Ultimo aggiornamento: 2021/04/13 14:20.

Il 12 aprile 1961 il sovietico Yuri Gagarin si fece caricare in cima a un missile militare intercontinentale modificato, all’interno di una capsula spaziale, la Vostok, realizzata con mille compromessi (perché doveva fungere anche da satellite spia nella variante Zenit-2 senza equipaggio), e fece quello che molti all’epoca ritenevano impossibile: sopravvivere a un volo nello spazio.

Nei 108 minuti della sua singola orbita intorno al globo, il giovanissimo pilota (27 anni) scrisse una pagina di storia non solo dell’esplorazione spaziale ma anche della politica. L’“arretrato”, chiusissimo regime sovietico aveva battuto tutti ed era diventato il primo paese a far volare un essere umano oltre l’atmosfera.

Oggi sappiamo tanti dettagli della storia di Gagarin, ma all’epoca l’impresa fu avvolta in una coltre di segretezza quasi surreale: non si sapeva nulla del suo veicolo spaziale e del suo razzo vettore, non si sapeva neanche dove fosse di preciso la sua base di partenza, non si sapeva il nome del progettista che aveva creato il razzo e la capsula o dove fosse la fabbrica che lo realizzava. L’uomo nella fotografia qui sopra, quello in piedi dietro Gagarin, fu letteralmente cancellato dalle foto ufficiali (era Grigory Nelyubov). Questa è la versione della stessa foto diffusa nel 1961 e pubblicata dal Corriere della Sera il 15 aprile dello stesso anno: notate la cancellazione di moltissimi dettagli, compreso il volto di Nelyubov, e il ritocco pesantissimo del volto di Gagarin.

Il governo sovietico, ossessionato dal timore che paesi rivali potessero carpire le sue tecnologie o capire che in realtà le sue competenze spaziali erano molto più primitive di quello che la propaganda dava a intendere, nascondeva tutto.

Le copertine della Domenica del Corriere e di Stampa sera di quel periodo mostrano chiaramente la differenza fra le fantasie dei cronisti e la grezza, rudimentale realtà.

Ne abbiamo parlato stamattina (12 aprile) alla Rete Uno della Radio Svizzera, insieme a Loris Fedele, storico cronista spaziale della RSI, e Nicola Colotti. Abbiamo ospitato un’intervista con Samantha Cristoforetti e siamo riusciti a contattare Andrei Korolev, nipote del Progettista Capo Sergei Korolev, il cui nome era segreto di stato, per un racconto della sua esperienza come erede e custode della figura storica del nonno.

Lo streaming (anche video) del programma è qui e anche qui sotto:

Per quel che riguarda i segreti del volo di Gagarin, ce ne sono due in particolare che tuttora sono misconosciuti.

Il primo è che la sua missione fu monitorata dall’NSA statunitense, che confermò la presenza a bordo di un essere umano intercettando i segnali radio e TV della capsula, come ho raccontato qui cinque anni fa. Il governo americano sapeva di Gagarin ancora prima che Radio Mosca ne desse l’annuncio ufficiale.

Il secondo segreto è che per anni fu tenuto nascosto il fatto che la capsula di Gagarin non era in grado di atterrare: il cosmonauta doveva lanciarsi con il paracadute prima di schiantarsi al suolo. Questo ingannò l’opinione pubblica mondiale sulla reale capacità spaziale dei sovietici, che erano molto più indietro di quel che si pensasse. Il segreto rimase tale per molti anni in Occidente; alcuni storici sostengono che fu ammesso formalmente dal governo sovietico solo dieci anni dopo, nel 1971, anche se La Stampa del 15 aprile 1961 scriveva che “I testimoni raccontano che Yuri è disceso col paracadute (fino a ieri si diceva che la stessa cabina spaziale lo avesse ricondotto a terra)” e il Corriere della sera dello stesso giorno ribadiva il concetto, come segnalato nei commenti). Ho anche trovato un libro per ragazzi distribuito in Russia nel 1965 che mostra inequivocabilmente Gagarin che atterra separatamente.

