Vai al contenuto

sicurezza informatica

App nell’App Store rubano le password. Sono demo dei ricercatori, ma la falla è seria

App nell’App Store rubano le password. Sono demo dei ricercatori, ma la falla è seria

Varie app rubapassword sono state inserite con successo nel controllatissimo App Store di Apple: se installate sul dispositivo della vittima, erano capaci di estrarne le password di iCloud, Mail, Gmail, Faceboook, Twitter, Evernote, Google Chrome e anche le password custodite da app di protezione come 1Password.

Ma niente panico: l’incursione è stata fatta a fin di bene da alcuni ricercatori di sicurezza. della Indiana University, dell’Università di Pechino e del Georgia Institute of Technology.

La falla nei sistemi di protezione di Apple esiste da oltre sei mesi e non è ancora stata sistemata: i ricercatori l’hanno discussa privatamente con Apple, come è consuetudine in questi casi, e poi di fronte alla lentezza dell’azienda nel prendere contromisure l’hanno pubblicata (anche in un video) insieme a un software che esamina le app per sapere se sono protette contro questa falla.

La dimostrazione è un grande successo per i ricercatori, dato che il modello di sicurezza di Apple ha resistito per anni a questo genere di tentativo, ma pone una domanda di fondo: se ci sono riusciti i ricercatori, possono esserci riusciti anche i criminali informatici? In attesa che Apple rimedi al problema, il consiglio di prudenza è di installare dall’App Store soltanto app strettamente necessarie e di indubbia reputazione: cosa che andrebbe fatta sempre e comunque.

Fonti aggiuntive: Ars Technica, InfoSecurity Magazine, Intego.

Come trovare telecamere e altri oggetti vulnerabili su Internet (prima che le trovino i cattivi)

Sono arrivate molte richieste di informazioni sulle tecniche da usare per scoprire i dispositivi collegati a Internet in modo insicuro, come la telecamera di sorveglianza male impostata in un supermercato di Praga che ho visitato la settimana scorsa. Come è possibile trovare quello che sembra un ago in un pagliaio, ossia l’indirizzo IP di un oggetto vulnerabile?

È molto semplice: ci sono forum di discussione, come Controllable Webcams su Reddit, che forniscono parecchie dritte, come per esempio le parole da cercare in Google per far emergere le pagine Web pubbliche di queste telecamere maldestramente configurate, ma la risorsa più potente è Shodan, dove basta cercare parole chiave come RFB o Remote Desktop per vedersi schiudere un mondo di indirizzi IP ai quali basta puntare, per esempio, un browser oppure VNC o VLC.

Siate prudenti, e se avete telecamere o dispositivi remoti connessi a Internet, cercate di metterli in sicurezza prima che qualcuno lo faccia per voi.

Apple vs. FBI: perché Apple si rifiuta di sbloccare l’iPhone di un terrorista?

Apple vs. FBI: perché Apple si rifiuta di sbloccare l’iPhone di un terrorista?

Tim Cook, CEO di Apple, ha rilasciato una lunga intervista alla ABC News che contiene una spiegazione molto eloquente ed appassionata del rifiuto di Apple di sbloccare l’iPhone del terrorista Syed Farook, che con la moglie ha ucciso quattordici persone a San Bernardino, in California, lo scorso dicembre.

Il problema di fondo, spiega Cook, è che dal punto di vista tecnico è impossibile sbloccare quell’iPhone senza creare uno strumento (una speciale versione di iOS senza funzioni di sicurezza) che sarebbe in grado di sbloccare qualunque iPhone al mondo. Questa chiave universale sarebbe incredibilmente desiderabile per qualunque organizzazione criminale o per qualunque governo e quindi chiunque la custodisse sarebbe costantemente attaccato dai migliori intrusi informatici del mondo, compresi quelli assoldati dai governi stranieri.

Di conseguenza prima o poi il passepartout sfuggirebbe alla custodia di chiunque, compresa quella di Apple (che è l’unica in grado di crearlo, perché gli iPhone accettano soltanto software firmato digitalmente da Apple) e sicuramente di quella delle autorità federali americane, che (lo ha sottolineato Cook) si sono già fatte sfuggire i dati sensibili di milioni di americani in una serie imbarazzante di attacchi informatici.

Verrebbe insomma compromessa completamente la sicurezza di centinaia di milioni di utenti onesti che affidano ai propri telefonini informazioni sensibili come, per esempio, dati di lavoro, messaggi confidenziali o (altro esempio citato da Cook) i luoghi in cui si trovano i loro figli.

