Vai al contenuto

Conferenza all’Università di Camerino: un giorno di ordinario abuso informatico

Il 6 maggio scorso sono stato invitato a tenere una conferenza sul tema dell’abuso informatico presso l’Università di Camerino, nell’ambito di “Uso, abuso e riuso degli strumenti informatici”, un ciclo di lezioni su sicurezza informatica e diritto delle cosiddette “nuove tecnologie” promosso dal corso di laurea in informatica della Scuola di Scienze e Tecnologie (il programma con tutti i relatori è qui). Il video del mio intervento è ora disponibile e lo potete vedere qui sotto. Io inizio a 13:45. C’è anche una mia breve intervista nel TG regionale di Raitre (a circa 10 minuti dall’inizio).

Ho colto l’occasione per fare il punto sugli abusi informatici commessi da società commerciali, crimine organizzato e governi. Credo che sia abbondantemente ora di prendere coscienza di queste intrusioni sempre più pervasive e di cominciare a prendere nuove abitudini e adottare contromisure, per non fregarci con le nostre stesse mani. Buona visione.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Primo ministro britannico adotta la linea dura contro il terrorismo: bandire WhatsApp. È il Gastrospasmo del Fare

Primo ministro britannico adotta la linea dura contro il terrorismo: bandire WhatsApp. È il Gastrospasmo del Fare

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “pierdimat*” e “fchion*”. Se vi piace, potete incoraggiarmi a scrivere ancora.

In risposta all’attacco terroristico a Charlie Hebdo, il primo ministro britannico David Cameron vuole abolire ogni forma di comunicazione online non intercettabile dal governo. Lo dice molto chiaramente nel discorso che ha fatto ieri, il cui video è presentato da The Independent.

A prima vista sembra una buona soluzione per impedire ai terroristi di poter comunicare fra loro senza poter essere intercettati. Lo sembra fino al momento in cui a qualcuno (evidentemente non qualcuno dello staff tecnico di Cameron) viene in mente che abolire ogni forma di comunicazione digitale non intercettabile dal governo significa abolire (o indebolire fino a renderla inutile) la crittografia che garantisce la sicurezza delle transazioni bancarie. Significa bandire WhatsApp, iMessage, FaceTime, Telegram, PGP e qualunque altra applicazione che faccia uso di cifratura seria. Significa bandire uno dei protocolli fondamentali di sicurezza di Internet, ossia SSL, come osserva Mikko Hypponen.

“Vogliamo consentire un mezzo di comunicazione fra le persone che noi […] non possiamo leggere?” si chiede retoricamente Cameron nel proprio discorso.

Sì, signor Cameron, lo vogliamo, perché quel mezzo di comunicazione è, tanto per dirne una, quello che tiene al sicuro i nostri conti correnti. E anche i suoi.

Non era difficile prevedere che la risposta politica, puramente demagogica, alla strage di Charlie Hebdo sarebbe stata una stupidaggine tecnica, come l’altrettanto cameroniano filtro antiporno, rivelatosi un flop totale. I politici non capiscono niente di Internet (le eccezioni si contano sulle dita di Eta Beta) e sono posseduti dal Gastrospasmo del Fare:

In caso di crisi, fai qualcosa. Qualunque cosa, anche una cretinata inutile o controproducente, ma fatti vedere che fai qualcosa. E poi vantati di aver fatto qualcosa e di aver dimostrato decisione e risolutezza. Tanto le conseguenze della tua cretinata le pagherà qualcun altro.

Il Gastrospasmo del Fare ha naturalmente il Corollario del Negare e Aumentare:

Se quello che hai fatto non funziona, esattamente come ti avevano avvisato i tecnici, non ammettere l’errore, ma dichiara con decisione che funzionerebbe benissimo se soltanto lo si facesse in dosi più massicce.

