Il Disinformatico

2018/12/05

Tesla Model 3: rivelati i primi prezzi europei, prime consegne a febbraio 2019

Ultimo aggiornamento: 2018/12/10 15:15.

In vari paesi d’Europa (perlomeno Francia, Norvegia, Spagna, Germania, Olanda, Svezia, Spagna e Svizzera) è stato attivato il configuratore online per la Tesla Model 3 per alcuni di coloro che hanno pagato un preordine. Questo permette di sapere quali saranno i prezzi iniziali dell’auto in questi paesi.

Il sito di Tesla ha inoltre pubblicato le specifiche tecniche aggiornate delle versioni europee di quest’auto elettrica sportiva.

Secondo il configuratore svizzero, la versione Long Range a quattro ruote motrici e doppio motore, con batteria a lunga autonomia, costerà 59.400 franchi (52.469 €) come prezzo base. L’autonomia di questa versione, secondo lo standard WLTP (abbastanza realistico), è di 544 km.

La versione Performance, simile alla Long Range ma con autonomia WLTP leggermente inferiore (530 km) e con accelerazione maggiore e velocità massima di 250 km/h, costerà 71.300 franchi (62.977 €) come prezzo base.

A questi prezzi vanno aggiunti circa 900 CHF per le spese di consegna e per i documenti. I colori differenti dal nero costano da 1600 a 2600 franchi in più (il rosso è il più caro). La guida assistita (non autonoma) costa 5300 CHF in più. Gli interni sono identici in entrambe le versioni; quello nero è standard, quello bianco si paga 1050 CHF. I cerchi Aero da 18 pollici sono di serie; quelli Sport da 19 pollici costano 1600 CHF in più.

Secondo i dati raccolti da Electrek e da Quattroruote, i prezzi base negli altri paesi sono i seguenti:

Italia: Long Range 59.600 €, Performance 70.700 €
Germania: Long Range 57.900 €, Performance 68.600 €
Francia: Long Range 53.500 €, Performance 64.300 € (dopo ecoincentivi)
Spagna: Long Range 59.100 €, Performance 70.100 €
Svezia: Long Range 590.200 corone (57.900 €), Performance 707.200 corone (69.400 €) (dopo ecoincentivi)
[ho rimosso i prezzi norvegesi indicati inizialmente; è emerso dai commenti che si trattava di valori non ufficiali]
Olanda: Long Range 58.800 €, Performance 69.700 €

Non è prevista, per ora, la disponibilità in Europa delle versioni Mid Range e Standard, che hanno autonomie minori ma comunque molto interessanti e trazione posteriore. Negli Stati Uniti, la Mid Range base costa 46.000 dollari (circa 40.500 €), mentre la Standard non è ancora disponibile (è annunciata fra “4-6 mesi”).

A me il configuratore non è ancora stato attivato: dovrebbe attivarsi entro le prossime settimane. Non ho fretta e non è affatto detto che io decida di acquistare una di queste prime versioni.

2018/12/07 00:30

Poche ore fa mi è arrivata la mail di invito a configurare la mia prenotazione. Al momento le pagine di configurazione svizzere sono disponibili soltanto in tedesco. Aggiornerò questo articolo appena possibile con i dettagli.

Aggiornamento: ne scrivo in dettaglio qui.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

2018/12/01

Ci vediamo a Lecce il 4 dicembre?

Martedì 4 dicembre alle 10 sarò all’Università del Salento, ospite del Dipartimento Studi Umanistici, aula Ferrari, per l’inaugurazione dell’anno accademico dei corsi di laurea in Scienza e tecnica della mediazione linguistica, traduzione tecnica e interpretariato, con una conferenza su un argomento abbastanza insolito, di cui parlo poco per motivi di riservatezza professionale: la mia attività di traduzione brevettuale, che esercito ormai da trentadue anni.

