Ultimo aggiornamento: 2020/09/28 13:25.

Oggi (27/9) mi è stato segnalato che c‘è un sito di e-commerce italiano che custodisce (si fa per dire) i dati dei propri clienti senza usare password. Basta tirare a indovinare il numero di login, e si entra.

A ogni cliente viene infatti semplicemente assegnato un numero di login progressivo. Per vedere i dati degli altri basta digitare quel numero.

Digitando un numero di login esistente (i numeri sono a sei cifre e sono sequenziali) si entra nell’account senza ulteriori formalità.

Si leggono i dati dell’utente.

I dati di tutti non sono solo visibili a chiunque tramite una semplice enumerazione dei login (ossia tentandoli tutti in automatico, uno dopo l'altro), ma sono anche modificabili. Senza password. Un utente mi ha dato il permesso di provare a cambiare i dati del suo account. Sì, sono modificabili.

La Privacy Policy dice che i dati "Saranno custoditi con le misure... di sicurezza adeguate" (ho alterato il testo per non consentire di identificare il sito, ma il senso è quello). Certo, come no. E la policy dice che l'azienda, in caso di violazione dei dati personali, notificherà entro 72 ore al Garante Privacy.

C’è un cordialissimo servizio di assistenza clienti:

Vediamo se funziona, anche se quello che ha bisogno di aiuto non sono io, ma il DPO del sito. Gli ho scritto questo: “Buongiorno, sono un giornalista informatico. Mi è stato segnalato che tutti i dati dei vostri clienti sono accessibili e modificabili semplicemente digitando i loro numeri di login. Chiunque potrebbe entrare e vedere, cancellare o alterare uno per uno i dati dei vostri clienti. Sono a disposizione per eventuali chiarimenti.”

Messaggio inviato. Giusto per chiarezza: per colpa dell’incredibile incompetenza di chi ha creato questo sito, chiunque potrebbe entrare nel sito e acquisire, cancellare o alterare sistematicamente tutti i dati dei clienti.

Vediamo che succede fra 72 ore.

2020/09/28 13:25

Stamattina mi ha scritto il direttore commerciale dell’azienda, in risposta alla mia segnalazione, dicendo che la sua software house è già stata incaricata di bloccare l’accesso all’area clienti, che adotterà nome utente e password, e che i suoi consulenti hanno avuto l’incarico di attivare la procedura di data breach secondo policy aziendale e GDPR.

In effetti accedendo all’area clienti ora si vede questo:

Nessuno dei clienti del sito con i quali sono in contatto ha segnalato finora di aver ricevuto notifiche sull’accaduto.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Credit: Wikipedia.

Ultimo aggiornamento: 2021/04/15 00:10.

Uno studente di liceo, Rafael, mi ha chiesto delle informazioni sulla mobilità elettrica per il suo lavoro di maturità: in sintesi, quanta energia elettrica servirebbe in più se tutte le auto della Svizzera fossero elettriche?

Ho raccolto un po’ di dati di base e fatto due conti spannometrici, giusto per avere un’idea degli ordini di grandezza della questione. Se riuscite a trovare dati e riferimenti analoghi per il mercato italiano, li pubblico volentieri. Se ho sbagliato qualche conto o passaggio logico, ditemelo.

Nel 2019 erano in circolazione in Svizzera circa 4,6 milioni di automobili, secondo la pagina Veicoli stradali - parco, grado di motorizzazione dell’Ufficio Federale di Statistica svizzero, su un totale di 6,2 milioni di veicoli stradali a motore. Dati di contorno: erano immatricolate 28.716 auto elettriche, 3.099.442 auto a benzina, 1.382.645 auto diesel e 98.399 auto ibride, e l’età media delle auto era 8,7 anni.

Queste auto vengono utilizzate per percorrere in media circa 24 km al giorno, secondo i dati del Microcensimento mobilità e trasporti 2015, i più recenti che sono riuscito a trovare: “Nel 2015 ogni abitante a partire dai 6 anni di età ha percorso in media 36,8 chilometri al giorno [...] Quasi i due terzi delle distanze giornaliere sul territorio nazionale, segnatamente 23,8 km, sono percorsi in automobile, un quinto (7,5 km) con il treno. Nettamente più basse sono le quote delle tratte percorse a piedi (5%) e con i mezzi di trasporti pubblici su strada (4%)”.

