Vai al contenuto

password

Allarme generale per Cloudbleed, provo a fare il punto

Allarme generale per Cloudbleed, provo a fare il punto

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.

C’è parecchio panico in Rete per una falla di sicurezza molto estesa che è stata battezzata Cloudbleed. Provo a riassumere qui le cose essenziali da sapere.

Se avete moltissima fretta

Ê possibile che le vostre password e alcuni vostri dati personali siano stati disseminati pubblicamente per mesi a causa di un errore tecnico della società Cloudflare, usata da molti dei più diffusi servizi di Internet. La falla è stata corretta, ma in Rete ne restano dei residui.

Vi conviene cambiare tutte le password dei servizi online che usate e sui quali non non avete già attivato la verifica in due passaggi (autenticazione a due fattori). Cogliete quest’occasione per attivarla. Se vi sembra una raccomandazione troppo drastica, leggete i dettagli qui sotto. Non dite che non siete stati avvisati.

Questo problema non ha a che fare con i problemi avuti da molti utenti i cui account Google hanno dato strani messaggi di errore nei giorni scorsi.

Le password di 1Password non sono state violate, dice AgileBits (che gestisce 1Password).

Se avete meno fretta

L’esperto di sicurezza Tavis Ormandy (del Project Zero di Google) ha scoperto a metà febbraio scorso una grave falla nel software usato dalla società Cloudflare, alla quale si appoggiano per la distribuzione e la protezione dei contenuti molti dei nomi più popolari di Internet, come Uber, OKCupid, 1Password.

Questa falla ha disseminato per mesi, rendendoli visibili a chiunque, “messaggi privati di importanti siti d’incontri, messaggi completi provenienti da un noto servizio di chat, dati di gestori online di password, fotogrammi da siti per adulti, prenotazioni di alberghi. Stiamo parlando di richieste https integrali, indirizzi IP dei client, risposte complete, cookie, password, chiavi, dati, tutto”, ha scritto Ormandy, mostrando esempi come quello che ho incluso all’inizio di questo articolo e che riguarda Uber. Qui sotto ne vedete un altro, riferito a FitBit.

Cloudflare si è subito adoperata per risolvere il problema, che ora non si ripresenta più. La parte difficile è fare pulizia online dei dati disseminati in Rete, che sono reperibili nelle cache di Google e di altri motori di ricerca, anche se è in corso una purga a tappeto. Secondo Motherboard, questa purga non è stata completa, per cui è tuttora possibile trovare dati personali con un’apposita ricerca in Google.

La spiegazione tecnica dettagliata di Cloudflare è qui. La spiegazione semplificata di Gizmodo è questa: “il software di Cloudflare cercava di salvare i dati degli utenti nel posto giusto, che però si riempiva completamente. Così il software finiva per salvare i dati altrove, per esempio in un sito completamente diverso… I dati sono finiti nella cache di Google e di altri siti, per cui Cloudflare deve cercarli tutti prima che li trovino i criminali informatici.”

The Register riassume bene così: “a causa di un errore di programmazione, per vari mesi i sistemi di Cloudflare infilavano pezzi casuali di memoria dei server nelle pagine Web… visitando un sito Web gestito tramite Cloudflare poteva capitare di trovare pezzi del traffico Web di qualcun altro appiccicati in fondo alla pagina del browser… Immaginate di sedervi al ristorante, a quello che in teoria sarebbe un tavolo pulito, ma insieme al menu trovate anche il contenuto del portafogli del cliente precedente.”

L’esatta portata del danno (quali e quanti siti supportati da Cloudflare hanno subìto emorragie di dati riservati) non è ancora nota, scrive Gizmodo citando l’azienda, ma i siti coinvolti sono almeno 150. Se volete sapere se i siti che usate adoperano i servizi di Cloudflare e quindi potrebbero essere a rischio, immettete i loro nomi in Doesitusecloudflare.com. Non risulta, al momento, che criminali informatici abbiano utilizzato i dati diffusi per errore.

Ulteriori dettagli sono (in inglese) su Ars Technica.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Quel crack per Mac fa un patatrac: è ransomware senza sblocco

Quel crack per Mac fa un patatrac: è ransomware senza sblocco

Pubblicazione iniziale: 2017/02/24 11:43. Ultimo aggiornamento: 2017/02/25 12:50.

