Secondo BBC Science Focus, una chiavetta USB che usa memoria Flash pesa di più quando è vuota. 

I dati vengono infatti registrati nei transistor della memoria sotto forma di valori 0 e 1 nel sistema binario, e ogni transistor contiene uno di questi due valori. 

Quando il transistor contiene uno 0 binario, il suo floating gate (porta flottante) viene caricato aggiungendogli degli elettroni. Quando invece il transistor contiene un valore 1 binario, vengono tolti degli elettroni.

Di conseguenza, una chiavetta USB vuota (che quindi contiene principalmente zeri, e perciò è carica con tanti elettroni) pesa di più di una chiavetta piena di dati (che contiene un miscuglio di 0 e 1 e quindi meno elettroni di quella vuota).

Tuttavia, spiega l’informatico Peter Bentley che scrive su Science Focus, la massa di un elettrone è 0,00000000000000000000000000091 grammi, per cui la differenza di peso fra chiavetta piena e vuota è impercettibile. Anzi, neppure tutte le chiavette USB del mondo messe insieme permetterebbero di rilevare facilmente la differenza.

Fisici e informatici, che ne pensate? I conti sono giusti?

Sono semplicemente degli occhiali che hanno due fotocamere, altoparlanti, tre microfoni, una memoria da alcuni GB e una batteria che dura circa sei ore e si collegano senza fili allo smartphone. Fanno foto e video (massimo 30 secondi) e possono riprodurre musica o l’audio di una telefonata. Costano da 330 euro in su a seconda delle lenti (anche correttive) che vengono montate.

Tecnologicamente sono un capolavoro di miniaturizzazione, visto che hanno l’aspetto di normali occhiali con frontale e astine leggermente spesse (sono molto più eleganti e discreti dei primi Spectacles di SnapChat di cinque anni fa), ma la domanda che viene spontanea a molti è se il loro aspetto così normale non li renda un nuovo modo per fare i ficcanaso.

In fin dei conti, se oggi una persona vuole fotografare qualcuno deve prendere in mano il telefonino (o la fotocamera, per chi ancora la usa) e puntarla verso il soggetto, con un gesto abbastanza vistoso. Se la fotocamera è integrata negli occhiali, fare una foto o un video di nascosto diventa molto più facile.

Facebook dice di aver pensato a questo problema limitando la durata dei video e obbligando gli utenti a fare un gesto piuttosto visibile anche per azionare gli occhiali: per scattare una foto o registrare un video bisogna infatti toccare una delle astine o dare un comando vocale (al momento soltanto in inglese; sarà divertente sentire gli strafalcioni e i tentativi falliti). Inoltre sul frontale ci sono due piccoli LED bianchi che si accendono durante le riprese. Infine le foto e i video non vengono pubblicati direttamente su Facebook: restano sul dispositivo e spetta all’utente decidere se pubblicarli o no.

Tuttavia questi LED sono poco visibili e facilissimi da coprire, e lo stesso vale per le due telecamerine, per cui è facile non accorgersi che qualcuno vicino a noi ha due fotocamere sulla faccia. Buzzfeed nota che secondo Facebook coprire i LED è una violazione delle condizioni d’uso (sì, viviamo in un’epoca in cui gli occhiali hanno un regolamento di utilizzo). Questo sicuramente impedirà a chiunque di coprire le due lucette. 

È presto per dire se avranno successo come gadget realmente utile o se verranno bocciati come accessori per molestatori: notate che Facebook, che già ha i suoi problemi con la privacy e le molestie, ha preso le distanze dal prodotto già nel nome. In effetti ci sono delle situazioni nelle quali può essere utile poter rispondere a una telefonata o scattare una foto immediatamente senza frugare nella borsa per trovare il telefonino e senza perdere l’attimo fuggente.

Resta anche la questione della legalità di portare occhiali con telecamera e microfono in ambienti privati, per esempio a scuola o in altri luoghi nei quali normalmente c’è il divieto di portare dispositivi di ripresa, e della difficoltà dei controlli per evitare violazioni e abusi.

