Cat Stevens quasi beffa l'antiterrorismo grazie a un refuso

Nuova puntata della serie "la vostra sicurezza è in buone mani". L'ex cantante Cat Stevens, che ora si fa chiamare Yusuf Islam, è nella lista dei sospettati di terrorismo stilata dal governo USA (per motivi non divulgati), ma è riuscito lo stesso a salire su un aereo diretto negli USA, che poi è stato bloccato. C'è riuscito grazie a un problema di ortografia.

Infatti nella lista antiterrorismo c'è scritto Youssouf Islam, non Yusuf. Così perlomeno riferisce Yahoo News, citando la rivista Time:

Time magazine, in its on-line edition, quoted aviation sources with access to the "no-fly" list as saying there is no entry on the list under the name "Yusuf Islam," but that there is a "Youssouf Islam" on the list. They said the incorrect name was added to the list this summer. Because Islam's name is spelled "Yusuf" on his passport, said the sources, he was allowed to board a plane in London bound for the United States. The US Transportation Safety Administration alleges that Islam has links to terrorist groups, which he has denied.

In altre parole, il sistema antiterrorismo non è abbastanza flessibile da tenere conto delle variazioni fonetiche dei nomi. Non saprebbe distinguere, per esempio, fra Smyth e Smith. Forse il governo USA dovrebbe ringraziare Cat Stevens per aver evidenziato questa falla del sistema. Con questa falla, un terrorista avrebbe potuto entrare negli USA semplicemente alterando foneticamente il proprio nome, cosa peraltro legittima, dato che con i nomi scritti in alfabeti non latini la conversione fonetica verso l'alfabeto latino non è univoca.

Ma chi è l'imbecille che scrive il software che gestisce questi sistemi? A parte il fatto che un sistema basato sui nomi, vista la facilità con la quale si può cambiare nome legalmente o illegalmente, mi sembra una totale perdita di tempo, anche soltanto come primo filtro. Che comunque, come dimostrato, non funziona.

Mah!

[IxT] Sicurezza: in circolazione la JPEG assassina (e pure travestita)

Questa newsletter vi arriva grazie alle gentili donazioni di "giordano.albe***", "franco.bat***" e "silvietto.berlus****".

Stando alle segnalazioni di alcuni siti dedicati alla sicurezza, è già in circolazione almeno un virus che sfrutta la falla della "JPEG assassina" descritta nelle newsletter precedenti.

L'immagine-virus segnalata è stata immessa in un newsgroup di immagini per adulti, con l'ovvio intento di farsi scaricare e aprire dal maggior numero possibile di utenti Windows.

A quanto risulta, non si tratta di un worm, ma di un virus propriamente detto: in altre parole, non è in grado di propagarsi spontaneamente di computer in computer, ma è necessario che ciascuna vittima se lo scarichi. Questa è una cosa peraltro facilissima, dato che basta includere l'immagine assassina in una qualsiasi pagina Web molto frequentata, per esempio in un forum, e il gioco è fatto.

L'immagine può avere un nome e un aspetto qualsiasi. Il campione che ho aperto io (sul Mac, che non risente di questo specifico problema) non conteneva nulla di visualizzabile, ma non è detto che debba essere così per tutte le varianti virali basati su questa falla di Windows.

È estremamente importante ricordare che l'immagine infettante può anche avere un'estensione diversa da JPEG o JPG.

In virtù del modo in cui funziona Windows, infatti, se un'immagine in formato JPEG arriva con un'estensione che appartiene a un formato grafico diverso (TIFF, GIF, TGA, eccetera), Windows la riconoscerà comunque come un'immagine JPEG e la gestirà di conseguenza: in altre parole, si infetterà. Il risultato di questa specifica forma del virus è l'installazione, nel PC della vittima, di un programma-spia che consente al padrone di questo virus di accedere ai dati delle sue vittime.

La raccomandazione, pertanto, è di diffidare degli allegati come consueto e anzi più del consueto, ma soprattutto di aggiornare l'antivirus e Windows, installando se possibile il Service Pack 2 che immunizza Windows XP contro questa falla potenzialmente disastrosa. Anche il firewall può essere utile, dato che dovrebbe bloccare il tentativo del virus di comunicare col proprio padrone.

