sicurezza – Pagina 21 – Attivissimo.me

Attenti alle foto con coordinate GPS

Cellulari e fotocamere con GPS, occhio a non rivelare troppo

Se avete un telefonino o una fotocamera con GPS integrato, attenti a cosa fotografate e a come pubblicate le vostre foto: se non le ripulite prima di diffonderle, addio anonimato, con conseguenze piuttosto imbarazzanti.

Prendete per esempio la signorina qui accanto, che ha deciso di immortalare la parte migliore di sé usando un iPhone (l’inquadratura originale è più ampia ma probabilmente inadatta a un blog per famiglie, a meno che siano famiglie di proctologi). Si è coperta il viso in modo da non essere riconoscibile e quindi sfruttare l’anonimato per un’esibizione molto personale.

Ma nelle fotografie digitali vengono memorizzati vari dati, come la data e l’ora dello scatto e le regolazioni della fotocamera. Nelle fotocamere e nei telefonini dotati di GPS, come appunto gli iPhone recenti, insieme a questi dati ci sono le coordinate geografiche del luogo dove è stata scattata la foto. Addio anonimato.

Con questi dati è sufficiente un giretto su Google Maps e (se disponibile) su Street View per scoprire dove si trova la disinibita donzella.

Non posso garantire che i dati siano reali o che la foto sia autentica, visto che la fonte dell’esempio è 4chan, ma il concetto è certamente valido.

Una foto del genere, associata al proprio nome e cognome, potrebbe causare non pochi problemi per anni, per esempio durante una ricerca di lavoro. Al potenziale datore di lavoro basterebbe una Googlata per trovare un quadro molto chiaro e aperto della situazione.

Anche foto meno compromettenti possono essere fonte di guai se corredate di dati GPS. La vostra foto al bar o al ristorante o in ufficio diventa improvvisamente localizzabile. Una manna dal cielo per qualunque persona voglia pedinarvi o molestarvi o fare di peggio: basta sfogliare le vostre foto pubbliche per sapere che locali frequentate, dove lavorate, dove abitate e che orari fate. Lo stesso vale anche per le persone che conoscete: una foto etichettata “A casa di Piera” è innocua, ma la stessa foto con dati GPS permette a chiunque di sapere dove abita Piera.

Se volete davvero pubblicare o distribuire foto anonimizzate, ricordatevi di purgare i dati EXIF dalle immagini (il metodo più semplice e sicuro che mi viene in mente è visualizzare la foto sullo schermo e catturarla, poi pubblicare la cattura, ma ci sono vari programmi che rimuovono i dati EXIF per i vari sistemi operativi). L’iPhone permette di disattivare l’inclusione dei dati GPS nelle foto.

Maggiori dettagli sono in questo articolo di Kelsocartography (in inglese).

OS X, mezzo GIGA di update

88 falle da turare in Mac OS X. Una piccola patch da 438 megabyte

Se avete un Mac, vi auguro di avere una connessione veloce a Internet. L’ultimo aggiornamento del sistema operativo (Snow Leopard) pesa infatti ben 438 megabyte.

Tura, a quanto dice ZDNet, ben 88 vulnerabilità documentate che in alcuni casi consentono a un aggressore di prendere il controllo completo di un Mac semplicemente inducendo l’utente a visualizzare un’immagine o un file video, a riprodurre un file audio o ad effettuare il controllo ortografico di un documento (questa mi mancava). L’elenco completo delle falle rattoppate è qui.

Dall’avviso automatico di aggiornamento, però, questo groviera non si intuisce proprio. A parte un accenno velato alla “security”, di tutte queste falle nell’avviso non si parla: solo miglioramenti all’affidabilità e alla compatibilità, problemini con i colori di Mail e cosucce di poca importanza. Suvvia, Steve, un po’ di trasparenza in più non guasterebbe. Anche perché di fronte a un avviso così blando, molti potrebbero pensare che non valga la pena di installare l’aggiornamento gigante, restando quindi inconsapevolmente vulnerabili.

