Patti Chiari e PIN scavalcati, qualche chiarimento

L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 22014/04/02.

La puntata di Patti Chiari (RSI La1) di venerdì scorso, visionabile qui (con altre info e commenti qui), si è occupata estesamente di software-spia da installare sugli smartphone per sorvegliare spostamenti, messaggi e chiamate.

A 36 minuti circa dall'inizio ho partecipato a una dimostrazione di come è possibile scavalcare rapidamente un PIN a quattro cifre di sblocco dello schermo/tastiera. Questa parte ha suscitato qualche perplessità fra chi ha seguito la puntata, per cui chiarisco qui pubblicamente i dubbi principali che mi sono stati segnalati.

• Lo smartphone Android usato per l'esperimento (immagine qui sopra) non era realmente il mio; è stato fornito da Patti Chiari su mia richiesta, dato che non desideravo dare accesso ai dati sul mio vero smartphone. Inoltre, per esigenze televisive, ero consapevole del “furto” del telefonino messo a segno dal collega Lorik Sefaj (l'“hacker”) dalla mia tasca della giacca. Questi sono gli unici aspetti di messa in scena televisiva: tutto il resto della prova alla quale ho presenziato è stato reale.
• Per l'esperimento ho scelto intenzionalmente un PIN di media difficoltà (0852), usato frequentemente dall'utente medio, invece di uno completamente casuale, per creare una situazione realistica. Lo scopo dell'esperimento era infatti scoprire se era possibile scavalcare le protezioni adottate da un utente comune e, se sì, in quanto tempo. Di fatto, comunque, la tecnica usata funziona anche su PIN più casuali: semplicemente ci mette più tempo.
• La voce fuori campo parla correttamente di un PIN scelto a caso, non di un PIN casuale: infatti mi è stato detto di scegliere liberamente un PIN qualsiasi, senza rivelarlo a chi poi avrebbe tentato di scavalcarlo.
• Rispettando la politica di Patti Chiari, non rivelerò marca e modello del dispositivo usato per scavalcare il PIN (e respingerò qualunque commento che tenti di farlo): dirò soltanto che sfrutta il fatto che gli smartphone considerano “trusted” le tastiere collegate fisicamente e che un PIN o una password lunghi più di quattro caratteri rendono molto più impegnativo lo scavalcamento con questa tecnica (ma quanti utenti usano un PIN lungo?).
• A 39 minuti circa, Lorik Sefaj dice che si può scavalcare anche il PIN di un iPad (e quindi, in linea di principio, di qualunque dispositivo iOS). Alcuni spettatori sono molto scettici su questo punto. Quello che ha detto Lorik è quanto risulta dalla documentazione del dispositivo scavalca-PIN; se posso, farò una prova pratica personale e ne pubblicherò i risultati.

Aggiornamento 2014/04/02

Finora mi è mancato il tempo di fare un testo completo personale e non me la sono sentita di immolare il mio unico dispositivo iOS per fare test potenzialmente distruttivi: me ne procurerò uno sacrificabile non appena riesco a trovarlo senza svenarmi.

Intanto, però, ho verificato che il mio iPad 2, sul quale gira iOS 7 non jailbreakato, accetta digitazioni dallo specifico dispositivo mostrato da Patti Chiari, collegato tramite un Camera Connection Kit.

Inizialmente l'iPad segnala “Impossibile usare dispositivo - HID Keyboard: il dispositivo collegato non è supportato”. Tuttavia quando tocco OK l'iPad accetta comunque le digitazioni provenienti dal dispositivo. Le digitazioni vengono accettate anche nella schermata del PIN di blocco.