Stando ai test circolanti in Rete e che non ho ancora avuto modo di ripetere su una macchina Windows aggiornata, il Service Pack 2 effettivamente funziona contro questo tipo di attacco (se riuscite a installarlo).

Maggiori dettagli tecnici su questa forma virale sono presso EasyNews.com e presso Sans.org.

Ringrazio "dangelo" per la tempestiva segnalazione notturna di questa notizia.

Ho ricevuto moltissima posta a proposito di questa falla e del Service Pack 2. Mi spiace non poter rispondere a tutti. Molti mi chiedono se Windows 98 è immune: normaente lo è, ma dipende che altro software avete installato, come spiegato (si fa per dire) nella pagina del sito Microsoft dedicata a questa falla.

Alcuni lettori segnalano che è necessario aggiornare il BIOS del computer (operazione non proprio a portata di tutti) e/o aggiornare il software di masterizzazione prima di installare il Service Pack 2, pena crash del sistema. Gli utenti Windows, insomma, sono fra l'incudine e il martello. Da un lato arrivano immagini killer, dall'altro installare le difese può devastare il computer. Bell'affare.

Questo è tutto quello che so, per il momento. Purtroppo voi siete tantissimi, e io sono uno solo, per cui più di così non posso fare.

Ci sono molti altri servizi e siti informativi italiani che stanno parlando del problema: consultateli. Per queste cose ci sarebbe, in teoria, anche l'assistenza Microsoft o del vostro rivenditore (a seconda della licenza di Windows che avete). La responsabilità è loro: mi sembra giusto che siano loro a darsi da fare per rimediare alle conseguenze dei loro errori. È per questo che avete pagato Windows, no? Per avere diritto all'assistenza. Fatevi valere, o perlomeno fate sentire quanto siete scontenti.

[IxT] Antibufala: il libro di scuola che insulta la sinistra e loda la destra

Questa newsletter vi arriva grazie alle gentili donazioni di "manassi", "maurizio" e "JeffHawk".

Circola da parecchio tempo un appello, diffuso via e-mail, secondo il quale un libro di testo in uso nelle scuole italiane conterrebbe frasi ingiuriose nei confronti della sinistra politica italiana.

L'appello parla di un "brano tratto da "I nuovi sentieri della Storia. Il Novecento", Istituto Geografico De Agostini, Novara, 2003, Bellesini Federica, manuale di Storia di IIIa media, capitolo 2, paragrafo 1, pag.34", che reciterebbe così:

Gli uomini della Destra erano aristocratici e grandi proprietari terrieri. Essi facevano politica al solo scopo di servire lo Stato e non per elevarsi socialmente o arricchirsi.
Inoltre amministravano le finanze statali con la stessa attenzione e parsimonia con cui curavano i propri patrimoni.
Gli uomini della Sinistra, invece, sono professionisti, imprenditori e avvocati disposti a fare carriera in qualunque modo, talvolta sacrificando persino il bene della nazione ai propri interessi.
La grande differenza tra i governi della Destra e quelli della Sinistra consiste soprattutto nella diversità del loro atteggiamento morale e politico.

Il paragrafo citato sembra insomma insultare volutamente e palesemente una fazione politica e lodarne un'altra, con chiare allusioni alla situazione politica corrente, cosa indubbiamente fuori luogo in un testo scolastico che dovrebbe ambire all'obiettività.

Prima che proseguiate la lettura mi tocca fare una precisazione, nella speranza di evitare il diluvio di insulti che arriva ogni volta che il Servizio Antibufala tocca argomenti politici: la politica italiana non mi interessa, per il semplice fatto che non abito più in Italia. Il mio atteggiamento verso la politica italiana è quel misto di curiosità e orripilazione che si prova quando si passa accanto a un incidente stradale. Non ho una missione politica da compiere o schieramenti da difendere. Sono insomma molto al di sotto di eventuali beghe politiche fra destra e sinistra.

Detto questo, torniamo all'indagine. Il paragrafo incriminato esiste e la fonte citata è esatta. Ne trovate una scansione, gentilmente reperita da un lettore, insieme all'indagine completa sul caso, su Attivissimo.net

Tuttavia la frase acquisisce la forte connotazione di insulto politico a senso unico soltanto se viene estratta dal suo contesto.

