È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Lo strano spam targato “Presentazioni Google”
• Cellulari che ascoltano? Il Garante Privacy italiano indaga
• Alexa, riconoscimento vocale offline in arrivo
• Le grandi domande dell’informatica: perché James Bond usa un Nokia?

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Sta uscendo finalmente nelle sale No Time to Die, il più recente film della serie dedicata al celeberrimo agente segreto britannico inventato da Ian Fleming. La pandemia ne ha ritardato l’uscita, per cui è comprensibile che alcuni degli oggetti usati o indossati da James Bond ormai non siano più l’ultimissimo modello.

Ma può sembrare davvero strano che lo 007 famoso per le sue ipertecnologie sfoderi, in No Time to Die, dei telefonini Nokia. Specificamente il 3310, il 7.2 (perlomeno nel trailer originale) e l’8.3 5G, che sono usciti rispettivamente vent’anni fa (a meno che si tratti della riedizione del 2017), a fine 2019 e a ottobre 2020. Oltretutto Nokia oggi è un produttore quasi di nicchia (0,7% del mercato). Come mai questa scelta così particolare?

Ovviamente c’è di mezzo un contratto di sponsorizzazione, e in proposito c’è un dettaglio curioso da sapere: Apple non consente che i propri smartphone vengano usati dai cattivi nei film e nei telefilm (come segnalato dal regista Rian Johnson in questo video a 3:00). Per cui la prossima volta che guardate un giallo, per esempio, sapete con certezza che se un personaggio ha in mano uno smartphone di Apple non può essere un cattivo sotto mentite spoglie.

Lo ha fatto Wired.com, e la risposta è che nessuno smartphone sarebbe una buona scelta, mentre un telefonino semplice sarebbe già più accettabile. Ma la vera sicurezza sarebbe non avere addosso nessun dispositivo elettronico.

Anche gli smartphone più recenti, infatti, hanno vulnerabilità come Pegasus che possono copiare messaggi, registrare chiamate e accedere alla telecamera, e per natura sono difficili da blindare completamente: sarebbe necessario evitare il WiFi, collegarsi fisicamente con un cavo Ethernet, installare un password manager e un adblocker, bloccare tutti i cookie, disabilitare Javascript, il tracciamento e il fingerprinting, non usare la mail, eccetera, secondo Edward Snowden. Conviene decisamente un telefonino “normale”, che già in partenza non ha nulla di tutto questo.

Secondo gli esperti consultati da Wired, se si è a rischio di sorveglianza elettronica da parte di malintenzionati molto esperti la soluzione migliore (dopo il non avere dispositivi) è uno smartphone Android appositamente modificato, sul quale è installato un sistema operativo ad alta sicurezza come GrapheneOS (che non manda dati a Google, tanto per cominciare) e nel quale sono stati fisicamente rimossi il microfono interno (si usa una cuffia, da collegare solo quando serve) e i sensori. Questo genere di servizio viene fornito, a caro prezzo, da aziende come NitroKey, Purism e Blackphone.

Ovviamente significa che bisogna fidarsi di queste aziende e sperare che fra i loro dipendenti non ci sia un agente della SPECTRE.

Il funzionamento di questi assistenti vocali, infatti, prevede esplicitamente che vengano registrati e trasmessi alle rispettive case produttrici tutti i suoni ambientali captati dai loro microfoni appena prima e appena dopo che è stata pronunciata la wake word o parola di attivazione (“Alexa” o “OK, Google”, eccetera): i comandi, infatti, vengono interpretati dai computer remoti di queste case produttrici, non dal dispositivo locale.

A volte questi assistenti credono di aver sentito la wake word quando in realtà è stato detto qualcos’altro e quindi può capitare che prendano degli spezzoni di conversazione privata e li mandino a Google, Amazon, Microsoft o Apple, dove possono essere archiviati e ascoltati da alcuni dipendenti di queste aziende (se la cosa non vi piace, potete chiedere l’eliminazione delle registrazioni). Ma a parte questi incidenti, non effettuano intercettazioni generalizzate e di massa.

Anche così, comprensibilmente molti utenti non vogliono correre il rischio di avere orecchie indiscrete in casa, per esempio nei momenti intimi o durante incontri professionali confidenziali, per cui rifiutano di installare Alexa e simili in casa o in ufficio. 

Però un assistente vocale è spesso molto comodo. I problemi di riservatezza e sorveglianza sparirebbero ce ne fosse uno che fa il riconoscimento vocale in locale, senza mandare spezzoni della nostra voce a nessuno e cancellandoli automaticamente dal dispositivo dopo che sono stati usati. Amazon ha presentato proprio questa possibilità pochi giorni fa: sarà disponibile “prossimamente”, perlomeno per gli utenti statunitensi (video, a 00:4:50).

Purtroppo questa opzione riguarda soltanto i dispositivi più recenti di Amazon, dotati di processore AZ1 Neural Edge e quindi è disponibile soltanto sugli Echo di quarta generazione, sull’Echo Show 10 e sui dispositivi futuri. Non sarà disponibile sui dispositivi precedenti.