In altre parole, è possibile scriptare il bruteforcing di un PIN di un iPad usando il dispositivo in questione. Non è detto che sia conveniente. Infatti c'è l'ostacolo dei timeout, che diventano progressivamente più lunghi man mano che aumenta il numero di digitazioni errate del PIN (1 minuto dopo 10 tentativi; se anche l'undicesimo fallisce, 5 minuti; se fallisce anche il dodicesimo, 15 minuti; se fallisce anche il tredicesimo, 60 minuti; altri 60 minuti se fallisce il quattordicesimo; oltre non ho provato). Ma se il PIN è fra quelli più comuni e lo script tenta per primi questi PIN comuni (come è avvenuto per il dispositivo Android), mettendosi in pausa per i tempi di timeout opportuni, il bruteforcing effettuato in questo modo può richiedere tempi lunghi ma tollerabili.

Tuttavia vorrei chiarire una cosa: Lorik Sefaj non ha specificato quale tecnica o dispositivo userebbe per scavalcare il PIN di un iPad. Infatti nella puntata di Patti Chiari, a 39:12, Lorik dice testualmente solo questo: “Tutti i moderni smartphone hanno queste possibilità di attacco”. Paola Leoni chiede: “Anche gli iPad?”. Lorik conferma: “Anche gli iPad, certamente” e non aggiunge altro. Non è detto, insomma, che userebbe il dispositivo usato per scavalcare il PIN dello smartphone Android. Mi ha confermato questo concetto privatamente.

Mi vengono in mente almeno un paio di metodi alternativi più eleganti di un bruteforcing tramite emulazione di tastiera: per esempio quelli basati su software per forensics e altri sistemi. Ma ho pattuito con la redazione di Patti Chiari di non rivelare i dettagli delle tecniche utilizzate o utilizzabili e quindi non posso aggiungere altro. In ogni caso, è indubbio che il PIN standard di un iPad e/o di un iPhone si possa scavalcare se si ha accesso fisico allo smartphone o al tablet per un tempo sufficiente.

Se qualcuno è ancora dubbioso ed è disposto a sacrificare un suo iPhone e un po' del suo tempo, posso organizzare una dimostrazione pratica.

Su Marte è comparso un oggetto davanti al robot Opportunity

Questo articolo vi arriva grazie alla gentile donazione di “claudio.sa*” e “agrari*”.

Queste sono due foto autentiche scattate su Marte dal veicolo robotico Opportunity a distanza di 12 giorni marziani l'una dall'altra, alla fine di dicembre 2013 e ai primi di gennaio di quest'anno.

Credit: NASA/JPL-Caltech

Come potete notare, è comparso un oggetto al centro dell'inquadratura. La scoperta è stata annunciata dalla NASA giovedì scorso. Le immagini originali, molto più ampie, sono disponibili presso Marsrover.nasa.gov scegliendo la Panoramic Camera e i sol (giorni marziani) 3528 e 3540.

Non è il caso di farsi prendere dall'idea che si tratti di una bitorzoluta forma di vita marziana che è passata davanti alle telecamere del robot Opportunity: esistono spiegazioni ben più banali. Per esempio, può trattarsi di un frammento di roccia scagliato dalla caduta di un piccolo meteorite nelle vicinanze (fenomeno piuttosto frequente su Marte, a causa dell'atmosfera molto tenue che non blocca e disintegra le meteore). Un'altra possibilità è che si tratti di un sasso spostato dal trascinamento di una delle ruote di Opportunity, che ha lo sterzo bloccato e quindi tende a spostare bruscamente i sassolini circostanti.

Le dimensioni stimate della roccia sono paragonabili a quelle di un krapfen (o bombolone che dir si voglia), secondo le parole metrologicamente bislacche di Steve Squyres, capo del team scientifico che si occupa del veicolo.

Sia come sia, la roccia ora è capovolta rispetto alla sua giacitura normale, secondo Squyres, ed è quindi un colpo di fortuna, perché permette di studiare un lato che probabilmente non è stato a contatto dell'atmosfera marziana per un tempo lunghissimo.

Maggiori dettagli sono presso NASA, Ars Technica e Discovery.

