Il Disinformatico

2022/07/22

Podcast RSI - Cosa c’è nella telemetria di Tesla; BMW e gli scaldasedili in abbonamento; GPS di flotta insicuri

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

2022/07/21

Dispositivi di tracciamento colabrodo mettono a rischio le flotte di trasporto su strada

Questo articolo è disponibile anche in versione podcast audio.

La gestione elettronica dei veicoli è una gran bella cosa, con tanti vantaggi, ma va fatta bene: se è fatta male, può avere conseguenze catastrofiche e inattese.

Un esempio in questo senso arriva nientemeno che dalla Cybersecurity and Infrastructure Security Agency del governo statunitense, che si occupa di sicurezza informatica delle infrastrutture ai più alti livelli.

Il CISA ha pubblicato un avviso a proposito della pericolosità di un dispositivo di tracciamento GPS dotato di ricetrasmettitore cellulare, molto usato dalle flotte di veicoli commerciali. Si chiama MV720 e lo fabbrica la MiCODUS. Questo dispositivo ha una serie di difetti informatici che possono permettere a un aggressore addirittura di prendere il controllo del veicolo, per esempio disattivandone l’antifurto e anche interrompendo l’erogazione di carburante oltre a tracciarne la posizione e i percorsi.

Fra questi difetti spicca un classico: una cosiddetta hardcoded password, ossia una password di amministrazione fissa e non modificabile, una sorta di passepartout, che permetterebbe a un aggressore di accedere al server di controllo e mandare comandi ai dispositivi di tracciamento tramite SMS.

Come se non bastasse, un altro difetto consente a un malintenzionato di mandare comandi, tramite SMS, senza aver bisogno di autenticarsi. E poi c’è un’altra falla, che permette di accedere ai dati degli altri utenti perché il server non verifica l’identificativo del dispositivo che viene inviato dall’utente. Il problema, quindi, rischia di riguardare tutti i dispositivi di tracciamento di questa marca.

Un vero disastro di incompetenza, insomma, che apre la porta ad attacchi di vario genere: a parte quelli strategici o politici e ideologici, ci sono quelli del crimine informatico organizzato. Con falle di questo livello, un’organizzazione criminale potrebbe per esempio ricattare un’azienda di trasporti, minacciando di fermare tutta la sua flotta di veicoli se non viene pagato un riscatto, oppure potrebbe acquisire i dati delle spedizioni e compiere furti mirati.

La scoperta di queste vulnerabilità è stata fatta dai ricercatori della società di sicurezza informatica statunitense Bitsight ed è stata descritta in un rapporto pubblico molto dettagliato dopo aver tentato inutilmente di avvisare la casa produttrice del dispositivo, la cinese MiCODUS, e dopo aver comunicato privatamente il problema alle autorità governative statunitensi per la sicurezza informatica.

Circa un milione e mezzo di utenti privati e di aziende che usano questi dispositivi in quasi 170 paesi, comprese forze militari, agenzie governative e corrieri, a questo punto hanno una sola strada per eliminare il rischio: assicurarsi che questi tracciatori non siano accessibili da Internet e usare accessi remoti sicuri, protetti per esempio da VPN. O, meglio ancora, rimuovere completamente questi dispositivi e sostituirli con alternative meno vulnerabili.

Il problema è ovviamente capire quali lo sono e quali no, ma grazie ai ricercatori almeno adesso sappiamo che questo, perlomeno, è da evitare.

Cosa c’è nei file di telemetria di una Tesla? Molto più di quello che si immagina

Questo articolo è disponibile anche in versione podcast audio.

Man mano che l’elettronica si diffonde nelle automobili aumenta la quantità di dati digitali che questa elettronica raccoglie, e capita sempre più spesso che questi dati vengano anche trasmessi in tempo reale alle case costruttrici. È la cosiddetta telemetria, resa popolare dalle corse automobilistiche, le cui dirette televisive vengono arricchite dalla condivisione con gli spettatori della velocità, dell’accelerazione e di vari altri dati che arrivano via radio dalle singole vetture.

Di recente ho avuto la possibilità di esaminare da vicino quali dati vengono raccolti da uno di questi sistemi di telemetria installati su auto da strada, ed è stata un’esperienza illuminante: il livello di dettaglio è impressionante, e le implicazioni in termini di privacy personale e di analisi degli incidenti meritano decisamente di essere valutate con molta attenzione.

I dati di telemetria che ho esaminato si riferiscono a Tesla, che è una delle marche che maggiormente punta sulla connettività e sul software per le proprie automobili, ma anche altre case produttrici adottano soluzioni analoghe. Sono dati che risiedono in una memoria locale, a bordo del veicolo, e vengono trasmessi sostanzialmente in tempo reale alla casa costruttrice, che li custodisce, conserva e analizza. Ogni proprietario di un’auto di questa marca può richiederli accedendo alla pagina apposita del sito di Tesla con le proprie credenziali e seguendo le apposite istruzioni. Esiste anche un’opzione di richiesta dei dati dell’Event Data Recorder, un registratore di bordo paragonabile alla “scatola nera” usata in aviazione, che è accessibile all’utente tramite cavi appositi e un software gratuito per Windows, fornito dalla casa automobilistica.

Il file che si ottiene è in formato CSV standard e può essere letto da qualsiasi applicazione compatibile, come Excel, Numbers o LibreOffice. È enorme e dettagliatissimo: un solo giorno di telemetria può contenere decine di migliaia di righe e occupare vari megabyte.

Ogni riga include un’indicazione della data e dell’ora precisa di ciascun evento registrato. E gli eventi sono davvero tanti: vengono memorizzati oltre 240 parametri distinti, che permettono di ricostruire la dinamica di un incidente in estremo dettaglio. Istante per istante, la telemetria annota diligentemente dati ovvi, come la velocità, la direzione di marcia o l’azionamento del freno o dell’acceleratore, e dati meno intuitivi, come il rilevamento della presenza delle mani sul volante, l’accelerazione laterale e longitudinale, la velocità di rotazione del veicolo intorno all’asse verticale (in pratica la direzione nella quale sta curvando), la posizione del volante, l’attivazione dell’ABS, le impostazioni delle funzioni di guida assistita e persino le regolazioni dell’aria condizionata, dello sbrinatore e delle luci interne.

