L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento ore 22:10.
Visto che è tempo di vacanze, questa potrebbe essere una dritta utile se verificata, ma potrebbe anche trattarsi di una trovata di marketing virale per far parlare della compagnia aerea: mi è stato segnalato questo tweet secondo il quale Ryanair userebbe la cronologia dei cookie per gonfiare i prezzi, ma il trucchetto sarebbe eludibile cancellando i cookie dalla sessione di browsing del giorno precedente ("Ryanair still using cookie history to inflate prices. My folks saved £100 by deleting cookie from yesterday's browsing session").
Indicazioni analoghe, sempre non confermate, riguardano altre compagnie aeree low-cost, come Easyjet.
A voi risulta? Se fate qualche prova, pubblicatene i risultati nei commenti. Io da solo non ho le risorse per compiere una verifica rigorosa, ma forse un gruppo di smanettoni potrebbe gettare luce sulla questione con un test massiccio.
Aggiornamento ore 22:10. I Disinformatici sono stati fulminei come sempre: non solo è già arrivata la prima raffica di test informali, che indicano che l'ipotesi dei cookie è fasulla, ma un lettore, Luca, ha trovato questo articolo che parla di test più formali (con tanto di dati grezzi a disposizione), che ribadiscono che si tratta di una leggenda metropolitana. Grazie a tutti!
2011/05/28
Il signor Spock non si prende sul serio
“Signor Spock, neanch'io credo alle sue orecchie.”
Leonard Nimoy, classe 1931, l'attore noto per aver interpretato il vulcaniano Spock in Star Trek, oltre che regista di film come Tre scapoli e un bebé, è in questa versione alternativa e molto poco seria di The Lazy Song di Bruno Mars.
2011/05/27
Podcast del Disinformatico del 20 e 27/5 pronti da scaricare
Sono disponibili temporaneamente per lo scaricamento le puntate di oggi e di venerdì scorso del Disinformatico radiofonico della RSI, insieme agli articoli di supporto.
Nella puntata di venerdì scorso, scaricabile temporaneamente qui, ho invece segnalato la sconcertante somiglianza fra il cartone animato Cenerentola e il recente matrimonio reale di William e Kate, la falla di Android che ruba gli account Google, le scuse di Sony per il disastro del Playstation Network, la scoperta delle foto private su Facebook fatta da un ricercatore con pochi scrupoli e i problemi della legge antipirateria francese HADOPI, bloccata perché l'ente autorizzato a raccogliere gli indirizzi IP dei presunti pirati è stato a sua volta piratato.
Nella puntata di oggi (podcast) ho parlato del falso annuncio dell'iPhone 5 che in realtà è un virus, dell'allarme per MacDefender e i falsi antivirus per Mac che stanno facendo vittime fra gli utenti Apple perché non chiedono neanche la password, del debutto di Google Wallet per pagare tramite telefonino, del cookiejacking che ruba le credenziali di Facebook, Twitter e Gmail e delle istruzioni anti-zombi dell'ente governativo USA per la sanità.
---
Questi articoli erano stati pubblicati inizialmente sul sito della Rete Tre della Radiotelevisione Svizzera, dove attualmente non sono più disponibili. Vengono ripubblicati qui per mantenerli a disposizione per la consultazione.
---
HADOPI, piratato l'ente antipirateria
La legge HADOPi francese, che sorveglia e punisce con la disconnessione chi viola il diritto d'autore via Internet, si è trovata in una situazione così imbarazzante da costringere il governo a sospendere temporaneamente la sua raccolta di dati di sorveglianza (prevalentemente gli indirizzi IP degli utenti).
La società privata TMG, l'unica autorizzata a raccoglie questi dati, è stata infatta colta a lasciare facile accesso da parte di chiunque ai dati privati degli utenti sorvegliati, con buona pace delle leggi sulla privacy e delle promesse di tutela basate su "sistemi di sicurezza altamente affidabili" che avrebbero dovuto "garantire la riservatezza delle informazioni strategiche dei nostri clienti".
Un autore francese ha infatto trovato un server della TMG maldestramente protetto e accessibile via Internet ed è riuscito ad estrarne, fra le altre cose, una collezione di indirizzi IP di utenti sospettati di pirateria audovisiva.
La legge francese viene studiata con interesse anche da altri paesi, per cui il problema di riservatezza è un monito per tutti coloro che guardano all'esperienza HADOPI con l'intento di emularla oppure contrastarla. Questo fallimento della sicurezza dell'azienda che dovrebbe garantire la sicurezza altrui e il rispetto delle leggi è ovviamente un'ironia che non mancherà di essere sottolineata da parte di chi critica approcci antipirateria di questo genere.
Fonti: Ars Technica, BBC.
Facebook, le foto private sono pubbliche
Il ricercatore di sicurezza Christian Heinrich ha presentato recentemente in Australia una dimostrazione pratica di come ottenere accesso alle immagini private di un utente Facebook scavalcando tutte le impostazioni di privacy del popolare social network. Lo ha fatto in maniera estremamente provocatoria anche per gli addetti ai lavori: ha infatti reso pubbliche le foto personali di famiglia di un collega ricercatore, Chris Gatford, senza il suo consenso.
