Importato da Blogspot – Pagina 9

Podcast RSI – Story: Come decifrare i messaggi segreti di una regina

2023-02-102026-06-29
di Paolo Attivissimo
crittografia, Importato da Blogspot, PodcastRSI, radio

Ultimo aggiornamento: 2023/03/23 22:45.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: dal trailer di Maria Regina di Scozia, diretto da Josie Rourke (2019)]

C’era una volta una bambina, di nome Maria, incoronata come regina quando aveva nove mesi, che da grande fu rinchiusa per anni in un castello dalla cugina, anche lei regina. Ma Maria riuscì a comunicare con i suoi amici, che cercavano di liberarla, nascondendo dei messaggi segreti dentro i turaccioli delle botti di birra che rifornivano il castello… e usando la crittografia end-to-end, come fa WhatsApp, ma fu tradita da un bug nel sistema crittografico.

_{Ritratto di Maria, regina di Scozia, realizzato da François Clouet (Wikipedia)}

Sì, avete sentito bene. Questa è la storia, tragicamente vera, di Maria Stuarda, o Mary Stuart per usare il suo nome originale, che fu regina di Scozia per più di vent’anni nel 1500 e trascorse gli ultimi due decenni della sua vita come prigioniera della cugina, la regina Elisabetta I d’Inghilterra, che temeva che Maria prendesse il suo posto e alla fine ne firmò la condanna a morte. E l’informatica ha un ruolo centrale in questa storia, perché Maria comunicò davvero con i suoi alleati usando la crittografia 500 anni fa, ovviamente senza usare computer, ed è grazie all’informatica che pochi giorni fa un gruppo internazionale di crittografi ha annunciato la scoperta e la decifrazione di alcune delle sue lettere più segrete, che si pensava fossero andate perdute per sempre.

Benvenuti alla puntata del 10 febbraio 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

La storia complessa e tormentata di Maria Stuarda ha ispirato moltissimi romanzi e numerosi film. Colta e poliglotta, cresciuta alla corte di Francia e imparentata con i re francesi e con Caterina de’ Medici, Maria si sposò tre volte, diventando regina consorte di Francia, regina di Scozia e, per diritto di sangue Tudor, erede diretta del trono della cugina Elisabetta I, regina d’Inghilterra. Qualunque riassunto non può rendere giustizia alla sua vita intricata, piena di drammi politici, rivolte religiose, battaglie, rapimenti, tradimenti, complotti e assassinii.

Quello che conta, per la storia che vi sto raccontando, è che alla morte del terzo marito e alla sconfitta dei suoi sostenitori in Scozia, Maria Stuarda si rifugiò da Elisabetta I, che però la tenne prigioniera in vari castelli per ben 18 anni usando una serie di pretesti politici e di accuse più o meno inventate. I fedelissimi cattolici di Maria Stuarda continuarono a cospirare per liberarla, assassinare Elisabetta e così far salire al trono Maria, che secondo loro era la legittima erede del trono d’Inghilterra.

Durante la lunga prigionia Maria rimase comunque in contatto con il mondo esterno tramite i suoi ambasciatori, almeno inizialmente, ma poi anche quel canale di comunicazione fu chiuso. E così nel 1586 cominciò a inviare messaggi ai suoi alleati nascondendoli nei turaccioli delle botti di birra che periodicamente transitavano dal suo luogo di prigionia. Ma si trattava di una trappola.

Per sicurezza, questi messaggi erano crittografati in modo che chi li trasportava non potesse conoscerne il contenuto, un po’ come oggi WhatsApp e altri servizi di messaggistica usano la crittografia end-to-end. Chi trasporta questi messaggi sa da chi provengono e a chi sono destinati, ma non è in grado di leggerli.

All’epoca di Maria Stuarda ovviamente non c’erano computer, per cui si usava un sistema manuale: un cosiddetto cifrario a sostituzione con omofoni e nomenclatura, in cui ogni lettera del messaggio originale veniva sostituita con un simbolo concordato e per rendere più difficili i tentativi di decifrazione la stessa lettera poteva essere rappresentata da simboli differenti e poi venivano inseriti simboli che non volevano dire nulla e altri che rappresentavano le lettere doppie, le date e i nomi delle persone, che sono appigli classici dei crittoanalisti, gli esperti incaricati di decifrare questi messaggi segreti.

_{Uno dei cifrari usati da Maria Stuarda. Fonte: The National Archives.}

Per gli standard della fine del 1500 questo cifrario era un sistema piuttosto sicuro, ma aveva un bug fondamentale: il fattore umano. Nella vicenda di Maria Stuarda, questo fattore umano ha un nome preciso: Gilbert Gifford, il fabbricante di birra che faceva da trasportatore dei messaggi. Gifford era stato consigliato a Maria da un amico fidatissimo, ma era in realtà un agente di Sir Francis Walsingham, quello che oggi chiameremmo grosso modo il direttore generale dei servizi segreti della regina Elisabetta I. Gifford, infatti, consegnò tutte le lettere cifrate a Walsingham, che disponeva di due super-crittoanalisti, Thomas Phelippes e John Sommers, che riuscirono a decifrare i codici usati da Maria Stuarda.

Il trucco dei turaccioli di birra era stato inventato da Walsingham con il preciso scopo di ottenere prove per incriminare Maria e scoprire i nomi dei suoi complici. Nel 1586, Maria ricevette una lettera cifrata da un gruppo di cospiratori che le dicevano esplicitamente che stavano tramando per liberarla e assassinare la regina Elisabetta, e commise la fatale imprudenza di rispondere, indicando così il suo consenso all’assassinio.

Ma la sua lettera di risposta, altrettanto cifrata, fu passata da Gifford, il fabbricante di birra, a Sir Walsingham, e fu decifrata da Phelippes, il crittoanalista, che per buona misura prima di rispedire le lettera intercettata la alterò aggiungendo un paragrafo, cifrato con lo stesso codice, in cui in apparenza Maria chiedeva di conoscere “i nomi e le qualifiche dei sei uomini che otterranno il risultato” (diceva così).

_{Il paragrafo falso aggiunto a una lettera di Maria Stuarda e il cifrario usato dal destinatario, Anthonie Babington, per decifrare le comunicazioni con la sovrana (The National Archives/Wikipedia).}

I cospiratori furono così identificati e torturati, e confessarono il complotto. Maria Stuarda fu incriminata e processata sulla base di quella crittografia ritenuta sicura; si dichiarò innocente, ma fu condannata a morte, e la pena fu inflitta per decapitazione a febbraio del 1587. Maria Stuarda aveva 44 anni.

[CLIP: dal trailer di Maria Regina di Scozia, diretto da Josie Rourke (2019)]

—

È passato mezzo millennio, e oggi la crittografia non è più riservata ai monarchi e ai governi ma è nei nostri smartphone. Però le regole di base sono rimaste le stesse. Non importa quanto sia potente e sofisticata la tua crittografia: se il canale di comunicazione che usi per trasmetterla ha una falla, i tuoi avversari la sfrutteranno per capire cosa c’è nel tuo messaggio.

WhatsApp, per esempio, cifra piuttosto robustamente tutti i nostri messaggi, e lo stesso fanno Signal, Wickr e tante altre app, per cui i loro gestori non possono leggere cosa scriviamo. Però possono leggere i cosiddetti metadati, ossia possono sapere chi è il mittente e chi è il destinatario, quanto è lungo il messaggio, quanti sono i messaggi scambiati, a che ora sono stati inviati e ricevuti, e con queste informazioni diventa possibile dedurre il contenuto dei messaggi.*

* Precisazione: la lettura dei metadati che cito è riferita a WhatsApp e tante altre app in generale. Signal legge solo il numero di telefono: Wickr può acquisire informazioni su date e orari, sul dispositivo, quanti indirizzi e numeri di telefono sono collegati a un account, le modifiche alle impostazioni di un account e i numeri totali dei messaggi.

C’è anche un’altra regola di base che non cambia: man mano che la tecnologia si evolve, diventa capace di decifrare sistemi di crittografia che prima erano considerati inespugnabili e diventa capace di trovare i messaggi anche se sono nascosti o messi nel posto sbagliato.

È quello che è successo in questi giorni: tre crittoanalisti moderni, l’informatico George Lasry, il pianista e docente musicale Norbert Biermann e l’astrofisico Satoshi Tomokiyo, hanno pubblicato sulla rivista specializzata Cryptologia un dettagliatissimo articolo tecnico nel quale annunciano di aver ritrovato oltre 50 documenti cifrati appartenenti a Maria Stuarda. Documenti che si ritenevano perduti e che gettano nuova luce sulla sua drammatica vita.

Questi documenti erano custoditi dalla Bibliothèque Nationale de France, che però non sapeva che fossero appartenuti a Maria Stuarda, visto che erano appunto cifrati e non avevano nessuna informazione in chiaro che li identificasse, e così la BNF li aveva invece classificati vagamente legandoli a documenti concernenti imprecisati “affari italiani”.

Quei documenti sarebbero probabilmente rimasti sepolti negli immensi archivi della BNF per sempre, senza che si venisse mai a sapere della loro importanza, ma George Lasry e colleghi li hanno notati grazie al fatto che sono accessibili a qualunque studioso via Internet. Incuriositi dall’aspetto evidentemente cifrato di questi antichi documenti, si sono messi all’opera senza avere la minima idea di cosa avessero trovato.

_{Esempio di lettera cifrata. Fonte: gallica.bnf.fr.}

Quei documenti erano delle lettere, scritte usando ben 219 simboli speciali, non caratteri normali, per cui i ricercatori non hanno potuto usare sistemi di riconoscimento automatico dei caratteri e quindi hanno dovuto trascrivere manualmente i testi, convertendoli in un formato leggibile da un software, che ha analizzato i caratteri con un procedimento molto laborioso e ha scoperto che la lingua usata era il francese, non l’italiano, e ha iniziato a recuperare alcuni frammenti di testo.

Il software, guidato dagli esperti, ha poi recuperato gli omofoni, ossia i vari simboli che rappresentavano una stessa lettera dell’alfabeto, e ha recuperato anche i simboli speciali (per esempio quelli usati per indicare una ripetizione del simbolo precedente, allo scopo di non rivelare le lettere doppie, oppure sequenze di lettere molto frequenti), e a quel punto sono emersi prefissi, suffissi, preposizioni, parole comuni.

_{Iniziano a emergere i primi frammenti di testo.}

Con questa decrittazione parziale in mano, i ricercatori hanno capito con stupore di aver ritrovato gli originali delle lettere perdute di Maria Stuarda, scritte fra il 1578 e il 1584, e hanno usato le proprie conoscenze storiche per decifrare i simboli usati per indicare le persone citate dalla regina prigioniera.

Di quasi tutte queste lettere perdute erano già disponibili nei musei le copie decifrate all’epoca dalle spie della regina Elisabetta I, che hanno confermato la validità del lavoro dei ricercatori di oggi e hanno documentato ulteriormente, con grande piacere degli storici, che nell’ambasciata francese all’epoca c’era chiaramente una talpa che intercettava le versioni decifrate delle lettere di Maria Stuarda e le passava agli inglesi [si potrebbe dire che era, letteralmente, un attacco man-in-the-middle].

E anche qui c’è una lezione di sicurezza che vale ancora oggi: puoi avere il sistema di crittografia più potente dell’universo, ma alla fine qualunque messaggio va decrittato per poterlo leggere, e se quella copia decrittata finisce nelle mani di qualcuno, la tua supercrittografia non vale niente.

Il paragone moderno è che WhatsApp, Signal, Threema e tutte le altre app fanno il possibile per proteggere i nostri messaggi da occhi inopportuni, ma non possono impedire che il legittimo destinatario prenda un messaggio o una foto che ha ricevuto in forma cifrata e lo mostri a chissà chi sullo schermo del proprio smartphone. E non possono impedire che qualcuno che ha accesso al nostro smartphone veda e legga le nostre conversazioni cifrate, se sono archiviate sul telefono e il telefono non è protetto almeno da un PIN robusto.