Dicevo, prevedere un nuovo esempio di teatrino della sicurezza non richiedeva poteri di chiaroveggenza. Era però difficile immaginare che la cretinata sarebbe stata di questo calibro colossale. Vedremo se i colleghi di Cameron negli altri paesi sapranno dare dimostrazioni d’inettitudine tecnica altrettanto mirabili. Qualcosa già si sta affacciando qui, e rispetta perfettamente il Gastrospasmo e il suo corollario.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Cat Stevens quasi beffa l’antiterrorismo grazie a un refuso

Nuova puntata della serie “la vostra sicurezza è in buone mani”. L’ex cantante Cat Stevens, che ora si fa chiamare Yusuf Islam, è nella lista dei sospettati di terrorismo stilata dal governo USA (per motivi non divulgati), ma è riuscito lo stesso a salire su un aereo diretto negli USA, che poi è stato bloccato. C’è riuscito grazie a un problema di ortografia.

Infatti nella lista antiterrorismo c’è scritto Youssouf Islam, non Yusuf. Così perlomeno riferisce Yahoo News, citando la rivista Time:

Time magazine, in its on-line edition, quoted aviation sources with access to the “no-fly” list as saying there is no entry on the list under the name “Yusuf Islam,” but that there is a “Youssouf Islam” on the list. They said the incorrect name was added to the list this summer. Because Islam’s name is spelled “Yusuf” on his passport, said the sources, he was allowed to board a plane in London bound for the United States. The US Transportation Safety Administration alleges that Islam has links to terrorist groups, which he has denied.

In altre parole, il sistema antiterrorismo non è abbastanza flessibile da tenere conto delle variazioni fonetiche dei nomi. Non saprebbe distinguere, per esempio, fra Smyth e Smith. Forse il governo USA dovrebbe ringraziare Cat Stevens per aver evidenziato questa falla del sistema. Con questa falla, un terrorista avrebbe potuto entrare negli USA semplicemente alterando foneticamente il proprio nome, cosa peraltro legittima, dato che con i nomi scritti in alfabeti non latini la conversione fonetica verso l’alfabeto latino non è univoca.

Ma chi è l’imbecille che scrive il software che gestisce questi sistemi? A parte il fatto che un sistema basato sui nomi, vista la facilità con la quale si può cambiare nome legalmente o illegalmente, mi sembra una totale perdita di tempo, anche soltanto come primo filtro. Che comunque, come dimostrato, non funziona.

Mah!

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Come aprire (quasi) qualunque porta: lezioni dagli esperti contro i ciarlatani

Come aprire (quasi) qualunque porta: lezioni dagli esperti contro i ciarlatani

Troppo spesso chi vende prodotti per la sicurezza vende fumo: vale in informatica, ma anche nella sicurezza fisica. Deviant Ollam, un penetration tester pagato dalle aziende per mettere alla prova le loro difese contro gli accessi indesiderati, presenta in questo video le tecniche esilaranti ma inquietantemente semplici che gli permettono di entrare in qualunque edificio a causa dell’incompetenza e superficialità di chi progetta, installa e gestisce impianti di sicurezza.

Paradossalmente, scassinare la serratura è l’ultima delle opzioni, perché c’è quasi sempre un modo più semplice di far aprire una porta.

Preparatevi a ridere e piangere: le porte automatiche si aprono con una sigaretta o un palloncino e migliaia di auto della polizia americana hanno tutte la stessa chiave che si può comprare in qualunque negozio di ferramenta, e lo stesso vale per gli ascensori. Oltretutto Ollam è un presentatore divertente e appassionante.

Io ora non riesco più a guardare una porta automatica o una porta d’albergo senza notare quanto sarebbe facile aprirla senza chiavi.

Per quelli che si chiedono se sia irresponsabile o pericoloso divulgare queste nozioni di vulnerabilità: credete che i ladri non le conoscano già? Gli unici che non le conoscono sono i clienti ingenui che vengono buggerati dai venditori di sistemi fatti con i piedi e venduti senza scrupoli. Guardando questo video saprete quanto è sicura quella porta della vostra camera d’albergo e capirete come proteggervi meglio.