Polemiche interpersonali a parte, la vulnerabilità tocca tutti gli utenti di Facebook: anche se viene impostato il massimo livello di privacy delle immagini, è possibile accedere a una foto privata tramite il content delivery network (CDN), che è la rete informatica, distribuita in tutto il mondo, di una società esterna a Facebook utilizzata per recapitare più rapidamente agli utenti le pagine richieste. Facebook, come altri social network, deposita copie dei file dei profili degli utenti su questi CDN; così quando un utente richiede un'immagine il file gli viene inviato dal server del CDN geograficamente più vicino invece di dover raggiungere i server di Facebook propriamente detti, velocizzando l'accesso.
Il problema è che le impostazioni di sicurezza di Facebook non si applicano alle copie dei file depositate sui CDN. Heinrich è riuscito a risalire all'indirizzo Internet delle copie delle foto del collega-rivale presenti sul CDN procedendo per forza bruta, tramite un programma apposito che usa come chiave solo l'ID dell'utente-bersaglio (facilmente scopribile) e tenta tutti i valori possibili dell'altro parametro necessario, che è un numero progressivo. Nel giro di una settimana Heinrich ha trovato le foto private del rivale. La dimostrazione ha creato un notevole putiferio online e molta confusione, tanto da portare all'arresto di un giornalista, Ben Grubb, che aveva partecipato alla dimostrazione.
L'attacco dimostra ancora una volta che è opportuno considerare pubblica qualunque informazione messa nei social network, onde evitare rivelazioni imbarazzanti.
Fonti: Risky.biz, Stuff.co.nz.
Sony offre scuse per il blackout del Playstation Network
Con la parziale ripresa del servizio PlayStation Network, inutilizzabile dal 20 aprile scorso a causa della sottrazione di circa 100 milioni di dati dei suoi utenti, la Sony ha iniziato ad offrire degli incentivi e dei giochi agli utenti scontenti del blackout.
Verrà offerto ai giocatori un programma gratuito di protezione delle identità, valido per dodici mesi. Al momento questo programma è disponibile per gli utenti in Francia, Italia, Regno Unito, Germania e Spagna e li aiuterà a risolvere eventuali frodi e a ripagare le spese di ripristino della propria identità online. I dettagli dell'iniziativa, che potrebbe estendersi ad altri paesi, sono sul blog di PlayStation, dove vengono indicati anche i titoli dei giochi offerti gratuitamente per compensare il disagio.
Ai giocatori saranno offerti anche 30 giorni di uso gratuito dei servizi di PlayStation Plus; chi è già utente di PlayStation Plus riceverà 60 giorni di uso gratuito, mentre gli utenti della rete Sony Online Entertainment, anch'essa colpita dal furto di dati, riceveranno un pacchetto di 45 giorni di tempo di gioco e dei "soldi" spendibili nei giochi.
Cenerentola della Disney previde il matrimonio reale?
Sta circolando in Rete una serie di immagini tratte da Cenerentola, il cartone animato della Disney del 1950, che richiamano in maniera impressionante, quasi chiaroveggente, le scene del matrimonio fra il principe William e Kate Middleton.
William ha la stessa uniforme rossa e nera del principe di Cenerentola, mentre Kate ha gli stessi capelli scuri della protagonista del cartone animato e un vestito quasi uguale. E anche le sorellastre di Cenerentola hanno vestiti dello stesso colore di quelli indossati dalle principesse Beatrice ed Eugenie di York. Come è possibile?
Le immagini sembrano una prova inequivocabile, ma il sito antibufala Snopes.com ha la spiegazione corredata dei fotogrammi originali: si tratta di un falso, realizzato cambiando i colori degli indumenti e dei capelli nel cartone animato in modo da farli corrispondere a posteriori ai colori delle immagini matrimoniali, cosa peraltro facile, visto che in Cenerentola i colori sono pieni.
Falla di Android colpisce il 99% degli smartphone
Tre esperti di sicurezza dell'università di Ulm, Bastian Konings, Jens Nickels e Florian Schaub, hanno dimostrato come prendere il controllo di un account Gmail o Google Calendar in modo molto semplice attraverso le applicazioni per il sistema operativo Android, molto diffuso sui telefonini evoluti (smartphone) e sui tablet.
Queste applicazioni, infatti, gestiscono in modo non sicuro i cosiddetti token di autenticazione, ossia i codici usati dai servizi di Google per mantenere attiva una sessione senza dover reimmettere continuamente la password. Secondo gli esperti di Ulm, questi token spesso non sono cifrati e possono restare validi fino a due settimane: se un malfattore riesce a intercettarli, per esempio ascoltando il traffico su una rete WiFi aperta, ha in mano una chiave che gli consente di prendere il controllo della sessione e quindi del servizio quanto basta, per esempio, per inviare messaggi o cambiare i dati della rubrica o reimpostare la password dell'account.
Le versioni 3.x e 2.3-4 di Android gestiscono questi token in modo meno insicuro, tramite il protocollo HTTPS, ma i telefonini e tablet che usano già queste versioni sono pochissimi: meno dello 0,3%. In attesa che i produttori di questi dispositivi distribuiscano gli aggiornamenti dei rispettivi sistemi operativi, all'utente Android non resta che evitare di usare reti WiFi aperte, ricorrendo invece alla connessione cellulare o a una VPN, oppure evitare di usare le applicazioni Android di accesso ai servizi di Google.