Ma ci sono anche dati che riguardano la sfera personale: per esempio, vengono registrate la presenza o assenza di persone sui vari sedili, l’apertura e chiusura delle portiere, la regolazione dei sedili e la chiusura delle cinture di sicurezza. Sorprendentemente, nel campione che ho potuto esaminare mancano le coordinate GPS.

Comunque sia, con una varietà di dati del genere è possibile ricostruire gli eventi con grande precisione, istante per istante, documentando quante persone erano a bordo, a che velocità effettiva stava viaggiando il veicolo in un dato momento, quando e con che forza è stato premuto il pedale del freno, e così via, ma è anche possibile ricostruire i comportamenti privati delle persone, attraverso l’analisi dell’apertura delle portiere o della presenza di persone sui vari sedili.

Non c’è scampo, insomma, per chi dice per esempio che non stava correndo troppo o che era solo in auto quando in realtà superava i limiti di velocità in complice compagnia. Ma allo stesso tempo c’è un supporto prezioso e oggettivo per documentare come sono andate realmente le cose in caso di incidente, come in un caso recente avvenuto in Italia proprio con una Tesla, o per qualunque altra controversia.

Per esempio, la storia delle automobili di quasi tutte le marche è ricca di casi di accelerazione improvvisa e incontrollata dovuti a fattori tecnici in alcuni casi e a fattori umani in altri: avere un registratore di bordo permette di chiarire una volta per tutte le responsabilità delle parti.

Questo è l’elenco completo (refusi compresi) dei parametri in un file di telemetria di Tesla: ho evidenziato alcuni dei più significativi.

