Il Disinformatico

2010/05/07

Microsoft patcha di soppiatto

Le patch segrete di Microsoft

I bollettini Microsoft per gli aggiornamenti di sicurezza MS10-024 e MS10-028, pubblicati ad aprile, descrivevano soltanto una vulnerabilità classificata "importante" o "media" ma non "critica". In realtà installava silenziosamente anche delle correzioni per due falle molto più gravi, decisamente critiche, che Microsoft non ha annunciato nonostante costituissero un rischio per molti utenti, secondo quanto rivelato da un articolo della società di sicurezza informatica Core Security.

Le falle in Microsoft Exchange e nei servizi SMTP rendevano molto semplice falsificare (fare spoofing) le risposte alle query DNS; un problema non da poco, sfruttabile per vari attacchi informatici. Soprattutto, lamenta la Core Security, il fatto di non annunciare la correzione ha impedito ai responsabili della sicurezza informatica delle aziende di conoscere la vera importanza della patch di Microsoft e quindi valutarne e pianificarne opportunamente l'introduzione. Nel bollettino c'era solo un accenno annidato nelle FAQ.

Microsoft ha risposto (per esempio a The Register) con una frase molto diplomatica e Core Security ha a sua volta ribattuto: se volete immergervi nei dettagli tecnici, li trovate su Breaking Code, che spiega anche quanto sia diffusa questa prassi di affidare agli utenti aggiornamenti che correggono vulnerabilità senza annunciarlo. Oggi, per fortuna, queste correzioni infilate di soppiatto sono smascherabili dagli esperti: se volete sapere come si fa, cercate le parole binary diffing.

IPv4, IPv6, davvero c’è un mercato nero?

Carestia di indirizzi IP, blocco di Internet nel 2011?

L'articolo del Corriere che paventa l'esaurimento degli indirizzi IP disponibili, e quindi la crisi di Internet, si basa in gran parte su questo pezzo di InfoWorld.com, secondo il quale restano disponibili solo 20 dei 256 grandi blocchi di indirizzi IP di tipo /8 (ciascuno contenente fino a 16.777.214 indirizzi) assegnati ai Regional Internet Registries, gli enti regionali che si occupano di distribuire gli indirizzi IP secondo cinque macrozone (mappa qui accanto, tratta da Wikipedia).

Siccome nel 2009 sono stati assegnati solo otto blocchi di indirizzi di tipo /8 ma nel 2010 ne sono stati assegnati sei già nei primi cento giorni dell'anno, ragiona Infoworld, di questo passo si arriverà all'esaurimento dei blocchi disponibili addirittura entro fine 2010. Non ci saranno più indirizzi IP da assegnare agli utenti e ai dispositivi e quindi Internet non potrà più crescere. Quindi, prosegue il ragionamento, nascerà un mercato nero degli indirizzi IP. Panico generale.

Ma tracciare una proiezione sulla base di pochi punti non è molto realistico, e soprattutto le dinamiche di assegnazione degli indirizzi IP non sono così lineari e poco adatte alla nascita di un mercato nero perché molto trasparenti: gli operatori sono pochi e le assegnazioni sono pubblicamente consultabili da qualunque esperto in grado di decifrare i dati forniti dagli archivi pubblici. Ars Technica ha pubblicato un dettagliatissimo articolo che spiega la questione. Inoltre esistono vari modi di utilizzare uno stesso indirizzo IP per più dispositivi o utenti: l'esempio più semplice è il NAT (Network Address Translation), che permette a un utente privato di collegare a Internet tutti i computer e dispositivi di casa usando un solo indirizzo IP pubblico. Lo stesso trucco può essere usato addirittura da un provider, anche se questo causa alcune limitazioni ai suoi clienti. Non ci sono quindi le condizioni per un mercato nero e l'allarme è sostanzialmente infondato.

C'è poi la questione del passaggio dallo standard IPv4 all'IPv6, proposta come soluzione all'attuale distribuzione inefficiente degli indirizzi. I blocchi oggi utilizzati sono troppo grossi o troppo piccoli: un blocco /8 contiene fino a 16 milioni di indirizzi, e il taglio immediatamente più piccolo, il /16, ne offre fino a 65.536. Per cui i 4,3 miliardi di indirizzi IPv4 possibili non sono in realtà in esaurimento: moltissimi giacciono inutilizzati e inutilizzabili per via di questa suddivisione troppo grossolana. La soluzione proposta è l'adozione dell'IPv6, che permette 2¹²⁸ (circa 3,4×10³⁸) indirizzi e risolve quindi definitivamente il problema ma si trascina da anni: definito nel 1998, ha raggiunto una penetrazione mondiale inferiore all'1%, secondo uno studio di Google.