Virus per Mac, cosa fare
Alla fine il momento a lungo previsto è arrivato: gli utenti dei computer Apple si trovano minacciati da MacDefender / MacGuard / MacSecurity / MacProtector, un programma dalla grafica molto realistica e credibile, diffuso in numerose varianti continuamente aggiornate, che si spaccia per un antivirus (in realtà è un trojan) e avvia automaticamente la propria installazione, in alcuni casi senza chiedere la password di amministratore, semplicemente visitando una pagina Web infetta che compare per esempio nei risultati di una ricerca in Google. Una situazione ben nota agli utenti Windows, che a queste cose sono abituati, ma sostanzialmente inedita per gli utenti Apple, che quindi si trovano spaesati e particolarmente vulnerabili.
Alcune fonti stimano che le vittime di questo attacco informatico siano alcune decine di migliaia, con una stima massima di circa 125.000. Lo scopo dell'attacco è convincere le vittime a fornire i dati della propria carta di credito per acquistare la versione completa del finto antivirus e liberarsi dell'infezione.
Gli utenti Apple non sono certo stati aiutati dalla lentezza di Apple nel reagire al problema: dopo aver inizialmente dato ordini all'assistenza tecnica di negare ogni aiuto concreto, sono passati infatti ben 25 giorni fra segnalazione dell'esistenza di MacDefender e compagnia bella da parte degli esperti di sicurezza e la pubblicazione delle istruzioni di Apple (in italiano qui) su come difendersi da questo attacco e rimuoverlo se si è già stati colpiti. Apple ha poi annunciato che prossimamente distribuirà un aggiornamento che risolverà entrambi i problemi.
In attesa di questo aggiornamento, alle istruzioni di Apple è opportuno aggiungere la raccomandazione di disabilitare in Safari l'apertura automatica dei file scaricati che secondo Apple sarebbero "sicuri": aprite Safari, andate nelle Preferenze, aprite la scheda Generale e togliete il segno di spunta dall'ultima casella in basso, quella che parla appunto di apertura di file "sicuri".
L'altro consiglio fondamentale per gli utenti Apple è installare un vero antivirus e imparare a conoscerne i messaggi di avvertimento, in modo da non farsi ingannare da quelli dei falsi antivirus. È opportuno farsi consigliare nella scelta da una persona esperta di fiducia e scaricare l'antivirus direttamente dal sito del produttore. Alcuni esempi di veri antivirus sono Sophos Anti-Virus per Mac Home Edition (gratuito), F-Secure Anti-Virus for Mac 2011 (a pagamento, con periodo di prova gratuito) e Norton AntiVirus 11.0 for Mac (a pagamento). I rispettivi manuali contengono immagini dei messaggi d'avvertimento reali per rendere più facile capire quando si è realmente sotto attacco.
La raccomandazione finale è, come sempre, di essere vigili e di leggere attentamente gli avvisi che compaiono sullo schermo prima di cliccare o accettare qualunque invito a proseguire installazioni che si sono avviate automaticamente.
Fonti aggiuntive: Siamogeek, Intego.
Attenzione alle pubblicità per l'iPhone 5
Davide, un lettore e ascoltatore del Disinformatico, segnala il
pericolo di una mail che sembra provenire da Apple (il mittente apparente è
noreply@apple.com) e annuncia, con una grafica davvero
ricca e molto professionale, l'arrivo dell'iPhone 5, imitando quasi
perfettamente lo stile delle comunicazioni pubblicitarie reali di Apple.
Il link contenuto nella finta mail pubblicitaria porta a un file che si spaccia per un'immagine ma è in realtà un programma per Windows situato presso Comiali.com e altri siti, che probabilmente sono solo ospiti inconsapevoli del file. Il mittente è fasullo (come ormai sa da tempo chi segue il Disinformatico, il mittente di una mail si falsifica con estrema facilità).
Analisi di questa trappola sono presso SecurityNewsDaily, MacRumors e DSLReports.com; il file eseguibile è da considerare ostile, e come se non bastasse, il link porta anche a una finta pagina di Apple che chiede il vostro identificativo Apple e altri dati personali e quindi ve li sottrae, rubandovi il vostro account Apple, dal quale può accedere alla musica comprata con iTunes e potenzialmente effettuare acquisti addebitandoli a voi.
Secondo Clean-Mx.de, il file è IRC/Zapchast.AR, che Microsoft descrive come un trojan e backdoor che permette al gestore del virus di prendere il comando del computer infetto, come descritto in dettaglio da F-Secure.
Google Wallet, pagare con il telefonino
Google ha presentato Wallet ("portafogli" in inglese), la sua proposta di soluzione per i pagamenti tramite telefonino: un'idea di cui si parla da anni e che forse stavolta diventerà realtà. Google non è certo l'unico grande nome del mondo digitale ad avere in cantiere progetti di questo tipo, ma si distingue perché ha l'appoggio di molti grandi nomi del settore delle carte di credito, delle transazioni economiche, della vendita al dettaglio e dei produttori di telefonini.
Il sistema, che debutterà concretamente quest'estate ma è già in fase di test sul campo, si basa sulla presenza, nel telefonino dell'utente, di un chip apposito, denominato NFC (Near Field Communications), che permette lo scambio di dati fra il cellulare e il terminale di vendita via radio a distanza ravvicinata. In pratica, per effettuare un pagamento si avvicina il telefonino al terminale, si digita un codice di autorizzazione, e il gioco è fatto. I telefonini che montano già questo chip sono in rapido aumento e si prevede che entro il 2014 il 50% degli smartphone, ossia 150 milioni di apparecchi, sarà abilitato all'uso dell'NFC.
