SIAMO GEEK

Autore: Luigi Rosa

  • L’importanza di rendere pubbliche le vulnerabilità

    Uno dei temi più dibattuti nel campo della sicurezza è l’opportunità, dopo un ragionevole periodo di tempo non negoziabile da chi è oggetto del problema, di pubblicare le vulnerabilità dei software.

    Come in altre situazioni, ci sono argomenti e singole casistiche pro e contro, ma nella lunga distanza la ragionevolezza suggerisce che sia opportuno pubblicare le vulnerabilità per evitare che chi le debba correggere decida di risparmiare sui costi di correzione, a danno dell’utilizzatore finale.

    Se queste argomentazioni non sono sufficienti, ne espongo di seguito un’altra.

    Ricordate FinFisher?

    (altro…)

  • Concentrato di obsolescenza

    Riordinando librerie e assimilati si trovano due cose in particolare: tanta polvere e tante cose dimenticate.

    In questo periodo di pulizie casalinghe ho trovato tanti di entrambi.

    Un pacchettino di fogli riesce a riassumere il concetto di obsolescenza nel mondo informatico e dintorni.

    La copertina del pacchetto di fogli è qui riprodotta e ricorda tempi, media e abitudini superati.

    Innanzi tutto, le stampanti che usano risme di carta perforata vengono utilizzate sempre meno spesso anche in ambito professionale. Numeri come 80,132, 66 e 72 che prima erano sulla bocca di tutti ora sono sostituiti da 210, 297, A4, A5, 12, 14 eccetera. Prima 6 righe per pollice era praticamente l’unica regola, ora si tende sempre meno a stampare (per fortuna).

    A parte il formato carta, quelle stampanti utilizzavano la rumorosissima tecnologia della stampa ad aghi, i cui comandi variavano da stampante a stampante ed erano raggruppati per famiglie di dialetti (IBM ProPrinter, EPSON, Diablo e tanti altri).

    Le stampanti erano collegate generalmente tramite l’interfaccia parallela, tramite la quale il PC sapeva generalmente ben poco della stampante, a parte le informazioni “sono pronta a stampare” e “ho finito la carta”. Altro che plug’n’play!

    Da ultimo, le agende a sei anelli, che resistono ancora, anche se con le ore contate. Ricordo l’ultima che ho avuto, comperata nel 1999 al MIT, rimasta in fedele servizio per 10 anni e pensionata in favore dell’agenda a rubrica integrate nel telefono. Quell’agenda e tutti i suoi fogli mobili colorati riposano da qualche parte nella libreria. Altra carta risparmiata.

  • La tecnologia condivisa si moltiplica

    Non è il testo di un Bacio Perugina per geek, ma un incontrovertibile dato di fatto che le leggi di alcuni Paesi tentano ancora di negare nel nome della difesa di presunti diritti industriali.

    Nintendo con il Wiimote e Microsoft con il Kinect sono due esempi di come gli smaettoni riescano ad utilizzare interfacce hardware/software in modi che l’ideatore non aveva lontanamente immaginato.

    Il tutto avviene in due fasi: la prima (quella che rasenta o viola la legalità in alcuni Paesi) consiste nel fare reverse engineering della tecnologia per comprenderne il funzionamento e  la seconda adatta la tecnologia di cui si è acquisita la padronanza per gli scopi più diversi. Il risultato è che la tecnologia in questione amplia il suo raggio d’azione e ne beneficiano più persone. Questo tema è trattato dal racconto disponibile gratuitamente I, Robot di Cory Doctorow.

    Poche settimane fa è stato scoperto il protocollo di Siri e poco tempo dopo plamoni ha scritto un proxy per utilizzare Siri non come vuole chi lo distribuisce, ma come desidera chi ha pagato per averne una copia legittima.

    In sostanza, questo software permette di fare in modo che Siri risponda a comandi prestabiliti di cui ciascuno può scrivere il codice di gestione.

    L’analogia con i computer dell’Enterprise e con altre storie fantascientifiche adesso è più calzante, in quanto Siri passa da interfaccia per i motori di ricerca (sto semplificando, ma non troppo) a vera interfaccia vocale che ubbidisce ai comandi che prevede chi ha approntato il proxy per Siri.

    Dustin Webber ha scritto una serie di routine che si interfacciano al proxy per Siri per chiedere lo stato della sicurezza della sua rete. Questo video vale più di mille parole per descrivere il risultato.

    [vimeo http://vimeo.com/32712939 w=480]

  • PEC, firme, certificati…

    Oramai ci siamo: tutte le aziende costituite in forma societaria devono dotarsi di un indirizzo PEC entro martedì 29 novembre p.v.

    Nell’ultimo mese ho, però, notato che c’è molta confusione in merito al valore probatorio della PEC; le improvvide affermazioni esternate qualche tempo fa da qualche (ora ex) Ministro della Repubblica in qualche trasmissione televisiva non hanno fatto che peggiorare la situazione, dal momento che qualcuno ha dato valore di legge a quelle affermazioni tirate a caso.

    (altro…)

  • Non è sempre colpa degli hacker

    La vicenda di STUXNET ha acceso i riflettori sulla vulnerabilità di alcuni sistemi di controllo industriale, tuttavia i danni che possono capitare a questi sistemi non derivano sempre da attacchi informatici.

    ICS-CERT ha appena pubblicato un rapporto [PDF] sull’incidente verificatosi al sistema di distribuzione dell’acqua potabile dell’Illinois.

    In un primo momento si era temuto che il funzionamento anomalo di alcuni sistemi di pompaggio fosse riconducibile ad un attacco informatico conto lo SCADA che gestisce l’impianto e i giornali avevano dato ampio supporto a questa tesi.