VIN
DATE (UTC)
Charge Handle Communication Signal
Charge Cable Connected
Charge Cable Secured
Charge Port Door Button Pressed
Auto Lane Change State
Autosteer Driver Hands On Detection
Autosteer State (Unavailable is recorded when Autosteer is not available, SNA is recorded when system state is not available)
Accelerator Pedal Position (%)
Brake Pedal Application
Cruise Control Set Speed (mph / kph)
Cruise Control State
Gear Selection
Vehicle Speed (kph) (Positive is forward direction)
UI Setting - Steering Sensitivity
Primary Steering Angle Sensor (degrees) (Positive indicates right turn)
Primary Steering Torque Sensor (Nm) (Positive indicates right turn)
ABS Brake Event
Brake Master Cylinder Pressure (bar)
Brake Pedal Manual Application
Passenger Seat Occupant Classification
Accelerator Pedal Position Maximum - Sensor A (%) (max since previous sample)
Frontal Collision Detected
Left-side Collision Detected
Rear Collision Detected
Right-side Collision Detected
Rollover Detected
Deployment Type
Crash Algorithm Wake-Up
Lateral Acceleration (m/s^2)
Longitudinal Acceleration (m/s^2)
Near Deploy Front Collision Detected
Near Deploy Left-side Collision Detected
Near Deploy Rear Collision Detected
Near Deploy Right-side Collision Detected
Near Deploy Rollover Detected
Driver Seat Track Position Status
Passenger Seat Track Position Status
Vehicle Yaw Rate (Positive indicates left turn)
Gear Selector Stalk Status
UI Setting - PIN to Drive
PIN Tto Drive accepted
Requested Charge Current (Amps)
UI Setting - Automatic Emergency Braking
UI Setting - Automatic High Beam
UI Setting - Vehicle Alarm
UI Setting - Automatic High/Low Beams Enabled
UI Setting - Automatic Lane Change
Request Automatic Parking
UI Request - Enable Charging
UI Setting - Door Child Locking
UI Request - close Charge Port Door
UI Setting - Navigate on Autopilot
UI Request - Factory Reset
UI Setting - Forward Collision Warning
UI Setting - Forward Collision Warning Sensitivity
UI Request - Follow Navigate on Autopilot Route
UI Request - Front Trunk Open
UI Setting - Disable Air Conditioning
Air Conditioning - Air Distribution Mode
Air Conditioning - Cabin Blower Setting
Air Conditioning - Cabin Defog Mode
Air Conditioning - Cabin Air Recirculation Mode
Air Conditioning - Rear Cabin Blower Setting
Seating - Left Front Temperature
Seating - Right Front Temperature
Air Conditioning - State
UI Setting - Autosteer
UI Setting - Lane Departure Warning
UI Setting - Headlamps
UI Request - Vehicle Lock/Unlock
UI Setting - Mirror Fold
Navigation Route Active
Navigating to Supercharger
Odometer (Kilometers)
UI Request - Open Charger Port Door
UI Request - Park Brake
UI Setting - Acceleration Mode
Mobile App - Remote Closure Request
Mobile App - Remote Start Request
UI Setting - Headlamps After Exit
Auto Summon Status
UI Setting - Steering Mode
UI Setting - Stopping Mode
Summon State
UI Request - Track Mode
UI Request - Trunk Open/Close
UI Setting - Lane Change Mode
UI Setting - Unlock On Park
Air Conditioning - Left Side, Split/Focus
Air Conditioning - Left Side, Split Percentage
Air Conditioning - Left Side, Vertical Position
Air Conditioning - Left Side, Horizontal Position
Air Conditioning - Right Side, Split/Focus
Air Conditioning - Right Side, Split Percentage
Air Conditioning - Right Side, Vertical Position
Air Conditioning - Right Side, Horizontal Position
UI Setting - Walk Away Door Locking
UI Setting - Winch Mode
UI Request - Wiper Mode
Wiper Speed
Daytime Running Light Status - Left
Daytime Running Light Status - Right
Seat Occupancy Status - Left Side, Front
Front Trunk Access Post Usage
Front Trunk Release - Interior Switch
Front Passenger Present
Cabin Preconditioning Status
Overhead Map Light - Front Left Switch
Overhead Map Light - Front Right Switch
Overhead Map Light - Rear Left Switch
Overhead Map Light - Rear Right Switch
Left Brake Light
Left Rear Window Auto-Down Switch
Left Rear Window Auto-Up Switch
Left Rear Window Down Switch
Left Front Window Auto-Down Switch
Left Rear Window Auto-Down Switch
Right Front Window Auto-Down Switch
Right Rear Window Auto-Down Switch
Left Front Window Auto-Up Switch
Left Rear Window Auto-Up Switch
Right Front Window Auto-Up Switch
Right Rear Window Auto-Up Switch
Left Front Window Down Switch
Left Rear Window Down Switch
Right Front Window Down Switch
Right Rear Window Down Switch
Left Front Window Up Switch
Left Rear Window Up Switch
Right Front Window Up Switch
Right Rear Window Up Switch
Left Rear Window Up Switch
Steering Column Profile Recall
Front Left Seatbelt Buckle Status
Door External Release - Left side, Front
Front Left Seat - Backrest Position
Switch Request - Front Left Seat Backrest Back
Switch Request - Front Left Seat Backrest Forward
Switch Request - Front Left Seat Lift Down
Front Left Seat - Lift Position
Switch Request - Front Left Seat Switch Lift Up
Switch Request - Front Left Seat Switch Lumbar Down
Switch Request - Front Left Seat Switch Lumbar In
Switch Request - Front Left Seat Switch Lumbar Out
Switch Request - Front Left Seat Switch Lumbar Up
Switch Request - Front Left Seat Switch Tilt Down
Front Left Seat - Tilt Position
Switch Request - Front Left Seat Switch Tilt Up
Switch Request - Front Left Seat Track Back
Switch Request - Front Left Seat Track Forward
Front Left Seat - Track Position
Hazard Warning Switch Status
Horn Switch Status
Seat Occupancy Status - Rear, Centre
Rear Air Conditioning Control Switch Status
Door External Release - Left side, Rear
Door Internal Release - Left side, Rear
Seatbelt Buckle Status - Left Side, Rear
Seat Occupancy Status - Left Side, Rear
Seat Occupancy Status - Right Side, Rear
Seat Profile Recall - Left Side, Front
Left Steering Wheel Switch - Pressed
Left Steering Wheel Switch - Scroll
Left Steering Wheel Switch - Tilt Left
Left Steering Wheel Switch - Tilt Right
Right Steering Wheel Switch - Pressed
Right Steering Wheel Switch - Scroll
Right Steering Wheel Switch - Tilt Left
Right Steering Wheel Switch - Tilt Right
Right Brake Light
Right Front Window, Auto-Down Switch
Right Rear Window, Auto-Down Switch
Right Front Window, Auto-Up Switch
Right Rear Window, Auto-Up Switch
Right Front Window, Down Switch
Right Rear Window, Down Switch
Left Front Window, Auto-Down Switch
Left Rear Window, Auto-Down Switch
Right Rear Window, Auto-Down Switch
Left Front Window, Auto-Up Switch
Left Rear Window, Auto-Up Switch
Right Rear Window, Auto-Up Switch
Left Front Window, Down Switch
Left Rear Window, Down Switch
Right Rear Window, Down Switch
Left Front Window, Up Switch
Left Rear Window, Up Switch
Right Rear Window, Up Switch
Right Front Window, Up Switch
Right Rear Window, Up Switch
Seatbelt Buckle Status - Right Side, Front
Door External Release - Right Side, Front
Door Internal Release - Right Side, Front
Front Right Seat - Backrest Position
Switch Request - Front Right Seat Backrest Back
Switch Request - Front Right Seat Backrest Forward
Switch Request - Front Right Seat Lift Down
Front Right Seat - Lift Position
Switch Request - Front Right Seat Switch Lift Up
Switch Request - Front Right Seat Switch Lumbar Down
Switch Request - Front Right Seat Switch Lumbar In
Switch Request - Front Right Seat Switch Lumbar Out
Switch Request - Front Right Seat Switch Lumbar Up
Switch Request - Front Right Seat Switch Tilt Down
Front Right Seat - Tilt Position
Switch Request - Front Right Seat Switch Tilt Up
Switch Request - Front Right Seat Track Back
Switch Request - Front Right Seat Track Forward
Front Right Seat - Track Position
Seatbelt Buckle Status - Centre, Rear
Door External Release - Right Side, Rear
Door Internal Release - Right Side, Rear
Seatbelt Buckle Status - Right, Rear
Seat Profile Recall - Front Right
Bluetooth Device 0 Status
Bluetooth Device 1 Status
Bluetooth Device 2 Status
Bluetooth Device 3 Status
Multiple NFC Cards Detected at Left Pillar
Multiple NFC Cards Detected at Right Pillar
ID of NFC card at Left Reader
ID of NFC card at Right Reader
Multiple NFC Cards Detected at Centre Console
ID of NFC card at Centre Console Reader
Lock/Unlock Authentication from Pillar Reader
Drive Authentication from Centre Console Reader
Identity of the Active Key Device
Vehicle Alarm Status
Vehicle Authentication Status
Charge Port Door Lock Status
Charge Port Door Request
Lock Request Type
Summon Request Status
Trunk Movement Status
Mobile App Request - Left Front Window
Mobile App Request - Left Rear Window
Mobile App Request - Right Front Window
Mobile App Request - Right Rear Window
Mobile App Window Request Type

Paghereste un canone di abbonamento per poter scaldare i sedili della vostra auto? Con BMW si può

Questo articolo è disponibile anche in versione podcast audio.

Chi lavora con l’informatica è abituato da tempo all’idea di comperare un programma e poi pagare degli abbonamenti o dei supplementi per attivarne alcune funzioni extra. Ma da qualche tempo questo modello commerciale si è esteso anche alle automobili.

