Internet delle cose – Attivissimo.me

I distributori di sigarette italiani attaccati con messaggi pro-Cospito sono trovabili su Shodan. E ora anche su Google

2023-03-28
di Paolo Attivissimo
attacchi informatici, Internet delle cose, Shodan

Durante il fine settimana appena concluso numerosi distributori di sigarette
in Italia sono stati violati da intrusi informatici che hanno alterato i
prezzi di vendita delle sigarette, portandoli a 10 centesimi, e hanno
sostituito le immagini visualizzate sugli schermi di questi distributori con
immagini in favore di Alfredo Cospito, un detenuto in sciopero della fame da
oltre cinque mesi per protesta contro il regime di carcere duro al quale è
sottoposto.

Trovate tutti i dettagli della vicenda su
Il Post. Il presidente nazionale di AssoTabaccai ha dichiarato al
Corriere che gli risulta che una delle aziende interessate, la
Laservideo,
“utilizzi un sistema per cui è il server centrale a inviare informazioni ai
distributori. Quindi hackerando il server centrale, è stato possibile
entrare contemporaneamente in tutti i distributori”.

Non entro nel merito politico della notizia: segnalo soltanto che i
distributori di sigarette della Laservideo sono facilissimi da trovare online
tramite un comune motore di ricerca per l’Internet delle Cose come Shodan, nel
quale è sufficiente immettere la richiesta

http.html:’laservideo’ country:IT

per ottenere un elenco degli indirizzi IP e delle porte aperte di questi
distributori. Non perdo neanche tempo a mascherare i dati, visto che reperirli è assolutamente banale:

Risulta insomma che questi distributori non sono protetti dietro una VPN, ma sono accessibili direttamente su Internet e con un normale browser tramite la
porta 90:

Questo è il contenuto pubblicamente accessibile della pagina di login di uno di questi distributori:

Ovviamente non ho modo di sapere se le password di questi distributori sono robuste e diversificate, come richiederebbe la sicurezza informatica più elementare, ma sulla base di questi fatti sospetto che la tesi dell’hackeraggio del “server centrale” non sia quella più plausibile.

—

2023/03/28 9:20. Dai commenti emerge che i distributori sono reperibili anche semplicemente in Google, una volta che si sa qual è la stringa di testo che li caratterizza: è sufficiente cercare “Inserire Nome Utente e Password forniti da Laservideo”.

Inoltre Laservideo ha dichiarato pubblicamente che “Contrariamente a quanto riportato da molti organi di stampa, l’attacco hacker di sabato 25 marzo non ha riguardato i server centrali Laservideo ma ha colpito puntualmente solo una parte minoritaria dei distributori, agendo direttamente attraverso la connessione delle singole tabaccherie.”

La Mitsubishi Outlander si ruba via Wi-Fi

2022-12-01
di Paolo Attivissimo
automobili, Internet delle cose, ReteTreRSI, sicurezza informatica, Wi-Fi

Le automobili moderne sono sempre più spesso dotate di servizi online, ma la loro sicurezza a volte è davvero patetica. Ho già segnalato il caso della Nissan Leaf; ora emerge che la Mitsubishi Outlander PHEV si può rubare usando la sua connessione di controllo remoto. Come se non bastasse, è possibile localizzare tutti gli esemplari di quest’auto.

La scoperta è stata fatta e documentata dagli esperti della società di sicurezza PenTestPartners. Normalmente l’app di gestione delle auto informatizzate usa la connessione cellulare. La Outlander, invece, usa una connessione Wi-Fi, che costa meno (non ci sono spese di trasmissione dati) ma ha una portata limitata. In pratica l’auto è una postazione Wi-Fi mobile: l’app di gestione funziona solo nel raggio di questa connessione.

Primo problema: la password che protegge la connessione è troppo semplice e corta, per cui gli esperti l’hanno trovata in meno di quattro giorni di tentativi. Quattro giorni possono sembrare tanti, ma non sono un ostacolo per un ladro di professione, specialmente se l’auto è parcheggiata a lungo nello stesso posto come capita di solito, e con computer più potenti il tempo necessario per scoprire la password si può ridurre.

Secondo problema: una volta scoperta la password, decifrare i comandi usati è piuttosto facile. Gli esperti di PenTestPartners sono riusciti ad accendere e spegnere le luci, l’aria condizionata e il riscaldamento, ma soprattutto sono riusciti a disabilitare l’antifurto. Sì, questa automobile ha un antifurto disabilitabile mandando un comando via Wi-Fi.

Terzo problema: il nome della postazione Wi-Fi di tutte le Outlander segue lo schema [REMOTEnnaaaa], dove nn è in cifre e aaaa è in lettere minuscole, per cui si possono usare servizi come Wigle.net per localizzare tutte le auto di questo tipo. Il ladro, insomma, può scegliersi con comodo da casa dove andare a rubare l’auto.

Il quarto problema è forse il peggiore: la società di sicurezza dice di aver contattato privatamente Mitsubishi per avvisare della grave vulnerabilità, ma di essere stata completamente ignorata. A quel punto si è rivolta alla BBC, rendendo pubblica la falla (senza darne tutti i dettagli) e ottenendo finalmente l’attenzione della Mitsubishi.

In attesa che la casa produttrice dell’auto sistemi la vulnerabilità, gli utenti possono disaccoppiare tutti i dispositivi mobili che si sono connessi all’auto. Questo mette in standby il modulo Wi-Fi di bordo, che si riattiva soltanto premendo dieci volte di seguito il telecomando della chiave d’avviamento.

Spiati dalla tecnologia: le gioie della pubblicità iper-mirata a “Filo Diretto” RSI

2022-10-31
di Paolo Attivissimo
Internet delle cose, ReteTreRSI, RSI, sorveglianza, telefonini che ascoltano, televisione

Ieri (10 dicembre) sono stato ospite della Radiotelevisione Svizzera, nel programma Filo diretto, per parlare di tecnologie e sorveglianze commerciali. Uno dei conduttori, Enea, ha raccontato la propria esperienza, condivisa da tanti utenti, di aver parlato di una cosa molto insolita e specifica e di aver visto subito dopo la pubblicità di quella cosa nel proprio flusso di pubblicità nei social network.