L’unico modo per evitare che la chiave universale finisca in mani ostili è non crearla affatto. Tim Cook l’ha definita “l’equivalente software del cancro”: paragone biologicamente poco calzante ma sicuramente efficace dal punto di vista emotivo.

Non è soltanto una questione di difendere l’immagine di affidabilità dei prodotti Apple, perché Tim Cook ha fatto notare che se si accetta il principio che un tribunale è in grado di ordinare ad Apple di scrivere un software del genere può ordinarlo a qualunque altro fabbricante di telefonini.

La questione, insomma, non è se sbloccare o no il telefonino di un terrorista, come molti la presentano, ma è se creare un grimaldello che mina alla base la sicurezza di milioni di persone. E non va dimenticato che l’iPhone del terrorista è ora inaccessibile per colpa dell’FBI, che ha maldestramente cambiato la password dell’account iCloud associato a quel telefonino: se non l’avesse fatto, l’iPhone – spiega Cook – avrebbe depositato una copia del proprio contenuto sui server iCloud, dai quali Apple avrebbe potuto consegnarla alle autorità inquirenti.

In tutta questa vicenda pesa parecchio l’assenza di un’altra sigla di tre lettere molto celebre: NSA. A quanto risulta dagli atti, stranamente gli inquirenti finora non hanno chiesto aiuto a questi maestri dell’intrusione. È perché l’NSA non è in grado di scavalcare la sicurezza dei prodotti Apple, oppure perché è in grado di farlo ma non vuole che si sappia? Entrambi i casi sono imbarazzanti: il primo implica inadeguatezza e rivela i limiti delle capacità dell’NSA, mentre il secondo implica che nessuno può fidarsi dell’iPhone (specialmente imprenditori, giornalisti, politici o governanti stranieri).

E per chi trova che questa questione tecnica sia troppo nebulosa e complicata e che un’azienda non dovrebbe avere il diritto di creare un dispositivo che renda inaccessibili alle forze dell’ordine i dati di un criminale o di un terrorista, propongo un paragone più semplice: se valesse questo principio, allora sarebbe illegale anche qualunque distruggidocumenti che producesse pezzetti che il governo non è in grado di rimettere insieme.

DJ mette online senza protezioni il suo mixer su PC: indovinate che succede

DJ mette online senza protezioni il suo mixer su PC: indovinate che succede

Ci sono ancora tanti, troppi tecnici informatici che non hanno capito che mettere online un computer per poterlo comandare a distanza è una gran comodità, ma che non proteggerlo con una password e confidare invece nel fatto che nessuno al di fuori di lui (o lei) ne conosce l’indirizzo IP è una pessima idea. È una pessima idea perché esistono servizi automatici di ricerca, come Shodan, che esplorano sistematicamente tutti gli indirizzi IP di Internet e quando trovano un computer o un altro dispositivo accessibile lo segnalano pubblicamente. A quel punto il dispositivo è alla mercé del primo che passa.

Qualche sera fa ho trovato su Shodan un PC Windows che faceva girare Virtual DJ (un programma che fa da mixer per DJ da discoteca). Incuriosito, l’ho tenuto sotto osservazione per un po’ in un angolo del mio monitor e mi sono accorto che non solo era visibile via Internet da chiunque senza dover digitare alcuna password, ma era comandabile. Era sufficiente immettere il suo indirizzo IP in una normale applicazione per la manutenzione remota, come VNC, per vedere cosa faceva il DJ e soprattutto per interferire con il suo lavoro, spegnendogli l’applicazione, cambiandogli a casaccio i brani o andando a sfogliare le cartelle contenenti immagini e altri dati personali. Che è quello che stavano facendo in tanti, con conseguente disperazione del DJ che vedeva che il computer sembrava posseduto e pazientemente cercava di rimettere a posto le cose dopo ogni incursione.

Così ho provato ad aiutarlo: non potendo rintracciare le sue coordinate di mail o telefono senza frugare nei suoi dati personali, ho lanciato Blocco Note sul suo PC e gli ho lasciato un messaggio sullo schermo.

“Ehilà, questo è un consiglio amichevole da parte di tutti su Internet. Non dovresti lasciare un PC accessibile a chiunque tramite VNC senza una password. Chiunque può trovare l’indirizzo IP del tuo PC e pasticciarci. Buona giornata.”

Sono passate alcune ore e il computer è rimasto accessibile. Per fortuna gli altri visitatori, vedendo il mio messaggio, hanno lasciato in pace il computer: un raro momento di galateo in Rete. Ma c’era il rischio che qualcuno meno rispettoso facesse devastazioni, per cui ho insistito.