La pagina del libro di testo citato, infatti, è tutta scritta usando il presente storico: è sufficiente leggerla per intero per capire che il paragrafo si sta riferendo esclusivamente al periodo storico descritto (la fine del 1800).

Inoltre la pagina contiene critiche anche per la destra, tant'è che il testo stesso dell'appello dice che i disonesti sono "professionisti, imprenditori e avvocati".

Non sembrano parole particolarmente adatte ad ingraziarsi la destra.

È ovvio che i confronti con la situazione attuale vengono comunque spontanei. Ma è proprio per questo che si studia la storia: per capire da dove veniamo e come ci siamo arrivati alla situazione odierna. Come si suol dire, chi non impara dalla storia è condannato a ripeterne gli errori. Allo stesso modo, chi non impara a valutare il contesto in cui vengono dette o scritte le cose è condannato a trovare significati occulti anche dove non ce ne sono e a ignorare gli indizi contrari alla propria tesi preconcetta.

C'è sicuramente chi potrebbe obiettare che le frasi incriminate sono comunque una forma di propaganda mascherata e disinformazione. Va considerato, tuttavia, che allo stesso modo anche la loro diffusione senza chiarirne il contesto è una forma di propaganda e disinformazione, ma in favore dell'opposta fazione politica. Un gioco molto pericoloso e poco costruttivo.

Ringrazio tutti i lettori che hanno contribuito con ricerche, informazioni e conferme a quest'indagine. I loro nomi o pseudonimi sono citati nell'indagine completa.

Ciao da Paolo.

[IxT] Miniguida di sopravvivenza al Service Pack 2

Questa newsletter vi arriva grazie alle gentili donazioni di "banconote", "mav.erick" e "fr.cordua".

Viste le diffusissime perplessità sul Service Pack 2 e il dilemma su cosa fare ora che la falla JPEG descritta nelle newsletter precedenti sembra imporne l'installazione, mi sono auto-offerto come cavia: ieri notte ho installato il Service Pack 2.

Ha funzionato tutto, nonostante le molte segnalazioni di problemi. Certo il mio è un Windows molto semplice, già blindato in partenza, e non ha Office né programmi peer to peer, quindi la configurazione è poco rappresentativa: comunque rimane il fatto che ha funzionato egregiamente.

Come al solito, vale la raccomandazione principe di fare un backup integrale del computer (usando Ghost o Partimage o programmi analoghi) prima di tentare l'impresa. Un'altra raccomandazione importante è aggiornare antivirus e firewall, perché per esempio Zone Alarm 4.5 non viene riconosciuto e gestito dal SP2, mentre Zone Alarm 5.1 sì.

La miniguida al Service Pack 2, per il momento riferita a Windows inglese, è a vostra disposizione qui.

Già che c'ero e visto che l'avevate giustamente chiesta, ho preparato anche la guida a Zone Alarm 5.1.

Come sempre, correzioni, commenti e aggiunte sono ben accette ed entreranno nell'Acchiappavirus, di cui ho messo online una versione aggiornata a ieri (qui).

Tablet PC, altro che grande rivoluzione

Un flop per i TabletPC

Secondo la società di rilevamento Canalys, citata nella rivista BusinessNFO di settembre 2004, nel secondo trimestre del 2004 sono stati venduti, nell'area EMEA, soltanto 35.000 Tablet PC.

In confronto, nella stessa area e nello stesso periodo, sono stati venduti tre milioni e mezzo di notebook.

Notebook batte Tablet 100 a 1, insomma. Meno male che doveva essere la grande rivoluzione dell'informatica. Vero Bill?

[IxT] Microsoft e Guerre Stellari (satira, solo per fan)

Trovata su Slashdot e tradotta-adattata al volo:

Inquietanti paralleli tra la saga di Guerre Stellari e l'evoluzione di Microsoft: George Lucas previde tutto come Nostradamus?

