Questo articolo è disponibile anche in versione podcast audio.

Se usate Zoom su un computer Apple, aggiornatelo. E se l’avete appena aggiornato, fatelo di nuovo. Lo so, la sicurezza informatica a volte sa essere esasperante. Al recente raduno di esperti di sicurezza informatica Def Con, uno di questi esperti, Patrick Wardle, ha dimostrato una falla del sistema di aggiornamento automatico di Zoom per macOS che avrebbe consentito a un aggressore di “elevare in modo banale i propri privilegi fino a diventare root”. In altre parole, fino a prendere pieno controllo del computer della vittima.

Il trucco era in effetti semplice: era possibile scavalcare la verifica di autenticità degli aggiornamenti scaricati e quindi indurre lo scaricamento di una versione vecchia e meno protetta di Zoom, oppure forzare l’installazione di qualunque altra app ostile, dandole accesso completo al sistema operativo.

La falla era sfruttabile soltanto localmente da un utente non privilegiato, per cui il rischio era concreto solo in alcuni scenari abbastanza particolari, come per esempio un Mac condiviso in ambiente scolastico o lavorativo, ma visto che fra i milioni di utenti di Zoom ci sono appunto molte scuole e aziende in tutto il mondo, la società informatica omonima che gestisce l’app Zoom ha aggiornato molto rapidamente il proprio prodotto per eliminare questa falla. La notizia della grave vulnerabilità si è diffusa rapidamente e così gli utenti diligenti si sono precipitati ad aggiornare Zoom alla versione 5.11.5.

Ma poi è arrivato un altro ricercatore di sicurezza, Csaba Fitzl, che si è accorto che l’aggiornamento correttivo diffuso da Zoom era a sua volta difettoso e che quindi era possibile aggirarlo e continuare a sfruttare la vulnerabilità scoperta dal collega. E così Zoom ha dovuto rilasciare un aggiornamento di sicurezza per correggere il proprio aggiornamento di sicurezza rilasciato appena quattro giorni prima (i bollettini di sicurezza di Zoom sono qui).

Se vi sentite disorientati e volete semplicemente usare Zoom in santa pace, il consiglio degli esperti è di scaricare manualmente la versione più recente di Zoom, che al momento in cui pubblico questo podcast è la 5.11.9, senza attendere che Zoom faccia i suoi consueti aggiornamenti automatici. Per farlo è sufficiente andare a Zoom.us/download e scegliere la versione per il proprio sistema operativo. 

Come sempre, si consiglia di non cliccare su eventuali link di invito ad aggiornarsi ricevuti via mail o tramite messaggi e di digitare manualmente questo indirizzo per evitare truffe e attacchi informatici.

Fonti aggiuntive: MemeBurn, BitDefender.

Se usate Zoom, la popolarissima app per videoconferenze, aggiornatela subito: le versioni fino alla 5.10.0 compresa hanno una serie di falle di sicurezza importanti, che hanno un effetto sorprendente. Consentono infatti a un aggressore di usare la funzione di chat di Zoom per installare malware sul dispositivo della vittima, senza che la vittima debba fare nulla. In pratica, se l’aggressore è in una chat di Zoom con voi, può prendere il controllo del vostro computer, tablet o telefonino.

Il problema riguarda l’app di Zoom su Android, iOS, Linux, macOS e Windows. Per risolverlo, Zoom va aggiornato alla versione 5.10.1 o successiva.

La falla, composta in realtà da una serie di difetti concatenati (CVE-2022-22784, 785, 786 e 787) è stata scoperta da Ivan Fratric, un ricercatore informatico che fa parte del Project Zero di Google dedicato alla ricerca di vulnerabilità nelle app. La scoperta risale a febbraio, ma è stata resa pubblica solo il 24 maggio scorso.

Fonti: The Register, Ars Technica, The Hacker News.

 

L’occasione è molto seria: un convegno sul tema della pubblica amministrazione trasparente e del recepimento della direttiva UE Public Sector Information, organizzato online su Zoom da un movimento politico italiano e trasmesso dalla Web TV del Senato della penisola in diretta il 17 gennaio scorso. Fra gli ospiti c’è anche il premio Nobel 2021 per la fisica Giorgio Parisi.