Fonte: BoingBoing.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Due parole sulle vulnerabilità di Rousseau

Due parole sulle vulnerabilità di Rousseau

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2017/08/08 23:45.

Non mi dilungo sui dettagli tecnici della questione Rousseau che è divampata nei media generalisti: li ha già raccontati egregiamente David Puente in una serie di articoli. Segnalo solo alcuni fatti che forse sono stati poco evidenziati o volutamente confusi.

– Il primo “attacco” non è stato un attacco, ma ha segnalato responsabilmente in privato a Rousseau alcune sue vulnerabilità e le ha pubblicate online solo dopo che erano state corrette. Vulnerabilità, fra l’altro, equivalenti a mettere una serratura di cioccolato sulla porta di casa: limite massimo di 8 caratteri per le password e un banalissimo SQL injection, talmente classico che c’è persino la vignetta di Xkcd apposita (spiegone).

– Non è vero che le informazioni pubblicate su queste vulnerabilità sono state rimosse perché Rousseau o altri hanno preso delle “contromisure”. Beppegrillo.it scrive che “il suo sito [quello del segnalatore] è già scomparso così come i suoi account social, segno che le contromisure contro questi reati funzionano e siamo lieti che siano state così tempestive”. No. La riservatezza professionale mi impedisce di dire altro, ma la chiusura degli account del primo segnalatore non è merito di alcuna “contromisura”. Tant’è vero che gli account sono tornati online. Bullarsi di quello che non si è fatto è boriosamente stupido, per non dir di peggio.

— L’incursione non ha richiesto talento speciale. Non stiamo parlando di forzare chissà quali ostacoli. Questo era un castello costruito col fango che non ha retto all’uso di un innaffiatoio; è l’equivalente di lasciare la porta di casa socchiusa e i gioielli in bella vista sul tavolino all’ingresso.

— Lo stesso post su Beppegrillo.it dichiarava che “Sono già state messe in atto tutte le azioni necessarie per impedire il ripetersi di intrusioni informatiche come questa.” Beh, mica tanto e di certo non tutte, dato che qualcun altro è riuscito comunque a entrare subito dopo.

— Il successivo furto di dati vero e proprio (quello rivendicato da r0gue_0) ha rivelato che Rousseau non ha preso neppure le misure di sicurezza più basilari. Per l’amor del cielo, le password degli utenti erano conservate in chiaro in un database. Lo sanno anche i muri che le password si custodiscono in modo crittografato tale che neanche il gestore del sistema possa decifrarle (hashing e salting), proprio per evitare i danni di massa causati da attacchi come questo. In questo modo, se vengono rubati i dati, perlomeno non sono leggibili (o è enormemente oneroso leggerli).

— Chi minimizza dicendo che tanto non erano in corso “votazioni” non ha capito la gravità degli eventi oppure sta volutamente mettendo la testa nella sabbia. Evidentemente non ha considerato che comunque l’affiliazione politica è un dato delicato e personale e che inevitabilmente molti utenti di Rousseau avranno usato la stessa password altrove e quindi ora sono esposti al rischio di furto di account e rivelazione di altre informazioni personali. E non ha considerato che la fiducia degli utenti è stata tradita: non stiamo parlando del sito di un circolo di cucito, ma della piattaforma di gestione di uno dei movimenti politici più significativi di un paese. Se questo è il modo in cui si pensa di gestire la democrazia digitale, è meglio lasciar perdere e trovare qualcuno che ci capisca.

— Chiamare Rousseau “sistema operativo” (come fa Beppegrillo.it a firma di “Associazione Rousseau”) significa dichiarare di essere capre in informatica. Un sistema operativo è del software che dialoga con l’hardware e fa da interprete e servitore per le applicazioni. Windows, Android, MacOS, iOS, Linux sono esempi di sistemi operativi: Rousseau no. È un sito, un portale, una piattaforma gestionale, ma non un sistema operativo. Chiamarlo sistema operativo è come vedere un cavallo e chiamarlo automobile.

