La faccio molto breve: LinkedIn mi ha veramente rotto l’anima per l'ultima volta con il suo spam e le sue finte mail di finti contatti che fingono di essere interessati a te, e di gente che conosco e che, quando l'ho contattata a voce, mi ha detto di non avermi mai scritto via Linkedin. Ho chiuso il mio account, per cui se ne vedete uno a mio nome, non sono io.

Uno...

..due...

...tre.

I deliranti scarseggiano da un po’, lo so, e quei pochi che arrivano a fare il Piccione Scacchista della situazione non sono neanche particolarmente creativi. Però la rubrica del Delirio del Giorno è ferma da parecchio tempo, e quindi vi offro questo scarso sforzo letterario, che riporto esattamente come l’ho ricevuto.

Oggetto: fatti un allevamento di bufali

l'allevamento di bufali per te sarebbe un lavoro molton piu' dignitoso.
e vero CHE lavori  e fatto carriera al cicap?
sei un clone di Piero angelA?
stai sicuro, che i servi come te verranno giudicati dalla storia.

i tuoi padroni, invece  verranno giudicati molto piu'  severamente da quel DIO che tu 
disconosci e insulti.
adesso hai chi ti sostiene, ma poi?

Sent with ProtonMail Secure Email.

Mittente: stefano.pelo (stefano.pelo@protonmail.com).

Gli ho risposto così:

Se non ricordo male, quel Dio che citi insegna ad amare il prossimo, non
a odiarlo.

Inoltre la volontà di Dio non è conoscibile dagli uomini, per cui se tu
dici che sai come Dio mi giudicherà commetti peccato di superbia.

Addio, e grazie per tutto il pesce.

Paolo Attivissimo

(orgoglioso clone di Piero Angela)

Aggiornamento (23:30): è arrivato anche un seguito, altrettanto ondivago nell’uso delle maiuscole, delle minuscole, della punteggiatura e di molto altro.

Oggetto: a paolo bufalissimo

vergognati.
dicci  da dove prendi tutti i soldi per dire queste cazzatte?
come paghi le tue cazzate che diffondi?
da dove vengono i tuoi solodi?
Non ti senti un po' ridicolo?
ma la dignita dove la metti.
hai fatto carriera al cicap, ti senti un altro piro angela.
piero angela ha piu classe di te, lui quando parla di scienza dice cose interessanti, ma da buon massone e' contro la religione, contro GESU CDRISTO.
tu sei un servo, swenza neanche capire la massoneria. di scienza non capisci nulla.
toto rina e' molto piu intelligenhte e acculturato di te.
basta un ignorante come mazzucco per smentirti.
dove metti la tua dignita?
poi vorrei sapere il tuo precedente  lavoro prima di fare il cazzaro?
ti do un consiglio, sparisci dalla rete,(la tv non ti da spazio perche' non sei alla loro altezza o bassezza).
comprati delle pecore, o se preferisci dei bufali, saresti un uomo molto piu dignitoso.
ciao preghero per te.

Una ulteriore postilla, con lievi segni di pentimento, mi è arrivata alle 23:47:

Oggetto: paolo bufalissimo
scusami e' vero Paolo sono diventato un po superbo.
sono un uomo con i miei peccati, li riconosco non sono PAOLO perfettissimo.
ma chi te l'ho fa fare?
davvero non capisci che il lavoro che tu fai,(ben pagato, perche ricavi soldi e non spendi dal tuo portafoglio), dello smascheramento delle  false notizie, e' il contrario
vedendo te che smonti ragionamenti logici, (kennedy,11 settembre,vaccino, ecc. ecc.)
Io credo in DIO nel suo figlio GESU CRISTO, e nella MADONNA.
TU in che cosa credi?
davvero lascia lo smascheramento dele bufale e fatti un branco di pecore, guadagneria meno, mala tua coscenza(anima) stara meglio.
se ti fai prendere per il culo da un ignoranhte come mazzucco, la genhte ride di te.
davvero ti piace farti umiliare cosi?
IO credo in GESU, tu in cosa credi?
Non capisco perche lo fai?
Magari sei una persona migliore di me, ma perche ingannare gli altri?