A un certo punto del convegno, sullo schermo dell’austera Sala dei Presidenti di Palazzo Giustiniani e sui monitor dei relatori collegati via Zoom e del pubblico che sta seguendo il convegno tramite Internet compare un video molto esplicito: un’animazione digitale che mostra le attività intime di un personaggio che molti gamer avranno riconosciuto immediatamente. È Tifa Lockhart di Final Fantasy VII.

Le immagini rimangono sullo schermo per un’interminabile manciata di secondi nel silenzio e nel gelo dei partecipanti, intanto che la regia del convegno tenta disperatamente di eliminare dallo schermo il video, nel quale gli osservatori più attenti e impassibili noteranno l’indirizzo del suo creatore, l’animatore digitale juicyneko. La regia cerca di rimuovere dalla sessione Zoom l’intruso, anzi gli intrusi che sono entrati nella riunione e hanno sommerso la relatrice non solo con immagini poco pertinenti ma anche con grida in lingua straniera fortemente distorte (se qualcuno riesce a decifrarle, me lo segnali nei commenti) e poi con un video musicale tratto da YouTube.

L’intero incidente è stato immortalato sul sito di Radio Radicale qui (dal minuto 26 in poi; immagini ovviamente non adatte a un pubblico sensibile).

La senatrice Maria Laura Mantovani, che ha aperto il convegno, ha dichiarato che si è trattato di “un episodio gravissimo, un vero e proprio attacco” e ha annunciato che avrebbe sporto denuncia alla polizia postale italiana.

Può sembrare strano e preoccupante che degli intrusi riescano a violare la sicurezza di un sito istituzionale e a irrompere in una riunione politica, ma c’è un dettaglio che potrebbe ridimensionare parecchio la vicenda. 

L’informatico Andrea Lazzarotto ha infatti notato che il link per collegarsi al convegno tramite Zoom era stato pubblicato alcuni giorni prima sui social network dalla senatrice stessa (e, notano altri, anche da un suo collega, il senatore Mario Turco), con tanto di passcode, ossia il codice numerico necessario per accedere a una riunione Zoom. Il link era https://us02web.zoom.us/84618000732 e il passcode era 631228.

Durante un convegno, la senatrice #M5S Maria Laura Mantovani ha lamentato l'accesso di un tale che ha riprodotto un porno in computer grafica.

Ma come avrà fatto l'ignoto a introdursi nella videoconferenza #Zoom? L'immagine suggerisce un'ipotesi... https://t.co/L5IpzbTDAT pic.twitter.com/RAorFRcYre

— Andrea Lazzarotto (@thelazza) January 19, 2022

Con questo link e questo passcode e senza le opportune impostazioni restrittive di Zoom, irrompere nel convegno sarebbe stata solo questione di cliccare sul link e digitare il codice, sperando che la regia non si accorgesse che nella sala d’attesa virtuale c’erano degli utenti non previsti e li ammettesse alla riunione. C’è chi fa notare che la senatrice ha un notevole curriculum informatico e quindi critica questa sua decisione di pubblicare link e passcode, ma è probabile che ci sia stata una sequenza di errori commessi anche da altri.

La dinamica dettagliata dell’incursione non è stata ancora resa nota, ma sulla base di quello che si sa fin qui non sembra che si sia trattato di un attacco particolarmente sofisticato dal punto di vista tecnico.

Si tratterebbe insomma di un semplice caso molto visibile di zoombombing: vandali che entrano in videoconferenze i cui codici di accesso sono stati incautamente pubblicati dagli organizzatori.

Ma come si fa a evitare questo tipo di incidente? Ci sono alcune precauzioni fondamentali, che conviene ripassare a chiunque abbia intenzione di organizzare videoconferenze con qualunque piattaforma, da Zoom a Teams.

• Se si tratta di una riunione chiusa, nella quale tutti i partecipanti devono poter parlare e condividere il proprio video e delle immagini, come avviene per esempio nelle lezioni scolastiche a distanza, le coordinate della riunione non vanno assolutamente pubblicate ma vanno date in privato soltanto a quei partecipanti, con la raccomandazione di non condividerli con nessuno al di fuori dei partecipanti stessi.
• Se invece la videoconferenza prevede un certo numero di partecipanti che parlano e condividono video e immagini e un numero più ampio di persone che possono soltanto assistere senza poter intervenire, allora ci sono due soluzioni: usare l’apposita modalità webinar di Zoom oppure diffondere in streaming la videoconferenza su Facebook, Twitch o Youtube, e dare al pubblico soltanto il link che porta a questo streaming. 
• Se si usa la modalità webinar di Zoom, il link può essere pubblicato tranquillamente, perché soltanto chi entra nella videoconferenza con gli specifici account Zoom preventivamente impostati dalla regia come relatori può apparire in video e condividere immagini.