“FAI QUALCOSA”, gli ho scritto. A quel punto il DJ si è reso conto che il computer non era posseduto dal demonio (o da un driver bislacco di Windows) ma che un altro essere umano stava cercando di comunicare con lui scrivendo dentro Blocco Note e ha capito che poteva usare quest’applicazione come sistema di chat improvvisato. Ha digitato qualche lettera e l’ho incoraggiato: “Sì, possiamo chattare se vuoi”. La sua risposta: “Sistemerò domani. Al momento non posso. Per favore smetti.”

Gli scritto che io lo avrei lasciato in pace, ma che altri avrebbero potuto continuare a far danni se non decideva di mettere una password di protezione. Mi ha risposto che il computer non era il suo, era della ditta, e che queste cose doveva farle il tecnico informatico. Che, mi è venuto da pensare, sta decisamente rubando lo stipendio se è così stupido da impostare un PC per la manutenzione remota senza mettergli almeno uno straccio di password.

Abbiamo chattato ancora un po’. Mi sono presentato e lui mi ha raccontato che è un DJ in California e che le incursioni degli internauti che trovavano il suo PC incustodito gli avevano “completamente mandato a p****e la serata”. Gli ho spiegato che non ero stato io.

Pochi minuti dopo ho visto che è stata finalmente impostata una password sulla sessione di controllo remoto del PC e da quel momento il computer non è più stato accessibile. Un utente salvato, anche se in maniera un po’ brutale, ma quanti altri computer ben più delicati sono in queste stesse condizioni? A giudicare dai risultati pubblicati su Twitter, tantissimi. Ecco due esempi fra i tanti che chiunque può trovare con Shodan o altri mezzi:

Se avete computer in gestione remota via Internet, imparate dalle disavventure del DJ californiano e proteggeteli almeno con una password e con una sessione cifrata, come descritto nel manuale di VNC. Non fate l’errore di pensare che un indirizzo IP sia un segreto.

Piccola demo di ordinaria insicurezza: la telecamera del supermercato di Praga

Piccola demo di ordinaria insicurezza: la telecamera del supermercato di Praga

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/03/25 17:45.

Siamo abituati, ormai, all’idea che quando andiamo in un centro commerciale siamo ripresi dalle telecamere dei gestori per motivi di sicurezza e ci viene spontaneo presumere che queste misure di sicurezza siano gestite responsabilmente, tutelando il diritto alla riservatezza degli utenti, per cui le riprese effettuate restano private. Siamo un po’ meno abituati all’idea che le immagini di queste telecamere siano invece visibili a chiunque a causa della superficialità delle misure di protezione adottate da questi gestori.

Un esempio molto concreto ci arriva da Shodan, il motore di ricerca per l’Internet delle cose (delle cose insicure, soprattutto), che ha scovato a Praga, presso il centro commerciale di Flora, all’omonima stazione della metropolitana, una telecamera completamente priva di protezione e accessibile a chiunque, con tanto di audio.

Non solo le immagini della telecamera sono visibili a chiunque usi semplicemente il programma gratuito VLC per visitare il link rtsp://89.xxx.xxx.xxx:554/live/ch00_0 (URL fornito automaticamente da Shodan; ometto alcune cifre dell’indirizzo IP per ovvie ragioni) senza dover digitare alcuna password, ma la telecamera è comandabile via browser da chiunque ne conosca il nome utente e la password, che sono ridicolmente ovvie (sono quelle classiche di default).

Non è una bella situazione, così ho chiesto all’Agente M di recarsi sul posto e spiegare tutto al personale del supermercato, dimostrando in tempo reale che le immagini della telecamera erano visibili a chiunque e che la telecamera stessa era facilmente comandabile.

L’Agente M mi ha comunicato che l’addetta “l’ha presa bene e ha ringraziato”. Inoltre ha parlato col capo della sicurezza del centro commerciale, che gli è sembrato molto preoccupato, specialmente quando gli sono state spiegate le implicazioni per la privacy dei clienti. Gli ho scritto una mail per spiegare l’accaduto e fornirgli dettagli tecnici che qui, per ora, non posso pubblicare. Tra qualche giorno controllerò se i tecnici avranno provveduto a turare la falla.