Gli ho risposto così:

Credo nell’ortografia.

Poi ho messo il mittente nell’elenco dello spam.

L’attacco consente di attivare telecamere e microfono, registrare messaggi, SMS, mail e chiamate vocali (comprese quelle cifrate con app come Signal). 

La versione 14.8 di iOS/iPadOS, la versione 11.6 di macOS, la versione 14.7 di tvOS e la versione 7.6.2 di watchOS risolvono il problema. 

Apple ha informazioni sulle falle e sugli aggiornamenti correttivi presso questi URL:

• https://support.apple.com/it-it/HT201222 (come scaricare gli aggiornamenti in generale)
  
• https://support.apple.com/it-it/HT212807 (iOS e iPadOS)
  
• https://support.apple.com/en-us/HT212804 (macOS Big Sur)
• https://support.apple.com/HT212805 (macOS Catalina)
• https://support.apple.com/HT212808 (Safari 14.1.2 per macOS Catalina e Mojave)
  
• https://support.apple.com/en-us/HT212806 (watchOS)
  

La prima vulnerabilità, denominata CVE-2021-30860 e battezzata FORCEDENTRY, è stata scoperta da Citizen Lab, un noto gruppo canadese di attivisti per la privacy e la sicurezza digitale, riguarda iMessage e viene sfruttata per esempio per iniettare un malware, denominato Pegasus, che è stato sviluppato dalla società israeliana NSO Group ed è già stato usato per penetrare negli iPhone di vari attivisti politici in modo completamente invisibile.

L’attacco, spiega Citizen Lab, viene lanciato semplicemente mandando un SMS alla vittima. L’SMS contiene un allegato che ha l’estensione GIF ma è in realtà un PDF malformato. Questo PDF malformato causa un crash di IMTranscoderAgent sul dispositivo (dovuto a un integer overflow nella libreria CoreGraphics di rendering delle immagini), e il crash consente l’esecuzione di codice malevolo sul dispositivo attaccato. 

La seconda vulnerabilità, denominata CVE-2021-30858, riguarda WebKit, il motore di rendering di Apple, usato da Safari e da quasi tutte le app che visualizzano contenuto HTML, ed è sfruttabile per eseguire codice sul dispositivo della vittima.

Anche se non siete dissidenti o attivisti, il fatto che esistano queste vulnerabilità è ora di dominio pubblico e quindi è presumibile che verranno sfruttate anche dalla criminalità informatica comune per attacchi su bersagli meno sensibili. In altre parole, per colpire anche utenti comuni.

Preparatevi a una certa attesa, perché tutti stanno scaricando gli aggiornamenti ed è prevedibile che i server di Apple siano leggermente sovraccarichi.

Fonti aggiuntive: TechCrunch, Sophos, Ars Technica, New York Times. 

È disponibile il podcast di questa settimana de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Attacchi informatici usando documenti Office, l’allerta di Microsoft
• Allora, i messaggi di WhatsApp sono cifrati e privati o no? Panico da ProPublica
• Arrivano gli occhiali “smart” di Facebook. Ma non chiamateli così. Anzi, non nominate Facebook
• Domande da nerd: pesa di più una chiavetta USB piena di dati o una vuota?

Questo podcast, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Sono ormai trascorsi due decenni dagli attentati dell’11 settembre 2001: vuol dire che c’è una generazione di persone che oggi sono maggiorenni e non hanno il benché minimo ricordo diretto degli eventi che scossero il mondo quel giorno.