Attenzione: molti amministratori di sessioni Zoom pensano che per evitare problemi di condivisione di video imbarazzanti sia sufficiente bloccare in Zoom la condivisione di immagini, ma non è così: un utente molesto può infatti virtualizzare la propria webcam, per cui se ha la possibilità di apparire in video con il proprio volto nella riunione può facilmente mostrare un video al posto della propria immagine.

Gli strumenti per fare videoriunioni in sicurezza e senza interruzioni imbarazzanti ci sono, insomma: basta usarli e farli usare.

Ormai siamo tutti abituati agli sfondi virtuali nelle videoconferenze: sono spesso brutti e scontornano malissimo il volto, mozzando occhiali e orecchi (se non vi attrezzate con un green screen), ma perlomeno salvaguardano la privacy quando non si vuole mostrare l’ambiente nel quale ci si trova.

Il senatore dello stato dell’Ohio Andrew Brenner, durante una riunione governativa tenutasi via Zoom, ha usato uno di questi sfondi virtuali per simulare di essere in ufficio o a casa mentre in realtà era in auto. E in alcuni momenti stava pure guidando.

È stato tradito non tanto dal pessimo scontornamento che rivelava la falsità dello sfondo, con un effetto piuttosto ridicolo, ma da un particolare rivelatore: la cintura di sicurezza che gli attraversava la camicia in diagonale. Non risulta infatti che nell’Ohio le sedie di casa siano dotate di cinture di sicurezza automobilistiche.

Nel video integrale (circa 13 minuti) si vede che all’inizio il senatore è fermo in auto, e fin qui non ci sarebbe nulla di male. Ma poi inizia a guidare intanto che smanetta sul telefonino per impostare lo sfondo virtuale. Brenner stesso ha ammesso che stava guidando, ma ha dichiarato che non era distratto e stava soltanto ascoltando la riunione e che usa spesso questo metodo. Il video racconta una storia diversa, già a partire dall’uso dello sfondo. Se non avesse voluto mostrare dove si trovava, avrebbe potuto semplicemente disattivare la telecamera dopo che si era fatto identificare.

Ecco uno spezzone del video:

Ironia della sorte, il senato dell’Ohio sta proprio discutendo una legge che inasprirebbe le pene per chi guida in modo distratto, e fra i comportamenti vietati i sarebbe proprio lo streaming video durante la guida.

Fonti: Columbus Dispatch, Gizmodo, WKYC, BoingBoing.

The Intercept ha segnalato il fatto che Zoom offre ai suoi clienti un’opzione che inietta un watermark o audio signature (marcatore di tracciamento) nell’audio delle sessioni, perlomeno in quello delle sessioni degli account professionali. Se vedete quest’icona circolare accanto allo scudo verde in una sessione di Zoom, vuol dire che la sessione è dotata di questi watermark, che includono in modo inudibile i vostri dati personali.

Questa funzione, annunciata qui a settembre 2019 e documentata qui (screenshot qui sotto), consente a Zoom (l’azienda) di identificare chi ha registrato e diffuso una sessione (“The Audio Watermark, or Audio Signature, feature embeds a user's personal information into the audio as an inaudible watermark if they record during a meeting”).

L’esistenza di questo watermark ultrasonico è molto importante da conoscere per chiunque faccia investigazioni su fughe di notizie e anche per chi volesse fare da whistleblower e far pervenire alle autorità o ai giornalisti delle informazioni sensibili senza rivelarne la fonte. 

La stessa cautela sarà necessaria anche da parte dei giornalisti che dovessero pubblicare spezzoni di audio di sessioni Zoom ricevute da fonti confidenziali (in sintesi, è meglio non pubblicarle ma descriverle).