    Dopo attente e competenti indagini, ICS-CERT non ha trovato le prove di intrusioni non autorizzate nei sistemi. Inoltre ICS-CERT ha escluso la possibilità ipotizzata dallo STIC dell’Illinois [PDF] (da non confondere con questo STIC!) che si fosse verificato un furto di credenziali nel corso dell’attacco informatico.

    Anche il DHS e l’FBI hanno escluso la possibilità che ci sia stato traffico informatico illegale riconducibile alla Russia o ad altri Paesi collegato a questo incidente.

  • L’ANAS non controlla la velocità dei veicoli

    Era un po’ questo quello che erano chiamati a fare alcuni ISP europei, che erano costretti a filtrare accessi a determinati siti con richieste spesso assurde [PDF, grazie a Stefano Quintarelli] da parte dell’autorità giudiziaria.

    Ogni tecnico o smanettone sa benissimo che qualsiasi azione diversa dalla disconnessione di un host dalla rete non è sufficiente ad isolare l’host perché ci sono dei metodi per aggirare qualsiasi altro blocco.

    (altro…)

  • These Are The Droids You Are Looking For

    È il titolo di un’esposizione che si terrà dall’8 dicembre al 29 gennaio presso la Ltd. Art Gallery di Seattle.

    Le opere esposte possono essere viste anche online sul sito della galleria. (via io9)

  • Space Ipsum

    Lorem ipsum dolor sit amet, consectetur adipiscing elit. Nullam luctus volutpat tellus.

    In molti conoscono l’uso di questo testo come riempitivo. Esiste anche un sito che genera per voi il testo della lunghezza richiesta.

    Se non volete utilizzare il classico testo in latinorum, Space Ipsum è il sito che fa per voi.

    Al posto di parole latine assemblate a caso, Space Ipsum utilizza frasi tratte dai momenti storici del volo spaziale. (via BoingBoing)

  • Chi ha inventato il documento informatico?

    Questo è il titolo dell’interessantissimo convegno organizzato dal Collegio Ghislieri [PDF] di Pavia a cui ho partecipato oggi.

    Hanno partecipato relatori del mondo giuridico e del mondo informatico. Purtroppo l’iniziativa è stata presentata come evento legato al mondo giuridico, mentre, secondo me, aveva una notevole importanza anche per i professionisti dell’informatica.

    Ogni intervento è stato molto interessante; da segnalare che anche gli interventi giuridici erano orientati alla soluzione del problema, non erano trattazioni accademiche campate per aria.

    Appena disponibile, pubblicherò di seguito il link agli atti del convegno.

    Un grande grazie a Corrado Giustozzi, uno dei relatori, che mi ha segnalato l’evento e arrivederci all’edizione del prossimo anno.

     

  • Possibile DoS in BIND 9

    Alcune organizzazioni hanno notato che BIND 9 è vulnerabile ad un attacco di tipo DoS quando risponde a query ricorsive.

    È stato, infatti, notato che le versioni 9.4-ESV, 9.6-ESV, 9.7.x e 9.8.x di BIND escono in maniera anomala loggando l’errore INSIST(! dns_rdataset_isassociated(sigrdataset)) quando rispondono a determinate query ricorsive.

    Sono disponibili le patch alle versioni coinvolte; le versioni che non presentano questo problema sono 9.8.1-P1, 9.7.4-P1, 9.6-ESV-R5-P1 e 9.4-ESV-R5-P1 (via ISC).

     

  • Pulizie casalinghe

    Lo scorso weekend ho riconfigurato la parte di casa mia dove trascorro la maggior parte del tempo quando sono sveglio.

    La riconfigurazione ha coinvolto il ricablaggio di alcuni collegamenti, lo spostamento della scrivania e lo smontaggio, riconfigurazione e assemblaggio di oltre 50 metri lineari di scaffalatura IVAR, per aver inventato la quale IKEA dovrebbe ricevere il Nobel per l’Arredamento.

    In questa baraonda ho anche deciso di liberarmi di vecchi oggetti che erano di uso comune fino ad un po’ di anni fa e ora sono ignoti ai più, tra cui:

    • cavi nullmodem da 25 pin;
    • transceiver AUI-BNC;
    • cavi paralleli per PC (chi si ricorda che si chiamavano Centronics?);
    • innumerevoli cavi seriali 232, adattatori, flat cable a 25 fili crimpati e no;
    • un cavo seriale V.35;
    • cavi telefonici vari e adattatori per la tripla italiana;
    • adattatori per mouse da seriale a PS/2;
    • flat cable per floppy con connettore per il lettore a 5″¼ (sì, erano diversi);
    • cavi di alimentazione PC (me ne rimangono comunque una trentina).

    Nonostante tutto, ho comunque tenuto un sacco di fuffa di cui mi libererò probabilmente in seguito.

  • Crackato il protocollo di Siri

    A nemmeno un  mese dal lancio, la società tedesca fracese Applidium ha crackato il protocollo di Siri.

    La metodologia descritta è molto interessante e può essere applicata a casi analoghi.

    Siri invia tutti i dati a guzzoni.apple.com utilizzando il trasporto (trasporto, non protocollo, vedremo poi) HTTPS. Il client che risiede su iOS verifica la validità del certificato SSL di  guzzoni.apple.com per impedire che il traffico venga dirottato su un altro server tramite DNS poisoning.

    Questo non ha però fermato i tecnici di Applidium, che hanno creato un finto host guzzoni.apple.com con un finto certificato SSL emesso e firmato da una finta CA. Il clienti di Siri verifica, infatti, la validità del certificato di guzzoni.apple.com, ma si fida di qualsiasi CA lo garantisca.

    (altro…)