Anche in questo caso, niente panico: IPv6 è già implementato da tutti i sistemi operativi per uso privato e commerciale e da moltissimi dispositivi. La transizione spetta ai grandi operatori Internet, non a noi singoli utenti (salvo che il vostro router non supporti IPv6 e non sia aggiornabile; se non sapete aggiornarlo, è più semplice e conveniente comprarne uno nuovo). Ci saranno forse alcuni disagi nell'interregno, forse paragonabili a quelli del passaggio dalla TV analogica a quella digitale, ma il grosso del lavoro avverrà dietro le quinte.

In altre parole, Internet non è destinata a smettere di crescere e non ci saranno corse all'accaparramento tipiche di una risorsa materiale. L'idea è buona per un titolo di giornale sensazionalistico, ma non per ragionamenti seri.

Per saperne di più basta un giretto su Wikipedia, dove trovate anche i link alle fonti autorevoli: cos'è l'IPv6, la questione dell'esaurimento degli indirizzi IPv4, subnet e prefissi di routing, le vecchie classi di indirizzi soppiantate dal routing CIDR, e l'elenco dei possessori di blocchi /8. Ho linkato le versioni inglesi perché sono più complete di quelle italiane.

Facebook installa(va) applicazioni di soppiatto

Facebook "migliorato" aggiungeva applicazioni ai profili utente senza chiedere

Macworld segnala un'altra falla di Facebook, introdotta dalle nuove funzioni mirate a integrare il celebre social network nel resto del Web. La falla permette di aggiungere automaticamente applicazioni ai profili degli utenti senza avvisarli. O meglio permetteva di farlo fino a ieri.

Bastava infatti visitare un sito appositamente confezionato dopo essersi connessi al proprio profilo Facebook. Non occorreva che fosse aperta una finestra di Facebook, non c'erano notifiche e non c'era modo di disattivare l'automatismo.

Non si trattava di applicazioni ostili (niente virus o simili), ma di potenziali ficcanaso, e poi quello che scoccia è che il profilo dell'utente venga modificato senza il suo permesso e senza neanche una parola di avviso. Per esempio, fra i siti che aggiungevano applicazioni in modo automatico io mi sono ritrovato con Gawker, Gizmodo, Io9, Lifehacker (tutti siti che leggo abitualmente) e Macchianera (che ho letto ieri).

Ecco la schermata delle applicazioni del mio profilo Facebook, alla quale accedo scegliendo Account - Impostazioni applicazioni - Utilizzate di recente:

Ricordo che uso questo profilo soltanto per prove come questa, quindi non chiedetemi "amicizia": non voglio regalare a nessuna società commerciale la mia rete di amicizie e conoscenze.

Secondo Macworld, non è chiaro quali informazioni vengano prelevate dal profilo Facebook da parte di queste applicazioni. Facebook ha dichiarato che "nessuna informazione è stata condivisa con quelle applicazioni", ma comunque il comportamento non è stato apprezzato da molti utenti, anche perché visitando il profilo di una di queste applicazioni si veniva a conoscenza di quali amici avevano installato (consapevolmente o meno) la stessa applicazione e quindi si scoprivano le loro abitudini di lettura e frequentazione in Facebook.

L'aggiunta automatica non richiesta delle applicazioni è stata corretta ieri pomeriggio, ma la correzione non rimuove le applicazioni che nel frattempo si sono già intrufolate nel profilo dell'utente. Se volete eliminarle, cancellarle cliccando sulla X potrebbe non bastare. Se si ripresentano, lasciatele nell'elenco ma bloccatele cliccando sul profilo di ciascuna applicazione e poi su Blocca applicazione; infine confermate cliccando sul pulsante di blocco.

2010/05/06

Facebook, gli utenti sono merce

Facebook, chat private diventano pubbliche

Una falla in Facebook permetteva agli utenti di leggere le chattate private dei loro contatti (quelli che Facebook molto impropriamente chiama "amici") e di vedere le richieste di "amicizia" in sospeso di quei contatti e (secondo PcMag.com) di qualunque utente Facebook. La funzione di chat è stata temporaneamente rimossa e poi riattivata dopo aver corretto la falla, segnalata inizialmente dal sito Techcrunch.com.

Come funzionava? Nelle opzioni di privacy di Facebook c'è un'opzione che permette a un utente di avere un'anteprima del proprio profilo così come lo vedono i suoi "amici" (Account - Impostazioni sulla privacy - Informazioni del profilo - Anteprima del mio profilo). Immettendo il nome di un contatto nella casella Guarda l'anteprima di come il tuo profilo viene visualizzato da una persona specifica, si accedeva alle chat private e alle richieste di "amicizia" di quel contatto. Techcrunch.com ha pubblicato un video della falla in azione.

