Internet delle cose – Pagina 4

La TV smart non è mica tanto smart

2019-06-07
di Paolo Attivissimo
falle di sicurezza, Internet delle cose, ReteTreRSI, Smart TV

Una TV Supra. Fonte: Amazon.

I televisori “smart” vanno molto di moda, e in generale l’etichetta “smart” viene appiccicata a qualunque dispositivo da reparti di marketing disposti a tutto.

Ma come dice da anni Mikko Hypponen di F-Secure, “ogni volta che un dispositivo viene descritto come ‘smart’, è vulnerabile” (“Whenever an appliance is described as being ‘smart’, it’s vulnerable”).

Esempio concreto: secondo le ricerche pubblicate da Inputzero, i televisori “smart” della Supra, specificamente i modelli “Smart Cloud TV”, sono vulnerabili al punto che un aggressore (o un semplice burlone) che stia sulla stessa rete Wi-Fi usata dal televisore può prendere il controllo dell’apparecchio e fargli mostrare sullo schermo qualunque video a sua scelta. Non occorre nessuna password: è sufficiente inviare al televisore una semplice istruzione HTTP GET.

Lo scopritore della falla, Dhiraj Mishra, ha pubblicato un video dimostrativo.

Se il televisore è collegato senza protezioni direttamente a Internet, è comandabile da remoto da qualunque parte del mondo sapendone soltanto l’indirizzo IP (cosa piuttosto facile da scoprire con Shodan e simili).

Il fatto che l’aggressore debba essere sulla stessa rete locale Wi-Fi non è un ostacolo molto serio: basta pensare a qualunque negozio, albergo o centro commerciale che offra Wi-Fi ai clienti e abbia messo i televisori sulla stessa rete usata dai clienti.

Per il momento il fabbricante non ha reso disponibile un aggiornamento; l’unica soluzione possibile, per chi ha comprato questo apparecchio, è scollegarlo dal Wi-Fi oppure collegarlo a una rete Wi-Fi separata alla quale non ha accesso nessun altro.

Rapporto MELANI: lo stato dell’arte degli attacchi informatici in Svizzera

2019-05-18
di Paolo Attivissimo
attacchi informatici, Internet delle cose, ReteTreRSI, Svizzera

È uscito il ventottesimo rapporto semestrale della Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) della Confederazione Svizzera, che descrive i principali incidenti informatici accaduti in Svizzera e all’estero nel secondo semestre del 2018 ed è un’ottima guida informativa per chiunque si occupi di sicurezza e voglia esempi concreti per capire le realtà dei rischi informatici. Il rapporto è disponibile anche in italiano.

Contiene davvero di tutto: dai blackout tramite dispositivi IoT all’evoluzione dell’estorsione-bluff che diceva di averti ripreso mentre guardavi video pornografici e chiedeva soldi per non diffondere il video; dalle tecniche usate dai ladri informatici per entrare negli account Office 365 e alterare le coordinate bancarie nelle fatture, in modo che le aziende facciano bonifici pensando di pagare i fornitori ma i soldi finiscano nei conti gestiti dai criminali, all’attacco informatico (fallito) al sistema automatico di gestione dell’approvvigionamento idrico di Ebikon, vicino a Lucerna. Buona lettura.

Una Hyundai che usa Windows CE ed esegue qualunque software?

Sapete riconoscere che modello di Hyundai è questo?

This has become the easiest data extraction I’ve done in awhile pic.twitter.com/O3xaePfwf3

— James Click (@realJamesClick) April 27, 2019

Secondo l’autore di questi tweet, queste foto mostrano un pannello di comando di una Hyundai che usa Windows Embedded CE 6.0 ed è dotata di un server telnet. Come se non bastasse, esegue qualunque software al quale venga dato il nome HyundaiUpdate.exe messo su una chiavetta USB. Non c’è alcun controllo di firma crittografica o di autenticazione.