Falla Firefox rattoppata di corsa

Firefox 3.6 fallato, scaricate l’aggiornamento

Questo articolo vi arriva grazie alle gentili donazioni di “clagiulietti” e “arnaldo.r*” ed è stato aggiornato dopo la pubblicazione iniziale.

Anche a Firefox, come a Internet Explorer a gennaio, è toccata l’onta di essere messo all’indice dal governo tedesco. La BSI, vale a dire l’ufficio federale per la sicurezza informatica, ha infatti segnalato lunedì scorso (22 marzo) che una vulnerabilità in Firefox permetteva agli aggressori di eseguire programmi ostili sui computer degli utenti e ha quindi consigliato agli utenti di smettere di usare Firefox fino all’arrivo di una sua versione riveduta e corretta.

Mozilla ha confermato la falla, che riguarda solo la versione 3.6, e l’indomani ha rilasciato di corsa la versione 3.6.2 che corregge il problema. Se siete utenti Firefox, dovete quindi aggiornarvi: il procedimento dovrebbe essere automatico sotto Windows e Mac OS X, ma se non lo fosse, scegliete il menu Aiuto e la voce Controlla gli aggiornamenti mentre siete collegati a Internet (gli utenti Linux dovranno seguire una procedura che dipende dalla specifica distribuzione usata). Per sapere che versione di Firefox state usando, andate sempre al menu Aiuto e scegliete Informazioni su Mozilla Firefox. Per scaricare manualmente Firefox 3.6.2 potete andare a http://www.mozilla-europe.org/it/.

Fonti aggiuntive: BBC.

Mac, iPhone, Windows 7, IE8 bucati in pochi minuti

Smanettoni bucano Internet Explorer 8, Windows 7, Safari su Mac e l’iPhone. Bonus: rubano tutti gli SMS dal telefonino

Questo articolo vi arriva grazie alle gentili donazioni di “pegonet” e “fufiski”.

La gara per smanettoni Pwn2Own, dove chi riesce a prendere il comando da remoto di un computer se lo porta a casa insieme a un premio in denaro, è tornata anche quest’anno in quel di Vancouver, e son botte da orbi per tutti.

Già il primo giorno sono caduti i due principali contendenti del mercato informatico. Charlie Miller, analista di sicurezza, ha sfruttato una falla del browser Safari per impossessarsi, da remoto ma anche fisicamente, di un MacBook Pro da 15 pollici con su Snow Leopard e tutti gli ultimi aggiornamenti di sicurezza, riuscendo a lanciare una shell completa, dalla quale ha potuto vedere tutti i file del computer-bersaglio ed eseguire comandi. A lui, oltre al laptop, vanno 10.000 dollari di premio.

L’olandese Peter Vreugdenhil, ricercatore di sicurezza indipendente, ha trapassato le difese di Internet Explorer 8 su Windows 7 a 64 bit, aggiundicandosi un laptop HP da 15 pollici e 10.000 dollari. Vreugdenhil è riuscito a superare due delle principali funzioni di sicurezza di Windows, il DEP (Data Execution Prevention) e l’ASLR (Address Space Layout Randomization), sfruttando una vulnerabilità di heap overflow che gli ha permesso di ottenere l’indirizzo base di un modulo DLL che IE8 carica in memoria e da lì ha eseguito l’exploit. I dettagli tecnici sono qui. Tempo necessario: poco più di due minuti.

Firefox 3 su Windows 7 non se l’è cavata meglio: Nils, della britannica MWR Infosecurity, è riuscito a scardinarne le difese, dimostrando di aver preso possesso del computer facendogli eseguire la Calcolatrice. Per le sue fatiche si è portato a casa un Sony Vaio da 13 pollici e il premio in denaro.

Alla fine della prima giornata, fra i sistemi operativi e i browser oggetto della prova resta in piedi soltanto Google Chrome 4 su Windows 7. Linux non era incluso fra i bersagli.