Wallet è pensato principalmente per i piccoli pagamenti ed è già compatibile con la rete esistente PayPass di Mastercard. Gran parte del software sarà aperta o basata su standard aperti. Google conta di guadagnare attraverso la pubblicità che verrà veicolata dal servizio e tramite Google Offers, il suo sistema di buoni sconto contestuali basato sul cosiddetto geotargeting, ossia sull'invio di messaggi pubblicitari che dipendono da dove si trova l'utente (a patto che l'utente abbia deciso di condividere la propria posizione con Google).
Inevitabilmente si pone la questione della sicurezza di questo metodo di pagamento. In linea di principio, il rischio è inferiore a quello che si corre dando la propria carta di credito in mano a un negoziante, e per effettuare un pagamento occorre digitare sul telefonino un PIN di quattro cifre. Inoltre i dati delle carte di credito memorizzate sul cellulare sono cifrati e non vengono mai visualizzati integralmente sul display. Ma resta da vedere se gli utenti saranno disposti a memorizzare sul telefonino (oggetto facilmente rubabile o perdibile) non solo i dati di tutte le proprie carte di credito ma anche quelli della patente di guida, della carta d'identità e altri dati personali come vorrebbe Google: significa affidare al gigante della ricerca online una quantità davvero impressionante di informazioni personali. La domanda fondamentale, come sempre, è quanta privacy siamo disposti a sacrificare pur di avere accesso a queste comodità.
È ufficiale: gli zombi preparano l'apocalisse, garantisce il governo USA
Sono arrivate parecchie segnalazioni perplesse a proposito di una pagina un po' strana del sito dell'autorevolissimo ente statunitense per la sanità pubblica CDC (Centers for Disease Control and Prevention) che avvisa la popolazione su come prepararsi all'Apocalisse degli zombi.
Si intitola Preparedness 101: Zombie Apocalypse, e non è una pagina inserita da malfattori o burloni, ma una scheda tecnica preparata intenzionalmente dal CDC nell'ambito di una campagna informativa molto originale. Infatti la prima parte della pagina parla di zombi e relativi problemi, ma poi prende spunto dall'idea dell'Apocalisse degli zombi per proporre un elenco molto concreto di cose da fare e preparare in caso di vera calamità naturale o epidemia.
Un approccio comunicativo decisamente diverso da quello consueto delle istituzioni, che ha ottenuto il risultato desiderato: far parlare di sé e suscitare attenzione e interesse. Superati gli zombi sparsi per la pagina, infatti, ognuno può trovare consigli utili per le emergenze reali, che hanno spesso conseguenze serie di ordine sanitario.
No, niente iPhone 5 per ora
Non cascateci
Se ricevete mail contenenti questo annuncio dell'inesistente iPhone 5, evitate di seguirne gli inviti: si tratta di una trappola dalla grafica particolarmente curata. Ne parlerò stamattina sulla Rete Tre della Radiotelevisione Svizzera nel consueto appuntamento delle 11 con il Disinformatico radiofonico, ascoltabile anche in streaming.
Fra gli altri argomenti ci saranno le istruzioni per tutelarsi contro i falsi antivirus per Mac che stanno ingannando molti utenti, il debutto del pagamento tramite telefonino di Google, il furto di credenziali di Facebook tramite Internet Explorer e la guida ufficiale anti-zombi. Grazie a Davide per la segnalazione e lo screenshot dell'iPhone 5 farlocco. A dopo!
2011/05/21
21 maggio, niente fine del mondo anche stavolta
Scusate, a che ora è la fine del mondo?
Sono le 14 e il Giorno del Giudizio annunciato dai danarosi svitati non s'è ancora fatto vedere. Comunque sia, meglio premunirsi con una sana dose di crostata al cioccolato, in diretta per voi dal raduno Star Trek di Bellaria con la simpatia e la convivialità dell'attrice e cantante Chase Masterson.
C'è chi si rovina la vita aspettando la catastrofe di turno e chi se la gode. E intanto fa beneficenza.
2011/05/20
Sony bucata. Ancora
Server Sony bucato per phishing contro CartaSì
Mi faccio vivo brevemente dalla Sticcon, il raduno di appassionati di Star Trek e fantascienza di Bellaria, per segnalare che Sony è ancora nei guai, stavolta tramite la sua filiale tailandese, il cui server si è trovato ad ospitare pagine di phishing contro CartaSì, come riferisce Mikko Hypponen di F-Secure. La sicurezza di Sony è stata insomma compromessa di nuovo e ripulita solo pochi minuti fa. Complimenti, non c'è che dire.
2011/05/18
Video del pernacchia-party romano; nuova fine il 21 [UPD 2011/05/19]
Per chi si è perso il pernacchia-party dell'11 maggio c'è il video. Pronti per la fine del mondo il 21?
L'articolo è stato aggiornato dopo la pubblicazione iniziale.
Estrogeni.net ha pubblicato i video del pernacchia-party con conferenza-chiacchierata dell'11 maggio scorso, al quale ho partecipato a Roma per prendere in giro chi credeva che sarebbe arrivato il terremoto.
Questa playlist include i quattro video della conferenza, uno spezzone che ho registrato per il documentario Dentro Roma e un brano della chiacchierata post-conferenza (con torta).