Se volete altre opinioni sulla sicurezza di Rousseau, date un’occhiata a questo articolo su Formiche.net e a questo su Il Post.

2017/08/08 16:20. Rousseau protegge le password con un sistema preistorico che si supera in dodici secondi, secondo questa analisi.

2017/08/08 23:45. Ho aggiornato per chiarire il concetto di crittografia dei dati.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Divieti per laptop e tablet in aereo: le cose da sapere

Divieti per laptop e tablet in aereo: le cose da sapere

Rapprentazione esemplificativa
delle nuove misure di sicurezza.

L’amministrazione Trump ha introdotto un divieto, valido da venerdì 24 marzo, che proibisce di portare in cabina sui voli di linea qualunque dispositivo elettronico più grande di un telefonino per i voli diretti negli Stati Uniti e provenienti da alcuni aeroporti di Arabia Saudita, Turchia, Egitto, Dubai, Abu Dhabi, Qatar, Kuwait, Giordania e Marocco.

Sono interessate le seguenti compagnie aeree: EgyptAir, Emirates Airline, Etihad Airways, Kuwait Airways, Qatar Airways, Royal Air Maroc, Royal Jordanian Airlines, Saudi Arabian Airlines e Turkish Airlines.

Il Regno Unito ha attivato un divieto analogo che colpisce i voli provenienti da Egitto, Libano, Turchia, Giordania, Tunisia e Arabia Saudita delle seguenti compagnie: British Airways, EasyJet, Jet2.com, Monarch, Thomas Cook, Thomson, Turkish Airlines, Pegasus Airways, Atlas-Global Airlines, Middle East Airlines, Egyptair, Royal Jordanian Airlines, Tunis Air e Saudia.

La giustificazione per queste misure è (tanto per cambiare) il terrorismo, perché si sospetta che un laptop possa essere usato come contenitore per una bomba, come già successo nel 2016 su un volo della Daallo Airlines partito da Mogadiscio.

L’idea che un terrorista potrebbe tranquillamente imbarcarsi da un altro paese escluso dalla lista nera, o usare un’altra compagnia aerea (come ho fatto io per andare a Houston proprio pochi giorni fa, usando il mio laptop senza problemi), non sembra aver sfiorato gli ideatori del provvedimento. Allo stesso modo, l’idea che basti portare a bordo qualche Samsung Galaxy Note 7 (che prende fuoco spontaneamente) oppure un po’ di telefonini con batteria al litio rimovibile e cortocircuitabile per ottenere un effetto Samsung analogo non pare aver stimolato riflessioni di buon senso.

Senza iPad e laptop, le ore di un volo intercontinentale verso gli Stati Uniti diventeranno un incubo per chiunque viaggi per lavoro ed è abituato a far fruttare le ore passate in aereo lavorando al computer. Certo, si può decidere di dormire o di leggere o guardare qualche film, ma resta il problema che il computer/tablet va stivato, con tutti i rischi di danneggiamento e di furto che questo comporta. In pratica, molti saranno costretti a lasciare a casa il computer e arrivare alla meta informaticamente nudi. Quella presentazione da rifinire all’ultimo minuto? Scordatevela: dovrete portarla su una chiavetta USB e procurarvi un computer sul posto (che avrà una tastiera USA, senza accentate; e pregate che abbia una versione di software compatibile con la vostra).

I dispositivi proibiti non sono solo laptop e tablet: sono vietati in cabina anche giochi elettronici, libri digitali, lettori DVD, scanner, stampanti e fotocamere. Le uniche eccezioni riguardano i dispositivi medici essenziali. Prima che ci pensiate: no, dire che il laptop è un dispositivo medicale perché è l’unica cosa che impedisce di impazzire stando nove ore pigiati come sardine, con bambini che piangono incessantemente e cibo di gomma, non è una giustificazione che le imperscrutabili autorità accoglieranno facilmente.