Antibufala: la foto del ladro con lo scanner per carte di credito senza contatto

Antibufala: la foto del ladro con lo scanner per carte di credito senza contatto

Sta creando un certo panico, e un numero elevatissimo di condivisioni su Facebook, una foto che mostra un uomo che tiene in mano un terminale portatile di pagamento per carte di credito. Secondo la descrizione che accompagna l’immagine, si tratterebbe della prova fotografica del fatto che ci sono criminali che vanno in giro a rubare i dati delle carte di credito sfruttando la nuova tecnologia contactless, che consente di effettuare pagamenti semplicemente avvicinando la carta al terminale, senza dover digitare PIN, e quindi consente al criminale di prelevare soldi dalle carte di credito delle persone vicine.

Ma in realtà, come spiega Buzzfeed, la foto non documenta la presenza di un ladro contactless: ritrae Oleg Gorobets, manager della società di sicurezza informatica Kaspersky. In altre parole, è una messinscena.

Gli esperti, inoltre, dicono che questo genere di furto è tecnicamente difficilissimo: non basta un terminale normale ma serve un dispositivo dotato di un’antenna speciale e soprattutto c’è il problema che un eventuale furto sarebbe completamente tracciabile. Per i più prudenti, comunque, esistono degli astucci metallici per carte di credito contactless che schermano completamente da eventuali attacchi di questo tipo.

Mail-truffa fingono di provenire da Facebook e WhatsApp: regole generali di difesa

Mail-truffa fingono di provenire da Facebook e WhatsApp: regole generali di difesa

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/01/22 15:20.

L’allerta diramato a proposito delle finte mail della Polizia Federale svizzera è una buona occasione per ripassare le regole di difesa principali contro questi attacchi molto diffusi, visto che oltretutto è stata segnalata un’ondata internazionale di spam rivolto agli utenti di Facebook e WhatsApp.

– Non sono attacchi personali e i truffatori non sanno niente di voi. Sanno soltanto il vostro indirizzo di e-mail, ma non sanno se avete o no WhatsApp o Facebook: vanno a caso. Molte vittime si fidano del messaggio-truffa perché hanno l’impressione che sia rivolto personalmente a loro e pensano che solo i legittimi gestori di questi servizi possano sapere chi è utente e chi no.

– ll mittente è quasi sempre un indirizzo che non c’entra nulla con quello legittimo del servizio citato dal messaggio. Per esempio, vedere un messaggio che dice di provenire dal servizio clienti di Whatsapp ma ha come mittente un indirizzo di Yahoo è un chiaro segno truffaldino. Tuttavia alcuni truffatori falsificano bene anche il mittente, per cui un indirizzo anomalo è sicuramente un sintomo d’inganno, mentre un indirizzo autentico non è garanzia di nulla.

– Se vedete che da qualche parte nel titolo del messaggio c’è una sequenza di caratteri senza senso, è una trappola. Si tratta solitamente di codici usati dai truffatori per gestire l’ondata di messaggi che inviano.

– Non cliccate sui link presenti nei messaggi inattesi che sembrano provenire dal servizio clienti di nessuna azienda. Spesso questi messaggi contengono link che portano a siti-trappola, dove risiede il malware o c’è una pagina che sembra quella legittima nella quale si immette la propria password per accedere a un servizio ma è in realtà una copia gestita dai truffatori. Se non siete stati voi a chiedere di ricevere una mail dal servizio clienti, per esempio perché avete richiesto un recupero password, cestinate tutto.

– Non aprite nessun allegato a messaggi di questo tipo. Il malware di solito si annida lì. Se cestinate il messaggio senza aprire il suo allegato o cliccare sui suoi link non dovreste correre pericoli.

– Usate applicazioni e sistemi operativi aggiornati e procuratevi un antivirus aggiornato.

– Prevenire è molto più facile che curare. L’attacco che sta bersagliando gli utenti di Facebook, per esempio, convince la vittima ad aprire un allegato. Questo allegato è malware che, spiega Microsoft, scrive nel Registro di Windows in modo da riavviarsi automaticamente ogni volta che viene riacceso il computer, blocca l’accesso ai siti dei produttori di antivirus, così il computer non può scaricare gli aggiornamenti che rivelerebbero l’infezione, e inibisce le notifiche del Centro Sicurezza di Windows. Fatto questo, si mette a rubare dati dal computer infettato.

Mini-centrale idroelettrica francese comandabile da chiunque via Internet

Mini-centrale idroelettrica francese comandabile da chiunque via Internet

Collegare i dispositivi a Internet, in modo da poterli comandare da lontano, è sicuramente molto utile. Ma bisogna collegarli come si deve, pensando alla sicurezza, altrimenti ci si ritrova con situazioni come questa, scovata in Francia dal motore di ricerca Shodan: una mini-centrale idroelettrica che è stata collegata a Internet così maldestramente che chiunque può prenderne il controllo da lontano, come ho visto fare in queste ore, con conseguenze facilmente immaginabili.

