Il Disinformatico

2018/06/08

Falla Flash viene già usata per attacchi, aggiornatevi

Siamo alle solite con Adobe Flash: va aggiornato perché ha una falla. Però stavolta la falla non è soltanto teorica: viene sfruttata già attivamente dai criminali. Adobe ha pubblicato l’avviso tecnico, segnalando che attacchi basati sulla falla (denominata CVE-2018-5002) sono in circolazione e colpiscono gli utenti Windows tramite documenti Office infetti, che incorporano file Flash e vengono inviati come allegati alle mail. Questi file Flash eseguono il malware infettante vero e proprio.

La falla esiste in tutte le versioni di Flash fino alla 29.0.0.171; la correzione è inclusa nelle versioni dalla 30.0.0.113 inclusa in poi. I player Flash inclusi in Google Chrome, Microsoft Edge, e Internet Explorer 11 per Windows 10 e 8.1 vengono aggiornati automaticamente.

Come al solito, se proprio dovete usare Flash, potete procurarvi la versione aggiornata presso get.adobe.com/flashplayer/. Ma valutate l’idea di disinstallarlo, e di aggiornare i vostri siti e processi di lavoro in modo che non usino Flash, perché ufficialmente cesserà di esistere nel 2020.

Fonte: Naked Security.

Come si fa a leggere i messaggi cifrati di WhatsApp e Telegram? Non è difficile

Molti utenti pensano che la promessa della crittografia end-to-end fatta da WhatsApp e da molte altre app di messaggistica sia una garanzia assoluta di riservatezza dei messaggi. Ma non è affatto così, e questa percezione illusoria ha colto in fallo nientemeno che Paul Manafort, l’ex coordinatore della campagna elettorale di Donald Trump, che ora è accusato di aver tentato di convincere dei testimoni a mentire a suo beneficio in tribunale.

Secondo i documenti legali depositati dagli inquirenti, Manafort ha usato WhatsApp e Telegram per mandare messaggi cifrati a questi testimoni, ma gli inquirenti sono riusciti lo stesso a leggerli. Questo vuol dire che c’è una falla o una backdoor in WhatsApp, che permette di intercettare e leggere i messaggi protetti dalla crittografia? No.

Come capita spesso, di fronte alle soluzioni tecnologiche si dimentica il lato umano: qualunque messaggio, per quanto sia cifrato da qualunque app, è rivelabile in una maniera estremamente semplice. Basta chiederlo alla persona che l’ha ricevuto.

La crittografia end-to-end, infatti, protegge solo i messaggi in transito da un dispositivo a un altro: rende difficili le intercettazioni durante questo transito e impedisce che il fornitore del servizio di messaggistica possa leggerli, ma non può più fare nulla una volta che il messaggio è arrivato a destinazione. Quindi se le autorità riescono a mettere le mani sul vostro smartphone o semplicemente vi chiedono di mostrare loro i messaggi in questione, la conversazione non è più segreta. Lo stesso vale, naturalmente, se il destinatario decide spontaneamente di condividere con altri il contenuto di un messaggio cifrato.

Nel caso di Manafort, questa semplice tecnica è spiegata da una nota a pié pagina:

Persons D1 and D2 both preserved the messages they received from Manafort and Person A, which were sent on encrypted applications, and have provided them to the government.

È vero, come mi segnala Telegram Wiki, che “Telegram offre la possibilità di aprire chat segrete con timer di autodistruzione dei messaggi, e che in qualunque momento l'utente può eliminare i propri messaggi da una chat segreta, facendoli sparire immediatamente anche al partner”, ma questo non impedisce a chi li riceve di memorizzarli o fotografarli e riferirli a terzi.

Fonte: Graham Cluley.

Facebook, baco ha reso pubblici post privati di 14 milioni di persone

Ultimo aggiornamento: 2018/06/09 10:50.

I post “privati” che avete scritto in Facebook il mese scorso potrebbero essere diventati pubblici a causa di un difetto nel software del social network: conviene dare loro una controllatina, perché potreste essere fra i circa 14 milioni di utenti colpiti da questo difetto, che si è manifestato per una decina di giorni a maggio.

Il difetto agiva così: nelle impostazioni dell’account è possibile fissare la visibilità predefinita di tutti i post, in modo che siano tutti automaticamente privati o riservati agli amici anziché pubblici. Quest’impostazione predefinita veniva ignorata e quindi al momento della pubblicazione l’utente doveva scegliere manualmente di rendere privato il post. Una situazione potenzialmente imbarazzante, perché se presumo che i miei post siano privati perhé li ho impostati così potrei non far caso al fatto che invece Facebook mi propone di renderli pubblici.