• I piani della Morte Nera erano segreti, ma i ribelli li hanno svelati lo stesso; i sorgenti di Windows sono segreti, ma finiscono per essere rivelati lo stesso.
• L'Impero era certo che la Morte Nera fosse sicura e inviolabile; Microsoft è certa che Windows sia sicuro e inviolabile.
• I ribelli si imbattono in una vulnerabilità della Morte Nera di cui gli imperiali non si erano mai accorti e che comunque non ritengono importante; gli informatici si imbattono in vulnerabilità di Windows di cui nessuno si era mai accorto e che comunque Microsoft non ritiene importanti.
• La Morte Nera si posiziona lentamente per eliminare gli avversari; in questi anni, Microsoft si è posizionata lentamente e ha eliminato la concorrenza.
• L'Impero analizza l'attacco dei ribelli e scopre che esiste un pericolo, ma troppo tardi; Microsoft analizza gli attacchi informatici e scopre che esiste un pericolo, ma troppo tardi.
• Luke Skywalker, pur essendo un dilettante, piazza un colpo estremamente preciso e devastante nella porta di scarico termica della Morte Nera; gli script kiddie, pur essendo dilettanti, piazzano colpi estremamente precisi e devastanti alle backdoor e agli altri punti deboli di Windows.
• L'Impero tenta di ricostruire da zero la Morte Nera, promettendo di renderla migliore di prima, anche se esteriormente identica; Microsoft sta tentando di ricostruire Windows da capo, e promette di renderlo migliore di prima, anche se esteriormente identico.

Da questo si deduce che:

• Bill Gates è il padre di Linus Torvalds
• Microsoft non deve essere troppo fiera di questo terrore tecnologico che ha costruito. L'abilità di distruggere la concorrenza è insignificante in confronto al potere dell'open source.

Ridete! È satira!!!

[IxT] Quiz per caselle Gmail: caccia al tesoro antibufala

Questo è l'ultimo quiz che vi proporrò per qualche tempo, visto che la questione delle donazioni di caselle Gmail mi sta sfuggendo di mano: sono arrivate tantissime donazioni, che però hanno una data di scadenza troppo vicina perché io le possa smaltire a colpi di indovinelli.

Per il futuro, quindi, troverò una soluzione alternativa. Restate in ascolto!

Vengo subito al quiz di stasera. Non è in realtà un quiz vero e proprio: è più che altro una caccia al tesoro, oltretutto benefica perché dovrebbe contribuire a risolvere un'indagine antibufala da tempo in sospeso.

Circola infatti da un annetto un appello secondo il quale un libro di testo delle medie, scritto da Federica Bellesini e pubblicato dall'Istituto Geografico De Agostini con il titolo "I nuovi sentieri della Storia. Il Novecento", conterrebbe a pagina 34 il seguente paragrafo:

Gli uomini della Destra erano aristocratici e grandi proprietari terrieri. Essi facevano politica al solo scopo di servire lo Stato e non per elevarsi socialmente o arricchirsi. Inoltre amministravano le finanze statali con la stessa attenzione e parsimonia con cui curavano i propri patrimoni. Gli uomini della Sinistra, invece, sono professionisti, imprenditori e avvocati disposti a fare carriera in qualunque modo, talvolta sacrificando persino il bene della nazione ai propri interessi. La grande differenza tra i governi della Destra e quelli della Sinistra consiste soprattutto nella diversità del loro atteggiamento morale e politico.

Ci sono dieci caselle Gmail per i primi che mi manderanno, a topone@pobox.com, una scansione o una trascrizione della pagina completa del libro contenente la citazione (se esiste).

Buona caccia!

[IxT] JPEG assassina per Windows, pronto il kit per la strage. Adesso che si fa?

Questa newsletter vi arriva grazie alle gentili donazioni di "lenor8", "maurizio" e "rmbianchi".

Come preannunciato qualche giorno fa, la falla di sicurezza del software Microsoft che permette di infettare un computer semplicemente visualizzando un'immagine in formato JPEG appositamente confezionata (sì, non sto scherzando) non è più una vulnerabilità teorica: ora è un problema concreto.