Giuseppe Povia, cantante sismologo, spiega l’origine dei terremoti

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

“la terra è in continuo movimento naturale, ci sono scosse di assestamento etc ma la terra è anche popolata da 7 miliardi di persone che si muovono e questa potrebbe essere un'altra causa.”

Così scrive su Facebook Giuseppe Povia. Screenshot:

Come dice @sp_rocco, attendiamo impazienti la spiegazione dell'origine dei tornado.

Ricordiamoci di casi come questo quando sentiamo una celebrità (o un premio Nobel per la letteratura) che “garantisce” tesi di complotto o rimedi di pseudomedicina. Essere famosi non rende tuttologi, ma espone al rischio di dire stupidaggini di fronte a un pubblico più vasto. A volte il silenzio è una strategia vincente.

Se vi interessano i calcoli dell'ipotetico effetto di 7 miliardi di persone che si muovono, Xkcd fa al caso vostro.

2014/01/22. Oggi il Corriere ha pubblicato un articolo che stranamente ricalca esattamente questo mio, compresa la citazione di Xkcd. Naturalmente senza indicare la fonte che l'ha ispirato. Giornalismo.

Interrogazione regionale sulle “scie chimiche” nelle Marche

Sono passati undici anni dalle prime interrogazioni politiche in Italia sul presunto fenomeno delle “scie chimiche” e c'è ancora chi insiste a farne di nuove invece di accettare che il fenomeno è semplicemente una panzana diffusa da incompetenti.

Stavolta è toccato alla regione Marche, il cui assessore all'ambiente Maura Malaspina ha risposto in aula a un'interrogazione di Roberto Zaffini (Lega Nord) sui presunti “filamenti di origine sconosciuta” presenti nell'aria (in realtà ragnatele di alcune specie migratorie di ragni, perfettamente conosciute agli esperti).

La Regione ha anche commissionato all'Ars e all'Arpam delle analisi di questi filamenti, che non hanno rilevato alcuna delle sostanze asserite dai sostenitori delle “scie chimiche”. Un altro spreco di denaro dei contribuenti che poteva benissimo essere evitato.

La giustificazione presentata da Zaffini (“molta gente è preoccupata”) non regge: molta gente è preoccupata che i gatti neri portino iella, vogliamo allora fare un'interrogazione per rassicurarli anche su questo? A quando un'interrogazione sugli oroscopi?

Per chi vuole informarsi con i fatti, invece che con le cialtronate dei diversamente furbi, ho compilato le risposte alle domande più frequenti nel blog La bufala delle scie chimiche. Leggetelo prima di postare commenti. Se credete alle “scie chimiche”, fate un favore a me e a voi stessi: non sprecate tempo a commentare, tanto non vi risponderò, perché tutto quello che ho da dire è già nel blog che ho appena citato. Usate meglio il vostro tempo, invece di trastullarvi con le paranoie.


Fonti: ANSA, Corriere Adriatico. Ringrazio @toni10364 per la segnalazione.

11/9, un’altra “prova di complotto” smantellata dagli esperti

L'immagine mostrata qui accanto viene spesso presentata dai sostenitori delle tesi di cospirazione intorno agli attentati dell'11 settembre 2001 come una prova che gli incendi nelle Torri Gemelle non erano sufficienti a giustificarne il crollo.

A prima vista, infatti, la scala cromatica delle temperature mostrata nell'immagine termografica degli incendi sembra indicare che le temperature delle fiamme non superarono i 120°C.

La spiegazione, come sempre, va cercata chiedendo agli esperti, per non arrivare a conclusioni sbagliate. Purtroppo i complottisti non sembrano aver ancora capito questo semplice concetto.

Il gruppo Undicisettembre ha invece contattato gli esperti, specificamente le persone responsabili delle riprese termografiche fatte quel giorno, e li ha intervistati, ottenendo una spiegazione tecnica logica e ovvia (col senno di poi) che non richiede alcun misterioso incendio “freddo”. Se vi interessa, l'intervista (realizzata da Skybuck e coordinata da Brain_Use), è disponibile su Undicisettembre.info in italiano e nell'originale in inglese.

