microsoft che si mangia la vostra posta. Come rimediare e perché succede.
  • Esiste la pubblicità subliminale, e funziona? Un nuovo studio scientifico getta nuova benzina sul fuoco, perché sembra dimostrare che il cervello registra immagini anche se la persona non è consapevole di vederle.

Potete seguire il Disinformatico in diretta sulla Rete Tre della Radio Svizzera di lingua italiana, ricevibile anche in streaming in tempo reale (Real Audio, http://retetre.rtsi.ch) e in differita come podcast (http://www.rtsi.ch/podcast).

Come consueto, a fine trasmissione troverete in questo blog i dettagli e i link dei temi trattati. Buon ascolto.

Estensioni per Firefox: come usarle, quali usare

Potenziate il vostro Firefox con le estensioni

Questo articolo vi arriva grazie alle gentili donazioni di “giampiero.rei****” e “ziobusy.pn”.

Firefox è un gran bel browser, ma ha molte potenzialità poco sfruttate. Una di queste potenzialità è data dall’uso delle estensioni: veri e propri moduli aggiuntivi che si scaricano e si installano all’interno di Firefox e permettono di fare varie magie.

Per esempio, volete visualizzare sotto forma di icone tutte le pagine Web che avete aperto nelle varie schede di Firefox, come fa Internet Explorer 7? Nessun problema: scaricate e installate Firefox Showcase. Cliccando sul menu Visualizza e poi su Showcase otterrete l’effetto desiderato.

Installare un’estensione è molto semplice: la scaricate cliccando sul suo link presso siti come Addons.mozilla.org o (se preferite l’italiano) Extenzilla.org. Se compare un avviso che dice che Firefox ha impedito al sito di richiedere l’installazione (cosa giusta, perché è una protezione di sicurezza), cliccate su Modifica opzioni e poi su Permetti. Fatto questo, la richiesta non comparirà più per quel sito.

Cliccate sul link di nuovo, se necessario. Compare una finestra che chiede se volete accettare l’installazione: leggete bene le avvertenze e, se è tutto a posto, cliccate su Installa adesso (mi raccomando, fatelo soltanto con i siti fidati!) e riavviate Firefox. Tutto qui. Queste istruzioni valgono per Firefox 2.0 a prescindere dal sistema operativo. Ed è questo il bello delle estensioni: con pochissime eccezioni sono universali e funzionano sia sotto Windows, sia sotto Mac, sia sotto Linux.

Ho raccolto qui alcune delle estensioni più interessanti che ho trovato in Rete, giusto per stuzzicarvi l’appetito:

  • Se usate Firefox su più di un computer, vi sarete accorti che vi trovate spesso senza i vostri link preferiti: sono sistematicamente nell’altro computer quando vi servono. Provate allora Google Browser Sync, che sincronizza i bookmark (i “preferiti”), le sessioni, i cookie persistenti, le password e la cronologia in modo configurabile: l’unico requisito è avere un account su Google.
  • Se siete navigatori incalliti e volete comandare completamente Firefox usando i gesti del mouse, c’è All-in-One Gestures: una volta installata, quest’estensione permette per esempio di tornare a una pagina precedente tenendo premuto il tasto destro e spostando il mouse lievemente a sinistra.
  • Per le pagine pestifere che funzionano soltanto con Internet Explorer, usate IE Tab, che colloca nella riga di stato un’iconcina che attiva il motore di rendering di Internet Explorer al posto di quello di Firefox. Questa è una delle poche estensioni che funziona soltanto sotto Windows, per l’ovvia ragione che Internet Explorer è disponibile ormai soltanto per questo sistema operativo.
  • Vi infastidisce la finestra che Firefox apre tutte le volte che scaricate qualche file? Installate l’estensione Download Statusbar, che elimina la finestra e la sostituisce con una riga di stato discreta e informativa sul bordo inferiore della finestra di Firefox.
  • Se poi volete bloccare le pubblicità, che ultimamente sono diventate multimediali e quindi più pesanti da scaricare, non posso che consigliarvi il mitico Adblock Plus, e se avete la “Sindrome da Safari” (il browser Mac che visualizza direttamente i documenti PDF), installate PDF Download, in italiano: Acrobat Reader deve però essere già installato.

I cursori animati minacciano persino Vista

Patch d’emergenza per Windows: i cursori animati lo mandano in tilt

Questo articolo vi arriva grazie alle gentili donazioni di “franco.bo****” e “happy.moto****”. L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Microsoft ha pubblicato un avviso di sicurezza riguardante una falla importante in Windows XP e, in misura minore, anche in Windows Vista. La pezza apposita dovrebbe uscire oggi, secondo ZDNet, a testimonianza della gravità del problema (di solito Microsoft rilascia gli aggiornamenti di sicurezza una sola volta al mese, in blocco).

La falla consente a un cursore animato (file .ANI), annidabile in un e-mail o in una pagina Web visitata con Internet Explorer 6 o 7, di causare un buffer overflow sfruttabile dai vandali della Rete per infettare i computer e usarli per ulteriori attacchi virali o campagne di spam. La falla viene già sfruttata da almeno un worm e da alcuni spammer e si diffonde anche tramite chiavette USB e altri supporti, come riferiscono F-Secure e McAfee.

