Vai al contenuto
Gara: Firefox, IE8, Safari bucati in pochi secondi

Gara: Firefox, IE8, Safari bucati in pochi secondi

Browser colabrodo bucati: dei tre grandi non si salva nessuno, neanche IE8

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Anche quest’anno si tiene a Vancouver il CanSecWest, una conferenza annuale sulla sicurezza informatica che include una gara, chiamata Pwn2Own e organizzata dalla società di sicurezza informatica Tipping Point, che invita i concorrenti a prendere il controllo da remoto di un computer pienamente aggiornato agendo esclusivamente attraverso il suo browser. Chi ci riesce si porta a casa il computer posseduto e un premio in denaro.

E’ andata malissimo. Il ricercatore di sicurezza Charlie Miller ha ripetuto il successo dell’anno scorso (segnalato qui): in una manciata di secondi è riuscito a entrare in un MacBook Apple dotato di tutte le patch di aggiornamento semplicemente inducendo l’utente del MacBook a cliccare su un link visualizzato in una pagina Web tramite il browser Safari. Si è portato così a casa il MacBook e 10.000 dollari, come da regolamento.

In cambio, la Tipping Point acquisisce i diritti sulla falla e sulla tecnica utilizzata per sfruttarla e si coordinerà con Apple per il rattoppo. I dettagli della tecnica verranno pubblicati solo quando sarà pronto l’aggiornamento che tura la vulnerabilità.

Anche il nuovissimo Internet Explorer 8 di Microsoft non ha resistito. Un ricercatore che si è identificato soltanto come Nils ha ripetuto lo stesso tipo di attacco contro Windows 7, che include IE8, e si è portato a casa il Sony Vaio che aveva bucato e un po’ di dollari, sotto gli occhi probabilmente lucidi del team di sicurezza di Microsoft.

Nils è poi riuscito a bucare Safari e Firefox, completando la terna delle umiliazioni. Dopo il primo giorno di gara, soltanto Chrome (il browser di Google) era imbattuto.

Non c’è insomma da stare tranquilli, a prescindere dal sistema operativo che usate: molti pensano che il Mac sia invulnerabile, ma la realtà è che anche un Mac può essere violato semplicemente convincendo l’utente a visitare un sito-trappola. Per questo siete voi la prima linea di difesa del vostro computer.

Tre falle in Excel, rattoppi anche per Mac

Excel fallato, pronta la pezza: vale anche per gli utenti della Mela

L’aggiornamento di ieri al bollettino di sicurezza 08-074 di Microsoft segnala e ripara tre vulnerabilità, scoperte da società di sicurezza esterne a Microsoft, in Excel per Windows e per Mac. Secondo il bollettino, queste vulnerabilità permettono di “prendere il controllo completo di un sistema affetto”, per esempio installandovi programmi oppure visualizzando, modificando o cancellando dati o creando account sul computer della vittima. Il vettore d’attacco è un file Excel appositamente confezionato.

In altre parole, occhio ai file Excel che ricevete, soprattutto da fonte non attendibile. Microsoft definisce “critico” o “importante”, a seconda delle versioni di Excel, l’aggiornamento che offre per le versioni 2000, 2002, 2003, 2007 sotto Windows ed Excel 2004 e 2008 sotto Mac OS X. Anche alcune versioni del visualizzatore gratuito di file Excel di Microsoft per Windows e il convertitore Open XML per Mac sono vulnerabili.

Per scaricare l’aggiornamento del vostro software, consultate il bollettino in questione, che contiene i link a tutte le versioni del rattoppo.

Mac, occhio ai trojan nel software piratato

Mac, occhio ai trojan nel software piratato

Mac infettabile, se piratate i programmi

Molti utenti Mac credono di essere invulnerabili, ma non è così, soprattutto quando si adottano comportamenti a rischio che scavalcano le difese naturali del sistema.

La società di sicurezza informatica Intego avvisa che le copie pirata di iWork 09, recente aggiornamento di una suite di programmi molto popolari e desiderati per il mondo Mac, circolano in una versione infettata da un trojan horse denominato OSX.Trojan.iServices.A.

E’ un vero e proprio cavallo di Troia, perché quello che viene offerto nei circuiti del software pirata è effettivamente iWork 09, ma al suo interno c’è una sorpresa infettante chiamata iWorkServices.pkg, che viene installata anch’essa quando si installa la copia pirata di iWork 09.