Tranquilli, Snowden non ha rivelato che siamo comandati dagli alieni

Secondo quanto riferito dall'agenzia semi-ufficiale iraniana FARS, l'ex collaboratore dell'NSA Edward Snowden, noto per le sue rivelazioni sui sistemi pervasivi di sorveglianza e intercettazione adottati dagli Stati Uniti, avrebbe “rivelato documenti che forniscono prove incontrovertibili che la politica interna ed estera degli Stati Uniti è guidata da un piano d'intelligence alieno/extraterrestre... almeno dal 1945”.

Questi extraterrestri, denominati “bianchi alti” (“Tall Whites”), avrebbero aiutato anche il regime nazista a costruire un numero stupefacente di sommergibili e poi avrebbero incontrato nel 1954 il presidente degli Stati Uniti Eisenhower per definire il “regime segreto” che attualmente governa l'America.

Questa rivelazione sensazionale sarebbe contenuta in un rapporto dei servizi di sicurezza federali russi (FSB) e sarebbe stata confermata dall'ex ministro della difesa canadese Paul Hellyer. Ma in realtà tutta la storia è stata presa di peso da un sito dedicato alle cospirazioni d'ogni sorta, Whatdoesitmean.com, che non ha alcuna documentazione a supporto delle proprie affermazioni e naturalmente non ha una copia di questo fantomatico rapporto russo. Hellyer, fra l'altro, è noto in ufologia per le sue dichiarazioni eccentriche, regolarmente prive di qualunque riscontro oggettivo.

Non è chiaro se l'agenzia iraniana ha pubblicato la notizia con intenti ironici o umoristici o se l'ha invece presa sul serio: fatto sta che dopo la diffusione iniziale l'agenzia ha modificato estesamente l'articolo per chiarire che “ogni responsabilità per la veridicità, l'autenticità di questo rapporto spetta alla sua fonte originale, Whatdoesitmean.com”. Che è un modo forbito di dire che l'agenzia ritiene opportuno pubblicare qualunque stupidaggine senza verificarla. La notizia degli alieni che comandano il mondo è insomma un po' una FARS.

Aggiornamenti di sicurezza importanti per tutti: Microsoft, Adobe, Java. Fateli subito

Un FALSO aggiornamento di Flash Player

Il rituale aggiornamento mensile di sicurezza targato Microsoft tura falle importanti in Microsoft Office 2003, 2007, 2010 e 2013 e in altri prodotti Microsoft che permettono di attaccare i computer che usano questo software semplicemente convincendo l'utente ad aprire un file Word appositamente confezionato (bollettino MS14-001).

Ci sono aggiornamenti importanti anche per gli utenti di Windows XP, Windows 7, Windows Server 2003 e 2008 R2 (bollettini MS14-002 e MS14-003). Visto che i criminali informatici tipicamente lanciano attacchi che sfruttano le falle segnalate dai bollettini di sicurezza, chi non si aggiorna prontamente rischia di essere preso di mira. Dunque aggiornate subito, se potete: il procedimento dovrebbe essere automatico.

Un aggiornamento vero di Flash Player
alla versione 12 per Mac.

Se usate i prodotti Adobe Reader e Adobe Acrobat per leggere o generare documenti PDF, Adobe AIR o Adobe Flash per vedere le animazioni interattive dei siti Web (e di molti giochi su Facebook), aggiornate subito anche questi software, dato che sono stati rilasciati aggiornamenti per Windows, OS X e Linux che turano falle critiche che permettono a un aggressore di eseguire programmi (presumibilmente ostili) sul computer dell'aggredito. I bollettini sono rispettivamente qui per Flash e qui per Reader e Acrobat. Per sapere se avete la versione più recente di Flash c'è il test ufficiale; l'aggiornamento è scaricabile qui. Attenzione, fra l'altro, ai falsi aggiornamenti di Flash che sono in circolazione su vari siti infettati e sono stati segnalati da F-Secure. Per Reader, invece, la versione più recente è scaricabile da questa pagina del sito di Adobe.

