smartphone – Pagina 3 – Attivissimo.me

Si può sbloccare un Samsung S10 con un dito stampato in 3D

Ormai il sensore d’impronta è presente su molti smartphone ed è considerato un sistema di protezione piuttosto efficace, anche se rimane valido il principio che un’impronta digitale, che ti porti in giro sempre, lasci in giro continuamente e non puoi cambiare più di dieci volte nella vita non è una password.

La corsa ai telefonini “tutto schermo”, tuttavia, rischia di compromettere l’efficacia di questo sistema. Infatti negli smartphone più recenti il sensore d’impronta viene collocato sotto lo schermo, in modo da non occupare spazio frontale e permettere allo schermo di occupare tutta la superficie del dispositivo.

Ma collocare il sensore dietro lo schermo significa rinunciare al funzionamento capacitivo, che è quello standard e ben collaudato di questi sensori, e adottare un sistema ultrasonico, come ha fatto per esempio Samsung con la gamma Galaxy S10 (a parte l’S10 Essential, che ha un sensore capacitivo sul bordo).

Il risultato di questa rinuncia è che il sensore può essere beffato usando semplicemente una copia dell’impronta generata con una stampante 3D.

Perlomeno questo è quello che dichiara un informatico che si fa chiamare Darkshark e che ha postato un video nel quale sblocca uno di questi telefonini usando una lamina di plastica sulla quale ha creato un’impronta del proprio dito, presa da un bicchiere scattandone una foto con un normale smartphone e poi usando Photoshop per aumentare il contrasto e il software 3DS Max 3D per generarne i rilievi tridimensionali. Una stampante 3D Anycubic Photon a resina, che costa circa 500 dollari, ha poi stampato la lamina con la finta impronta. Tempo necessario: meno di quindici minuti.

Questa tecnica funziona solo con i sensori ultrasonici, perché quelli capacitivi tradizionali si accorgerebbero della falsa impronta per via della sua resistenza elettrica differente rispetto a quella della pelle.

Dato che molte app che maneggiano soldi (da PayPal alle app delle banche alle app di micropagamento) oggi si basano sul sensore d’impronta, è importante conoscere queste limitazioni dei nuovi sensori ultrasonici ed eventualmente adottare una seconda forma di protezione (per esempio un PIN). O comperare un telefonino che invece di pensare all’estetica a qualunque costo offre una soluzione più semplice: mettere un sensore tradizionale sul retro.

Fonti: Naked Security, Graham Cluley.

Video: parlo di sicurezza e privacy a Linea Rossa (RSI)

Il 4 novembre scorso è andata in onda sulla RSI una puntata di Linea Rossa dedicata a dati, sicurezza e privacy. Da 13:50 circa c’è un servizio nel quale faccio una piccola demo di intrusione (consensuale) in un telefonino per rivelare quanti dati personali lasciamo in giro usando gli smartphone.

Nella demo, l’ambiente che si intravede è il mio ufficio nel Maniero Digitale, al suo debutto televisivo. Noterete alcune chicche :-). La trasmissione prosegue con un faccia a faccia con i giovani partecipanti al programma. Buona visione!

Se il video ha restrizioni regionali, provate questa versione.

Dieci anni di Android

In questi giorni ricorre il decimo anniversario di Android, annunciato nel 2007 ma reso disponibile al pubblico (sotto forma di telefonini funzionanti) nel 2008, come segnala The Register, raccontando in dettaglio la storia di questo sistema operativo che oggi detiene circa il 90% del mercato degli smartphone.

Vale la pena di ricordare i rivali dell’epoca che abbiamo ormai abbandonato quasi completamente: Symbian, BlackBerry, Windows Mobile, e di ritornare a com’erano quei primi smartphone Android, come l’HTC G1. Sì, aveva una tastiera fisica e uno schermo la cui risoluzione oggi farebbe sorridere.

Era la prima, rudimentale risposta all’iPhone di Apple e al suo iOS, lanciato nel 2007. I primi smartphone Android interamente touch arrivarono qualche mese dopo. E il resto è storia.