Sono ancora tanti gli utenti Apple che pensano di non aver bisogno di un antivirus e di poter girare impunemente per Internet perché i loro computer non si possono infettare. Purtroppo non è così.

In realtà il malware per Mac esiste eccome, ma è abbastanza raro incontrarlo perché i criminali informatici non sono stupidi e quindi concentrano efficientemente i propri sforzi sul prodotto più diffuso, cioè Windows. Ma siccome gli utenti Mac sono di solito piuttosto abbienti (se possono permettersi un Mac e i suoi accessori vuol dire di norma che hanno buone disponibilità di denaro), sono quindi un bersaglio appetibile per un tipo specifico di malware: il ransomware, quello che blocca i dati della vittima e vuole soldi per sbloccarli.

La società di sicurezza ESET segnala un caso da manuale di questa situazione: un malware denominato OSX/Filecoder.E oppure OSX/Filecoder.fs, distribuito da siti Bittorrent sotto forma di falsi crack per software piratato.

Un crack è un programma che toglie le protezioni anticopia a un altro programma (per esempio un programma commerciale) per consentire di installarlo senza pagare la licenza d’uso. In questo caso il malware finge di essere un crack per Adobe Premiere Pro CC 2017 oppure per Microsoft Office 2016. L’utente, pensando di fare un affare, scarica il crack e lo esegue: il malware, invece di sbloccare le applicazioni, inizia a cifrare i file presenti sul disco locale e sui dischi esterni e di rete (se montati) usando una password casuale di 25 caratteri e intanto deposita nelle cartelle cifrate un file di istruzioni che spiega che per avere la password che sblocca i file dell’utente bisogna pagare 0,25 bitcoin (circa 280 dollari).

Lo sblocco, dice il malware, richiede circa 24 ore, ma per chi ha fretta c’è l’opzione premium, che promette di sbloccare i file in dieci minuti se si pagano 0,45 bitcoin (circa 510 dollari). Ma è tutto un inganno crudele: questo ransomware, a differenza di altri, non trasmette ai suoi padroni la password utilizzata, e quindi è inutile pagare. La password non arriverà mai e i file resteranno cifrati.

A questo punto, se la vittima non ha una copia di scorta dei propri dati, li deve considerare persi per sempre. Una tenue speranza arriva da Intego, che segnala che questo ransomware è molto lento, per cui è possibile fermarlo spegnendo il computer durante l’esecuzione del finto “craccaggio” oppure usando un’utility di recupero dati, perché i file originali non cifrati vengono cancellati ma non sovrascritti e quindi sono recuperabili con prodotti come Data Rescue).

Un’altra soluzione parziale è creare una copia della situazione corrente, da conservare nel caso venga trovata in seguito una tecnica per decifrare i file (ogni tanto capita), ma nell’immediato i dati non sono recuperabili.

Storie come questa sono un promemoria potente dell’importanza dei backup periodici, e soprattutto del fatto che scaricare software piratato e presunti grimaldelli per usarlo a scrocco può essere disastroso oltre che illegale.

Fonti aggiuntive: Techradar, Tripwire.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
WhatsApp attiva l’antifurto: verifica in due passaggi

WhatsApp attiva l’antifurto: verifica in due passaggi

Ultimo aggiornamento: 2017/02/17 11:05.

WhatsApp ha finalmente attivato l’antifurto, o più precisamente la verifica in due passaggi: una tecnica contro il furto di account già adottata da tempo da Facebook, Instagram, Google, Apple e molti altri servizi di Internet. Questa verifica in due passaggi in gergo tecnico si chiama autenticazione a due fattori e risolve una lacuna di sicurezza importante, che consentiva finora a un aggressore di rubare un account WhatsApp sapendo soltanto il numero di telefonino della vittima e sfruttando alcune astuzie informatiche.

Per abilitare la verifica in due passaggi, che è disponibile sia per dispositivi iOS di Apple, sia per dispositivi Android di tutte le marche, andate nelle Impostazioni di Whatsapp, scegliete la voce Account e poi scegliete Verifica in due passaggi. Se non c’è, provate ad aggiornare l’app di WhatsApp: forse ne state usando una versione vecchia.

 

In questa voce Verifica in due passaggi scegliete Abilita.

 A questo punto immettete un codice di accesso a sei cifre, da tenere segreto…

…digitatelo una seconda volta per confermarlo, prendetene nota per non perderlo, immettete facoltativamente un indirizzo di mail da usare se vi dimenticate il codice numerico…

… e il gioco è fatto.

