Ultimo aggiornamento: 2022/01/28 2:40.

Se avete un computer Apple, aggiornatelo appena possibile alla versione più recente di macOS, la 12.2. Un informatico, Ryan Pickren, ha infatti scoperto una serie di falle davvero notevoli nella sicurezza dei computer di questa marca, che permettevano di prendere il controllo di tutti gli account aperti della vittima e, ciliegina sulla torta, anche della sua webcam. 

La buona notizia è che l’aggiornamento a macOS 12.2 chiude queste falle e Pickren è un hacker buono, ossia uno di quelli che invece di tenere per sé un potere del genere o rivenderlo a qualche banda di criminali informatici contatta le aziende e segnala le vulnerabilità, tenendole segrete fino al momento in cui sono disponibili delle correzioni. Per questa sua scelta responsabile Apple lo ha ricompensato con 100.500 dollari, come previsto dal programma di bug bounty dell’azienda, che prevede premi variabili a seconda della gravità della falla segnalata responsabilmente.

Ma come è possibile che delle falle di un sistema operativo (in questo caso macOS) permettano di prendere il controllo degli account della vittima? A prima vista sembrerebbero due cose molto distinte. Pickren ha spiegato i dettagli della sua tecnica di attacco.

Il primo passo è molto banale: convincere la vittima a visitare con Safari, il browser standard di Apple, un sito che fa da trappola. Il sito non contiene virus o altro: ospita semplicemente un documento innocuo, per esempio un’immagine di un tenerissimo cucciolo o il classico buongiornissimo caffé, collegato tramite un link (URI) speciale, icloud-sharing:, che viene usato normalmente da Safari per i documenti condivisi tramite iCloud.

In pratica la vittima, quando visita il sito-trappola, riceve un invito a scaricare un documento condiviso innocuo. Se accetta, come è probabile se il documento ha un nome allettante, Safari scarica il documento stesso. La vittima apre il documento, vede che è una foto non pericolosa e non ci pensa più.

Fin qui niente di speciale. Ma la falla di macOS scoperta da Ryan Pickren ha un effetto molto insolito: siccome il documento è stato scaricato usando la funzione di condivisione di Apple, il creatore del documento condiviso può cambiare a proprio piacimento il contenuto della copia scaricata sul computer della vittima. In altre parole: la foto del cucciolo puccioso viene sostituita per esempio da un programma eseguibile, che a questo punto l’aggressore può attivare sul Mac della vittima quando vuole.

L’astuzia non è finita. Normalmente macOS non consente di eseguire programmi non approvati (grazie a Gatekeeper). Ma Pickren ha scoperto un modo per eludere questi controlli. Il programma ostile iniettato nel Mac della vittima può quindi agire indisturbato, senza che la vittima riceva richieste di approvazione, ed eseguire per esempio del JavaScript che può fingere di provenire da Twitter, Google, Zoom, PayPal, Gmail, Facebook o qualunque altro sito (è possibile impostarne l’origin a piacimento) e può fare tutto quello che può fare la vittima nel proprio account presso questi servizi: pubblicare messaggi, cambiare impostazioni, cancellare contenuti e anche attivare la webcam.

Questa falla, comunque, è stata ora corretta, insieme a un’altra molto grave che permetteva di prendere il controllo dei Mac e di sorvegliarne le attività (creando una backdoor).

Morale della storia: non fidatevi delle offerte di scaricare documenti condivisi da siti che non conoscete, neanche se i documenti sembrano innocui, e aggiornate il vostro macOS appena possibile, naturalmente dopo aver creato una copia di sicurezza dei vostri dati.

A proposito di aggiornamenti Apple: ce ne sono anche per gli Apple Watch, per i media player della stessa marca, per i suoi altoparlanti smart (che finalmente introducono il riconoscimento vocale multiutente in italiano),  per gli iPhone e per gli iPad. Smartphone e tablet passano alla versione 15.3 e risolvono una falla che permetteva ai siti ostili di scoprire quali altri siti avevate visitato e di ottenere altri dati personali. Anche qui, conviene aggiornarsi al più presto. Le istruzioni per farlo sono come sempre sul sito di Apple.

Sono disponibili al pubblico le nuove versioni dei principali sistemi operativi per computer, ossia Windows 11 e Mac OS 12 Monterey.

Una volta tanto non è urgente installarli: non introducono miglioramenti importanti della sicurezza, perlomeno per l’utente comune, per cui aggiornatevi se volete, ma non sentitevi particolarmente in obbligo. Non c‘è fretta: Windows 10 continuerà a essere supportato fino a ottobre del 2025.