Questa è la situazione al momento in cui scrivo: prima di partire, consultate le istruzioni della vostra compagnia aerea. E procuratevi un buon libro (non digitale) da leggere.

Fonti: Naked Security, CNN, CNN.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Scanner aeroportuali, soldi buttati? Reporter mettono a nudo gli scanner che denudano

Scanner aeroportuali, soldi buttati? Reporter mettono a nudo gli scanner che denudano

Questo articolo vi arriva grazie alle gentili donazioni di “tombovo” e “riccardo”. L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2010/02/18.

È quello che nel gergo di Internet si chiama epic fail e il resto dell’universo chiama figuraccia galattica (magari con formule più scatologicamente colorite): in un programma della TV tedesca, uno scanner per passeggeri, di quelli da installare negli aeroporti e che rivelano le forme nude dei soggetti esaminati, trova il telefonino, il microfono e il temperino che la cavia ha con sé, ma non trova gli ingredienti di una bomba dissimulati sulla medesima cavia in modo assolutamente banale, addirittura senza ricorrere all’uso di cavità corporali (tranne una che vi lascio scoprire nel video qui sotto).

Gli ingredienti vengono poi mostrati al pubblico (e all’imbarazzatissimo operatore dello scanner) e riuniti per realizzare la miscela incendiaria chiamata termite (che chi ha seguito i complottismi undicisettembrini conosce bene), che produce una bella fiammata davanti alle telecamere. Roba che non sarebbe molto gradevole trovarsi a bordo in volo. Il video è assolutamente da vedere anche se non conoscete tutte le sfumature del tedesco.

Sembra essere uno scanner a infrarossi passivi, da quel che capisco della presentazione, diverso da quelli a onde millimetriche che sono stati installati di corsa e sono obbligatori in alcuni aeroporti britannici (Heathrow e Manchester) ai primi di febbraio, ma il principio di base è lo stesso: si propongono soluzioni tecnologiche costosissime senza sottoporle a verifica indipendente.

Soluzioni che oltretutto ledono in modo inaudito la dignità delle persone ancor più che la loro riservatezza, obbligandole a passare nude, bambini compresi, davanti agli esaminatori aeroportuali: gli stessi che rifiutano di sottoporsi a controlli di sicurezza e che sarebbero già stati colti a conservare le scansioni nude di celebrità, con buona pace di tutte le garanzie ufficiali sul rispetto della sfera privata. È perlomeno quello che ha raccontato pochi giorni fa Shah Rukh Khan, una delle superstar del cinema indiano, alla TV britannica. Yahoo News riferisce che Khan, dopo essere passato attraverso uno degli scanner londinesi, ha visto delle “ragazze” che avevano delle stampe della sua scansione senza vestiti. Molto sportivamente, gliele ha autografate.

Intanto dagli Stati Uniti emerge che le assicurazioni secondo le quali gli scanner aeroportuali installati dalla Transportation Security Authority non avevano la possibilità di memorizzare le immagini sono fasulle. I dati si possono salvare su disco rigido o su una comoda penna USB. Per smascherare la frottola è stato sufficiente procurarsi le specifiche tecniche dell’appalto, come racconta The Register.

Immaginate Cindy Crawford che passa da uno di questi scanner e ditemi se degli operatori annoiati e sottopagati secondo voi resisteranno alla tentazione di fare una cattura della schermata o un bel filmatino con il telefonino. Scoprire chi s’è rifatto il seno o altre parti del corpo e nega di averlo fatto potrebbe avere un discreto valore di mercato. E naturalmente ci sono i bambini. Questo sarebbe il modo di non far vincere il terrorismo?