È comunque un buon segno: la privacy aumenta e in più i tempi di risposta diventano più brevi grazie al fatto che il riconoscimento dei comandi avviene localmente invece di dover registrare la voce e mandarla via Internet a computer remoti che poi restituiscono l’azione corrispondente.

Fonti aggiuntive: The Verge, Engadget.

Molti giornali stanno riprendendo l’annuncio del Garante italiano per la protezione dei dati personali, che ha avviato un’indagine sulle app che userebbero il microfono dello smartphone per ascoltare le conversazioni degli utenti ed estrarne parole chiave a scopo pubblicitario.

Ma l’annuncio va letto attentamente, per evitare informazioni ingannevoli come quella del Messaggero, che dice che “Secondo il Garante della privacy [lo smartphone] verrebbe utilizzato per carpire informazioni rivendute poi a società per fare proposte commerciali.”

Il Garante non ha detto questo. Ha semplicemente avviato un’istruttoria che prevede l’esame di “una serie di app tra le più scaricate” a seguito di segnalazioni di “un servizio televisivo e diversi utenti”, secondo i quali “basterebbe pronunciare alcune parole sui loro gusti, progetti, viaggi o semplici desideri per vedersi arrivare sul cellulare la pubblicità di un’auto, di un’agenzia turistica, di un prodotto cosmetico.”

In altre parole, il Garante per ora non ha prove che esista questo abuso del microfono dello smartphone. Sta agendo, stando perlomeno al suo comunicato, soltanto sulla base di queste segnalazioni di utenti e di un servizio TV (non specificato, ma probabilmente è questo di Striscia la Notizia, che usa un metodo sperimentale decisamente discutibile). Segnalazioni e servizi che potrebbero anche aver preso un granchio, visto che la questione è già stata affrontata varie volte con test di esperti ed è risultato che quello che molti utenti credono che sia stato carpito ascoltando le loro conversazioni è in realtà semplicemente il risultato dell’analisi incrociata della montagna di informazioni personali che riversiamo nei nostri smartphone.

Usate Gmail? Google legge tutta la vostra posta e quindi sa i vostri gusti, cosa comprate online e altro ancora. Usate i social network? Facebook (anche con Instagram e WhatsApp) sa quali sono i vostri interessi. Questi servizi sanno anche dove siete e con chi siete, grazie alla geolocalizzazione e alla co-localizzazione: se due smartphone sono a lungo nello stesso posto e i due utenti hanno avuto una comunicazione social o via mail, probabilmente si conoscono e si parlano su argomenti che interessano a entrambi, quindi i servizi pubblicitari mandano a ciascuno pubblicità dei prodotti che interessano all’altro.

Aggiungiamoci poi la cosiddetta illusione di frequenza che ci spinge a notare le coincidenze e a dimenticare le non coincidenze, è il gioco è fatto: si ha l’impressione che il telefonino ci ascolti.

In realtà che io sappia esiste un solo caso conclamato di ascolto ambientale effettuato da un’app: nel 2019 l’app ufficiale del campionato spagnolo di calcio, LaLiga, fu colta a usare il microfono e la geolocalizzazione degli smartphone per identificare i locali che trasmettevano le partite senza autorizzazione. L’agenzia spagnola per la protezione dei dati diede all’organizzazione sportiva una sanzione di 250.000 euro.

In attesa dei risultati dell’indagine del Garante italiano, è comunque sensato andare nelle impostazioni del proprio smartphone e guardare quali applicazioni hanno il permesso di accedere al microfono, levandolo nei casi sospetti. La procedura varia a seconda del tipo di smartphone (Apple o di altre marche) e della versione di sistema operativo (iOS o Android).

Capita anche a voi di ricevere strani messaggi come questo, con un mittente che ha come indirizzo “comments-noreply@docs.google.com”?

Si tratta chiaramente di spam: il testo parla di un’offerta di natura sessuale e include un link abbreviato che porta a un sito inequivocabilmente pornografico.

Di spam del genere ce n’è tantissimo, ma questo ha la particolarità di eludere i filtri e di sembrare credibile perché il mittente apparente è Google. Qual è il trucco?

La chiave è nella frase “ti ha menzionato in un commento nel seguente documento”, che linka una presentazione: lo spammer ha infatti creato una presentazione vuota in Google Docs e vi ha inserito un commento che contiene il testo del messaggio di spam e cita il mio indirizzo di mail.

Questo fa sì che Google mandi a tutti gli indirizzi citati nel commento una mail di notifica che contiene il testo del commento, che in questo caso è il messaggio di spam. 

In questo modo, lo spammer ottiene due vantaggi: il primo è che non ha bisogno di spedire le mail usando dei propri server di mail e sfrutta invece quelli di Google; il secondo è che lo spam è “firmato” Google, che è considerato un mittente fidato e quindi elude i filtri antispam di Google e di molti altri servizi.

Questa tecnica circola già da qualche tempo (Netskope; Google; 9to5Google) e Ars Technica segnala che Google sta finalmente cominciando a rimediare offrendo la possibilità di bloccare un utente spammer su Google Docs.