—

Se alla fine di questa storia vi state chiedendo cosa dicessero queste lettere così segrete, i ricercatori hanno pubblicato i loro testi integrali, interessantissimi per gli storici e per gli appassionati di intrighi: ci sono discussioni sul possibile matrimonio di Elisabetta I e il Duca di Anjou, nelle quali Maria Stuarda avvisa l’ambasciatore francese Castelnau che “gli inglesi non sono sinceri nelle loro trattative e il loro unico scopo è indebolire la Francia e contrastare la Spagna”, ci sono raccomandazioni di non fidarsi di Sir Francis Walsingham, il segretario personale e capo delle spie di Elisabetta I, perché è “una persona scaltra, che offre falsamente la propria amicizia mentre nasconde le proprie intenzioni reali”, e ci sono anche avvisi molto profetici, nei quali Maria Stuarda avvisa che alcuni di coloro che lavorano alle sue dipendenze potrebbero essere agenti di Walsingham.

Purtroppo questa consapevolezza non salvò la regina di Scozia. Ma forse può salvare qualcuno di noi dal lasciare in giro messaggi cifrati che crede sicuri per sempre e invece verranno decifrati da qualcuno in futuro — o anche subito — grazie alla tecnologia e al talento.

Chiusura

Anche questa puntata del Disinformatico è giunta al termine: grazie di averla seguita. Questo podcast è una produzione della RSI Radiotelevisione svizzera. Le nuove puntate del Disinformatico vengono messe online ogni venerdì mattina presso www.rsi.ch/ildisinformatico e su tutte le principali piattaforme podcast. I link e le fonti di riferimento che ho citato in questa puntata e nelle precedenti sono disponibili presso Disinformatico.info. Gli spezzoni audio sono tratti dal film Maria Regina di Scozia, diretto da Josie Rourke. Per segnalazioni, commenti o correzioni, scrivetemi una mail all’indirizzo paolo.attivissimo@rsi.ch. A presto.

Fonti

Cryptologia, Deciphering Mary Stuart’s lost letters from 1578-1584 (https://doi.org/10.1080/01611194.2022.2160677).

Britannica.com, Mary Queen of Scotland.

The National Archives, Ciphers used by Mary Queen of Scots.

BBC, Mary Queen of Scots: Deposed ruler’s secret prison letters found and decoded.

Ars Technica, Lost and found: Codebreakers decipher 50+ letters of Mary, Queen of Scots.

Podcast RSI – Dati personali pubblicati per errore su Internet: tre casi concreti

2023-02-032026-06-29
di Paolo Attivissimo
Importato da Blogspot, PodcastRSI, radio

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: La richiesta di “password” da Eyes Wide Shut di Stanley Kubrick]

Ci sono tanti modi per scoprire le password e i dati personali di qualcuno. Spesso i criminali informatici vengono immaginati e rappresentati come maghi della tastiera che sanno scovare e rubare qualunque dato digitale usando tecniche di penetrazione sofisticatissime, ma altrettanto spesso queste tecniche non sono affatto necessarie, perché i dati sono stati messi maldestramente a disposizione del primo che passa e sono accessibili via Internet a chiunque abbia una minima capacità informatica. La colpa, insomma, non è del titolare dei dati, ma di chi è tenuto a custodire i dati degli altri.

Sono Paolo Attivissimo, e in questa puntata del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica, vi racconto tre episodi recentissimi di dati personali trovati a spasso su Internet, le tecniche usate per trovarli, e le trappole usate dai criminali informatici per sfruttare quei dati, partendo da informazioni banali come un’ordinazione di caffé. Due di queste storie hanno un lieto fine: la terza, almeno per ora, ha un finale aperto.

[SIGLA di apertura]

Assicurati poco rassicuranti

Pochi giorni fa mi è arrivata in via confidenziale la segnalazione di un sito aperto a chiunque che contiene quello che sembra essere un elenco di dati assicurativi di clienti italiani, probabilmente della zona di Chieti. Nomi, cognomi, indirizzi, codici fiscali, dettagli delle polizze assicurative, e altro ancora, tutto tranquillamente sfogliabile e leggibile con un normale browser. Tutto quello che serve sapere per leggerli è l’indirizzo IP del sito.

Trovare questo indirizzo IP non è difficile. Esistono motori di ricerca appositi, come Shodan, che in sostanza fanno la stessa cosa che fa Google, ossia esplorano e catalogano tutta Internet, ma a differenza di Google, che rastrella tutti i testi e tutte le immagini, questi motori di ricerca prendono nota solo dei siti che hanno degli accessi non protetti. È sufficiente sfogliare Shodan per trovare di tutto: telecamere di sorveglianza accessibili, server leggibili e scrivibili da chiunque, e pagine Web come quella che mi è stata segnalata. Esattamente come con Google, è sufficiente immettere le parole chiave giuste, facilmente intuibili: nomi di marche famose di telecamere o di apparati di controllo industriale oppure frasi descrittive tipiche degli archivi di dati online. E a volte queste stesse parole chiave sono usabili direttamente in Google, senza neppure dover ricorrere a motori di ricerca specializzati.

Fra l’altro, la facilità con la quale questi dati assicurativi teoricamente privati sono reperibili è dimostrata nella maniera più evidente da una riga molto particolare dell’elenco dei clienti di questo servizio assicurativo. Al posto del nome e cognome del cliente, in questa riga c’è una vistosa dicitura, tutta in maiuscolo: “BUONGIORNO QUESTO DATABASE È ACCESSIBILE A CHIUNQUE VIA INTERNET”.

Chiaramente qualcuno è già passato di qui, ha notato i dati personali pubblicamente accessibili, e ha scelto un modo molto diretto per avvisare i responsabili del sito.

La presenza di questo avviso, inoltre, segnala altrettanto chiaramente che i dati non sono soltanto leggibili, ma sono anche scrivibili da chiunque via Internet. Questo vuol dire che chiunque può alterarli o semplicemente cancellarli. Un avviso del genere è l’equivalente informatico di trovare un volantino di una società di installazione di antifurto dentro casa, sul tavolo in cucina.

Non è una bella situazione, soprattutto per gli assicurati elencati, e così sono andato a frugare pazientemente nei dati e nei documenti pubblicamente accessibili, vi ho trovato l’indirizzo di mail di quella che sembra essere la ditta responsabile e l’ho avvisata della situazione.

Nel giro di poche ore le pagine sono state disattivate, non so se per merito dell’avviso lasciato nei dati stessi oppure della mia segnalazione via mail. Quei dati sono ancora reperibili in Google, che ne conserva temporaneamente memoria nella sua cache, ma perlomeno non sono più alterabili da qualunque malintenzionato in vena di dispetti.

Mi è poi arrivato su Telegram un messaggio di qualcuno che sembra parlare a nome della ditta coinvolta e dice che si trattava di “una versione alfa non in produzione” che conteneva “dati totalmente fittizi anche se costruiti coerentemente”. Non ho modo di verificare questa dichiarazione: posso solo notare che erano “costruiti coerentemente” con un realismo e un dettaglio davvero straordinari per essere dei dati fittizi, e posso solo sperare che la versione definitiva sarà un po’ meno accessibile e disinvoltamente scrivibile di questa, perché in ogni caso provare un database lasciandolo aperto a tutti su Internet, in modo che possa essere riscritto, cancellato o devastato dal primo vandalo che passa, non è comunque una buona prassi di sicurezza informatica. E non è l’unica prassi del suo genere che viene disattesa, come vi racconterò tra un attimo.

Screenshot e dettagli: https://attivissimo.blogspot.com/2023/01/poi-la-gente-si-chiede-come-mai-i-dati.html

Dati sanitari lombardi a spasso

Non si capisce se sia incoscienza, disinvoltura o ignoranza, ma è impressionante la quantità di organizzazioni che mette su alla bell’e meglio una pagina Web con i dati personali dei dipendenti, clienti o collaboratori “perché così è comodo e possiamo consultarli facilmente”.

Vero, è comodo, ma altrettanto facilmente può consultarli anche chiunque altro. A quanto pare non è ancora stata capita diffusamente la lezione fondamentale che non basta non dire a nessuno dove si trovano i dati e così nessuno li troverà: bisogna proteggerli attivamente, così come non basta lasciare la chiave di casa sotto lo zerbino e sperare che nessuno la trovi.

I motori di ricerca generalisti, come Google, permettono di trovare le pagine Web pubblicamente raggiungibili anche senza conoscerne l’indirizzo, e ci sono anche i motori di ricerca specializzati, come il già citato Shodan oppure Binaryedge, Zoomeye o Censys, che esplorano tutta Internet e catalogano i siti che hanno servizi troppo accessibili e quindi vulnerabili.

Sempre pochi giorni fa mi è stato segnalato un servizio di soccorso sanitario della Lombardia che pubblica su una pagina Web accessibile a Google (e a chiunque abbia un browser) nomi, cognomi, indirizzi, numeri di telefono e orari degli utenti che si avvalgono dei suoi servizi e molti altri dati, compresi i nomi e cognomi, le firme e i numeri delle carte di identità e delle patenti di numerosi soccorritori volontari o professionisti.

Chiunque può leggere, per esempio, che il primo febbraio scorso Mattea doveva essere trasportata da Predore a Sarnico; che il 2 febbraio Mario, telefono 34879 eccetera, doveva essere portato da Villongo all’ospedale di Iseo, o che il 14 febbraio prossimo la signora Teresa, telefono 32987 eccetera, verrà trasportata da Villongo alla clinica Sant’Anna di Brescia, e così via. E per ciascun utente è indicata anche la situazione medica che rende necessario il trasporto. E poi ci sono nomi, cognomi e ruoli del personale, con tanto di firma digitalizzata.

Già è brutto che vengano disseminati i dati sanitari degli utenti, ma c’è un problema peggiore, che riguarda tutti i casi di dati pubblicati online inconsapevolmente: questi dati possono essere un appiglio perfetto per compiere truffe o raggiri ai danni delle persone coinvolte.

Giusto per fare un esempio, si può immaginare un truffatore o malintenzionato che telefoni a quella signora Teresa fingendo di essere un addetto al servizio trasporto utenti e le dica che il suo trasporto (quello di cui cita tutti i dettagli) avrà un costo aggiuntivo e che passerà un incaricato a riscuoterlo. Probabilmente la signora ci crederebbe e aprirebbe la porta di casa al finto incaricato.

A un livello più sofisticato, un malvivente potrebbe approfittare del fatto che sa di questa grave violazione della privacy sanitaria e contattare i responsabili del sito chiedendo bitcoin per non segnalare l’accaduto al Garante per la protezione dei dati personali; se non chiedesse troppo, avrebbe buone probabilità di incassare, perché l’estorsione costerebbe meno di quello che costerebbe la sanzione del Garante più le spese legali e quelle per mettere a posto il sito.

Questi sono solo i primi due scenari che mi vengono in mente, e io non sono un criminale informatico, che sicuramente avrà più inventiva di me.

Ho segnalato pubblicamente sui social network e nel mio blog questa situazione, ovviamente mascherando i dati personali delle persone coinvolte, e così sono stato contattato dall’Agenzia Regionale Emergenza Urgenza della Lombardia, che con i dettagli che ho fornito è riuscita a risalire all’associazione di soccorso coinvolta in questa vicenda e a contattare i responsabili. Ora i dati non sono più accessibili via Internet.

Tutto è bene quel che finisce bene, insomma, ma sarebbe meglio per tutti se storie come questa non iniziassero nemmeno.

Screenshot e dettagli: https://attivissimo.blogspot.com/2023/01/dati-spasso-nomi-cognomi-firme-e-altri.html

Per una truffa online basta un’ordinazione di caffè

[CLIP: Sofia Loren parla di caffè in Questi fantasmi]

Il terzo caso di questa carrellata di dati a spasso è in apparenza banale. Tutto inizia con una delle tante segnalazioni che mi arrivano: una pagina Web, pubblicamente accessibile, che ospita una serie di caselle per l’immissione di dati. Un form, in gergo informatico.

Il form cita una società di logistica italiana, che però non ha colpa; la pagina è probabilmente di un’azienda che usa questa società di logistica per le proprie spedizioni di merci.

Non sembra molto interessante, ma come capita spesso in questi casi anche questo form ha una caratteristica elementare, utilissima per chi vuole rastrellare dati: premendo semplicemente Invio, senza immettere nulla, elenca tutti i dati dell’intero archivio, che sono circa un migliaio di schede separate. Questa è una tecnica classica, che qualunque scraper o raccattatore di informazioni conosce e applica.