2010/02/18

Siim Kallas, della Commissione Europea per i Trasporti, sta preparando un rapporto su questi scanner per il Parlamento Europeo. La materia dovrebbe essere oggetto di discussione in questi giorni nel summit dei ministri dei trasporti a La Coruña, in Spagna. La decisione britannica di introdurre questi scanner è stata criticata, segnala The Register, da Ron Noble, segretario generale dell’Interpol, dalla Corte Europea dei Diritti Umani, e dal commissario UE Viviane Reding.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
L’FBI è entrata nell’iPhone del terrorista. Quello nel quale giurava di non poter entrare

L’FBI è entrata nell’iPhone del terrorista. Quello nel quale giurava di non poter entrare

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2016/03/29 11:35.

L’FBI ha depositato una dichiarazione legale (altra copia qui) nella quale afferma di essere riuscita ad entrare nell’iPhone del terrorista Syed Farook (vicenda discussa in questi articoli) e quindi rinuncia all’ordine del Dipartimento di Giustizia che imponeva ad Apple di assistere nello scardinamento delle sicurezze del telefonino (e, di conseguenza, di tutti gli iPhone dello stesso tipo al mondo).

Va notato che l’FBI aveva rilasciato una dichiarazione giurata nella quale asseriva invece ripetutamente che la collaborazione di Apple era l’unico modo possibile per accedere ai dati presenti nel telefonino (per esempio: “Apple has the exclusive technical means which would assist the government”, p. 3; “the FBI cannot do so without Apple’s assistance”, p. 5; “the assistance sought can only be provided by Apple”, p. 7; “there may be relevant, critical communications and data… that… cannot be accessed by any other means known to either the government or Apple”, p. 19).

Non possono essere vere entrambe le dichiarazioni, e questo pone un problemino di credibilità per le prossime volte che l’FBI o il governo statunitense farà affermazioni non supportate da prove.

Edward Snowden ha appunto un commento lapidario: “Giornalisti: per favore
ricordate che il governo ha asserito per mesi che questo era
impossibile, nonostante il consenso degli esperti.”

Non si sa ancora se il telefonino in questione contiene dati significativi per le indagini. Sarebbe assai ironico se, dopo tutto questo can can e dopo aver detto (in sostanza) che accedere a quel telefonino era così importante da giustificare la compromissione della sicurezza di tutti gli iPhone, l’FBI dovesse ammettere che nell’iPhone di Farook non c’è nulla di utile: cosa assai probabile, visto che Farook prese la precauzione di distruggere due altri suoi telefonini ma non questo.

Comunque sia, se l’FBI dispone di un metodo per entrare negli iPhone, conosce una loro vulnerabilità: la rivelerà ad Apple in modo che possa essere risolta, in modo che i criminali non la possano usare e in modo da proteggere i dati dei cittadini onesti e innocenti? In teoria dovrebbe farlo, visto che proprio gli esperti scelti dalla Casa Bianca hanno dichiarato che qualunque decisione di non rivelare una vulnerabilità per scopi di intelligence o di polizia espone gli utenti comuni al rischio che altri usino quella stessa falla e visto che esiste, almeno sulla carta, i Vulnerabilities Equity Process, un processo formale che consente (o impone) la rivelazione di falle di sicurezza informatica scoperte da enti governativi statunitensi. Staremo a vedere.

Molti utenti di iPhone avranno ora il timore di trovarsi con un telefonino vulnerabile, che ha una falla che potrebbe essere usata dai criminali per fare danni, ma occorre tenere presente che il modello di iPhone scardinato dall’FBI è un iPhone 5c, quindi non la versione più recente, che ha un hardware di sicurezza potenziato, e che nei mesi trascorsi dai fatti di sangue di San Bernardino causati da Farook Apple ha rilasciato parecchi aggiornamenti del proprio software rispetto all’iOS 9 dell’iPhone in oggetto.