 

The Intercept precisa che non è chiaro se Zoom inietti questo watermark direttamente nel flusso audio che viene ricevuto dal singolo partecipante o se l’iniezione avvenga soltanto se si usa la funzione integrata di registrazione. Zoom dice che per identificare il partecipante che ha registrato la sessione servono almeno due minuti di audio. 

Esiste anche il watermark video esplicito e ben visibile in Zoom, come nota anche Lifehacker: è un’opzione, documentata qui da Zoom, che sovrappone una grossa scritta semitrasparente su qualunque contenuto condiviso. La scritta è costituita da una porzione dell’indirizzo di mail dell’utente che sta guardando il contenuto. Qui sotto vedete un esempio di un watermark riguardante un utente che ha come indirizzo di mail admin@qualchecosa[punto]com.

Mi viene però il dubbio che nelle sessioni Zoom possa essere anche un altro tipo di watermark video, uno non dichiarato, per cui chiedo il vostro aiuto. 

Questa è uno screenshot di una porzione di una schermata completamente bianca (creata con PowerPoint e la definizione di uno sfondo semplicemente bianco), acquisito durante una sessione Zoom: notate le tenui righe verticali e le colonne di pallini?

Ho provato a esagerare i livelli RGB per rendere più visibili questi strani segni:

Questo fenomeno si nota anche in questo video tutorial di Zoom, prodotto dall’azienda stessa, quando lo sfondo è bianco:

Forse è solo un artefatto di compressione e io sono eccessivamente paranoico, visto che mi pare improbabile che io sia il primo a notare questo fenomeno, ma mi piacerebbe saperne di più. Se avete idee, segnalatele nei commenti.

Esempio di “hackeressa”.

BoingBoing segnala un thread su Twitter che descrive la tecnica astuta usata da una bambina di otto anni a Austin, in Texas per avere una giustificazione tecnica plausibile per non frequentare le lezioni online che non le piacevano.

Tutto inizia con un problema apparentemente normale: la bambina non riesce a collegarsi con Zoom per la lezione. La madre tenta di ricollegarla per oltre un’ora ma fallisce. Presume che si tratti di un malfunzionamento di Zoom.

Il giorno successivo avviene la stessa cosa: la bimba non riesce a ricollegarsi. La madre avvisa il docente.

Il terzo giorno il problema si ripresenta, con l’avviso di Zoom che la password è sbagliata. Madre e docente ci provano per un’ora, ma niente da fare.

Siamo al quarto giorno: madre e figlia vanno a casa di un’amica per provare la sua connessione a Internet. Tutto funziona, ma a un certo punto il collegamento a Zoom smette di funzionare ed è impossibile ricollegarsi. Si sospetta che l’account della bambina sia stato messo in lista nera.

Quinto giorno: vengono coinvolti i tecnici di Zoom, ma non riescono a risolvere il problema.

Sesto giorno: il docente ricrea tutta l’aula virtuale da zero. Tutti e trenta gli studenti devono aggiornare, ricollegarsi. Niente da fare.

Siamo a una settimana: il docente d’informatica viene a casa della bambina per provare a risolvere il malfunzionamento. Inutile.

A questo punto la madre abbandona i tentativi e inizia a fare lezione al posto degli insegnanti. La bambina non si lamenta.

Passano due settimane e la bimba va in visita a un’amica della madre. Da lì riesce a collegarsi e ricomincia a frequentare le lezioni per qualche tempo. L’amica nota che la bimba si scollega da Zoom e le chiede come mai l’ha fatto. La bimba, innocentemente, risponde che la connessione non stava funzionando bene e quindi stava uscendo per ricollegarsi, come si fa spesso.

L’amica, però, si insospettisce e tiene d’occhio la bambina di otto anni. Dopo un’ora di lezione, la bambina non ce la fa più e si scollega per ricollegarsi. Ed è qui che scatta la sua astuzia. Quando si ricollega, sbaglia intenzionalmente la propria password per una ventina di volte.

Infatti la bimba ha capito che se un utente tenta di collegarsi con la password sbagliata un numero sufficiente di volte, Zoom blocca ulteriori tentativi per un certo periodo di tempo. Più si tenta, più aumenta la durata di questo periodo.

Ma il messaggio d’errore che viene mostrato sullo schermo è “password sbagliata”, non un più esplicativo “Il tuo account è stato bloccato per troppi tentativi sbagliati di immettere la password”.

