Vai al contenuto

password

Perché Apple va contro l’FBI sull’antiterrorismo?

Perché Apple va contro l’FBI sull’antiterrorismo?

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/02/19 18:20.

Non capita spesso che una multinazionale difenda i diritti dei cittadini dalle ingerenze del loro governo; di solito è il contrario. Eppure è questo il senso della lettera aperta che Tim Cook, boss di Apple, ha pubblicato in risposta alla richiesta dell’FBI, appoggiata dall’ordine del giudice, di sbloccare un iPhone 5c appartenuto a Syed Farook, che insieme alla moglie Tashfeen Malik ha ucciso 14 persone a dicembre 2015 a San Bernardino, in California. I due sono periti poco dopo in un conflitto a fuoco con la polizia e ora l’FBI vuole accedere all’iPhone di Farook nell’ambito delle proprie indagini, ma non ha la password del dispositivo. Non ce l’ha neanche Apple: l’unico ad averla era Farook.

L’FBI non può tentare tutte le password possibili: ci vorrebbe troppo tempo, perché l’iPhone 5c impone una pausa lunghissima fra i tentativi e c’è il rischio che lo smartphone sia stato impostato in modo da cancellare i dati dopo dieci tentativi sbagliati. Inoltre i dati sul telefonino, in particolare foto e messaggi, sono cifrati e serve un codice di decifrazione.

Gli inquirenti vogliono che Apple scriva una versione su misura di iOS che tolga a quello specifico telefonino le pause obbligate e la cancellazione dei dati, in modo che possano tentare rapidamente tutte le password possibili e alla fine trovare quella giusta.

Come spiega bene The Register, Apple si rifiuta di collaborare per non stabilire un precedente legale pericoloso e preoccupante (lo hanno sottolineato anche Sundar Pichal, CEO di Google, in una serie di tweet; e il consiglio di redazione del New York Times in un editoriale), ma anche perché la protezione della privacy e della sicurezza dei propri clienti è uno dei punti fondamentali della propria immagine commerciale per distinguersi dai concorrenti: in sostanza, acconsentire alla richiesta dell’FBI dimostrerebbe che i suoi telefonini non sono così sicuri come sembrano.

Va detto, a questo proposito, che l’iPhone in questione è un 5c, che non ha le ulteriori protezioni (per esempio la Secure Enclave) introdotte nei modelli successivi. Le autorità federali statunitensi stanno chiedendo ad Apple di dimostrare che è in grado di creare versioni insicure del proprio sistema operativo, minando così alla base la fiducia dei suoi clienti, che si chiederebbero se gli aggiornamenti di iOS contengono falle intenzionali di sicurezza su richiesta governativa.

C’è poi la questione che se Apple accetta la richiesta del governo statunitense rischia di trovarsi di fronte a richieste analoghe di altri governi, che magari hanno una visione molto particolare del concetto di terrorismo e potrebbero citare questo precedente per forzare la mano ad Apple.

Fra l’altro, l’FBI sta chiedendo ad Apple di sabotare la sicurezza generale dei clienti iPhone in cambio di una manciata di dati di utilità discutibile per le indagini: gli inquirenti hanno già ricevuto da Apple i backup del telefonino in questione fino al 19 ottobre, per cui mancano soltanto i dati delle ultime settimane prima dell’attentato, e il telefonino è quello dato a Farook dal Dipartimento per la Salute di San Bernardino per lavoro; i suoi due telefonini privati li ha distrutti preventivamente. Sembra poco plausibile che Farook usasse il telefonino di lavoro per contattare dei terroristi invece di usare i suoi telefonini privati. Questo fa pensare che i dati realmente importanti fossero sui cellulari distrutti e che quello sopravvissuto contenga informazioni poco significative.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Bimbo dice di sentire le voci di notte in cameretta: stavolta è vero

Bimbo dice di sentire le voci di notte in cameretta: stavolta è vero

Ricordate quando eravate bambini e vi mettevano a letto nella vostra cameretta e nella semioscurità ogni forma sembrava un mostro e faceva paura? Io ero particolarmente ossessionato da una vestaglia appesa dietro la porta della mia stanza: avrei giurato di averla vista muoversi tante volte.