L’installazione del trojan horse richiede che l’utente digiti la propria password di amministratore, ma dato che l’utente sta intenzionalmente installando del software, è normale che la digiti quando gli viene chiesta. Il software ostile viene installato in modo che si avvii automaticamente ogni volta che si avvia Mac OS X ed ha i permessi di root in lettura, scrittura ed esecuzione: in altre parole, può fare quello che gli pare, perché l’utente gli ha dato le chiavi.

Il trojan si collega via Internet a un server remoto, il cui proprietario potrà prendere il controllo del Mac infetto, per esempio installandovi altri programmi ostili di qualsiasi genere. Secondo Intego sono già 20.000 le vittime informatiche di questa trappola.

La soluzione più semplice è la prevenzione: evitate di scaricare e installare programmi piratati e usate un buon antivirus.

NeoOffice sistema lo zoom ipersensibile

NeoOffice sistema lo zoom ipersensibile

Patch per NeoOffice corregge una bella magagna

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Vignetta di Moise, pubblicata qui per gentile concessione dell’autore.

NeoOffice è una bella alternativa a OpenOffice.org per chi usa il Mac (e gestisce meglio i font rispetto a OOo, anche se il problema sta diminuendo), ma ha una magagna che assilla gli utenti dalla mano non aggraziata come quella di Silvan: lo zoom del touchpad è troppo sensibile, per cui basta che sfioriate il touchpad con un dito della mano sinistra intanto che trascinate o spostate il cursore con la destra, e il documento rimpicciolisce a dimensioni lillipuziane o s’allarga a dismisura.

Quando la cosa succede, come a me, varie volte al giorno e fa perdere il segno di colpo, è piuttosto esasperante. OpenOffice.org non ha questo baco e gestisce molto meglio lo zoom (senza ricorrere al touchpad).

Ne avevo parlato con gli autori di NeoOffice via Internet durante la loro visita a Milano, e si vede che non sono l’unico maldestro fra i loro utenti, per cui è con gioia che annuncio la disponibilità della patch numero 5 per NeoOffice 2.5.5 che risolve il problema.

Dopo averla installata, occorre chiudere NeoOffice e dare il seguente comando in una finestra del Terminale:

defaults write org.neooffice.NeoOffice IgnoreTrackpadGestures -bool yes

Fatto questo, si riavvia NeoOffice e lo zoom a casaccio non si verifica più; resta disponibile lo scorrimento del documento tramite due dita unite sul touchpad.

Megapezze anche per Apple, con qualche intoppo

Megapezze anche per Apple, con qualche intoppo

Mac OS X aggiornato alla 10.5.6 con download gigante

Se il mondo Windows tribola con gli aggiornamenti di sicurezza, anche quello Apple ha il suo bel lavoro da svolgere. E’ infatti uscita il 15 dicembre la versione 10.5.6 di Mac OS X Leopard. “Aumenta la stabilità, la compatibilità e la sicurezza del vostro Mac”, come dice rassicurantemente la pagina di download di Apple.

L’importante è non dover prelevare l’aggiornamento tramite una connessione Internet lenta, perché nella migliore delle ipotesi siamo intorno ai 370 megabyte da scaricare.

Come sempre, ma più del solito, è consigliabile effettuare una copia di sicurezza completa del proprio Mac, perché numerosi utenti hanno segnalato magagne con quest’aggiornamento, secondo The Register e MacFixIt: computer bloccati, connessioni di rete a singhiozzo, problemi di audio e crisi di Mail.app.

Io ho aggiornato tutti i miei Mac senza problemi (a parte un riavvio forzato nel quale la ventola, come descritto da The Register, sembrava effettivamente in procinto di far decollare il MacBook Pro), ma un aneddoto non fa statistica e il backup è comunque consigliabile. E’ altrettanto consigliabile il rito propiziatorio preventivo della Riparazione dei Permessi (in Utilità Disco). In caso di blocco del computer dopo l’aggiornamento, provate il Safe mode: tenete premuto il tasto Shift da quando sentite il “bong” di avvio al momento in cui compare l’animazione dell’ingranaggio che gira (può volerci un bel po’ di tempo, abbiate fede), poi entrate come amministratore e riprovate ad installare l’aggiornamento.