La difesa è semplice:

• non cliccate sui link contenuti in queste mail, neppure per curiosità;
• segnalate la mail come spam: questo aiuta i filtri a riconoscere questo tipo di spam;
• bloccate il mittente in Google Drive come descritto qui. Questo, fra l’altro, rivela il vero indirizzo di mail dello spammer.

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• FAQ: “Ho comprato qualcosa online da uno sconosciuto e mi ha truffato, mi aiuti a rintracciarlo?”
• Quanto dura uno smartphone? Il problema degli aggiornamenti software. Provo un iPhone ricondizionato ancora aggiornabile
• iOS 15, nuove impostazioni salvaprivacy
• Funzionano i filtri antipubblicità? Stando alle preoccupazioni di Facebook, pare di sì

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Persino gli esperti di sicurezza dell’NSA e della CIA -- gente che di sorveglianza se ne intende un tantino -- raccomandano (PDF) di bloccare le pubblicità potenzialmente ostili perché “nonostante la natura benigna della maggior parte del contenuto pubblicitario, la pubblicità è un noto vettore di distribuzione di malware da oltre un decennio” e la CISA (Cybersecurity and Infrastructure Security Agency) consiglia di “usare software di ad blocking sia per proteggersi contro le pubblicità ostili, sia contro la raccolta di dati da parte di terzi.”

Ma il dubbio rimane: sono davvero efficaci queste misure? Parrebbe di sì, a giudicare dai toni e dai contenuti di un annuncio pubblicato su Facebook da Graham Mudd, vicepresidente del product marketing del social network, segnalato da Gizmodo. 

Mudd si rivolge ai clienti di Facebook, le aziende che pagano le inserzioni pubblicitarie sul social network, e dice che “ci aspettavamo che i venti contrari più forti derivanti dai cambiamenti delle piattaforme, in particolare i recenti aggiornamenti di iOS, avrebbero avuto un impatto maggiore nel terzo trimestre che nel secondo” e che Facebook ha saputo che “l’impatto sul vostro investimento pubblicitario è stato maggiore di quello che avevate previsto.”

Il VP di Facebook, insomma, cita esplicitamente iOS come fattore di questo impatto. Aggiunge poi un dato significativo: Facebook ammette di non poter rendicontare circa il 15% delle conversion, ossia degli scaricamenti di app o dei clic sulle pubblicità mostrate ai propri utenti. 

È un cambiamento di rotta non da poco, considerata la passata riluttanza di Facebook a rendere pubblici, o almeno controllabili indipendentemente, i risultati delle sue campagne pubblicitarie, e la sua documentata tendenza a gonfiare quei risultati rispetto alla realtà.

Le tecniche anti-tracciamento, insomma, qualcosa fanno. Più gente le usa, più fanno.

• In Impostazioni - Mail - Protezione della privacy, controllate che sia attiva l’opzione Proteggi le attività di Mail. Questo riduce il tracciamento pubblicitario, impedendo ai mittenti delle mail di vedere il vostro indirizzo IP e di sapere quando aprite il loro messaggio.
• Per contrastare il tracciamento pubblicitario potete inoltre andare in Impostazioni - Safari - Nascondi indirizzo IP - Ai tracker.
  
• Un’altra funzione salvaprivacy molto consigliabile di iOS 15 è l’analisi di cosa fanno le app con i sensori dello smartphone, per esempio per sapere quali hanno accesso al microfono o alla localizzazione: si va in Impostazioni - Privacy - Registra attività app. Questo genererà un riepilogo di sette giorni. Se volete levarvi il dubbio, una volta per tutte, che il vostro telefonino ascolti le vostre conversazioni, questo è un buon punto di partenza.
  
• Un altro modo, più immediato ma un pochino più laborioso, per sapere quali app hanno accesso a microfono, fotocamera o localizzazione è andare in Impostazioni - Privacy e poi scegliere Localizzazione oppure Fotocamera oppure ancora Microfono.
  
• Se invece volete sapere quali app tracciano la vostra attività quando usate altre app o visitate determinati siti, andate in Impostazioni - Privacy - Tracciamento e assicuratevi che sia attiva l’opzione Richiesta tracciamento attività. In questo modo le app dovranno chiedervi esplicitamente il permesso di tracciarvi e verranno visualizzate. Se disattivate quest’opzione, invece, le app verranno bloccate automaticamente (“Quando l’opzione è disattivata, tutte le nuove richieste di tracciamento da parte delle app verranno automaticamente rifiutate”), dandovi meno controllo e informazioni.
  

Funzionano davvero queste misure salvaprivacy? A giudicare dalla preoccupazione espressa da Facebook, parrebbe proprio di sì.

L’uscita di iOS 15 il 20 settembre scorso pone il solito problema degli aggiornamenti e dell’obsolescenza degli smartphone. Uno smartphone non più aggiornabile è un rischio di sicurezza, ma comprare un dispositivo nuovo ha un costo non trascurabile, per cui molti tengono lo smartphone che hanno, senza aggiornarlo, e si espongono quindi a pericoli.