Anche Java è uno dei tanti prodotti Oracle che hanno bisogno un aggiornamento rapido; quello di Java che corregge ben 36 vulnerabilità. Fate il test per sapere se avete già installato l'ultima versione o se vi serve scaricarla e installarla manualmente.

Apple rimborserà 32 milioni di dollari per gli acquisti in-app ingannevoli

La Federal Trade Commission, ente statunitense di vigilanza sul commercio, ha accolto le lamentele degli utenti e ha contestato dettagliatamente le pratiche di Apple nel settore degli acquisti in-app, ossia dei pagamenti effettuati all'interno delle singole applicazioni (per esempio per acquisire gemme in Clash of Clans o altri giochi molto popolari). Apple ha così raggiunto un accordo in base al quale liquiderà la contestazione rimborsando ai consumatori americani circa 32 milioni di dollari.

Secondo la FTC, il sistema di controllo parentale proposto da Apple non era sufficientemente chiaro: un adulto poteva autorizzare tramite password un acquisto in-app da parte del figlio, con addebito sulla carta di credito del genitore, senza rendersi conto che per i successivi quindici minuti qualunque altro acquisto era autorizzato automaticamente, dando quindi al minore la possibilità di spendere somme ingenti (ci sono casi di migliaia di franchi): in molti giochi in sé gratuiti ci sono accessori o livelli che possono costare fino a 99 dollari, franchi o euro. In pratica, il genitore vedeva una schermata nella quale gli veniva chiesta la password, senza specificare per cosa e con quali conseguenze, come mostrato nell'immagine qui sopra.

Certo, in un mondo perfetto un genitore non dovrebbe digitare la propria password senza sapere perché e dovrebbe leggere attentamente il manuale prima di mettere in mano ai figli oggetti così complessi che contengono l'autorizzazione a effettuare addebiti sulla carta di credito, ma il mondo non è perfetto.

Dato che Apple incassa il 30% di ogni acquisto in-app e che tutte le app sui dispositivi iOS (iPhone, iPad, iPod touch) sono gestite in esclusiva da Apple, secondo la FTC era sua responsabilità fornire un'indicazione chiara dei costi. In sintesi, non è permesso addebitare ai consumatori acquisti che non hanno autorizzato, scrive la FTC.

Se siete genitori e volete evitare la trappola degli acquisti in-app, potete andare nelle Impostazioni, scegliere Generali, Restrizioni e disattivare la voce Acquisti in-app. Questo impedirà completamente gli acquisti all'interno delle applicazioni.

Schermata da iPad su iOS7

In alternativa, potete andare sempre in Impostazioni - Generali - Restrizioni e poi scegliere Richiedi password e selezionare Subito invece del valore predefinito, che è 15 minuti, obbligando quindi a digitare la password per ogni richiesta di acquisto.

Schermata da iPad su iOS7

Trentadue milioni di dollari possono sembrare un salasso esemplare, ma in realtà equivalgono a circa un giorno di incassi dell'App Store, secondo i calcoli di The Register.

Come i centri commerciali tracciano i movimenti degli utenti tramite il WiFi dei telefonini

Bidoni spioni a Londra (Naked Security).

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Si chiama location analytics: è l'insieme delle tecniche che consentono di analizzare e tracciare gli spostamenti delle persone all'interno di un ambiente, tipicamente un centro commerciale o una città, ed è sempre più diffusa nel settore.

