-- Pipì e soldati
-- Quando apri uno spam, lo spammer lo sa
-- Antibufala: il ritorno di Eurorest
-- Antibufala: orrore dalla Palestina
-- Come crashare Internet Explorer con una riga di codice
Pipì e soldati
Da un lettore (jpupe) ricevo questo commento alla foto del bimbo che fa
pipì sul soldato
(http://www.attivissimo.net/antibufala/best_war_photo_ever.html):
"Come dici giustamente il soldato non
è uno di quelli indicati. La divisa si vede poco, ma il mitra è
abbastanza chiaro. Non è un M16 (arma americana), né un Enfield (mitra
britannico) o un Kalashnikov [...]. Direi che si tratta di una variante
del Heckler & Kock G3, arma tedesca, in dotazione al locale
esercito. Potrebbe essere anche un Galil israeliano a dire il vero, ma
sono molto simili. E la divisa verde l'hanno sia i soldati tedeschi che
quelli israeliani. Ma l'elmetto non è israeliano, per cui direi che è
tedesco (o comunque europeo). La loro divisa è una delle poche a
portare la bandiera nazionale sulla spalla, e nella foto si vede
qualcosa di simile. Okay, non si distingue la bandiera tedesca, ma
forse è stata ritoccata. L'elmetto è un po' troppo generico. Anche in
Italia si cominciano ad usare elmetti simili, per cui non è facile
giudicare. E' comunque senza il telo mimetico, da cui parrebbe di
capire che sia stata scattata durante una normale esercitazione. Anche
perché gli stivali sono troppo lucidi per una guerra vera :-)".
Un altro lettore (Selvaggio79) chiarisce ulteriormente la faccenda: "Il
soldato è un finlandese, identificabile dal fucile, un valmet usato
solo dall'esercito finlandese, e dalla tipologia della mimetica. Spero
di aver soddisfatto la curiosità."
In effetti una ricerca nel Web trova varie foto di Valmet in dotazione a militari finlandesi, come questa:
http://www.moneypit.net/~bhinton/Valmet/Valmet_Finnish_Trooper_E.jpg
che sembrano confermare la segnalazione del lettore.
Sembra dunque improbabile che la foto ritragga un bimbo
iracheno che "dà il benvenuto ai suoi liberatori", a meno che ci
fossero dei soldati finlandesi infiltratisi di soppiatto in Iraq.
Quando apri uno spam, lo spammer lo sa
Sono
anni che si argomenta che il modo migliore per porre fine all'invasione
di virus (worm) disseminati tramite e-mail sarebbe abolire l'e-mail
"ricca", quella in formato HTML, quella che ha tutti gli effettini
carini, le immagini e gli sfondi, e tornare all'e-mail "dura e pura",
quella degli esordi della Rete: testo puro e semplice, senza orpelli ma
soprattutto incapace di veicolare virus ad esecuzione automatica come
quelli tanto cari agli utenti di Outlook.
Ora c'è un motivo in più per farlo: lo spam. Uno dei problemi
fondamentali della putrida esistenza di uno spammer è verificare che
gli indirizzi ai quali manda la sua spazzatura pubblicitaria siano
autentici e soprattutto siano utilizzati e consultati. Come descritto
presso
http://commons.somewhere.com/buzz/2000/Security.web.bugs.email..html
l'e-mail in formato HTML mette a sua disposizione uno strumento molto
efficace, il cosiddetto "web bug", già noto per altri usi antiprivacy
nelle pagine Web.
In questo caso, lo spammer include nella propria posta pubblicitaria un
web bug, sotto forma di un rimando HTML (link) a una piccola immagine
trasparente, grande quanto un pixel e quindi invisibile. L'immagine non
viaggia insieme al messaggio, ma risiede sul server dello spammer, e ha
un nome univoco per ogni utente spammato (che so, un web bug mirato al
sottoscritto potrebbe chiarmarsi "topone_at_pobox_puntocom.gif"). Così
facendo, quando la vittima apre il messaggio, il suo programma di posta
esegue automaticamente l'HTML del messaggio stesso e quindi tenta di
caricare l'immagine nascosta: siccome l'immagine risiede sul server,
tenta in altre parole di contattare lo spammer, e da lui chiede un file
di immagine ben preciso.
Lo spammer non deve fare altro che guardare quali dei vari file di
immagine sono stati richiesti per sapere quali degli indirizzi spammati
esistono e quali no, e soprattutto quali caselle di posta vengono
consultate e quali no.
Con questo sistema, il semplice fatto di leggere uno spam conferma
allo spammer la validità dell'indirizzo spammato. Bella fregatura.
La soluzione è una sola: usare un programma di posta che non interpreti
l'HTML e non tenti automaticamente di caricare eventuali immagini
annidate nei messaggi.