C’è però un’alternativa: comperare uno smartphone non nuovo ma ancora supportato per quanto riguarda gli aggiornamenti. Esistono aziende che offrono smartphone ricondizionati non recentissimi ma supportati e lo fanno a prezzi nettamente inferiori a quelli di listino di uno smartphone nuovo. 

Il problema è sapere se uno specifico smartphone ricondizionato è ancora aggiornabile. Nel mondo Android non è facile, a causa della varietà e del numero di marche che usano questo sistema operativo; nel mondo Apple, invece, trovare quest’informazione è molto più semplice.

Per esempio, per sapere se uno smartphone Apple è ancora supportato si può fare riferimento a questo grafico pubblicato da Statista.com e basato su dati Apple:

Sto provando concretamente questo approccio: ho appena acquistato un iPhone 8 da 64 GB ricondizionato da Recommerce.com. Ho speso 300 CHF (277 EUR) per uno smartphone Apple che alla sua uscita, nel 2017, costava 839 CHF (774 EUR). Si trovano anche modelli a prezzi inferiori e ci sono anche altri fornitori di dispositivi ricondizionati iOS e Android, come Revendo e Verkaufen (mi riferisco al mercato svizzero).

Il telefono è in condizioni estetiche perfette: sembra nuovo. Viene consegnato sbloccato, controllato e con un anno di garanzia, insieme a un alimentatore, a una cuffia e un cavetto completamente nuovi (non marchiati Apple). Fra l’altro, ordinandolo online la sera (su Interdiscount.ch) mi è arrivato a casa a mezzogiorno del giorno successivo, senza spese aggiuntive.

È la prima volta che compro un iPhone: tutti quelli che ho usato fin qui per i miei test mi sono sempre stati donati da amici o conoscenti che li sostituivano. Personalmente trovo indecenti e immorali i prezzi degli iPhone nuovi, strapieni di funzioni che non userò mai, ed è anche per questo che uso un Android di fascia media come smartphone primario.

La migrazione dal vecchio iPhone che usavo per i test (un 5) a quello ricondizionato è stata banale: ho collegato l’iPhone 5 a un mio Mac via cavo, ho dato l’autorizzazione sul telefono e sul Mac (nel Finder), ed è partita la funzione di backup. Terminato il backup, ho spento il 5, ho tolto la SIM e l’ho messa nell’iPhone 8, che ho collegato al Mac dicendogli di fidarsi di questo nuovo dispositivo e di fare un restore su di esso partendo dal backup appena fatto. Dopo un reboot il nuovo telefono è risultato configurato in modo identico al precedente, con tutte le app al loro posto. Ho dovuto migrare a parte WhatsApp (che ha recuperato tutti i messaggi dell’account di test).

Ho scaricato e installato iOS 14.8 e poi sono andato in Impostazioni - Generali - Aggiornamento software - Aggiorna ad iOS 15 per aggiornare al nuovo iOS uno smartphone di quattro anni fa. Senza subire alcun rallentamento. Niente male.

Ricevo spessissimo richieste di aiuto da persone che hanno fatto acquisti da privati conosciuti online, ne sono stati raggirati e mi chiedono aiuto informatico per ritrovarli e farsi ridare il maltolto. Questa è la mia risposta standard. Perdonate la schiettezza.

Esempio di richiesta (anonimizzata e risistemata per chiarezza):

Nel mese di giugno ho acquistato un telefono su [noto sito di acquisti fra privati] un telefono che purtroppo non è mai arrivato e questa persona ha confessato di avermi truffata.

Le informazioni che ho di questa persona sono il passaporto (falso, presuppongo) un numero di telefono e via perché il pagamento è stato fatto tramite [nota piattaforma di pagamento online].

Possiedo ancora tutte le conversazioni e ho notato che dopo di me ha pubblicato altri due annunci (su [noto sito di acquisti fra privati]) quindi immagino di non esser stata l’unica ad essere fregata da questa persona.

Sono stata in polizia a fare denuncia e non sono riusciti a dirmi nulla se non “scrivile che hai sporto denuncia e vediamo se si intimorisce e magari ti ridarà i soldi”… questo messaggio non l’ho mai scritto perché a parer mio sembra ridicolo.

Vorrei riuscire a rintracciare questa persona per por fare una denuncia vera e propria o andare di persona. Si tratta di [importo pari a varie centinaia di euro].

La mia risposta standard (personalizzata per il caso specifico, ma anonimizzata):

Buongiorno,

chiedo scusa se posso sembrare cinico, ma consiglio di lasciar perdere. Se [nota piattaforma di pagamento online] non è disposta a contestare l'addebito e rimborsare, le probabilità di poter riavere i soldi sono praticamente nulle. Mi dispiace.

I dati che le ha dato il truffatore sono quasi sicuramente falsi. Il numero di telefono è probabilmente intestato a un prestanome. Rintracciarlo è quindi sostanzialmente impossibile senza un costoso investigatore privato o un’azione di polizia; io non posso aiutarla.