Come sempre, prima di aggiornare un sistema operativo, fate un backup completo dei vostri dati e delle vostre applicazioni (meglio ancora, dell’intero sistema), controllate che le applicazioni che usate e il vostro hardware siano compatibili con la nuova versione di Windows/MacOS e ritagliatevi un paio d’ore di tempo per l’aggiornamento. 

Ho provato a installare sia Windows 11 sia MacOS Monterey, e anche sui miei computer non particolarmente potenti o recenti non sembrano causare rallentamenti. In entrambi i casi, il computer stesso vi avvisa se è compatibile o meno con l’aggiornamento non appena tentate di avviarlo.

Windows 11

La nuova versione del sistema operativo di Microsoft offre un nuovo design molto pulito, che però ha una scelta probabilmente controversa: il pulsante Start, che per decenni è stato nell’angolo in basso a sinistra, ora sta in basso al centro della Taskbar, sovvertendo abitudini e automatismi ben radicati nella memoria muscolare degli utenti. Si può riportare a sinistra andando nelle impostazioni di Windows 11.

A parte questo, una novità interessante di Windows 11 è che vi girano o gireranno anche le applicazioni Android, grazie al Windows Subsystem for Android (WSA), anche se con alcune limitazioni hardware e geografiche. C’è una gestione più potente dei monitor multipli e delle finestre multiple, arriva un nuovo Store delle app Microsoft e ci sono alcune migliorie per i gamer. Ma non ho visto nulla che mi faccia correre ad installarlo.

MacOS 12 (Monterey)

Il nuovo MacOS è installabile anche su computer piuttosto vecchiotti (ho appena finito di installarlo su un Mini del 2014). Anche qui non ci sono miglioramenti che fanno venire fretta di installarlo: sono arrivati gli shortcut, ossia dei “programmi” o script che permettono di automatizzare le operazioni ripetitive (tipo creare una GIF partendo da un video). I Mac possono ora essere usati come monitor e altoparlanti per altri dispositivi, tramite AirPlay: si può mostrare sullo schermo del Mac lo schermo di un iPhone, per esempio. I MacBook recenti hanno una funzione di consumo energetico ridotto (è nelle impostazioni della batteria). C’è un’opzione che consente di limitare notifiche e distrazioni.

La novità forse più interessante è lo Universal Control, che però non è ancora disponibile ma dovrebbe consentire prossimamente di usare una sola tastiera e un solo trackpad o mouse di un Mac per comandare altri Mac e iPad nelle sue vicinanze (che siano sulla stessa rete Wi-Fi e usino lo stesso Apple ID e soprattutto permetterà di trascinare e mollare un file da un dispositivo all’altro.

I nuovi MacBook Pro, per contro, rivelano una magagna piuttosto comica: il loro schermo ha una tacca, il notch, per ospitare la webcam, ma la barra menu situata in alto non ne tiene conto e alcune sue voci finiscono per essere nascoste dalla tacca. Piuttosto imbarazzante, per un’azienda che ha il culto del design e dell’estetica.

Questo tweet https://twitter.com/thelazza/status/1453307197115490317 mostra un problema serio dei nuovi Mac con la tacca per la webcam:

WTF HAHAHAHA HOW IS THIS SHIPPABLE? WHAT IS THIS?! pic.twitter.com/epse3Cv3xF

— Quinn Nelson (@SnazzyQ) October 26, 2021

Il problema è parzialmente risolvibile cambiando le impostazioni dello schermo in modo da sacrificarne una fettina.

Fonti aggiuntive: Howtogeek, Gizmodo.

La Hewlett Packard Enterprise ha pubblicato un avviso a proposito di alcuni suoi dischi rigidi a stato solido (SSD): hanno un difetto di firmware che causa il collasso totale del disco dopo esattamente 32,768 ore di funzionamento, ossia dopo 3 anni, 270 giorni e 8 ore di funzionamento.

Il numero non è casuale: è una potenza di 2 (2¹⁵), per cui è probabilmente legato a un contatore di ore che raggiunge il proprio limite. Comunque sia, HPE avvisa che se non viene aggiornato il firmware il disco perderà tutti i dati e non sarà più utilizzabile. Visto che si tratta di componenti piuttosto costosi, il danno economico può essere pesante e aggiungersi a quello derivante dalla perdita dei dati.

Vale quindi la pena non solo di fare questi aggiornamenti, ma anche di fare una copia dei dati presenti su questi dischi.

Il bollettino di avviso include i link agli aggiornamenti, che però al momento non sono disponibili per tutti i modelli difettosi ma dovrebbero uscire intorno al 9 dicembre prossimo.

Per sapere quante ore ha accumulato un SSD di questo genere si possono seguire queste istruzioni di HPE.