Per queste giovani generazioni, le Torri Gemelle sono solo dei pixel su uno schermo. Non ne possono aver vissuto la fisicità in modo tangibile, non possono aver sentito le Torri toccandone le strutture e salendo fino ai loro piani più alti, come ho fatto io insieme a milioni di persone per decenni, e questo rende tutto astratto e impalpabile.

Questa progressiva nebbia del ricordo facilita l’attecchimento di miti e di tesi di complotto, che nei primi anni dopo gli attentati ebbero una fortissima diffusione e che oggi sono passate in secondo piano, sopite ma mai realmente abbandonate, sostituite da tesi di complotto su altri drammi, come la pandemia, per riaffiorare soltanto in occasione degli anniversari. Anche il complottismo ha le proprie mode, e già questo dà un’idea della scarsa serietà dei suoi sostenitori.

Il complottismo sull’11 settembre oggi è cambiato rispetto a quegli anni: non porta più nuove tesi da molto tempo, ma è diventato parte della cultura contemporanea, come le tesi di complotto sull’assassino del presidente Kennedy o sugli allunaggi. Rischia quindi di sedimentarsi nell’opinione pubblica come una visione legittima degli eventi. Ma non lo è. Lo dimostrano i fatti tecnici, non le veline di governo. Per contro, altri eventi, come il crollo della torre Plasco a Teheran nel 2017, hanno tragicamente dimostrato che purtroppo i grandi edifici, se incendiati, possono crollare improvvisamente e catastroficamente, contrariamente a quanto invece asserito dai sostenitori delle tesi di demolizione controllata delle Torri Gemelle.

Se vi interessa saperne di più su questi fatti tecnici e sui miti nati intorno a questi attentati e sentire le testimonianze dirette di chi era lì in carne e ossa, invece di blaterare chinato sullo schermo del computer, e se volete leggere le esperienze dei vigili del fuoco di New York e di Arlington, dei soccorritori in Pennsylvania e di tanti altri esperti che accorsero per aiutare, invece dei deliri degli YouTuber incompetenti in cerca di visibilità, posso proporvi due risorse in italiano. 

La prima è il blog Undicisettembre, che ho l’onore di coordinare insieme ad altri ricercatori che hanno raccolto i documenti delle otto inchieste governative, le perizie dei tecnici e i dati scientifici e hanno intervistato molti dei protagonisti diretti, come Malcolm Nance, soccorritore al Pentagono (vi consiglio di cominciare dalle FAQ raccolte nella colonna di destra); la seconda è il libro 11/9 La cospirazione impossibile, scaricabile gratuitamente in formato PDF, disponibile anche in versione aggiornata e realizzato dal Cicap per esplorare la disinformazione mediatica che ha circondato gli eventi di quel giorno e degli anni successivi.

Per quel che mi riguarda, non ho nulla da aggiungere sull’argomento rispetto a quanto ho già scritto: la vera zona grigia degli attentati, ossia il coinvolgimento saudita (governativo o di singoli individui) nel facilitarli e finanziarli, rimane ancora irrisolta e non sembra esserci alcun vero intento di fare chiarezza da parte del governo statunitense. Il resto è solo aria fritta alla quale non intendo regalare visibilità.

Per cui, cari complottisti in patetica cerca di attenzioni, non perdete tempo a inviare commenti a favore di presunte “prove” di complotto. Avete avuto vent’anni di tempo e non avete concluso nulla. Fatevene una ragione e trovate qualcosa di più costruttivo da fare della vostra vita.

Fonte per l’immagine: Jeffmock/Wikipedia.

L’allarme che gira sostiene invece che questa app esista. A volte viene indicata con il nome Snapseed. Il testo più ricorrente del messaggio è questo: 

“So apparently there’s apps that can remove stickers from Facebook pictures…
I’ve had a google and I have found it to be true..
After a bit of digging I found that the only way to censor your images it actually rub it out with the eraser tool..
adding stickers adds layers to the image that can be removed quite easily with the right apps or software..
Please be cautious when posting pictures of your babies when censored with Facebook stickers xx
Admin”

In sintesi, chi condivide questo appello afferma che l’unico modo per censurare realmente le immagini su Facebook consisterebbe nell’usare lo strumento “gomma”, perché aggiungere un adesivo (sticker) non farebbe altro che aggiungere all’immagine un layer (uno strato) che sarebbe poi facilmente rimovibile con le app giuste.