Intanto si fa avanti il prossimo candidato ad annunciare la fine del mondo che non ci sarà: un gruppo di eccentrici cristiani californiani, l'eBible Fellowship, capeggiato da tale Harold Camping, ha previsto che il 21 maggio prossimo sarà il Giorno del Giudizio e la fine del mondo avverrà il 21 ottobre. Segnatevelo in agenda.
Come è stata fatta questa previsione? Basandosi su brani della Bibbia scelti a capocchia: per esempio, uno in cui Dio dice che "di qui a sette giorni" avrebbe fatto piovere per 40 giorni e notti e uno che dice che "per il Signore, un giorno è come mille anni e mille anni sono come un giorno". Ergo, secondo il fine ragionamento del signor Camping la fine del mondo avverrà settemila anni dopo la data in cui Dio ha annunciato il "di qui a sette giorni". Stando a "calcoli" che per decenza vi risparmio, detto annuncio sarebbe avvenuto nel 4990 avanti Cristo, per cui i settemila anni scadrebbero proprio adesso, nel 2011. Le date precise sono state determinate prendendo altre citazioni bibliche.
I seguaci di questa tesi hanno anche affisso cartelloni pubblicitari (anche in Italia) e il Huffington Post fornisce altri dettagli su questa vicenda penosa (grazie a Marco per i link; sempre il Post ha una galleria fotografica sconsolante). Sì, penosa, perché ci saranno inevitabilmente i deboli di spirito che si faranno sedurre da questa scemenza e quando la fine del mondo non arriverà avranno una crisi, col rischio (come avvenuto in altri casi) che qualcuno decida di far avverare la profezia suicidandosi o commettendo altri gesti idioti. Per chi volesse sapere cosa succede dentro una setta quando la profezia non si avvera, consiglio questo articolo di Massimo Polidoro. Illuminante.
C'è anche un bell'articolo su Mother Nature Network che propone una spiegazione per il fascino delle catastrofi: i problemi del mondo vengono considerati irrisolvibili e quindi la catastrofe viene vista come una soluzione (divina) che porta ordine nel caos. È una visione rassicurante, a patto che chi ci crede sia anche convinto di essere fra gli eletti che si salveranno (materialmente o spiritualmente).
Queste panzane sono il motivo per il quale, a mio parere, la religione non deve essere mai considerata tabù, intoccabile ed immune da qualunque critica. Se uno dice una scemenza riguardo a fatti concreti (non spirituali, ma materiali), non può prendere la foglia di fico della religione e pretendere un trattamento speciale o il diritto di vedere rispettata la sua fede. Se qualcuno dice che le gravidanze umane possono durare anni perché così dicono i saggi della sua religione, va messo comunque di fronte all'evidenza dei fatti e non può pretendere immunità speciali. Una scemenza è una scemenza, non importa se la si imbelletta con la patina della rivelazione divina.
Piccolo dettaglio: il signor Camping aveva già predetto la fine del mondo per il 1994. Sappiamo com'è andata.
Il 21 c'è anche il Marsili, vulcano sottomarino
Come se non bastasse, gira anche la previsione di un'eruzione devastante del vulcano Marsili, il più grande vulcano sommerso d'Europa, situato nelle Isole Eolie. La panzana è discussa e smontata in dettaglio in questo articolo di Query.
2011/05/16
Shuttle, si ritenta oggi [UPD 15:20]
Endeavour pronto a partire alle 14.56 ora italiana
L'articolo è stato aggiornato dopo la pubblicazione iniziale.
Se vi interessa seguire il lancio dell'ultimo volo dello Shuttle Endeavour, con a bordo il comandante Mark Kelly, il pilota Gregory Johnson e gli specialisti di missione Michael Fincke, Greg Chamitoff, Andrew Feustel e Roberto Vittori, potete seguire lo streaming video offerto da Spaceflightnow, Yahoo o NASA (in HD qui). Io farò un liveblogging via Twitter.
Il conto alla rovescia ufficiale è qui; invece qui sotto c'è il feed HD della NASA.
15:20. Il lancio è riuscito perfettamente e lo shuttle Endeavour è ora in orbita per la sua ultima missione.
2011/05/15
PlayStation Network, update obbligato [UPD 8:50]
Chiaro, no?
Dal blog ufficiale della PlayStation, circa 25 minuti fa:
We have been working on a new PS3 system software update that requires all PSN users to change their password once PlayStation Network is restored. The update (v3.61) is mandatory and is available now.
If using a PS3, your password can only be changed on your own PS3 (or a PS3 on which your PSN account was activated), as an added layer of security. If you have never downloaded any content using your account on the system, an email will be sent to the registered sign-in ID (email address) associated with your account when you first attempt to sign-in to PSN. This e-mail will contain a link that will enable you to change your password. In this email, click on the link and follow the instructions to change your password. Once you have changed your password you can sign-in to your account using your new password.
We strongly recommend that all PSN account holders with PS3s update their systems to prepare for when PlayStation Network is back online. The release of this update is a critical step as we work to make PlayStation Network significantly more secure. Thank you for your continued support and patience.
Dedicato a tutti quelli che “Ma io volevo soltanto giocare ai videogame...”
8:50. Sony ha annunciato poco fa l'inizio del (parziale) ripristino del PlayStation Network (la versione italiana non è aggiornata ed è ferma a cinque giorni fa). Il boss di Sony Kazuo Hirai fa l'annuncio ufficiale, ma l'effetto del personaggio, della scenografia e delle parole fa sembrare che stia suggerendo di visitare le colonie extramondo. Qui c'è una mappa della riattivazione progressiva negli USA.