Vuol dire che i social network ci ascoltano tramite i microfoni dei nostri telefonini? No: c’è un’altra spiegazione, e ne parlo da 4:30. Guardate però anche i servizi che accompagano il mio intervento e quello dell’ospite Giacomo Poretti, dell’Istituto sistemi informativi e networking della SUPSI.

Notate che a 16:44 Poretti mostra un tablet e-ink reMarkable. Poche ore dopo, fuori onda, sul mio telefono è comparsa in Instagram la pubblicità dello stesso, identico oggetto. Come è possibile?

Oggi pomeriggio ero a Filo Diretto @RSIonline e in studio c’era un tablet e-ink di questa marca. Stasera per la prima volta su Instagram vedo la pubblicità di quella stessa marca. I nostri dispositivi ci spiano /1 pic.twitter.com/oxDzLi1Uoh

— Paolo Attivissimo (@disinformatico) December 10, 2019

L’ipotesi leggermente complottista che i nostri smartphone ci abbiano ascoltato in questo caso è poco plausibile. Abbiamo parlato di tablet, ma il nome della marca è stato citato una singola volta (fuori onda) da uno dei conduttori, e oltretutto remarkable è una parola inglese molto comune.

Se la pubblicità iper-mirata si basasse sull’ascolto delle nostre conversazioni in studio, questo ascolto avrebbe dovuto rilevare le parole tablet e remarkable e associarle nonostante il fatto che erano state dette in momento piuttosto distinti e non certo consecutivamente: un livello di sofisticazione piuttosto implausibile.

Oltretutto, l’ipotesi è già stata smentita da varie ricerche (BBC/Wandera; CBS News), anche se i sospetti rimangono. Facebook, per quel che vale, ha categoricamente negato di usare i microfoni dei telefonini in questo modo.

C’è una spiegazione possibile molto più semplice: il mio smartphone potrebbe aver rilevato il tablet tramite Bluetooth e trasmesso questo rilevamento a Instagram, che avrebbe quindi proposto la pubblicità di un oggetto che sapeva che era (o era stato) vicino a me e quindi poteva interessarmi.

Questa possibilità tecnica è prevista esplicitamente dalle condizioni di contratto di Instagram:

…we collect information from and about the computers, phones, connected TVs and other web-connected devices you use that integrate with our Products, and we combine this information across different devices you use. For example, we use information collected about your use of our Products on your phone to better personalize the content (including ads) or features you see when you use our Products on another device, such as your laptop or tablet, or to measure whether you took an action in response to an ad we showed you on your phone on a different device.

Information we obtain from these devices includes:

Device attributes: information such as the operating system, hardware and software versions, battery level, signal strength, available storage space, browser type, app and file names and types, and plugins.

Device operations: information about operations and behaviors performed on the device, such as whether a window is foregrounded or backgrounded, or mouse movements (which can help distinguish humans from bots).

Identifiers: unique identifiers, device IDs, and other identifiers, such as from games, apps or accounts you use, and Family Device IDs (or other identifiers unique to Facebook Company Products associated with the same device or account).

Device signals: Bluetooth signals, and information about nearby Wi-Fi access points, beacons, and cell towers.

Una lettrice mi ha inoltre contattato in privato per dirmi che la stessa pubblicità le è comparsa dopo aver semplicemente letto il mio tweet e le relative risposte.

Certo, potrebbe trattarsi di memoria selettiva: reMarkable sta mandando la pubblicità a tanti utenti e se ne ricordano solo quelli che hanno visto la mia segnalazione in proposito. Ma io seguo molto il settore dei tablet, specialmente quelli con e-ink, e credo che mi ricorderei se avessi già visto quel prodotto (fra l’altro molto ben fatto e interessante).

—

In altre parole, i nostri telefonini non ci ascolterebbero continuamente alla ricerca di parole chiave pubblicitarie per tre ragioni fondamentali:

Sarebbe illegale e la rivelazione di un servizio del genere sarebbe catastrofica per la reputazione del social network o motore di ricerca che lo usasse.
Sarebbe molto onerosa in termini computazionali (miliardi di riconoscimenti vocali continui in centinaia di lingue e trasmissione del flusso di dati ai rispettivi server).
I social network e i motori di ricerca non ne avrebbero bisogno perché sanno già tutto quello che serve di noi grazie alle cose che scriviamo o cerchiamo, all’elenco degli amici e delle loro occupazioni, alla geolocalizzazione e ai vari sensori presenti negli smartphone.

Ma se volete essere ipersicuri di non essere ascoltati dal vostro smartphone, fate una cosa molto semplice: non portatelo con voi quando dovete fare una conversazione privata.

Lampadine IKEA infestate in tempo per Halloween

2022-10-14
di Paolo Attivissimo
aggiornamenti software, attacchi informatici, Internet delle cose, PodcastRSI, radio

Questo articolo è disponibile anche in versione podcast audio.

Con tempismo perfetto per Halloween arriva un avviso di sicurezza per le
lampadine smart di IKEA, che hanno due vulnerabilità (CVE-2022-39064 e
CVE-2022-39065) sfruttabili per farle sfarfallare come se fossero infestate o
provenissero da una delle case della serie Stranger Things.

Jonathan Knudsen, del Synopsys Cybersecurity Research Center, ha
scoperto
infatti che le lampadine Tradfri e il loro gateway
o dispositivo di controllo possono essere indotte a fare un reset
semplicemente mandando loro un segnale radio apposito (tecnicamente, se ci
tenete a saperlo, si chiama
frame Zigbee
malformato).