Si vocifera che sia coinvolta la società di sicurezza Cellebrite, ma non ci sono prove, ed è possibile che si tratti semplicemente di una diceria (partita dalla stampa israeliana) autopromozionale. Non ci sono dettagli certi sulla tecnica hardware o software utilizzata.

Apple ne esce molto bene, schierandosi dalla parte dei propri clienti e dalla parte dei diritti dei cittadini, che una volta tanto coincidono con gli interessi commerciali. Cosa più importante, Apple (insieme ad altri grandi nomi dell’informatica, alleatisi con lei) è riuscita a evitare che si stabilisse un precedente legale pericolosissimo che l’avrebbe costretta fondamentalmente a scrivere malware per violare gli iPhone dei propri clienti.

Ma la vera questione di fondo è che questa vicenda dimostra che non era affatto necessario indebolire la sicurezza di tutti in nome dell’antiterrorismo, come invece affermavano le autorità statunitensi andando contro il parere unanime degli esperti, e che quindi siamo di fronte all’ennesima puntata del teatrino della sicurezza. Complimenti all’FBI per lo sfoggio d’incompetenza tecnica e per aver minato ulteriormente la fiducia nelle autorità.

Fonti: EFF, The Intercept, Ars Technica.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Microsoft si allea con Apple sull’iPhone del terrorista

Microsoft si allea con Apple sull’iPhone del terrorista

Credit: Wikipedia.

Nella questione della richiesta dell’FBI ad Apple di sbloccare il telefonino appartenuto a uno dei terroristi della strage di San Bernardino, in California, è entrato un altro nome che conta: Microsoft. Cosa più unica che rara, Microsoft si è schierata con Apple e contro l’FBI, e lo ha fatto con le parole di Brad Smith, President e Chief Legal Officer dell’azienda, che annunciano il deposito di una memoria legale in favore di Apple.

La memoria è sottoscritta non solo da Microsoft ma anche da molti altri nomi importantissimi dell’economia digitale: Amazon, Box, Cisco, Dropbox, Evernote, Facebook, Google, Mozilla, Nest Labs, Pinterest, Slack, Snapchat, WhatsApp e Yahoo. Tutti contrari alla richiesta dell’FBI.

In sintesi, spiega la memoria, secondo queste aziende “l’ordine del governo ad Apple supera i limiti delle leggi esistenti e, se applicato più estesamente, sarà dannoso per la sicurezza degli americani a lungo termine”. Questi grandi nomi collaborano regolarmente con le forze dell’ordine e molti “hanno squadre di dipendenti a tempo pieno… dedicate a rispondere alle richieste di dati dei clienti da parte delle forze di polizia”. Nessun desiderio di fiancheggiare criminali o terroristi: non c’è alcun “interesse a proteggere coloro che violano la legge. Ma [queste aziende] respingono l’affermazione infondata del governo secondo la quale la legge consentirebbe al governo stesso di requisire e comandare i tecnici di un’azienda per minare le funzioni di sicurezza dei loro prodotti”.

Spiega Brad Smith nell’annuncio: “L’ordine del tribunale a sostegno della richiesta dell’FBI cita l’All Writs Act, che è entrato in vigore nel 1789 ed è stato emendato in modo significativo per l’ultima volta nel 1911. Riteniamo che le questioni sollevate dal caso Apple siano troppo importanti per affidarle a una normativa ristretta risalente a un’altra era tecnologica per colmare quella che il governo ritiene sia una lacuna delle leggi attuali. Dovremmo invece rivolgerci al Congresso per trovare l’equilibrio necessario per la tecnologia del ventunesimo secolo… Se vogliamo proteggere la privacy personale e mantenere la sicurezza delle persone, la tecnologia del ventunesimo secolo va governata con leggi del ventunesimo secolo”.