Ognuna di quelle schede permette di vedere i dettagli dei clienti: per esempio quelli dell’azienda in provincia di Macerata, che paga con ricevuta bancaria a 60 giorni fine mese e ordina circa 600 capsule di caffè e spende quasi 600 euro, o quelli della signora Antonella, di Genova, che paga le sue capsule di caffè con la carta di credito.

Lo so, conoscere nomi e cognomi di chi compra caffè non sembra un grosso problema di sicurezza, visto che il consumo di questa bevanda non è particolarmente controverso o privato, ma ovviamente il problema non è il prodotto acquistato, ma il fatto che i dati dei clienti siano accessibili a chiunque, anche a malintenzionati.

L’esempio più banale di questo problema è che un criminale potrebbe usare le informazioni per chiamare la signora Antonella, quella di Genova, spacciandosi per un addetto del servizio di sicurezza delle carte di credito che le telefona per un controllo e dicendole con tono rassicurante che sta solo verificando che lei abbia regolarmente acquistato quello specifico prodotto.

Il criminale potrebbe conquistarsi facilmente la fiducia della vittima, descrivendole in dettaglio che cosa ha acquistato e quando lo ha acquistato, se ha ricevuto correttamente la merce o se vuole fare reclamo, e poi potrebbe chiederle, con la massima disinvoltura, “Sempre per un controllo di sicurezza, signora” dice chiamandola per cognome “mi conferma i dati della carta con la quale ha effettuato il pagamento? Perché qui risulta che l’acquisto è stato segnalato come fraudolento e non vorrei che ci fosse un equivoco. Sarebbe un peccato bloccarle la carta di credito per errore.”

Certo, non tutti cadranno in questa trappola e comunicheranno i dati della propria carta di credito, che il criminale potrà poi usare per commettere frodi. Ma con migliaia di nominativi a disposizione in questo singolo archivio, prima o poi il criminale troverà qualcuno che ci cadrà. E gli basterà avere successo solo una volta ogni tanto.

È questo il problema generale dei dati lasciati a spasso: singolarmente possono sembrare innocui o poco importanti, ma sono dei punti di appiglio utilissimi per i criminali informatici. Per questo esistono standard tecnici e leggi che regolamentano severamente la gestione dei dati personali. Leggi che purtroppo non sempre vengono rispettate e che spesso vengono viste solo come una scocciatura o una complicazione inutile.

Purtroppo in questo caso non sembrano esserci dati utili per risalire all’identità del gestore maldestro di questa pagina Web. Ho provato a contattare via mail alcuni clienti per chiedere se se la sentissero di dirmi il nome della ditta alla quale avevano fatto l’ordinazione, ma finora non ho avuto nessuna risposta. Il passo successivo sarebbe una segnalazione formale al Garante per la protezione dei dati. Nel frattempo quei dati restano a disposizione di qualunque malintenzionato.

Screenshot e dettagli: https://attivissimo.blogspot.com/2023/02/dati-spasso-nomi-cognomi-e-indirizzi-di.html

Conclusioni

Quelli che ho raccontato sono solo tre piccoli esempi di data leak, ossia di disseminazione non intenzionale di dati personali, che mi sono capitati fra le mani nel giro di pochi giorni e non fanno notizia perché non riguardano milioni di persone in un sol colpo ma in realtà sono purtroppo la normalità quotidiana della gestione non sempre diligente delle nostre informazioni digitali. Per fortuna esistono persone che invece di approfittare di questi incidenti perfettamente evitabili lasciano avvisi o mandano segnalazioni; è grazie a loro che ho potuto raccontarvi queste storie e avvisare, almeno due volte su tre, i responsabili.

Se vi state chiedendo come mai in questa piccola rassegna di naufragi informatici non ci siano siti svizzeri, la risposta è che i data leak avvengono anche nella Confederazione, ma hanno caratteristiche diverse. Così diverse che meritano una puntata a parte.

Grazie per aver seguito questa puntata del Disinformatico, una produzione della RSI Radiotelevisione svizzera; gli spezzoni sonori sono stati tratti dai film Eyes Wide Shut di Stanley Kubrick e Questi fantasmi di Renato Castellani. Questo podcast viene pubblicato ogni venerdì mattina presso www.rsi.ch/ildisinformatico, dove trovate anche le puntate precedenti. Questa serie di podcast è disponibile anche su tutte le principali piattaforme podcast.

Tutti i link ai siti citati e alle fonti di riferimento sono pubblicati presso Disinformatico.info. Se avete commenti, correzioni o segnalazioni, potete scrivermi una mail all’indirizzo paolo.attivissimo@rsi.ch. A presto.

Podcast RSI – Spam in latino, spam su YouTube, mail che sembrano spam: chi è “BSA Compliance Solutions”?

2023-01-272026-06-29
di Paolo Attivissimo
Importato da Blogspot, PodcastRSI, radio

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi di accompagnamento e i link alle fonti di questa puntata, sono linkati qui sotto.

Podcast RSI – Buone notizie di sicurezza informatica: truffatori arrestati e un ransomware debellato

2023-01-202026-06-29
di Paolo Attivissimo
Importato da Blogspot, PodcastRSI, radio, ransomware, truffe

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

Arrestati in Ucraina i responsabili di 18.000 truffe bancarie

L’Ucraina è al centro dell’attenzione mediatica per ben altri drammi, ma nel frattempo nel paese la polizia informatica ha messo a segno un risultato importante: ha annunciato di aver identificato e perquisito un call center criminale molto professionale, gestito da tre residenti della città di Dnipro che avevano assunto ben 37 operatori.

Gli operatori telefonavano alle vittime fingendo di essere addetti alla sicurezza bancaria e avvisandole che i loro conti correnti avevano subìto degli accessi non autorizzati. Poi chiedevano alle vittime di confermare i dati necessari per annullare le transazioni fraudolente, che in realtà non esistevano, almeno non in quel momento.

Con questa scusa, infatti riuscivano a farsi dare i codici di accesso all’home banking delle vittime e trasferivano il contenuto dei loro conti correnti su altri conti controllati dalla banda criminale e situati all’estero.

Stando al dipartimento di polizia informatica ucraino, le vittime di questa singola banda sono oltre 18.000 e sono residenti in Kazakistan. Se verranno riconosciuti colpevoli, i membri dell’organizzazione criminale rischiano fino a otto anni di carcere.

Questa buona notizia è un’ottima occasione per ripassare le tecniche di difesa da truffe come questa, che avvengono continuamente e ovunque nel mondo. La prima cosa da ricordare è che il numero telefonico del chiamante che vediamo sui nostri telefonini non è affidabile: è facile da falsificare, per cui non possiamo fidarci soltanto perché il numero di chi ci chiama per avvisare di un problema sul nostro conto corrente corrisponde al numero di telefono della nostra banca o della polizia locale.

La seconda cosa da tenere presente è che richiamare la persona che ci ha chiamato per avvisarci del presunto problema non garantisce nulla, neppure se il numero che chiamiamo è un numero verde gratuito, perché questi numeri possono essere collegati a call center situati in qualunque altro paese del mondo.

Il terzo elemento al quale fare attenzione è abbastanza paradossale: questi finti servizi di assistenza clienti sono molto più veloci e solleciti di quelli reali. Non ci sono tempi di attesa, menu di opzioni da selezionare o musichette estenuanti. Questa piacevole sollecitudine ci predispone ad accettare più facilmente quello che ci viene detto.

Una volta conquistata la nostra fiducia, i truffatori fingono spesso di avere già i nostri dati sullo schermo davanti a loro e usano la loro parlantina sciolta per farceli “confermare”. Sono professionisti, fanno questo mestiere tutto il giorno e quindi sanno esattamente come indurci a dare le informazioni che servono a loro per entrare nei nostri conti.

Nel caso ucraino i criminali ottenevano le informazioni necessarie per trasferire i soldi dal conto della vittima a un conto controllato da loro, ma esistono anche altre tecniche che è opportuno conoscere per poterle riconoscere.

Per esempio, i truffatori chiamano le vittime dicendo che per sicurezza è stato assegnato a loro un nuovo numero di conto presso la stessa banca, sulla falsariga di quando viene data una carta di credito con un numero nuovo per risolvere un caso di frode, e poi chiedono alla vittima di trasferire i propri soldi al nuovo conto.

Le vittime lo fanno prontamente, perché credono che il loro conto sia stato violato e che il nuovo numero di conto sia invece sicuro: ma in realtà il numero di conto nuovo è stato aperto da complici dei truffatori usando documenti falsi. Non appena i soldi arrivano sul nuovo conto, i truffatori li prelevano e spariscono. Questo è uno scenario molto frequente per esempio nel Regno Unito, secondo le segnalazioni della società di sicurezza informatica Sophos, e ha una conseguenza molto spiacevole: le banche possono rifiutarsi di assistere o risarcire la vittima, perché il trasferimento di denaro è stato fatto volontariamente e usando le credenziali corrette, per cui non si tratta di furto in senso stretto.

Conviene insomma essere molto prudenti di fronte a qualunque chiamata inattesa di questo genere, ed è anche opportuno mettere in guardia contro queste truffe le persone particolarmente vulnerabili che conosciamo, ricordando loro che questi truffatori sono esperti nella persuasione e che la migliore difesa è semplicemente chiudere la chiamata e contattare subito una persona di fiducia.

Europol blocca truffa internazionale sulle criptovalute

Europol ha annunciato che l’11 gennaio scorso ha bloccato vari call center criminali situati in Bulgaria, Serbia e Cipro, specializzati nelle truffe basate sui falsi investimenti con criptovalute, e ha eseguito 15 arresti e 22 perquisizioni, interrogando 261 persone.

I paesi presi di mira da questi criminali erano principalmente Germania, Svizzera, Australia e Canada, e la stima iniziale del maltolto indica un importo complessivo di almeno due milioni di euro, ma Europol sospetta che i guadagni illeciti di questi gruppi criminali “possano essere dell’ordine delle centinaia di milioni di euro.”

Le tecniche usate da questi truffatori sono classiche: creano e pubblicizzano su Google, nei social network e anche su YouTube dei siti web nei quali offrono investimenti in criptovalute, proponendo un importo di ingresso molto modesto, e poi simulano che gli investimenti diano un rendimento, documentato – si fa per dire – da estratti conto online totalmente inventati.

Le vittime credono che i loro guadagni siano reali anche perché se chiedono di ritirare una quota dei loro investimenti ricevono davvero l’importo richiesto, che però non è mai la cifra intera, compresi i presunti guadagni, ma è solo una parte del denaro in criptovalute che hanno affidato ai truffatori.

Tutto questo crea uno stato di euforia e sicurezza nelle vittime, e qui scatta la seconda fase della trappola: i truffatori invitano a investire cifre più consistenti. Usano frasi del tipo “Quando hai investito per prova 150 euro, hai quasi raddoppiato il tuo investimento! Pensa se tu ne avessi investiti 1500, o 15.000!”. E così spesso le vittime inviano altri soldi ai truffatori.

Può capitare che le persone cadute nella trappola diventino a loro volta reclutatori di altre vittime. Molti di questi siti truffaldini di finto “trading in criptovalute”, infatti, danno premi e incentivi a chi trova altre persone disposte a inviare denaro nella speranza di grandi guadagni.

Tutto questo meccanismo prosegue finché un numero consistente di vittime non si insospettisce e comincia a chiedere di riavere le somme investite: a quel punto di solito i truffatori chiudono tutto e scappano con i soldi.

Ma non è detto che finisca tutto così: esiste infatti anche una terza fase. I truffatori non interrompono i contatti con le vittime che chiedono la restituzione delle criptovalute affidate, ma dicono che l’accredito è temporaneamente bloccato per ragioni fiscali o per un’ispezione delle autorità locali, come è capitato in un caso che ho seguito personalmente poche settimane fa, e spiegano che per sbloccarlo occorre versare il più presto possibile una percentuale dell’importo a titolo di ritenuta fiscale. È tutto inventato, con lo scopo di attribuire la colpa della mancata restituzione a qualcun altro e sviare eventuali sospetti.