Una volta resettate, le lampadine restano tutte accese al massimo della
luminosità e l’utente non riesce più a comandarle, né con l’app né con il
telecomando apposito. Per riprenderne il controllo, l’utente deve riaggiungere
manualmente alla propria rete domestica ciascuna lampadina. Ma siccome non
esiste un aggiornamento correttivo completo, l’aggressore può ripetere
l’attacco tutte le volte che vuole, usando semplicemente un laptop e un
radiotrasmettitore che costa una trentina di euro o franchi e può agire anche
da un centinaio di metri di distanza.

IKEA è stata avvisata delle falle e ha messo a disposizione un aggiornamento
parziale, che conviene sicuramente installare, ma la vulnerabilità in questo
caso deriva dalla natura stessa del sistema di trasmissione e di comando
utilizzato, chiamato Zigbee, e quindi non è completamente rimediabile.

Un attacco di questo genere non comporta fughe di dati, ma può essere comunque
un fastidio notevolissimo. Se avete queste lampadine smart e vedete che
sfarfallano o lampeggiano e non rispondono ai comandi, i casi sono due: o
avete un vicino informaticamente dispettoso, oppure qualcuno sta cercando di
comunicare con voi dal Sottosopra.

Fonte aggiuntiva:
The Register.

Doom gira su un trattore per dimostrare la necessità del diritto di riparare

2022-08-19
di Paolo Attivissimo
hacking, Internet delle cose, jailbreak, PodcastRSI, radio

Credit:
Kyle Wiens.

Questo articolo è disponibile anche in
versione podcast audio.

A maggio 2022 ha avuto un forte impatto mediatico la notizia di un furto
ingente di trattori in Ucraina, commesso da un gruppo di soldati russi; furto
che si era trasformato in una beffa per i ladri. I trattori, infatti, erano
stati bloccati e resi inutilizzabili grazie alla loro connessione a Internet.
Ne avevo
parlato
anch’io in una
puntata
di questo podcast. Torno a parlarne perché c’è un seguito.

Pochi giorni fa un informatico australiano che si fa chiamare
Sick Codes è riuscito a prendere
il pieno controllo degli apparati elettronici di un trattore della John Deere,
la stessa marca di quelli rubati e brickati da remoto in Ucraina. Lo ha
fatto durante una
presentazione alla
conferenza internazionale di sicurezza
DEF CON 30,
tenutasi a Las Vegas, e da buon informatico ha
dimostrato
il proprio successo facendo girare sull’elettronica del trattore il gioco
classico Doom.

Playing Doom on a John Deere tractor display (jailbroken/rooted) at
@defcon
pic.twitter.com/ih0QUTGNuS

— Sick.Codes (@sickcodes)
August 14, 2022

Ovviamente, per fare le cose per bene, la versione di Doom giocata da
Sick Codes non è quella di base, ma è appositamente modificata: si svolge in
un campo agricolo e bisogna colpire i mostri senza ferire gli animali da
fattoria.

Tutto questo può sembrare un colossale esercizio di frivolezza, ma in realtà
il fatto che qualcuno sia riuscito a prendere il controllo dell’elettronica di
questi sofisticatissimi macchinari agricoli rivela che sono basati su hardware
e software fragili e non aggiornati. Dato che dipendiamo dall’agricoltura di
precisione realizzata tramite macchine agricole computerizzate di questo
genere, questa non è una buona situazione.

Credit:
Kyle Wiens.

Sick Codes non è nuovo a queste dimostrazioni: ad aprile 2021 aveva
fatto vedere che era
possibile trasmettere dati senza autorizzazione ai trattori della John Deere,
che era stata avvisata e aveva chiuso le falle che consentivano questa
intrusione. Ma ora l’informatico è tornato alla carica facendo addirittura un
jailbreak locale di questi trattori, ossia uno sblocco che consente
all’utente di eseguire qualunque software, e la cosa è importante per gli
agricoltori, perché scavalca i blocchi che impediscono loro artificialmente di
riparare le proprie macchine agricole e li obbligano a dipendere dai
concessionari ufficiali. In altre parole, come sugli smartphone, il
jailbreak dei trattori ridà ai proprietari il pieno controllo degli
apparati che hanno acquistato e consente loro di ripararli o modificarli.

Il diritto di riparare gli oggetti di cui si è proprietari viene spesso
ostacolato da protezioni artificiali di questo tipo, ma negli Stati Uniti, in
Unione Europea e nel Regno Unito si sta facendo strada una serie di leggi che
proteggono questo diritto, e scoperte come quella di Sick Codes sono preziose
per documentare il fatto che le giustificazioni presentate dalle aziende per
l’esistenza di questi blocchi software non reggono.

Di solito, infatti, le aziende dicono che impedire la riparazione a persone
non autorizzate è necessario per tutelare i sofisticati sistemi software
installati. Ma Sick Codes ha dimostrato che questi sistemi sono in realtà
tutt’altro: alcuni usano Windows CE, altri usano versioni antiche di Linux, e
tutto,
persino
l’intero firmware, gira come root, ossia con pieni
permessi di amministratore, e non c’è alcun controllo sulla provenienza del
software che viene eseguito, nessuna firma digitale o checksum. In
parole povere, i “sofisticati sistemi” vanno contro tutte le regole di
sicurezza informatica.

Grazie anche a iniziative come questa insieme alle nuove normative sul diritto
di riparare, John Deere ha
annunciato
a marzo che renderà disponibile ai proprietari delle sue macchine agricole una
porzione più consistente del software di riparazione e consentirà ai clienti e
ai riparatori esterni di scaricare e installare gli aggiornamenti software
ufficiali, invece di obbligare gli agricoltori a portare i mezzi alle officine
autorizzate. Perché se può essere una scocciatura trovarsi con un laptop che
decide di scaricare e installare i propri aggiornamenti proprio mentre si sta
facendo una presentazione o si sta cercando di concludere un lavoro urgente,
potete immaginare quanto sia devastante trovarsi con un trattore che non va
solo per un problema software mentre il raccolto ottenuto con tanta fatica si
sta rovinando sul campo.

Fonti aggiuntive:
Ars Technica,
The Register, Fierce Electronics.