Antibufala: il ritorno di Eurorest
Qualcuno ricorderà una mia indagine antibufala di dicembre 2002, a
proposito di un invito, distribuito via e-mail, a beneficiare di "14
pernottamenti gratuiti in uno dei 900 alberghi in Italia, Spagna,
Svizzera, Croazia, Slovenia, Austria, Polonia, Ungheria, Repubblica
Ceca o Slovacchia", per il quale è sufficiente inviare il medesimo
invito "a 7 amici, e poi spedisci la copia dei messaggi inviati a
partecipazione@eurorest.net". L'indagine è qui:
http://www.attivissimo.net/antibufala/pernottamenti_gratis.htm
Alcuni lettori mi segnalano che a maggio 2003 la campagna promozionale
di Eurorest ha rifatto capolino tramite Excite.it (prima la veicolava
Tiscali). Sul sito Eurorest, intanto, continuano a non esserci alberghi
disponibili in Svizzera, contrariamente a quanto reclamizzato: eppure
nella loro lettera di protesta del 10 gennaio 2003 a Zeus News per il
mio articolo in proposito (http://www.zeusnews.it/news.php?cod=1806), quelli di Eurorest avevano detto che "per quanto riguarda la Svizzera, é stata inserita nel messaggio
perché gli alberghi saranno disponibili e presenti nell'offerta estiva. Adesso, per cause tecniche, le pagine con gli alberghi in Svizzera sono fuori servizio."
Dopo quattro mesi, le pagine con gli alberghi svizzeri continuano a
essere "fuori servizio". E la capitale della Svizzera continua a essere
indicata nel sito come "Berno". Caveat emptor.
Antibufala: orrore dalla Palestina
Circola da tempo un appello che mostra foto agghiaccianti
dell'uccisione di un palestinese ad opera di forze israeliane. Me ne
sono occupato qui:
http://www.attivissimo.net/antibufala/orrore_palestina.htm
Grazie a un lettore (m.jacob), ho dei dettagli in più sui fatti
terribili raccontati nelle immagini (che sul mio sito ho scelto di non
pubblicare, ma che trovate facilmente in Rete). Secondo la BBC del 12
marzo 2002
http://news.bbc.co.uk/1/hi/world/middle_east/1867726.stm
gli eventi descritti dall'appello si sono svolti a Gerusalemme Est, e
le foto fanno parte di una sequenza più ampia, costituita da "undici
foto scattate da un fotoamatore dalla propria finestra" e sono state
pubblicate dall'agenzia AFP.
Secondo un articolo del sito The Electronic Intifada (http://electronicintifada.net/features/articles/020312beithanina.shtml)
dello stesso giorno (12 marzo 2002), la persona uccisa è Mahmoud Salah,
un militante dei Martiri di Al-Aqsa a detta dei testimoni palestinesi,
e i suoi uccisori sono membri della polizia di frontiera israeliana. Le
foto sono state scattate l'8 marzo 2002 a Beit Hanina, Gerusalemme, e
pubblicate il 12 dal giornale Al-Hayat Al-Jadeeda, diffuse da Agence
France Press.
Il sito The Electronic Intifada è difficilmente considerabile "super
partes", ma è comunque lodevole perché mostra le foto scansionate dal
giornale e ne presenta la serie completa, insieme ad articoli e
dichiarazioni della stampa palestinese e della polizia israeliana (in
inglese).
Viste le contraddizioni fra i vari resoconti della vicenda, l'unica
cosa chiara è che basandosi esclusivamente sulle foto mostrate
nell'appello non c'è modo di determinare quello che è successo
veramente, né io ho la pretesa di divinarlo standomene qui al computer.
Posso solo invitare alla cautela nel diffondere quelle che sembrano
foto scelte ad arte per presentare solo un lato di questa follia
collettiva.
Come crashare Internet Explorer con una riga di codice
Dunque, dunque. E' passato un annetto da quando zio Bill ha lanciato
con grande enfasi il mese della sicurezza informatica. E cosa abbiamo
avuto in cambio di cotanto sforzo? Un Internet Explorer 6, quello nuovo
nuovo, il più bello e il più evoluto, che va in crash con una singola,
miserrima riga di codice. Questa:
[html][form][input type crash][/form][/html]
Per vostra sicurezza, ho sostituito le parentesi angolari con parentesi quadre.
E questi dovrebbero scrivere il software del Trustworthy Computing, "l'informatica di cui fidarsi"?
Ho rispolverato per l'occasione il mio vecchio Browser Challenge e ho aggiunto questa magagna come nuovo test (è il numero 9):
http://www.attivissimo.net/bc/pagina01.htm
Con un po' di abilità, scoprirete che è possibile usare questa
vulnerabilità anche per confezionare un e-mail che manda in tilt
Outlook. Sono vulnerabili anche altri programmi Microsoft, come Frontpage e tutti quelli che usano la libreria shlwapi.dll.
Grazie a dario@di****vico.it, che mi ha segnalato questo baco,
riportandolo da un forum di HTML.it
(http://forum.html.it/forum/showthread.php?s=5f416ec844259a2d19020d9972963068&threadid=445351),
dove era stato segnalato da Stefano (spessina). I dettagli del baco sono disponibili anche in questa discussione di Slashdot.org:
http://slashdot.org/articles/03/05/02/1845241.shtml?tid=126&tid=95&tid=128&tid=113
e presso il sito di Secunia
http://www.secunia.com/advisories/8642
Buon divertimento!
Ciao da Paolo.
Questo articolo è una ripubblicazione della newsletter Internet per tutti che gestivo via mail all’epoca. L’orario di questa ripubblicazione non corrisponde necessariamente a quello di invio della newsletter originale. Molti link saranno probabilmente obsoleti.