Ma le immagini pubblicate sui social network non hanno layer. Al momento della pubblicazione vengono convertite, solitamente in formato JPG, che è privo di layer, e quindi non hanno dei dettagli “coperti” che possono essere scoperti. Pertanto l’allarme è sbagliato.

Chi diffonde questo avviso fa confusione con i formati grafici come il PSD di Photoshop, i documenti PDF o i file TIFF, che in effetti hanno i layer e come tali possono essere “smontate” per togliere le pecette di copertura. Ma nei social network questi formati non vengono usati (a meno che non si condivida intenzionalmente un file multilayer di Photoshop come allegato).

Insomma, nell’uso normale dei social network uno sticker è permanente e non si può rimuovere, per cui si può stare tranquilli.

È vero che esistono alcune app che sembrano capaci di rimuovere alcuni dettagli dalle foto, ma lo fanno “clonando” dettagli dalle zone circostanti dell’immagine: non possono ricostruire, per esempio, il volto di un bambino coperto da uno sticker.

Fonti: ThatsNonsense, Snopes, Giornalettismo.

Secondo BBC Science Focus, una chiavetta USB che usa memoria Flash pesa di più quando è vuota. 

I dati vengono infatti registrati nei transistor della memoria sotto forma di valori 0 e 1 nel sistema binario, e ogni transistor contiene uno di questi due valori. 

Quando il transistor contiene uno 0 binario, il suo floating gate (porta flottante) viene caricato aggiungendogli degli elettroni. Quando invece il transistor contiene un valore 1 binario, vengono tolti degli elettroni.

Di conseguenza, una chiavetta USB vuota (che quindi contiene principalmente zeri, e perciò è carica con tanti elettroni) pesa di più di una chiavetta piena di dati (che contiene un miscuglio di 0 e 1 e quindi meno elettroni di quella vuota).

Tuttavia, spiega l’informatico Peter Bentley che scrive su Science Focus, la massa di un elettrone è 0,00000000000000000000000000091 grammi, per cui la differenza di peso fra chiavetta piena e vuota è impercettibile. Anzi, neppure tutte le chiavette USB del mondo messe insieme permetterebbero di rilevare facilmente la differenza.

Fisici e informatici, che ne pensate? I conti sono giusti?

Sono semplicemente degli occhiali che hanno due fotocamere, altoparlanti, tre microfoni, una memoria da alcuni GB e una batteria che dura circa sei ore e si collegano senza fili allo smartphone. Fanno foto e video (massimo 30 secondi) e possono riprodurre musica o l’audio di una telefonata. Costano da 330 euro in su a seconda delle lenti (anche correttive) che vengono montate.

Tecnologicamente sono un capolavoro di miniaturizzazione, visto che hanno l’aspetto di normali occhiali con frontale e astine leggermente spesse (sono molto più eleganti e discreti dei primi Spectacles di SnapChat di cinque anni fa), ma la domanda che viene spontanea a molti è se il loro aspetto così normale non li renda un nuovo modo per fare i ficcanaso.

In fin dei conti, se oggi una persona vuole fotografare qualcuno deve prendere in mano il telefonino (o la fotocamera, per chi ancora la usa) e puntarla verso il soggetto, con un gesto abbastanza vistoso. Se la fotocamera è integrata negli occhiali, fare una foto o un video di nascosto diventa molto più facile.