Prima o poi le vittime si rendono conto che si tratta di scuse, ed è a questo punto che, con sfacciataggine incredibile, scatta la quarta fase. Dopo un periodo di silenzio, nel quale i truffatori non si fanno più sentire e la vittima teme di aver ormai perso per sempre i propri soldi, si fa viva una persona che dice di rappresentare un “servizio di recupero criptovalute” e propone di tentare il recupero del denaro dato ai truffatori dalla vittima. Naturalmente questo servizio ha un costo, che va pagato in anticipo, ma è semplicemente una truffa nella truffa.

Sì, le forze di polizia internazionali a volte riescono davvero a recuperare criptovalute sottratte fraudolentemente, ma quando lo fanno non contattano le vittime via mail o sui social network: usano canali di contatto ufficiali e certificati (e non chiedono soldi per intervenire). Il problema è che le vittime spesso a questo punto sono talmente disperate, perché magari hanno perso i risparmi di una vita, che si attaccano a qualunque filo di speranza, e i truffatori procedono senza pietà ad approfittarne.

L’intervento delle forze di polizia coordinate da Europol ha messo fine alle attività di questa organizzazione criminale, ma altre continuano a esistere e tendere trappole, per cui è meglio restare vigili con alcune semplici precauzioni.

Prima di tutto, se un’offerta suona troppo bella per essere vera, probabilmente non è vera. Capita davvero che chi ha fatto investimenti in criptovalute ottenga grandi guadagni, ma questo avviene perché il controvalore delle criptovalute a volte sale, non perché un sito Web dice di avere un “sistema di trading” o cose del genere.

In secondo luogo, il fatto che un sito Web abbia un aspetto professionale e sia pubblicizzato vistosamente su Google e nei social network non garantisce in alcun modo che sia affidabile. Creare questi siti e pubblicizzarli è facile ed esistono addirittura kit chiavi in mano per farlo.

Come terzo consiglio, attenzione agli amici che vi propongono insistentemente investimenti sicuri dicendo che loro li hanno fatti e stanno guadagnando grandi cifre: chiedete come hanno scoperto questo sistema, che controlli hanno fatto per vedere che reputazione ha l’organizzazione alla quale si sono affidati, e se hanno già provato a incassare tutto quello che hanno investito, guadagni compresi. Purtroppo i truffatori fanno pressione sulle vittime affinché trovino altre persone, e non esitano a sfruttare le amicizie o ad accusare gli “scettici” di volervi impedire di avere successo. Sono disposti a mettervi contro la vostra stessa famiglia pur di convincervi a dare loro i vostri soldi.

Fonti aggiuntive: Sophos, Bitdefender.

Speranze per le vittime di ransomware: rilasciato il decrittatore gratuito per MegaCortex

Se siete stati colpiti da un attacco informatico di tipo ransomware che vi ha bloccato tutti i dati chiedendo un riscatto per darvi la password necessaria per sbloccarli e il programma usato per l’attacco si chiama MegaCortex, o se conoscete qualcuno che si trova in questa situazione, c’è una buona notizia: gli esperti della società di sicurezza informatica Bitdefender hanno rilasciato un cosiddetto decrittatore universale per questo software.

MegaCortex ha iniziato a fare danni nel 2019 ed era diventato talmente diffuso e pericoloso, con almeno 1800 casi che avevano coinvolto principalmente aziende, che l’FBI aveva diffuso un avviso specifico in proposito.

I creatori di MegaCortex sono ignoti ma a quanto pare sono fan della serie di film Matrix: il nome MegaCortex sembra ispirato da quello della società di software presso la quale lavorava il personaggio interpretato da Keanu Reeves, ossia la MetaCortex, e il messaggio che compariva sui computer attaccati citava alcune battute dei film, con frasi come “Noi possiamo solo mostrarti la porta, ma sei tu quello che deve attraversarla”.

Ma Bitdefender, in cooperazione con Europol, il progetto NoMoreRansom e la polizia cantonale del canton Zurigo hanno rilasciato un software gratuito che sblocca i file bloccati da MegaCortex senza aver bisogno della password e quindi senza dover pagare i criminali. Le istruzioni per scaricarlo sono sul sito di Bitdefender. Inoltre alcuni dei criminali che usavano MegaCortex e altri ransomware sono stati arrestati a ottobre 2021.

Se venite colpiti da un attacco di ransomware, insomma, vale sempre la pena conservare una copia completa dei dati che sono stati bloccati e cifrati dall’attacco, perché capita spesso che a distanza di qualche mese venga rilasciato uno strumento gratuito di decifrazione che permette di riavere i dati. Ma come sempre, la prevenzione è meglio della cura, per cui fate una copia di scorta dei vostri dati e tenetela in un luogo sicuro e fisicamente isolato da Internet.

Fonte aggiuntiva: Graham Cluley.

Podcast RSI – Story: HERT, il computer meno durevole del mondo, e CCS, quello che funziona da 45 anni

2023-01-132026-06-29
di Paolo Attivissimo
archeoinformatica, Importato da Blogspot, PodcastRSI, radio

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP audio: avvio lento di un computer]

Ci si lamenta spesso che i computer e gli smartphone diventano obsoleti nel giro di pochi anni, spingendo a cambiarli spesso, con tutti i costi connessi, e creando tanta spazzatura elettronica, ma ci sono computer la cui vita utile non si misura in anni e neanche in mesi. Si accendono una sola volta, fanno calcoli frenetici per qualche istante, e poi vengono distrutti. Uno spreco incredibile e a prima vista assurdo, ma da questi computer, in un certo senso, dipende la pace nel mondo.

Questa è la storia di HERT, il computer meno longevo di sempre, e delle sue prestazioni incredibili. Non lo troverete nei negozi: noi comuni mortali non possiamo comperarlo, e c’è un’ottima ragione per questo divieto.

[SIGLA di apertura]

La storia di HERT, perlomeno quella pubblica, inizia intorno alla metà degli anni Novanta del secolo scorso, ed è stata portata alla luce dal divulgatore scientifico Scott Manley in un video pubblicato recentemente su YouTube.

Si tratta di uno speciale computer per telemetria che aveva dei requisiti molto particolari: doveva trasmettere dati a circa 100 megabit al secondo (che negli anni Novanta erano una velocità notevolissima) ed era dotato di un processore FPGA o field-programmable gate array a 100 MHz. Questi FPGA, a differenza dei normali processori, sono riconfigurabili perché i loro circuiti non vengono fissati durante la fabbricazione e possono essere ridefiniti dal software che ci gira sopra, dando loro una flessibilità impareggiabile: un computer dotato di FPGA, in pratica, può modificare se stesso per adattarsi meglio al compito che deve svolgere. Oggi gli FPGA vanno molto di moda nel campo dell’intelligenza artificiale, ma ai tempi dell’esordio di HERT erano rari e nuovi: il primo FPGA commerciale era stato realizzato solo una decina d’anni prima, nel 1985.

Per contro, la memoria di HERT era davvero miserrima, persino per gli standard di allora: solo 1280 bit (sì, bit, non megabit o gigabit). Ma non era un problema, perché i dati che doveva raccogliere erano pochissimi e quello che contava era che quella poca memoria fosse incredibilmente veloce, perché doveva incamerare i dati di telemetria e passarli al trasmettitore radio che li inviava ai ricercatori del committente.

E il committente che aveva bisogno di questo strano computer era quasi altrettanto strano: era il Dipartimento per l’Energia degli Stati Uniti. Non è il tipo di ente che normalmente si associa all’informatica ad alte prestazioni, ma questo è un caso particolare, perché questo computer doveva attivarsi, raccogliere dati e trasmetterli nel giro di qualche milionesimo di secondo. Provate a pensare ai tempi di accensione del vostro computer o telefonino e immaginate, oltre trent’anni fa, un computer che era pronto all’uso nel giro di un milionesimo di secondo.

Probabilmente vi starete chiedendo il perché di tanta fretta di accendersi e partire. La spiegazione è nascosta nel significato della sigla HERT, che sta per High Explosive Radio Telemetry, ossia “telemetria via radio per alto esplosivo”. Questo piccolo computer dalle prestazioni pazzesche, infatti, doveva lavorare così in fretta perché doveva trasmettere tutti i dati raccolti prima che venisse distrutto intenzionalmente da un’esplosione. L’esplosione della bomba atomica all’interno della quale era installato.

—-

Dietro l’etichetta apparentemente blanda del Dipartimento per l’Energia statunitense c’è in realtà la ricerca militare sulle armi nucleari, che ha ormai da alcuni decenni una sfida notevole da risolvere. Nel 1996 i test nucleari convenzionali, ossia quelli nei quali si fa esplodere una bomba, sono stati formalmente banditi da un trattato internazionale. Da ormai trent’anni, le grandi potenze nucleari firmatarie del trattato, ossia Stati Uniti, Russia, Cina, Francia e Regno Unito (cui si aggiungono molti altri paesi con arsenali nucleari relativamente minori), non effettuano più test pratici. E quindi questi paesi hanno un problema: come si fa a dimostrare che un’arma nucleare funziona davvero, se non la si può far esplodere?

[CLIP audio: il presidente USA dialoga con il presidente sovietico in “Il Dottor Stranamore” di Stanley Kubrick]

I test nucleari passati non sono sufficienti, perché le bombe invecchiano: contengono molti componenti e sostanze, come per esempio certi polimeri e gli esplosivi chimici che innescano la detonazione nucleare, che perdono le loro proprietà con il passare del tempo, e quindi bisogna fabbricarne periodicamente delle altre o sostituire questi componenti e materiali se si vuole mantenere quantitativamente stabile il proprio deterrente atomico. E bisogna fabbricarle o aggiornarle rispettando degli standard di precisione elevatissimi, altrimenti non funzioneranno.

In estrema sintesi, infatti, l’esplosione di una testata nucleare viene innescata usando degli esplosivi convenzionali, disposti in modo da produrre un’onda di pressione intorno al materiale radioattivo, comprimendolo immensamente in un tempo brevissimo. Se quest’onda non è uniforme, la reazione nucleare a catena non avviene correttamente e l’arma non funziona o funziona con potenza enormemente ridotta. Con le simulazioni al computer di oggi si può fare tanto, ma alla fine si tratta pur sempre di simulazioni, mentre per convincere i propri avversari potenziali che il proprio deterrente nucleare funziona davvero e non solo sulla carta, e che quindi non è il caso di attaccare, servono delle dimostrazioni pratiche.

È qui che entrava in gioco HERT: questo piccolo, velocissimo computer che pesava poco meno di 700 grammi veniva installato dentro una Flight Test Unit (FTU), una replica molto fedele di una bomba atomica ma priva di materiale nucleare e montata su un missile balistico lanciato verso un bersaglio fittizio, e i suoi sensori rilevavano in vari punti dell’ordigno la forma dell’onda di pressione che veniva prodotta dall’esplosivo convenzionale quando la bomba veniva fatta esplodere sul bersaglio. Nell’istante in cui iniziava l’esplosione, HERT doveva accendersi, raccogliere i dati che gli arrivavano da questi sensori, codificarli freneticamente e trasmetterli via radio. Doveva fare tutto questo entro non più di venti milionesimi di secondo, ossia nel tempo che ci metteva l’esplosione a raggiungerlo e distruggerlo. In pratica, la sua intera vita operativa durava cinquemila volte meno di un singolo battito di ciglia. Questa sì che è obsolescenza rapida.

Se i dati di questa telemetria confermavano che la forma dell’onda di pressione era regolare, dimostravano che la bomba funzionava e che quindi il deterrente nucleare era reale e credibile. Secondo la dottrina della distruzione reciproca garantita, questo deterrente scoraggiava i conflitti e quindi HERT, il computer meno durevole del mondo, a modo suo contribuiva alla pace.

—

Va detto che quello che si sa pubblicamente di HERT rappresenta lo stato dell’arte di tre decenni fa di una delle tante tecnologie informatiche estreme usate per la verifica delle armi nucleari, e non si sa quali dispositivi vengano usati oggi al suo posto, anche se i documenti governativi pubblici confermano che HERT, in una delle sue numerose versioni, è rimasto in uso almeno fino al 2007.

In compenso, si sa che il settore del controllo qualità delle testate nucleari, per così dire, utilizza anche oggi dei computer straordinariamente sofisticati, ma si tratta di dispositivi che durano decisamente più a lungo di HERT, anche perché hanno uno scopo molto differente: sono i supercalcolatori giganti che simulano con estrema finezza le reazioni di fusione nucleare, come Sierra e JADE, installati rispettivamente nel 2018 e nel 2016 presso la National Nuclear Security Administration in California e tuttora pienamente operativi, tanto che sono stati protagonisti poco citati dell’annuncio che ha fatto il giro del mondo, a dicembre 2022, di un importante passo avanti nella generazione di energia da fusione nucleare controllata.