È di questi giorni la notizia che nel Regno Unito BMW ha iniziato a offrire il riscaldamento dei sedili e del volante in abbonamento. I componenti fisici del sistema di riscaldamento sono installati di serie, ma per attivarli è necessario pagare un canone mensile di 15 sterline (circa 18 euro o franchi svizzeri), più altre 10 sterline (circa 12 euro o franchi) per attivare anche il riscaldamento del volante. In alternativa si può pagare un supplemento, al momento dell’acquisto, di 200 sterline (grosso modo 230 euro o franchi). Anche il cruise control attivo, gli abbaglianti automatici e le sospensioni adattive sono installati ma attivati solo a pagamento.

Può sembrare assurdo che una casa automobilistica installi di serie dei componenti che il cliente non paga se non li attiva: in fin dei conti, questi componenti hanno un costo di fabbricazione e di installazione, per cui metterli su tutti i veicoli e poi sperare che il cliente paghi per attivarli parrebbe a prima vista un autogol commerciale. Ma nella produzione di massa capita spesso che installare i componenti su tutti gli esemplari costi meno che gestire due o più filiere di produzione separate, con tutti i relativi problemi di logistica, burocrazia e controllo qualità.

BMW non è l’unica marca a preinstallare hardware da sbloccare pagando un canone tramite un’app, in una sorta di App Store per automobili che chiama Connected Drive Store. Tesla, per esempio, offre da tempo vari servizi supplementari di aumento delle prestazioni che sono basati su un canone e propone anche un sistema di assistenza di guida i cui computer e sensori sono presenti in ogni esemplare venduto ma si attivano soltanto pagando un supplemento che parte da 3700 franchi (o euro equivalenti) e può superare i 7000; in passato ha offerto anche batterie la cui autonomia era limitata via software e poteva essere sbloccata pagando un supplemento di circa 8000 dollari. E Stellantis ha annunciato a gennaio 2021 che si aspetta di ricavare circa 22 miliardi di dollari l’anno dalla vendita di software e abbonamenti sulle proprie automobili entro il 2030. Anche Volkswagen, General Motors e Ford fanno previsioni analoghe. E già ora GM offre il proprio sistema di assistenza di guida su abbonamento: i primi tre anni sono gratuiti, poi si devono pagare 25 dollari al mese.

L’introduzione di questi servizi in abbonamento non è stata accolta dal pubblico con unanime entusiasmo, per dirla con garbo. L’annuncio dei sedili riscaldati a pagamento sulle BMW ha suscitato parecchie discussioni online da parte di utenti che ritengono che funzioni così basilari dovrebbero essere offerte di serie, e un sondaggio della società di marketing Cox Automotive indica che i tre quarti dei partecipanti dichiara di non essere disposta a pagare canoni mensili per le funzioni della propria auto. Kurt Opsahl, consulente legale della Electronic Frontier Foundation, ha tweetato che “Un riscaldatore di sedili bloccato tramite software è guasto, e il proprietario dell’auto dovrebbe avere il diritto di riparare i propri sedili”.

Le case automobilistiche ribattono facendo notare che questa formula consente al cliente di cambiare idea dopo l’acquisto, di provare funzioni delle quali è incerto, ed è utile per chi compra auto di seconda mano e può quindi attivare funzioni che il proprietario originale non aveva pagato.

With our 'Functions on-demand', customers can opt for additional functions after they purchased a car. Heated seats for example can be ordered with the car (without additional fees afterwards) or added later on depending on model and equipment through the online store.
— BMW (@BMW) July 19, 2022

Nel frattempo gli informatici non sono rimasti con le mani in mano ed è nata una fiorente comunità di hacking che sblocca le funzioni delle auto bloccate tramite software, esattamente come si fa con i programmi per computer limitati artificialmente. In alcuni casi questi sblocchi automobilistici alternativi sono a pagamento, ma la loro legalità è molto controversa: da un lato si invoca il diritto di riparare ciò che si possiede, ma dall’altro si fa notare che certe modifiche che toccano componenti essenziali del veicolo possono invalidarne l’omologazione o, peggio ancora, renderlo pericoloso per il conducente e per gli altri utenti della strada.

C’è anche un altro problema: i servizi di questo tipo, che dipendono da un server di gestione remota, sono revocabili o possono semplicemente smettere di funzionare dopo che sono stati pagati. Non è teoria: è quello che mi è capitato personalmente già nel 2020, quando stavo per acquistare un’auto elettrica della Opel ma ho scoperto che la sua app di gestione, OnStar, avrebbe smesso di funzionare a fine anno, disattivando permanentemente funzioni essenziali come il monitoraggio dello stato di avanzamento della ricarica e la chiamata automatica ai servizi di soccorso in caso di incidente.

In altre parole, le cose che compriamo, comprese le auto, non sono più realmente nostre. Ed è per questo che nascono organizzazioni e iniziative per la difesa di quei diritti digitali che sembrano così astratti e invece si rivelano profondamente concreti.

Fonti: BBC, Mashable, The Register.

2022/07/20

Domani la prima EVA di Samantha Cristoforetti: come seguirla e cosa prevede

Ultimo aggiornamento: 2022/07/22 22:00.

Domani, 21 luglio, il cosmonauta russo Oleg Artemyev e l’astronauta europea Samantha Cristoforetti effettueranno una EVA (attività extraveicolare o “passeggiata spaziale”), uscendo dalla Stazione Spaziale Internazionale per effettuare alcuni lavori all’esterno della sezione russa della Stazione. Per Samantha si tratta della prima EVA della propria carriera, ed è anche la prima EVA di una donna europea.

Entrambi indosseranno tute russe Orlan: quella di Artemyev sarà riconoscibile dalle bande rosse, mentre quella di Cristoforetti sarà contraddistinta da bande blu. Usciranno dal modulo/camera di compensazione (airlock) russo Poisk. Li assisterà, dall’interno della Stazione, il collega russo Sergei Korsakov. Oggi (mercoledì 20 luglio) Cristoforetti e Artemyev hanno trascorso la giornata riepilogando le procedure per l’EVA e verificando i componenti delle tute spaziali, con l’assistenza dei cosmonauti Denis Matveey e Sergei Korsakov, che li aiuteranno anche nelle operazioni di vestizione e svestizione.