Spero sinceramente che sia uno scherzo e che nessuna casa automobilistica sia così incosciente da aver davvero fatto qualcosa del genere. Ma temo di essere troppo ottimista.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Come spegnere i motori di migliaia di auto connesse a Internet

2019-04-26
di Paolo Attivissimo
automobili, Internet delle cose, password, ReteTreRSI, sorveglianza

Credit: Motherboard.

Se la password predefinita di un’app è 123456 è male. Se l’app in questione gestisce delle automobili e permette non solo di tracciarne la posizione ma anche di spegnerne il motore, è un tantinello peggio.

Secondo quanto riferisce Lorenzo Franceschi-Bicchierai su Motherboard, un esperto informatico è riuscito a entrare negli account degli utenti di varie app di tracciamento GPS per auto, potendo così monitorare le posizioni di decine di migliaia di automobili in tempo reale.

Le app in questione sono Protrack e iTrack, usate dalle aziende per monitorare le flotte dei propri veicoli. L’informatico lo ha scoperto consultando il codice sorgente delle app e tentando milioni di possibili nomi utente insieme alla password predefinita: una forma di attacco classica.

A furia di tentare, contando sul fatto che molti utenti non avrebbero cambiato la password, è riuscito a collezionare identificativi IMEI, nomi, numeri di telefono, indirizzi di mail e indirizzi domestici o aziendali degli utenti, e poi ha avvisato i gestori delle app.

Come se non bastasse, l’informatico ha detto di essere in grado di spegnere a distanza i motori di centinaia di migliaia di veicoli sparsi per il mondo che usano queste app. Motherboard ha confermato le dichiarazioni dell’informatico consultando il produttore degli apparati di tracciamento usati da queste app: lo spegnimento sarebbe stato possibile durante la marcia a bassa velocità dei veicoli nei quali l’opzione di controllo del motore era attiva.

La casa produttrice di Protrack ha negato che siano avvenute violazioni ma sta ora avvisando gli utenti di cambiare password.

Ancora una volta, con sentimento: le password predefinite sono il male. Non usatele. Mai.

Un ladro elettronico con grandi aspirazioni

Secondo questo post dell’ufficio dello sceriffo di Washington County, in Oregon, si è verificato pochi giorni fa un allarme per un furto informatico molto particolare. Traduco:

CATTURATO IL SOSPETTATO DI FURTO

13:48: La parte chiamante si rivolgeva al 911 dicendo che c’era qualcuno nel di lei bagno. Affermava che l’intruso aveva chiuso a chiave la porta del bagno. La chiamante riferiva di poter vedere delle ombre guardando sotto la porta del suddetto bagno.

13:49: Numerosi agenti accorrevano all’abitazione in risposta.

13:55: Gli agenti circondavano la casa e richiedevano l’intervento di una unità cinofila. Gli agenti riferivano di udire rumori provenienti dal bagno.

14:05: Dopo numerosi inviti, il sospettato non emergeva quando gli veniva ordinato. Con le armi puntate, gli agenti spalancavano la porta per incontrare il sospettato… che risultava essere un aspirapolvere robotizzato.

14:13: Il vicesceriffo Rogers risolveva la chiamata con la seguente nota: “Entrando nella casa sentivamo rumori dal bagno. Abbiamo fatto numerosi inviti e il rumore è diventato più frequente. Abbiamo forzato la porta del bagno e ci siamo imbattuti in un lavoro molto accurato di pulitura per aspirazione da parte di un aspirapolvere robotizzato Roomba.”

Gizmodo spiega che i due uomini che hanno fatto la chiamata stavano accudendo alla casa del nipote e quindi non sapevano che il nipote avesse un Roomba. Le gioie dell’Internet delle Cose: le cose digitali di cui ci si dimentica di avvisare parenti e amici e che possono avere conseguenze importanti.

Sextoy spioni e altre intimità digitali violate: ne parliamo oggi a “Tacco 12” alla radio RSI

2019-03-01
di Paolo Attivissimo
Internet delle cose, privacy, radio, ReteTreRSI

Oggi alle 14 sarò ospite della trasmissione Tacco 12 della Rete Tre della Radiotelevisione Svizzera per parlare di dispositivi digitali, anche estremamente intimi, che raccolgono dati molto personali senza proteggerli adeguatamente e consentendo a ficcanaso, molestatori, partner ed ex partner di sorvegliare gli spostamenti e le attività personali di qualcuno.