A maggio 2013, negli Stati Uniti la catena commerciale Nordstrom ha ammesso che aveva usato le reti WiFi dei propri punti di vendita per tracciare gli spostamenti delle persone all'interno di 17 centri commerciali. Infatti uno smartphone che ha il WiFi acceso diffonde periodicamente via radio il proprio MAC address (un identificativo praticamente unico), annunciandosi così a eventuali reti WiFi nelle vicinanze. Questo avviene anche se non ci si collega alle reti WiFi in questione.

A Toronto, la Turnstyle Solutions ha installato sensori WiFi in circa 200 negozi sparsi per la città, rendendo possibile il tracciamento dei consumatori mentre si spostano per strada. Questo ha permesso, per esempio, a un ristorante affiliato a questa rete di sensori di sapere che a novembre 170 clienti sono andati in un locale notturno, 250 sono andati in una palestra e 216 provenivano da un quartiere abbiente: ha usato queste informazioni per ordinare delle canotte da ginnastica con il logo del suo ristorante, sapendo che i suoi clienti frequentavano palestre e quindi le avrebbero indossate.

A Londra, ad agosto scorso, alcuni bidoni della spazzatura erano stati attrezzati con sensori analoghi che consentivano di proporre pubblicità mirate ai passanti e di raccogliere dati sui loro spostamenti. La sperimentazione dei bidoni spioni è stata sospesa in seguito alle proteste dei cittadini.

Questo tipo di tracciamento è piuttosto inquietante ma, a quanto pare, nei limiti della legge negli USA e nell'UE, secondo Naked Security: raccogliere e analizzare questo genere di dati diffusi pubblicamente (ma inconsapevolmente) dagli utenti non richiederebbe il consenso degli utenti stessi.

Il tracciamento degli spostamenti dei consumatori nei centri commerciali è un mercato reale e in forte crescita, tanto che si discute già di regolamentazioni e codici di condotta, appoggiati peraltro da alcune aziende del settore, come Euclid, iInside, Mexia Interactive, Nomi, SOLOMO, Radius Networks, Brickstream e Turnstyle Solutions in un recente incontro pubblico.

Cosa si può fare per prevenire questo pedinamento? La soluzione più semplice, per ora, è spegnere il WiFi dei propri dispositivi (principalmente smartphone) e attivarlo solo quando serve. Questo, fra l'altro, ha il vantaggio di aumentare l'autonomia della batteria. Ma bisogna ricordarsi di farlo: se volete automatizzare il gesto, potete usare un'app che accende il WiFi soltanto quando siete vicini alla rete WiFi di casa o dell'ufficio, come per esempio l'app specializzata Smart WiFi Toggler (per Android, gratuita) o l'app più generica Tasker (per Android, a pagamento).

Togliere la geolocalizzazione da una foto su Instagram

Supponiamo che abbiate scattato e pubblicato una foto usando l'app di Instagram e vi siate pentiti di aver incluso i dati di geolocalizzazione (perché le foto pubblicate su Instagram sono geolocalizzate per impostazione predefinita): vorreste lasciare online la foto, ma vorreste eliminare l'indicazione precisa di dove l'avete scattata. Ecco come procedere nella app di Instagram.

Andate alla galleria delle vostre foto e toccate l'icona della geolocalizzazione (quella indicata dalla freccia):

Compare una mappa del mondo: toccate il pulsante in basso a sinistra (quello con la griglia, indicato qui sotto dalla freccia).

Questo fa comparire la galleria delle foto geolocalizzate: toccate il pulsante in alto a destra (quello con i tre puntini allineati verticalmente) e toccate la parola Modifica che compare.

Accanto a ciascuna foto viene mostrato un pallino verde.

Toccate la (o le) foto che volete de-geolocalizzare: quelle senza pallino verde (per esempio, la prima in alto nell'immagine qui sotto) perderanno i dati geografici.

Toccate Fine e poi Conferma.

La foto scompare dalle mappe, ma è ancora disponibile su Instagram: semplicemente non è più geolocalizzata.