Facebook dice di aver pensato a questo problema limitando la durata dei video e obbligando gli utenti a fare un gesto piuttosto visibile anche per azionare gli occhiali: per scattare una foto o registrare un video bisogna infatti toccare una delle astine o dare un comando vocale (al momento soltanto in inglese; sarà divertente sentire gli strafalcioni e i tentativi falliti). Inoltre sul frontale ci sono due piccoli LED bianchi che si accendono durante le riprese. Infine le foto e i video non vengono pubblicati direttamente su Facebook: restano sul dispositivo e spetta all’utente decidere se pubblicarli o no.

Tuttavia questi LED sono poco visibili e facilissimi da coprire, e lo stesso vale per le due telecamerine, per cui è facile non accorgersi che qualcuno vicino a noi ha due fotocamere sulla faccia. Buzzfeed nota che secondo Facebook coprire i LED è una violazione delle condizioni d’uso (sì, viviamo in un’epoca in cui gli occhiali hanno un regolamento di utilizzo). Questo sicuramente impedirà a chiunque di coprire le due lucette. 

È presto per dire se avranno successo come gadget realmente utile o se verranno bocciati come accessori per molestatori: notate che Facebook, che già ha i suoi problemi con la privacy e le molestie, ha preso le distanze dal prodotto già nel nome. In effetti ci sono delle situazioni nelle quali può essere utile poter rispondere a una telefonata o scattare una foto immediatamente senza frugare nella borsa per trovare il telefonino e senza perdere l’attimo fuggente.

Resta anche la questione della legalità di portare occhiali con telecamera e microfono in ambienti privati, per esempio a scuola o in altri luoghi nei quali normalmente c’è il divieto di portare dispositivi di ripresa, e della difficoltà dei controlli per evitare violazioni e abusi.

Staremo a vedere, e soprattutto impareremo a guardare chi ci sta vicino non solo negli occhi, ma anche negli occhiali. 

Fonti aggiuntive: Punto Informatico, BBC, ANSA, The Verge, PCMag, Facebook.

“WhatsApp legge i messaggi delle chat”, ha titolato ANSA. Un titolo che fa sembrare che WhatsApp legga, o possa leggere, tutti i messaggi che circolano sulla sua piattaforma. Ma non è così, e l’indagine di ProPublica non dice nulla del genere.

Cominciamo dai concetti di base. Le comunicazioni effettuate tramite WhatsApp sono cifrate con crittografia end-to-end. Questo vuol dire che sono cifrate da un capo all’altro della conversazione, ossia da quando escono dal dispositivo del mittente fino a quando arrivano sul dispositivo del destinatario. Di conseguenza, i contenuti di queste comunicazioni non sono intercettabili in transito, né da Facebook, proprietaria di WhatsApp dal 2014, né dalle forze dell’ordine.

Questo fa pensare a molti utenti che le comunicazioni fatte con WhatsApp siano assolutamente private, ma è sbagliato. Infatti l’indagine di ProPublica spiega che WhatsApp ha circa un migliaio di “moderatori” incaricati di valutare i messaggi che violano le regole di WhatsApp. 

Ma qui sta l’equivoco: parecchi media hanno frainteso, pensando che l’esistenza dei moderatori implichi che queste persone possano leggere tutti i messaggi. Non è così: i moderatori possono leggere soltanto i messaggi che vengono segnalati dagli utenti.

Infatti se segnalate un messaggio, un gruppo o qualcuno su WhatsApp, “WhatsApp riceve i messaggi più recenti che ti sono stati inviati da un contatto o un gruppo segnalati, nonché informazioni sulle tue recenti interazioni con l’utente segnalato”. È scritto chiaro e tondo nelle pagine informative di WhatsApp. Secondo Ars Technica, WhatsApp riceve specificamente gli ultimi quattro messaggi precedenti nel thread oltre al messaggio segnalato.

WhatsApp riceve questi messaggi più recenti senza crittografia: è come se faceste uno screenshot ai messaggi in questione e lo mandaste a WhatsApp. Deve poterli leggere, altrimenti non li può valutare.