Anche i telefonini evoluti sono oggetto della gara. I bersagli possibili erano l’iPhone 3GS, il Blackberry Bold 9700, il Nokia E72 (Symbian) e l’HTC Nexus One (Android). L’iPhone si è rivelato particolarmente spettacolare nella sua vulnerabilità: Vincenzo Iozzo della società tedesca Zynamics e Ralf Philipp Weinmann dell’Università del Lussemburgo hanno sfruttato una vulnerabilità del suo browser Safari per estrarne il database degli SMS, compresi i messaggi cancellati, i contatti, le immagini e i file musicali di iTunes, semplicemente inducendo l’utente a visitare un sito appositamente confezionato. Tempo necessario per l’intrusione: 20 secondi. Si sono aggiudicati 15.000 dollari (da dividere) e un iPhone ciascuno.

Lo scopo della gara Pwn2Own è incentivare i ricercatori a scoprire falle e divulgarle in modo responsabile: infatti i dettagli tecnici dei metodi utilizzati non possono essere resi noti al pubblico ma vengono invece comunicati ai produttori di software affinché li correggano. E li correggano presto, si spera.

Fonti: ZDNet, Computerworld, Tech News World.

Scanner aeroportuali: già denunciato il primo ficcanaso

2010-03-24
di Paolo Attivissimo
privacy, sicurezza, teatrino della sicurezza

Gli scanner negli aeroporti ti denudano? Tranquilla, nessuno mai ne approfitterà. Come no

Questo articolo vi arriva grazie alle gentili donazioni di “assix” e “fraferu”.

Avete presente i nuovi scanner full-body degli aeroporti? Quelli che costano uno sproposito di soldi e vedono sotto i vestiti, rivelando nitidamente anche i genitali? Quando mi sono permesso di chiedere, come tanti altri perplessi da questo teatrino della sicurezza, se non c’era il rischio che qualche operatore annoiato e sottopagato cedesse alla tentazione di fare una cattura della schermata dello scanner in occasione del passaggio di una persona famosa, mi sono preso una bella dose di critiche.

Suvvia, dicono anche le autorità, gli scanner saranno messi in mano soltanto a persone responsabili e integerrime. Verranno adottate tutte le misure del caso. In nome della lotta al terrorismo, quindi, il bravo cittadino si dovrà far denudare virtualmente ogni volta che prende l’aereo, ma sarà tranquillissimo, perché mai nessuno abuserà di quest’intrusione obbligata sotto i suoi vestiti.

Come no. Arriva dall’aeroporto di Heathrow, a un mese scarso dall’installazione degli scanner, la prima denuncia di abuso. Un dipendente della BAA (la società che gestisce l’aeroscalo), il venticinquenne John Laker, è accusato di aver scattato una foto a una sua collega, la ventinovenne Jo Margetson, mentre lei passava inavvertitamente attraverso lo scanner della Rapiscan (costo 90.000 euro) il 10 marzo scorso, al Terminal 5. Questi scanner realizzano immagini come quella qui accanto, che non è una simulazione: Reuters la presenta come immagine scattata da quello specifico tipo di scanner.

A differenza degli aeroporti americani, quelli britannici, stando al Guardian, non permettono la perquisizione manuale al posto dello scanner. Chi s’è rifiutato per motivi di salute o religiosi non è stato imbarcato.

La Margetson (qui due sue foto sul Sun, che fedele al suo giornalismo-trash non risparmia le citazioni di commenti salaci attribuiti a Laker) ha denunciato il fatto alla polizia. Gli accertamenti sono ancora in corso. Se confermato, questo sarebbe il primo caso in cui un guardone è stato scoperto ad abusare degli scanner aeroportuali. La parola chiave, naturalmente, è scoperto.

Fonti aggiuntive: AFP, Sky.com, Reuters.

Internet Explorer 9 in arrivo, 6 e 7 da mollare o patchare

Rattoppate Explorer 6 e 7 o passate all’8. In attesa del 9

Questo articolo vi arriva grazie alle gentili donazioni di “eleonora.maz*” e “kassandra*”.

Ennesima falla, ed ennesimo rattoppo, per Internet Explorer 6 e 7, programmi di navigazione che molti si ostinano a usare nonostante siano sostanzialmente obsoleti, tanto che Microsoft ha già rilasciato da tempo la versione 8 e già offre i primi assaggi della 9.