Insomma, i ragazzini russi sapevano, beffando gli storici occidentali. Ma tanto nessuno di quei ragazzini poteva parlare con l’Occidente: il paese che aveva aperto la frontiera dello spazio teneva severamente chiusa la propria.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

The Intercept ha segnalato il fatto che Zoom offre ai suoi clienti un’opzione che inietta un watermark o audio signature (marcatore di tracciamento) nell’audio delle sessioni, perlomeno in quello delle sessioni degli account professionali. Se vedete quest’icona circolare accanto allo scudo verde in una sessione di Zoom, vuol dire che la sessione è dotata di questi watermark, che includono in modo inudibile i vostri dati personali.

Questa funzione, annunciata qui a settembre 2019 e documentata qui (screenshot qui sotto), consente a Zoom (l’azienda) di identificare chi ha registrato e diffuso una sessione (“The Audio Watermark, or Audio Signature, feature embeds a user's personal information into the audio as an inaudible watermark if they record during a meeting”).

L’esistenza di questo watermark ultrasonico è molto importante da conoscere per chiunque faccia investigazioni su fughe di notizie e anche per chi volesse fare da whistleblower e far pervenire alle autorità o ai giornalisti delle informazioni sensibili senza rivelarne la fonte. 

La stessa cautela sarà necessaria anche da parte dei giornalisti che dovessero pubblicare spezzoni di audio di sessioni Zoom ricevute da fonti confidenziali (in sintesi, è meglio non pubblicarle ma descriverle).

The Intercept precisa che non è chiaro se Zoom inietti questo watermark direttamente nel flusso audio che viene ricevuto dal singolo partecipante o se l’iniezione avvenga soltanto se si usa la funzione integrata di registrazione. Zoom dice che per identificare il partecipante che ha registrato la sessione servono almeno due minuti di audio. 

Esiste anche il watermark video esplicito e ben visibile in Zoom, come nota anche Lifehacker: è un’opzione, documentata qui da Zoom, che sovrappone una grossa scritta semitrasparente su qualunque contenuto condiviso. La scritta è costituita da una porzione dell’indirizzo di mail dell’utente che sta guardando il contenuto. Qui sotto vedete un esempio di un watermark riguardante un utente che ha come indirizzo di mail admin@qualchecosa[punto]com.

Mi viene però il dubbio che nelle sessioni Zoom possa essere anche un altro tipo di watermark video, uno non dichiarato, per cui chiedo il vostro aiuto. 

Questa è uno screenshot di una porzione di una schermata completamente bianca (creata con PowerPoint e la definizione di uno sfondo semplicemente bianco), acquisito durante una sessione Zoom: notate le tenui righe verticali e le colonne di pallini?

Ho provato a esagerare i livelli RGB per rendere più visibili questi strani segni:

Questo fenomeno si nota anche in questo video tutorial di Zoom, prodotto dall’azienda stessa, quando lo sfondo è bianco:

Forse è solo un artefatto di compressione e io sono eccessivamente paranoico, visto che mi pare improbabile che io sia il primo a notare questo fenomeno, ma mi piacerebbe saperne di più. Se avete idee, segnalatele nei commenti.

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre del Radiotelevisione Svizzera, condotto da me insieme a Tiki. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• C’è un’app “nascosta” in iOS 14
• Come liberare spazio sulla rete informatica universitaria: basta cancellare tutti i dati e gli account
• Le parole di Internet: extortionware
• Miniguida per usare Instagram e vivere felici
• MacOS parla e dice qualunque cosa, basta dare il comando giusto

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify. 

Correzione: nel podcast ho detto che Wellington è in Australia, ma in realtà è ovviamente in Nuova Zelanda. Nell’articolo corrispondente l’ho scritto giusto.

Buon ascolto!

Gli account italiani colpiti sono circa 36 milioni; quelli svizzeri sono circa 1,6 milioni. Un elenco della quantità di account colpiti in ciascun paese è per esempio qui.