I due partecipanti all’EVA effettueranno vari lavori, che includeranno l’installazione di piattaforme e apparati adattatori sul modulo-laboratorio russo Nauka. Lanceranno dieci nanosatelliti concepiti per raccogliere dati radio-elettronici durante l’EVA e piazzeranno un braccio telescopico Strela che collegherà i moduli russi Zarya e Poisk per facilitare le EVA future. Inoltre lavoreranno alla preparazione del braccio robotico europeo ERA, spostando il suo pannello di controllo esterno, lavorando al suo isolamento e installando un adattatore temporaneo. Samantha effettuerà anche delle verifiche di una protezione presente sul finestrino della telecamera del braccio, per controllare che sia sufficientemente trasparente da consentire l’uso di una luce laser per la guida degli spostamenti e delle prese del braccio robotico.

Questa è un’animazione che riepiloga le principali attività che verranno svolte durante l’EVA.

This 3D animation depicts the tasks spacewalkers Oleg Artemyev and Samantha Cristoforetti will perform on Thursday to ready the station's European robotic arm for operations. More... https://t.co/ABK5hna2H4 pic.twitter.com/uG0107LW8J
— International Space Station (@Space_Station) July 21, 2022

Raffaele Di Palma ha riassunto e commentato qui le varie fasi dell‘EVA, includendo anche la lista completa delle attività previste.

Il braccio ERA, realizzato dall’ESA, offre alla Stazione nuovi modi di azionare apparati automatici: è in grado di effettuare molti compiti in modo automatico o semiautomatico e può essere comandato sia dall’interno della Stazione, sia dall’esterno. Può inoltre essere preprogrammato, oltre che comandato direttamente.

Schema del braccio robotico ERA.

Foto del braccio robotico ERA all’esterno del modulo russo Nauka, scattata il 5/5/2022 (Flickr).

Al centro ESTEC dell’ESA, in Olanda, gli esperti seguiranno l’EVA e il lavoro di Samantha dal Controllo Missione.

L’EVA inizierà formalmente alle 16:00 (ora dell’Europa centrale) e potrà durare fino a sette ore, quindi fino alle 23 circa. La diretta streaming inizierà alle 15:30 su ESA Web TV. Io farò un livetweet su Twitter (@disinformatico).

L’Agenzia Spaziale Italiana effettuerà una diretta streaming su Asitv.it/media/live dalle 15:45, con il commento di Gabriele Mascetti, responsabile unità coordinamento scientifico e volo umano dell’ASI. I giornalisti potranno assistere in presenza presso la sede dell’ASI a Roma, nell’Auditorium Luigi Broglio.

La NASA seguirà l’EVA dalle 9:30 EDT (15:30 ora dell’Europa centrale) su Nasa TV, sul suo sito e sulla sua app.

La Stazione Spaziale Internazionale sarà visibile dall’Italia a occhio nudo durante l’EVA dalle 21.40 alle 21.50 e dalle 23:17 alle 23:28 (dati calcolati per il nord Italia e la Svizzera; andando verso sud gli orari slittano lievemente). Se volete, potete calcolare gli orari esatti immettendo le vostre coordinate geografiche in siti come James.darpinian.com (che mostra anche la visuale effettiva, se gli date il vostro indirizzo esatto) e N2yo, dal quale ho tratto il grafico qui sotto per il passaggio delle 21:40 (quando Samantha e Artemyev saranno probabilmente ancora all’esterno).

Grazie alle ricerche dei commentatori di questo blog, segnalo le probabili frequenze radio per ricevere direttamente le comunicazioni di Artemyev e Cristoforetti se avete attrezzature adeguate: 121.125 e 121.74 MHz FM. Trovate maggiori info su Issfanclub.eu.

Qui sotto ho raccolto altri canali streaming che potrebbero mostrare l’EVA: ne aggiungerò altre se ne compariranno.

Live_ISS_Stream (Ibm.com; popout).

ISS HD Earth Viewing Experiment (Ibm.com; popout).

Se la ISS è illuminata dal Sole, questo canale mostra le stesse immagini dell‘ISS HD Earth Viewing Experiment ma con informazioni di localizzazione; se la ISS è in ombra o non è a portata delle stazioni riceventi a terra, mostra immagini preregistrate (YouTube).

NASA Public-Education (fino a 720p, Ibm.com; popout).

NASA TV (fino a 720p, YouTube).

The Launch Pad (YouTube).

Roscosmos, in russo senza traduzione (YouTube).

Fonti: ESA (in inglese), ESA (in italiano), NASA.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

2022/07/18

Prova pratica: recuperare un vecchio computer con ChromeOS Flex

Ultimo aggiornamento: 2022/07/19 9:10.

Pochi giorni fa Google ha rilasciato ufficialmente Chrome OS Flex, una versione di Chrome OS in grado di girare su qualunque processore (Intel o AMD) relativamente recente, simile a quella installata sui Chromebook. Può essere usata per recuperare un vecchio PC o Mac troppo lento per far girare decentemente Windows 10/11 o macOS.

È il genere di cosa che si può fare anche con Linux, ma ogni tentativo è un terno al lotto; Google, invece, elenca specificamente i computer che certifica compatibili. Nelle polverose cantine del Maniero Digitale c’è, guarda caso, proprio uno di quei modelli compatibili, un netbook Acer Aspire E3-111 che ha parecchi anni sulle spalle e sul quale finora ho installato Linux Lubuntu.

La distro Linux funziona egregiamente ed è abbastanza reattiva e usabile, ma ha una magagna molto irritante: per motivi insondabili, il tasto freccia destra e il tasto Del non rispondono. Potrei mettermi a pasticciare con la configurazione della tastiera, ma non ho quel genere di pazienza e sono curioso di provare Chrome OS Flex, per cui vi racconto com’è andata.

Se ci state pensando anche voi, tenete presente che Chrome OS Flex ha alcune limitazioni rispetto a ChromeOS standard e richiede almeno 4 GB di RAM (perlomeno così dicono le specifiche).