Disfida dei sistemi operativi: il Mac è il primo a cadere

Disfida dei sistemi operativi: il Mac è il primo a cadere

Qual è il sistema operativo più bucabile? Mac OS X. Ooops 😉

Tipping Point segnala che la disfida fra sistemi operativi che ho citato pochi giorni fa, in corso al CanSecWest, ha il suo primo sconfitto: Mac OS X, tramite il browser Safari.

Charlie Miller (in primo piano, nella foto, mentre “buca” un MacBook Air), Jake Honoroff e Mark Daniel dela Independent Security Evaluators si sono aggiudicati così l’Air e 10.000 dollari.

La falla sfruttata è nuova ed è stata comunicata in modo riservato ad Apple. ItWorld nota che l’impresa è riuscita soltanto il secondo giorno, quando le regole d’ingaggio sono state allentate fino a includere la visita a un sito Web specifico o l’apertura di e-mail: questo significa che la falla è sfruttabile soltanto se l’aggressore riesce a convincere l’utente a visitare un sito-trappola specifico (cosa peraltro abbastanza facile da ottenere, se l’utente non è educato alla prudenza).

Nel corso del primo giorno, nessuno dei tre sistemi operativi (Vista, Ubuntu e OS X completamente patchati) è stato bucato.

Virus per Mac, attenti ma niente panico

Virus per Mac, attenti ma niente panico

Mele morsicate e cavalli di Troia

Non capita spesso, ma ogni tanto capita. Anche i Mac possono essere oggetto di virus. Ne parla SecureMac, segnalando uno dei rari cavalli di Troia scritti per Mac OS X. Si chiama AppleScript-THT e sfrutta una falla nel Desktop Remoto per caricarsi con privilegi di root.

Ha effetto sulle versioni più recenti di Mac OS X (10.4 e 10.5) e consente agli aggressori di registrare tutto quello che viene digitato sui Mac infetti, di scattare immagini tramite la telecamera integrata, di catturare schermate, di farsi mandare le password degli utenti e di attivare la condivisione dei file. Apre alcune porte nel firewall di Mac OS X e disattiva i log di sistema nel tentativo di non farsi trovare.

Anche se questo cavallo di Troia sfrutta una vulnerabilità del sistema operativo Apple, per infettarsi è comunque necessario scaricare ed aprire il file virale. Maggiori dettagli tecnici sono forniti presso Securemac, che vende un antivirus per Mac.

Come sempre, vale anche per il mondo Mac la normale prudenza (che spesso gli utenti Mac troppo fiduciosi buttano al vento): non aprite file di provenienza dubbia, chiunque ve li abbia mandati.

Apple, anticopia nei nuovi laptop

Apple, anticopia nei nuovi laptop

Lucchetti digitali hardware nei laptop Apple. Di nuovo

No, non siamo tornati nel 2006. Apple, però, crede di sì, a quanto pare: perché così come allora aveva infilato nei suoi computer i controversi chip TPM/Palladium con le loro funzioni anticopia, suscitando insurrezioni e boicottaggi, oggi riprova a menomare i diritti dei suoi utenti introducendo sistemi anticopia direttamente a livello hardware nei suoi nuovi portatili. Bella mossa, complimenti.

I MacBook, MacBook Pro e MacBook Air appena usciti, infatti, offrono un unico connettore per monitor esterno, il DisplayPort, che integra un sistema di restrizioni chiamato DisplayPort Content Protection (DPCP), parente stretto dell’HDMI usato nei prodotti audiovisivi in alta definizione.

Queste restrizioni sono concepite per impedire la pirateria audiovisiva realizzata intercettando il flusso di dati decodificati in uscita sul connettore per monitor esterno. Il segnale in uscita è cifrato e soltanto i monitor compatibili sono in grado di decifrarlo. Se il monitor non ha integrato questo sistema anticopia, i video protetti da lucchetti anticopia non verranno riprodotti, anche se l’utente ne ha tutti i diritti legali.

Lo scenario che sta facendo infuriare maggiormente gli utenti è questo. Un utente si compra un bel Mac portatile e, siccome è onesto, non scarica film e telefilm pirata. Va a comperarli nei siti legali: per esempio, proprio da Apple. Collega al laptop un bel monitor o, meglio ancora, un videoproiettore, e invece di godersi il film in HD, come sarebbe suo diritto avendo aperto il borsellino, si trova davanti una schermata come questa, citata da Ars Technica, che ha pubblicato un bell’articolo in proposito.