Il pericolo principale, al momento, è che i numeri di telefono che gli utenti hanno affidato a Facebook possano essere usati per molestie e per tentativi di furto d’identità. Chi è vittima di partner o ex partner violenti e molestatori è particolarmente a rischio.

In generale, chi ha affidato al social network un numero di telefono confidenziale deve presumere che quel numero non sia più confidenziale e che chiunque possa associarlo al suo nome. Sono già stati trovati i numeri di telefono personali di politici e celebrità, compresi Donald Trump, ex presidente degli Stati Uniti, e Mark Zuckerberg, boss di Facebook.

Al momento c’è un solo sito affidabile che permette di sapere se il proprio numero è fra quelli resi pubblici: Haveibeenpwned.com. Potete provare a immettere il vostro numero di telefono, con prefisso internazionale ma senza 00 iniziale (il “+” non è necessario e viene ignorato), oppure l’indirizzo di mail che avete associato al vostro account Facebook. Diffidate di qualunque altro sito che proponga servizi analoghi. 

Un sito italiano, Haveibeenfacebooked.com, che offriva in buona fede questo controllo, ha deciso di sospenderlo a seguito di un comunicato stampa del Garante per la privacy italiano.

Consiglio a tutti di seguire le raccomandazioni di sicurezza pubblicate da Il Post e soprattutto di non usare il numero di telefono come metodo di conferma di accesso (autenticazione a due fattori) e usare invece un’app apposita. E se appena potete, smettete di usare Facebook, o perlomeno dategli dati inventati.

---

Sul versante tecnico, il dump di dati di Facebook è stato offerto inizialmente su un noto sito di hacking a giugno 2020, come spiega BleepingComputer.com. I dati risalgono a prima di settembre 2019.

Facebook ha commentato la disseminazione dei dati dicendo che sono il risultato di un’operazione di scraping, non di una violazione dei suoi sistemi, e che oggi questo scraping non sarebbe più possibile e comunque era vietato dalle regole di Facebook (questa precisazione ha causato l’ilarità di molti esperti, visto che pensare che i criminali rispettino le regole è perlomeno ingenuo).

In ogni caso, è troppo tardi per oltre 500 milioni di utenti, che vedono ancora una volta dimostrato il fatto che non si possono affidare dati personali ai social network.

Mikko Hypponen di F-Secure ha ipotizzato che lo scraping sia stato effettuato creando una rubrica contenente tutti i numeri di telefono del mondo e poi chiedendo a Facebook di trovare gli “amici” presenti nella rubrica. Un thread Twitter di Ashkan Soltani riassume molti dettagli tecnici della vicenda, cita molti esempi di persone in posizioni di responsabilità di cui sono stati resi pubblici i numeri di telefono e sembra confermare la possibilità di una enumeration massiva usata per fare scraping. Precisa inoltre che il dump include anche numeri di telefono che erano stati impostati come “privati” e non visibili a nessuno in Facebook.

Ultimo aggiornamento: 2022/01/12 22:30.

Avete mai provato a far dire cose strane o addirittura parolacce agli assistenti vocali? Se l’avete fatto, o se avete seguito i miei podcast recenti, avrete notato che si rifiutano. 

Ma se una delle vostre aspirazioni fondamentali nella vita è riuscire a convincere la compassatissima voce di un computer a dire cosacce o ridicolaggini, o più seriamente vi serve una voce neutra che legga un testo o un annuncio, ho una soluzione facile per voi.

È sufficiente avere un Mac e aprire una finestra di Terminale (Applicazioni - Utility - Terminale). Qui si digita say seguito dalla frase che volete far declamare alla voce computerizzata. Tutto qui.

L’accento della voce è quello della lingua scelta per l’interfaccia di MacOS, per cui preparatevi a letture bislacche se usate testi in lingue differenti. Potete però andare nelle Preferenze di Sistema, nella sezione Accessibilità, e scegliere altre voci, oppure scrivere il nome della voce che vi interessa dopo il comando say. 