Staremo a vedere, e soprattutto impareremo a guardare chi ci sta vicino non solo negli occhi, ma anche negli occhiali. 

Fonti aggiuntive: Punto Informatico, BBC, ANSA, The Verge, PCMag, Facebook.

“WhatsApp legge i messaggi delle chat”, ha titolato ANSA. Un titolo che fa sembrare che WhatsApp legga, o possa leggere, tutti i messaggi che circolano sulla sua piattaforma. Ma non è così, e l’indagine di ProPublica non dice nulla del genere.

Cominciamo dai concetti di base. Le comunicazioni effettuate tramite WhatsApp sono cifrate con crittografia end-to-end. Questo vuol dire che sono cifrate da un capo all’altro della conversazione, ossia da quando escono dal dispositivo del mittente fino a quando arrivano sul dispositivo del destinatario. Di conseguenza, i contenuti di queste comunicazioni non sono intercettabili in transito, né da Facebook, proprietaria di WhatsApp dal 2014, né dalle forze dell’ordine.

Questo fa pensare a molti utenti che le comunicazioni fatte con WhatsApp siano assolutamente private, ma è sbagliato. Infatti l’indagine di ProPublica spiega che WhatsApp ha circa un migliaio di “moderatori” incaricati di valutare i messaggi che violano le regole di WhatsApp. 

Ma qui sta l’equivoco: parecchi media hanno frainteso, pensando che l’esistenza dei moderatori implichi che queste persone possano leggere tutti i messaggi. Non è così: i moderatori possono leggere soltanto i messaggi che vengono segnalati dagli utenti.

Infatti se segnalate un messaggio, un gruppo o qualcuno su WhatsApp, “WhatsApp riceve i messaggi più recenti che ti sono stati inviati da un contatto o un gruppo segnalati, nonché informazioni sulle tue recenti interazioni con l’utente segnalato”. È scritto chiaro e tondo nelle pagine informative di WhatsApp. Secondo Ars Technica, WhatsApp riceve specificamente gli ultimi quattro messaggi precedenti nel thread oltre al messaggio segnalato.

WhatsApp riceve questi messaggi più recenti senza crittografia: è come se faceste uno screenshot ai messaggi in questione e lo mandaste a WhatsApp. Deve poterli leggere, altrimenti non li può valutare.

In altre parole, su questo punto ProPublica ha scoperto l’acqua calda. Il fatto che i moderatori di WhatsApp possano leggere i messaggi segnalati (e solo quelli) è noto e documentato da tempo. 

---

C’è però anche un altro modo in cui i messaggi di WhatsApp non sono privati, e stavolta riguarda tutti i messaggi ed è stato ribadito correttamente da ProPublica. Facebook non può leggere i contenuti dei messaggi, ma può attingere ai loro metadati, ossia a tutte le informazioni di contorno di qualunque comunicazione effettuata tramite WhatsApp: chi ha parlato con chi, a che ora, per quanto tempo, se si sono scambiati foto o video, in quale gruppo è avvenuta la comunicazione, chi sono i partecipanti al gruppo, eccetera. Questo è sufficiente per la maggior parte delle indagini delle forze di polizia, come nota Ars Technica citando vari procedimenti legali negli Stati Uniti e in Brasile.

Per esempio, bastano i metadati per dimostrare che avete comunicato via WhatsApp con una persona sospettata di reato: spetterà poi a voi spiegare come mai avete comunicato e di cosa avete parlato. E a quel punto il vostro telefonino potrà probabilmente essere esaminato dagli inquirenti, che ne estrarranno tutte le conversazioni di WhatsApp (e non solo) con programmi come UFED o Oxygen.

In sintesi: se volete davvero comunicare in modo assolutamente privato, non usate WhatsApp, Telegram o qualunque altra applicazione di messaggistica commerciale. Threema, Signal e Wickr danno qualche garanzia in più, ma la sicurezza e la privacy sono un processo, non un prodotto. È inutile avere app ultraprotette se poi lasciate in giro tracce di altro genere.