Mai sottovalutare l’ingegno di un utente sufficientemente motivato.

Collegarsi a una videoconferenza e accorgersi troppo tardi che chi ha usato il computer prima di noi ha lasciato attivi i filtri che aggiungono baffi o orecchie da coniglietto può capitare, ma stavolta è capitato in un contesto particolarmente comico.

L‘avvocato texano Rod Ponton ha cercato di collegarsi su Zoom con il tribunale per un‘udienza e si è reso conto che il suo volto veniva sostituito digitalmente da un filtro, diventando quello di un gattino che ne seguiva i movimenti e le espressioni, muovendo la bocca quando l‘avvocato parlava.

Lo spezzone di video dell’incidente ha fatto subito il giro di tutta Internet, non solo per le espressioni ridicole del gattino ma anche per la serietà e l’aplomb con il quale tutti hanno gestito la situazione, specialmente quando l’avvocato ha detto al giudice, Roy B. Ferguson, che non riusciva a disattivare il filtro e che era disposto a proseguire l’udienza in quelle condizioni, dichiarando solennemente di essere presente e di non essere un gatto. "I'm here live; I'm not a cat".

L‘avvocato Ponton è diventato immediatamente una celebrità mondiale grazie al fatto che il giudice ha pubblicato lo spezzone su Twitter, usandolo per diffondere un avviso: “CONSIGLIO IMPORTANTE PER ZOOM: se un bambino ha usato il vostro computer, prima di collegarvi a un’udienza virtuale controllate le Opzioni Video di Zoom per assicurarvi che i filtri siano disattivati. Questo gattino ha appena rilasciato una dichiarazione formale in un caso presso il 349° [tribunale distrettuale]”.

Il giudice ha lodato l’impegno e la professionalità di tutti i partecipanti e ha chiarito che il momentaneo inconveniente è stato risolto e l’udienza è proseguita regolarmente. L’avvocato, da parte sua, ha spiegato che ha usato il computer della sua segretaria, sul quale era attivo quel filtro per ragioni non meglio chiarite. 

Succedeva anche agli antichi egizi.

 

Ma a questo punto, finite le risate, all’informatico viene spontanea e irresistibile una domanda: come si fa, di preciso, ad attivare in Zoom il filtro testa di gatto? Non c’è. I filtri disponibili Zoom aggiungono barba e/o baffi, occhiali, cappelli, orecchie o antenne e poco altro. Non c’è traccia di gattini. Allora da dove arriva il gattino animato dell’avvocato texano?

Secondo LifeHacker e la BBC, quello specifico gattino così comicamente animato esiste soltanto in Live Cam Avatar della Reallusion, un vecchio software per webcam della Dell che risale al 2010 circa. 

Se però vi accontentate di un filtro che ottenga un effetto analogo anche se non identico, potete usare Snap Camera, per Windows 10 o macOS 10.13 o successivi. Dopo averlo installato, cercate uno dei suoi filtri felini, attivatelo e poi lanciate Zoom o Teams o qualunque altro software di videoconferenza, avendo cura di scegliere come webcam non quella integrata nel computer ma quella virtuale creata da Snap Camera. 

Per disattivare questo filtro è sufficiente riselezionare la webcam normale.

La domanda finale, però, arriva dall’account Twitter di Larry the Cat, il gatto del numero 10 di Downing Street: “Esiste un filtro per Zoom che trasforma i gatti in avvocati?”

Mai sottovalutare l’astuzia degli utenti. Segnalo questo tweet (non autenticato, forse di fantasia) non tanto per dare idee malefiche agli studenti, ma per mettere in guardia i docenti che li devono gestire: “Mia moglie è un’insegnante e a quanto pare un ragazzino ha preso l’abitudine di cambiare il proprio nome in 'Riconnessione in corso' durante le lezioni su Zoom in modo che nessuno gli faccia domande. Sono settimane che lo fa. Questo ragazzo non deve preoccuparsi della sua formazione scolastica, è già un genio fatto e finito”.

My wife is a teacher and apparently one kid has been changing his name to 'Reconnecting' during the Zoom lessons so that he doesn't get asked any questions. Been doing it for weeks. The lad doesn't need to worry about his education, he's already a bona fide genius.