Dopo aver citato il rispetto per il lavoro delle forze dell’ordine e le collaborazioni di Microsoft con gli inquirenti, Smith esprime un altro concetto fondamentale: “la gente non userà tecnologie di cui non si fida”. In altre parole, obbligare Apple (e poi, inevitabilmente, Microsoft e gli altri) a indebolire la sicurezza del proprio software non aiuterà gli inquirenti: i criminali e i terroristi non faranno altro che rivolgersi ad altri fornitori di hardware e software meno insicuri. Inoltre: “…la cifratura forte ha un ruolo vitale nel creare fiducia. Aiuta a proteggere le informazioni personali e i dati proprietari aziendali sensibili contro hacker, ladri e criminali, e non dovremmo creare delle backdoor tecnologiche che minino queste protezioni. Farlo ci esporrebbe tutti a rischi maggiori…. prendendo le difese di Apple, prendiamo le difese dei clienti che contano su di noi per tenere sicure e protette le proprie informazioni più private.”

Più chiaro di così non si può. Ma la vicenda ha anche un altro aspetto profondamente interessante: le crescenti richieste governative di accesso ai dati digitali dei sospettati custoditi dalle aziende nei cloud stanno trasformando il modo in cui queste aziende vedono i dati dei clienti. Se finora hanno pensato che questi dati potessero essere una miniera d’oro da analizzare e rivendere (Google e Facebook basano su questo i propri imperi economici), ora stanno cominciando a rendersi conto che avere accesso alle informazioni private dei clienti non è una risorsa, ma un onere. Un onere che espone colossi come Apple a richieste governative che possono devastarne il modello commerciale.

Nella questione è entrato anche Edward Snowden, con la sua solita brillante e concisa analisi su Twitter: “Se oltre all’utente c’è qualcun altro che può entrare, non è sicuro. L’accessibilità da parte del fabbricante è una vulnerabilità.” Per fare un paragone con situazioni più familiari, lo scenario che il governo americano sta cercando di far accettare è l’equivalente di una legge che obbliga i costruttori di case a custodire una copia delle chiavi d’ingresso di ogni casa che costruiscono. Il risultato è che i dipendenti infedeli dei costruttori possono abusare di queste chiavi e quelli fedeli sono soggetti all’interesse di criminali che, di fronte alla possibilità di razziare le case impunemente, non esiterebbero a ricorrere a corruzione e ricatti di quei dipendenti.

Ed è per questo che Apple e altri grandi nomi dell’informatica si stanno evolvendo verso una custodia dei dati dei clienti nella quale soltanto il cliente è in grado di decifrare i propri dati. Non per proteggere i criminali, ma per proteggere gli onesti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Apple vs. FBI: il commento di Edward Snowden

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

Edward Snowden poco fa ha tweetato parole pesanti come macigni sulla controversia legale fra FBI e Apple che ho riassunto qui. Le traduco qui sotto.

Giornalisti: i funzionari governativi stanno occultando dettagli fondamentali nel caso FBI contro Apple. Qui è giusto essere scettici:

[traduzione del testo contenuto nell’immagine che accompagna il tweet:]

1) L’FBI ha già tutti i tabulati delle comunicazioni del sospettato – con chi ha parlato e come lo ha fatto – perché questi dati sono già custoditi dai fornitori di servizi, non sul telefonino stesso.

2) L’FBI ha già ricevuto backup completi di tutti i dati del sospettato fino ad appena 6 settimane prima del reato.

3) Copie dei contatti del sospettato con i suoi colleghi – la cosa alla quale l’FBI afferma di essere interessata – sono disponibili in duplicato sui telefonini di quei colleghi.

4) Il telefonino in oggetto è un telefono di lavoro fornito dal governo, soggetto al consenso di monitoraggio; non è un dispositivo segreto di comunicazione per terroristi. I telefonini “operativi” che si ritiene nascondano informazioni incriminanti, recuperati dall’FBI durante una perquisizione, sono stati fisicamente distrutti, non “protetti da Apple”.

5) Esistono mezzi alternativi per ottenere accesso a questo dispositivo – e ad altri – che non richiedono l’assistenza del fabbricante.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.