Dispositivi di tracciamento colabrodo mettono a rischio le flotte di trasporto su strada

2022-07-22
di Paolo Attivissimo
attacchi informatici, geolocalizzazione, GPS, Internet delle cose, PodcastRSI, radio

Questo articolo è disponibile anche in
versione podcast audio.

La gestione elettronica dei veicoli è una gran bella cosa, con tanti vantaggi,
ma va fatta bene: se è fatta male, può avere conseguenze catastrofiche e
inattese.

Un esempio in questo senso arriva nientemeno che dalla
Cybersecurity and Infrastructure Security Agency del governo
statunitense, che si occupa di sicurezza informatica delle infrastrutture ai
più alti livelli.

Il CISA ha pubblicato un
avviso
a proposito della pericolosità di un dispositivo di tracciamento GPS dotato di
ricetrasmettitore cellulare, molto usato dalle flotte di veicoli commerciali. Si chiama MV720 e lo fabbrica la MiCODUS. Questo dispositivo ha una serie di difetti informatici che possono
permettere a un aggressore addirittura di prendere il controllo del veicolo,
per esempio disattivandone l’antifurto e anche interrompendo l’erogazione di
carburante oltre a tracciarne la posizione e i percorsi.

Fra questi difetti spicca un classico: una cosiddetta hardcoded password, ossia
una password di amministrazione fissa e non modificabile, una sorta di
passepartout, che permetterebbe a un aggressore di accedere al server di
controllo e mandare comandi ai dispositivi di tracciamento tramite SMS.

Come se non bastasse, un altro difetto consente a un malintenzionato di
mandare comandi, tramite SMS, senza aver bisogno di autenticarsi. E poi c’è un’altra
falla, che permette di accedere ai dati degli altri utenti perché il server non
verifica l’identificativo del dispositivo che viene inviato dall’utente. Il
problema, quindi, rischia di riguardare tutti i dispositivi di tracciamento di
questa marca.

Un vero disastro di incompetenza, insomma, che apre la porta ad attacchi di
vario genere: a parte quelli strategici o politici e ideologici, ci sono quelli
del crimine informatico organizzato. Con falle di questo livello,
un’organizzazione criminale potrebbe per esempio ricattare un’azienda di
trasporti, minacciando di fermare tutta la sua flotta di veicoli se non viene
pagato un riscatto, oppure potrebbe acquisire i dati delle spedizioni e compiere furti
mirati.

La scoperta di queste vulnerabilità è stata fatta dai ricercatori della società di sicurezza
informatica statunitense Bitsight ed è stata
descritta in un
rapporto pubblico
molto dettagliato dopo aver tentato inutilmente di avvisare la casa
produttrice del dispositivo, la cinese MiCODUS, e dopo aver comunicato privatamente il
problema alle autorità governative statunitensi per la sicurezza informatica.

Circa un milione e mezzo di utenti privati e di aziende che usano questi
dispositivi in quasi 170 paesi, comprese forze militari, agenzie governative e
corrieri, a questo punto hanno una sola strada per eliminare il rischio:
assicurarsi che questi tracciatori non siano accessibili da Internet e usare
accessi remoti sicuri, protetti per esempio da VPN. O, meglio ancora, rimuovere
completamente questi dispositivi e sostituirli con alternative meno
vulnerabili.

Il problema è ovviamente capire quali lo sono e quali no, ma grazie ai
ricercatori almeno adesso sappiamo che questo, perlomeno, è da evitare.

Cosa c’è nei file di telemetria di una Tesla? Molto più di quello che si immagina

2022-07-22
di Paolo Attivissimo
Internet delle cose, PodcastRSI, privacy, radio, Tesla (auto)

Questo articolo è disponibile anche in
versione podcast audio.

Man mano che l’elettronica si diffonde nelle automobili aumenta la quantità di
dati digitali che questa elettronica raccoglie, e capita sempre più spesso che
questi dati vengano anche trasmessi in tempo reale alle case costruttrici. È
la cosiddetta telemetria, resa popolare dalle corse automobilistiche,
le cui dirette televisive vengono arricchite dalla condivisione con gli
spettatori della velocità, dell’accelerazione e di vari altri dati che
arrivano via radio dalle singole vetture.

Di recente ho avuto la possibilità di esaminare da vicino quali dati vengono
raccolti da uno di questi sistemi di telemetria installati su auto da strada, ed è stata un’esperienza
illuminante: il livello di dettaglio è impressionante, e le implicazioni in
termini di privacy personale e di analisi degli incidenti meritano decisamente
di essere valutate con molta attenzione.

I dati di telemetria che ho esaminato si riferiscono a Tesla, che è una delle
marche che maggiormente punta sulla connettività e sul software per le proprie
automobili, ma anche altre case produttrici adottano soluzioni analoghe. Sono
dati che risiedono in una memoria locale, a bordo del veicolo, e vengono
trasmessi sostanzialmente in tempo reale alla casa costruttrice, che li
custodisce, conserva e analizza. Ogni proprietario di un’auto di questa marca
può richiederli accedendo alla
pagina apposita del sito di
Tesla con le proprie credenziali e seguendo le
apposite istruzioni. Esiste anche un’opzione di richiesta
dei dati dell’Event Data Recorder, un registratore di bordo
paragonabile alla “scatola nera” usata in aviazione, che è
accessibile
all’utente tramite cavi appositi e un software gratuito per Windows, fornito
dalla casa automobilistica.

Il file che si ottiene è in formato CSV standard e può essere letto da qualsiasi
applicazione compatibile, come Excel, Numbers o LibreOffice. È enorme e
dettagliatissimo: un solo giorno di telemetria può contenere decine di
migliaia di righe e occupare vari megabyte.