Infatti sono già in circolazione le prime dimostrazioni e i kit per fabbricare le immagini infettanti. Ecco un'immagine (innocua!) del kit a portata di dilettanti, tratta dal sito della società antivirale F-Secure:
http://www.f-secure.com/weblog/

E qui c'è un pezzo (censurato) di codice dimostrativo:
http://www.k-otik.com/exploits/09222004.ms04-28.sh.php

La spiegazione tecnica di come funziona la falla e di quanto sia paurosamente semplice sfruttarla è qui.

Per gli utenti Windows, il problema a questo punto è cosa fare, visto che l'ondata di piena è sicuramente in arrivo e a breve troveremo la Rete infestata di siti ed e-mail contenenti immagini JPEG che infettano o fanno impallare Windows. È prevedibile che nelle prossime settimane assisteremo alla solita litania di blocchi di sistemi informatici pubblici basati su Windows (Bancomat, Poste, banche, prenotazioni mediche, check-in aeroportuali, eccetera): tenetene conto nelle vostre attività, magari tenendo in tasca qualche euro in più per le emergenze.

È una raccomandazione che faccio anche agli utenti Mac e Linux, anche se non sono affetti direttamente da questa falla: lo saranno lo stesso indirettamente in caso di collasso dei PC Windows usati da colleghi, clienti, fornitori e servizi pubblici.

Le istruzioni fornite da Microsoft sono incasinatissime:
http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx

In sintesi, potete usare Windows Update per eliminare la falla da Windows XP: si può fare anche senza installare il contestatissimo Service Pack 2, usando l'aggiornamento KB833987 disponibile nella pagina Microsoft indicata sopra.

Ma può non bastare: se avete Microsoft Office, potreste essere comunque a rischio. Anche alcune versioni di Microsoft Office, infatti, contengono una versione vulnerabile del componente che gestisce le immagini JPEG (gdiplus.dll). Per cui dovete usare anche Office Update.

Non è finita. A prescindere dalla versione di Windows che usate, se avete installato alcune versioni di programmi come Project, Visio, Visual Studio .NET, Visual C#, Picture It, Digital Image Pro e altri (tutta roba Microsoft, per la serie "un nome, una garanzia"), potreste essere comunque vulnerabili a prescindere da patch e contropatch. Se usate uno dei programmi indicati da Microsoft (la lista completa è sempre nella pagina Microsoft citata sopra), dovete aggiornarlo con una versione non vulnerabile.

Una versione semplificata della procedura è descritta in inglese qui e in italiano qui.

La procedura semplificata include una funzione che controlla la presenza di programmi vulnerabili nel vostro PC. Fate però attenzione: questo controllo non dice se avete una versione sicura o no dei vari programmi, ma si limita a ricordarvi che avete nel computer uno dei programmi potenzialmente vulnerabili.

Può anche darsi che i prossimi aggiornamenti degli antivirus riescano a gestire alcuni dei canali attraverso i quali possono arrivare immagini infette (gli allegati agli e-mail, per esempio). Staremo a vedere: resta valido il consiglio di tenere costantemente aggiornato l'antivirus e di diffidare di ogni allegato di qualsiasi provenienza.

Se tutto questo vi manda in bestia, vi capisco perfettamente. È proprio per falle come queste che da tempo consiglio (e non sono certo il solo) di passare a soluzioni alternative. Una recente falla vagamente analoga per il formato grafico PNG si risolse con una mini-patch assolutamente indolore per Linux e per Mac. Con Windows non si sa neppure da che parte cominciare a rattoppare.

Certo migrare a Linux o Mac costa fatica, ma quanto vi costerà restare con Windows dopo questa falla? E cosa farete quando arriverà la prossima? Pensateci. Io l'ho fatto, e ora vi scrivo tranquillo dal mio Mac.

Non voglio sembrare allarmista, ma questa è obiettivamente una delle falle più pericolose da anni a questa parte, perché riguarda un formato, il JPEG, che tutti ritenevano impossibile usare come veicolo d'infezione, e soprattutto riguarda un elemento assolutamente essenziale di Internet come le immagini. Ma quando una cosa sembra impossibile, ci pensa mamma Microsoft a renderla possibile. E poi dicono che zio Bill non sa innovare!