L’energia mediamente necessaria per percorrere in auto elettrica 23,8 km (diciamo 24) è circa 4 kWh: per essere precisi, 3,84 kWh, presumendo prudenzialmente i 160 Wh/km di una Tesla Model S. Questo dato deriva dalla mia esperienza personale. Questo vuol dire che ogni veicolo elettrico consumerà in media circa 4 kWh al giorno.

Se tutte le auto saranno elettriche, allora avremo 4,6 milioni di auto elettriche che ogni giorno consumerano circa 4 kWh ciascuna (se tutte circolano tutti i giorni e se ciascun veicolo porta una sola persona). Questo vuol dire che serviranno ogni giorno, per ricaricare queste auto, circa 3,84 kWh x 4,6 milioni di auto = 17,6 GWh.

La produzione di energia elettrica mensile in Svizzera nel 2019-2020 varia fra 4500 e 7500 GWh/mese, ossia in media fra 150 e 250 GWh/giorno, secondo Swissgrid. Il 68% dell’energia elettrica consumata nel paese proviene da fonti rinnovabili (dati 2017 dell’Ufficio Federale dell’Energia; 60,5% da grandi centrali idroelettriche, 7,2% da fotovoltaico, eolico, piccole centrali idroelettriche e biomassa).

In altre parole, se tutte le auto svizzere fossero elettriche, sarebbe necessario generare dal 7 all'11,7% di energia in più, oppure ridurre i consumi di energia elettrica della stessa misura e mantenere invariata la produzione. Per esempio, dal 2002 al 2019 il consumo di energia dei grandi elettrodomestici si è ridotto di 1,03 TWh/anno nonostante il loro numero sia aumentato del 34% (Ufficio Federale dell’Energia).

Questo conto spannometrico non include le normali perdite di trasporto dell’energia elettrica dal luogo di produzione al luogo di consumo e gli assorbimenti dei punti di ricarica, difficili da quantificare con precisione.

Conclusione: rifornire di energia l’intero parco auto svizzero non è impensabile, ma richiede comunque un certo impegno.

Il CICAPfest 2020, in edizione online, è iniziato ieri e proseguirà fino al 18 ottobre con 150 incontri e 185 relatori a disposizione di tutti su Youtube. Il programma è qui. Poco fa sono stato intervistato piacevolmente da Cristina da Rold a proposito delle teorie pseudoscientifiche sul 5G e delle bufale tecnologiche in generale e ho risposto in diretta alle domande del pubblico a casa. Negli ultimi secondi succede inoltre un fenomeno straordinario :-)

È disponibile la puntata di stamattina (25 settembre) del Disinformatico della Radiotelevisione Svizzera, condotta da me insieme a Rosy Nervi.

Podcast solo audio: link diretto alla puntata; link alternativo.

Argomenti trattati:

• “Doom” su un test di gravidanza elettronico
• Si poteva rubare un account Instagram mandando semplicemente un’immagine
• Un intero villaggio resta 18 mesi senza Internet per colpa di una vecchia TV
• Che cosa sono le “numbers station”

Podcast audio precedenti: archivio sul sito RSI, archivio su iTunes e archivio su TuneIn, archivio su Spotify.

App RSI (iOS/Android): qui.

Video (con musica): è qui sotto.

Archivio dei video precedenti: La radio da guardare sul sito della RSI.

Buona visione e buon ascolto!

NOTA PER TUTTI QUELLI CHE STANNO LEGGENDO TRAMITE GOOGLE PODCAST: Non fatelo. Google ha assemblato il suo “podcast” come solo un algoritmo idiota può fare. Andate all’originale, che è qui. Grazie.

Cory Doctorow segnala, in un affascinante thread su Twitter, la storia delle numbers station: misteriose stazioni radio che da decenni trasmettono, in tutto il mondo, voci reali o sintetiche che leggono interminabilmente una serie apparentemente senza senso di numeri. Ne potete sentire un campione qui.

Un libro, scritto dall’agente dell’FBI Peter Strzok e intitolato Compromised, racconta la vicenda della cattura di due spie russe, Andrey Bezrukov e Elena Vavilova, che hanno operato per vent’anni negli Stati Uniti, e si lascia scappare una chicca crittografica che rivela finalmente qualche dettaglio in più su cosa sono queste numbers station.