PcMag.com segnala che l'URL della pagina di anteprima di Facebook ha la forma http://www.facebook.com/username?viewas=userid, dove userid è il numero identificativo di un utente Facebook. Quindi la falla da poco turata poteva essere sfruttata per sbirciare le chat private di qualunque utente del social network a patto di conoscere il suo identificativo, cosa peraltro semplice.

Per sapere questo identificativo basta infatti cercare la pagina pubblica dell'utente desiderato e sostituire la parola graph a www nell'URL della pagina pubblica. Per esempio, per conoscere l'ID numerico della pagina Facebook pubblica di Barack Obama (http://www.facebook.com/barackobama) si digita http://graph.facebook.com/barackobama e si ottengono i seguenti dati, il primo dei quali è appunto l'identificativo numerico:

{
   "id": "6815841748",
   "name": "Barack Obama",
   "picture": "http://profile.ak.fbcdn.net/hprofile-ak-sf2p/hs629.snc3/27555_6815841748_1583_s.jpg",
   "link": "http://www.facebook.com/barackobama",
   "category": "Politicians",
   "username": "barackobama",
   "birthday": "08/04/1961",
   "fan_count": 8235038

}

Ancora una volta, insomma, chi si è fidato delle promesse dei social network di tutelare la sua privacy si è trovato con le mutande al vento. Pensateci, prima di mettere in Rete qualunque cosa che non volete rendere pubblica.

Fonti aggiuntive: BBC, Macworld.

SIM e MicroSIM [UPD 2010/05/09]

Come ottenere una MicroSIM per l'iPad? Ma con un coltello da macellaio, naturalmente

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

L'iPad 3G non usa una SIM "standard" (più propriamente una Mini-SIM), ma una MicroSIM. I due formati sono mostrati qui accanto. L'uso di questo formato pone un problema per l'aspirante iPadawan cellulare. Può anche farsi portare un iPad dagli USA, tanto non è bloccato o legato a un operatore cellulare specifico. Ma che fa se il suo operatore prediletto non offre una MicroSIM? Semplice: taglia a misura la sua SIM normale.

Ci sono molti modi per farlo, farlo con un coltello da macellaio è più divertente. Credo che questa debba assurgere a Regola 35 di Internet: fare X è interessante, ma fare X usando un coltello da macellaio è più divertente. Per esempio: chiedere a Steve Jobs perché diavolo l'iPad ha bisogno di usare una microSIM quando nell'iPhone, ben più piccolo, ci sta una SIM normale è interessante, ma chiederlo usando un coltello da macellaio è più divertente.

Non so se è il brivido aggiuntivo di rischiare di amputarsi una falange oltre a rischiare di rendere inservibile la propria SIM, oppure l'idea di dare un tributo di sangue per l'oggetto-feticcio del momento, con tutte le allusioni religioso-fallo-circoncisorie che questo comporta (per poter inserire la propria SIM nella fessura dell'iPad bisogna tagliarne via un pezzo? Freud ci andrebbe a nozze), ma c'è in effetti un certo fascino morboso nel seguire le istruzioni dettagliate fornite da Johnbenson.net. Naturalmente a vostro rischio e pericolo.

Aggiornamento: Per i lettori svizzeri, segnalo che Orange offre la micro-SIM, disponibile secondo la formula prepagata. A giudicare dall'URL, sembra un'offerta pensata specificamente per l'iPad, anche se le condizioni non sembrano particolarmente adatte a un uso frequente su rete cellulare. La versione WiFi dell'iPad, intanto, sarà in vendita in Svizzera da "circa metà maggio" a partire da 799 franchi, pari a circa 566 euro (Digitec.ch).

Aggiornamento (2010/05/09): Come segnalato nei commenti, anche l'operatore svizzero Swisscom ha un'offerta di micro-SIM per iPad.

Macchianera e il finale svelato di Lost

Vere o false? Se lo stanno chiedendo in molti, anche fra i non seguaci della saga televisiva di Lost. Sto parlando delle sei presunte pagine del copione e del call sheet (l'elenco degli attori che devono presentarsi sul set) della doppia puntata finale della serie che Macchianera ha pubblicato alcuni giorni fa, a quanto pare in anteprima planetaria (tranne il call sheet, in giro da fine aprile, secondo Gawker.com).