Questo codice numerico non vi verrà chiesto ogni volta che usate WhatsApp, ma solo ogni tanto, per evitare che ve lo dimentichiate. A parte questo, sarà necessario digitarlo soltanto quando cambiate smartphone o se volete aggiungere al vostro account WhatsApp un altro numero di telefono o un altro dispositivo. Cosa più importante, con questo antifurto un ladro informatico, per rubarvi l’account, dovrebbe conoscere il vostro codice e anche avere accesso a uno dei vostri dispositivi abilitati a usare WhatsApp: una situazione decisamente improbabile.

Se non avete un indirizzo di mail da affidare a WhatsApp, non c’è problema: l’antifurto funziona lo stesso. Per contro, se avete dato un indirizzo di mail a WhatsApp, fate attenzione se ricevete delle mail che contengono inviti a disabilitare questa verifica in due passaggi: se non le avete richieste voi, sono dei tentativi di furto che questa nuova protezione ha sventato.

La verifica in due passaggi può sembrare una complicazione inutile, ma provate a chiedere a qualcuno a cui hanno rubato l’account come si sente ora che i suoi messaggi e le sue foto sono visibili al ladro, che potrebbe usarli per ricattarlo.

Provate questa nuova misura di sicurezza: mal che vada, potete sempre disabilitarla, e potete farlo anche se non ricordate il codice numerico o l’indirizzo di mail che avete impostato: basta infatti rientrare nelle Impostazioni, scegliere Verifica in due passaggi e poi Disabilita.

Una volta tanto, insomma, avere maggiore sicurezza anche in WhatsApp è facile. Non approfittarne sarebbe davvero un peccato. E anche se secondo le indagini di Andrea Draghetti ci sono delle lacune importanti, questa novità è comunque un deterrente e un ostacolo in più per i malintenzionati opportunisti.


 Fonte: The Hacker News.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Oggi le comiche: la Presidenza Trump e la sicurezza di Twitter

Oggi le comiche: la Presidenza Trump e la sicurezza di Twitter

Considerato che Twitter è il canale di comunicazione online preferito dal neopresidente statunitense Donald J. Trump e che un tweet sbagliato del presidente degli Stati Uniti può far crollare mercati e creare tensioni internazionali, ci si potrebbe aspettare che lui e il suo staff lo usino con le migliori impostazioni possibili, ma non è così: le disavventure informatiche della Presidenza Trump stanno facendo sbellicare gli informatici e preoccupare chi si occupa di sicurezza.

Il suo addetto stampa e portavoce, Sean Spicer, ha pubblicato due tweet che contengono quelle che sembrano decisamente delle password: n9y25ah7 e Aqenbpuu. I tweet sono stati subito cancellati, ma non prima di essere stati salvati da molti utenti, che li hanno ripubblicati. La speranza semiseria è che non si trattasse dei codici di lancio dei missili nucleari di cui Trump ha ora il controllo. Va da sé che se si è davvero trattato di password, si presume che ormai siano state cambiate e che quindi tentare di usarle per accedere all’account di Spicer sarebbe inutile, e va ricordato che qualunque tentativo di questo genere sarebbe un reato molto grave.

La CNN segnala che WauchulaGhost, un informatico noto per aver violato circa 500 account dell’ISIS, sostituendone il contenuto con immagini pornografiche e messaggi di orgoglio gay, ha notato che gli account Twitter di Trump (@POTUS), del vicepresidente Pence (@VP) e della First Lady Melania Trump (@FLOTUS) sono più vulnerabili a causa di un errore d’impostazione di base: se si tenta di accedervi cliccando su Password dimenticata, compare una schermata che mostra un indirizzo di mail, parzialmente mascherato, al quale verrà mandato un link di recupero password.

WauchulaGhost ha sottolineato che non è difficile indovinare le lettere mascherate di questi indirizzi e quindi sapere quale casella di mail attaccare per recuperare il link di recupero password e prendere il controllo dell’account (avvertenza: non ci provate). Per esempio, quello del vicepresidente degli Stati Uniti era vi***************@gmail.com, che WauchulaGhost ha decifrato in un ovvio vicepresident2017@gmail.com. L’account è stato cambiato.

Se usate Twitter, potete evitare anche voi di fare questo errore di sicurezza: entrate nel vostro account, scegliete Impostazioni – Sicurezza e privacy e attivate l’opzione Richiedi informazioni personali per reimpostare la password.