In altre parole, su questo punto ProPublica ha scoperto l’acqua calda. Il fatto che i moderatori di WhatsApp possano leggere i messaggi segnalati (e solo quelli) è noto e documentato da tempo. 

---

C’è però anche un altro modo in cui i messaggi di WhatsApp non sono privati, e stavolta riguarda tutti i messaggi ed è stato ribadito correttamente da ProPublica. Facebook non può leggere i contenuti dei messaggi, ma può attingere ai loro metadati, ossia a tutte le informazioni di contorno di qualunque comunicazione effettuata tramite WhatsApp: chi ha parlato con chi, a che ora, per quanto tempo, se si sono scambiati foto o video, in quale gruppo è avvenuta la comunicazione, chi sono i partecipanti al gruppo, eccetera. Questo è sufficiente per la maggior parte delle indagini delle forze di polizia, come nota Ars Technica citando vari procedimenti legali negli Stati Uniti e in Brasile.

Per esempio, bastano i metadati per dimostrare che avete comunicato via WhatsApp con una persona sospettata di reato: spetterà poi a voi spiegare come mai avete comunicato e di cosa avete parlato. E a quel punto il vostro telefonino potrà probabilmente essere esaminato dagli inquirenti, che ne estrarranno tutte le conversazioni di WhatsApp (e non solo) con programmi come UFED o Oxygen.

In sintesi: se volete davvero comunicare in modo assolutamente privato, non usate WhatsApp, Telegram o qualunque altra applicazione di messaggistica commerciale. Threema, Signal e Wickr danno qualche garanzia in più, ma la sicurezza e la privacy sono un processo, non un prodotto. È inutile avere app ultraprotette se poi lasciate in giro tracce di altro genere.

La vulnerabilità in questione, la CVE-2021-40444, si basa su un difetto presente in MSHTML/Trident, il motore di rendering usato dall’obsoleto Internet Explorer e oggi utilizzato da Office per visualizzare i contenuti Web nei documenti Word, Excel e PowerPoint.

Se si apre con Microsoft Office su Windows un documento Office alterato in questo modo (includendovi un controllo ActiveX), l’aggressore che ha inviato il documento può prendere il controllo del computer della vittima, perché il motore di rendering esegue il codice ActiveX con gli stessi privilegi dell’utente. Il codice ActiveX usa questo potere per scaricare e installare un malware scelto dall’aggressore.

La vulnerabilità è insomma potenzialmente molto seria, ma va detto che se Microsoft Office viene usato con le sue impostazioni predefinite l’attacco non va a segno perché i documenti scaricati da Internet vengono aperti in Visualizzazione protetta o in Application Guard e quindi non possono accedere alle risorse trusted del computer attaccato. L’attacco non ha effetto su chi usa Microsoft Office su Mac ma riguarda tutte le versioni di Windows dalla 8.1 alla 10.

Defender, l’antivirus di Microsoft, già riconosce i documenti-trappola che sfruttano questa vulnerabilità, e lo stesso fanno i principali antivirus di altre marche, se li aggiornate.

Dovrebbe uscire a breve un aggiornamento di sicurezza che correggerà la falla, ma nel frattempo Microsoft consiglia a tutti non solo di aggiornare il proprio antivirus ma di disabilitare l’installazione di tutti i controlli ActiveX in Internet Explorer (nel modo spiegato nell’advisory) per contenere i danni di un eventuale attacco. Un altro consiglio è non usare un account Windows che abbia privilegi di amministratore, non disattivare la Visualizzazione protetta per nessun motivo e non aprire documenti Office inattesi, ricevuti via mail o scaricati da siti Internet non fidati.

Tutte cose ovvie, in linea di principio, ma purtroppo molti utenti non rispettano questi principi e poi finiscono per essere scottati. 

Fonti aggiuntive: The Hacker News, Cybersecurity360.it, Sophos, Tripwire.