Queste stazioni fanno parte dei cosiddetti one time pad (OTP): un sistema di comunicazione crittografica che in teoria è inviolabile. Gli OTP sono collezioni di numeri casuali usati per cifrare messaggi in modo semplice. Se queste sequenze sono davvero casuali e segrete e non vengono mai riutilizzate, il messaggio cifrato può essere diffuso liberamente ma è indecifrabile senza le chiavi continuamente variabili di decifratura.

Una spia in territorio ostile, dotata di un libretto di decodifica, può quindi ascoltare queste stazioni e decifrare i messaggi che vengono trasmessi dalla centrale del suo paese, mentre chiunque altro ascolti non capirà nulla. Un metodo perfetto per comunicare senza regalare indizi di dove si trovi il destinatario.

Però il sistema va gestito con estrema attenzione. Strzok spiega che una di queste emittenti, situata a Cuba, ha operato per un intero decennio dimenticandosi un dettaglio importante. I numeri vanno trasmessi sempre, anche quando non ci sono messaggi da diffondere ai propri agenti, ma generarli è una scocciatura, per cui questa emittente diffondeva numeri fittizi. Questi numeri non contenevano mai il numero 9. Un errore banalissimo, che però ha consentito una lunga analisi del traffico, durata circa un decennio.

Gli esperti dell’FBI e di altri enti statunitensi hanno così capito quando venivano inviati messaggi agli agenti e quando invece non c’erano comunicazioni, e partendo da questa semplice informazione sono riusciti a dedurre i momenti di attività degli agenti stranieri e poi risalire alle loro identità. 

Morale della storia: la crittografia è difficile. Ricordatevelo la prossima volta che qualcuno vi propone l’acquisto di un sistema crittografico “inviolabile”.

ISP Review segnala che gli utenti Internet di Aberhosan, un villaggio di 400 anime nel Galles, sono stati perseguitati per un anno e mezzo da un misteriosissimo guasto informatico: ogni mattina alle sette le loro connessioni ADSL si piantavano completamente.

A nulla sono valsi i tentativi dell’operatore telefonico locale, Openreach, di rimediare al guasto ricorrente sostituendo i vecchi cavi del villaggio.

Alla fine sono stati chiamati gli specialisti, che hanno iniziato a cercare eventuali fonti di disturbi elettromagnetici usando un analizzatore di spettro, e portandolo in giro per il villaggio dalle sei del mattino in poi si sono accorti che ogni mattina intorno alle sette si manifestava un fenomeno improvviso: un singolo impulso isolato di disturbi di alto livello (Single High-level Isolated Impulse Noise o SHINE). 

Dopo vari tentativi, sono riusciti a rintracciare la fonte di questi disturbi: ogni mattina un abitante del villaggio accendeva puntualmente un vecchio televisore usato, e questa accensione generava un potente impulso che mandava in tilt le connessioni Internet locali.

Il proprietario del televisore, una volta avvisato, ha accettato di non accenderlo mai più e si è dichiarato mortificato per l’accaduto. Un anno e mezzo di incubo informatico, sia per gli utenti sia per i tecnici, si è così risolto felicemente, ma ha ha reso evidente che usare apparecchi vecchi e poco schermati causa spesso interferenze inattese. Una fonte ricorrente e inaspettata di queste interferenze è costituita per esempio dalle vecchie luci di Natale e dai vecchi alimentatori.

Insomma, non era The Shining ma The SHINE.

Se usate Instagram, aggiornate la vostra app, altrimenti può bastare una semplice immagine per rubarvi l’account.

Lo segnalano i ricercatori di sicurezza informatica di Check Point Research, che hanno scoperto una falla in un componente open source usato da Instagram (Mozjpeg) per visualizzare le immagini JPEG. La falla consentiva a un aggressore di prendere il controllo dell’account di una vittima semplicemente mandandole un’immagine appositamente confezionata, usando mail, WhatsApp o altri sistemi di messaggistica. 