La vulnerabilità in questione, la CVE-2021-40444, si basa su un difetto presente in MSHTML/Trident, il motore di rendering usato dall’obsoleto Internet Explorer e oggi utilizzato da Office per visualizzare i contenuti Web nei documenti Word, Excel e PowerPoint.

Se si apre con Microsoft Office su Windows un documento Office alterato in questo modo (includendovi un controllo ActiveX), l’aggressore che ha inviato il documento può prendere il controllo del computer della vittima, perché il motore di rendering esegue il codice ActiveX con gli stessi privilegi dell’utente. Il codice ActiveX usa questo potere per scaricare e installare un malware scelto dall’aggressore.

La vulnerabilità è insomma potenzialmente molto seria, ma va detto che se Microsoft Office viene usato con le sue impostazioni predefinite l’attacco non va a segno perché i documenti scaricati da Internet vengono aperti in Visualizzazione protetta o in Application Guard e quindi non possono accedere alle risorse trusted del computer attaccato. L’attacco non ha effetto su chi usa Microsoft Office su Mac ma riguarda tutte le versioni di Windows dalla 8.1 alla 10.

Defender, l’antivirus di Microsoft, già riconosce i documenti-trappola che sfruttano questa vulnerabilità, e lo stesso fanno i principali antivirus di altre marche, se li aggiornate.

Dovrebbe uscire a breve un aggiornamento di sicurezza che correggerà la falla, ma nel frattempo Microsoft consiglia a tutti non solo di aggiornare il proprio antivirus ma di disabilitare l’installazione di tutti i controlli ActiveX in Internet Explorer (nel modo spiegato nell’advisory) per contenere i danni di un eventuale attacco. Un altro consiglio è non usare un account Windows che abbia privilegi di amministratore, non disattivare la Visualizzazione protetta per nessun motivo e non aprire documenti Office inattesi, ricevuti via mail o scaricati da siti Internet non fidati.

Tutte cose ovvie, in linea di principio, ma purtroppo molti utenti non rispettano questi principi e poi finiscono per essere scottati. 

Fonti aggiuntive: The Hacker News, Cybersecurity360.it, Sophos, Tripwire.

Sul palco ci saranno Andrea Scarinci, (Lugano Living Lab), che presenterà il Progetto eQuiD di recupero e riuso di computer, Cristina Giotto, direttrice di ATED, e Silvia De Ascaniis, coordinatrice della Cattedra UNESCO in tecnologie digitali per un turismo sostenibile dell’Università della Svizzera italiana, e il sottoscritto. Saremo moderati da Giada Marsadri, musicologa e conduttrice.

Parleremo di strategie e astuzie che possiamo adottare concretamente per ridurre l’impatto dei nostri dispositivi e discuteremo con dati ed esempi concreti della questione del digital-divide e del progetto eQuiD sviluppato dalla città di Lugano. 

L’evento fa parte del Festival ARS Electronica Lugano Garden, è aperto a tutti e gratuito, e sarà fruibile anche in streaming.

2021/09/12: Il video dell’incontro è online. A 43:35 mostro una parte della mia collezione di telefonini :-)

Anche oggi sarò ospite del CICAPFest 2021 a Padova: sarò a Palazzo Bo alle 17 per una chiacchierata sull’incertezza nell’esplorazione spaziale, e sarò al Centro Culturale Altinate alle 19.15 per difendere Star Trek nel dibattito Star Trek vs Star Wars con il supporto degli amici dello Star Trek Italian Club “Alberto Lisiero”.

Per sapere quali delle tante conferenze del CICAPFest sono disponibili anche in streaming video su YouTube, tenete d’occhio il canale YouTube del CICAP.

2021/09/06. Sono rientrato ieri al Maniero Digitale dopo un mini-tour di conferenze, fatto tutto viaggiando in auto elettrica per oltre 1300 km; se vi interessano i dettagli, sono su Fuori di Tesla News.