Facebook dice di aver corretto il problema. Gli utenti colpiti riceveranno dai gestori del social network delle notifiche che li avviseranno del problema e del fatto che i post difettosi sono stati corretti e resi privati. Ovviamente non si può fare nulla per rimediare al fatto che quei post sono stati pubblici per alcuni giorni.

Questo è l’aspetto della notifica ricevuta dal lettore Alberto Franchi: notate l’indicazione del periodo in cui si è verificato il problema (18-27 maggio).

Visto che non è la prima volta che Facebook ha inciampi di privacy di questo genere, resta valido il consiglio fondamentale: non mettete nei social network nulla che non potete condividere serenamente con tutto il mondo.

Fonti: Ars Technica, Gizmodo.

2018/06/07

Come mai la Finlandia resiste alle fake news?

A volte il contrasto alle notizie false sembra una sfida impossibile da vincere: produrre fandonie è molto più facile e costa molto meno che smascherarle accuratamente, per cui chi fa lo sbufalatore lavora con uno svantaggio apparentemente incolmabile.

Ma ci sono paesi che sono riusciti a tenere a bada le fake news: paesi nei quali le notizie false continuano a esistere, ma non fanno danni significativi. Uno di questi paesi è la Finlandia, come racconta un recente rapporto dell’International Press Institute. Vediamo come hanno fatto i finlandesi ad addomesticare le fake news.

Le notizie false in Finlandia toccano temi comuni a molti altri paesi, come per esempio l’immigrazione e le campagne d’odio neonaziste, e arrivano a livelli estremi: il canale video Internet RT Russia Today (il link porta al servizio di Full Frontal di Samantha Bee, non direttamente a RT), per esempio, ha diffuso l’accusa che il governo finlandese rapisce i bambini delle famiglie russe, e lo fa per venderli alle coppie gay negli Stati Uniti. La stessa accusa è stata diffusa anche dal sito russo Sputnik News. Queste campagne di disinformazione hanno scatenato proteste e attacchi da parte degli ultranazionalisti, che vogliono credere a queste notizie perché confermano la loro visione del mondo.

Ma i media finlandesi non hanno reagito a queste dicerie ignorandole: hanno invece pubblicato prontamente le rispettive smentite e dato anche ampio spazio alle rettifiche nei casi in cui avevano pubblicato notizie errate, facendo in modo che queste rettifiche fossero visibili almeno tanto quanto la notizia sbagliata originale.

Questa scelta editoriale è stata coordinata tramite il Consiglio Finlandese dei Mass Media o Council for Mass Media, un comitato di autoregolamentazione dei mezzi di comunicazione di massa, istituito nel lontano 1968, che ha anche il potere di obbligare una testata giornalistica a pubblicare una rettifica in caso di violazione delle buone prassi professionali. Nessuna censura, insomma, ma un chiaro obbligo di pubblicare una rettifica ben visibile. Non sembra un’invenzione particolarmente geniale, eppure provate a guardare, a titolo di confronto, quante rettifiche ben visibili trovate nei media in Italia.

Il governo finlandese ha anche sottoposto un centinaio dei propri funzionari a corsi di formazione specifici contro la disinformazione e ha istituito nelle scuole lezioni, tenute da giornalisti, su cosa significa fare il giornalista e su come evitare le fake news, insegnando non solo agli studenti, ma anche ai docenti e ai genitori degli studenti, a leggere le notizie con attenzione e ad esercitare il proprio senso critico. Anche questi non sembrano passi particolarmente fantascientifici, costosi o applicabili soltanto in quel paese.

I risultati non sono mancati: secondo un sondaggio, solo l’1% degli studenti fra 13 e 15 anni (quindi in una fascia d’età particolarmente vulnerabile alle fake news semplicemente per inesperienza) considera attendibili le fonti di notizie cosiddette “alternative”. E la fiducia verso i media tradizionali, che le fake news ambiscono a incrinare come strategia a lungo termine, è rimasta alta, anche fra gli adulti, il 50% dei quali conosce le fonti alternative ma soltanto l’8% dei quali le considera affidabili, mentre il 79% considera i giornali stampati la fonte più fidata.

In altre parole, le fake news si possono sì fermare, ma occorre investire tempo e risorse a lungo termine e coinvolgere tutti: giornalisti ed editori, istituzioni e scuole. Ci vogliamo almeno provare?

2018/06/05

Ci vediamo a Torino, sabato 9 giugno, al Tesla Club Italy Revolution 2018?