Immaginate ora che vostro figlio venga a raccontarvi che ha paura perché di notte sente delle voci in camera sua. Probabilmente pensereste che se lo sta sognando o che sta manifestando la naturale paura infantile di restare solo. Dev’essere quello che hanno pensato Jay e Sarah, i genitori di un bimbo di tre anni negli Stati Uniti, quando il piccolo ha raccontato che sentiva le voci. Fino al momento in cui le hanno udite anche loro provenire dall’interno della cameretta: Sarah è entrata e ha sentito una voce dire “Svegliati bambino, papà ti sta cercando”.

Possessioni demoniache? No, semplicemente un baby monitor troppo tecnologico e insicuro. Oggi sono molto diffuse le versioni Wi-Fi di questi dispositivi per sorvegliare a distanza i bambini mentre dormono e sentire se piangono o hanno bisogno, e soprattutto vanno di moda le versioni bidirezionali, dove non solo si può vedere e ascoltare il bimbo ma si può anche parlare con lui.

Nel caso di Jay e Sarah, il baby monitor era accessibile da Internet a causa di una configurazione insicura e qualcuno lo ha scoperto (non è difficile) e ha cominciato a chiacchierare con il bambino.

Se avete dispositivi di questo genere, ricordate dunque di cambiare la loro password predefinita e di configurarli in modo che non siano accessibili dall’esterno e tenete aggiornato il loro software di gestione (spesso questi dispositivi vengono venduti con difetti di sicurezza che vengono corretti in seguito). Oppure lasciate perdere le soluzioni hi-tech e procuratevi un baby monitor tradizionale, che funziona via radio e non è così vulnerabile semplicemente perché non consente di parlare al bimbo.



Fonte: KDVR.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Firefox: trafugati dati riservati sulle sue falle, indispensabile aggiornarsi

Firefox: trafugati dati riservati sulle sue falle, indispensabile aggiornarsi

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “arianna.bo*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

Se usate Firefox aggiornato siete a posto, ma se ne state ancora usando versioni vecchie avete un grosso problema: qualcuno ha avuto accesso all’elenco riservato delle sue falle di sicurezza irrisolte e l’ha sfruttato per creare attacchi informatici. Per un anno intero. Ed è successo perché uno dei manutentori è stato così ingenuo da usare altrove la stessa password che usava per accedere a quest’elenco delicatissimo e se l’è fatta fregare.

L’annuncio, con PDF esplicativo, non mena il can per l’aia: Bugzilla, il sistema informatico utilizzato da Mozilla (la comunità degli sviluppatori di Firefox) per gestire le informazioni sui problemi di sicurezza del popolarissimo browser, è stato violato. L’aggressore è riuscito a procurarsi un accesso all’account di un utente privilegiato di Bugzilla e ha potuto quindi consultare tutte le informazioni riservate sulle falle irrisolte in Firefox e altri software sviluppati da Mozilla. In barba alle regole basilari della sicurezza, l’utente aveva infatti riutilizzato la propria password di Bugzilla su un altro sito (non identificato nell’annuncio), che è stato violato, saccheggiandone le password.

In effetti è un metodo geniale per procurarsi tecniche d’attacco: invece di studiare il software e cercarne faticosamente le falle, basta entrare nell’account di uno sviluppatore di quel software e leggere la documentazione che descrive con precisione le vulnerabilità ancora aperte. E per entrare nell’account dello sviluppatore basta sfruttarne le imprudenze banali.

L’aggressore ha avuto accesso ai dati riservati sicuramente da settembre 2014, ma ci sono indizi che suggeriscono che l’intrusione fosse già in corso da settembre 2013. L’intruso ha consultato ben 185 falle riservate di Firefox, 53 delle quali riguardavano vulnerabilità gravi: di queste, dieci non erano state corrette pubblicamente al momento in cui sono state viste dall’aggressore. Mozilla ritiene che almeno una di queste dieci sia stata sfruttata dall’aggressore per attacchi informatici. Ne aveva parlato ai primi di agosto, senza dire nulla della violazione, annunciando che c’era una pubblicità su un sito russo che attaccava gli utenti di Firefox usando quella falla e ne rubava file sensibili per mandarli a un server situato a quanto pare in Ucraina.

Tutte le falle carpite dall’aggressore sono state risolte con la versione di Firefox 40.0.3, pubblicata il 27 agosto scorso. Se state usando questa versione, questa fuga di dati non ha effetto sulla vostra sicurezza. Se state usando versioni precedenti, datevi una mossa e aggiornatevi.

Adesso che i buoi sono scappati, Bugzilla ha imposto l’uso dell’autenticazione a due fattori per tutti gli sviluppatori e sta limitando l’accesso ai dati più sensibili. Un po’ come mettere finalmente una serratura alla porta di casa dopo che sono passati i ladri e hanno trovato la porta aperta. Complimenti vivissimi.