Vediamo quali errori sono stati commessi, così possiamo imparare come non si configura l’Internet delle Cose.

1. Non si deve contare su un indirizzo IP “segreto”. Molti utenti (e amministratori di dispositivi) pensano ancora che un indirizzo IP, se non viene divulgato, sia un fattore di sicurezza perché se nessuno conosce l’indirizzo di un dato dispositivo quel dispositivo è introvabile. Non è così: motori di ricerca appositi, come Shodan, permettono di cercare dispositivi in base al loro tipo e alla loro posizione geografica. Sapendo qual è la marca e il modello del dispositivo e dove si trova, scoprire il suo indirizzo IP di controllo è banale. Vale anche il contrario: per esempio, secondo Utrace.de risulta che la centrale idroelettrica mostrata qui sopra (di cui non pubblico l’indirizzo IP per ovvie ragioni) è situata dalle parti di Tolosa, in Francia. Altri indizi suggeriscono più precisamente la località di Aiguillon.

2. Non si deve abilitare una connessione remota aperta a tutti e senza password. La centrale idroelettrica in questione è accessibile via Internet a chiunque sappia il suo indirizzo IP e usi una normale applicazione di gestione remota come VNC. Non viene neppure richiesta una password di accesso alla connessione VNC: ci si collega e basta. Ciliegina sulla torta, la connessione non è cifrata contro eventuali intercettazioni. Ciliegina sulla ciliegina, la centrale fa collegare chiunque ne digiti l’indirizzo IP anche in un normale browser.

3. Non si devono memorizzare sul computer remoto i nomi degli utenti e le password di accesso. Chi avvia una sessione VNC con il computer che gestisce la centrale idroelettrica di questo esempio non deve neppure tentare di indovinare i nomi degli utenti autorizzati, perché sono stati memorizzati nel browser del computer remoto. Insieme alle password. Così ho visto utenti accedere ai controlli della centrale e alla configurazione degli utenti semplicemente cliccando nella casella del nome utente e lasciando che il completamento automatico proponesse il nome dell’utente e poi la sua password.

4. Non si devono usare password stupidamente evidenti. Nel caso della centrale, ho visto che i visitatori hanno scoperto che almeno un account ha la password uguale al nome utente.

Sono rimasto alcune ore a osservare l’andirivieni dei visitatori sulla connessione di controllo remoto e ho visto fare di tutto, compreso cliccare sui comandi della centrale. Mi sono ovviamente posto il problema di come avvisare il responsabile della centrale, ma nelle scorribande dei visitatori non ho visto alcuna informazione di contatto, per cui ho inviato una mail alle aziende citate nelle schermate di configurazione della centrale. Ho inoltre creato sul desktop del computer remoto un file di stampa di nome “ATTENTION VOUS ETES ACCESSIBLES PAR INTERNET”. Speriamo in bene.

Apple, aggiornamenti per OS X e iOS

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

Segnalo brevemente che sono usciti gli aggiornamenti Apple che portano OS X alla versione 10.11.3 (risolvendo alcuni problemi di funzionamento e di sicurezza) e iOS alla versione 9.2.1 (risolvendo anche qui varie magagne). Almeno una delle falle turate consente di prendere il controllo del dispositivo Apple semplicemente facendogli visitare un sito appositamente confezionato.

Stamattina a Bellinzona discutiamo di minacce e difese digitali

Stamattina a Bellinzona discutiamo di minacce e difese digitali

Questa mattina, a partire dalle 9, presso l’Auditorium BSCT a Bellinzona (Viale Guisan 5), si terrà un incontro intitolato “La minaccia cyber oggi” per offrire a tutti la possibilità di comprendere meglio la realtà della sicurezza informatica nella vita di tutti i giorni e capire quali sono le minacce concrete per l’economia di un paese e quanto sono pronte a rispondere le difese istituzionali.

L’incontro è organizzato dall’Associazione per la Rivista Militare Svizzera di lingua italiana e vede la partecipazione di Gérald Vernez, dirigente della divisione di cyberdifesa dello stato maggiore di condotta; di Pascal Métral, avvocato penalista, specializzato in proprietà intellettuale, responsabile delle inchieste e dei dossier giudiziari contro la pirateria e il cyber crimine affidati a Kudelski Security; e di Riccardo Sibilia, fisico ETHZ, capo del reparto d’analisi della minaccia cibernetica dell’esercito svizzero. Io sarò presente come moderatore.

Maggiori informazioni sono disponibili qui su Eventbrite e su Tipiu.com.