Anche se si dovesse riuscire a rintracciarlo, poi che si fa? È un criminale. Affrontarlo di persona sarebbe estremamente pericoloso. Vale la pena di rischiare?

Si potrebbe segnalare a [noto sito di acquisti fra privati] il truffatore, ma non servirebbe a nulla: si tratta di un professionista, cambierà identità e numero di telefono in cinque minuti e ricomincerà da capo.

La polizia interviene raramente in casi come questi perché il costo ai contribuenti di un’indagine di questo tipo (oltretutto probabilmente infruttuosa) sarebbe largamente superiore all'importo sottratto. E andare da un avvocato per promuovere un’azione legale sarebbe molto più costoso della somma che le è stata tolta.

Mi dispiace, ma posso solo consigliare di non comprare mai più nulla da sconosciuti su Internet, specialmente per importi che non ci si può permettere il rischio di perdere. Esistono ottimi telefoni che costano molto meno di [importo pari a varie centinaia di euro] anche in negozio, dove l’acquisto è protetto e garantito dalla legge; ci sono anche quelli ricondizionati e in garanzia, che costano ancora meno. Io non ho mai speso più di [metà di quell’importo] per uno smartphone.

Cordiali saluti,

Paolo

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Aggiornate immediatamente i vostri dispositivi Apple: sono usciti aggiornamenti d’emergenza
• Apple: non fissate l’iPhone alle moto
• Finalmente backup cifrati per WhatsApp
• ProtonMail non è così riservato come sembrava

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Grazie ai suoi mini-computer ZX80 (1980), ZX81 (1981) e ZX Spectrum (1982) ho mosso i primi passi in informatica. Ricordo ancora la prima notte insonne passata a programmare sullo Spectrum, appena acquistato a Milano dando fondo ai pochi soldi che avevo messo da parte. Fu un colpo di fulmine inebriante, e quell’amore non è mai scemato.

Come me, milioni di persone in tutto il mondo devono la propria passione e le proprie carriere alle idee di quest’uomo, capace di rendere economicamente abbordabile (ZX80 a 80 sterline in kit, 100 sterline già assemblato, quando i rivali costavano almeno il doppio) un prodotto che sembrava riservato soltanto a chi era pieno di soldi. 

I suoi computer si collegavano alla TV tramite il cavo d’antenna, per cui non era necessario spendere per il monitor dedicato, e i dati venivano salvati su un normale registratore a cassette, per cui non c’era il costo di un lettore di floppy disk. La digitazione dei comandi era semplificata grazie al fatto che non era necessario scriverli lettera per lettera col rischio di sbagliare: si digitavano premendo una combinazione di tasti della caratteristica tastiera (a membrana per ZX80 e 81 e gommosa nel caso dello Spectrum).

Queste e altre innovazioni permisero a questi computer di diventare popolarissimi. E permisero a un diciannovenne skater con i capelli ricci, rintanato in un soporifero paesino della Lombardia, di scoprire che esisteva un mondo intero da scoprire. 

La scoperta continua ancora oggi, tutti i giorni. Thank you, Sir Clive.

----

Per chi è troppo giovane per ricordarsi i comandi dello Spectrum, lo spiegone del titolo: il comando PAUSE introduce una pausa; il valore 0 rende infinita la durata della pausa. 

Fonte per l’immagine: Wikipedia.

Protonmail è un servizio svizzero di e-mail molto conosciuto, che ha la fama di proteggere le identità dei suoi utenti e la segretezza delle loro comunicazioni. Forse avete notato un esempio di questa fama nel più recente Delirio del Giorno, in cui un mio hater ha pensato di rendersi anonimo usando appunto Protonmail. Ma un suo utente è stato identificato e poi arrestato dalla polizia francese. Come è possibile?

Le promesse di privacy di Protonmail sono molto forti: il servizio dichiara di non raccogliere dati degli utenti e di usare la crittografia end-to-end. O meglio, dichiarava. A gennaio 2021, infatti, Protonmail scriveva sulla propria pagina iniziale: “Non sono necessarie informazioni personali per creare il tuo account di mail sicuro. Per impostazione predefinita, non conserviamo log IP che possono essere collegati al tuo account di mail anonimo.” In originale: “No personal information is required to create your secure email account. By default, we do not keep any IP logs which can be linked to your anonymous email account.”

Ma oggi e da pochi giorni al posto di questa dichiarazione ce n‘è un’altra di tono ben più blando e vago: “Protonmail è mail che rispetta la privacy e mette al primo posto le persone (non i pubblicitari). I tuoi dati appartengono a te, e la nostra crittografia lo garantisce. Forniamo anche un gateway per la mail anonima.” In originale: “ProtonMail is email that respects privacy and puts people (not advertisers) first. Your data belongs to you, and our encryption ensures that. We also provide an anonymous email gateway.”

È infatti emerso che Protonmail ha risposto a una richiesta legale vincolante dei Dipartimento federale di giustizia e polizia di fornire alla polizia svizzera l’indirizzo IP di un utente e i dettagli dei dispositivi usati da quell’utente per accedere a quella casella di mail. Questi dati hanno consentito l’identificazione dell’utente e il suo successivo arresto.