Creare la chiavetta di installazione

Le istruzioni dicono di installare (nel mio caso, su un altro computer, un Mac) la Chromebook Recovery Utility: si apre Chrome e si installa l’estensione omonima, la si lancia e poi si seguono le sue istruzioni. Serve una chiavetta USB sacrificabile da almeno 8 GB (si può anche usare una scheda SD), che verrà completamente cancellata.

L’estensione chiede di “identificare il modello di Chromebook”, ma in realtà le istruzioni dicono di scegliere Google Chrome OS Flex come fabbricante e Chrome OS Flex come prodotto. L’estensione scarica e installa il software di installazione. La scrittura della chiavetta richiede circa un quarto d’ora.

Avviare da chiavetta

Spengo il netbook sul quale voglio provare a installare ChromeOS Flex, inserisco la chiavetta e accendo il netbook, premendo subito F2 (come indicato dalle istruzioni che Google gentilmente fornisce per ogni specifico computer) per entrare nelle impostazioni del BIOS e definire la chiavetta USB come primo dispositivo dal quale tentare il boot.

ChromeOS Flex si avvia (molto, molto lentamente). A questo punto si può usare il sistema operativo direttamente dalla chiavetta, senza installare nulla sul disco rigido, oppure installarlo permanentemente sul disco rigido, sovrascrivendo tutto il suo contenuto. Faccio un giro di prova e vedo che riconosce correttamente la tastiera e il Wi-Fi, anche se è di una lentezza esasperante, per cui vado per l’installazione permanente.

Installare permanentemente

Quando scelgo l’opzione di rendere permanente l’installazione, mi viene chiesto se il dispositivo verrà usato da me o da un minore, poi mi viene chiesto un account (do quello che ho su Google); mi arriva la richiesta di verifica sullo smartphone e la accetto. Parte Google Assistant, che mi chiede se voglio permettere all’Assistant di accedere a uno screenshot di quello che ho sullo schermo (“Per ricevere risposte personalizzate alle tue domande, consenti all’assistente di accedere a uno screenshot dei contenuti sul tuo schermo. Ciò potrebbe includere informazioni relative ai brani o ai video in riproduzione”).

Ho capito bene? Google vuole prendere screenshot di quello che ho sullo schermo? Ma neanche morto.

Rifiuto anche l’attivazione dell’assistente quando dico Hey Google. Chiede poi se voglio collegare il mio telefono Android: questo lo accetto.

Parte l’installazione, che si rivela lentissima e priva di qualunque informazione sulla sua conclusione corretta o meno. Dopo un’oretta di attesa di qualche segno di vita, spengo fisicamente il netbook, tolgo la chiavetta e provo a riaccendere. Sorprendentemente, parte ChromeOS Flex, faccio login nel mio account e si attivano tutte le sue app.

Dettaglio interessante: questo esemplare di netbook ha solo 2 GB di RAM, ossia la metà del requisito minimo di ChromeOS Flex, eppure sembra funzionare tutto correttamente.

Verdetto

Risultato: ho rianimato un netbook defunto, che ora si avvia in una cinquantina di secondi ed è pronto per lavorare con tutta la suite online di Google (Chrome, Mail, Calendar, Messages, Meet, Drive e relativi documenti, presentazioni e fogli di calcolo), con le app in-browser anche di terze parti (come WhatsApp Web o Photopea), ma senza app di Google Play o Android e senza applicazioni installabili da altre fonti (a parte le estensioni di Chrome e le applicazioni Linux se riuscite ad attivare l’ambiente di sviluppo Linux, cosa fuori dalla portata dell’utente medio).

Nella foto a inizio articolo vedete Chrome OS Flex impostato in inglese, ma si può selezionare facilmente anche l’italiano, come mostrato qui.

Queste limitazioni potrebbero anche essere considerate un bonus, per esempio perché dovete affidare il computer a una persona che deve solo sfogliare il Web, gestire la mail e le foto e comporre documenti ma potrebbe tentare di installarvi qualunque porcheria le capiti a tiro (o potrebbe essere convinta a farlo da qualche truffatore): su ChromeOS Flex non può installare nessun eseguibile.

Anche la protezione antiphishing dovrebbe essere buona, dato che il browser è Chrome, che riceve in tempo reale le notifiche dei siti di phishing. Inoltre non occorre preoccuparsi di fare aggiornamenti (ChromeOS si aggiorna automaticamente) e non c’è il pericolo di rallentamenti progressivi. Per uso privato, ChromeOS Flex è gratuito.

In casi come questo ChromeOS Flex è una buona soluzione, vista la rarità del malware per questo ambiente operativo e la facilità di ripristino (si va nelle impostazioni, si sceglie Ripristino delle impostazioni e poi Reimposta; al riavvio si fa login e tutto torna come nuovo).

Può anche essere una soluzione interessante a livello aziendale: Google descrive il caso di una catena alberghiera multinazionale paralizzata da ransomware (su Windows) che è ripartita rapidamente grazie a ChromeOS Flex, convertendo 2000 computer in circa 48 ore.

C’è anche la questione ambientale, che di questi tempi è particolarmente sensibile: poter continuare a usare un vecchio computer evita di mandarlo in discarica e anche di comperarne uno nuovo. Si risparmiano soldi e si riduce la spazzatura elettronica.

Se invece l’idea di dipendere completamente da Google e da una connessione a Internet vi fa venire l’orticaria, lasciate perdere; provate con Linux e sperate che il vostro computer sia correttamente supportato e ricordatevi di fare gli aggiornamenti.

Fonti aggiuntive: Ars Technica, HWUpgrade, Android Police, The Register.

2022/07/16

Ultime ore per il 50% di sconto sull’ingresso a Tesla Revolution, raduno di esperti di mobilità elettrica a Bologna

Come preannunciato, sarò ospite e relatore al Tesla Club Italy Revolution, la conferenza nazionale dedicata alla casa automobilistica Tesla e a tutto il mondo della mobilità elettrica, che si terrà a Bologna al FICO Eataly.

Fino a domani sera l’ingresso è scontato al 50%. I biglietti si prendono qui. Caso mai dovesse venire il dubbio, l’evento è aperto a tutti; non è necessario essere proprietari di auto elettriche, men che meno di Tesla.