No, la falla non è quella che si attiva pigiando il tasto F1 descritta un paio di settimane fa: è un’altra. Questa è stata segnalata da Microsoft in un advisory (il 981374) il 9 marzo scorso, e come la precedente consente di prendere il controllo del computer della vittima se la vittima in questione naviga usando Internet Explorer versioni 6 o 7 e visita un sito-trappola oppure un sito normale nel quale è stato iniettato il codice che attiva la falla.

Microsoft dice che questa vulnerabilità viene già sfruttata dai criminali informatici per “attacchi mirati” e ha predisposto un rattoppo apposito che va eseguito manualmente (non fa parte degli aggiornamenti automatici di Windows). Ma si tratta di una correzione che può causare disagi, impedendo per esempio di stampare, secondo The Register. È sempre meglio che trovarsi infettati con un software ostile che ruba password e numeri di carte di credito, ma comunque scomodo.

Ma perché Microsoft continua a pubblicare rattoppi per versioni del suo browser così obsolete? La versione corrente è la 8, che compie un anno proprio oggi, e la 9 è in arrivo. Il fatto è che molti utenti non vogliono o non possono migrare a browser più moderni e sicuri perché hanno realizzato siti e software su misura (una volta si diceva “ottimizzati”) per IE6 o 7, invece di realizzarli in modo conforme ai veri standard della Rete, e adesso si trovano in un guaio e si aspettano che Microsoft li salvi. Non dicano che non erano stati avvisati.

E così, secondo i dati aggiornati a febbraio di NetMarketShare, il 34% degli utenti di Internet Explorer è ancora fermo alla versione 6 e il 22% è alla 7. Non è chiaro per quanto tempo ancora Microsoft continuerà a supportare pazientemente questi tiratardi. Il guaio è che l’uso di browser obsoleti e vulnerabili aiuta la diffusione di software ostile e quindi inquina Internet per tutti, non soltanto per chi non si aggiorna.

Intanto Microsoft ha annunciato la versione 9 di Internet Explorer, una cui anteprima molto grezza, orientata principalmente agli sviluppatori, è già disponibile per lo scaricamento: promette maggiore velocità nella visualizzazione delle pagine e nell’esecuzione di Javascript, che è essenziale per l’uso delle pagine Web dinamiche di oggi, come quelle di Facebook o Gmail; supporta l’HTML5, che permette di includere video nelle pagine Web senza ricorrere a Flash, mettendo quindi IE9 in pari con i browser della concorrenza; gestisce la grafica vettoriale (SVG); e offre maggiore compatibilità con gli standard di formattazione delle pagine Web tramite CSS3. Ma attenzione: Internet Explorer 9 funziona soltanto su Windows Vista e Windows 7. Secondo ZDNet, non è prevista una versione per Windows XP.

Trappola rubapassword per Facebook

Attenti agli avvisi di reset delle password in Facebook

Questo articolo vi arriva grazie alle gentili donazioni di “giuseppe.di*” e “holer70”.

Uno screenshot della mail-trappola, da McAfee.com

Entra direttamente al sesto posto della classifica dei malware più gettonati del momento la mail-trappola per gli utenti di Facebook, stando ai rilevamenti di McAfee.

Il meccanismo è classico, ed è confermato anche dalla pagina di sicurezza di Facebook (specificamente qui): una mail che sembra provenire dal servizio clienti di Facebook, perché ha un indirizzo falsificato (di solito service@facebook.com o simile), e contiene un avviso che la password di Facebook del destinatario è stata cambiata per ragioni di sicurezza. La password nuova, dice la mail-trappola, è nel file ZIP allegato. Ecco un esempio di testo:

Dear user of facebook,

Because of the measures taken to provide safety to our clients, your password has been changed. You can find your new password in attached document.

Thanks,

Your Facebook.

L’allegato contiene un file eseguibile per Windows che si installa e ruba le password della vittima, e non solo quelle di Facebook, perché registra tutto quello che viene digitato sulla tastiera del PC infetto.