La polizia svizzera ha eseguito un mandato ottenuto dalle autorità francesi, che tramite lnterpol l’hanno trasmesso ai colleghi svizzeri. La persona coinvolta è legata a un gruppo denominato Youth for Climate, secondo quanto segnalato da Secoursrouge.org e da Andy Yen di Protonmail. 

Yen ha anche pubblicato su Reddit una dichiarazione sulla vicenda che fornisce ulteriori dettagli, e Protonmail ha anche diffuso un lungo approfondimento specifico sul proprio sito, dal quale cito questa precisazione: “... secondo la legge svizzera, Proton può essere obbligata a raccogliere informazioni su account appartenenti a utenti che sono oggetto di un’indagine penale svizzera. Questo ovviamente non viene fatto di default, ma soltanto se Proton riceve un ordine legale per un account specifico.”

Dal punto di vista tecnico generale, va ricordato che la cifratura end-to-end protegge il contenuto dei messaggi, ma non nasconde la loro origine. In condizioni normali, l’indirizzo IP dal quale l’utente si collega a Protonmail, per esempio, è sufficiente a rintracciarlo e identificarlo. Anche il tipo di browser usato per l’accesso lascia tracce usabili per fare fingerprinting: marca, versione, lingua utilizzata e altro ancora. Chi ha queste esigenze deve ricorrere a soluzioni che mascherino questi dati.

L’informativa sulla privacy di Protonmail, aggiornata pochi giorni fa, dice ora chiaramente che in caso di violazione della legge svizzera Protonmail può essere obbligata a monitorare o registrare l’indirizzo IP di una persona coinvolta in un’indagine penale svizzera.

In altre parole: se per caso pensavate di poter usare Protonmail in modo assolutamente anonimo semplicemente aprendo un account, tenete presente che non è affatto così semplice.

Fonte aggiuntiva: The Register.

WhatsApp sta chiudendo una lacuna di sicurezza importante e spesso trascurata: le comunicazioni fatte con questo sistema di messaggistica, che è di proprietà di Facebook, sono protette contro le intercettazioni abusive dalla crittografia end-to-end, ma i backup di queste comunicazioni non lo sono affatto.

Questo consente di recuperare le comunicazioni se si riesce a mettere le mani su uno di questi backup, salvati per esempio su Google Drive per i dispositivi Android o su iCloud per i dispositivi Apple. Se qualcuno vi ruba le password dell’account Google o iCloud, ha accesso a tutto quello che avete scritto su WhatsApp, se l’avete salvato in questi backup in cloud, come WhatsApp chiede insistentemente di fare.

La settimana scorsa Mark Zuckerberg ha annunciato su Facebook che gli utenti prossimamente potranno scegliere di crittografare anche questi backup. Ha anche precisato che Facebook ha pubblicato un white paper, un documento tecnico intitolato Security of End-To-End Encrypted Backups, che descrive dettagliatamente come è stata realizzata questa funzione.

Cybersecurity360 spiega (in italiano) il funzionamento di questi backup cifrati: WhatsApp chiederà di “salvare una chiave di crittografia a 64 bit o di creare una password associata alla chiave”. La chiave verrà memorizzata “in un modulo fisico di sicurezza hardware (HSM, Hardware Security Module) che agisce come una cassetta di sicurezza e può essere sbloccato solo utilizzando la password corretta. WhatsApp sa solo che esiste una chiave in un HSM, non la chiave stessa o la password associata per sbloccarla.”

The Register nota che non è la prima volta che WhatsApp offre crittografia dei backup: lo aveva già fatto anni fa per i backup su iCloud, ma il metodo usato aveva un difetto che lo rendeva attaccabile usando una SIM avente lo stesso numero di quella della vittima.

Vedremo come andranno le cose questa volta, ma bisogna ricordare che ogni comunicazione ha almeno due partecipanti, e questo vuol dire che voi potete essere diligentissimi nella protezione dei vostri messaggi, ma se uno solo dei vostri interlocutori non è altrettanto diligente, è tutto inutile e i messaggi saranno comunque accessibili a un aggressore sufficientemente deciso. La cosa più semplice, in molti, casi, è semplicemente non avere backup di messaggi. Meglio ancora, non usare queste applicazioni per comunicazioni riservate.

Il motivo di questo insolito suggerimento è che la fotocamera degli iPhone è dotata di stabilizzatori ottici d’immagine e di sistemi di messa a fuoco automatica che sono sensibili alle vibrazioni intense e prolungate a determinate frequenze, come per esempio quelle che possono raggiungere un iPhone fissato a “motociclette con motori ad alta potenza o ad alto volume, a causa dell’ampiezza della vibrazione in certe gamme di frequenza che essi generano.”