Ogni riga include un’indicazione della data e dell’ora precisa di ciascun
evento registrato. E gli eventi sono davvero tanti: vengono memorizzati oltre
240 parametri distinti, che permettono di ricostruire la dinamica di un
incidente in estremo dettaglio. Istante per istante, la telemetria annota
diligentemente dati ovvi, come la velocità, la direzione di marcia o
l’azionamento del freno o dell’acceleratore, e dati meno intuitivi, come il
rilevamento della presenza delle mani sul volante, l’accelerazione laterale e
longitudinale, la velocità di rotazione del veicolo intorno all’asse verticale
(in pratica la direzione nella quale sta curvando), la posizione del volante,
l’attivazione dell’ABS, le impostazioni delle funzioni di guida assistita e
persino le regolazioni dell’aria condizionata, dello sbrinatore e delle luci
interne.

Ma ci sono anche dati che riguardano la sfera personale: per esempio, vengono
registrate la presenza o assenza di persone sui vari sedili, l’apertura e
chiusura delle portiere, la regolazione dei sedili e la chiusura delle cinture
di sicurezza. Sorprendentemente, nel campione che ho potuto esaminare mancano
le coordinate GPS.

Comunque sia, con una varietà di dati del genere è possibile ricostruire gli eventi con
grande precisione, istante per istante, documentando quante persone erano a
bordo, a che velocità effettiva stava viaggiando il veicolo in un dato
momento, quando e con che forza è stato premuto il pedale del freno, e così
via, ma è anche possibile ricostruire i comportamenti privati delle persone, attraverso l’analisi dell’apertura delle portiere o della presenza di persone sui vari sedili.

Non c’è scampo, insomma, per chi dice per esempio che non stava correndo
troppo o che era solo in auto quando in realtà superava i limiti di velocità
in complice compagnia. Ma allo stesso tempo c’è un supporto prezioso e
oggettivo per documentare come sono andate realmente le cose in caso di
incidente, come in un
caso recente
avvenuto in Italia proprio con una Tesla, o per qualunque altra
controversia.

Per esempio, la storia delle automobili di quasi tutte le marche è ricca di
casi di
accelerazione improvvisa e incontrollata
dovuti a fattori tecnici in alcuni casi e a fattori umani in altri: avere un
registratore di bordo permette di chiarire una volta per tutte le responsabilità delle
parti.

Questo è l’elenco completo (refusi compresi) dei parametri in un file di
telemetria di Tesla: ho evidenziato alcuni dei più significativi.