Chi li ha installati in configurazione RAID, che in teoria dovrebbe garantire la sopravvivenza dei dati in caso di guasto al disco, tenga presente che se anche gli altri dischi del RAID sono dello stesso modello e sono stati installati alla stessa data schiatteranno tutti contemporaneamente, per cui la normale ridondanza non vi salverà.


Fonte aggiuntiva: Sophos.

Facebook ha pubblicato un aggiornamento delle proprie opzioni di privacy, ammettendo che “le impostazioni di privacy sono troppo difficili da trovare”. Le impostazioni verranno accentrate e riprogettate e arriverà un nuovo menu che le collegherà direttamente e le spiegherà più in dettaglio.

Arriveranno anche strumenti più semplici per trovare, scaricare ed eliminare i dati che abbiamo immesso in Facebook. Sembra un po’ un atto di contrizione in seguito agli scandali di questi giorni intorno al traffico di dati personali provenienti da Facebook che Cambridge Analytica ha usato per tentare di procurare un vantaggio elettorale a candidati politici di numerosi paesi.

A proposito dello scaricamento dei nostri dati, Facebook dice che si può scaricarne una copia “e persino trasferirla a un altro servizio”. Detta così sembra una concessione davvero generosa, ma come nota Sean Sullivan di F-Secure, è vero solo in teoria: Facebook è un monopolio in molti posti. Trasferirla dove?

Questo articolo vi arriva grazie alle gentili donazioni di "francesco.lac***" e "robi_kali".
L'articolo è stato aggiornato rispetto alla sua pubblicazione iniziale.

Zio Bill comunica che l'aggiornamento di sicurezza di aprile per Windows XP, denominato MS06-015, ha un po' di problemi. Se avete installato quest'aggiornamento e vi siete accorti, per esempio, che non potete più accedere alla vostra cartella Documenti, o che Internet Explorer non risponde ai comandi, la probabile causa è l'aggiornamento fallato.

Tutti i sintomi sono descritti da Microsoft anche in italiano e includono, oltre a quelli accennati sopra, problemi nel salvare e aprire i file di Office se si trovano nella cartella Documenti; il blocco dell'applicazione se scegliete di aprire un file usando File > Apri; e la mancanza di risposta di Windows quando si espande una cartella in Esplora Risorse.

L'aggiornamento causa inoltre problemi con il software Share-to-Web di HP, allegato fino a poco tempo fa a scanner, stampanti, masterizzatori e fotocamere Hewlett-Packard.

Ci sono noie anche con il firewall Kerio, della Sunbelt Software, che blocca un componente nuovo di Windows installato dall'aggiornamento, denominato verclsid.exe. E' necessario dire a Kerio di accettare i tentativi di esecuzione di questo componente. Sospetto che il nome verclsid richiami i famosi e controversi CLSID che descrissi tempo fa.

La soluzione ai problemi prodotti dall'aggiornamento consiste nel modificare a manina il Registro, cosa da evitare se non si è esperti; in alternativa, si può attendere il prossimo aggiornamento di Windows, che (si spera) porrà rimedio a questi difetti. The Inquirer prevede che la correzione all'aggiornamento verrà distribuita la prossima settimana, e ZDNet indica martedì come data di distribuzione, aggiungendo che ci sono anche problemi con i driver Nvidia di versioni precedenti la 61.94. Eweek conferma la data di martedì 25 aprile e segnala anche problemi con Outlook.

Secondo una prassi comune da qualche tempo, Microsoft usa un programma di traduzione automatica per pubblicare inizialmente questi bollettini nelle lingue diverse dall'inglese e poi fa rivedere la traduzione da un traduttore umano. Il bollettino italiano riguardante questa falla è già stato riveduto, ma ho fatto in tempo a coglierne la versione originale e ho visto riconfermare una teoria che propongo da tempo: non solo il traduttore umano non rischia di essere rimpiazzato da una macchina, come sento periodicamente annunciare da oltre vent'anni, ma il vero pregio della traduzione automatica è che sa rivelare delle verità davvero profonde.

Per esempio, il bollettino Microsoft inglese dice, verso la fine, che "The third-party products that this article discusses are manufactured by companies that are independent of Microsoft." La traduzione pubblicata ora da Microsoft è abbastanza corretta: "I prodotti di terze parti citati in questo articolo sono forniti da produttori indipendenti". Ma la traduzione automatica aveva generato questa versione ben più pregna di significato, che potete vedere cliccando sulla cattura della pagina Web in alto a sinistra in quest'articolo: "Le società che sono indipendenti di Microsoft producono."

Non avrei saputo dirlo meglio.