L’incontro è a ingresso libero e naturalmente potrà esplorare anche altri tipi di traduzione di cui mi sono occupato, come libri, interpretariati per attori e astronauti, e adattamenti per film e telefilm.

Come potete notare dalla locandina, con me sarà ospite anche Anna Chiara Peduzzi-Nancy, traduttrice e interprete alla Corte d’Appello di Parigi, che si occuperà di un tipo di traduzione che ammiro moltissimo e che per questioni di salute mentale ho sempre evitato il più possibile: la traduzione giurata.

Se siete da quelle parti, venite a fare un salto. Vi aspetto.

Italia, senatore propone DDL: carta d’identità obbligatoria per iscriversi ai social network

Ultimo aggiornamento: 2018/12/02 12:40.

Oggi (2018/12/01) il senatore italiano Nazario Pagano (Forza Italia) ha tweetato questa sua proposta: “Carta d’identità obbligatoria per iscriversi ai social: la mia proposta di legge in un servizio di Rai parlamento!”.

Nel video che accompagna il tweet, Pagano spiega che “...la società, tipo Facebook o Twitter, richiede un documento di riconoscimento. Questo consente di far sì che se, per ipotesi, nasce da questa persona un profilo con un nome di fantasia o un nickname e attraverso quel profilo si commettono dei reati anche importanti, come per esempio il reato di diffamazione a mezzo stampa. lo stalking o addirittura i reati di pedofilia, da parte della Polizia Postale vi è la possibilità di arrivare a chi c’è dietro a quel profilo anonimo.” Il video fornisce ulteriori dettagli sulla proposta, dicendo che si tratta di un disegno di legge.

Carta d’identità obbligatoria per iscriversi ai social: la mia proposta di legge in un servizio di Rai parlamento! #1Dicembre pic.twitter.com/z1BQMhkgA4
— Nazario Pagano (@NazarioPagano) December 1, 2018

Mi sono permesso di sottoporgli una piccola riflessione. La copio qui perché potrebbe essere utile per la prossima occasione in cui qualcuno se ne esce (per l’ennesima volta) con quest’idea insensata, inutile e impraticabile.

1. Buongiorno. Gli imbecilli e gli odiatori postano su Facebook mettendoci nome e cognome veri già adesso. L'identità non li ferma. Gli unici a rimetterci sarebbero quellli che han bisogno dell'anonimato per proteggersi (es. donne maltrattate, minori).
— Paolo Attivissimo (@disinformatico) December 1, 2018

2. Questa proposta non avrebbe nessun effetto sui troll e odiatori che stanno fuori dall'Italia.
— Paolo Attivissimo (@disinformatico) December 1, 2018

3. È facile procurarsi una scansione di una carta d'identità altrui. Gliene allego un esempio (censurato). Ci sono archivi online pieni. Gli odiatori e troll userebbero quelle facendo cadere la colpa su innocenti. pic.twitter.com/aJhB8t4UVX
— Paolo Attivissimo (@disinformatico) December 1, 2018

La scansione in questione, per chi non la vedesse nel tweet qui sopra, è questa, tratta da questa mia indagine di un anno fa:

4. Prima di proporre qualunque cosa, in qualunque campo, sarebbe opportuno chiedersi "Come mai non ci ha ancora pensato nessuno?". E magari chiedere agli esperti.

Cordialmente.
— Paolo Attivissimo (@disinformatico) December 1, 2018

Aggiungo qui un’altra considerazione: l’idea del senatore Pagano obbligherebbe i social network a custodire copie delle carte d’identità di ogni iscritto. Questo creerebbe insomma un immenso database centralizzato di dati personali di decine di milioni di italiani, messo in mano a una società commerciale. Considerata la disinvoltura con la quale Facebook, per esempio, “custodisce” gli altri dati degli utenti, direi che il disastro sarebbe assicurato.