2022/01/01. Il video del dibattito è stato pubblicato:

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Antibufala: l’iPhone 13 comunicherà via satellite!
• Ben tre bande di ransomware chiudono e rilasciano un decrittatore gratuito. Perché?
• Videogioco permesso ai minori solo nel fine settimana: succede in Cina. Ma come avviene il controllo?
• I controlli di sicurezza di Instagram si beffano con 60 dollari: il ban-as-a-service

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Stasera sarò ospite del CICAPFest 2021, che si tiene dal 3 al 5 settembre.

La mia conferenza di pre-apertura del CICAPFest, dedicata agli errori di previsione del futuro da parte di scienziati ed esperti, si terrà oggi alle 21 al Centro Culturale Altinate e sarà visibile in diretta su Youtube qui:

Al CICAPFest parlerò anche di incertezze nell’esplorazione spaziale e parteciperò alla sfida Star Trek vs Star Wars. Il programma completo è sul sito CicapFest.it. Spero di vedervi!

2021/08/03 2:10. Correggo un mio errore terminologico durante la conferenza quando ho parlato delle persone che in Giappone rifiutano il contatto con la realtà chiudendosi in casa e vivendo solo online: ho detto otaku, ma avrei dovuto dire hikikomori. Grazie a Roberto, che me l’ha segnalato!

2022/01/01. Il video del dibattito Star Trek vs Star Wars è stato pubblicato:

Il tema è la fisica e la tecnologia dei gabinetti spaziali, in versione aggiornata per tenere conto delle recenti novità nel settore introdotte da SpaceX e dalla NASA per realizzare questo elemento indispensabile dell’equipaggiamento spaziale. Senza una toilette funzionante, su Marte non si va, in tutti i sensi.

Ovviamente l’argomento è serio ma non troppo, per cui la conferenza è indicata anche per i bambini, che di solito si divertono quanto e più dei grandi.

Per tutte le informazioni, potete rivolgervi a info.fisicaescuola@gmail.com, ma al momento i posti sono completamente esauriti, stando alla pagina di prenotazione.

Credit: Motherboard.

Motherboard ha pubblicato un’indagine sul fenomeno del ban-as-a-service: l’attività criminale di far bandire (o bannare) qualcuno da un social network usando l’inganno per indurre i gestori del social network a chiudergli l’account.

Il ban-as-a-service opera in questo modo: il criminale crea un profilo identico a quello del bersaglio, copiandone la foto della bio e la descrizione. Ma crea questo profilo-clone usando un profilo verificato (uno di quelli con il bollino blu), che magari ha rubato a qualcuno.

Fatto questo, il criminale segnala a Instagram l’account della vittima, accusandola di essere un impostore. Instagram, invece di controllare come stanno le cose (per esempio guardando quale dei due account è stato creato prima o ha caricato di colpo tante foto e cambiato quelle preesistenti), banna l’account della vittima.

Non è l’unica tecnica: le altre sono descritte nell’articolo di Motherboard. Ma la cattiveria dei truffatori non si esaurisce qui. Infatti capita spesso che le vittime del ban vengano contattate prontamente da qualcuno che si offre di rimettere tutto a posto, ovviamente dietro compenso. E stavolta le cifre in gioco sono decisamente più alte: dai 3500 dollari in su.

Se la vittima usa il proprio account Instagram per lavoro, trovarselo bannato è un danno economico notevolissimo, per cui capita spesso che le cifre richieste vengano pagate. Guarda caso, chi si offre di ripristinare a pagamento è in combutta con chi ha effettuato il ban.

In casi come questi, non c’è password o autenticazione a due fattori che tenga, perché questo non è un furto di account, e spetta a Instagram investigare per capire come sono andate le cose e chi è il vero impostore. Non sempre lo fa, stando all’indagine di Motherboard. Se vi capita un problema di questo genere, non vi resta che consultare il Centro assistenza di Instagram, che ha una pagina apposita per il ripristino degli account disabilitati.