_{Sierra al LLNL. Credit: Randy Wong/LLNL.}

Anche questi supercomputer, come il loro ben più effimero parente prossimo HERT, sono gestiti dal Dipartimento per l’Energia statunitense, e quel passo avanti è stato reso possibile dalle loro simulazioni digitali, che hanno definito i parametri dell’esperimento concreto che è stato al centro dell’annuncio. E benché i media si siano concentrati sugli aspetti energetici e le applicazioni commerciali della notizia, in realtà l’annuncio è stato di natura principalmente militare.

Riascoltando la conferenza stampa di presentazione si nota infatti che il fisico Marvin Adams che la conduce è vicedirettore per i programmi della Difesa degli Stati Uniti, e dice molto chiaramente (a 14:00) che il risultato annunciato ha sì delle implicazioni per l’energia pulita, ma soprattutto offre benefici diretti per la sicurezza nazionale, consentendo esperimenti che mantengono l’affidabilità e la credibilità del deterrente nucleare senza effettuare test esplosivi atomici. Esattamente come HERT, insomma.

Queste sono le sue parole [CLIP]:

“Fusion is an essential process in modern nuclear weapons, and fusion also has the potential for abundant clean energy. As you have heard, and you’ll hear more, the breakthrough at NIF does have ramifications for clean energy. More immediately, this achievement will advance our national security in at least three ways. First, it will lead to laboratory experiments that help NNSA defense programs continue to maintain confidence in our deterrent without nuclear explosive testing. Second, it underpins the credibility of our deterrent by demonstrating world-leading expertise in weapons-relevant technologies. That is, we know what we’re doing. Third, continuing to assure our allies that we know what we’re doing and continuing to avoid testing will advance our nonproliferation goals, also increasing our national security.”

—-

Anche i supercomputer come JADE e Sierra, però, non durano a lungo: dopo qualche anno diventano obsoleti, superati da sistemi ancora più potenti. Ma se HERT è un caso estremo di vita breve di un dispositivo digitale, misurata in milionesimi di secondo, all’altro estremo c’è un computer decisamente longevo.

Secondo il Guinness dei Primati, il computer che è rimasto acceso e operativo più a lungo in tutta la storia della tecnologia digitale è in funzione ininterrottamente da 45 anni e 4 mesi: è entrato in attività il 20 agosto 1977 (il Dekatron britannico risale al 1951 ed è funzionante, ma non è rimasto continuamente attivo).

Anche questo computer ha a che fare con le radiazioni e con l’energia nucleare, ma stavolta le bombe non c’entrano: è infatti il CCS o Computer Command System, una coppia di computer interconnessi a bordo della sonda spaziale Voyager 2, lanciata appunto il 20 agosto del ’77. C’è anche un altro CCS ultralongevo: quello installato sulla sonda gemella Voyager 1, che nonostante la numerazione fu lanciata poco dopo la sorella Voyager 2, il 5 settembre 1977.

Questi Computer Command System sono alimentati ciascuno da un piccolo reattore nucleare che dovrebbe durare fino al 2030 circa e sopportano da 45 anni le radiazioni cosmiche dello spazio profondo; non contengono microprocessori ma soltanto componenti discreti e circuiti integrati, e hanno solo 70 kilobyte di memoria. Oggi i CCS si trovano a oltre venti miliardi di chilometri dalla Terra, ben oltre i pianeti del Sistema Solare, e sfrecciano a più di 15 chilometri al secondo nel gelo e nel buio, continuando a trasmettere diligentemente informazioni scientifiche da quasi mezzo secolo. Pensateci, la prossima volta che vi sentite in obbligo di cambiare telefonino perché vi sembra vecchio.

Fonti aggiuntive:

Radio Frequency Overview of the High Explosive Radio Telemetry Project, Arizona.edu.
System Integration and Advanced Telemetry, Osti.gov, pag. 44.
High-Explosive Radio Telemetry, Lanl.gov.
High Explosive Radio Telemetry System, Osti.gov.
Department of Energy – FY 2007 Congressional Budget Request, Volume 1, pag. 118-119.
A History of LLNL Computers, LLNL.
National Nuclear Security Administration.
The One Thing Everyone’s Ignoring About the Fusion Energy Breakthrough, Daily Beast.
Bridging Divider, Los Alamos National Laboratory.
Nuclear-fusion lab achieves ‘ignition’: what does it mean?, Nature.
National Ignition Facility achieves fusion ignition, LLNL.
U.S. Officials Announce Major Nuclear Fusion Breakthrough Transcript, Rev.com.
U.S. reaches a fusion power milestone. Will it be enough to save the planet?, NPR. Supercomputing’s Critical Role in the Fusion Ignition Breakthrough, HPCWire.com.
Due Credit: Sierra, JADE and HPC’s Role in Livermore’s Fusion Ignition Breakthrough, InsideHPC.com.
FPGA vs. GPU vs. CPU – hardware options for AI applications, Avnet.com.

Podcast RSI – Megamulta a Fortnite per “dark pattern”, Twitterremoto, Lensa AI e gli avatar pericolosi

2022-12-232026-07-18
di Paolo Attivissimo
Importato da Blogspot, PodcastRSI, radio

Ultimo aggiornamento: 2026/07/18.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo integrale e i link alle fonti di questa puntata, sono qui sotto.

Podcast RSI – Caos di Twitter, giornalisti epurati e nuove regole; truffa lampo su PayPal

2022-12-162026-07-18
di Paolo Attivissimo
Importato da Blogspot, PodcastRSI, radio

Ultimo aggiornamento: 2026/07/18.

Nota: La versione pubblicata inizialmente aveva, a 8:12 circa, un errorino di montaggio: colpa mia. La versione attuale è stata corretta.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo integrale e i link alle fonti di questa puntata, sono qui sotto.

Podcast RSI – 50 anni di Pong; intelligenza artificiale che scrive temi e articoli; ladri informatici che rifiutano di attaccare

2022-12-092026-07-18
di Paolo Attivissimo
archeoinformatica, Importato da Blogspot, intelligenza artificiale, PodcastRSI, radio, ransomware

Ultimo aggiornamento: 2026/07/18.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo integrale e i link alle fonti di questa puntata, sono qui sotto.

[CLIP: Audio di Pong]

Questi suoni sintetici, secchi e semplici, sono inconfondibili per chiunque abbia qualche anno sulle spalle e si ricordi il debutto dei primi giochi elettronici: sono quelli di Pong, il mitico ping-pong elettronico, che in questi giorni compie ben cinquant’anni. Oggi, invece, siamo alle prese con l’intelligenza artificiale e con le sue sorprese continue, mentre dall’Asia arriva una storia di ransomware decisamente bizzarra, in cui i criminali informatici si rifiutano di attaccare una compagnia aerea con una giustificazione molto insolita.

Sono questi gli argomenti della puntata del 9 dicembre 2022 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie dal mondo dell’informatica. Benvenuti. Io sono, come al solito, Paolo Attivissimo.

[CLIP: Sigla di apertura]

50 anni di Pong, ma con sorpresa

Alla fine di novembre del 1972, cinquant’anni fa, fu rilasciato uno dei videogiochi più famosi di sempre: Pong. La sua storia merita di essere raccontata in una maniera adatta al mezzo secolo di informatica che ci separa dai quei timidi primi passi nell’intrattenimento digitale. Ascoltatela con attenzione.

Pong è stato uno dei primi videogiochi mai realizzati ed è diventato rapidamente un successo commerciale negli anni ’70. Fu ideato e sviluppato da Atari, una delle più grandi società di videogiochi dell’epoca. Nolan Bushnell è stato il fondatore di Atari e quindi uno dei principali sviluppatori di Pong. Bushnell fu anche il principale promotore di Pong, che fu pubblicizzato con successo attraverso manifesti e pubblicità televisive.

Pong era un semplice gioco basato sulla racchetta e sulla pallina, in cui i giocatori dovevano spostare le proprie racchette per colpire la pallina e impedire all’avversario di segnare un punto. Nonostante la sua semplicità, Pong divenne presto un fenomeno di massa, con milioni di persone che giocavano nei bar, nei locali e nelle sale giochi di tutto il mondo.

Bushnell ebbe l’idea di creare un videogioco basato sulla racchetta e sulla pallina dopo aver giocato a un gioco simile su una macchina da bar. Bushnell e il suo team di sviluppatori lavorarono per mesi per creare il prototipo di Pong, che fu poi testato in alcuni locali per valutarne l’appeal. Dopo aver apportato alcune modifiche, Pong fu finalmente lanciato sul mercato e divenne un successo commerciale senza precedenti.

Pong fu anche il primo videogioco a essere distribuito per console per il mercato domestico, aprendo la strada a un’intera generazione di giochi per la televisione. Con il suo successo, ha segnato l’inizio dell’era dei videogiochi e ha contribuito a creare un mercato che oggi è valutato in miliardi di dollari.

Anche se Pong è stato superato dalla tecnologia moderna e dai giochi più complessi di oggi, rimane un pezzo importante della storia dei videogiochi e continua a essere apprezzato da molti appassionati di tutte le età.

Vi è sembrata una descrizione un po’ fiacca, ripetitiva e priva di dettagli? Beh, considerate però che è stata scritta in pochi secondi e senza alcuna fatica da parte mia: infatti l’ha generata interamente un software di intelligenza artificiale. Adesso capite perché vi ho chiesto di ascoltarla con attenzione. Se non ve l’avessi detto, ve ne sareste accorti?

Mi affretto a dire che da qui in poi, invece, il testo di questo podcast è opera mia. Almeno quasi tutto.

Il software in questione si chiama ChatGPT ed è stato presentato pochi giorni fa, causando ilarità e al tempo stesso preoccupazione in chiunque scriva testi per lavoro. Ilarità perché è anche capace di spiegare la fisica quantistica in rima nello stile di Snoop Dogg, e preoccupazione perché se un software riesce a generare in qualche istante un testo passabile come quello che avete sentito, a cosa servono scrittori e giornalisti? E come faranno i docenti a capire se i loro studenti hanno davvero scritto il testo della loro ricerca o del loro tema ma hanno una prosa asciutta e poco talento oppure se lo sono invece fatto generare pigramente da un software?

[Nota: esistono dei rilevatori di output per GPT-2 che funzionano per ora anche con ChatGPT come strumenti antiplagio e antifrode, ma bisogna saperli installare e usare]

Potete provare ChatGPT gratuitamente: è sufficiente creare un account presso chat.openai.com e mettersi pazientemente in fila, perché sono moltissimi gli utenti che lo stanno provando e magari anche già usando per lavoro. Se avete fretta, c’è anche una versione a pagamento, che si chiama Playground.

Il suo funzionamento pratico è molto semplice; la complessità è tutta dietro le quinte. Come per i generatori di immagini che ho descritto in altre puntate di questo podcast, tutto parte da una breve frase, denominata in gergo prompt, che l’utente immette per dare istruzioni al software. Il bello di ChatGPT è che a differenza di molti software analoghi anche recenti, questo genera testi anche in italiano. È sufficiente che il prompt sia in italiano o, in generale, nella lingua nella quale volete ottenere il testo generato.

Per fargli generare quel blando riassunto della storia di Pong (che effettivamente compie cinquant’anni in questi giorni) gli ho semplicemente chiesto “Scrivimi la storia del videogioco Pong nello stile di un giornalista” e poi “Raccontami in dettaglio quale ruolo ebbe Nolan Bushnell nella creazione del videogioco Pong”. Il resto, ossia la struttura delle frasi e i riferimenti ad Atari, lo ha generato ChatGPT, direttamente in italiano. Io ho solo tolto qualche ripetizione.