2018/12/02 12:40

Il senatore ha fornito un link al disegno di legge, ma c’è anche un link più diretto al PDF. Da questo documento risulta che il DDL è stato presentato anche a firma di Giammanco, Bernini, Malan, Damiani, Floris, Vitali, Aimi e Cangini. Il testo del DDL è il seguente:

DISEGNO DI LEGGE

Art. 1.

1. Al decreto legislativo 9 aprile 2003, n. 70, dopo l’articolo 16 è inserito il seguente:
«Art. 16-bis. (Obblighi di identificazione). – 1. I fornitori di servizi di memorizzazione permanente hanno l’obbligo di richiedere, all’atto di iscrizione del destinatario del servizio, un documento d’identità in corso di validità.
2. L’inosservanza dell’obbligo di cui al comma 1 comporta l’irrogazione di una sanzione amministrativa pecuniaria da 500 a 10.000 euro.
3. Le sanzioni amministrative pecuniarie di cui al comma 2 sono applicate dall’Autorità per le garanzie nelle comunicazioni con provvedimento motivato, previa contestazione degli addebiti agli interessati, da effettuare entro un mese dall’accertamento.
4. Le disposizioni del presente articolo si applicano a decorrere dal 1° gennaio 2020».

Il senatore ha anche precisato che “la proposta di legge è stata realizzata con la consulenza di esperti in materia dell’Università Bocconi.”

Nuovamente, la invito a studiare prima di parlare. Io l’ho fatto: la proposta di legge è stata realizzata con la consulenza di esperti in materia dell’Università Bocconi.
— Nazario Pagano (@NazarioPagano) December 2, 2018

Il professor Stefano Zanero, che è uno che di queste cose un tantino ci capisce, ha sollevato un paio di obiezioni tecniche davvero notevoli.

Mi scusi Senatore, visto che ci ha invitato a leggere la sua proposta, ho una domanda. La sua proposta emenda il DLgs 9 aprile 2003. Che esclude specificamente dall’applicazione i prestatori di servizi stabiliti fuori dalla UE. Mi aiuta a comprendere?
— Stefano Zanero (@raistolo) December 2, 2018

Infine, volevo capire: quindi tutti i quotidiani online che hanno uno spazio per i commenti dei lettori saranno tenuti a raccogliere le carte di identità degli stessi? Perché non vedo come si possa applicare la norma ai social e non ai blog o alle testate giornalistiche.
— Stefano Zanero (@raistolo) December 2, 2018

E, ripeto: non è nemmeno immaginabile un processo che scali a milioni di iscrizioni per la verifica della corrispondenza col documento. Per non parlare di come dovrebbe verificare, il social network, se l’iscritto è italiano o meno.
— Stefano Zanero (@raistolo) December 2, 2018

Colpisce questa risposta del senatore Pagano a Zanero: “Io penso che la sua arroganza sarà destinata a scontrarsi con quella che, in gergo, si chiama grande figura di ...”.

Io penso che la sua arroganza sarà destinata a scontrarsi con quella che, in gergo, si chiama grande figura di ...
— Nazario Pagano (@NazarioPagano) December 2, 2018

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Puntata del Disinformatico RSI del 2018/11/30

È disponibile lo streaming audio e video della puntata del 30 novembre del Disinformatico della Radiotelevisione Svizzera.

La versione podcast solo audio (senza canzoni, circa 20 minuti) è scaricabile da questa sezione del sito RSI (link diretto alla puntata) ed è disponibile qui su iTunes (per dispositivi compatibili) e tramite le app RSI (iOS/Android); la versione video (canzoni incluse, circa 60 minuti) è nella sezione La radio da guardare del sito della RSI ed è incorporata qui sotto. Buona visione e buon ascolto!

Spazio, il tormentone complottista delle fasce di Van Allen sbugiardato già 50 anni fa

I biscottini sono per ammansire i lunacomplottisti
che arriveranno inevitabilmente anche qui.