Per sapere quali voci sono disponibili potete digitare say -v '?' (compreso il punto interrogativo fra apici). Questo è il risultato sul mio Mac:

In italiano, per esempio, potete scegliere Alice o Luca. In inglese ci sono vari accenti: Alex, Fred, Samantha e Victoria (US), Daniel (GB), Fiona (Scozia), Karen (Australia), Moira (Irlanda), Rishi e Veena (India), Tessa (Sud Africa), con vari livelli di qualità. Per esempio:

say -v Samantha Space, the final frontier. These are the voyages of the Starship Enterprise...

Il comando say ha moltissime altre opzioni, compresa quella di salvare su file: per richiamarle tutte basta digitare man say. 

Per esempio, per chiedere al Mac di leggere un file di testo si dà il comando

say -v [nome della voce] -f [nome del file] 

Se si vuole salvare su file la lettura, il comando è 

say -v [nome della voce] -f [nome del file] -o [nome del file audio AIFF da generare]

Buon divertimento.

Occhio al furto di account. Gli account Instagram fanno gola ai criminali e ai molestatori, che s’inventano mille modi per rubarli e saccheggiarne i contenuti o semplicemente toglierli ai legittimi utenti. Questo è un reato che vedo avvenire sempre più spesso, soprattutto a danno degli utenti più giovani. La trappola è solitamente un messaggio che chiede alla vittima di cliccare su un link che la porta a una pagina web che finge di essere quella di richiesta password di Instagram ma è in realtà gestita dai truffatori. Un altro trucco frequente è la finta segnalazione di violazione di copyright, come quelle mostrate qui sotto.

Truffe sentimentali. Un classico: il finto corteggiatore (o corteggiatrice) costruisce un rapporto di lunga durata con la vittima, adulandola anche per mesi, e ne conquista la fiducia per poi chiederle denaro con la scusa di doversi tirare fuori da un guaio. Non è vero nulla, ma la vittima ci crede e manda i soldi, che non rivedrà più.

Offerte allettanti. I truffatori fingono di offrire un prodotto esclusivo a prezzo stracciato a pochi fortunati, ma per riceverlo bisogna pagare delle “spese di spedizione”. Il prodotto non arriva e i soldi pagati non tornano.

Investimenti sicuri. I criminali si mostrano come persone di grande successo materiale e dicono di aver fatto fortuna con un “sistema” che sono disposti a rivelare a chi manda loro un piccolo anticipo. Chi abbocca riceve spesso dei finti “estratti conto” che fanno sembrare che il “sistema” stia rendendo bene. Così la vittima manda altri soldi da “investire” e magari coinvolge anche parenti e amici. Un bel giorno il truffatore svanisce e con lui spariscono anche tutti i soldi.

Naked Security ha quattro consigli di base per vivere serenamente su Instagram:

1. Password robuste e differenti. Non usate su Instagram una password che usate altrove. Se temete di aver dato la vostra password a un sito ingannevole, cambiatela subito, prima che lo facciano i criminali. Valutate la possibilità di usare un password manager.
2. Condivisione limitata. Anche se oggi è considerato normale condividere pubblicamente su Instagram gran parte della propria vita, non è obbligatorio raccontare tutto a tutti. Chiedetevi chi o cosa c’è anche sullo sfondo delle foto prima di pubblicarle.
3. Siate vigili. Se un account o un messaggio vi insospettisce, non interagite, non rispondete e non cliccate sui link che vi manda. Se una cosa sembra troppo bella per essere vera, presumete che non sia vera.
4. Rendete privato il vostro account. Se non avete ambizioni di diventare influencer e invece usate Instagram per restare i contatto con gli amici, impostate il vostro account in modo che sia privato. Solo chi vi segue potrà vedere le vostre foto. Controllate periodicamente l’elenco di questi follower e bloccate chiunque non riconoscete e chiunque non volete più fra coloro che hanno accesso ai fatti vostri. Per rendere privato un account è sufficiente andare nelle Impostazioni e poi scegliere Privacy e attivare il selettore Account privato.
   

