Il Disinformatico: Sony

Visualizzazione post con etichetta Sony. Mostra tutti i post

2011/06/06

Oltre a Sony, anche Nintendo (ma poco)

Nintendo "bucata"; anche Sony, ma ormai non fa più notizia

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Lulz Security ha violato la sicurezza di un server statunitense della Nintendo alcune settimane fa, senza però sottrarre dati dei clienti o dell'azienda, secondo quanto riferito da Lulz, dalla BBC e da AFP, perché la Nintendo sta loro simpatica.

Intanto prosegue la serie di incursioni effettuate o annunciate dallo stesso gruppo di esperti di sicurezza (o giullari dell'hacking) nei siti della Sony, che si stanno dimostrando dei totali colabrodo privi delle più basilari soluzioni di sicurezza: Sony Pictures Russia (con dimostrazione), Sony Europe (NakedSecurity), SonyPictures.com (con 1 milione di dati personali sottratti) (PCMag). Anche la Sony Music Brazil è stata "bucata", ma Lulz dice di esserne estranea.

Il riassunto cronologico della situazione, che per ora è un bel ~~12-0~~ 15-0 contro Sony, è su Attrition.org, dal quale cito e traduco: “gli attacchi contro Sony non sono né coordinati né sofisticati. Sony ha dimostrato di non aver implementato quelli che qualunque amministratore o professionista della sicurezza considererebbe i fondamentali assoluti [della sicurezza]. Custodire dati e password di milioni di clienti senza usare alcuna forma di cifratura è incosciente e ridicolo".

Incosciente e ridicolo, perché la tecnica d'incursione è sempre la stessa: una banale SQL injection. Intanto Lulz punzecchia anche una società di sicurezza, la Unveillance, e un'organizzazione affiliata all'FBI (la filiale di Atlanta della Infragard), dimostrando un'altra vulnerabilità patetica: la stessa password riutilizzata per più di un sito.

La battuta che gira per Internet riassume perfettamente il tutto: It's better to be safe than Sony. Voglio la T-shirt, taglia L. Perché queste figuracce vanno ricordate e fatte ricordare.

Aggiornamento (16:00). Siamo a quota 16 "bucate" di Sony: del codice sorgente del Computer Entertainment Developer Network è presso http://www.mediafire.com/?ev1zo010c020764, secondo @LulzSec.

Aggiornamento (2011/06/07): Diciassette.

2006/01/11

Cory Doctorow parla del caso Sony XCP

Questo articolo vi arriva grazie alle gentili donazioni di "yellowskies", "a.cuman" e "natasha61".

Dopo il mio articolo sulla pena lievissima ricevuta da Sony per il disastro dell'anticopia infettante XCP, un lettore, stefano, ha contattato Cory Doctorow, celebre e seguitissimo blogger di BoingBoing che segue il caso Sony dai suoi inizi, chiedendogli un parere in merito.

Doctorow gli ha mandato una risposta molto articolata, che Stefano ha messo nei commenti al mio articolo nell'originale inglese e riporto qui tradotta con un paio di miei commenti (quelli fra parentesi quadre). Eccola qui: è una traduzione spiccia, se trovate refusi, segnalatemeli.

Ciao Stefano!

Credo tu abbia frainteso la natura di questo accordo stragiudiziale.

Sony ha varie azioni legali pendenti nei suoi confronti (compresa una in Italia!) [Cory si riferisce all'esposto di ALCEI, che però è appunto soltanto un esposto, non una vera causa legale -- Paolo] Ci sono class action avviate da consumatori, azioni legali avviate da singole persone, e azioni legali avviate a livello statale, come quella in Texas, oltre ad azioni legali paragonabili al di fuori degli Stati Uniti (Italia, Irlanda, e tre provincie del Canada).