L’attacco non è nuovo: ce ne sono tracce, con la stessa formulazione del messaggio, risalenti a ottobre 2009 (CSO Online; Hoax-Slayer.com; PCWorld). La novità, stando a McAfee, sta nella sua diffusione. La società di sicurezza ha pubblicato una mappa delle zone colpite.

Difendersi da questo genere di trappole è semplice: nessun fornitore di servizi che si rispetti manderà mai una password via mail, per cui qualunque mail di questo tipo va semplicemente cestinata senza aprire l’allegato. Se non viene aperto il file ZIP non si corre alcun pericolo. I più comuni antivirus riconoscono già questo tipo di attacco.

Come rubare la password della mail

Password di posta, rubarle è così facile

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Avete una casella di posta che offre la possibilità di recuperare la password perduta o di reimpostarla se rispondete correttamente alla domanda d’emergenza? Attenti alla domanda che avete scelto, e soprattutto alla sua risposta, perché si prestano a un furto di password talmente facile che a un lettore è addirittura capitato di commetterlo senza accorgersene. Sì, sì, dicono tutti così, lo so.

Il lettore, che chiameremo Ugo (ma il suo vero nome è Ugo), ha visitato la pagina web di accesso alla propria posta presso un noto fornitore di caselle gratuite, che chiameremo Yahoo (ma il cui vero nome è Yahoo, anche se il trucchetto vale anche per altri fornitori, come Gmail), e ha digitato solo il proprio nome utente invece del proprio indirizzo di posta completo: invece di ugo @ ymail.com ha digitato solo ugo. Poi ha immesso la propria password. Yahoo gli ha risposto che la password era sbagliata, e così Ugo ha usato la procedura di recupero di nome utente e password.

Ha immesso il nome utente, che è risultato valido. Yahoo ha chiesto di rispondere alla domanda di emergenza che dovrebbe autenticare l’utente. La domanda era “Qual è la tua squadra del cuore?”. Ha immesso la propria squadra prediletta, che è stata accettata. La seconda domanda era uguale alla prima. A questo punto Ugo si è trovato di fronte alla schermata di reimpostazione password e ha immesso la password nuova che intendeva usare. Fatto questo, ha avuto accesso alla casella… e si è accorto che era quella di qualcun altro.

Cos’è successo? Ugo ha un account di posta su Yahoo che ha il suffisso ymail.com, ma Yahoo offre anche account con altri suffissi, come Yahoo.it. Di conseguenza lo stesso nome utente può corrispondere a caselle differenti. Questo spiega l’equivoco iniziale.

Ma l’episodio rivela la pericolosità di questi sistemi di reimpostazione password basati su domande: se le risposte sono facilmente intuibili, rubare l’account a qualcuno ed entrare in possesso della sua corrispondenza personale, delle sue foto e di tutti gli altri dati personali legati a quell’account è un attimo.

L’esperienza di Ugo viene confermata da un articolo di due ricercatori dell’Università di Edimburgo e un loro collega di quella di Cambridge, che hanno dimostrato che un aspirante intruso ha una possibilità su 80 di indovinare le risposte alle domande di sicurezza più frequenti, come per esempio il cognome da nubile della madre o il nome della prima scuola, nel giro di tre tentativi. Se poi l’intruso fa un po’ di ricerca sul proprio bersaglio, per esempio tramite i dati che il bersaglio ha pubblicato nei social network, indovinare le risposte diventa ancora più facile.

Va ricordato che questo trucchetto fu alla base di un furto di e-mail piuttosto famoso: quello della candidata alla vicepresidenza statunitense Sarah Palin, nel 2008.

La soluzione è comunque semplice, ma va adottata: dare risposte non veritiere, o non prevedibili, alle domande d’emergenza: per esempio, se la domanda è “Come si chiamava il tuo primo partner amoroso?”, rispondete “Fuffi” o un altro nome di fantasia (e segnatevelo). Naturalmente, se il nome del vostro primo partner amoroso era davvero Fuffi, usate un altro nome. Ma credo che in questo caso abbiate altri problemi più gravi di quello della tutela della vostra casella di posta.