— Chris Arnold (@ChrisArnoldInc) January 25, 2021

A parziale contenimento di questo problema, in Zoom si può impedire agli utenti di cambiare il proprio nome durante le sessioni e gli amministratori possono cambiare i nomi agli utenti.

La popolarissima app di videoconferenza Zoom ha aggiunto pochi giorni fa nuove funzioni di sicurezza. Se la usate, aggiornatela alla versione 5.4.3.

Con questa nuova versione, chi gestisce una riunione può metterla completamente in pausa usando l’apposita funzione di sospensione aggiunta al pulsante Sicurezza: questo ferma tutte le attività audio e video, le chat, le annotazioni, le registrazioni e le condivisioni dello schermo.

Fatto questo, l’amministratore della riunione potrà segnalare a Zoom eventuali utenti che stanno causando scompiglio e rimuoverli. Anche i singoli utenti possono segnalare a Zoom eventuali molestatori o intrusi.

A proposito di intrusi, molte riunioni vengono turbate da ficcanaso o provocatori perché non adottano le misure di sicurezza offerte dal servizio. Esiste infatti gente che tenta a caso i numeri delle riunioni e vi entra quando ne trova una non protetta, per poi fare vandalismi virtuali con schiamazzi o immagini inadatte. In vari forum su Internet le coordinate delle riunioni vulnerabili vengono condivise in tempo reale per compiere vere e proprie razzie chiamate Zoombombing.

Per contrastare il fenomeno, Zoom ha attivato un sistema di notifica che esplora Internet alla ricerca di coordinate (link) a riunioni e notifica l’amministratore della riunione se trova online il link a una sua riunione.

Come sempre, uno dei modi migliori per evitare tutti questi problemi è non condividere mai pubblicamente le coordinate di una riunione e di chiedere ai partecipanti di fare altrettanto. Se dovete pubblicare il link a una riunione, usate la “sala d’attesa” per filtrare chi entra.

Dopo una partenza traballante che aveva rivelato molte falle di sicurezza, con incursioni imbarazzanti e offensive nelle videoconferenze, Zoom sta migliorando a grandi passi. Il lavoro dei suoi sviluppatori per renderla all’altezza del compito importante di aiutarci durante una pandemia va riconosciuto.

Zoom ha smesso da tempo di condividere dati con Facebook anche se l’utente non ha un account Facebook, e soprattutto ha annunciato l’introduzione della crittografia end-to-end (E2E) per tutti: in parole povere, Zoom non potrà conoscere il contenuto delle videoconferenze.

A differenza di quanto previsto inizialmente, la crittografia E2E sarà disponibile sia per gli utenti paganti, sia per quelli gratuiti. Nel caso degli account gratuiti, verranno autenticati tramite un SMS inviato al telefonino dell’utente.

Ci sono anche altri piccoli ritocchi che facilitano l’uso sicuro di Zoom, specialmente per le sessioni con numerosi partecipanti: per esempio, si può autorizzare automaticamente l’ingresso degli utenti provenienti da uno specifico dominio (per esempio quelli di un’azienda) senza doverli parcheggiare in sala d’attesa e approvare uno per uno, e l’amministratore di una sessione può attivare il microfono a tutti con un solo clic (su Unmute All), con un limite di 200 persone.

Insomma, a questo punto le perplessità iniziali sull’uso di Zoom per conversazioni professionali o personali delicate si riducono moltissimo. Se avevate rinviato l’installazione di quest’app in attesa che migliorasse e avete preferito usare la versione web, ora è il momento di installarla. Noterete un netto miglioramento delle prestazioni dell’app rispetto alla versione web.

Maggiori dettagli sono su Punto Informatico.

Avete sentito che qualcuno ha rubato mezzo milione di account e di password di utenti Zoom, li ha messi in vendita e temete problemi? Niente paura. Si tratta di password vecchie, rubate da altri servizi e semplicemente provate dai criminali informatici approfittando della pessima abitudine di molti utenti di usare la stessa password dappertutto.

Il rimedio è semplice: non usate la stessa password dappertutto.