In realtà l'accordo stragiudiziale che citi è puttiosto buono. E' un accordo derivante da una class action avviata dai consumatori che riguarda i rimedi dovuti da Sony ai propri clienti per aver fornito loro prodotti ingannevoli e difettosi: è tenuta a sostituire tali prodotti con prodotti funzionanti, pagare una multa a ciascun cliente, riparare ogni eventuale danno cagionato (tramite i programmi di disinstallazione) e promettere di non farlo più in futuro.

[Credo sarà difficile che Sony ripari i danni cagionati a chi si è trovato con un bello schermo blu, ha dovuto formattare il PC per poterci lavorare o si è fatto infettare perché Sony ha aperto la falla nel suo computer. Per queste cose non basta certo un programma di disinstallazione. E come farà Sony a pagare la multa a ogni cliente? Come rintraccerà coloro che hanno comperato il CD infetto? Quanti di coloro che sono stati infetti si prenderanno la briga di fare richiesta di risarcimento per sette dollari e cinquanta, ammesso che vengano a sapere di questa possibilità? -- Paolo]

E' un segnale piuttosto forte da inviare a qualsiasi azienda che stia pensando di mettere del DRM [sistemi anticopia] nei propri CD: se inganni i tuoi clienti per indurli ad installare del DRM (e a pensarci bene, come altro puoi convincerli a installare del DRM, nessuno lo desidera fare volontariamente), sarai obbligato dal tribunale ad aiutarli a rimuovere il DRM, a fornire CD senza DRM, e a pagare in totale milioni di dollari di multe.

Ma questo è soltanto l'inizio dei guai di Sony.

Come ho riferito, gli americani che non sono soddisfatti di questo rimedio possono rifiutare l'accordo e avviare una class action separata contro Sony (per esempio, una classe di utenti che hanno perso dati o si sono visti danneggiare il computer da parte del rootkit) [appunto: per chi è stato danneggiato seriamente non c'è ancora alcun indennizzo e questo accordo è inefficace -- Paolo] oppure presentare migliaia di reclami singoli contro Sony. Sono sicuro che ne vedremo molti anche di questi.

Ma aspetta: c'è dell'altro. Questi sono soltanto i risarcimenti civili che spettano ai clienti di Sony. Una volta saldati, restano ulteriori risarcimenti che l'Attorney General (procuratore generale) dello stato chiederà per conto della collettività. Anche questi potrebbero ammontare a milioni di dollari e potrebbero includere ulteriori ingiunzioni a limitare le azioni future di Sony.

Una volta risolti i risarcimenti civili, ci sono le sanzioni *penali*. Anche se la cosa non è ancora stata definita completamente, c'è sicuramente ragione di ritenere che Sony abbia violato il Computer Fraud and Abuse Act, e questo potrebbe portare a ulteriori multe e sanzioni contro Sony.

E tutto questo solo negli Stati Uniti. In Canada, Irlanda e Italia ci sono da considerare class action, cause civili e reclami individuali distinti, e ci sono le sanzioni penali (per esempio sulla base delle leggi sulla tutela dei dati).

In sintesi, il guaio in cui si trova Sony a seguito dell'accordo sulla class action è soltanto l'inizio della punizione che dovrà affrontare per avere distribuito CD anticopia, non la fine.

Spero questo chiarisca le cose!

Cory

Cory è sicuramente un ottimista, oppure ha una grandissima fiducia nel sistema legale statunitense. Vorrei poter dire di avere altrettanta fiducia, sia verso quello USA (ricorderete quanto furono ridicole e inefficaci le sanzioni contro Microsoft a seguito della causa antitrust), sia verso quello italiano. Ma non voglio fare il pessimista a tutti i costi: aspettiamo, speriamo e vediamo che succede.

Nel frattempo, da parte mia Sony può scordarsi di avermi mai più come cliente.

Cerca nel blog

2011/06/06

Oltre a Sony, anche Nintendo (ma poco)

Nintendo "bucata"; anche Sony, ma ormai non fa più notizia

2006/01/11

Cory Doctorow parla del caso Sony XCP