Lo sapremo molto presto, perché il 24 maggio prossimo verranno trasmesse le due puntate in questione, per cui non è il caso di spendere tempo in un'indagine antibufala approfondita. Le puntate andranno in onda su Sky, in Italia, in contemporanea con gli Stati Uniti (alle sei del mattino ora italiana).

Secondo varie fonti (E!Online; Flavorwire), i fogli trafugati sono plausibili per contenuto, stile e struttura, Macchianera dice di aver ottenuto conferme solide, ma le opinioni sono divise su un altro punto: sono davvero pagine del copione definitivo, o si tratta di finte pagine realizzate dai produttori di Lost e fatte trovare appositamente per far parlare del telefilm?

Dopotutto la moda di far trapelare indiscrezioni su qualcosa che si vuole vendere non è una novità. Viene il dubbio che qualcuno abbia notato quanta pubblicità gratuita è stata fatta ad Apple grazie al caso del prototipo "perduto" del prossimo iPhone e abbia pensato che con pochi fogli inviati via mail si poteva ottenere un bel po' di promozione gratuita. Magari mi sfugge qualche dettaglio, ma la circostanza che siano stati recapitati via mail (così racconta Macchianera) a un sito italiano sembra calcolata apposta per confondere gli spettatori USA tramite la barriera linguistica.

Inoltre Carlton Cuse e Damon Lindelof, i produttori esecutivi di Lost, sono già stati accusati in passato di aver disseminato dei foiler (contrazione di false spoiler) per confondere gli spettatori eccessivamente ossessionati dalla voglia di sapere tutto in anticipo (NYDailynews) e per mantenere il segreto sugli sviluppi della serie (BuddyTv, 2006). Ammettono liberamente di inviare agli agenti di Hollywood dei copioni finti per i provini degli attori ospiti.

Quello che trovo interessante, in tutta la vicenda, è l'influsso di Internet sul mondo delle serie televisive. La concorrenza della Rete, che permette di scaricare le puntate poche ore dopo che sono state trasmesse negli Stati Uniti, ha costretto i network europei a trasmettere pressoché in contemporanea con gli USA. Sono finiti i tempi in cui bisognava avere amici o parenti in America per sapere chi aveva sparato a J.R. o ucciso Laura Palmer. Sono però finiti anche i tempi in cui i doppiatori potevano lavorare con relativa calma (i traduttori non hanno mai avuto questo lusso, ma adesso stanno ancora peggio di prima).

Oggi è diventato praticamente impossibile vedere un film o una serie televisiva senza averne già avuto online anticipazioni che alla fine ne guastano la sorpresa: per non parlare di fenomeni come Lostpedia o Lost Wikia. E poi c'è la smania di sapere subito come va a finire, il bisogno quasi morboso di avere in mano tutte le risposte e le conclusioni, perché attendere non è più tollerato.

L'avvento di Internet e delle tecnologie tascabili (telefonini, fotocamere e videocamere digitali) ha reso sempre più paranoici i produttori: oggi chiunque può pubblicare uno scoop, una foto rivelatrice rubata sul set, un'indiscrezione fatta da un attore durante una chiacchierata a cena. I copioni sono blindatissimi, così gli attori non sanno cosa sta succedendo e come devono recitare. I doppiatori lavorano senza vedere i film: hanno sullo schermo solo un cerchietto che segue e mostra le labbra dell'attore da doppiare, il resto è tutto mascherato. Siamo sicuri che sia un buon andazzo?

Lego + telefonino vs cubo di Rubik (UPD20100515)

Robot di Lego pilotato da telefonino risolve cubo di Rubik

Sì, lo so, è marketing virale, ma quando è fatto così è irresistibile. Un robot creato dalla ARM usando il Lego Mindstorms e comandato da un cellulare Motorola Droid analizza (usando la fotocamera e un software apposito) e manipola un cubo di Rubik fino a risolverlo. In 25 secondi.

Avrei preferito una ripresa unica ininterrotta al posto del montaggio convulso, anche per sincerarmi che non ci siano stati trucchi o ritocchi, ma vale la pena lo stesso.

Aggiornamento: il video è stato rimosso dall'utente e non so dove recuperarne altre versioni. Nei commenti, però, trovate link ad altri video simili.

2010/05/05

“Mistero” affonda le scie chimiche

A volte basta uno sguardo

Ieri sera, a Mistero (Italia 1), fra una piramide friulana e un cerchio nel grano, Raz Degan ha presentato un servizio sul presunto fenomeno delle "scie chimiche" (i dettagli della bufala sono qui).

Guardate l'impagabile espressione di Raz mentre ascolta i deliri di uno sciachimista: le parole non servono.