Secondo tanti lunacomplottisti, le fasce di Van Allen sarebbero una barriera mortale e invalicabile che renderebbe impossibili i viaggi verso la Luna e quindi dimostrerebbe che gli allunaggi furono una messinscena. Molti di questi aspiranti geni non sanno neanche come si scrive correttamente il nome di queste fasce e le chiamano fasce di Van Halen, confondendole con il celeberrimo gruppo rock, e già questo rivela il calibro della loro sapienza, ma lasciamo stare.

Un altro errore ricorrente di questi lunacomplottisti è dimenticare che prima degli allunaggi ci furono due altre missioni con equipaggi che attraversarono queste fasce: Apollo 8 e Apollo 10. Il cinquantenario di Apollo 8 è ormai imminente e per ricordarla e riscoprirla ho chiesto l’aiuto dell’amico e collezionista di cose spaziali Gianluca Atti per creare Apollo 8 Timeline: una cronologia della missione, raccontata in tempo reale, corredata dalle immagini dell’epoca e dalle scansioni dei giornali e delle riviste italiane di quegli anni.

Nell’articolo di oggi, che presenta un servizio pubblicato dal settimanale Epoca, c’è proprio la risposta ai lunacomplottisti, data prima ancora che le fasce di Van Allen diventassero uno dei loro ottusi tormentoni. Il rischio era già noto, valutato e risolto ancor prima degli allunaggi, appunto con la missione Apollo 8. Sono cinquant’anni che la risposta è davanti al naso dei complottisti e ancora non l’hanno capita. Ecco come Franco Bertarelli descrive la questione su Epoca:

Le fasce di Van Allen: una specie di ponte minato

Il secondo punto critico, così drammaticamente esaltato da Bernard Lovell [sir Bernard Lovell, nessuna parentela con l’astronauta Jim Lovell di Apollo 8, era un notissimo astronomo britannico che all'epoca dirigeva l’osservatorio radioastronomico di Jodrell Bank ed è considerato il fondatore della radioastronomia], è quello delle pericolose radiazioni cui gli astronauti sarebbero esposti durante il viaggio di andata e ritorno, quando dovranno, per forza, traversare le cosiddette fasce di Van Allen.

Si tratta, come mostra il disegno schematico pubblicato in queste pagine, di due cinture fortemente radioattive che circondano la Terra, una più bassa (a circa 3200 chilometri) e l’altra più alta (a circa 16 mila chilometri), dentro le quali il campo magnetico terrestre ha catturato -- e mantiene -- particelle cosmiche provenienti dal Sole ed anche dalle Stelle. Sarà come traversare un oceano tempestoso, come varcare un ponte minato: ma -- ce lo conferma anche il professor Kaminski [Heinz Kaminski, ingegnere chimico e ricercatore spaziale tedesco, fondatore dell’osservatorio di Bochum che captò i segnali radio delle sonde sovietiche e degli astronauti Apollo] -- si tratta di affrontare un pericolo conosciuto, protetti da mezzi di difesa (scudi antiradiazioni) di ben studiata efficacia.

Certo, nessun uomo ha mai traversato le fasce di Van Allen: ma gli esperimenti compiuti recentemente con gli esseri viventi posti a bordo della sonda sovietica Zond 5, lanciata intorno alla Luna il 15 settembre e recuperata intatta nell’oceano Indiano, non sono tali da giustificare il pessimismo del radioastronomo inglese. Le tartarughe, i moscerini e i microrganismi racchiusi nei contenitori biologici della Zond non hanno riportato guai seri, se si eccettua qualche disturbo al fegato e alla milza delle tartarughe, ed una loro piuttosto strana perdita di peso.

Soprattutto su questo punto, la tesi del professor Kaminski sembra ineccepibile: poiché la quantità e la natura delle radiazioni nocive che gli astronauti dell’Apollo 8 dovranno affrontare è nota, diventa ingiurioso per la scienza americana supporre che non siano stati approntati ineccepibili sistemi di difesa.