Sabato prossimo (9 giugno) sarò a Torino, al Museo Nazionale dell’Automobile, come ospite e relatore del Tesla Club Italy Revolution 2018, la conferenza italiana dedicata agli appassionati Tesla (ma dedicata alla mobilità elettrica sostenibile di qualunque marca) e organizzata dagli stessi appassionati, specificamente da quelli del Tesla Club Italy.

Il programma della conferenza, che raduna numerosi relatori di spicco, include argomenti di assoluto interesse, come le pensiline di ricarica fotovoltaiche, il riscaldamento domestico a costo zero, la gestione a fine vita delle batterie al litio, la sicurezza informatica delle auto connesse, SpaceX e anche un po’ di storia delle automobili elettriche.

Io presenterò una breve biografia critica di Elon Musk, il personaggio simbolo della rivoluzione elettrica; racconterò le origini, le strategie, i successi e gli insuccessi di un imprenditore anomalo, scremati da tifoserie e ostilità giornalistiche, per conoscere meglio i fatti, lasciare da parte i miti e capire cosa ci possiamo attendere realmente dal prossimo futuro in questo campo.

Le iscrizioni a Tesla Club Italy Revolution 2018 sono qui.

Quante bufale si raccontano su #Tesla ed #ElonMusk? Ce ne parlerà direttamente con il cacciatore di #bufale per eccellenza, Paolo Attivissimo - @disinformatico sabato 9 Giugno a #Torino al Tesla Club Italy Revolution 2018.
Registrati all'evento su https://t.co/BS9OlqfYse pic.twitter.com/3LCoeLWkx5
— Tesla Club Italy (@TeslaClubItaly) May 29, 2018

35 anni di Wargames

Ai primi di giugno del 1983 uscì sugli schermi dei cinema statunitensi uno dei film più importanti della storia della sicurezza informatica. Ebbene sì, Wargames compie in questi giorni ben 35 anni. Racconta con leggerezza e garbo le avventure di un giovane appassionato d’informatica, David Lightman (interpretato da Matthew Broderick), che nel tentativo di penetrare telematicamente nei computer di una famosa società che produce videogiochi trova invece per sbaglio una connessione a un supercomputer della difesa nazionale americana. Lì si imbatte in quella che lui crede sia una lista di nuovi videogiochi, dalla quale sceglie un titolo accattivante: “Guerra Termonucleare Globale”.

Ma in realtà non si tratta di giochi: sono le simulazioni usate dalla difesa statunitense per prepararsi a un eventuale attacco atomico sovietico. David inizia a giocare, senza rendersi conto che sta scatenando il panico nucleare fra i militari, convinti che i sovietici stiano attaccando sul serio, e la situazione precipita.

Il film, diretto da John Badham, quello della Febbre del Sabato Sera, fu un successo di pubblico inaspettato, ma soprattutto rappresentò l’introduzione all’informatica e all’hacking per un’intera generazione. La scena in cui David, per far colpo su una ragazza, Jennifer (interpretata da Ally Sheedy), le cambia i voti scolastici collegandosi al computer della scuola tramite il suo personal computer e una connessione telefonica via modem fu una rivelazione: i computer si potevano collegare fra loro! Si potevano usare per mandare messaggi o per scaricare dati e programmi invece di trasferirli faticosamente di persona! Internet non c’era ancora, perlomeno per gli utenti comuni, per cui la connessione era diretta e lentissima, ma c’era.

Wargames, visto dall’Italia del 1983 (con gli occhi di un allora giovane informatico di vostra conoscenza), pareva a molti fantascienza, ma in realtà era estremamente realistico nelle sue premesse: i sistemi informatici, anche quelli militari, erano davvero vulnerabili. Il film parlava già correttamente di backdoor e di firewall come forme di attacco e di difesa informatica. La tecnica usata da David per trovare computer da penetrare, ossia chiamare automaticamente uno dopo l’altro tutti i numeri telefonici di una regione e sentire se rispondeva il pigolìo stridulo di un modem, era anch’essa reale. Gli informatici la ribattezzarono wardialing proprio per rendere omaggio a Wargames.

Il film colpì anche l’allora presidente degli Stati Uniti Ronald Reagan, che chiese ai suoi esperti se davvero i sistemi informatici del governo fossero così attaccabili come si vedeva nel film. La risposta affermativa portò alle prime leggi e direttive sulla sicurezza informatica. Gli esperti avevano già avvisato di questi rischi sin dal 1967 nei loro rapporti tecnici, ma erano rimasti inascoltati. Per far capire finalmente la serietà del problema ci voleva Hollywood.