[Date un‘occhiata allo spettacolare esempio di fuffa di marketing creato da Matteo Flora, nel tweet qui sotto:]

Analisi di Brand Equity e un esempio di strategia di Brand Equity scritte da #ChatGPT per il brand @barillagroup. Ho visto cose peggiori scritte da persone vendute da aziende di consulenza in posizione Senior… pic.twitter.com/lIuPxyONf3

— Matteo G.P. Flora (@lastknight) December 7, 2022

ChatGPT è comunque ottimizzato per la lingua inglese, ed è in questa lingua che fornisce i risultati più strepitosi, generando riassunti, convertendo i titoli di film in emoji, generando poesie, filastrocche e recensioni di ristoranti, scrivendo trame di sitcom e racconti erotici, traducendo da una lingua a un’altra e da un linguaggio di programmazione a un altro, chiacchierando in maniera naturale ricordandosi anche le frasi precedenti della conversazione e fornendo molte altre funzioni che fino a pochi anni fa sarebbero state considerate impossibili per un software.

Per ora i testi generati da ChatGPT sono ancora riconoscibili da un lettore attento, e se state pensando di usarlo per scuola o per lavoro tenete presente che spesso si inventa dettagli inesistenti ma apparentemente plausibili [come nella descrizione di Pong, che contiene parecchi dettagli completamente falsi]. Ma questo software, e l’intero settore della generazione di contenuti tramite intelligenza artificiale, si sta evolvendo a velocità impressionante, tanto che il sito Stack Overflow, punto di riferimento per risolvere qualunque problema di programmazione, ha temporaneamente bandito le “soluzioni” generate da ChatGPT, perché sono troppo facili da generare e sono spessissimo sbagliate ma a prima vista molto credibili. Riconoscerle richiede un occhio esperto, e quindi i moderatori sono stati sopraffatti dall’ondata di soluzioni fasulle prodotte da ChatGPT.

Artisti, traduttori e autori di testi si sentono comprensibilmente minacciati e temono di restare senza lavoro, soppiantati da computer veloci e instancabili che producono a bassissimo costo materiale blando e superficiale ma comunque accettabile per molte situazioni anche professionali.

Perché pagare un illustratore per una copertina di un libro, quando c’è Midjourney che la genera in un minuto e costa qualche centesimo? Perché pagare un cronista per descrivere una partita, quando c’è un software capace di farlo usando anche i cliché tipici del settore?

Ma il problema rischia di essere ben più grande. Con questi software, generare milioni di articoli falsi ma sufficientemente credibili da ingannare il lettore non esperto, ossia fabbricare fake news, costa incredibilmente poco. È la realtà stessa che rischia di essere annacquata fino a scomparire.

Se vi state chiedendo se questo scenario si possa evitare, per esempio tramite una riqualificazione del giornalismo, non siete i soli. Una risposta arriva dal tecnologo Dominic Ligot:

“man mano che i social media e l’intelligenza artificiale continuano a evolversi e diventano più prevalenti, il giornalismo dovrà adattarsi e cambiare per restare efficace e continuare ad avere importanza. Uno dei modi principali nei quali dovrà cambiare è l’inclusione di nuove tecnologie e nuove piattaforme nelle sue pratiche e nei suoi processi. Per esempio, i giornalisti dovranno imparare come usare gli strumenti dell’intelligenza artificiale e dei social media per identificare e verificare le fonti, per analizzare e interpretare grandi quantità di dati, e per produrre contenuti interessanti e coinvolgenti su misura per le preferenze ed esigenze del pubblico online.”

Parole convincenti, vero? Ma non sono di Dominic Ligot: lui le ha semplicemente fornite al pubblico. Avete indovinato: le ha fatte generare da ChatGPT.

Fonti aggiuntive: Ars Technica, BBC, The Verge, Cnet, AI4business.it.

50 anni di Pong (stavolta sul serio)

*_{[Credit per l’immagine: Wikipedia/Chris Rand]}*

Lasciando da parte i riassuntini annacquati generati dall’intelligenza artificiale, sono effettivamente passati 50 anni dal 29 novembre 1972, quando la neonata azienda statunitense Atari Inc. presentò negli Stati Uniti il videogioco Pong.

Uno schermo rigorosamente in bianco e nero, due “racchette” disegnate sotto forma di semplici rettangoli che si potevano muovere solo lateralmente, una “pallina” che era in realtà un quadratino bianco, e degli effetti sonori elementari oggi fanno sorridere, ma all’epoca erano assolutamente rivoluzionari, specialmente nelle sale giochi affollate di apparecchi completamente elettromeccanici. Questa era elettronica, era il futuro.

Pong, però, non fu creato da Atari in senso stretto. Il primo ping-pong elettronico fu offerto dalla console di gioco Odyssey della Magnavox, sempre nel 1972; i due fondatori di Atari, Nolan Bushnell e Ted Dabney, imitarono il gioco della Magnavox creandone una versione per le sale giochi.

Un’idea assolutamente vincente: nel giro di due anni Atari vendette più di 8000 esemplari, che furono una miniera d’oro: il loro guasto più frequente era dovuto al fatto che il contenitore delle monete necessarie per giocare era strapieno.

Atari offrì una versione domestica di Pong solo nel 1975. Nel frattempo Magnavox aveva fatto causa ad Atari per aver copiato la sua idea, ma Atari raggiunse un accordo economico con l’azienda, diventando licenziataria del ping-pong elettronico originale.

Una chicca per nostalgici: se vi sembra di ricordare che Pong avesse un difetto, per cui la racchetta non arrivava fino all’angolo superiore dell’area di gioco ed era quindi impossibile fermare la pallina se finiva in quella zona, ricordate bene. Non eravate voi a sbagliare il movimento della racchetta.

Però non si trattava un guasto del singolo apparecchio: erano tutti così, e lo erano intenzionalmente. Il progettista di Pong, Allan Alcorn, aveva infatti scelto un circuito di controllo delle racchette che aveva un difetto intrinseco, e invece di perdere tempo cercando un modo di compensarlo lo lasciò nel gioco per renderlo più difficile e per limitare la durata delle partite.

Fonti: Britannica, Wikipedia.

Criminali dediti al ransomware si rifiutano di attaccare una compagnia aerea: è troppo insicura

_{[Credit per lo screenshot: DataBreaches.net]}

L’esperto di sicurezza informatica Graham Cluley segnala una storia davvero insolita negli annali degli attacchi informatici di ransomware, quelli basati sul furto o blocco dei dati di un’azienda e sulla richiesta di denaro per non divulgarli o per sbloccarli.

A metà novembre 2022 la banda informatica nota come Daixin Team ha attaccato la compagnia aerea malese Air Asia, sottraendo i dati personali di cinque milioni di passeggeri e di tutti i dipendenti.

Per dimostrare di aver realmente compiuto il furto, i criminali hanno inviato al sito DataBreaches.net e alla compagnia aerea un campione dei dati: nomi, date di nascita, indirizzi, data di assunzione, domanda di recupero account, risposta alla domanda di recupero e altro ancora.

Secondo quanto riferiscono i criminali attraverso un portavoce (perché sì, le bande criminali informatiche oggi sono talmente organizzate da avere anche dei portavoce), Air Asia è entrata in trattativa, ma sembra che alla fine non abbia pagato alcun riscatto.

Tuttavia lo stesso portavoce della banda ha dichiarato che Daixin Team ha cifrato i dati sui computer della compagnia e ne ha cancellato anche le copie di backup, però si rifiuta di attaccare più a fondo Air Asia a causa della “organizzazione caotica della rete” e della “assenza di qualunque standard” che ha “causato l’irritazione del gruppo e il completo rifiuto di ripetere l’attacco”. Dicono proprio così.

Il portavoce dei criminali ha aggiunto che “la rete interna era configurata senza alcuna regola e quindi funzionava malissimo” e che “la protezione della rete era molto, molto debole”. È probabilmente la prima volta che si parla di un attacco informatico sventato dalla troppa insicurezza della vittima.

È già umiliante per una compagnia aerea farsi rubare i dati dei clienti; sentire che i ladri sono talmente disgustati dalle carenze di sicurezza del bersaglio da rifiutarsi di attaccarlo ancora è lo schiaffo finale.

Air Asia non ha rilasciato dichiarazioni. E prima che pensiate che Daixin Team sia un gruppo di ladri di buon cuore, va detto che la banda ha dichiarato che intende comunque disseminare i dati dei passeggeri e dei dipendenti e pubblicare informazioni sulle vulnerabilità della rete informatica di Air Asia. Il suo rifiuto di attaccare più a fondo è probabilmente legato, molto più pragmaticamente, al rischio di toccare infrastrutture informatiche critiche come sistemi radar o di controllo del traffico aereo e causare incidenti aerei con conseguenze potenzialmente fatali che mobiliterebbero le risorse di polizia molto più di quanto lo faccia un tentativo di estorsione informatica.

In ogni caso, è improbabile che questa cautela dei criminali sia consolatoria o rassicurante per i passeggeri passati, presenti o futuri della compagnia aerea. E contare sulla pena o compassione dei ladri non è una strategia difensiva da imitare.

Podcast RSI – Story: La perenne insicurezza delle auto connesse

2022-12-022026-07-18
di Paolo Attivissimo
auto connesse, Importato da Blogspot, PodcastRSI, radio

Ultimo aggiornamento: 2026/07/18.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo integrale e i link alle fonti di questa puntata, sono qui sotto.

[CLIP: audio dell’abitacolo di un’auto nel quale la radio è ad altissimo volume, seguito dalle imprecazioni censurate del conducente e dal rumore di un impatto. Immagine tratta da Wired]

I rumori che avete sentito sono le reazioni leggermente scomposte di un conducente di un’auto presa di mira da un attacco informatico. Siamo nel 2015, e due hacker, Charlie Miller e Chris Valasek, via Internet alzano al massimo il volume dell’autoradio, spaventando il conducente e disabilitando la manopola del volume, e quasi lo accecano attivandogli il lavavetri. Poi gli tolgono potenza al motore e infine disattivano i freni, facendo finire l’auto, lentamente ma inesorabilmente, fuori strada in un fossato.

Il conducente se la cava con un grosso spavento, ma Charlie e Chris non finiscono in carcere, perché l’attacco è stato autorizzato a scopo dimostrativo dalla vittima, che è un giornalista della rivista Wired.

Se qualcuno vi parla di hackeraggi a distanza di automobili, quasi sicuramente la prima marca che vi viene in mente è quella che per molti è la più informatizzata in assoluto: Tesla. Con i suoi aggiornamenti software ricevuti via Internet, i suoi computer di assistenza alla guida, la sua app che permette di comandarla a distanza e quel tablet che troneggia sul suo cruscotto, sembra il bersaglio perfetto per un attacco informatico. E in effetti qualche falla memorabile in passato l’ha dimostrata.

Ma sarebbe un errore crogiolarsi nell’idea che le altre marche di auto meno computerizzate siano immuni ad attacchi. Infatti l’attacco che ho appena descritto ha riguardato una marca estremamente convenzionale: le Jeep delle annate 2013-2014 di FCA o Fiat Chrysler, che confluirà poi in Stellantis. Tranquilli: la falla informatica è stata poi risolta.

Ma questa è la storia di come tutto il settore automobilistico ha sottovalutato, e continua a sottovalutare, il problema della sicurezza informatica dei suoi prodotti, e di cosa possiamo fare per ridurre concretamente questo problema.

Benvenuti alla puntata del 2 dicembre 2022 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Gli attacchi informatici, o perlomeno elettronici, alle automobili risalgono a ben prima dell’avvento di Internet. Quando arrivarono i primi telecomandi a infrarossi per sbloccare e bloccare le portiere, nessuno pensò alla sicurezza, e così mi capitò di essere amichevolmente beffato da un amico [ciao Andrea :-)] che mi aprì da remoto la mia Renault Supercinque usando semplicemente il telecomando del suo televisore, che era dotato di quella che all’epoca, alla fine degli anni Ottanta, era una funzione d’avanguardia: l’apprendimento dei codici.

Il telecomando a infrarossi dell’auto infatti trasmetteva sempre la stessa sequenza di impulsi, e quindi il telecomando del televisore registrò quella sequenza mentre aprivo l’auto e la ripeté dopo che l’avevo richiusa. Ogni auto aveva una sequenza differente, ma bastava appostarsi e captare il segnale di quell’auto per poterla poi aprire con tutta calma e per esempio rubare qualunque oggetto lasciato a bordo. All’epoca risolsi il problema in maniera brutale, coprendo il ricevitore dentro l’auto in modo che non potesse più ricevere segnali e usando la chiave meccanica.

