-- Pipì e soldati

-- Quando apri uno spam, lo spammer lo sa

-- Antibufala: il ritorno di Eurorest

-- Antibufala: orrore dalla Palestina

-- Come crashare Internet Explorer con una riga di codice

Pipì e soldati

Da un lettore (jpupe) ricevo questo commento alla foto del bimbo che fa pipì sul soldato (http://www.attivissimo.net/antibufala/best_war_photo_ever.html):

"Come dici giustamente il soldato non è uno di quelli indicati. La divisa si vede poco, ma il mitra è abbastanza chiaro. Non è un M16 (arma americana), né un Enfield (mitra britannico) o un Kalashnikov [...]. Direi che si tratta di una variante del Heckler & Kock G3, arma tedesca, in dotazione al locale esercito. Potrebbe essere anche un Galil israeliano a dire il vero, ma sono molto simili. E la divisa verde l'hanno sia i soldati tedeschi che quelli israeliani. Ma l'elmetto non è israeliano, per cui direi che è tedesco (o comunque europeo). La loro divisa è una delle poche a portare la bandiera nazionale sulla spalla, e nella foto si vede qualcosa di simile. Okay, non si distingue la bandiera tedesca, ma forse è stata ritoccata. L'elmetto è un po' troppo generico. Anche in Italia si cominciano ad usare elmetti simili, per cui non è facile giudicare. E' comunque senza il telo mimetico, da cui parrebbe di capire che sia stata scattata durante una normale esercitazione. Anche perché gli stivali sono troppo lucidi per una guerra vera :-)".

Un altro lettore (Selvaggio79) chiarisce ulteriormente la faccenda: "Il soldato è un finlandese, identificabile dal fucile, un valmet usato solo dall'esercito finlandese, e dalla tipologia della mimetica. Spero di aver soddisfatto la curiosità."

In effetti una ricerca nel Web trova varie foto di Valmet in dotazione a militari finlandesi, come questa:

http://www.moneypit.net/~bhinton/Valmet/Valmet_Finnish_Trooper_E.jpg

che sembrano confermare la segnalazione del lettore.

Sembra dunque improbabile che la foto ritragga un bimbo iracheno che "dà il benvenuto ai suoi liberatori", a meno che ci fossero dei soldati finlandesi infiltratisi di soppiatto in Iraq.

Quando apri uno spam, lo spammer lo sa

Sono anni che si argomenta che il modo migliore per porre fine all'invasione di virus (worm) disseminati tramite e-mail sarebbe abolire l'e-mail "ricca", quella in formato HTML, quella che ha tutti gli effettini carini, le immagini e gli sfondi, e tornare all'e-mail "dura e pura", quella degli esordi della Rete: testo puro e semplice, senza orpelli ma soprattutto incapace di veicolare virus ad esecuzione automatica come quelli tanto cari agli utenti di Outlook.

Ora c'è un motivo in più per farlo: lo spam. Uno dei problemi fondamentali della putrida esistenza di uno spammer è verificare che gli indirizzi ai quali manda la sua spazzatura pubblicitaria siano autentici e soprattutto siano utilizzati e consultati. Come descritto presso

http://commons.somewhere.com/buzz/2000/Security.web.bugs.email..html

l'e-mail in formato HTML mette a sua disposizione uno strumento molto efficace, il cosiddetto "web bug", già noto per altri usi antiprivacy nelle pagine Web.

In questo caso, lo spammer include nella propria posta pubblicitaria un web bug, sotto forma di un rimando HTML (link) a una piccola immagine trasparente, grande quanto un pixel e quindi invisibile. L'immagine non viaggia insieme al messaggio, ma risiede sul server dello spammer, e ha un nome univoco per ogni utente spammato (che so, un web bug mirato al sottoscritto potrebbe chiarmarsi "topone_at_pobox_puntocom.gif"). Così facendo, quando la vittima apre il messaggio, il suo programma di posta esegue automaticamente l'HTML del messaggio stesso e quindi tenta di caricare l'immagine nascosta: siccome l'immagine risiede sul server, tenta in altre parole di contattare lo spammer, e da lui chiede un file di immagine ben preciso.

Lo spammer non deve fare altro che guardare quali dei vari file di immagine sono stati richiesti per sapere quali degli indirizzi spammati esistono e quali no, e soprattutto quali caselle di posta vengono consultate e quali no.

Con questo sistema, il semplice fatto di leggere uno spam conferma allo spammer la validità dell'indirizzo spammato. Bella fregatura.

La soluzione è una sola: usare un programma di posta che non interpreti l'HTML e non tenti automaticamente di caricare eventuali immagini annidate nei messaggi.