Ben diversa, invece, è la questione delle due falle non ancora corrette che permetterebbero a malintenzionati di prendere il controllo dei computer degli utenti di Zoom (sotto Windows o macOS) e quindi non solo di intercettare le comunicazioni ma anche di rubare dati oppure infettare i computer presi di mira. La falla per Windows sarebbe in vendita nei bassifondi di Internet a ben 500.000 dollari.

Una cifra notevolissima, che difficilmente verrà pagata da una banda criminale ma potrebbe essere accettabile per un governo deciso a spiare un paese rivale, ma che soprattutto fa notizia e ottiene molta visibilità giornalistica. Anche qui, niente panico: si sa già che la falla richiede che l’aggressore stia partecipando a una videoconferenza Zoom con la sua vittima, e questo è uno scenario piuttosto improbabile.

In ogni caso, scaricate gli aggiornamenti delle vostre applicazioni di videoconferenza e controllate chi partecipa alle vostre sessioni.

In realtà gli “attacchi” più frequenti dai quali può capitare di doversi difendere sono di tutt’altro genere: per esempio, gli studenti hanno scoperto che possono sostituire alla propria immagine in diretta un fermo immagine nel quale guardano la telecamera con espressione molto attenta e poi fare tutt’altro mentre ascoltano la lezione. Tanto l’immagine statica si perde fra le tante degli altri studenti. Se siete docenti, quindi, date un’occhiata ogni tanto per vedere se i vostri studenti si muovono o sono insolitamente rigidi.

Google e SpaceX hanno avvisato i propri dipendenti che non dovranno più usare Zoom, l’applicazione per videoconferenze diventata improvvisamente popolarissima, a causa delle sue “vulnerabilità di sicurezza”. Lo stesso hanno fatto la NASA e l’intero stato di Singapore a livello scolastico, e anche altri paesi, come Taiwan e la Germania, hanno imposto restrizioni.

Il problema principale non è la sicurezza informatica in senso stretto, che comunque non è altissima ma sta migliorando in fretta ed è accettabile per riunioni non strettamente confidenziali: è la vulnerabilità ad attacchi fatti da disturbatori, facilitati dalle imprudenze degli utenti.

Infatti lo zoombombing, ossia l’incursione in audio e video di sconosciuti che interferiscono nella sessione, è diffuso, nonostante sia facilmente contrastabile mettendo una password di accesso e adottando la cosiddetta “anticamera” per accogliere i partecipanti. Zoom ha reso ora obbligatorie queste funzioni.

Ma anche così, gli informatici più dispettosi hanno scoperto come farsi scherzi a vicenda, tipo entrare legittimamente in una sessione di videoconferenza e poi dire “Ehi Google, raccontami una barzelletta” (o lo stesso con Alexa o con Siri) per attivare gli assistenti vocali incautamente lasciati attivi durante la sessione. Ricordatevi quindi di spegnere o mettere in “muto” questi dispositivi (compresa la versione su tablet e smartphone) prima di partecipare a incontri in video e di usare le cuffie invece dei sistemi vivavoce.

Ultimo aggiornamento: 2020/04/19 15:30. 

I tantissimi nuovi utenti di Zoom stanno imparando a proprie spese che questo servizio di videoconferenze ha dei seri problemi di privacy e di sicurezza, come ho già accennato la settimana scorsa, sia per via dei suoi difetti tecnici, sia a causa dell’impreparazione e dell’eccessiva fiducia degli utenti.

Zoom ha dichiarato di essere passata dalla gestione di circa 10 milioni di utenti giornalieri a oltre 200 milioni, di aver risolto una falla di sicurezza che permetteva di rubare le credenziali degli utenti Windows, un’altra che permetteva di prendere il controllo di webcam e microfono di un Mac e di aver smesso di passare dati a Facebook nella versione iOS dell’applicazione. Se usate Zoom, quindi, aggiornate l’applicazione in modo da usare la versione più recente e robusta.

Ma alcuni problemi sono rimasti. Il primo è che le videoconferenze fatte con Zoom non sono completamente cifrate (non è una vera crittografia end-to-end, ma è una crittografia parziale, nonostante le dichiarazioni ambigue della Zoom Video Communications), per cui in teoria l’azienda potrebbe accedere alle comunicazioni dei suoi utenti. Questo rende piuttosto discutibili scelte come quella del primo ministro britannico, Boris Johnson, di tenere una riunione di gabinetto tramite Zoom e oltretutto vantarsene pubblicamente.