Fonti aggiuntive: Ars Technica,  The Register.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Disinformatico radio, il podcast di oggi

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2012/12/30.

La puntata di stamattina del Disinformatico radiofonico è pronta da scaricare. Ecco i temi e i rispettivi articoli: il mercato nero delle password vendute a 2 dollari, le ragioni dell’apparente immunità Apple ai virus, l’allerta per la vulnerabilità degli smartphone e tablet Samsung e Facebook troppo difficile per la sorella di Mark Zuckerberg. La parola di Internet di questa puntata è underweb. Buon ascolto e/o buona lettura.

Aggiornamento (2012/12/30): Gizmodo ha pubblicato altri dettagli della scenata di lesa maestà di Randi Zuckerberg.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
LastPass attaccata, meglio cambiare le proprie password

LastPass attaccata, meglio cambiare le proprie password

Conservare le proprie password in un’unica applicazione che le gestisca e le ricordi per noi sembra una buona idea, ed è sicuramente meno pericoloso che usare la stessa password dappertutto come fanno in tanti, ma ha dei limiti. Lo hanno scoperto gli utenti di LastPass, un servizio di custodia password basato su tecnologia cloud, che è stato violato pochi giorni fa.

LastPass ha annunciato infatti che sono stati trafugati indirizzi di mail, promemoria di password, codici di autenticazione e altri dati degli utenti, ma gli archivi cifrati dei clienti non sembrano essere stati aperti.

Non c’è da farsi prendere dal panico se si usa LastPass, ma c’è un possibile rischio se la propria master password è debole (è costituita da una sola parola o da una sequenza di caratteri usata altrove come password); comunque è opportuno cambiarla e cambiare anche le password presso gli altri siti gestiti tramite LastPass.

Il problema principale, in questo momento, è che il sito di LastPass è sovraccarico di richieste di accesso proprio per aggiornare questi dati. In attesa di riuscirci, vale la pena di porsi una domanda: è davvero una buona idea dipendere dai computer di qualcun altro per la propria sicurezza? Ben vengano le applicazioni di gestione delle password, ma è meglio usarne una che consenta la gestione locale, magari su una penna USB chiusa dentro un cassetto e comunque protetta dalla master password.

Fonti aggiuntive: ZDNet.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Attacco informatico firmato ISIS oscura TV francese: bella forza, le password erano visibili

Attacco informatico firmato ISIS oscura TV francese: bella forza, le password erano visibili

La notizia che un attacco informatico rivendicato dall’ISIS è riuscito addirittura a bloccare le trasmissioni televisive di un’emittente francese, TV5Monde, e prendere il controllo del suo sito Web e dei suoi account Facebook e Twitter, ha suscitato scalpore e preoccupazione, ma molti indizi suggeriscono che il successo dell’incursione potrebbe non essere merito della sofisticazione tecnica degli aggressori.

Breaking3zero.com ha pubblicato una propria ricostruzione sorprendentemente dettagliata degli eventi, ma non è chiaro quali siano le sue fonti e se la ricostruzione abbia riscontri. Si sa di certo, invece, che in più occasioni le interviste in video ai giornalisti di TV5Monde mostrano sullo sfondo, oppure su un Post-it, delle password perfettamente leggibili anche in video, come si vede qui sotto.

Credit: pent0thal

Queste password sono ancora in bella vista anche dopo l’attacco. Una di esse è lemotdepassedeyoutube, ossia “la password di Youtube”, a protezione (si fa per dire) di un account Youtube di TV5Monde, come ha notato su Twitter l’utente pent0thal guardando questo video, girato dopo l’attacco, dal quale è tratto il fotogramma mostrato qui sopra. Nella stessa immagine, sempre alle spalle dell’intervistato, si legge anche chiaramente la parola Instagram e un altro dato che ha tutta l’aria di essere una password (TV5131W).

Se questo è il livello di attenzione alla sicurezza adottato dal personale della redazione di TV5Monde, la spiegazione più probabile dell’attacco è che qualcuno della redazione abbia abboccato a una classica mail di phishing oppure che qualcuno abbia notato le password sullo sfondo in qualche diretta televisiva e che non fossero attive le misure di sicurezza basilari, come la verifica in due passaggi (o autenticazione a due fattori).