Antibufala: il ritorno di Eurorest

Qualcuno ricorderà una mia indagine antibufala di dicembre 2002, a proposito di un invito, distribuito via e-mail, a beneficiare di "14 pernottamenti gratuiti in uno dei 900 alberghi in Italia, Spagna, Svizzera, Croazia, Slovenia, Austria, Polonia, Ungheria, Repubblica Ceca o Slovacchia", per il quale è sufficiente inviare il medesimo invito "a 7 amici, e poi spedisci la copia dei messaggi inviati a partecipazione@eurorest.net". L'indagine è qui:

http://www.attivissimo.net/antibufala/pernottamenti_gratis.htm

Alcuni lettori mi segnalano che a maggio 2003 la campagna promozionale di Eurorest ha rifatto capolino tramite Excite.it (prima la veicolava Tiscali). Sul sito Eurorest, intanto, continuano a non esserci alberghi disponibili in Svizzera, contrariamente a quanto reclamizzato: eppure nella loro lettera di protesta del 10 gennaio 2003 a Zeus News per il mio articolo in proposito (http://www.zeusnews.it/news.php?cod=1806), quelli di Eurorest avevano detto che "per quanto riguarda la Svizzera, é stata inserita nel messaggio perché gli alberghi saranno disponibili e presenti nell'offerta estiva. Adesso, per cause tecniche, le pagine con gli alberghi in Svizzera sono fuori servizio." Dopo quattro mesi, le pagine con gli alberghi svizzeri continuano a essere "fuori servizio". E la capitale della Svizzera continua a essere indicata nel sito come "Berno". Caveat emptor.

Antibufala: orrore dalla Palestina

Circola da tempo un appello che mostra foto agghiaccianti dell'uccisione di un palestinese ad opera di forze israeliane. Me ne sono occupato qui:

http://www.attivissimo.net/antibufala/orrore_palestina.htm

Grazie a un lettore (m.jacob), ho dei dettagli in più sui fatti terribili raccontati nelle immagini (che sul mio sito ho scelto di non pubblicare, ma che trovate facilmente in Rete). Secondo la BBC del 12 marzo 2002

http://news.bbc.co.uk/1/hi/world/middle_east/1867726.stm

gli eventi descritti dall'appello si sono svolti a Gerusalemme Est, e le foto fanno parte di una sequenza più ampia, costituita da "undici foto scattate da un fotoamatore dalla propria finestra" e sono state pubblicate dall'agenzia AFP.

Secondo un articolo del sito The Electronic Intifada (http://electronicintifada.net/features/articles/020312beithanina.shtml) dello stesso giorno (12 marzo 2002), la persona uccisa è Mahmoud Salah, un militante dei Martiri di Al-Aqsa a detta dei testimoni palestinesi, e i suoi uccisori sono membri della polizia di frontiera israeliana. Le foto sono state scattate l'8 marzo 2002 a Beit Hanina, Gerusalemme, e pubblicate il 12 dal giornale Al-Hayat Al-Jadeeda, diffuse da Agence France Press.

Il sito The Electronic Intifada è difficilmente considerabile "super partes", ma è comunque lodevole perché mostra le foto scansionate dal giornale e ne presenta la serie completa, insieme ad articoli e dichiarazioni della stampa palestinese e della polizia israeliana (in inglese).

Viste le contraddizioni fra i vari resoconti della vicenda, l'unica cosa chiara è che basandosi esclusivamente sulle foto mostrate nell'appello non c'è modo di determinare quello che è successo veramente, né io ho la pretesa di divinarlo standomene qui al computer. Posso solo invitare alla cautela nel diffondere quelle che sembrano foto scelte ad arte per presentare solo un lato di questa follia collettiva.

Come crashare Internet Explorer con una riga di codice

Dunque, dunque. E' passato un annetto da quando zio Bill ha lanciato con grande enfasi il mese della sicurezza informatica. E cosa abbiamo avuto in cambio di cotanto sforzo? Un Internet Explorer 6, quello nuovo nuovo, il più bello e il più evoluto, che va in crash con una singola, miserrima riga di codice. Questa:

[html][form][input type crash][/form][/html]

Per vostra sicurezza, ho sostituito le parentesi angolari con parentesi quadre.

E questi dovrebbero scrivere il software del Trustworthy Computing, "l'informatica di cui fidarsi"?

Ho rispolverato per l'occasione il mio vecchio Browser Challenge e ho aggiunto questa magagna come nuovo test (è il numero 9):

http://www.attivissimo.net/bc/pagina01.htm

Con un po' di abilità, scoprirete che è possibile usare questa vulnerabilità anche per confezionare un e-mail che manda in tilt Outlook. Sono vulnerabili anche altri programmi Microsoft, come Frontpage e tutti quelli che usano la libreria shlwapi.dll.

Grazie a dario@di****vico.it, che mi ha segnalato questo baco, riportandolo da un forum di HTML.it (http://forum.html.it/forum/showthread.php?s=5f416ec844259a2d19020d9972963068&threadid=445351), dove era stato segnalato da Stefano (spessina). I dettagli del baco sono disponibili anche in questa discussione di Slashdot.org:

http://slashdot.org/articles/03/05/02/1845241.shtml?tid=126&tid=95&tid=128&tid=113

e presso il sito di Secunia

http://www.secunia.com/advisories/8642

Buon divertimento!

Ciao da Paolo.

Questo articolo è una ripubblicazione della newsletter Internet per tutti che gestivo via mail all’epoca. L’orario di questa ripubblicazione non corrisponde necessariamente a quello di invio della newsletter originale. Molti link saranno probabilmente obsoleti.