Negli anni successivi la sicurezza di questi primi sistemi elettronici migliorò parecchio, introducendo per esempio i cosiddetti rolling code, ossia delle sequenze di impulsi radio (non più infrarossi) differenti ogni volta ma calcolate secondo un algoritmo segreto oppure usando chiavi crittografiche altrettanto segrete.

Il crollo dei costi dei componenti elettronici e lo sviluppo dell’informatica, però, portarono poi a superare in molti casi anche questi rolling code in maniera anche piuttosto ingegnosa. Nei cosiddetti relay attack, i ladri usano due ripetitori portatili di segnali radio: ne piazzano uno appena fuori dalla porta d’ingresso dell’abitazione della vittima, ossia vicino al punto in cui molte persone lasciano in casa le chiavi, le smart card o i telecomandi dell’auto. I ladri fanno in modo che il ripetitore riceva il debole segnale radio emesso dalle chiavi e lo ritrasmetta a un secondo ripetitore, tenuto da un complice e piazzato vicino all’auto da rubare. In questo modo, l’automobile crede che la sua chiave sia vicina e quindi si apre e in alcuni casi può anche essere avviata. Attacchi di questo genere avvengono ancora oggi e hanno colpito molte marche, in particolare Mercedes e Tesla, come ho raccontato in una puntata del Disinformatico che risale a ormai cinque anni fa.

La soluzione per Tesla è stata un aggiornamento software, diffuso via Internet, che consentiva di disabilitare la funzione che sbloccava le portiere semplicemente avvicinando la chiave; per le altre marche, invece, il rimedio è stato applicato con un intervento in officina oppure, più banalmente, insegnando ai conducenti l’abitudine di custodire le chiavi dell’auto lontano dalla porta d’ingresso e in un contenitore metallico per bloccare la ricezione dei loro segnali radio.

Ma i progressi dell’elettronica di bordo delle auto non si sono fermati, e si è continuato a pensare troppo poco alla sicurezza, e così nel 2010 un gruppo di ricercatori del dipartimento d’informatica della University of Washington e della University of California San Diego ha lanciato un allarme, pubblicando una ricerca (“Experimental Security Analysis of a Modern Automobile”) nella quale ha spiegato che si poteva prendere il controllo di qualunque automobile moderna dotata di sistemi elettronici per la gestione del veicolo usando la cosiddetta porta diagnostica OBD-II, un connettore presente per legge in tutte le auto.

Applicando a questa porta un piccolo dispositivo elettronico, comandabile anche a distanza, era possibile (spiegano i ricercatori) “ignorare completamente i comandi del conducente” e “disabilitare i freni, far frenare selettivamente a comando le singole ruote, fermare il motore, e così via”. I ricercatori hanno dimostrato questa vulnerabilità prendendo il controllo di un’auto fino a spegnerne il motore con il loro software, chiamato CarShark. L’unico rimedio era assicurarsi che nessuno potesse accedere all’abitacolo dell’auto, dove si trova questa porta diagnostica, e questo ha reso abbastanza impraticabile questo tipo di attacco. Ma la scarsa attenzione alla sicurezza da parte delle case automobilistiche è stata messa bene in luce.

Per arrivare alla spettacolare dimostrazione fatta nel 2015 da Miller e Valasek bisogna attendere l’avvento delle auto connesse e informatizzate, che sono una gran comodità. Ma la loro connessione a Internet significa che non è più necessario agire in prossimità dell’auto: basta poterla raggiungere appunto attraverso Internet, da qualunque punto del mondo.

L’errore tecnico commesso da Fiat Chrysler e sfruttato dai due informatici consiste nell’aver collegato al sistema di guida del veicolo il ricco sistema di intrattenimento di bordo, denominato Uconnect, che a sua volta si collega a Internet. Non c’è nessun firewall, nessuna crittografia o altra sicurezza: se qualcuno conosce l’indirizzo IP dell’auto, ne può prendere il pieno controllo. L’azienda, avvisata responsabilmente dai due informatici, è costretta a introdurre un costoso programma di aggiornamento di sicurezza di ogni singola vettura [circa 1,4 milioni di esemplari].

Ma il problema della progettazione imprudente non tocca solo Fiat Chrysler: nel 2016 il ricercatore di sicurezza Troy Hunt scopre una falla nel servizio di gestione via Internet delle auto elettriche Nissan Leaf, che si possono comandare tramite app. Monitorando il traffico di dati dell’app sulla propria rete Wi-Fi, Troy Hunt si accorge che la comunicazione fra l’app e l’auto non è protetta: non ha alcuna password o autenticazione. Per prendere il controllo dell’auto è sufficiente conoscerne il numero di serie, il cosiddetto VIN, che è stampigliato in bella vista nell’angolo inferiore del parabrezza. Nissan reagisce semplicemente rimuovendo l’app da Internet. Per fortuna quest’app ha funzioni abbastanza limitate, ma può essere usata per esempio per scaricare completamente la batteria dell’auto accendendo al massimo il riscaldamento dell’abitacolo, che è elettrico.

Nello stesso 2016 tocca a Mitsubishi, le cui Outlander ibride hanno un telecomando che usa una connessione diretta Wi-Fi invece di Internet. Gli esperti della società di sicurezza PenTestPartners scoprono che la password di protezione di questa connessione è troppo corta e quindi la decifrano, riuscendo anche a disabilitare l’antifurto del veicolo. Cosa anche peggiore, i nomi delle mini-reti Wi-Fi di tutte queste auto seguono uno schema standard, per cui è possibile usare i servizi di scansione di Internet per localizzare tutti i veicoli. Gli esperti avvisano l’azienda, che però non risolve il problema finché non viene reso pubblico dai media.

[CLIP: Spot Onstar con Batman]

Il 2016 è un annus horribilis per la sicurezza informatica su quattro ruote. Il ricercatore di sicurezza Samy Kamkar presenta OwnStar, un apparecchietto da meno di 100 dollari che gli consente di tracciare, aprire e spegnere da remoto qualunque automobile della General Motors dotata del sistema di gestione OnStar. L’azienda è costretta a correggere di corsa il proprio software.

Negli anni successivi vengono scoperte delle falle informatiche anche nelle Tesla, grazie a gare di hacking come Pwn2Own, dove l’azienda mette in palio un esemplare della propria auto elettrica per chi riesce a prenderne il controllo da remoto, ossia via Wi-Fi o Bluetooth, e poi comunica la tecnica privatamente a Tesla, che così può correggere la vulnerabilità con un aggiornamento software trasmesso a tutta la flotta via Internet.

Arriviamo così al presente. Anni di dimostrazioni, ricerche e imbarazzi mediatici molto forti rendono chiaro che gli errori di sicurezza informatica che vengono commessi da moltissime case automobilistiche sono straordinariamente banali, ovvi per qualunque informatico competente e dettati dalla foga di dotare le auto di nuovi gadget risparmiando però sui costi. Non sono casi in cui qualcuno ha usato una versione difettosa di crittografia ellittica o un generatore di numeri casuali inadeguato: alla crittografia proprio non ci hanno pensato.

Dopo tutte queste figuracce, potreste pensare che la lezione sia stata imparata, ma come avete già intuito dal tono della mia voce pensereste male. Siamo nel 2022, e ancora oggi ci sono case automobilistiche che affidano la sicurezza dei propri veicoli a un codice che tutti possono leggere semplicemente avvicinandosi all’auto.

L’informatico Sam Curry, insieme ad alcuni colleghi, ha infatti annunciato pochi giorni fa di aver scoperto un modo per sbloccare da remoto, avviare e localizzare qualunque Honda, Nissan, Infiniti e Acura statunitense dotata di sistemi di gestione via Internet. Per compiere l’attacco è sufficiente conoscere, ancora una volta, il numero di serie dell’auto o VIN che si legge attraverso il parabrezza.

La falla, spiega Curry, sta nei servizi telematici usati da queste case automobilistiche per la gestione remota dei veicoli. Tutte, infatti, si appoggiano a SiriusXM, che molti conoscono come una popolare emittente radio satellitare ma è in realtà anche fornitrice di servizi di connettività per Acura, BMW, Honda, Hyundai, Infiniti, Jaguar, Land Rover, Lexus, Nissan, Subaru e Toyota (fonte: PR NewsWire).

_{Screenshot dal comunicato stampa di Sirius XM Holdings del 17/9/2015.}

Curry e colleghi hanno scoperto il sito che gestisce l’attivazione dei servizi remoti per le singole auto: è Telematics.net. Non hanno avuto bisogno di arcani saperi digitali: hanno semplicemente usato una ricerca mirata in Google. Con quest’informazione hanno fatto un semplice monitoraggio passivo del traffico di dati fra l’app della Nissan, che si chiama NissanConnect, e l’auto, e si sono accorti ben presto che era sufficiente passare all’app il VIN di un’automobile per ottenere in risposta il nome del suo proprietario, il suo numero di telefono, il suo indirizzo di casa e i dettagli della vettura. Non c’era crittografia o altra protezione.

Proseguendo nella ricerca, Curry e colleghi hanno appurato inoltre che con lo stesso sistema potevano anche eseguire comandi sulle auto di cui conoscevano il numero di serie. Per fortuna hanno agito responsabilmente e invece di compiere sabotaggi in massa hanno avvisato SiriusXM, che ha corretto prontamente la falla.

Prima che a questo punto vi venga l’impulso irrefrenabile di buttar via la vostra auto piena di elettronica e cercarne una puramente meccanica che non abbia tutte queste falle, è importante ricordare tre cose. La prima è che ormai non esistono automobili recenti che non dipendano dall’elettronica, per cui rassegnatevi. La seconda è che ognuna di queste vulnerabilità, alla fine, è stata corretta. La terza è che ci sono tanti bravi informatici che si impegnano a snidare questi difetti per proteggerci.

Certo, sarebbe meglio se le case automobilistiche evitassero in partenza questi scivoloni, applicando i princìpi di base della sicurezza informatica. Ma finché la sicurezza verrà vista come un costo, invece che come un investimento, queste storie di ordinaria trascuratezza continueranno a ripetersi. Per cui preparatevi ad aggiornare il software non solo del computer, dello smartphone e del tablet, ma anche del computer su quattro ruote che vi porta in giro. E non lasciate le chiavi vicino alla porta di casa.

Podcast RSI – Mastodon e fediverso: microguida di base

2022-11-242026-07-18
di Paolo Attivissimo
Importato da Blogspot, Mastodon, PodcastRSI, radio, Twitter

Pubblicazione iniziale: 2022/11/24 17:58. Ultimo aggiornamento: 2026/07/18.

È disponibile subito il podcast di oggi (25 novembre 2022) de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo integrale e i link alle fonti di questa puntata, sono qui sotto. Le frasi fra parentesi quadre sono annotazioni o aggiunte.

[CLIP: Carlo Gubitosa: “Il mediattivismo ha ceduto il posto al clictivismo, all’attivismo fatto a colpi di clic e inquadrato all’interno di recinti aziendali di cui conosciamo i loghi, i nomi: Facebook, Twitter, Instagram. Ma c’è un’alternativa sia tecnologica che politica a questo sistema di comunicazione sociale inquadrata in recinti aziendali, ed è il fediverso…“ (fonte)]

È la voce di Carlo Gubitosa, scrittore e giornalista, autore di molti libri fondamentali sull’uso sociale dell’informatica e profondo conoscitore dei meccanismi di Internet. Anche se avete seguito soltanto di striscio le notizie sul subbuglio di Twitter dopo l’acquisto da parte di Elon Musk e magari cominciate anche a esserne un po’ stufi, sicuramente avrete notato che quando si parla di questa vicenda spuntano sempre fuori un nome e un concetto: Mastodon e fediverso.

Se volete sapere cosa sono, perché ne parlano tutti, se vi possono servire o ne potete fare tranquillamente a meno, come funzionano in pratica e cosa rispondere agli amici che vi chiedono insistentemente “Sei su Mastodon?”, siete nel posto giusto, ossia all’ascolto della puntata del 25 novembre 2022 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie dal mondo dell’informatica, che oggi cercherà di rispondere a queste domande. Io sono Paolo Attivissimo.

Cos’è Mastodon e perché se ne parla tanto

Cominciamo dalle basi: Mastodon è un social network superficialmente simile a Twitter, nel senso che permette di pubblicare brevi testi, leggermente più lunghi di quelli di Twitter, accompagnati da immagini e spezzoni di video.