La puntata sarà ascoltabile in diretta in streaming presso www.rsi.ch/rete-tre. Lo streaming audio e video sarà disponibile presso la sezione La radio da guardare del sito RSI.

Intanto segnalo che il reggiseno stampato con la stampante 3D citato durante la trasmissione è descritto qui su TechCrunch; il problema di tracciamento dei braccialetti di fitness è raccontato da me qui; il caso del fabbricante di sextoy spioni condannato è questo.

—

2019/03/01: La puntata è ora disponibile in streaming video qui sotto.

Hacker educato parla attraverso la telecamera insicura e aiuta a sistemarla

2019-01-11
di Paolo Attivissimo
hacking, Internet delle cose, privacy, ReteTreRSI, sorveglianza

Credit: Nest.

Racconto spesso storie inquietanti di intrusioni informatiche, ma non tutti gli intrusi vengono per nuocere. Hot for Security segnala quello che è successo ad Andy Gregg, un agente immobiliare che vive a Phoenix: si è accorto che qualcuno gli stava parlando attraverso la telecamera di sorveglianza Nest installata in giardino.

Il signor Gregg ha spiegato all’Arizona Republic che ha avuto la prontezza di registrare col proprio telefonino quello che gli è successo: la voce era quella di un hacker canadese che gli ha spiegato di far parte di un gruppo di informatici che prende il controllo delle telecamere per avvisare gli utenti che sono vulnerabili perché hanno impostato maldestramente questi dispositivi.

Come tanti altri, anche Gregg aveva protetto (si fa per dire) la propria Nest con la stessa password che usava per i propri account di altri servizi Internet. Uno di questi servizi era stato violato, come capita spesso, e quindi la sua login e la sua password erano in giro su Internet, a disposizione di qualunque malintenzionato, il cui primo tentativo sarebbe stato quello di provare a entrare con quella password in tutti gli account legati alla persona.

Gregg non aveva neanche usato l’autenticazione a due fattori, disponibile sull’app Nest. Gli è andata bene: avrebbero potuto rubargli l’indirizzo di mail account, prendere il controllo del suo profilo Facebook profile, ordinare merci su Amazon, e altro ancora. Invece l’incontro con l’hacker lo ha convinto a cambiare le proprie password e a scollegare la telecamera.

Non aspettate un incontro analogo per fare altrettanto.

Roomba diventa una periferica di gioco molto particolare

2019-01-11
di Paolo Attivissimo
Internet delle cose, ReteTreRSI, sorveglianza, videogiochi

Roomba, l’aspirapolvere automatico di iRobot, ha una funzione poco conosciuta ma piuttosto ficcanaso: quando esplora la casa per memorizzare una mappa degli ostacoli e della zona che deve pulire, trasmette questa mappa e molti altri dati all’azienda, che si riserva la facoltà di cederli a terzi (per esempio Amazon, come descritto qui su Gizmodo).

Se consegnare a sconosciuti una mappa completa di casa vostra vi lascia un po’ perplessi, c’è chi invece la prende con spirito ludico, come Rich Whitehouse, uno sviluppatore di videogiochi che ha pensato di usare i dati acquisiti dai Roomba per creare un livello di gioco di Doom basato sulla disposizione dei mobili della casa del giocatore.

Se vi stuzzica l’idea di inseguire mostri nel vostro soggiorno, non vi resta che scaricare il software gratuito di Whitehouse, ringraziandolo se possibile con una donazione, e seguire le sue istruzioni di installazione. Inevitabilmente, il software è stato battezzato da Whitehouse con un gioco di parole che anche secondo lui è terribile: Doomba.

La rivolta delle stampanti a sostegno di PewDiePie

2018-12-21
di Paolo Attivissimo
hacking, Internet delle cose, ReteTreRSI, Shodan

Credit: BBC.