Aggiornamento (4/4/2007): Zdnet segnala che anche Firefox è vulnerabile a questa falla se usato sotto Windows (anche Windows Vista); non disponendo del Protected Mode di IE, Firefox consente un accesso ai dati dell’utente più esteso rispetto a IE in Protected Mode sotto Vista (con IE, l’intruso può “soltanto” leggere i dati dell’utente; con Firefox può anche modificarli). Sul sito di Determina.com trovate un’animazione (non un cursore animato!) che dimostra IE e Firefox su Vista alle prese con questa falla. Va notato che per Firefox si tratta di un proof of concept, ossia di codice dimostrativo, attualmente non circolante in Rete, ma è comunque una dimostrazione eloquente: come spiega l’animazione, Firefox si appoggia a Windows per la gestione dei cursori animati.

Il blog di McAfee presenta inoltre un video molto eloquente di Vista alle prese con un cursore animato ostile: il crash e riavvio, nota McAfee, non è quello che avviene negli attuali attacchi via Web, ma è comunque una dimostrazione chiara della vulnerabilità. Trend Micro descrive la falla qui.

Microsoft, secondo quanto riferito dal SANS Internet Storm Center, dice che gli utenti di IE7 con il Protected Mode sono protetti, e che gli antivirus aggiornati sono in grado di rilevare la minaccia. Gli utenti di Outlook 2007 sono protetti, come lo sono quelli di Windows Mail su Vista se non inoltrano l’e-mail infetto, mentre gli utenti di Outlook Express restano vulnerabili persino quando leggono la posta in formato “testo semplice”.

La raccomandazione, come al solito, è evitare di navigare con Internet Explorer, bersaglio preferito dei vandali, e sostituirlo con Opera, Firefox* o Mozilla.

*Aggiornamento (4/4/2007): Firefox resiste alla falla circolante, ma è vulnerabile (sotto Windows) al codice dimostrativo di Determina.com citato sopra, che usa i cursori animati come vettore d’infezione.

La falla è uno smacco per Microsoft, che ha puntato molto sulla sicurezza come motivo d’acquisto di Vista; vedere che anche Vista è così facilmente bucabile potrebbe indurre a qualche ripensamento, soprattutto all’altezza del portafogli.

1˙000˙000˙000!

1˙000˙000˙000!

Un miliardo di download per Firefox

Venerdì scorso (31/7) il browser libero e open source Firefox ha superato il traguardo del miliardo di scaricamenti, accorpando tutte le versioni uscite dal 2004 a oggi, secondo il blog di Mozilla.

Cosa più importante, la sua quota di mercato è intorno al 31% stando a dati citati dalla BBC, al secondo posto dopo Internet Explorer di Microsoft. Vi ricordate di quando Internet Explorer aveva il dominio del mercato e l’idea che un programma libero, gratuito e basato sui principi dell’open source potesse tenergli testa sembrava fantascienza?

Provatelo: è gratis, è disponibile anche in italiano, e funziona su Windows, Mac e Linux.

Arriva Firefox 3.6

Arriva Firefox 3.6

Firefox a dieta, pronto per i video senza Flash

Questo articolo vi arriva grazie alle gentili donazioni di “alemarc****” e “mbjsrl”.

Firefox, uno dei più usati browser alternativi all’onnipresente Internet Explorer, ha presentato da poco la nuova versione, la 3.6, che offre molte migliorie e novità.

Il nuovo Firefox si basa sempre sul modello open source di sviluppo (niente segreti, tutto il codice del software è pubblico e viene sviluppato e corretto dalla comunità degli informatici), resta sempre gratuito e multilingue, ma estende il supporto per il nascente standard HTML5, che dovrebbe rappresentare il futuro di Internet.

In particolare, l’HTML5 permette di includere nelle pagine Web dei video, anche a tutto schermo, senza ricorrere al pesante Flash. Firefox 3.6 non supporta ancora tutti i formati video (per ora gestisce solo il formato OGG) promette il completamento automatico dei moduli, un 20% di velocità in più nell’esecuzione dei Javascript (sempre più indispensabili per i siti Web evoluti), un avvio più veloce e una visualizzazione delle pagine più rapida, e molte altre cose descritte in dettaglio qui.

Ma la cosa che piacerà subito, a livello istintivo ed estetico, è la presenza delle skin (o “Persona”, come le chiama Mozilla): immagini per personalizzare l’aspetto di Firefox, come vedete nell’esempio qui sopra. Molto facili da provare: dopo aver scaricato e installato Firefox 3.6, basta passare il cursore del mouse sopra gli esempi, raccolti qui, per vedere istantaneamente l’aspetto che assumerà il browser.

Incuriositi? Firefox è pronto subito, anche in italiano, per Mac, Windows e Linux, presso Getfirefox.com oppure presso http://www.mozilla-europe.org/it.