Dev'essere dura per chi s'è impegnato per anni per far conoscere al mondo il terribile pericolo che incombe e poi trovarsi ficcato fra una scemenza e l'altra come un hamburger flaccido dentro un panino stantio di McDonald's. E con un conduttore che guarda in macchina e sembra che si chieda quanto tempo ci sta mettendo ad arrivare l'ambulanza con due gentili ma risoluti infermieri.

Grazie, dunque, agli autori di Mistero: con quello sguardo hanno liquidato lo sciachimismo meglio di mille pagine di risposte di meteorologi, chimici e piloti.

Anzi, per dirla tutta: grazie al Raz.

Nuovo capolavoro informatico del Corriere: non sa la differenza fra un dominio e un indirizzo IP [UPD 12:50]

Presto! Non perdetevi il sensazionale articolo di Eva Perasso sul Corriere della Sera online, secondo il quale, udite udite, i domini Internet si esauriranno il 20 settembre 2011.

Qualche perla: "Nella fase di passaggio verso il nuovo standard Ipv6, di cui già da molti anni si parla, il mercato impazzirà e per trovare un dominio libero tra quelli di vecchia generazione si spenderà sempre di più... a furia di registrare domini, le varie combinazioni matematiche che permettevano di accedervi si sono esaurite... Tecnicamente, il codice di un dominio basato su Ipv4 è fatto da 32 bit... i browser sono pronti a riconoscere un sito composto da una stringa numerica più lunga.. "

Il resto è ancora più esilarante nella sua tragipatetica, catastrofista confusione fra dominio e indirizzo IP. Che, per i non addetti ai lavori, è come confondere crema pasticciera e bastoncini di pesce in un articolo di cucina.

Se questo è il modo in cui uno dei più celebri giornali italiani pretende di informare i suoi lettori, non mi sorprende che l'informatica in Italia sia così indietro e che i giornali vendano sempre meno.

Non biasimo la Perasso per la sua manifesta incompetenza informatica: i bit e i byte non sono la sua specialità, e si vede. Pazienza, anche se un po' di dignità, quanto basta per rifiutare un incarico per il quale non si è portati, non avrebbe guastato. La vera colpa è dell'irresponsabile che ha affidato alla giornalista l'incarico di scrivere pubblicamente su un argomento in cui lei è incompetente. E che l'ha pagata per farlo ed è a sua volta stipendiato per assegnare con avvedutezza questi compiti.

Mi chiedo quale sarà il prossimo passo del Corriere verso il baratro della scempiaggine sistematica a pagamento. Rubriche sull'allevamento di dromedari redatte da eschimesi? Articoli di ginecologia scritti da monaci tibetani? Dispense di fisica compilate dal mago Otelma? La pagina delle scienze a cura di Raz Degan e Roberto Giacobbo?

11:10 - Articolo vaporizzato

Il Corriere ha rimosso l'articolo senza neanche una parola di scuse per aver preso per il naso i propri lettori, come il pezzo se non fosse mai esistito, nella più orwelliana delle tradizioni. Ma il vostro piccolo Winston Smith di campagna ne ha una copia. Eccola.

12:50 - Articolo ripubblicato e corretto, con scuse

Eva Perasso ha postato qui sotto un commento di scuse e il Corriere ha rimesso online l'articolo in versione corretta (ma ancora migliorabile) e con una nota di scuse: "Il seguente articolo era stato pubblicato in una prima versione contenente alcune gravi imprecisioni. Pubblichiamo a seguire una revisione del testo e chiediamo scusa ai lettori. La redazione."

Apprezzo il bel gesto di correttezza. Ne propongo uno ancora migliore: evitare del tutto di pubblicare articoli che poi tocca ritrattare.

2010/05/02

Pronto aggiornamento del libro lunare

Online l'aggiornamento gratuito di "Luna? Sì, ci siamo andati!"

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Ho aggiornato, corretto e reimpaginato in formato A5 il mio libro dedicato allo smontaggio delle tesi di complotto lunare. Lo potete scaricare gratuitamente dal blog Complotti Lunari.

L'elenco degli aggiornamenti rispetto alle edizioni precedenti è disponibile qui.

Salvo sorprese, questo dovrebbe essere l'ultimo aggiornamento prima di creare l'edizione inglese e quella in formato EPUB per gli e-reader.

Chi fosse interessato alla versione stampata a colori e rilegata la troverà alla Sticcon 24 (insieme alla Regina Borg e al Capitano Janeway di Star Trek) dal 20 al 23 maggio prossimo. Io sarò lì come interprete per gli ospiti, ma avrò con me una buona scorta di copie.

Cerca nel blog