Ricattatori sanno il vostro numero di telefono e dicono di aver registrato un video privato

2018-09-07
di Paolo Attivissimo
password, ReteTreRSI, smartphone, truffe

Sta circolando una nuova variante della truffa “so qualcosa di te, ti ricatto facendoti credere che so molto di più”. Mentre la versione precedente si rendeva credibile citando una password effettivamente usata anni prima dalla vittima, questa usa un trucco decisamente più scadente: il numero di telefono.

**
$$$Last digits 1390 is your phone*** 
$$$$You installed malware plugin$$$$
##I backuped all contact**
@@@@I recorded private video with the phone$$$$
@Have Questions?****
$$$$$Answer to mail$$
***And we doing trade for silent****
@@@@@Time started. 48 hour@@@@
##

In pratica gli aspiranti ricattatori dicono di sapere il vostro numero di telefono, lo dimostrano indicandone le ultime quattro cifre, e poi dicono di aver installato sul vostro dispositivo un malware che ha copiato tutti i contatti e registrato i video privati che avete fatto con il telefonino. Per non divulgarle vogliono soldi entro 48 ore.

Prima di tutto, non è un attacco personale. I truffatori si sono semplicemente procurati elenchi di numeri telefonici abbinati a indirizzi di mail (non è difficile), ma non vuol dire affatto che abbiano infettato il vostro telefonino o che abbiano un vostro video privato. Ma chi fa video privati si sente preso di mira e vulnerabile e abbocca all’inganno.

Se ricevete un messaggio di questo genere (grazie silvia per avermelo segnalato), cancellatelo tranquillamente, e cogliete l’occasione per controllare comunque la sicurezza dei vostri account:

Avete scritto le loro password in un posto sicuro? No, le Note del telefonino non sono un posto sicuro.
Avete attivato l’autenticazione a due fattori, così anche se qualcuno scopre la vostra password non riuscirà lo stesso a rubarvi l’account?
Avete usato password differenti per ciascun account, così se scoprono la password di un account non sanno automaticamente quella degli altri?

I telefonini fanno male alla memoria?

2018-07-20
di Paolo Attivissimo
ReteTreRSI, salute, smartphone, telefonia

Ultimo aggiornamento: 2018/07/20 15:40.

Uno studio dell’Istituto tropicale e di sanità pubblica svizzero effettuato
su 700 giovani in Svizzera e pubblicato sulla rivista Environmental
Health Perspectives ha attirato molta attenzione nei media perché sembra portare prove della tesi che campi elettromagnetici ad alta frequenza dei telefoni mobili possono
avere effetti nefasti sullo sviluppo della memoria in alcune zone del
cervello (rsi.ch; Ticinonews; La Regione; Blick).

Sul sito della rivista, però, l’articolo non c’è. Così ho contattato la rivista, che mi ha dato un link di anteprima all’articolo (in fondo alla pagina), che uscirà ufficialmente lunedì 23 luglio (il link sarà questo; una bozza è qui). Si intitola A prospective cohort study of adolescents’ memory performance and
individual brain dose of microwave radiation from wireless
communication ed è legato a uno studio precedente dello stesso gruppo pubblicato nel 2015 (Memory performance, wireless communication and exposure to
radiofrequency electromagnetic fields: a prospective cohort study in
adolescents, DOI: 10.1016/j.envint.2015.09.025).

Leggendo la pagina di presentazione risulta che i dati sono ancora assolutamente preliminari e non certi: “i risultati dello studio possono essere stati influenzati dalla pubertà, che ha effetto sia sull’uso del telefonino sia sullo stato cognitivo e comportamentale del partecipante”.

In ogni caso, per scrupolo di sicurezza i ricercatori consigliano di minimizzare il rischio “usando cuffiette o il vivavoce durante le chiamate, in particolare quando la qualità della rete è bassa e il telefonino lavora alla massima potenza”.