VIN
DATE (UTC)
Charge Handle Communication Signal
Charge Cable Connected
Charge Cable Secured
Charge Port Door Button Pressed
Auto Lane Change State
Autosteer Driver Hands On Detection
Autosteer State (Unavailable is recorded when Autosteer is not available,
SNA is recorded when system state is not available)
Accelerator Pedal Position (%)
Brake Pedal Application
Cruise Control Set Speed (mph / kph)
Cruise Control State
Gear Selection
Vehicle Speed (kph) (Positive is forward direction)
UI Setting – Steering Sensitivity
Primary Steering Angle Sensor (degrees) (Positive indicates right
turn)
Primary Steering Torque Sensor (Nm) (Positive indicates right turn)
ABS Brake Event
Brake Master Cylinder Pressure (bar)
Brake Pedal Manual Application
Passenger Seat Occupant Classification
Accelerator Pedal Position Maximum – Sensor A (%) (max since previous
sample)
Frontal Collision Detected
Left-side Collision Detected
Rear Collision Detected
Right-side Collision Detected
Rollover Detected
Deployment Type
Crash Algorithm Wake-Up
Lateral Acceleration (m/s^2)
Longitudinal Acceleration (m/s^2)
Near Deploy Front Collision Detected
Near Deploy Left-side Collision Detected
Near Deploy Rear Collision Detected
Near Deploy Right-side Collision Detected
Near Deploy Rollover Detected
Driver Seat Track Position Status
Passenger Seat Track Position Status
Vehicle Yaw Rate (Positive indicates left turn)
Gear Selector Stalk Status
UI Setting – PIN to Drive
PIN Tto Drive accepted
Requested Charge Current (Amps)
UI Setting – Automatic Emergency Braking
UI Setting – Automatic High Beam
UI Setting – Vehicle Alarm
UI Setting – Automatic High/Low Beams Enabled
UI Setting – Automatic Lane Change
Request Automatic Parking
UI Request – Enable Charging
UI Setting – Door Child Locking
UI Request – close Charge Port Door
UI Setting – Navigate on Autopilot
UI Request – Factory Reset
UI Setting – Forward Collision Warning
UI Setting – Forward Collision Warning Sensitivity
UI Request – Follow Navigate on Autopilot Route
UI Request – Front Trunk Open
UI Setting – Disable Air Conditioning
Air Conditioning – Air Distribution Mode
Air Conditioning – Cabin Blower Setting
Air Conditioning – Cabin Defog Mode
Air Conditioning – Cabin Air Recirculation Mode
Air Conditioning – Rear Cabin Blower Setting
Seating – Left Front Temperature
Seating – Right Front Temperature
Air Conditioning – State
UI Setting – Autosteer
UI Setting – Lane Departure Warning
UI Setting – Headlamps
UI Request – Vehicle Lock/Unlock
UI Setting – Mirror Fold
Navigation Route Active
Navigating to Supercharger
Odometer (Kilometers)
UI Request – Open Charger Port Door
UI Request – Park Brake
UI Setting – Acceleration Mode
Mobile App – Remote Closure Request
Mobile App – Remote Start Request
UI Setting – Headlamps After Exit
Auto Summon Status
UI Setting – Steering Mode
UI Setting – Stopping Mode
Summon State
UI Request – Track Mode
UI Request – Trunk Open/Close
UI Setting – Lane Change Mode
UI Setting – Unlock On Park
Air Conditioning – Left Side, Split/Focus
Air Conditioning – Left Side, Split Percentage
Air Conditioning – Left Side, Vertical Position
Air Conditioning – Left Side, Horizontal Position
Air Conditioning – Right Side, Split/Focus
Air Conditioning – Right Side, Split Percentage
Air Conditioning – Right Side, Vertical Position
Air Conditioning – Right Side, Horizontal Position
UI Setting – Walk Away Door Locking
UI Setting – Winch Mode
UI Request – Wiper Mode
Wiper Speed
Daytime Running Light Status – Left
Daytime Running Light Status – Right
Seat Occupancy Status – Left Side, Front
Front Trunk Access Post Usage
Front Trunk Release – Interior Switch
Front Passenger Present
Cabin Preconditioning Status
Overhead Map Light – Front Left Switch
Overhead Map Light – Front Right Switch
Overhead Map Light – Rear Left Switch
Overhead Map Light – Rear Right Switch
Left Brake Light
Left Rear Window Auto-Down Switch
Left Rear Window Auto-Up Switch
Left Rear Window Down Switch
Left Front Window Auto-Down Switch
Left Rear Window Auto-Down Switch
Right Front Window Auto-Down Switch
Right Rear Window Auto-Down Switch
Left Front Window Auto-Up Switch
Left Rear Window Auto-Up Switch
Right Front Window Auto-Up Switch
Right Rear Window Auto-Up Switch
Left Front Window Down Switch
Left Rear Window Down Switch
Right Front Window Down Switch
Right Rear Window Down Switch
Left Front Window Up Switch
Left Rear Window Up Switch
Right Front Window Up Switch
Right Rear Window Up Switch
Left Rear Window Up Switch
Steering Column Profile Recall
Front Left Seatbelt Buckle Status
Door External Release – Left side, Front
Front Left Seat – Backrest Position
Switch Request – Front Left Seat Backrest Back
Switch Request – Front Left Seat Backrest Forward
Switch Request – Front Left Seat Lift Down
Front Left Seat – Lift Position
Switch Request – Front Left Seat Switch Lift Up
Switch Request – Front Left Seat Switch Lumbar Down
Switch Request – Front Left Seat Switch Lumbar In
Switch Request – Front Left Seat Switch Lumbar Out
Switch Request – Front Left Seat Switch Lumbar Up
Switch Request – Front Left Seat Switch Tilt Down
Front Left Seat – Tilt Position
Switch Request – Front Left Seat Switch Tilt Up
Switch Request – Front Left Seat Track Back
Switch Request – Front Left Seat Track Forward
Front Left Seat – Track Position
Hazard Warning Switch Status
Horn Switch Status
Seat Occupancy Status – Rear, Centre
Rear Air Conditioning Control Switch Status
Door External Release – Left side, Rear
Door Internal Release – Left side, Rear
Seatbelt Buckle Status – Left Side, Rear
Seat Occupancy Status – Left Side, Rear
Seat Occupancy Status – Right Side, Rear
Seat Profile Recall – Left Side, Front
Left Steering Wheel Switch – Pressed
Left Steering Wheel Switch – Scroll
Left Steering Wheel Switch – Tilt Left
Left Steering Wheel Switch – Tilt Right
Right Steering Wheel Switch – Pressed
Right Steering Wheel Switch – Scroll
Right Steering Wheel Switch – Tilt Left
Right Steering Wheel Switch – Tilt Right
Right Brake Light
Right Front Window, Auto-Down Switch
Right Rear Window, Auto-Down Switch
Right Front Window, Auto-Up Switch
Right Rear Window, Auto-Up Switch
Right Front Window, Down Switch
Right Rear Window, Down Switch
Left Front Window, Auto-Down Switch
Left Rear Window, Auto-Down Switch
Right Rear Window, Auto-Down Switch
Left Front Window, Auto-Up Switch
Left Rear Window, Auto-Up Switch
Right Rear Window, Auto-Up Switch
Left Front Window, Down Switch
Left Rear Window, Down Switch
Right Rear Window, Down Switch
Left Front Window, Up Switch
Left Rear Window, Up Switch
Right Rear Window, Up Switch
Right Front Window, Up Switch
Right Rear Window, Up Switch
Seatbelt Buckle Status – Right Side, Front
Door External Release – Right Side, Front
Door Internal Release – Right Side, Front
Front Right Seat – Backrest Position
Switch Request – Front Right Seat Backrest Back
Switch Request – Front Right Seat Backrest Forward
Switch Request – Front Right Seat Lift Down
Front Right Seat – Lift Position
Switch Request – Front Right Seat Switch Lift Up
Switch Request – Front Right Seat Switch Lumbar Down
Switch Request – Front Right Seat Switch Lumbar In
Switch Request – Front Right Seat Switch Lumbar Out
Switch Request – Front Right Seat Switch Lumbar Up
Switch Request – Front Right Seat Switch Tilt Down
Front Right Seat – Tilt Position
Switch Request – Front Right Seat Switch Tilt Up
Switch Request – Front Right Seat Track Back
Switch Request – Front Right Seat Track Forward
Front Right Seat – Track Position
Seatbelt Buckle Status – Centre, Rear
Door External Release – Right Side, Rear
Door Internal Release – Right Side, Rear
Seatbelt Buckle Status – Right, Rear
Seat Profile Recall – Front Right
Bluetooth Device 0 Status
Bluetooth Device 1 Status
Bluetooth Device 2 Status
Bluetooth Device 3 Status
Multiple NFC Cards Detected at Left Pillar
Multiple NFC Cards Detected at Right Pillar
ID of NFC card at Left Reader
ID of NFC card at Right Reader
Multiple NFC Cards Detected at Centre Console
ID of NFC card at Centre Console Reader
Lock/Unlock Authentication from Pillar Reader
Drive Authentication from Centre Console Reader
Identity of the Active Key Device
Vehicle Alarm Status
Vehicle Authentication Status
Charge Port Door Lock Status
Charge Port Door Request
Lock Request Type
Summon Request Status
Trunk Movement Status
Mobile App Request – Left Front Window
Mobile App Request – Left Rear Window
Mobile App Request – Right Front Window
Mobile App Request – Right Rear Window
Mobile App Window Request Type

Vasche da bagno a rischio attacco informatico

2022-06-26
di Paolo Attivissimo
attacchi informatici, Internet delle cose, PodcastRSI, privacy

Di tutte le cose che possono essere prese di mira da un attacco informatico, la
vasca da bagno con idromassaggio sembrerebbe essere proprio l’ultima, ma è quello
che è successo di recente. Un ricercatore californiano di sicurezza informatica,
Eaton Zveare, ha trovato il modo di accedere via Internet ai dati personali
degli utenti delle vasche “smart” commercializzate da Jacuzzi e da altre marche
molto note del settore e prenderne il controllo.