Nessun “hacker” ultrasofisticato al soldo dell’ISIS, insomma, ma tanta superficialità di cui qualche dilettante esaltato ha approfittato, ottenendo un risultato spettacolare all’apparenza ma in realtà banale nella sostanza. Va notato, fra l’altro, che gli aggressori hanno bloccato le trasmissioni ma non sono riusciti a mandare in onda dei propri video, e questo è un altro indicatore della portata relativamente limitata dell’attacco: non hanno preso il controllo, ma hanno semplicemente spaccato tutto. Siamo ben lontani da prodezze come quelle di Captain Midnight e di altri negli anni Ottanta negli Stati Uniti, che avevano messo in onda delle proprie trasmissioni al posto di quelle normali.

Un’altra dimostrazione della pochezza degli attacchi attribuiti all’ISIS o a suoi simpatizzanti è l’altro bersaglio preso di mira in questi giorni e segnalato con drammaticità per esempio da 20min.ch: i boy scout svizzeri. Non sto scherzando. Seriamente, ISIS, ve la prendete con un sito dei boy scout? Ci fate la figura dei bulletti che rubano le caramelle ai bambini e si sentono eroi.

In realtà basta un giro sui siti che catalogano i defacement (attacchi di puro vandalismo) per scoprire che lo stesso aggressore che ha violato un sito dei boy scout svizzeri se l’è presa con tanti altri siti di vari paesi, tutti accomunati dal fatto di essere siti di piccolo calibro, con difese scarse o inesistenti.

Insomma, non c’è nessun supercriminale in ballo e la Svizzera non è particolarmente presa di mira. In sintesi, incidenti come questi non devono indurre al panico, ma vanno considerati come una buona occasione per mettersi, finalmente, a imparare per bene e mettere in pratica le regole di base della sicurezza informatica invece di appiccicare al monitor password scritte sui Post-it.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
GoPro intercettabili via Wi-Fi

GoPro intercettabili via Wi-Fi

Si parla tanto di Internet delle Cose: tutto deve essere interconnesso. Si parla meno dei problemi di sicurezza e di privacy che quest’interconnessione può causare inaspettatamente.

Un esempio? Fate attenzione se avete usato le funzioni Wi-Fi della videocamera sportiva GoPro: la password che consente accesso alla videocamera e di vederne foto e video tramite smartphone era custodita in chiaro sul sito della GoPro.

Infatti il ricercatore di sicurezza informatica israeliano Ilya Chernyakov ha scoperto che c’era un difetto nella procedura di ripristino di nome e password Wi-Fi della GoPro, per cui l’identificativo SSID e la password della rete Wi-Fi create dalla videocamera venivano custoditi sul sito della GoPro in un file il cui link era facilissimo da indovinare (era basato su un numero progressivo). A titolo dimostrativo, Chernyakov ha scaricato le password di più di mille utenti GoPro.

In pratica questa falla consentiva a chiunque fosse a portata del segnale Wi-Fi di una GoPro di intercettarne le immagini e prenderne il controllo. Dato che queste videocamere vengono spesso usate non solo per riprese sportive ma anche per altre attività più intime, il rischio era significativo. La falla è stata notificata responsabilmente al produttore e ora è chiusa.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Usare una chiave al posto di una password

Usare una chiave al posto di una password

Credit: Yubico

La sicurezza è per molti una scocciatura insostenibile: ricordarsi password differenti per decine di siti è una sfida da mal di testa immediato, che spinge spesso a semplificazioni insicure che poi rendono facile il furto d’identità tramite phishing e l’accesso ai dati privati.

Per cercare di ovviare al problema del furto di password c’è già l’autenticazione a due fattori (o verifica in due passaggi), che però comporta comunque una complicazione supplementare: è difficile da impostare e da gestire. Ora Google sta proponendo una soluzione alternativa: una chiave fisica.

Si tratta di una speciale chiavetta USB che rispetta lo standard aperto FIDO U2F, sottoscritto da Google e Microsoft e circa 120 altre aziende (ma non da Apple), e si attiva soltanto dopo aver verificato che il sito sia autentico e non uno dei tanti siti-clone che cercano di rubare nomi utente e password. L’utente, invece di dover digitare un codice, preme un tasto sulla chiavetta inserita in una porta USB del computer. Tutto qui: il phishing diventa un ricordo.