In questo modo chi clicca su Password dimenticata non vede l’indirizzo di mail associato al vostro account Twitter ma vede invece la richiesta di questo indirizzo e ha quindi un appiglio in meno per tentare di rubarvi l’account.

Fonti aggiuntive: Govinfosecurity.com, @musalbas.

Fonti: Gizmodo, Snopes.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Yahoo: come sono sfruttabili dati rubati di tre anni fa?

Yahoo: come sono sfruttabili dati rubati di tre anni fa?

Il disastro del miliardo di account Yahoo violati annunciato di recente ha un’unica circostanza attenuante: essendo avvenuto tre anni fa, nel frattempo molti utenti hanno comunque cambiato le proprie password o hanno smesso di usare i propri account Yahoo. Ma questo non vuol dire che quest’enorme collezione di dati non sia sfruttabile e non faccia gola ai grandi criminali informatici.

I dati sottratti sono stati venduti al mercato nero ad almeno tre acquirenti distinti, ciascuno dei quali avrebbe pagato circa 300.000 dollari, stando alle fonti del New York Times. Gli acquirenti sarebbero due spammer e un altro gruppo interessato allo spionaggio.

Ma cosa se ne fanno, questi criminali, di account che hanno probabilmente password obsolete? Una risposta è che di solito gli utenti cambiano periodicamente le password, ma raramente cambiano le risposte alle domande di recupero password (anche perché domande del tipo “Come si chiamava tua madre da nubile?” di solito hanno risposte che non variano nel tempo).

Questo significa che i malfattori possono rubare gli account anche se non hanno la password aggiornata: usano le risposte alle domande di recupero, che fanno parte dei dati trafugati a Yahoo. Non solo: dato che appunto le risposte alle domande non cambiano, possono usare quelle che avete immesso in Yahoo per rubarvi anche account che avete altrove e che dipendono dalle stesse domande. Di conseguenza, sarebbe una buona idea prendere l’abitudine di rispondere con dati di fantasia alle domande di recupero (segnandosi ovviamente in un luogo sicuro le risposte).

Ma c’è un motivo ancora più significativo per l’acquisto di dati come quelli sottratti a Yahoo: Bloomberg segnala che fra i dati ci sono quelli di oltre 150.000 dipendenti governativi e militari statunitensi. Per una potenza straniera, mettere le mani su “nomi, password, numeri di telefono, domande di sicurezza, date di nascita e indirizzi di e-mail di riserva” di “personale attuale e passato della Casa Bianca, membri del Congresso USA e loro assistenti, agenti dell’FBI, dell’NSA, della CIA” e altri ancora, elencati da Bloomberg, è altamente desiderabile.

Fonte aggiuntiva: Sophos.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Cose informatiche da fare a Natale (o prima di Natale)

Capita sempre più spesso di fare acquisti natalizi su Internet, e così la società di sicurezza informatica Sophos ha pubblicato un promemoria in dodici punti su come tenersi in sicurezza durante le feste. Ecco un assaggio dei temi principali.

Pulizia delle password. La pausa di Natale è una buona occasione per fare riordini di vario genere. Magari ci sta anche quello delle password, che devono essere differenti per ciascun sito, per evitare che un sito violato permetta a un criminale di rubarvi tutti gli account. Non è difficile, se usate un password manager che crea e si ricorda per voi tutte le password usando codici complicatissimi.

Aggiornamenti. Se ricevete in regalo qualche dispositivo digitale che si connette a Internet, per prima cosa aggiornate il suo software, per evitare che s’infetti. Fatelo subito.

Cambiate le password predefinite dei nuovi dispositivi. Molti dispositivi che potreste ricevere come regalo hanno delle password standard che sono note a tutti i malandrini della Rete: cambiatele, dunque, prima di affacciarvi a Internet. La raccomandazione vale in particolare per telecamerine di sorveglianza, monitor per bebè, televisori, lettori DVD e Blu-Ray, console di gioco e decoder TV.

Lucchetti nello shopping. Se andate su un sito a fare acquisti, controllate che accanto al nome del sito, nella casella dell’indirizzo del browser, ci sia un lucchetto chiuso: indica che la connessione al sito è cifrata e che nessuno può intercettarla per leggere i dati della vostra carta di credito.