Trentacinque anni dopo, Wargames è un’operazione nostalgia per gli informatici di vecchia data, ed è citatissimo nel libro Ready Player One di Ernest Cline (quasi per nulla nell’omonimo film di Spielberg), ma le sue lezioni sono ancora attualissime: le password troppo ovvie che permettono al protagonista di farsi strada nei computer altrui si usano purtroppo anche oggi, e gli attacchi informatici fra nazioni sono diventati una realtà quotidiana. Ma la lezione più importante di Wargames è di un altro genere: il supercomputer del film riflette sulla guerra termonucleare globale e fa la battuta più memorabile e profonda di tutto il film.

“Strano gioco. L'unica mossa vincente è non giocare.”

Fonti aggiuntive: L’antro atomico del Dr. Manhattan, Movieplayer.it, Stackexchange, It World, Il Post, Webcitation.org.

2018/06/01

Podcast del Disinformatico del 2018/06/01

È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera.

Tutti i podcast più recenti sono ascoltabili in streaming e scaricabili da questa pagina del sito della RSI; in alcuni casi trovate anche lo streaming video. Buon ascolto!

GDPR, bagno di sangue con risvolti positivi

Ultimo aggiornamento: 2018/06/01 22:30.

Il 25 maggio scorso è diventato applicabile il GDPR (General Data Protection Regulation), una serie di norme europee sulla gestione dei dati personali, e nonostante due anni di preavviso (le norme furono approvate nel 2016) molti siti sono arrivati all’ultimo giorno senza alcuna preparazione. Il caos è stato davvero notevole.

A parte l’ondata di mail di siti di aziende, alberghi e social network che ci chiedono il consenso per continuare a mandarci quello che loro chiamano “materiale informativo”, l’effetto immediato più visibile per molti utenti è stato l’oscuramento volontario di molte testate giornalistiche statunitensi, che hanno preferito rendersi inaccessibili agli utenti europei piuttosto che affrontare l’onere di adeguarsi alle nuove regole sul trattamento dei dati personali. Lo stesso ha fatto temporaneamente Instapaper; anche alcuni videogiochi online hanno cessato l’attività in via definitiva.

Numerosi proprietari di Pagine Facebook, invece, lamentano di non essere più in grado di accedervi per amministrarle. Facebook è anche oggetto di azioni legali, insieme a Google, Instagram e WhatsApp, con l’accusa di violazione del GDPR perché non offrono agli utenti una vera scelta: gli utenti, infatti, possono soltanto scegliere fra accettare che i loro dati vengano raccolti, condivisi e usati per la pubblicità mirata e cancellare i propri account. Prendere o lasciare, insomma.

Secondo i promotori di queste azioni legali, “il GDPR consente esplicitamente qualunque trattamento di dati strettamente necessario per il servizio, ma usare quegli stessi dati anche per pubblicità o per rivenderli richiede il consenso libero ed esplicito degli utenti.”

Molti utenti percepiscono il GDPR come un disagio, che crea situazioni problematiche come l’aumento dell’età minima per usare Whatsapp a 16 anni (interessante il commento dell’avvocato Guido Scorza sulle reali ragioni di questa scelta), ma i nuovi obblighi stanno anche mettendo a nudo il peso del tracciamento pubblicitario operato da moltissimi siti, come nel caso della testata giornalistica statunitense USA Today, il cui sito Web viene offerto agli utenti europei in versione priva di pubblicità e di script di tracciamento.

Il risultato è che al posto di 5,2 megabyte la pagina pesa 500 kilobyte, ossia meno di un decimo. Il 90%, insomma, è zavorra pubblicitaria:

Because of #GDPR, USA Today decided to run a separate version of their website for EU users, which has all the tracking scripts and ads removed. The site seemed very fast, so I did a performance audit. How fast the internet could be without all the junk! 🙄
5.2MB → 500KB pic.twitter.com/xwSqqsQR3s
— Marcel Freinbichler (@fr3ino) May 26, 2018

Giovanissimi in fuga da Facebook, dice sondaggio USA

Fonte: Wikimedia.

Un sondaggio realizzato dal Pew Research Center negli Stati Uniti su un campione di 1058 genitori e 743 adolescenti sembra indicare un calo importante nell’uso di Facebook da parte degli utenti più giovani.

Nel 2015, un sondaggio analogo dello stesso ente aveva rilevato che il 71% dei ragazzi e delle ragazze fra 13 e 17 anni usavano Facebook, circa il 50% usava Instagram e il 41% usava Snapchat. Oggi, soltanto tre anni più tardi, Facebook è sceso al 51%, Instagram è salito al 72% e Snapchat ha raggiunto il 69%.