Io parlerò di bufale elettriche e di come comunicare con gli elettroscettici, e se venite potremo scambiare due chiacchiere in giro e ascoltare i tanti relatori esperti in programma, che affrontano questioni come la durata e il riciclaggio delle batteria, i consumi di energia e altro ancora. Verrò con TESS (la mia Tesla Model S), ovviamente!

2022/07/15

Podcast RSI - Attacchi informatici con effetti fisici, nuove leggi europee salvaprivacy, lenti a contatto smart

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

2022/07/14

Le lenti a contatto con monitor incorporato non sono più fantascienza

Dalla puntata The Middle Men di Torchwood (2011).

Questo articolo è disponibile anche in versione podcast audio.

È una scena classica di tanti film o telefilm d’azione hi-tech o di fantascienza: la persona protagonista riesce a penetrare nella base segreta dei cattivi e riceve istruzioni su cosa fare e cosa dire, senza che i cattivoni se ne rendano conto, tramite delle sofisticatissime lenti a contatto elettroniche che indossa. Di solito la scena include anche un malfunzionamento di queste lenti, per creare ancora più tensione, ma ovviamente il talento e l’improvvisazione supereranno ogni avversità.

Ma scene come questa non sono più riservate alla fiction: l’azienda californiana Mojo Vision ha presentato un prototipo funzionante di lente a contatto “smart”, capace di mostrare all’occhio di chi la indossa una bussola, delle immagini e dei testi. Stando a quanto dichiarato dall’azienda, si tratta della prima dimostrazione di una lente a contatto smart per realtà aumentata effettuata mettendola davvero su un occhio umano: in questo caso, quello di Drew Perkins, che è il CEO di Mojo Vision.

Ma dove si possono mettere i componenti elettronici in una lente a contatto? Serve uno schermo, servono dei sensori, serve un processore, e tutto quanto va alimentato da una batteria. Sembra impossibile includere tutti questi elementi in un oggetto che deve essere trasparente.

Mojo Vision risolve in parte questa sfida con un paio di soluzioni ingegnose: la prima è che in realtà la lente non è tutta trasparente, ma lo è soltanto la parte che sta direttamente davanti al cristallino. Il bordo, ossia la parte che sta davanti all’iride e copre anche parte della sclera dell’occhio, è invece opaco ed è coperto da un’iride finta.

Al centro della piccola porzione trasparente c’è un minuscolo schermo MicroLED monocromatico, largo mezzo millimetro, con una risoluzione di circa 250 per 250 pixel: sufficiente per vedere qualche parola e un’immagine, ma non molto di più.

La lente include anche un magnetometro, un giroscopio e un accelerometro per rilevare i movimenti dell’occhio, un piccolissimo processore ARM, una batteria e un trasmettitore. Un miracolo di miniaturizzazione, insomma.

Il trasmettitore in questione serve per la seconda soluzione ingegnosa: si collega infatti a un processore più potente, che si indossa intorno al collo e che fa il grosso del lavoro, alleggerendo quello della lente vera e propria. In altre parole, molti dei componenti sono in realtà nascosti addosso a chi indossa queste lenti a contatto “smart”.

C’è da dire che la lente è rigida, non morbida come le lenti a contatto normali, e che finora è stata indossata soltanto per un’ora per valutarne la compatibilità biologica. Ma ha già adesso delle app che permettono a chi la indossa di leggere del testo che gli viene trasmesso, come se fosse una sorta di “gobbo” televisivo invisibile, e di ricevere istruzioni di navigazione in uno spazio.

Se il prototipo supererà la fase di collaudo e ulteriore miniaturizzazione e i test clinici necessari per la commercializzazione, le lenti a contatto elettroniche saranno un ausilio digitale decisamente molto meno vistoso e appariscente rispetto agli occhiali “smart”, che hanno il difetto di essere ingombranti ed esteticamente impegnativi anche nelle loro versioni più recenti, come per esempio i Ray-Ban Stories, che pure sono infinitamente più presentabili rispetto ai Google Glass o ai visori per realtà virtuale. Le lenti elettroniche sono un esempio di Invisible Computing, ossia informatica invisibile.

Mojo Vision non è l’unica azienda che sta lavorando alle lenti a contatto “smart”: ci sono anche progetti di Sony e Samsung con tanto di fotocamera integrata, e ci sono già lenti di questo genere che vengono usate in campo medico per il monitoraggio degli occhi, per esempio in caso di glaucoma. Google ha anche delle lenti a contatto elettroniche che includono un sensore di glucosio, ma si tratta appunto di progetti o di dispositivi molto più semplici.

Resta da vedere, se mi perdonate il gioco di parole, a cosa serviranno queste lenti a contatto così sofisticate e interattive: per ora l’azienda che le sta sviluppando pensa alla visualizzazione di informazioni utili, come per esempio le indicazioni su dove andare in un edificio molto complesso, le notifiche di eventi o la presentazione di dati fisiologici o tecnici per gli atleti durante una gara, ma considera anche l’ausilio alle persone che hanno difficoltà visive nella vita di tutti i giorni.

Un’altra applicazione utilissima per chiunque parli in pubblico per lavoro sarebbe la possibilità di avere sott’occhio testi, dati e numeri in modo invisibile, dando l’impressione di sapere a memoria discorsi e informazioni: immaginate le note di PowerPoint, ma senza dover guardare lo schermo del computer.

E attenzione agli usi meno tecnici e professionali: c’è la possibilità che fra qualche anno la persona che vi guarda con aria sognante e vi declama eleganti parole di seduzione stia in realtà semplicemente leggendo tutto sulle sue lenti elettroniche.

Fonti aggiuntive: CNET, BBC, Ars Technica.

Iran, attacco informatico ad acciaieria ha conseguenze molto reali

Questo articolo è disponibile anche in versione podcast audio.