Pochi giorni fa il ricercatore ha raccontato la bizzarra vicenda nel suo
sito: ha ordinato per sé una di queste vasche aggiungendo l’opzione, denominata
SmartTub, che aggiunge alla vasca un modulo ricetrasmettitore che usa
la rete cellulare per mandare informazioni a un’app che permette di comandare
a distanza la vasca, accendendo le luci, regolando i getti e la temperatura
dell’acqua, e così via. Lo so, può sembrare una funzione extralusso, ma sono oltre
10.000 le persone che hanno scaricato l’app
da Google Play e quindi, si presume, la usano.

Durante la configurazione dell’app, il ricercatore ha visto comparire sul suo
schermo per un attimo una tabella piena di dati. L’ha catturata usando uno
screen recorder per registrare quell’immagine fugace e ha scoperto che
si trattava di un pannello di controllo per amministratori, strapieno di dati di
utenti di vasche con idromassaggio di varie marche.

Da bravo informatico, ha approfondito l’indagine e ha scoperto che il pannello
di controllo era accessibile a chiunque senza immettere credenziali e
consentiva di vedere e modificare i dettagli dei proprietari delle vasche, con
nomi, cognomi e indirizzi di mail, e anche di disabilitare
completamente gli account.

In maniera molto responsabile, Eaton Zveare ha contattato il supporto tecnico
dell’app di Jacuzzi per avvisare l’azienda del problema. Ha ricevuto risposta
e ha fornito tutti i dettagli tecnici, ma poi non ha sentito più nulla per
mesi, mentre la falla rimaneva aperta. Ha dovuto tentare vari altri indirizzi
di contatto e infine rivolgersi alla società di sicurezza informatica Auth0,
che gestisce il sistema di accesso alle vasche da bagno “smart”, prima di
ottenere risposta. Un copione che chiunque lavori nella sicurezza informatica
ha già vissuto tante volte.

Ma alla fine, dopo sei mesi, la falla è stata chiusa, senza neppure un cenno
di riconoscimento o ringraziamento da parte della casa produttrice di vasche,
alla quale il ricercatore ha risolto gratuitamente un guaio che avrebbe potuto avere
conseguenze legali molto onerose. Anche questo silenzio fa parte del copione.

C’è di più. Secondo le leggi della California, dove ha sede la Jacuzzi, questa
fuga di dati dei clienti dovrebbe essere annunciata ai clienti stessi e
segnalata
alle autorità, ma finora non risulta che ci sia stato alcun annuncio o
segnalazione. Se questo è il modo in cui si gestiscono i dati degli utenti e i
comandi remoti dei loro elettrodomestici, forse conviene cercare
elettrodomestici che non siano così tanto “smart”.

Arrivano gli occhiali “smart” di Facebook. Ma non chiamateli così. Anzi, non nominate Facebook

2021-11-27
di Paolo Attivissimo
Facebook, Internet delle cose, PodcastRSI, ReteTreRSI

Formalmente si chiamano Ray-Ban Stories, ma sono gli occhiali “smart” di Facebook. Sono stati presentati oggi (9 settembre) e ne parlano un po’ tutti, per cui la faccio breve: non sono occhiali a realtà aumentata. Non mostrano immagini sulle lenti.

Sono semplicemente degli occhiali che hanno due fotocamere, altoparlanti, tre microfoni, una memoria da alcuni GB e una batteria che dura circa sei ore e si collegano senza fili allo smartphone. Fanno foto e video (massimo 30 secondi) e possono riprodurre musica o l’audio di una telefonata. Costano da 330 euro in su a seconda delle lenti (anche correttive) che vengono montate.

Tecnologicamente sono un capolavoro di miniaturizzazione, visto che hanno l’aspetto di normali occhiali con frontale e astine leggermente spesse (sono molto più eleganti e discreti dei primi Spectacles di SnapChat di cinque anni fa), ma la domanda che viene spontanea a molti è se il loro aspetto così normale non li renda un nuovo modo per fare i ficcanaso.

In fin dei conti, se oggi una persona vuole fotografare qualcuno deve prendere in mano il telefonino (o la fotocamera, per chi ancora la usa) e puntarla verso il soggetto, con un gesto abbastanza vistoso. Se la fotocamera è integrata negli occhiali, fare una foto o un video di nascosto diventa molto più facile.

Facebook dice di aver pensato a questo problema limitando la durata dei video e obbligando gli utenti a fare un gesto piuttosto visibile anche per azionare gli occhiali: per scattare una foto o registrare un video bisogna infatti toccare una delle astine o dare un comando vocale (al momento soltanto in inglese; sarà divertente sentire gli strafalcioni e i tentativi falliti). Inoltre sul frontale ci sono due piccoli LED bianchi che si accendono durante le riprese. Infine le foto e i video non vengono pubblicati direttamente su Facebook: restano sul dispositivo e spetta all’utente decidere se pubblicarli o no.

Tuttavia questi LED sono poco visibili e facilissimi da coprire, e lo stesso vale per le due telecamerine, per cui è facile non accorgersi che qualcuno vicino a noi ha due fotocamere sulla faccia. Buzzfeed nota che secondo Facebook coprire i LED è una violazione delle condizioni d’uso (sì, viviamo in un’epoca in cui gli occhiali hanno un regolamento di utilizzo). Questo sicuramente impedirà a chiunque di coprire le due lucette.

È presto per dire se avranno successo come gadget realmente utile o se verranno bocciati come accessori per molestatori: notate che Facebook, che già ha i suoi problemi con la privacy e le molestie, ha preso le distanze dal prodotto già nel nome. In effetti ci sono delle situazioni nelle quali può essere utile poter rispondere a una telefonata o scattare una foto immediatamente senza frugare nella borsa per trovare il telefonino e senza perdere l’attimo fuggente.