Fonte: Alpine Security.

Ormai conosciamo fin troppo bene il ransomware, ossia la tecnica di attacco informatico che consiste nel penetrare nei sistemi informatici della vittima, cifrarne i dati e poi chiedere un riscatto per dare alla vittima la chiave di decrittazione.

Questa tecnica purtroppo funziona molto bene per i criminali, ma richiede comunque un certo sforzo da parte loro: il malware che usano per cifrare i dati della vittima deve non solo funzionare nel senso di bloccarli con una password impossibile da indovinare, ma deve anche garantire che una volta pagato il riscatto la vittima riesca a decrittare tutto correttamente. Se si spargesse la voce che è inutile pagare il riscatto perché tanto i dati non sono recuperabili, alle vittime passerebbe in fretta la tentazione di cedere al ricatto e mandare soldi ai ricattatori.

Questo vuol dire che il criminale deve spesso impegnarsi a fornire assistenza tecnica alla vittima, e farlo in maniera efficace. Può sembrare surreale, ma ho assistito a casi di questo genere nei quali il ricattatore è stato un helpdesk più servizievole e competente di tanti servizi commerciali legali.

Ma i criminali sono sempre alla ricerca di modi per ottimizzare le proprie attività, e quindi dopo il ransomware è arrivato l’extortionware: un attacco nel quale il malvivente non ha bisogno di fornire assistenza tecnica, perché non ha crittato i dati della vittima, ma li ha semplicemente copiati e chiede soldi per non pubblicarli e non causare danni alla reputazione personale o aziendale.

La BBC descrive, per esempio, il caso di un responsabile informatico di un’azienda statunitense che è stato ricattato dai criminali che hanno scoperto la sua collezione segreta di pornografia digitale e hanno pubblicato online schermate con tutti i dettagli; un altro caso riguarda un’altra azienda statunitense che viene ricattata pubblicando il nome utente e la password usate da un suo dipendente per frequentare un sito pornografico. 

Non sempre, però, il ricatto riguarda la minaccia di divulgare abitudini private sensibili. La BBC cita anche un tentativo di estorsione che riguarda delle mail trafugate che dimostrerebbero frodi assicurative in un’azienda canadese e il caso di una catena di cliniche di chirurgia estetica ricattata con la minaccia di pubblicare le foto “prima e dopo” dei clienti.

Il problema di questa tecnica di attacco è che rende abbastanza inutili le difese sviluppate finora contro il ransomware. Con l’extortionware non c’è nulla da ripristinare: i dati imbarazzanti hanno ormai preso il volo e non c‘è modo di toglierli dalle mani di chi li ha trovati.

L’unica difesa possibile è preventiva e comportamentale: i dipendenti (e, diciamolo, soprattutto i dirigenti) non devono tenere sui server aziendali (o sui computer portatili aziendali che vengono affidati a loro) dati personali che potrebbero causare un danno di reputazione se trafugati, e i dati effettivamente necessari per lavoro devono essere custoditi in maniera sicura e il più possibile isolata da accessi via Internet che ne consentano l’esportazione in massa.

È difficile quantificare il costo globale del ransomware (in generale, incluso l’extortionware), visto che spesso le vittime non dichiarano di essere state colpite, ma secondo Emsisoft (citata da BBC) il totale per il 2020, compresi i pagamenti e i costi di ripristino e di inattività ammonterebbero a circa 170 miliardi di dollari.

Un paio di settimane fa i tecnici informatici della Victoria University di Wellington, in Nuova Zelanda, hanno avviato una procedura di manutenzione che aveva lo scopo di liberare spazio sulla rete informatica universitaria.

Il loro intento era eliminare i profili degli ex studenti che non erano più iscritti, ma le cose sono andate un po’ diversamente dal previsto, e la storia ha fatto il giro del mondo. 

Infatti, come riferiscono Ars Technica e una delle riviste degli studenti, The Critic, l’eliminazione ha avuto una portata leggermente superiore alle intenzioni: sono scomparsi anche i file dai desktop degli studenti attivi e i loro computer sono stati azzerati.