Quando la vittima avviava Instagram sul proprio smartphone, l’immagine veniva caricata automaticamente, causando un integer overflow che portava a un heap buffer overflow che a sua volta consentiva di eseguire istruzioni sullo smartphone: leggere i messaggi privati, cancellare o pubblicare post, e persino trasformare lo smartphone in uno strumento di sorveglianza accedendo ai dati GPS e alla fotocamera.

Check Point ha aspettato sei mesi prima di pubblicare la propria scoperta: nel frattempo ha informato Facebook, proprietaria di Instagram, che ha corretto la falla. Facebook dichiara che il problema riguarda le versioni di Instagram vecchie: dalla 128.0.0.26.128 in poi non c’è più.

Per sapere quale versione di Instagram avete installato:

• Su Android, andate in Impostazioni - Applicazioni, toccate Instagram e scorrete verso il basso: vedrete l’indicazione della versione.
• Su iOS/iPadOS, andate in Impostazioni - Generali - Spazio, toccate Instagram e comparirà l’indicazione della versione.

Fonti aggiuntive: Forbes, Apple Insider, Android Central.

Ultimo aggiornamento: 2020/09/25 13:20.

Si va in farmacia, si cerca un test di gravidanza, e c’è l’imbarazzo della scelta: scegliere quello tradizionale, con uno speciale foglietto di carta che cambia colore in base al risultato del test, o uno di quelli moderni, elettronico e digitale, che mostra il risultato sotto forma di parole presentate su un display a cristalli liquidi?

Certo, quello elettronico è più costoso, però insomma è digitale, quindi sarà più preciso e userà una tecnologia più moderna, giusto? 

Un ricercatore informatico, Foone, ha scoperto che non è proprio così. Il test di gravidanza elettronico che ha esaminato, un prodotto svizzero, è fondamentalmente un sensore che si limita a guardare il colore assunto dallo stesso, identico foglietto di carta usato nei test tradizionali e indicare lo stato di gravidanza o meno in base a quel colore.

In altre parole, il principio di funzionamento di entrambi i tipi di test è identico, ma quello elettronico dà l’impressione di essere più moderno. Il problema, a parte il costo (12 dollari contro i 20 centesimi del test cartaceo), è che il test elettronico genera molta più spazzatura. In pratica contiene un circuito integrato, tre LED, due sensori di luce, una batteria e un display, il cui unico scopo è leggere il foglietto di carta del test tradizionale. E tutto questo si butta dopo un solo utilizzo.

Non solo: visto che il test elettronico è alimentato da una batteria, che potrebbe scaricarsi col tempo, c’è il rischio che la carta chimica venga illuminata insufficientemente e che quindi il sensore non ne legga correttamente i colori, dando una risposta sbagliata. Non ha senso usare tutta questa elettronica per fare una cosa che chiunque è in grado di fare usando semplicemente i propri occhi.

Foone, però, non si è fermato a segnalare l’ingannevolezza e lo spreco di questi dispositivi digitali notando che il processore aveva più potenza di calcolo dei primi personal computer (i PC IBM); ha anche sostituito il display e il processore del dispositivo in modo che ci potessero girare il celebre videogioco Doom.

Yesterday I had a lot of retweets and reddit posts and such for playing Doom on a pregnancy test.
But as I explained then, it wasn't really PLAYING on a pregnancy test, it was just a video being played back, not an interactive game.

Well, now it is. It's Pregnancy Test Doom! pic.twitter.com/Nrjyq07EVv

— foone (@Foone) September 7, 2020

Ricordate quel Gundam alto 18 metri in costruzione a Yokohama di cui scrivevo ad agosto? Beh, sta cominciando a muoversi. Nel video qui sotto le riprese sono accelerate 4 o 2 volte, ma anche tenendo conto che nella realtà il robot si muove molto più lentamente l’effetto è notevole.

Life-sized Gundam in Yokohama is now in testing mode.pic.twitter.com/51HVoraPb7

— Catsuka (@catsuka) September 21, 2020

Le immagini delle sonde esplorative che abbiamo inviato su Marte sono meravigliose, ma spesso è difficile capire la scala delle formazioni che mostrano. L’artista digitale Seán Doran ha trovato una soluzione semplice, elegante e intuitiva a questa difficoltà: aggiungere un astronauta in scala alle foto reali della superficie marziana. Il risultato è straordinario.

Quanto tempo passerà prima che quell’astronauta ci sia davvero?

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.