Il 27 giugno scorso una delle più grandi acciaierie in Iran, la Mobarakeh Steel Company (info su Wikipedia), ha vissuto momenti drammatici: stando a vari video non confermati ma ritenuti attendibili, poco dopo che alcuni operai si erano allontanati da una zona dell’impianto nella quale si lavorano grandi quantità di metallo fuso, si è formata una enorme fiammata e il metallo incandescente si è riversato fuori dai suoi contenitori, spandendosi nelle vicinanze in una luminosissima, rovente cascata di scintille.

L’incidente merita attenzione perché tutto indica che si sia trattato di un sabotaggio effettuato tramite un attacco informatico: un caso piuttosto raro di conseguenze molto concrete, e potenzialmente fatali, di crimine digitale che agisce direttamente sulle cose del mondo reale invece di limitarsi, si fa per dire, a cancellare e danneggiare dati.

L’attacco è stato rivendicato su Telegram e Twitter da un gruppo che si fa chiamare Predatory Sparrow (passero predatore). Il gruppo ha presentato come conferma i video tratti dalle telecamere di sorveglianza interna dell’acciaieria e ha anche pubblicato una ventina di gigabyte di dati che dice di aver trafugato da questa e altre due acciaierie iraniane che ha preso di mira. I media di stato iraniani hanno fornito conferme indirette degli attacchi, ma hanno dichiarato che non ci sarebbero stati danni alle linee di produzione (Cyberscoop.com).

L’idea che un attacco informatico possa causare la fuoriuscita di colate di metallo fuso dove lavorano gli operai è decisamente inquietante, ma non è la prima volta che ci sono conseguenze fisiche molto gravi a seguito di un’incursione digitale.

Sempre in Iran, nel 2010, il malware Stuxnet danneggiò o distrusse le centrifughe dell’impianto di arricchimento dell’uranio di Natanz (come ho raccontato in dettaglio nel podcast del 9 luglio 2021). Nel 2014 l’autorità tedesca per la sicurezza informatica, la BSI, parlò di gravi danni a un’acciaieria nazionale causati da un attacco informatico basato sul phishing, senza però fornire molti dettagli. E nel 2015 in Ucraina un’azienda che gestiva la rete elettrica per la maggior parte del paese fu colpita da un attacco informatico che tolse la corrente a 200.000 persone per varie ore.

Questi attacchi così devastanti avvengono raramente, per fortuna, ma sono gli effetti più sensazionali di una tecnica di attacco molto diffusa ai danni delle industrie: quella che consiste nel prendere il controllo dei sistemi di comando remoto che gestiscono i grandi impianti e sabotarli in modo che questi impianti vadano in avaria o causino danni.

I sistemi di controllo industriale sono sempre più diffusi, perché costano meno e sono più precisi rispetto a una squadra di addetti, che oltretutto spesso rischierebbero la propria incolumità, e perché a volte non c’è altro modo per comandare gli impianti: basti pensare ai macchinari che operano in condizioni che sarebbero fatali per un operatore umano o che sono difficilmente accessibili, come le pale eoliche o i ripetitori cellulari o radiotelevisivi in alta montagna. In questi casi il controllo remoto è indispensabile.

Il problema nasce quando questi sistemi di controllo remoto non sono ben protetti e vengono installati disinvoltamente, senza pensare troppo alle loro implicazioni di sicurezza. Infatti se un impianto è accessibile da remoto da parte dei suoi addetti, potrebbe essere accessibile tramite la stessa via anche da parte di malintenzionati. Questi sistemi di controllo sono spesso connessi via Internet, e molte aziende non si rendono conto che oggi esistono motori di ricerca appositi, come Shodan, Binaryedge, Zoomeye o Censys, che permettono a chiunque di trovare tipi specifici di dispositivi accessibili via Internet e di ottenere informazioni sul loro funzionamento. Questi motori di ricerca esistono per segnalare o prevenire violazioni di sicurezza, ma ovviamente sono utilizzabili anche per trovare bersagli per attacchi.

Incidenti come quello iraniano sono spesso di matrice politica, e si sospetta che dietro il gruppo Predatory Sparrow ci sia un governo che lo appoggia o addirittura lo dirige. Questo sospetto è avvalorato, secondo alcuni addetti ai lavori, dal fatto che il gruppo è stato molto attento a causare la fiammata nell’acciaieria in un momento nel quale non c’erano addetti nelle vicinanze e ha ribadito questa sua attenzione nelle rivendicazioni, e questo tipo di scrupolo è caratteristico di organizzazioni che devono rispettare delle linee guida politiche o governative, per esempio per causare danni strategici senza essere viste negativamente perché hanno colpito degli innocenti.

Sia come sia, episodi drammatici come quello dell’acciaieria iraniana sono un rumoroso campanello d’allarme per qualunque azienda che abbia sistemi gestiti da remoto, in qualunque paese: è opportuno irrobustire le proprie difese, invece di fare quello che fanno molti, ossia usare semplicemente Teamviewer senza password perché tanto è comodo e si ritiene che se nessuno sa l’indirizzo IP dell’impianto nessuno lo troverà mai. Shodan esiste proprio per questo, e ho vissuto personalmente due casi nei quali un generatore elettrico italiano e una mini-centrale elettrica francese erano comandabili da remoto da chiunque, perché i loro gestori non si curavano della sicurezza. Non è stato uno spettacolo rincuorante.

E anche se pensate che la vostra azienda non sia nel mirino dei gruppi politici internazionali, esistono sempre il sottobosco del crimine informatico, che è ben contento di chiedere riscatti per non sabotare i vostri impianti, e anche il sotto-sottobosco, quello dei semplici vandali, quelli che causano sabotaggi for the lulz, ossia per puro, asociale divertimento. Forse è il caso di approfittare della pausa estiva per fermarsi un momento a ragionare sulle proprie procedure di accesso remoto e rinforzarle un pochino.

Fonti aggiuntive: BBC, The Cyberwire.

Cerca nel blog

2022/07/22

2022/07/21

2022/07/20

2022/07/18

Creare la chiavetta di installazione

Avviare da chiavetta

Installare permanentemente

Verdetto

2022/07/16

2022/07/15

2022/07/14