Secondo The Register, però, il consiglio di proteggere gli iPhone andrebbe esteso anche alle mountain bike e ad altri veicoli soggetti a vibrazioni molto intense, viste le lamentele degli utenti su iFixit. E probabilmente il problema non riguarda soltanto gli smartphone di Apple ma colpisce qualunque dispositivo che contenga sistemi meccanici miniaturizzati.

Va chiarito, a scanso di equivoci, che il problema riguarda gli iPhone vincolati rigidamente alle moto o ad altri veicoli che generano forti vibrazioni. Se tenete il telefonino in mano, il vostro corpo fa da ammortizzatore naturale e protegge il dispositivo. E ovviamente non vanno fatti selfie mentre si guida.

Insomma, uno smartphone moderno di fascia alta è un dispositivo complesso e delicato, fatto per funzionare in condizioni normali, ossia tenuto in mano; non è una action cam. Tenetene conto, per non trovarvi con un oggetto costoso e inservibile.

L’attacco consente di attivare telecamere e microfono, registrare messaggi, SMS, mail e chiamate vocali (comprese quelle cifrate con app come Signal). 

La versione 14.8 di iOS/iPadOS, la versione 11.6 di macOS, la versione 14.7 di tvOS e la versione 7.6.2 di watchOS risolvono il problema. 

Apple ha informazioni sulle falle e sugli aggiornamenti correttivi presso questi URL:

• https://support.apple.com/it-it/HT201222 (come scaricare gli aggiornamenti in generale)
  
• https://support.apple.com/it-it/HT212807 (iOS e iPadOS)
  
• https://support.apple.com/en-us/HT212804 (macOS Big Sur)
• https://support.apple.com/HT212805 (macOS Catalina)
• https://support.apple.com/HT212808 (Safari 14.1.2 per macOS Catalina e Mojave)
  
• https://support.apple.com/en-us/HT212806 (watchOS)
  

La prima vulnerabilità, denominata CVE-2021-30860 e battezzata FORCEDENTRY, è stata scoperta da Citizen Lab, un noto gruppo canadese di attivisti per la privacy e la sicurezza digitale, riguarda iMessage e viene sfruttata per esempio per iniettare un malware, denominato Pegasus, che è stato sviluppato dalla società israeliana NSO Group ed è già stato usato per penetrare negli iPhone di vari attivisti politici in modo completamente invisibile.

L’attacco, spiega Citizen Lab, viene lanciato semplicemente mandando un SMS alla vittima. L’SMS contiene un allegato che ha l’estensione GIF ma è in realtà un PDF malformato. Questo PDF malformato causa un crash di IMTranscoderAgent sul dispositivo (dovuto a un integer overflow nella libreria CoreGraphics di rendering delle immagini), e il crash consente l’esecuzione di codice malevolo sul dispositivo attaccato. 

La seconda vulnerabilità, denominata CVE-2021-30858, riguarda WebKit, il motore di rendering di Apple, usato da Safari e da quasi tutte le app che visualizzano contenuto HTML, ed è sfruttabile per eseguire codice sul dispositivo della vittima.

Anche se non siete dissidenti o attivisti, il fatto che esistano queste vulnerabilità è ora di dominio pubblico e quindi è presumibile che verranno sfruttate anche dalla criminalità informatica comune per attacchi su bersagli meno sensibili. In altre parole, per colpire anche utenti comuni.

Preparatevi a una certa attesa, perché tutti stanno scaricando gli aggiornamenti ed è prevedibile che i server di Apple siano leggermente sovraccarichi.

Fonti aggiuntive: TechCrunch, Sophos, Ars Technica, New York Times. 

È disponibile il podcast di questa settimana de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Attacchi informatici usando documenti Office, l’allerta di Microsoft
• Allora, i messaggi di WhatsApp sono cifrati e privati o no? Panico da ProPublica
• Arrivano gli occhiali “smart” di Facebook. Ma non chiamateli così. Anzi, non nominate Facebook
• Domande da nerd: pesa di più una chiavetta USB piena di dati o una vuota?

Questo podcast, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

L’allarme che gira sostiene invece che questa app esista. A volte viene indicata con il nome Snapseed. Il testo più ricorrente del messaggio è questo: 

“So apparently there’s apps that can remove stickers from Facebook pictures…
I’ve had a google and I have found it to be true..
After a bit of digging I found that the only way to censor your images it actually rub it out with the eraser tool..
adding stickers adds layers to the image that can be removed quite easily with the right apps or software..
Please be cautious when posting pictures of your babies when censored with Facebook stickers xx
Admin”

In sintesi, chi condivide questo appello afferma che l’unico modo per censurare realmente le immagini su Facebook consisterebbe nell’usare lo strumento “gomma”, perché aggiungere un adesivo (sticker) non farebbe altro che aggiungere all’immagine un layer (uno strato) che sarebbe poi facilmente rimovibile con le app giuste.

Ma le immagini pubblicate sui social network non hanno layer. Al momento della pubblicazione vengono convertite, solitamente in formato JPG, che è privo di layer, e quindi non hanno dei dettagli “coperti” che possono essere scoperti. Pertanto l’allarme è sbagliato.