Di conseguenza, non state lì ad aspettare: fate qualcosa. Qualsiasi cosa. Installate le patch (dopo un backup o almeno un punto di ripristino, mi raccomando), fatevi aiutare da un amico esperto, tempestate di telefonate l'assistenza Microsoft o quella del vostro rivenditore (a seconda delle condizioni indicate nella vostra licenza di Windows), buttate via il computer, comprate un Mac, installate Linux, ma non statevene con le mani in mano. Ogni computer che rimane vulnerabile è un computer in più che può diffondere l'infezione.

Proteggersi, fra l'altro, è una questione di responsabilità sociale, perché se non vi proteggete, danneggerete non soltanto voi stessi, ma anche altri utenti.

Siete nella posizione tutto sommato vantaggiosa di sapere che il pericolo sta arrivando e avete tempo per porvi rimedio. Aspettare e sperare che le cose si sistemino da sole sarebbe incosciente.

Cat Stevens ha un lato oscuro

Cat Stevens: pacifismo e fatwa?

Hmmm... secondo la BBC, Cat Stevens negli anni 80 era a favore della condanna a morte di Salman Rushdie.

In the late 1980s he shocked many of his former fans by supporting the fatwa ordered by the Ayatollah Khomeini against Salman Rushdie, which led to him being put under a death sentence by the Iranian government.

Secondo altre fonti, il sostegno di Stevens alla fatwa era un po' meno esplicito di quanto dice in sintesi la BBC:

His comments in 1989 concerning Salman Rushdie after the publication of Rushdie's novel The Satanic Verses provoked controversy. During this time period an Islamic fatwa (religious ruling) was issued, holding that it was an obligation of Muslims to kill Salman Rushdie. Yusuf Islam publicly stated that Rushdie was indeed guilty of blasphemy against Islam, and Rushdie deserved to be killed. This led to a public outcry, and a drop in record sales. In response to this criticism, Yusuf Islam has since clarified that he believes that a death sentence can only be carried out by the authority of a court in an Islamic society, and that he is opposed to anyone taking the law into their own hands by murdering Rushdie.

Bizzarro. Un pacifista che è a favore della pena capitale, e non per un delitto, ma per un reato d'opinione. Scrivi un libro che sfotte la sua religione, e per Cat Stevens devi morire?

Eppure ha condannato gli attentati dell'11 settembre 2001:

Along with most Muslims, I feel it a duty to make clear that such orchestrated acts of incomprehensible carnage have nothing to do with the beliefs of most Muslims. The Koran specifically declares: "If anyone murders an (innocent) person, it will be as if he has murdered the whole of humanity. And if anyone saves a person it will be as if he has saved the whole of humanity."

Qualcuno sa darmi qualche fonte più diretta? La musica di Cat Stevens mi è sempre piaciuta, mi roderebbe non poco doverla associare a uno che dice che è giusto uccidere chi fa satira sulla sua divinità.

Cat Stevens “dirotta” un aereo

Cat Stevens è nella lista nera dell'antiterrorismo USA

La BBC riferisce che il popolarissimo cantante degli anni Settanta, convertitosi all'Islam e ridenominatosi (stavo per scrivere "ribattezzatosi"...) Yusuf Islam, era bordo del volo United Airlines 919 da Londra a Washington quando è giunto a bordo l'ordine delle autorità USA di deviare la rotta di un migliaio di chilometri e atterrare nel Maine. Passeggeri entusiasti, immagino.

Forse, ma soltanto forse, i criteri di sicurezza adottati dopo l'11 settembre non sono molto furbi. Anche il senatore Ted Kennedy, uno dei personaggi più riconoscibili della politica USA, uno insomma che non dovrebbe nemmeno aver bisogno di esibire i documenti, è finito nei guai qualche tempo fa per la stessa ragione. Era nella lista nera semplicemente perchè il nome "T. Kennedy" è un alias usato da un presunto terrorista. La lista nera non ha prodotto finora nessun arresto di terroristi.

Siamo al ridicolo. Non sarebbe ora di chiedere consigli a chi di sicurezza se ne intende davvero, come l'informatico Bruce Schneier, che aveva previsto questo tipo di delirio?

Mah!

Nota: questa è la prima volta che attivo i commenti nel blog. Non ho messo restrizioni: chiunque può scrivere un commento. Io ne verrò avvisato, ovviamente. Vediamo che succede.