Resta anche la questione della legalità di portare occhiali con telecamera e microfono in ambienti privati, per esempio a scuola o in altri luoghi nei quali normalmente c’è il divieto di portare dispositivi di ripresa, e della difficoltà dei controlli per evitare violazioni e abusi.

Staremo a vedere, e soprattutto impareremo a guardare chi ci sta vicino non solo negli occhi, ma anche negli occhiali.

Fonti aggiuntive: Punto Informatico, BBC, ANSA, The Verge, PCMag, Facebook.

Tesla “hackerate da remoto”? Non proprio

2021-04-23
di Paolo Attivissimo
antibufala, bug bounty, hacking, Internet delle cose, Tesla (auto)

Questo articolo vi arriva gratuitamente grazie alle donazioni dei lettori ed è stato aggiornato estesamente dopo la pubblicazione iniziale del 2016/09/20. Se vi piace, potete farne una per incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2016/09/21 21:55.

In breve

Sono a corto di tempo, per cui scrivo giusto due righe per evitare che si diffondano bufale: sì, gli esperti di Keen Security Lab hanno pubblicato un video nel quale sembrano mostrare un attacco informatico nel quale prendono il controllo da remoto di una Tesla Model S, per esempio aprendone le portiere e il bagagliaio, comandandone gli schermi del cruscotto e riuscendo addirittura a far frenare l’auto di colpo mentre è in movimento.

Spettacolare, certo, ma non è un vero e proprio “hackeraggio da remoto”: serve infatti comunque la collaborazione attiva del conducente, che deve connettere l’auto a una specifica rete Wi-Fi (cosa che non succede mentre si è in giro), per cui non si tratta di una tecnica che consente di prendere facilmente il controllo a distanza di un’auto Tesla qualsiasi.

Molte testate giornalistiche che stanno raccontando la scoperta omettono di precisare questo particolare, forse per incompetenza o forse per pompare la notizia: fra quelle che ho visto fin qui fa felice eccezione The Verge.

Tecnicamente è un risultato notevole, comunque, rispetto agli attacchi precedenti che richiedevano lo smontaggio del cruscotto, e sottolinea il problema di fondo di tutte le auto interconnesse: il rischio che la connessione sia sfruttabile per sabotarle. Questa vulnerabilità è già stata risolta con un aggiornamento software (versione 7.1 release 2.36.31) diffuso automaticamente a tutte le Tesla.

Spero di potervi raccontare tutti i dettagli nelle prossime ore.

In dettaglio

L’articolo originale di Keen Security Lab (che fa parte del colosso cinese Tencent) è decisamente reticente: la cosa più interessante che dice è che l’attacco compromette il CAN bus, il sistema che controlla molti dei componenti essenziali dell’auto.

Altri articoli, per esempio su Ars Technica e il già citato The Verge, spiegano qualche dettaglio in più: l’attacco realizzato da Keen sfrutta un bug nel browser della Tesla. Questo bug richiede che l’auto sia connessa a un hotspot Wi-Fi ostile e che contemporaneamente il conducente effettui la ricerca della stazione di ricarica più vicina tramite il pannello di comando centrale dell’auto.

The Verge pubblica una conferma inviata da Tesla, che dice appunto che “Il problema dimostrato viene innescato soltanto quando viene usato il browser web e inoltre richiede che l’auto sia fisicamente vicina a un hotspot Wi-Fi ostile e sia connessa ad esso” e aggiunge che i ricercatori di Keen, avendo agito responsabilmente (contattando Tesla senza pubblicare i dettagli della vulnerabilità), riceveranno una ricompensa secondo i parametri del programma bug bounty (ricompensa per i bug scovati) introdotto da Tesla per incoraggiare questo tipo di ricerca.

Stefano, di Teslaforum.it, mi spiega che nell’uso normale una Tesla si collega a una rete Wi-Fi soltanto in due situazioni: quando è a casa del proprietario (l’auto ha il GPS e quindi “sa” sempre dove si trova e si collega al Wi-Fi del proprietario) e quando si trova presso un centro di assistenza Tesla (nel qual caso si collega al Wi-Fi del centro di assistenza). A parte queste due occasioni, mi dice Stefano, l’auto di norma resta collegata tramite la connessione cellulare 3/4G integrata (e inclusa nel prezzo) e l’unica operazione che si può fare solo via Wi-Fi è l’aggiornamento delle mappe.

In pratica, quindi, l’attacco descritto da Keen è realizzabile soltanto in condizioni decisamente insolite e richiede la collaborazione coordinata di una persona a bordo dell’auto, per cui non si può definire remoto in senso stretto e non è certo automatico o sfruttabile su vasta scala. Si tratta comunque di una vulnerabilità importante, per cui è bene che sia stata scoperta e risolta.

La parte più interessante (e preoccupante) è la compromissione del controllo dei freni: la tecnica effettivamente usata è tutta da confermare, ma un altro utente di Teslaforum.it, Div@h, sottolinea che tutti gli effetti mostrati nel video sono ottenibili comandando appositamente il pannello comandi (la MCU o Media Control Unit, in pratica l’“iPaddone” centrale), e che esiste una funzione di frenata d’emergenza attivabile tramite questa MCU, per cui non è da escludere che l’attacco non abbia realmente preso il controllo del cuore informatico dell’auto (il CAN bus, appunto) ma abbia raggiunto soltanto (si fa per dire) il pannello comandi, che in realtà è indipendente e fortemente isolato dalle funzioni centrali. Se così fosse, l’attacco sarebbe molto meno grave di quel che sembra a prima vista.

Paradossalmente, la risoluzione rapida del difetto mostra che il punto debole delle auto connesse (la connessione dati, appunto) è anche il punto di forza che consente di rimediare alle falle diffondendo immediatamente a tutte le auto un aggiornamento correttivo.

Fonti aggiuntive: The Hacker News, Electrek.