2011/05/14
Disinformatico radio del 6 e 13/5/2011
Fra la morte di Osama bin Laden e le fobie da terremoto a Roma, ho finito per accumulare un po' di arretrati. Comincio a smaltirli segnalando gli argomenti delle ultime due puntate scaricabili del Disinformatico radiofonico. I link portano agli articoli di supporto alla trasmissione.
La puntata del 6 maggio (disponibile temporaneamente qui) è stata dedicata a HackerTyper, sito che permette di simulare digitazioni fulminee da “vero hacker”; alle immagini fasulle di Osama bin Laden e alle trappole virali basate sull'interesse per la notizia della morte dell'ex-leader di al-Qaeda; al kit per fabbricare virus per Mac; all'abbattimento degli account Facebook tramite inghippi burocratici; e all'appello fasullo a proposito del “terrorista di buon cuore”, già discusso in questo blog.
La puntata del 13 maggio (disponibile per qualche giorno qui) è stata dedicata alla paralisi di Blogger.com; a Skype venduto a Microsoft e vulnerabile nella versione per Mac; agli aggiornamenti-trappola per utenti Microsoft; alla tecnica per far visualizzare alla rovescia i nomi dei file e far credere che un file abbia un'estensione innocua; e alla raffica di esche e trappole per Facebook.
---
Questi articoli erano stati pubblicati inizialmente sul sito della Rete Tre della Radiotelevisione Svizzera, dove attualmente non sono più disponibili. Vengono ripubblicati qui per mantenerli a disposizione per la consultazione.
È troppo facile rubare una pagina Facebook
Non serve essere superesperti informatici per rubare una pagina Facebook a un utente: basta saper usare il sistema di gestione delle contestazioni di copyright. ReadWriteWeb segnala infatti che Facebook è troppo disinvolta nell'accettare contestazioni anche da fonti non verificate, compresi indirizzi di e-mail generici e anonimi. In sostanza, chiunque può inviare una contestazione a Facebook e il social network provvederà immediatamente a bloccare la pagina e trasferirne il controllo a chi ha inviato la contestazione.
Uno strumento chiaramente molto pericoloso, che ha colpito già diverse pagine Facebook di siti importanti come Neowin e Ars Technica e contro il quale c'è un metodo di difesa paradossale: autocontestarsi. Inviando una contestazione a Facebook, infatti, da quel momento farà testo la contestazione depositata. Meglio prevenire, insomma.
Scrivete alla tastiera come un Vero Hacker con HackerTyper!
Volete digitare sulla tastiera alla velocità fulminea che vedete nei telefilm? Volete far colpo su colleghi e amici scrivendo codici informatici complicatissimi senza mai sbagliare? Il Disinformatico ha la soluzione che fa per voi, e non c'è nulla da imparare o da installare. Basta infatti andare al sito Hackertyper.com e cliccare sul pulsante Hack!
Qualunque testo premiate, il computer scriverà un codice complicatissimo nel classico carattere verde su sfondo nero che fa tanto hacker. Se volete, potete anche dare in pasto a HackerTyper un file di testo (scegliendo File Upload) e farlo comparire sullo schermo come se lo steste digitando freneticamente in quel momento. Successo assicurato? No, ma il divertimento lo è.
Apple, kit per fabbricare virus per Mac
La società di sicurezza informatica danese CSIS Security Group ha segnalato l'esistenza, nel mercato nero di Internet, del primo kit per crimeware appositamente studiato per computer Apple. Il crimeware non è un virus, ma un programma per fabbricare attacchi e trappole online senza fatica (video). Come se non bastasse, sta circolando in Rete MacDefender, un falso antivirus dall'aspetto assolutamente professionale che in alcuni casi può autoinstallarsi anche su un Mac se c'è un minimo di collaborazione involontaria dell'utente.
Conviene quindi procurarsi un vero antivirus per Mac, in modo da poter rivelare quelli falsi. Ce ne sono anche di gratuiti, come quello di Sophos.com, o a pagamento, come VirusBarrier di Intego: l'importante è usarli e rinunciare al mito dell'invulnerabilità dei computer Apple.
Bin Laden, false foto, virus veri
L'annuncio della morte di Osama bin Laden è stato un evento mediatico planetario, e come tutti gli eventi di questo genere ha avuto ripercussioni su Internet in termini di bufale e sicurezza informatica, esattamente come era successo pochi giorni prima per il matrimonio reale di William e Kate.
Le fotografie del corpo di bin Laden circolanti in Rete (che non vengono riprodotte qui perché sono molto impressionanti) sono tutte fotomontaggi: finora non sono state diffuse immagini autentiche (la notizia che il senatore statunitense Scott Brown aveva visto le immagini è poi risultata errata: aveva visto uno dei falsi e ci era cascato). I falsi più diffusi sono ottenuti sovrapponendo la parte inferiore dei volto dell'ex leader di al-Qaeda al volto sfigurato violentemente di un cadavere di una persona non identificata oppure inserendo una fotografia di bin Laden in un fotogramma tratto dal film Black Hawk Down. Il sito antibufala Snopes.com ha una rassegna di questi falsi e delle rispettive immagini di partenza. Attenzione: le immagini sono molto forti, per cui cliccate con giudizio su questo link a Snopes.com.