Il sito più usato, secondo le dichiarazioni dei giovani utenti, è Youtube o Snapchat per un terzo degli interpellati, Instagram per il 15%, Facebook per il 10%; seguono Twitter (3%), Reddit (1%) e Tumblr (meno dell’1%).

Lo stesso sondaggio nota altre tendenze significative: oggi il 95% degli interpellati fra 13 e 17 anni d’età dichiara di avere uno smartphone o di poterne usare uno, mentre tre anni fa la percentuale era il 73%; e il 45% degli intervistati dice di usare oggi Internet “quasi costantemente”, rispetto al 24% del 2015.

I dati sono riferiti agli Stati Uniti e quindi non è detto che valgano anche per l’Europa, ma la mia impressione personale, andando nelle scuole e chiedendo agli studenti quali social network usano, è che Facebook stia calando molto rapidamente e che sia ormai un social network “da vecchi”. I dati di un sondaggio britannico di eMarketer del 2018 sembrano confermare questa tendenza.

Assistenti vocali troppo pettegoli: Amazon Echo cattura e invia conversazione privata

Amazon Echo in versione HAL.
Credit: Cryteria (CC-BY).

Ricordate quando dicevo che mettersi in casa un microfono sempre aperto e connesso a Internet, come per esempio un Google Home o un Amazon Echo, era una pessima idea perché esponeva al rischio che qualcuno ascoltasse le conversazioni? È successo. Non ci voleva un genio particolare per prevederlo, per cui non mi voglio prendere meriti da profeta, ma almeno un “ve l’avevo detto” credo di potermelo permettere.

Un assistente vocale (o “altoparlante smart”) Echo di Amazon, installato in una casa a Portland, in Oregon, ha ascoltato, registrato e inviato una conversazione privata tra moglie e marito a un conoscente degli abitanti della casa che vive a Seattle. Amazon ha confermato la notizia, accolta inizialmente con una certa incredulità.

Tutto è iniziato a metà maggio scorso con una telefonata da uno dei dipendenti della coppia, che avvisava di scollegare subito i dispositivi di Amazon presenti in casa perché erano stati “hackerati”. Il dipendente ha spiegato che aveva ricevuto dei file audio che contenevano registrazioni delle conversazioni avvenute nella casa. La coppia, inizialmente incredula, ha dovuto ricredersi quando il dipendente ha descritto il contenuto di una conversazione e poi gliel’ha fatta riascoltare.

Amazon, contattata dalla coppia, si è scusata, ha analizzato i log dell’altoparlante smart e ha spiegato come è avvenuta la violazione della sfera privata: il dispositivo Echo, permanentemente in ascolto, ha captato delle parole nella conversazione della coppia che ha interpretato come un comando di attivazione (il comando standard è il nome Alexa). Poi ne ha captate delle altre che ha interpretato come una richiesta di inviare un messaggio (send message).

A questo punto Echo ha detto “To whom?” (“A chi?”) e poi si è messo in ascolto in attesa che qualcuno dicesse il nome del destinatario del messaggio. La coppia, ignara della richiesta e del microfono aperto, ha proseguito la propria conversazione ed Echo ha interpretato alcune delle loro parole come il nome di una persona presente nella rubrica dei contatti.

Echo ha poi chiesto conferma dicendo “[nome del contatto], right?” e si è messo in attesa di una risposta. Intanto la coppia ha continuato a parlare ed Echo ha interpretato erroneamente alcune delle loro parole come una conferma (“right”) e quindi ha inviato il messaggio, contenente un brano della conversazione.

In sintesi:

Coppia: bla bla bla bla bla
Echo capisce che gli è stato ordinato di mandare un messaggio e chiede “A chi?”
Coppia: bla bla bla bla bla
Echo capisce che gli è stato detto il nome del contatto a cui mandare il messaggio e chiede “A [nome], giusto?”
Coppia: bla bla bla bla bla
Echo capisce che gli è stato risposto “Giusto”, inizia a registrare il “messaggio” e lo manda al contatto.

Tre errori di interpretazione concatenati sono un evento improbabile, certo, ma l’evento improbabile è avvenuto, dimostrando chiaramente che questi dispositivi possono fraintendere facilmente i comandi vocali e addirittura inventarsene quando non ne sono stati dati.

La coppia ha chiesto ad Amazon il rimborso dei dispositivi Alexa. Amazon per ora non ha accettato e ha dichiarato che sta prendendo “misure affinché questo non succeda in futuro”.

Fonte aggiuntiva: Ars Technica.

Cerca nel blog

2018/06/08

2018/06/07

2018/06/05

2018/06/01