Alcuni smartphone Samsung sono accusati di mandare foto a caso e di nascosto

Se avete l’abitudine molto diffusa di custodire foto intime sul vostro smartphone, fate attenzione, perché potreste scoprire che il telefonino le ha simpaticamente mandate a qualcuno dei vostri amici di nascosto.

Almeno due smartphone della Samsung, i Galaxy S9 e S9+, sono infatti accusati di avere un difetto per cui l’app Samsung Messages, usata per la gestione dei messaggi, manda foto senza che l’utente gliel’abbia chiesto e senza segnalare di averlo fatto.

Un utente dice che il telefonino ha mandato tutte le sue foto alla sua ragazza nel corso di una notte; un altro ha segnalato che le sue foto sono state mandate a varie persone presenti nella sua rubrica dei contatti. Se chi le ha ricevute non lo segnala, gli utenti non hanno modo di sapere che questi invii sono avvenuti.

Samsung per ora si è limitata a dire che è al corrente di queste segnalazioni e che i tecnici le stanno esaminando. In attesa che venga chiarita la dinamica di questo strano problema, per prudenza conviene andare nelle Impostazioni e poi scegliere App e Notifiche, selezionare Samsung Messenger e poi Autorizzazioni, negando l’accesso alla fotocamera e all’archivio foto.

Fonti: Sophos, BoingBoing.

La lista dei PIN più usati

Questi sono i primi dieci PIN più usati al mondo secondo le ricerche di Troy Hunt, che mette a disposizione un database di circa 306 milioni di password provenienti da vari furti di massa.

1234

1111

1342

0000

1212

1986

4444

7777

6969

1989

I dieci successivi sono:

2222

5555

2004

1984

1987

1985

1313

5678

8888

9999

Secondo questa ricerca cinese c‘è una certa variabilità regionale: per esempio, i primi tre PIN cinesi più frequenti sono 1234, 1314 e 2008. Il primo non è una sorpresa, ma gli altri due come si spiegano? Secondo la ricerca, 1314 in cinese somiglia molto a “per sempre” e 2008 è l’anno in cui le Olimpiadi si tennero a Pechino.

L’aspetto più sorprendente è la popolarità di questi PIN: sarebbe possibile indovinare oltre il 23% dei PIN cinesi usando solo questi primi dieci. La percentuale scende, si fa per dire, al 14% negli Stati Uniti. Secondo questa indagine, 1234 è talmente diffuso a livello mondiale che è usato da un utente su dieci.

In altre parole: se usate uno di questi primi dieci PIN, un ladro che vi ruba lo smartphone ha delle ottime probabilità di sbloccarlo in poco tempo. Soluzione semplice: non usate questi PIN.

Ingannare Siri, Alexa, Google Assistant con comandi vocali nascosti

2018-05-11
di Paolo Attivissimo
attacchi informatici, Google, iPhone, messaggi subliminali, ReteTreRSI, riconoscimento vocale, Siri, smartphone

I dispositivi digitali dotati di riconoscimento vocale hanno una caratteristica che per molti utenti è inaspettata: “sentono” e “capiscono” in maniera molto differente da come lo facciamo noi. Di conseguenza, suoni che per noi non hanno senso, o non sono neanche udibili, possono essere usati per mandare a questi dispositivi dei comandi nascosti.

Un gruppo di studenti universitari statunitensi ha ampliato le ricerche iniziate nel 2016 e ora ha dimostrato di essere in grado di nascondere comandi vocali all’interno del rumore bianco, un particolare tipo di fruscio, simile a quello che si capta sintonizzando una radio su una frequenza dove non c’è una stazione che trasmette. L’orecchio umano sente solo fruscio, appunto, ma i sistemi di riconoscimento vocale captano i comandi e li eseguono. Nel video, un iPhone bloccato viene indotto a comporre un numero telefonico usando questa tecnica.

I ricercatori dicono di essere stati in grado di attivare Google Now per mettere il telefono in modalità aereo e di manipolare il sistema di navigazione di un’auto della Audi, di indurre uno smartphone a visitare un sito pericoloso, a fare una foto o inviare un messaggio.