This morning I chaired the first ever digital Cabinet.

Our message to the public is: stay at home, protect the NHS, save lives. #StayHomeSaveLives pic.twitter.com/pgeRc3FHIp

— Boris Johnson #StayHomeSaveLives (@BorisJohnson) March 31, 2020

Il secondo problema si chiama Zoombombing: incursioni di bande di utenti all’interno di videoconferenze altrui, spesso per origliare oppure per pubblicare materiale osceno o lanciare insulti fino a costringere gli utenti legittimi a interrompere la sessione. Ho assistito in diretta ad alcuni di questi attacchi, e non sono per nulla piacevoli da subire, specialmente se si tratta di un docente che sta facendo lezione e compaiono di colpo video di torture o altre violenze sullo schermo di tutti gli studenti.

Questi vandalismi sono resi possibili dal fatto che ogni videoconferenza fatta con Zoom ha un numero identificativo composto da 9, 10 o 11 cifre, che può essere scoperto facilmente ed è tutto quello che serve per aggiungersi a una sessione se non sono state prese altre misure di protezione.

L’esperto di sicurezza Brian Krebs nota che esistono degli strumenti di wardialing che tentano tutti i numeri identificativi possibili delle sessioni Zoom, e i risultati non sono confortanti: nel giro di un’ora i ricercatori che hanno usato uno di questi strumenti hanno trovano in media 110 sessioni prive di password e quindi attaccabili. Molte appartenevano a banche, società di consulenza internazionali, aziende con contratti governativi e altre società del settore finanziario.

Automated Zoom conference meeting finder 'zWarDial' discovers ~100 meetings per hour that aren't protected by passwords. The tool also has prompted Zoom to investigate whether its password-by-default approach might be malfunctioning https://t.co/dXNq6KUYb3 pic.twitter.com/h0vB1Cp9Tb

— briankrebs (@briankrebs) April 2, 2020

Zoom ha pubblicato una guida dettagliata su come configurare l’applicazione in modo da bloccare questi attacchi, ma al momento è disponibile soltanto in inglese; Aranzulla.it ha una miniguida in italiano.

Se usate un Mac e avete bisogno di partecipare a un incontro tramite Zoom, consiglio di non installare l’applicazione ma di aprire il link al meeting usando Google Chrome e attendere qualche secondo che compaia l’invito “click here to launch the meeting”. Cliccandovi sopra, comparirà la dicitura “If you cannot download or run the application, join from your browser”: cliccate su “join from your browser” e autorizzate l’accesso alla telecamera e al microfono.

Dalla Norvegia arriva la notizia che una scuola ha dovuto interrompere l’uso del servizio di videoconferenza Whereby perché durante una videolezione un uomo si è introdotto digitalmente nella videoconferenza di gruppo e ha avuto l’infelice idea di mostrarsi nudo.

L’intrusione è avvenuta perché l’uomo è stato in grado di indovinare il link pubblico della videolezione.

Il problema non è nuovo ed è noto agli esperti da tempo, ma ovviamente è esploso adesso per via dell’improvviso aumento dell’uso di questi strumenti di comunicazione: a ogni videoconferenza è assegnato un identificativo, un meeting ID, che non è difficile indovinare o trovare per tentativi.

Il rimedio è facile: proteggere la videoconferenza con una password, come indicato nelle istruzioni di configurazione dei vari servizi, come Zoom o Webex.

SamuraiSecurity ha alcuni consigli aggiuntivi, come disabilitare le telefonate o proteggerle con un PIN e attivare l’autenticazione a due fattori, soprattutto per chi è amministratore della videoconferenza. Questo è particolarmente importante per chi registra le sessioni, altrimenti chiunque abbia accesso all’account dell’amministratore può scaricarsi qualunque sessione registrata.

C’è anche un aspetto di privacy non trascurabile specificamente in Zoom: la sua versione per iOS manda informazioni a Facebook anche se l’utente non ha un account Facebook, e questo fatto non è indicato nelle informazioni di privacy di Zoom. Facebook viene a sapere quando l’utente apre l’app, che tipo di dispositivo usa, in che città si trova, quale operatore usa e un identificativo per inviare all’utente pubblicità mirata.


Fonte aggiuntiva: TechCrunch; Vice.com.