2018/11/30

Truffa della falsa assistenza Microsoft, arresti in India

Buone notizie sul fronte della lotta alle truffe online che seguono lo schema della falsa assistenza Microsoft: in India, segnala ZDNet, sono state arrestate 63 persone dopo che la polizia ha visitato 26 call center nei quali gli addetti telefonavano a persone a caso in tutto il mondo spacciandosi per rappresentanti dell’assistenza tecnica di Microsoft, Google, Apple e altre aziende molto conosciute e convincevano le vittime a pagare da 100 a 500 dollari per servizi fasulli o inesistenti.

Microsoft ha dichiarato di aver ricevuto oltre 7.000 segnalazioni da una quindicina di paesi a proposito di questi call center presso il suo apposito servizio. Le perquisizioni hanno permesso di sequestrare copioni per le chiamate, registrazioni di telefonate e dati dei “clienti” di questi raggiri, che secondo i dati raccolti da Microsoft ha toccato tre su cinque utenti Windows nel 2017. Il dato è leggermente in calo, ma c’è ancora molta strada da fare.

Per incamminarsi lungo questa strada valgono le solite raccomandazioni:

Ricordate che Microsoft non vi chiamerà mai per offrire assistenza tecnica non richiesta; è il cliente che deve chiamare se ha bisogno.
Diffidate di qualunque telefonata inattesa o di qualunque messaggio pop-up inaspettato che compare sul vostro schermo di computer, tablet o telefonini.
Non telefonate a eventuali numeri che compaiono negli avvisi e non cliccate su inviti a scaricare software o effettuare scansioni del vostro dispositivo.
Non cedete mai il controllo del vostro computer a terzi se non siete in grado di confermare che si tratta di legittimi rappresentanti di un’azienda informatica di cui siete già clienti.
Se avete il minimo dubbio, prendete nota del nome e del numero della persona che vi ha contattato e segnalatelo alle autorità locali.

2018/12/01

Neanche a farlo apposta, proprio il giorno dopo che ho scritto questo articolo è arrivata la notizia sul Corriere del Ticino di una nuova serie di tentate truffe dalle mie parti.

MELANI: usare la stessa password ripetutamente aiuta i criminali

Più chiaro di così non si può: la Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) della Svizzera dice esplicitamente che “Chi utilizza la stessa password più volte agevola i cyber criminali”. Lo fa annunciando la pubblicazione del suo ventisettesimo rapporto semestrale, che racconta i maggiori incidenti informatici avvenuti in Svizzera e all’estero nel primo semestre del 2018.

MELANI sottolinea che molti utenti “hanno la cattiva abitudine di utilizzare la stessa password per accedere a diversi servizi online come webmail, e-banking e negozi online. Ciò semplifica di molto il lavoro dei criminali e consente loro di tentare sistematicamente di accedere ai servizi internet di diversi fornitori con i dati ottenuti da varie fughe di dati. In un caso gli hacker hanno utilizzato quasi un milione di queste credenziali provenienti da differenti fonti per tentare di accedere a un portale online.”

Il rapporto spiega che i siti di e-commerce e altri servizi Internet vengono regolarmente violati per rubare i dati dei clienti [poche ore dopo che ho scritto questo articolo è arrivata la notizia del furto dei dati di circa 500 milioni di clienti della catena alberghiera Marriott]. Se il furto include le password, i criminali tentano di usare la stessa coppia nome utente/password anche su altri siti, e siccome gli utenti tendono a usare la stessa password ovunque, di solito i malviventi hanno successo.

Se volete sapere se il vostro indirizzo di mail è stato oggetto di furto di credenziali, potete digitarlo nell’apposito strumento di controllo offerto da MELANI presso www.checktool.ch, che vi avviserà se il vostro indirizzo è presente nei vari database di dati rubati di cui la Centrale è a conoscenza.