Altri studiosi hanno dimostrato di poter creare frasi che al nostro orecchio sembrano dire una cosa ma che vengono interpretate in tutt’altro modo da questi dispositivi (un esempio semplice: cocaine noodles viene interpretato come OK Google), oppure canzoni che contengono messaggi “subliminali” (stavolta sul serio, non come nella leggenda metropolitana).

Questo genere di attacco è prevenibile evitando di tenere costantemente aperto il microfono dei dispositivi, cosa peraltro consigliabile anche per altre ragioni.

Tenere attivo “OK Google” significa mandare pezzi di conversazioni a Google

2018-05-03
di Paolo Attivissimo
Android, Google, ReteTreRSI, riconoscimento vocale, smartphone, sorveglianza

Ultimo aggiornamento: 2018/05/03 8:20.

La funzione OK Google o Assistente Google degli smartphone Android è comoda, per carità: permette di usare queste parole per attivare il telefono e dargli dei comandi a voce. In teoria il telefono dovrebbe attivarsi soltanto quando viene pronunciato “OK Google”, ma la realtà è diversa. Oggi l’ho tenuto acceso per prova e i risultati sono stati piuttosto comici.

L’Assistente Google si è messo in testa che io gli abbia detto “OK Google” e poi gli abbia chiesto “lo fai quando scopi”. Cortesemente mi ha risposto proponendomi un link intitolato “Come fare l’amore la prima volta: com’è? Fa male?”. Grazie, ma non è un’informazione che mi serve in questo momento. Poi ha capito (erroneamente) che gli ho detto “Milan” e ha risposto dandomi il risultato del Milan contro il Benevento Calcio (se ci tenete a saperlo, Google dice che il Milan ha perso 1 a 0).

In realtà ha captato frammenti di una mia dettatura in inglese, nella quale non ho assolutamente pronunciato “OK Google”. Sono andato nella cronologia dell’attività vocale (sotto myactivity.google.com) e ho trovato le registrazioni degli spezzoni di voce che hanno attivato per errore la funzione OK Google: stavo dettando dei numeri e della punteggiatura. Nulla che somigliasse, neanche vagamente, alle parole capite dall’Assistente Google.

Bizzarro e divertente, certo, ma bisogna anche tenere presente che il riconoscimento vocale dell’Assistente Google implica quasi sempre l’invio a Google degli spezzoni di voce. Quindi se tenete attiva l’opzione di pronunciare OK Google, lo smartphone manderà a Google non solo le cose che dite dopo aver detto “OK Google” (e quindi quando sapete di avere Google in ascolto), ma anche quelle che dite quando lo smartphone crede che abbiate detto “OK Google”.

Un altro aspetto curioso di questa funzione è che è dannatamente difficile da disabilitare, perlomeno in Android 8.1.0 aggiornato sui miei due Nexus 5X. La dicitura “Pronuncia ‘Ok Google’” continua ad essere presente nel widget di ricerca di Google nonostante i miei vari tentativi di disabilitarla.

Ho provato a seguire le istruzioni della guida di Google: ho richiamato l’Assistente tenendo premuto a lungo il tasto Home, ho toccato l’icona blu in alto a destra, ho toccato i tre puntini in alto a destra, ho toccato Impostazioni, sono andato nella sezione Dispositivi, ho toccato la voce Telefono e ho disattivato la voce Assistente Google. Niente da fare.

Sono andato nell’app di Google (la G colorata su sfondo bianco), ho toccato le tre righe orizzontali in alto a sinistra, ho scelto Impostazioni, ho toccato l’opzione Voce, ho scelto Voice Match e poi ho disabilitato Dì “Ok Google” in qualsiasi momento e Durante la guida. Ho anche eliminato il modello vocale. Macché.

Posso ancora disabilitare l’accesso al microfono dell’app di Google (Impostazioni – App e notifiche – Google – Autorizzazioni – Microfono: la dicitura “Pronuncia ‘Ok Google’” rimane visibile nel widget, ma se dico “OK Google” il telefono non reagisce. Per contro, non funziona più neanche l’attivazione del microfono toccando la sua icona nel widget. Scomodo.