Questi testi, chiamati post o toot, possono essere letti, condivisi e commentati da tutti gli iscritti a Mastodon e possono essere letti, ma non commentati, da chiunque abbia un accesso a Internet e un normale browser. Ogni utente iscritto a Mastodon sceglie degli altri utenti da seguire e ne riceve automaticamente i post. Gli utenti si possono scambiare anche messaggi non pubblici, che però non sono segreti in senso stretto, perché possono essere letti dagli amministratori, e non sono protetti tramite crittografia, esattamente come succede su Twitter.

Ho precisato “superficialmente” perché dietro le quinte Mastodon in realtà ha delle differenze molto importanti: non ha un singolo proprietario, ma è gestito da un arcipelago di gestori indipendenti ma federati, ossia che comunicano tra loro usando lo stesso standard; è open source, e questo significa che tutto il suo software è liberamente ispezionabile per controllare che non contenga trappole, inganni o difetti; e i post compaiono in ordine cronologico, senza filtri artificiali di importanza e senza essere inframmezzati di pubblicità.

Questa struttura federata o decentrata significa che non può arrivare nessun Elon Musk o simile a cambiare le regole e dettare legge dall’oggi al domani. Vuol dire anche che non ci sono pressioni commerciali per compiacere gli inserzionisti e che non esistono account privilegiati con bollini a pagamento come ci sono ora su Twitter; non ci sono nobili e plebei. Iscriversi è gratis. Mastodon è una rete sociale scritta dagli utenti per gli utenti, senza condizionamenti, e quest’idea piace molto, specialmente se contrapposta alla nuova gestione autoritaria di Twitter e alla sorveglianza commerciale ossessiva di Facebook e Instagram.

Questa situazione, però, ha anche degli svantaggi. Siccome non ci sono grandi investitori per farlo funzionare, a volte Mastodon è lento. E siccome è un social network emergente, nato nel 2016 su iniziativa dello sviluppatore tedesco Eugen Rochko [25 anni, unico stipendiato della non-profit Mastodon] ma diventato improvvisamente popolare solo negli ultimi mesi, soprattutto grazie al controverso acquisto di Twitter da parte di Elon Musk, per ora ci trovate poca gente. Sono infatti circa due milioni gli account attivi mensili di Mastodon, contro i quasi 490 milioni mensili di Twitter. Però quella gente è di buon livello: gli spammer, i provocatori e i fabbricanti di fake news non sono ancora arrivati in massa su Mastodon, anche se probabilmente non tarderanno ad arrivarci.

Siete intrigati? Volete correre a iscrivervi e respirare questa nuova aria di libertà digitale? Volete scoprire il brivido anarchico di far parte del fediverso, per usare il termine cool che indica tutti questi servizi digitali decentrati e coordinati in modo federato, di cui Mastodon è un esempio molto vistoso?

Non partite in quarta, perché è qui che cominciano le complicazioni. Niente di drammatico, però credo che sia prudente che vi prepariate spiritualmente.

Come entrare in Mastodon (se vi serve)

A proposito di preparativi: prima che corriate a installare Mastodon, chiedetevi se vi serve davvero un altro social network oltre a quelli che già usate. Se vi trovate bene a usare Instagram, Facebook, Whatsapp, Telegram eccetera ma non avete mai sentito il bisogno di usare Twitter, allora probabilmente potete fare a meno di Mastodon. E tenete presente che iniziare a usare Mastodon non vuol dire che potrete rinunciare a Twitter, almeno per ora, perché molti utenti non si sono ancora trasferiti da Twitter a Mastodon. Insomma, non installate Mastodon soltanto perché è di moda e ne parlano tutti. Anche perché ci sono, come dicevo, alcune complicazioni in più rispetto ai social network tradizionali.

La prima complicazione è l’app. Normalmente per iscriversi a un social network si scarica l’app ufficiale e si parte. Su Mastodon, invece, bisogna chiedersi quale app scaricare e installare. Proprio perché Mastodon è decentrata, ci sono infatti varie app disponibili, che offrono livelli di facilità e flessibilità molto differenti.

Probabilmente vi conviene cominciare usando l’app di base, quella che trovate linkata su Joinmastodon.org; se vi trovate bene, potrete passare in seguito alle app più evolute e potenti. Per l’app di base c’è una versione per iOS e una per Android, ma ci sono anche altre app per PC e Mac, sia gratuite sia a pagamento, e c’è anche una versione puramente Web multipiattaforma [che volendo si può anche usare in un browser su smartphone].

Una volta installata l’app, bisogna crearsi un account, ma anche qui c’è qualche passo in più da fare rispetto ai social network tradizionali.

Infatti non basta scegliersi un nome utente e una password: bisogna anche rispondere alla domanda criptica Cerca servers o inserisci URL. Per capire come rispondere, bisogna tornare alla natura federata di Mastodon: mentre i social network tradizionali hanno un unico gestore, Mastodon ne ha tanti, e quindi bisogna sceglierne uno presso il quale farsi ospitare. Questi gestori si chiamano in gergo tecnico istanze e ciascuno ha regole di moderazione e di comportamento differenti.

La scelta dell’istanza non è permanente; potete sempre traslocare in un momento successivo. Inoltre normalmente potete seguire qualunque utente di Mastodon, indipendentemente dall’istanza che avete scelto voi o che ha scelto lui, a patto che nessuno dei due usi istanze che sono state bloccate per problemi di contenuti inaccettabili. Vi conviene quindi scegliere un’istanza di buona reputazione, stabile e soprattutto gestita da persone che parlino la vostra stessa lingua, così sarà più facile per loro moderare i vostri post e per voi chiedere assistenza a loro in caso di controversie di moderazione.

Per sapere quali sono queste istanze, provate a guardare quali sono state scelte dalle persone che vorreste seguire su Mastodon: il nome dell’istanza è l’ultimo pezzo del nome dell’utente. Per esempio, io su Mastodon sono @ildisinformatico@mastodon.uno; mastodon.uno è il nome dell’istanza che ho scelto.

[Dai commenti segnalo un altro metodo: consultare Instances.social, che (in inglese) permette di selezionare le istanze in base a vari criteri, compresa la lingua]

Una volta che avete fatto questa scelta, vi vengono proposte le sue regole di comportamento: leggetele, mi raccomando, per capire se ci sono cose da fare o contenuti da evitare [leggete bene anche le regole sulla privacy].

Finalmente a questo punto potete scegliere il vostro nome utente e il nome che verrà visualizzato, dare il vostro indirizzo di mail e scegliere la vostra password. Se tutto è a posto, riceverete una mail contenente un link sul quale cliccare per verificare il vostro nuovo, sfavillante account Mastodon.

È altamente consigliabile impostare prima di tutto la sicurezza rafforzata dell’autenticazione a due fattori [nel giro di poche ore ho avuto cinque tentativi di furto, ovviamente sventati], e anche qui c’è una differenza rispetto ai social network tradizionali. Mentre Twitter, Instagram, WhatsApp e tanti altri offrono questa autenticazione anche tramite SMS, Mastodon normalmente la offre soltanto tramite app di autenticazione. Se non ne avete già installata una, vi tocca farlo.

Fatto anche questo, la configurazione di base è terminata e potete cominciare a postare messaggi e a scegliere utenti da seguire, a commentare i post degli altri utenti o dare loro una stellina di apprezzamento, che è l’equivalente del like o cuoricino in Mastodon, e potete cominciare a condividere e ridiffondere (boost) i post che vi piacciono. Potete poi personalizzare il vostro profilo Mastodon con le solite cose: una breve biografia, una foto e un’immagine di intestazione.

La prima cosa di cui vi accorgerete subito è una miglioria molto utile rispetto a Twitter: su Mastodon i messaggi sono modificabili. Quegli errori di battitura di cui ci si accorge solo dopo aver premuto Invia e che sono l’angoscia costante di ogni utente Twitter, perché lì i tweet non sono modificabili se non si ha un account a pagamento e si risiede in uno dei cinque paesi attualmente abilitati a questi account, su Mastodon non sono un problema. I post sono modificabili per tutti e gratuitamente.

Se siete arrivati fino a questo punto, il grosso della fatica è ormai fatto e potete divertirvi a sfogliare Mastodon e chiacchierare con i suoi utenti. Per trovare su Mastodon le persone che seguite già su Twitter, guardate nei loro profili Twitter: di solito indicano lì il loro indirizzo Mastodon. Ci sono anche dei servizi per Twitter, come Fedifinder e Debirdify, che vi permettono di trovare automaticamente le coordinate Mastodon di tutti gli utenti che seguite su Twitter, a patto che quegli utenti abbiano incluso nella propria bio su Twitter le proprie coordinate su Mastodon.

Ci sono però alcune raccomandazioni di prudenza che è opportuno conoscere prima di addentrarsi in questo nuovo ambiente.

Nuovo social, nuove cautele

La prima regola di prudenza di Mastodon è che gli amministratori dell’istanza nella quale risiede il vostro account vedono tutto quello fate su Mastodon. Vedono anche il vostro indirizzo di mail, il vostro indirizzo IP, che potrebbe rivelare dove abitate o lavorate, e vedono anche i vostri messaggi diretti, che (ripeto) non sono cifrati. Sono diretti, ma non privati [a differenza di Twitter, si viene avvisati di questo fatto ogni volta che si scrive un messaggio diretto].

Gli amministratori possono anche cancellare il vostro account in qualunque momento senza preavviso e arbitrariamente. In altre parole, non affidatevi a Mastodon per qualunque attività essenziale, dai contatti con gli amici all’offerta di servizi commerciali.

Inoltre gli amministratori delle istanze di Mastodon sono quasi sempre volontari, che non hanno tempo per approfondire controversie fra utenti e a differenza dei social network commerciali non hanno le risorse legali ed economiche per opporsi a eventuali richieste di informazioni da parte di avvocati o governi, magari stranieri [e anzi spesso devono chiedere donazioni per coprire i propri costi].

Se queste condizioni possono crearvi problemi, è consigliabile iscriversi a Mastodon usando un indirizzo di mail separato e collegarsi a Mastodon usando una VPN.

La seconda regola è che menzionare un utente, ossia citare il suo nome account, in un messaggio diretto lo include automaticamente nella conversazione. Questo non succede su Twitter, e può essere particolarmente imbarazzante se per esempio state segnalando un utente molesto a un moderatore, tramite messaggi diretti, e menzionate il nome account di quell’utente. Il molesto verrà informato di chi lo sta segnalando.

La terza regola è che non esistono account verificati su Mastodon. Se vedete una spunta blu accanto al nome di qualcuno su Mastodon, non vuol dire che quell’utente sia stato verificato: vuol dire solo che l’utente ha aggiunto al proprio nome l’emoji della spunta blu. Però esiste una sorta di autocertificazione: un utente che possiede un sito può inserire in quel sito non solo il nome del proprio account, ma anche un link speciale che fa comparire una spunta verde nel profilo Mastodon dell’utente. Non è una soluzione perfetta [un truffatore potrebbe per esempio creare un sito con un nome di dominio simile a quello di un’azienda e poi inserirvi il link, dando l’impressione di essere autenticato], ma è sicuramente meglio di niente.

[Per esempio, per verificare il mio profilo Mastodon ho inserito nell’HTML della pagina base di questo blog (nella colonna di destra, dove elenco tutte le mie coordinate) questo link:

  <a href="https://mastodon.uno/@ildisinformatico" rel="me">@ildisinformatico@mastodon.uno</a>

e poi ho immesso https://attivissimo.blogspot.com/ in una casella “Contenuto” in Mastodon. Bingo! Autenticazione istantanea e gratuita, come mostrato qui sotto.]

L’improvvisa popolarità di Mastodon sta causando parecchi grattacapi alla sua costellazione di amministratori grandi e piccoli, per cui tutto può succedere nei prossimi mesi: mettete in preventivo rallentamenti e disfunzioni, cose che del resto capitano anche sui social network commerciali. Buon divertimento, e se vi va, ci vediamo anche nel fediverso.

Fonti aggiuntive: Pathofex, Techcrunch, Informapirata, Made in Blue, BBC, Quintarelli.it.

« Precedente
1
…
7
8
9
10
11
…
20
Successivo »