Conviene cliccare con giudizio, o meglio ancora non cliccare affatto, sui link che promettono, su Facebook, nelle chat o nella mail, di far vedere immagini scioccanti relative all'incursione delle forze speciali che ha portato alla morte di bin Laden.
Infatti i creatori di virus e attacchi informatici assortiti si sono scatenati con l'obiettivo di sfruttare la discutibile curiosità degli internauti per infettarli o rubare i loro codici di accesso. Ci sono per esempio pagine Facebook nelle quali, con la promessa di visualizzare un video inedito riguardante l'uccisione di Osama bin Laden, viene chiesto all'utente di immettere un codice informatico complesso o di risolvere un semplice quiz: non fatelo, perché si tratta di una trappola che manda al suo creatore le informazioni di login su Facebook della vittima e si diffonde ai contatti della vittima. Se ci siete cascati, cambiate subito password di Facebook (grazie a Lorenzo per l'analisi dell'attacco).
C'è anche una mail che viene disseminata in Rete e ha un allegato che si chiama Fotos_Osama_Bin_Laden.zip; chi lo apre su un computer Windows non protetto rischia di trovarsi infettato con un programma ostile che sorveglia le operazioni bancarie effettuate sul computer e cerca di dirigerle verso siti-trappola.
Come se non bastasse, il sito di @ReallyVirtual, l'utente di Abbottabbad che ha involontariamente annunciato su Twitter l'incursione mentre era ancora in corso, è stato violato e infettato in modo da dirigere i visitatori verso siti-trappola.
Morale della storia: come avviene sempre in questi casi, è meglio stare sui siti delle testate note e affidabili e non cercare a caso su Internet.
Fonti aggiuntive: F-Secure, BBC, Trend Micro.
Facebook sotto tiro, meglio cambiare password
Secondo le segnalazioni di Symantec, alcune applicazioni di Facebook hanno avuto accesso ai dati personali degli utenti e hanno potuto pubblicare messaggi senza il consenso degli utenti stessi. Gli autori delle applicazioni potrebbero essere stati inconsapevoli di questa possibilità di accesso, dovuta all'uso di un vecchio sistema di autenticazione, tuttora in funzione accanto a quello aggiornato.
La falla ora è stata chiusa, ma nel frattempo è possibile che molte applicazioni di Facebook abbiano raccolto i cosiddetti "access token", che sono dei codici d'accesso simili a delle chiavi di scorta. Facebook sostiene che non ci sono state violazioni o abusi in questo senso, secondo ZDNet.
Che le applicazioni e i loro realizzatori fossero consapevoli o meno di questa possibilità intrusiva, resta il fatto che ancora una volta la tutela dei dati personali promessa da Facebook è stata disattesa.
Per risolvere il problema, gli utenti devono cambiare password: questo revoca l'accesso ai dati personali da parte delle applicazioni che usano il vecchio sistema di autenticazione. Più in generale, è opportuno evitare di installare in Facebook applicazioni che non siano assolutamente indispensabili.
Ci sono stati anche altri attacchi al social network più popolare del pianeta: per esempio, una falla di Facebook ha permesso a un programma ostile di usurpare gli account in modo virale, usando come esca un messaggio scurrile che invitava a votare per una imprecisata Nicole Santos. La falla è stata turata ed è stato scoperto che la persona usata come esca non c'entra nulla.
Nel frattempo, Facebook ha annunciato la graduale introduzione di un sistema di autenticazione a due fattori: ogni volta che verrà effettuato un accesso a un account Facebook da un dispositivo nuovo che non vi ha mai fatto accesso prima, il sistema chiederà di immettere un codice di conferma. Questo è particolarmente utile per chi accede a Facebook attraverso reti Wifi pubbliche o reti non protette. Purtroppo questo sistema di autenticazione va attivato volontariamente e non è obbligatorio: di conseguenza molti utenti non verranno a sapere che esiste e non lo attiveranno.
Skype per Mac vulnerabile, aggiornatelo subito
La società di sicurezza informatica Pure Hacking ha scoperto un difetto in Skype, il popolare programma per telefonare e videochiamare via Internet: nella versione per Mac basta inviare all'utente, via Skype, un file appositamente confezionato per prendere il controllo del suo computer.
Tutte le versioni per Mac precedenti la 5.1.0.922 hanno questo difetto. Gli utenti Apple devono quindi proteggersi aggiornando il più presto possibile la propria versione di Skype. Il problema è che fino a pochi giorni fa l'aggiornamento che risolveva questa falla era disponibile alla chetichella, soltanto effettuando l'aggiornamento manuale. In queste ore, però, sta comparendo anche l'aggiornamento automatico.
In ogni caso, se siete utenti Mac vi conviene controllare quale versione di Skype avete. Quella corrente è la 5.1.0.935; se la vostra è meno recente, eseguite l'aggiornamento manuale, accessibile tramite i menu di Skype.
Virus con i nomi scritti al contrario per ingannare meglio
L'accortezza di guardare il nome di un file, in particolare la sua parte fnale (o estensione), è una precauzione classica di chi ha a cuore la propria sicurezza informatica. Gli utenti Windows, in particolare, sanno che ricevere un file il cui nome termina con ".exe" ed aprirlo è molto rischioso, perché si tratta di un programma eseguibile che prende il controllo del computer. File con altre estensioni, come per esempio ".doc", sono considerati meno pericolosi da aprire perché non sono eseguibili ma sono documenti.