Chi diffonde questo avviso fa confusione con i formati grafici come il PSD di Photoshop, i documenti PDF o i file TIFF, che in effetti hanno i layer e come tali possono essere “smontate” per togliere le pecette di copertura. Ma nei social network questi formati non vengono usati (a meno che non si condivida intenzionalmente un file multilayer di Photoshop come allegato).

Insomma, nell’uso normale dei social network uno sticker è permanente e non si può rimuovere, per cui si può stare tranquilli.

È vero che esistono alcune app che sembrano capaci di rimuovere alcuni dettagli dalle foto, ma lo fanno “clonando” dettagli dalle zone circostanti dell’immagine: non possono ricostruire, per esempio, il volto di un bambino coperto da uno sticker.

Fonti: ThatsNonsense, Snopes, Giornalettismo.

Secondo BBC Science Focus, una chiavetta USB che usa memoria Flash pesa di più quando è vuota. 

I dati vengono infatti registrati nei transistor della memoria sotto forma di valori 0 e 1 nel sistema binario, e ogni transistor contiene uno di questi due valori. 

Quando il transistor contiene uno 0 binario, il suo floating gate (porta flottante) viene caricato aggiungendogli degli elettroni. Quando invece il transistor contiene un valore 1 binario, vengono tolti degli elettroni.

Di conseguenza, una chiavetta USB vuota (che quindi contiene principalmente zeri, e perciò è carica con tanti elettroni) pesa di più di una chiavetta piena di dati (che contiene un miscuglio di 0 e 1 e quindi meno elettroni di quella vuota).

Tuttavia, spiega l’informatico Peter Bentley che scrive su Science Focus, la massa di un elettrone è 0,00000000000000000000000000091 grammi, per cui la differenza di peso fra chiavetta piena e vuota è impercettibile. Anzi, neppure tutte le chiavette USB del mondo messe insieme permetterebbero di rilevare facilmente la differenza.

Fisici e informatici, che ne pensate? I conti sono giusti?

Sono semplicemente degli occhiali che hanno due fotocamere, altoparlanti, tre microfoni, una memoria da alcuni GB e una batteria che dura circa sei ore e si collegano senza fili allo smartphone. Fanno foto e video (massimo 30 secondi) e possono riprodurre musica o l’audio di una telefonata. Costano da 330 euro in su a seconda delle lenti (anche correttive) che vengono montate.

Tecnologicamente sono un capolavoro di miniaturizzazione, visto che hanno l’aspetto di normali occhiali con frontale e astine leggermente spesse (sono molto più eleganti e discreti dei primi Spectacles di SnapChat di cinque anni fa), ma la domanda che viene spontanea a molti è se il loro aspetto così normale non li renda un nuovo modo per fare i ficcanaso.

In fin dei conti, se oggi una persona vuole fotografare qualcuno deve prendere in mano il telefonino (o la fotocamera, per chi ancora la usa) e puntarla verso il soggetto, con un gesto abbastanza vistoso. Se la fotocamera è integrata negli occhiali, fare una foto o un video di nascosto diventa molto più facile.

Facebook dice di aver pensato a questo problema limitando la durata dei video e obbligando gli utenti a fare un gesto piuttosto visibile anche per azionare gli occhiali: per scattare una foto o registrare un video bisogna infatti toccare una delle astine o dare un comando vocale (al momento soltanto in inglese; sarà divertente sentire gli strafalcioni e i tentativi falliti). Inoltre sul frontale ci sono due piccoli LED bianchi che si accendono durante le riprese. Infine le foto e i video non vengono pubblicati direttamente su Facebook: restano sul dispositivo e spetta all’utente decidere se pubblicarli o no.

Tuttavia questi LED sono poco visibili e facilissimi da coprire, e lo stesso vale per le due telecamerine, per cui è facile non accorgersi che qualcuno vicino a noi ha due fotocamere sulla faccia. Buzzfeed nota che secondo Facebook coprire i LED è una violazione delle condizioni d’uso (sì, viviamo in un’epoca in cui gli occhiali hanno un regolamento di utilizzo). Questo sicuramente impedirà a chiunque di coprire le due lucette. 

È presto per dire se avranno successo come gadget realmente utile o se verranno bocciati come accessori per molestatori: notate che Facebook, che già ha i suoi problemi con la privacy e le molestie, ha preso le distanze dal prodotto già nel nome. In effetti ci sono delle situazioni nelle quali può essere utile poter rispondere a una telefonata o scattare una foto immediatamente senza frugare nella borsa per trovare il telefonino e senza perdere l’attimo fuggente.

Resta anche la questione della legalità di portare occhiali con telecamera e microfono in ambienti privati, per esempio a scuola o in altri luoghi nei quali normalmente c’è il divieto di portare dispositivi di ripresa, e della difficoltà dei controlli per evitare violazioni e abusi.

Staremo a vedere, e soprattutto impareremo a guardare chi ci sta vicino non solo negli occhi, ma anche negli occhiali. 

Fonti aggiuntive: Punto Informatico, BBC, ANSA, The Verge, PCMag, Facebook.