Fra l’altro, il widget di Google è diventato inamovibile. Non c’è modo di rimuoverlo. E non sono il solo a notare problemi di questo genere. Questa difficoltà nell’impedire la raccolta di dati da parte di Google è ben descritta da The Register come la sua tendenza, lentamente ma inesorabilmente crescente, a usare gli smartphone come dispositivi di data slurping. Del resto, raccogliere dati è il core business di Google, a differenza per esempio di Apple.

Altra particolarità: ho riacceso oggi un vecchio WileyFox che ha su Android 7.1.2 e l’app di Google versione 7.19.20.21 e ho trovato attivo l’Assistente Google. Eppure non ho mai attivato l’Assistente su quel telefono. Però qui sono andato nell’app di Google, ho toccato le tre righe orizzontali (che qui sono in basso a destra) – Impostazioni – Impostazioni – Telefono, ho disabilitato Assistente Google e ora non risponde più ai comandi vocali. Inoltre il widget di ricerca in Google è inamovibile.

Per i miei Nexus 5X, l’unica soluzione che ho trovato e verificato è installare un launcher come Apex; questo disabilita il riconoscimento di “OK Google” e permette, se si vuole, di rimuovere il widget di Google dalla schermata Home del dispositivo.

Avete qualche soluzione migliore?

2018/05/03 8:20

Ho tenuto sotto osservazione la mia cronologia delle registrazioni vocali e non ho trovato attivazioni non intenzionali da quando ho installato il launcher alternativo. Direi che la soluzione non è perfetta ma funziona.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Aziende aiutano stalker a violare le vite altrui, vengono violate

Credit: spymasterpro.com.

Mobistealth e Spymaster Pro sono due aziende che producono e vendono quello che si chiama stalkerware, ossia software per spiare le persone.

Si tratta di prodotti per Android e iPhone che possono intercettare le conversazioni fatte su Facebook e su vari altri sistemi di messaggistica, localizzare la vittima grazie al GPS e (nel caso di Mobistealth) anche accendere a distanza il microfono dello smartphone sorvegliato, come racconta Motherboard. Basta installarle di nascosto sullo smartphone della vittima oppure procurarsi le sue credenziali iCloud.

Esistono usi legittimi di questo tipo di software, per esempio per la sorveglianza di bambini, persone malate o vulnerabili, ma il grosso del mercato è nella sorveglianza coniugale o dei partner adulti senza il loro consenso: un atto illegale in quasi tutti i paesi.

Di recente queste due aziende di sorveglianza sono state sorvegliate, attaccate e saccheggiate di nascosto: gigabyte di dati dei clienti, compresi i loro messaggi intercettati, sono stati forniti a Motherboard, che li ha verificati. Mobistealth e Spymaster Pro non hanno risposto alle richieste di commento.

Qualcuno si sta chiaramente vendicando di chi fornisce questi strumenti di stalking. A queste due è andata molto male, perché ora i dati dei loro clienti (e quindi i nomi degli stalker) sono stati resi pubblici, con tutto quello che ne consegue, ma a un’altra società dello stesso genere, Retina-X, è andata peggio: pochi giorni fa è stata attaccata e dai suoi server sono state cancellate tutte le foto rubate alle persone sorvegliate, che oltretutto erano facilissime da ottenere. Le era già successo un anno fa, ma chiaramente la lezione non è stata imparata.

Se temete che qualcuno vi voglia sorvegliare con stalkerware di questo genere, ecco alcuni consigli di base:

Non lasciate mai incustodito il vostro smartphone e non lasciatelo maneggiare da nessuno, partner e figli compresi.
Non installate app che non conoscete, specialmente giochi.
Proteggete il vostro account iCloud con una password molto robusta e cambiatela spesso.
Non dimenticate che gli smartphone sono vulnerabili, mentre i telefonini tradizionali sono praticamente inattaccabili. Valutate se potete fare a meno di uno smartphone e accontentarvi di telefonare e mandare SMS.