Purtroppo la creatività infinita dei criminali della Rete ha man mano reso vana questa precauzione in vari modi: oggi lo fa in maniera davvero originale, secondo quanto segnalato da Norman.com, sfruttando una caratteristica poco nota degli standard informatici.
Esistono infatti dei caratteri di controllo che permettono di invertire il verso di scrittura del computer rispetto a quello delle lingue europee: altre lingue, infatti, scrivono da destra verso sinistra e quindi deve esserci il modo di far visualizzare tutti i messaggi sullo schermo del computer scrivendoli con quel verso.
Un aggressore può quindi inserire questi caratteri di controllo nel nome di un file e far sì che il nome venga visualizzato al contrario. Per esempio, il nome effettivo del file può essere cod.etnatropmi_otnemucod.exe, la cui estensione ".exe" rivela subito che si tratta di un file eseguibile e quindi ad alto rischio, ma grazie all'inserimento di un carattere di controllo questo nome verrà visualizzato invertito, ossia exe.documento_importante.doc, dando quindi l'impressione di essere un file di Word, riconoscibile dall'estensione ".doc" e assai meno pericoloso.
Questa trappola funziona soltanto con Windows Vista e Windows 7; Windows XP ne è immune se non è stato installato il supporto per le lingue scritte da destra a sinistra. Siamogeek offre una chiara spiegazione del problema in italiano.
Attenzione agli aggiornamenti-trappola per Windows
Il patch Tuesday, o “martedì delle pezze”, è il consueto appuntamento mensile degli utenti Microsoft con gli aggiornamenti e le correzioni del loro sistema operativo Windows e dei programmi che girano sotto Windows. Purtroppo all'appuntamento ogni tanto si presentano i malfattori della Rete, come segnalano ZDNet, Virustotal e Websense.
Sta infatti circolando una mail, apparentemente firmata da Microsoft Canada, che approfitta della ricorrenza del patch Tuesday per legittimarsi, arrivando nella casella di posta delle vittime proprio quando c'è nell'aria la notizia della necessità di aggiornarsi. La mail avvisa del rilascio di un aggiornamento di sicurezza importante da parte di Microsoft (cosa di per sé vera, anche se l'aggiornamento di questo mese non è dei più significativi) e invita a scaricarlo cliccando su un link.
È a questo punto che scatta la trappola: il link porta a un file eseguibile (riconoscibile dall'estensione .exe) per Windows, che si spaccia per un “security fix” anche nel nome ma in realtà è un cavallo di Troia denominato Zeus, che risponde ai comandi del sito visitortracker.net.in.
Nessuna società di software seria ricorrerebbe all'invio di un aggiornamento di sicurezza via mail, ma gli utenti non esperti probabilmente non lo sanno e quindi potrebbero abboccare facilmente all'esca. Mai fidarsi degli allegati, insomma, e attenzione ai mittenti, che si possono falsificare con estrema facilità.
Blogger in tilt, come seguire la situazione
Il 9 maggio Blogger.com, la popolarissima piattaforma di blogging di Google, ha annunciato che era prevista un'oretta di manutenzione l'11 di maggio. Ordinaria routine, ma al momento in cui scrivo queste righe Blogger è ancora in panne e milioni di blogger in tutto il mondo che usano questa piattaforma non possono pubblicare nulla.
Se volete seguire l'evoluzione della vicenda, seguite l'account Twitter di Blogger (http://www.twitter.com/blogger) e la pagina di status apposita (http://status.blogger.com/). Per il momento tutti i post pubblicati dopo le 7:37 am PDT (corrispondenti alle 16:37 ora svizzera) di mercoledì 11 maggio sono stati rimossi, ma Blogger promette che verranno ripristinati.
Aggiornamento. Dopo oltre venti ore di paralisi di tutto Blogger, durante i quali non era possibile pubblicare nuovi post, modificare quelli esistenti o pubblicare commenti, il servizio è ripreso, ma per ora sono andati persi tutti i post e tutti i commenti pubblicati dopo le 7:37 AM (PDT) dell'11 maggio, equivalenti alle 16:37 ora italiana. La vicenda è descritta nell'Help forum di Blogger, che precisa che era stato fatto un backup anche dei post scritti dopo le 16:37, che dovrebbero essere ripristinati a breve. Il blog di Blogger dice la stessa cosa: "in the coming hours posts and comments that were temporarily removed should be restored".
L'articolo è stato aggiornato dopo la pubblicazione iniziale.
Skype venduta a Microsoft per 8,5 miliardi di dollari
La notizia della vendita di Skype alla Microsoft il 10 maggio scorso non ha entusiasmato alcuni dei suoi 170 milioni di utenti, preoccupati all'idea che Microsoft abbandonerà le versioni Mac, Android e Linux del popolare programma di telefonia via Internet in favore di quelle per Windows.
Anche l'importo della transazione, 8,5 miliardi di dollari, ha destato qualche perplessità, considerato che nel 2006, quando fu comprata da eBay, Skype valeva 2,6 miliardi di dollari. Si tratterebbe della più grande acquisizione mai fatta da Microsoft, per un'azienda che non ha profitti (ha perso 7 milioni di dollari nel 2010) e ha avuto non pochi problemi di sicurezza ed affidabilità.
Da parte sua, Steve Ballmer di Microsoft ha dichiarato che continuerà "a supportare le piattaforme non-Microsoft perché questo è fondamentale per la proposta di valore delle comunicazioni". Staremo a vedere.
Iscriviti a:
Post (Atom)