Attenzione alle false mail degli spedizionieri. I criminali informatici in questo periodo sanno che stiamo ricevendo tanti regali per posta o tramite spedizionieri, per cui hanno avviato campagne di ransomware e rubapassword basate su mail che sembrano provenire dalle Poste o simili e sembrano annunciare l’arrivo di un pacco, sapendo che molti utenti si aspettano mail di questo genere e quindi le apriranno e soprattutto ne apriranno gli allegati infettanti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Chi compra le password rubate? Facebook

Chi compra le password rubate? Facebook

Alex Stamos. Credit:
Brendan Moran/Getty Images.

Capita spesso di sentire notizie di furti in massa di password da parte di criminali che poi saccheggiano gli account violati oppure li rivendono ad altri criminali per commettere furti d’identità o estorsioni. Capita meno spesso di venire a conoscenza di chi compra queste credenziali rubate. Ma ora sappiamo il nome di almeno una delle organizzazioni che lo fa: Facebook.

Lo ha detto Alex Stamos, boss della sicurezza di Facebook, al Web Summit tenutosi pochi giorni fa a Lisbona. Per controllare che gli utenti di Facebook non usino sul social network una password che usano anche altrove, Facebook compra le password violate di altri siti, messe in vendita dai criminali informatici, e le confronta con quelle dei propri utenti.

In realtà Facebook non custodisce le password dei propri utenti, ma ne ospita una versione elaborata tramite una funzione matematica (hashing) difficilmente reversibile: si può partire da una password per crearne una versione hash, ma non è possibile risalire a una password partendo dalla sua versione hash. Quando un utente si collega a Facebook, la sua password viene elaborata al volo per crearne una versione hash: se questa versione corrisponde a quella custodita da Facebook, la password viene accettata. È una tecnica diffusissima nel campo della sicurezza informatica.

Comprando gli archivi di password rubate, Facebook può insomma scoprire quali suoi utenti usano anche altrove la password usata per Facebook e li può avvisare. Secondo Stamos, questa tecnica ha permesso di allertare decine di milioni di utenti, raccomandando loro di non usare per Facebook una password già usata per altri siti. Ovviamente questo significa che Facebook paga i criminali e quindi incentiva il furto di password, ma questo non sembra turbare il sonno di Mark Zuckerberg.

Fonti: Sophos, Cnet.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Yahoo, oltre 500 milioni di password rubate. Due anni fa, lo ammettono adesso

Yahoo, oltre 500 milioni di password rubate. Due anni fa, lo ammettono adesso

È probabilmente il più grande furto di dati mai rivelato: Yahoo ha annunciato ieri di aver subito la sottrazione di dati riguardanti “almeno 500 milioni di account”: i dati rubati potrebbero includere “nomi, indirizzi di mail, numeri di telefono, date di nascita, password in formato hash […] domande e risposte di sicurezza non cifrate”.

Come se non bastasse, il furto è avvenuto due anni fa, verso la fine del 2014, e viene annunciato soltanto adesso, proprio nel momento in cui Yahoo sta cercando di farsi acquistare dall’operatore di telecomunicazioni statunitense Verizon.

Per Yahoo è un’umiliazione totale, e vale poco il tentativo di giustificarsi agli occhi del pubblico generico incolpando del furto “entità sostenute da governi”, fra l’altro senza presentare alcuna prova di quest’accusa, Invocare potenti nemici di stato è un modo per insinuare che non è colpa di Yahoo perché contro certi attacchi non si può fare nulla. Ma qui non è solo questione di essere stati attaccati: c’è anche il fatto di non aver scoperto e annunciato il furto per due anni, nonostante circolassero da qualche tempo voci in proposito. Una dimostrazione di incompetenza piuttosto ineludibile.

Cosa fare se avete un account Yahoo?

– prima di tutto, cambiate password e usatene una lunga e complessa, che sia diversa da quelle usate altrove;
– se avete usato la stessa password per altri siti, cambiatela anche in questi altri siti;
– attivate la verifica in due passaggi, che vi manda sullo smartphone un codice di sicurezza supplementare se qualcuno tenta di entrare nel vostro account da un dispositivo non vostro;
– fate attenzione a eventuali mail, messaggi o telefonate di soggetti che cercano di autenticarsi dicendo di sapere il vostro nome, cognome, data di nascita e numero di telefono: potrebbero essere truffatori.