In tutto il mondo le stampanti stanno stampando strani messaggi che invitano ad iscriversi al canale Youtube di Pewdiepie e “sistemare le vostre stampanti”. È probabilmente l’incursione informatica più bizzarra dell’anno: ne trovate esempi qui e qui.

Un mese fa, qualcuno che si fa chiamare TheHackerGiraffe ha preso momentaneamente il controllo di circa 50.000 stampanti di varie marche in varie parti del mondo per creare dei volantini a favore dello Youtuber Pewdiepie.

L’incursore ha spiegato alla BBC, in forma anonima, che stava cercando di attirare l’attenzione su una vulnerabilità di alcune stampanti che permette di prenderne il controllo da remoto e può portare al loro danneggiamento permanente.

@grandayy @DolanDark @pewdiepie ok so basically a printer at a friend’s workplace got hacked. not complaining pic.twitter.com/DcNGrKlbXj

— apex | IG @bobbywainwright (@apex2504) 27 novembre 2018

The Verge spiega che il firmware di queste stampanti è infatti scrivibile da remoto, ma supporta soltanto un numero limitato di cicli di scrittura. Questo vuol dire che un aggressore può rendere inservibile le stampanti in questione semplicemente mandando loro un numero elevato di comandi di scrittura del firmware, se queste stampanti sono accessibili via Internet tramite la porta 9100.

Secondo l’hacker contattato dalla BBC, esiste anche il rischio che qualcuno intercetti documenti sensibili o li modifichi mentre vengono stampati, sfruttando questa stessa vulnerabilità.

So this just randomly printed on one of our work printers. I think @pewdiepie has hacked our systems. pic.twitter.com/wSG9cprJ4s

— Dr.Moxmo (@Dr_Moxmo) 29 novembre 2018

La soluzione alla falla è semplice: impostare la propria rete informatica in modo che le stampanti non siano accessibili direttamente da Internet.

Se vi state chiedendo chi mai possa essere così imprudente da rendere accessibile via Internet la propria stampante, basta una ricerca apposita su Shodan per trovarne almeno 308 in Svizzera e circa 1500 in Italia (i link richiedono un account su Shodan).

Smartwatch per bambini, colabrodo di dati e di insicurezza

2018-12-21
di Paolo Attivissimo
Internet delle cose, ReteTreRSI, smartwatch

Un anno fa, uno studio commissionato da un’organizzazione di difesa dei consumatori norvegese aveva rilevato che gli smartwatch per bambini erano pericolosamente disinvolti in fatto di sicurezza e avidi di dati personali, che venivano raccolti ma messi incautamente a disposizione di qualunque ficcanaso.

Ê passato appunto un anno e non è cambiato nulla, nonostante le promesse: un nuovo test svolto dalla Pen Test Partners ha scoperto che gli smartwatch della MiSafes (marchio già nei guai per le sue telecamerine IP vulnerabili) possono tuttora essere usati da malintenzionati per localizzare i bambini che li indossano, per ascoltare di nascosto le loro conversazioni e per chiamarli telefonicamente facendo sembrare che la chiamata arrivi dai genitori.

Usando gli appositi strumenti di Internet, è stato facilissimo trovare decine di migliaia di smartwatch MiSafes pubblicamente accessibili. MiSafes non è l’unico marchio coinvolto: ci sono almeno altre 53 marche che hanno problemi di sicurezza analoghi.

I ricercatori hanno scoperto di poter:

attivare la funzione di ascolto remoto di uno smartwatch altrui: l’unico avvertimento all’utente è un breve messaggio di “occupato”;
tracciare la localizzazione attuale e passata;
modificare la funzione di “zona sicura” in modo che gli allarmi vengano attivati quando il bambino si avvicina invece di quando si allontana;
scavalcare una funzione che dovrebbe in teoria limitare chi può chiamare il bambino.

In generale, i dispositivi di tracciamento GPS commerciali non ci fanno una bella figura, come spiega in dettaglio la ricerca Trackmageddon di Michael Gruhn e Vangelis Stykas.

Fonti: BoingBoing, BBC.

« Precedente
1
2
3
4
5
6
…
12
Successivo »