La raccomandazione di questi esperti è di usare password sufficientemente lunghe, in modo che siano difficili da indovinare, e di adoperare password differenti per ciascun sito di e-commerce e/o servizio, attivando se possibile l’autenticazione a due fattori.

Riconoscimento facciale in Cina e controllo sociale

La recente trasmissione della RSI Dataland ha raccontato il sistema di controllo sociale automatizzato adottato in alcune città della Cina, dove telecamere dotate di riconoscimento facciale identificano chi attraversa le strisce pedonali quando ha il semaforo rosso. Il volto e il nome della persona vengono mostrati istantaneamente su un megaschermo.

A Shenzhen, per esempio, chi viene colto a commettere ripetutamente questo comportamento vietato viene punito perdendo punti nel proprio “credito sociale”: perde l’accesso a prestiti, non può prendere un aereo o un treno ad alta velocità, e altro ancora. No, non è una puntata di Black Mirror: questa è la realtà resa possibile dai costi bassissimi dei sistemi di sorveglianza di massa.

Gli amanti dell’ordine sociale potrebbero dire “Beh, ma dove sta il problema? Basta rispettare la legge.” Ma cosa succede quando questi sistemi automatizzazi sbagliano e riconoscono una persona che non c‘entra nulla?

È successo proprio questo, secondo quanto riporta il South China Morning Post: nella città portuale di Ningbo, il sistema ha colto in fallo la signora Dong Mingzhu, perché ne ha riconosciuto il volto, e l‘ha denunciata pubblicamente facendo comparire il suo volto e il suo nome sul megaschermo della vergogna.

Ma Dong Mingzhu non aveva affatto attraversato le strisce col rosso: il suo volto era presente nella pubblicità sulla fiancata di un autobus che transitava sul passaggio pedonale. La signora, infatti, è una notissima imprenditrice che dirige una grande azienda di impianti per l’aria condizionata.

La polizia locale si è prontamente scusata e ha detto che il sistema è stato completamente aggiornato. La signora Dong ha orwellianamente ringraziato la polizia per il proprio lavoro e invitato la popolazione a rispettare le regole del traffico. Ma viene da chiedersi cosa sarebbe successo se la persona erroneamente riconosciuta non fosse stata una celebrità capace di far sentire la propria voce.

Fonte: Naked Security.

Se chattate con un servizio clienti online, attenti a quello che scrivete prima di premere Invio: lo potrebbero leggere

Molti siti di commercio elettronico offrono oggi un servizio di chat in tempo reale con il servizio clienti. Normalmente ci si aspetterebbe che quello che si scrive venga trasmesso all’interlocutore soltanto dopo aver premuto Invio. In fin dei conti, il tasto si chiama Invio, no?

Non sempre: Tom Scocca di Hmm Daily segnala di aver notato che alcuni degli operatori di queste chat di assistenza rispondevano in modo incredibilmente fulmineo. In un caso, una domanda piuttosto tecnica ha ricevuto una risposta dettagliata, completa di link al prodotto in oggetto, un secondo dopo che la domanda era stata inviata.

Incuriosito, Scocca ha scoperto con una semplice ricerca in Google che esistono società che offrono servizi di chat che permettono agli operatori di leggere in anteprima quello che stanno scrivendo i clienti:

“Prima che il cliente clicchi su ‘Invia Messaggio’, potete vedere in tempo reale quello che sta digitando il cliente. Questo vi dà più tempo per preparare una risposta o una soluzione al problema del cliente. I clienti apprezzeranno le vostre risposte rapide e precise.”

Gizmodo ha confermato questo fenomeno chiedendolo direttamente a uno degli operatori di un sito di e-commerce. Altre società che offrono questo tipo di anteprima dicono di lavorare per McDonalds, Ikea e PayPal.

Le intenzioni sono buone, insomma, ma il fatto di non dichiarare che le digitazioni vengono trasmesse immediatamente finisce per sembrare piuttosto inquietante, e la presenza del pulsante Invio è sostanzialmente un inganno. Fate insomma attenzione a quello che scrivete nelle chat commerciali.