Per chi si chiede se i dati di un account possono essere utili a governi ostili o a criminali se non sono accompagnati da password: sì, perché consentono tentativi di phishing mirato molto credibili. E considerato che Yahoo è usato prevalentemente da persone meno giovani, il bottino potrebbe essere particolarmente ricco di profili di persone abbienti e di dipendenti governativi.

Fonti aggiuntive: Motherboard, Graham Cluley.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
App per gestire le password: vale la pena di usarle?

App per gestire le password: vale la pena di usarle?

Ormai lo sanno anche i muri: usare la stessa password dappertutto è un rischio enorme, e usare password ovvie (date di nascita, nomi, numeri di telefono) è una pessima idea perché rende facilissimo il lavoro degli intrusi informatici, ma sono tanti gli utenti che continuano a fare queste cose perché l’idea di gestire tante password differenti e oltretutto complicate fa venire il mal di testa.

Ricordarsele a memoria è impossibile; segnarsele su un quadernino funziona, tranne quando il quadernino rimane a casa o in ufficio o comunque fuori portata; scriverle in un file da tenere su una chiavetta USB è tedioso e significa dover aprire ogni volta il file e copiaincollare la password.

Per risolvere tutti questi problemi ci sono i password manager: applicazioni il cui compito è memorizzare e digitare per noi le nostre password. Alcune delle più diffuse sono 1Password, Dashlane, LastPass e KeePass. Chi le usa ha bisogno di ricordarsi soltanto una password: quella che dà accesso alla cassaforte virtuale nella quale il password manager custodisce tutte le sue password.

Come segnala Sophos, è importante smontare uno dei miti che circondano i password manager, ossia l’idea che per iniziare a usarli sia necessario immettere a mano una per una tutte le proprie password. Non è così: praticamente tutti questi gestori di password sono in grado di accorgersi automaticamente se l’utente sta digitando una password durante l’accesso a un sito e si offrono di memorizzarla automaticamente. Se cambiate una password, inoltre, il gestore aggiornerà automaticamente il proprio archivio di password.

Un’altra incombenza che i password manager possono evitare all’utente è la generazione di password difficili da indovinare. Ci pensa l’applicazione a generarle. Dato che è l’applicazione a doversele ricordare e a preoccuparsi di digitarle, e non l’utente, queste password generate possono essere complicatissime (tipo Vp$lskFOyS4h^oqI o simile).

Ultimo dubbio ricorrente: ci si può fidare a depositare una copia dell’archivio di password nel cloud? Un gestore di password diventa un punto unico di vulnerabilità: se qualche malintenzionato riesce ad accedere al sito del produttore, c’è il rischio che abbia accesso a tutte le password di tutti gli utenti. Per prevenire questo rischio, i produttori usano una crittografia molto potente, ma se siete particolarmente preoccupati potete disattivare questa funzione e portare invece con voi una chiavetta contenente una copia dell’archivio di password, naturalmente protetta a sua volta da una buona password.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
App nell’App Store rubano le password. Sono demo dei ricercatori, ma la falla è seria

App nell’App Store rubano le password. Sono demo dei ricercatori, ma la falla è seria

Varie app rubapassword sono state inserite con successo nel controllatissimo App Store di Apple: se installate sul dispositivo della vittima, erano capaci di estrarne le password di iCloud, Mail, Gmail, Faceboook, Twitter, Evernote, Google Chrome e anche le password custodite da app di protezione come 1Password.

Ma niente panico: l’incursione è stata fatta a fin di bene da alcuni ricercatori di sicurezza. della Indiana University, dell’Università di Pechino e del Georgia Institute of Technology.

La falla nei sistemi di protezione di Apple esiste da oltre sei mesi e non è ancora stata sistemata: i ricercatori l’hanno discussa privatamente con Apple, come è consuetudine in questi casi, e poi di fronte alla lentezza dell’azienda nel prendere contromisure l’hanno pubblicata (anche in un video) insieme a un software che esamina le app per sapere se sono protette contro questa falla.

La dimostrazione è un grande successo per i ricercatori, dato che il modello di sicurezza di Apple ha resistito per anni a questo genere di tentativo, ma pone una domanda di fondo: se ci sono riusciti i ricercatori, possono esserci riusciti anche i criminali informatici? In attesa che Apple rimedi al problema, il consiglio di prudenza è di installare dall’App Store soltanto app strettamente necessarie e di indubbia reputazione: cosa che andrebbe fatta sempre e comunque.

Fonti aggiuntive: Ars Technica, InfoSecurity Magazine, Intego.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.