Per ora la chiavetta, disponibile in vari paesi a un prezzo molto abbordabile, è concepita per funzionare con i servizi di Google e soltanto se si usa Chrome come browser, ma nulla vieta che altri fornitori di servizi adottino la stessa soluzione. Una chiavetta sola conterrebbe tutti i codici crittografici di autenticazione dell’utente.

La chiavetta contiene uno speciale chip, il Secure Element, basato sulla tecnologia delle smart card, che custodisce in modo sicuro le chiavi crittografiche. Quando si attiva la chiavetta per la prima volta vengono generate due di queste chiavi: una pubblica, inviata al fornitore di servizio, e una privata, che resta sulla chiavetta. Il sito visitato manda alla chiavetta un challenge cifrato: la chiavetta lo decifra e poi risponde con un token di autenticazione firmato.

L’idea della chiave fisica al posto della password stronca la maggior parte degli attacchi da remoto ma ha comunque delle limitazioni: bisogna avere con sé la chiave, ovviamente, e smarrirla o farsela rubare può essere un problema. Inoltre non tutti i dispositivi hanno una porta USB, e in alcuni ambienti di lavoro le porte USB ci sono ma sono disabilitate o ne è vietato l’uso appunto per ragioni di sicurezza. Ma per molti utenti una chiave fisica potrebbe essere una semplificazione salvavita.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Utenti cedono il primogenito in cambio del Wi-Fi: burla a fin di bene

Utenti cedono il primogenito in cambio del Wi-Fi: burla a fin di bene

Ammettiamolo: praticamente nessuno di noi legge le condizioni di contratto dei servizi Internet. Europol ed F-Secure lo hanno dimostrato in maniera vivace e scherzosa creando in vari punti di Londra un accesso Wi-Fi pubblico le cui condizioni di fornitura prevedevano che l’utente doveva “dare il consenso ad assegnare il proprio figlio primogenito per la durata dell’eternità” ai gestori del servizio (immagine qui accanto).

Sei persone hanno accettato senza batter ciglio. I casi sono due: o non hanno letto le condizioni, oppure detestano i propri primogeniti. Ne parla il Guardian qui; il rapporto dettagliato di F-Secure è scaricabile qui.

La clausola non verrà fatta valere, ha dichiarato semiseriamente F-Secure, anche perché sarebbe contraria all’ordinamento giuridico britannico, che non prevede la vendita dei bambini in cambio di servizi gratuiti.

L’accesso Wi-Fi adoperava un kit molto economico che poteva essere nascosto in una borsetta e ha dimostrato, dopo che è stata rimossa la “clausola di Erode”, un altro dato importante e molto serio: il protocollo POP3, tuttora molto diffuso per la gestione della mail, a volte rivela le password trasmettendole in chiaro via Wi-Fi durante l’autenticazione iniziale, consentendo quindi di intercettarle e prendere il controllo della casella di mail dell’utente.

L’esperimento ha anche notato che i dispositivi rivelano in media i nomi degli ultimi 19 access point ai quali si sono collegati. Questo consente di identificare con precisione l’utente in base allo specifico bouquet di nomi che rivela: ne bastano quattro, secondo la ricerca. E ovviamente ci sono i nomi dei siti visitati e gli identificativi dei loro dispositivi: una bella collezione di dati identificativi, facili da raccogliere con un finto access point.

Un buon rimedio è usare una VPN (rete privata virtuale) quando si utilizza un accesso Wi-Fi pubblico, in modo da cifrare l’intero flusso di dati dell’utente, e spegnere il Wi-Fi sul proprio dispositivo quando si è in pubblico o nelle vicinanze di accessi Wi-Fi non fidati; infine si possono cancellare dalla memoria dei propri dispositivi i nomi delle reti Wi-Fi visitate.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Possibile furto di password per 5 milioni di account Google

Possibile furto di password per 5 milioni di account Google

Questo articolo vi arriva grazie alla gentile donazione di “tomcec” e alle segnalazioni di “lrosa” e “mauriziog” ed è stato aggiornato dopo la pubblicazione iniziale.

Stando a Russia Today, sta circolando in Rete un file contenente circa 5 milioni di nomi utente e password di account Google. Una versione del database priva di password è qui: sfogliatela per vedere se contiene il vostro nome utente, nel qual caso è meglio cambiare password e in generale attivare l’autenticazione a due fattori.

Aggiornamento (16:00): Oversecurity ha alcuni dettagli aggiuntivi e una copia del file. Da mail private che mi sono giunte e dai commenti qui sotto risulta che almeno alcuni degli indirizzi elencati sono reali.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.