Playstation, occhio agli emulatori fasulli

Sesso, soldi, sangue, salute e… videogame?

Si dice spesso che il giornalismo si basa su quattro S: sesso, sangue, soldi e salute. Anche l’ingegneria sociale che viene usata per imbrogliare i navigatori in Rete si basa di solito su queste quattro S (soprattutto la prima), ma vi aggiunge anche una V: quella di videogame.

Arriva dalla società di sicurezza Sunbelt Software un avviso che riguarda il recente proliferare di siti che offrono applicazioni gratuite per emulare la Playstation 2 sul PC. Cosa già di per sé poco legale, secondo alcuni, ma non è questo il problema.

Banner come quello mostrato qui accanto si spacciano per emulatori o crack o keygen per la popolare ma ormai vecchiotta console, ma il software che permettono di scaricare non è quello promesso.

Come segnala Sunbelt, scaricando e installando questi programmi sul PC (solo se Windows) l’utente si troverà il computer infetto da un cavallo di Troia dal nome chilometrico Trojan-Downloader.Win32.CodecPack.2GCash.Gen, che installa nella cartella di Windows un file eseguibile con un nome generato a caso e colloca un file xpysys.dll nella cartella System32. Il virus è un downloader, ossia è in grado di scaricare altri componenti infettanti, e secondo Sunbelt è stato usato per porcherie di vario genere, dai finti codec video agli antivirus fasulli.

Niente panico, comunque: è già riconosciuto da tutti i principali antivirus. Ma resta sempre valido il consiglio di adottare la prevenzione ancora prima della cura: non andate a cercare software di dubbia provenienza in siti che offrono cose troppo belle per essere vere.

IE + F1 = bug

2010-03-05
di Paolo Attivissimo
Internet Explorer, sicurezza, Windows XP

Premere F1 per avere aiuto. Nell’infettarti il PC

Questo articolo vi arriva grazie alle gentili donazioni di “reemulit” e “federico.zu*”.

Il tasto F1 è da tempo immemorabile sinonimo informatico di aiuto. O meglio, di un testo che dovrebbe in teoria aiutare spiegando come si usa il computer ma che in pratica di norma finisce per confondere l’utente.

Pazienza per la confusione, ma non per l’infezione: c’è un curioso baco di sicurezza nel VBScript che accompagna Internet Explorer. Consente di infettare un computer con Windows XP, 2000 o Server 2003 semplicemente inducendo la vittima a visitare un sito con Internet Explorer e a premere il tasto F1 in risposta a un messaggio sullo schermo. Ops.

Vista, Windows 7 e Windows Server 2008 sono immuni a questo difettuccio. Al momento non si ha notizia di attacchi concreti che sfruttano questa vulnerabilità, ma circola già qualche esempio dimostrativo.

Microsoft non è molto contenta della cosa, soprattutto per il modo in cui è stata annunciata la vulnerabilità: come scrive nel suo comunicato di avviso, non è stata seguita la prassi abituale corretta, ossia quella di tenere riservata la scoperta della falla e di avvisare con discrezione il produttore del software fallato, affinché predisponga la correzione prima che si sparga la voce. Ma ormai la voce, appunto, s’è sparsa, gli avvisi sono diventati pubblici, per cui i dettagli sono facilmente reperibili.

È probabilmente troppo tardi perché la correzione venga inclusa nella patch mensile di aggiornamento di Windows, per cui la raccomandazione fondamentale è, per chi usa Internet Explorer su Windows XP o 2000 o Server 2003, di navigare con prudenza in siti fidati e di fare attenzione a eventuali finestre di dialogo che dovessero chiedere di premere F1.

In attesa della correzione, varrebbe anche la pena di riflettere se sia ancora il caso di usare un sistema operativo che ormai comincia a mostrare il peso dei suoi nove anni. Anche perché continuerà ad essere preso di mira dagli attacchi, visto che resta attualmente il sistema operativo per PC più usato al mondo: circa il 58% del mercato lo adopera tuttora, secondo W3schools.

« Precedente
1
…
19
20
21
22
23
…
30
Successivo »