Immaginate di dover fare una presentazione in pubblico e di voler mostrare uno spezzone di un Blu-Ray o di un video legalmente acquistato “protetto” dall’anticopia. E’ un vostro diritto: si chiama diritto di citazione. Tutto funziona quando fate le prove sul monitor interno del laptop, ma quando vi trovate davanti al pubblico e collegate il vostro fiammante Mac al proiettore, il video non va. E non c’è verso di farlo andare.

Un monitor VGA o DVI, infatti, non è in grado di rispondere correttamente alle interrogazioni del connettore DisplayPort. Se il contenuto da riprodurre è protetto anticopia, DisplayPort rifiuterà di riprodurlo sul monitor esterno. Ci vuole un monitor o proiettore compatibile (HDMI). Niente HDMI? Niente film e niente presentazione. Ed è difficile pensare che tutte le sale di conferenza si riattrezzino per fare un piacere ai signori di Hollywood. E’ altrettanto difficile pensare che il manager medio che si è appena comprato un Macbook Air e va in giro a fare presentazioni o corsi abbia il dovere di preoccuparsi di questi arcani tecnologici.

Come sottolinea giustamente BoingBoing.net, se comperate un computer Apple, “preparatevi a buttar via il vostro monitor, e a farlo più volte”. Sì, perché “l’elenco dei monitor ‘conformi’ cambierà nel tempo: il monitor che comperate oggi può essere ‘revocato’ domani e cessare di funzionare”. Oltre al danno economico, c’è la violazione del diritto: “Qui non si tratta di far valere la legge sul diritto d’autore: si tratta di concedere a una manciata di case cinematografiche diritto di veto sulla progettazione dell’hardware.” E’ come far progettare i ponti ai salumieri.

Qualcuno ricorderà che Steve Jobs, il boss di Apple, aveva scritto che il DRM era male e che Apple spingeva per toglierlo: “questa è chiaramente la migliore alternativa per i consumatori”. Belle parole, ma i fatti raccontano una storia parecchio differente.

Quale sarà il risultato dell’introduzione di questi lucchetti hardware? Probabilmente nessuno, all’inizio. Poi cominceranno a diffondersi gli aneddoti e le segnalazioni di disastri e imbarazzi causati da questa scelta di Apple, e l’immagine di Apple come paladina in contrapposizione alla “cattiva” Microsoft ne uscirà sporca. E alla fine gli utenti impareranno a non comperare film lucchettati e si rivolgeranno alle versioni pirata, che non hanno queste limitazioni.

In termini di lotta alla pirateria, insomma, questo sarà un autogol fenomenale: dato che il film pirata sarà più versatile e fruibile di quello legale, spingerà gli utenti a piratare di più anziché di meno. Perché la versione legale non funzionerà sui monitor non benedetti da Padre Steve, mentre quella pirata andrà allegramente.

Fonti: The Register, Slashdot, AppleInsider, Punto Informatico.

Barack Obamac

Barack Obamac

Un utente Mac alla Casa Bianca

Il sito 9to5mac segnala con questa bella foto, di Peter Yang per Rolling Stone, che Barack Obama è il primo utente Mac a diventare presidente USA e contrappone l’uso intensivo dei Mac nella campagna di Obama all’uso (o non uso) del computer da parte dei suoi predecessori. No, Al Gore non conta: era solo vicepresidente.

Speriamo che Obama faccia proprio lo slogan Apple classico: Think Different. A dir la verità, visto quello che abbiamo passato, basterebbe anche soltanto un Think.

Ah, e se volete vedere delle fotografie eccezionali della campagna presidenziale più surreale della storia statunitense, date un’occhiata a The Big Picture.

Vuoi un computer nuovo? Bucalo!

Allora, qual è il sistema operativo più sicuro?

Questo articolo è stato aggiornato dopo la pubblicazione iniziale.

La conferenza CanSecWest dedicata alla sicurezza informatica che si tiene a Vancouver, in Canada, offre anche quest’anno un singolare disfida: chi riesce a bucare da “remoto” (tramite cavo crossover, quindi bisogna essere sul posto) uno di tre laptop sui quali sono installate le versioni più aggiornate e patchate di Linux, Mac OS X e Windows Vista, se lo porta a casa insieme a un congruo premio in denaro. La gara inizia domani. Il regolamento completo è qui e altri dettagli sulle condizioni per partecipare sono spiegati qui.

Aggiornamento

Il primo sistema operativo è caduto al secondo giorno di attacchi. I dettagli sono qui.