L’ipotesi formulata da Ars Technica è che si sia trattato di un errore di policy in Active Directory.

Disastri come questo sono sempre un promemoria importante della necessità di fare backup personali dei dati essenziali, anche se quei dati risiedono su una rete informatica che in teoria dovrebbe farne copie di sicurezza automaticamente.

In una situazione aziendale, tuttavia, le cose si complicano per via della necessità dell’azienda di tutelarsi (e tutelare i propri clienti) contro le fughe di dati. Sarebbe spiacevole che i dipendenti si portassero a casa la contabilità dell’intera società o i piani e progetti riservati, per poi dimenticarseli in giro o farseli rubare. Per non parlare dei dipendenti che attraversano la frontiera Svizzera-Italia con i dati bancari confidenziali dei clienti, ma questa è un’altra storia.

Morale della storia: se i dati sono strettamente vostri (una tesi, per esempio), non affidatevi ciecamente al reparto informatico pensando che tanto provvederanno loro di farne una copia. Fatela voi, fatene più di una, verificate periodicamente che siano leggibili e custodite il tutto con cura. Se invece i dati sono dell’azienda, parlate con il reparto informatico e verificate che ne venga fatto periodicamente un backup custodito in modo sicuro. In particolare, chiedete cosa succede ai dati salvati localmente.

L’elenco delle app di iOS 14, infatti, non mostra tutte le app come ci si potrebbe aspettare. Ce n’è una, uno scanner di codici QR, che non compare. 

Per trovarla bisogna fare swipe down (far scorrere un dito sullo schermo dall’alto verso il basso), in modo da far comparire il menu di ricerca, e poi bisogna digitare Scansione codici, oppure richiamare il menu Centro di controllo (facendo scorrere dall’alto in basso un dito sul bordo destro dello schermo).

Questo fa comparire l’app, che è quella integrata in Fotocamera ma è anche disponibile separatamente, con una differenza utile: Scansione Codici apre i link con un browser tutto suo invece di usare Safari, per cui tiene separate le scansioni dal resto della navigazione e non le riapre la volta successiva che si usa il browser.

Ultimo aggiornamento: 2021/04/11 10:25.

Ho deciso di installare una dashcam fronte/retro a bordo di TESS, che essendo una “vecchia” Tesla non integra direttamente questa funzione. Un giorno, magari alla prossima Cena dei Disinformatici, vi racconterò il motivo di questa decisione.

Quella che mi serve è una dashcam che registri automaticamente in HD tutto quello che avviene davanti e dietro il veicolo mentre è in marcia. Per “automaticamente” intendo che quando avvio l’auto si accende da sola e fa partire la registrazione video continua su entrambe le telecamere, in loop (sovrascrivendo la registrazione più vecchia quando esaurisce lo spazio in memoria).

Sono gradite ma non indispensabili funzioni come l’etichettatura automatica degli eventi (decelerazioni rapide, sbandate, eccetera), la localizzazione GPS e la registrazione della velocità (rilevata tramite GPS) con indicazione fissa sullo schermo (sovrimpressione). La connessione Wi-Fi al telefonino non è indispensabile: mi va benissimo poter estrarre fisicamente la schedina di memoria e leggerla con un computer.

Finora la candidata più promettente che ha tutte queste funzioni è la Blackvue DR750S-2CH (link su Amazon, stando al manuale (link alternativo), anche perché fra i tanti video che spiegano l’installazione su varie auto ce n’è uno dettagliatissimo in animazione digitale che sembra fatto appositamente per TESS (e anche questo non è male):

Però è piuttosto cara: 465 CHF, ossia circa 420 euro. Avete idee migliori e/o più a buon mercato?

2021/04/11 10:25. Grazie per i suggerimenti dati nei commenti! Aggiungo qui i link alle informazioni delle autorità svizzere sull’uso legale delle dashcam: pubblicazione di fotografie in generale e videosorveglianza nei veicoli.