Installare cuffie Sennheiser rende(va) vulnerabili i PC

Ultimo aggiornamento: 2018/12/05 9:50.

Quando pensi di averle viste tutte in informatica, arriva sempre qualche notizia ancora più bizzarra. Installare un software di gestione per cuffie rendeva permanentemente vulnerabili i computer Windows.

L’azienda di sicurezza informatica Secorvo ha scoperto che Headsetup e Headsetup Pro, i programmi che installano i driver per le cuffie Sennheiser Office e Call center, installavano anche due certificati digitali di root malamente configurati (tanto per dirne una, la chiave privata e la passphrase per usarla erano scritte in chiaro in due file, e la passphrase era SennheiserCC).

Questo consentiva a qualunque criminale informatico di generare certificati digitali con i quali creare siti-trappola che si spacciavano perfettamente per Google, Apple, Microsoft o una banca, rendendo facili gli attacchi informatici sui computer nei quali era stato installato il software Sennheiser.

Cosa peggiore, i computer restavano vulnerabili anche dopo che era stato disinstallato il software, perché la disinstallazione non rimuoveva i certificati digitali difettosi.

Sennheiser ha pubblicato un aggiornamento correttivo e Microsoft ha diffuso un aggiornamento che disabilita i certificati digitali erronei. Chi usa le cuffie di questa marca dovrebbe quindi aggiornare il software; chi ha installato il software in passato dovrebbe eliminare il certificato digitale fallato seguendo queste istruzioni per Mac e queste per PC Windows.

2018/12/05 9:50

Ho ricevuto dall’ufficio stampa italiano di Sennheiser la precisazione che si trattava di un problema riguardante esclusivamente le cuffie Sennheiser usate per applicazioni office e call center. Riporto qui sotto integralmente la nota dell’ufficio stampa:

Per consentire alle cuffie Office e Call-Center e agli Speakerphones Sennheiser di lavorare senza problemi con PC e Mac, l’app HeadSetup stabilisce un websocket crittografato con un browser, come riporta ArsTechnica. Lo fa con l’installazione di un certificato TLS autofirmato in una posizione che i sistemi operativi riservano per la memorizzazione di certificati browser attendibili. Su Windows, questa posizione è chiamata Root CA certificate store, su Mac invece, è nota come Trust Store.

La vulnerabilità del software Sennheiser HeadSetup era derivata da un certificato autofirmato installato dalla versione 7.3 della stessa applicazione, che teneva la chiave privata di crittografia in un formato facilmente estraibile. Peraltro, poiché la chiave generata era identica per tutte le installazioni del software, sarebbe stata sufficiente una singola estrazione per generare certificati TLS falsi in grado di impersonare qualsiasi sito web HTTPS su Internet. Anche se i certificati autofirmati erano palesemente falsi, sarebbero stati accettati come autentici su tutti quei computer che avevano memorizzato il certificato creato dalla companion app di Sennheiser.

Una problematica che l’azienda tedesca ha risolto immediatamente rendendo disponibile la release di aggiornamento che, al tempo stesso, elimina il certificato vulnerabile; in ogni caso l’opzione più sicura rimane quella di eliminarlo manualmente.

Come ulteriore misura di rimedio, Sennheiser ha contattato Microsoft per ottenere l'invalidazione globale dei certificati interessati tramite un aggiornamento software mondiale, rilasciato il 27 novembre per gli utenti Windows. L'aggiornamento del sistema Windows elimina il rischio, anche per coloro che hanno scelto di eliminare il vecchio software HeadSetup attraverso un processo di disinstallazione.

Fonti aggiuntive: BoingBoing, Bleeping Computer, Ars Technica.

Cerca nel blog

2018/12/05

2018/12/07 00:30

2018/12/01

2018/12/02 12:40

2018/11/30

2018/12/01

2018/12/05 9:50