SIAMO GEEK

  • Telecom: la mano destra non sa cosa stia facendo la mano sinistra

    Babbo Natale quest’anno, ha deciso di regalarmi una vicenda di ordinaria follia con Telecom Italia: uno dei più classici esempi di come il proverbio “la mano destra non sa quello che fa la mano sinistra” sia più realistico che mai.

    La vicenda, a dire il vero, nasce, inconsapevolmente, dopo le vacanze estive, quando, a causa di un motivo sconosciuto durante il cambio di banca non sono stati spostati i RID per il pagamento del Telefono & ADSL installati nella seconda casa di una mia cara amica. E, all’inizio di Dicembre quando si è recata in quella casa, si è resa conto del problema e che Telecom le aveva sospeso entrambi i servizi.
    Ha quindi immediatamente provveduto a pagare tutte le bollette arretrate direttamente su sito di Telecom chiedendo contestualmente la riattivazione di entrambi i servizi. Sottolineo riattivazione, in quanto sino alla sospensione sia la linea telefonica che la ADSL funzionavano perfettamente.
    Ma questa riattivazione, però, non può avvenire “velocemente”, ma ha bisogno di almeno una decina di giorni… “normali tempi tecnici“.

    Piccola nota: il termine “tempo tecnico” (altro…)

    Kazuma

  • Ransomware e backup

    Dopo quasi dieci anni durante i quali i vari tipi di malware non distruggevano i dati, il ransomware ha riportato in auge un vecchio tema di lotta contro i vari tipi di malware.

    Il ransomware è quel tipo di software ostile che blocca in qualche modo l’accesso ai file degli utenti per chiedere poi un riscatto (ransom).

    Lo scorso anno CryptoLocker è diventato relativamente famoso e in quattro mesi di vita ha già fatto moltissime vittime. Negli ultimi giorni è stato annunciato Prison Locker (originale su Pastebin), un nuovo tipo di ransomware che cripta ogni tipo di file accessibile di un’installazione Windows, con l’eccezione degli eseguibili e dei file di sistema.

    (altro…)

    Luigi Rosa

  • Defacement del sito di OpenSSL

    OpenSSLIl 29 dicembre scorso verso le 01:00UTC la home page del sito di OpenSSL ha subito un defacement ed è stata sostituita con il messaggio TurkGuvenligiTurkSec Was Here @turkguvenligi + we love openssl _

    I file del sito sono stati ripristinati entro le due ore successive, ma i dettagli dell’attacco si sono fatti attendere.

    Solamente due giorni dopo è apparso un breve messaggio che spiegava in modo molto generico e onestamente un po’ dubbioso l’accaduto:

    Initial investigations show that the attack was made via hypervisor through
the hosting provider and not via any vulnerability in the OS configuration.
Steps have been taken to protect against this means of attack in future.

    Messa così sembrava che il software che governa le macchine virtuali fosse stato attaccato; l’hypervisor è lo strato più basso di un sistema di virtualizzazione, nella virtualizzazione bare metal è anche l’ultimo strato di software prima dell’hardware. Un’affermazione di questo tipo implicava un attacco alla macchina host del provider, con tutte le conseguenze del caso.

    (altro…)

    Luigi Rosa

  • Punti di vista – I Chindōgu

    Siamo diventati troppo tecnologici o troppo pigri? Sia come sia, trovo che questa sia una genialata e permette anche di ovviare all’acquisto di un guanto di coppia 😀

    Fonte

    E’ molto che non posto ma mi piace iniziare il 2014 con una di quei gadget che sono assolutamente inutili al di fuori della specifica funzione per cui sono stati creati. I Giapponesi ne hanno fatto un’arte: si chiamano Chindōgu e gli esempi più classici si sono visti decine di volte in rete.
    Stando a Wikipedia i Chindōgu devono avere specifiche caratteristiche:
    “1. un chindōgu non può avere un utilizzo reale;
    2. un chindōgu deve esistere fisicamente;
    3. in ogni chindōgu è insito uno spirito di anarchia;
    4. i chindōgu sono strumenti per la vita quotidiana;
    5. i chindōgu non sono in vendita;
    6. l’umorismo non dev’essere la sola ragione per creare un chindōgu;
    7. il chindōgu non è pubblicitario;
    8. i chindōgu non trattano mai temi scabrosi;
    9. il chindōgu non si può brevettare;
    10. i chindōgu non hanno pregiudizi.”

    A seguire alcuni dei miei preferiti (e che userei… se sapessi dove comprarli!!): (altro…)

    Fiordortica

  • Forward secrecy in Postfix

    È possibile implementare la forward secrecy anche nelle sessioni TLS di Postfix.

    Questa guida parte dal presupposto che Postfix abbia TLS configurato e funzionante, non importa se con un certificato auto-emesso o rilasciato da un’autorità PKI, e si applica alla versione 2.10, le versioni precedenti potrebbero aver bisogno di qualche aggiustamento dei parametri, come indicato nel readme apposito.

    Lo scopo è di avere delle chiavi di sessione effimere con una vita relativamente breve al fine di rendere più ardua la cosiddetta retrospective decryption attraverso una rigenerazione periodica dei parametri p e g dell’algoritmo Diffie-Hellman per lo scambio di chiavi.

    (altro…)

    Luigi Rosa

  • PHP FastCGI Process Manager con CentOS 6

    Con Apache gli script PHP possono essere interpretati essenzialmente in due modi: attraverso un modulo apposito (mod_php) o richiamando l’interprete PHP con FastCGI.

    In molti casi si utilizza mod_php perché è l’opzione di default preconfigurata, ma ci sono delle alternative, con vantaggi e svantaggi che vanno valutati con attenzione.

    mod_php è in genere (ma anche qui ci potrebbero essere eccezioni) più veloce e permette di personalizzare alcune direttive di configurazione all’interno del file .htacess; il rovescio della medaglia è che l’interprete PHP viene caricato assieme ad ogni istanza di Apache, anche quando non serve perché viene richiesto un file di testo o un file con un’immagine, e viene eseguito nel suo stesso contesto di sicurezza.

    Utilizzando FastCGI il codice eseguito dall’interprete PHP è completamente separato da quello del web server, quindi si può definire un contesto di sicurezza differente da quello utilizzato dal server e l’interprete viene eseguito solamente quando è necessario. Nel 2012 è stata scoperta una vulnerabilità di PHP eseguito via CGI tale per cui richiamando una pagina mettendo nell’URL ?-s (esempio: http://www.example.com/index.php?-s) viene visualizzato il sorgente dello script al posto del risultato. Il baco è stato corretto, ma vale la pena di eseguire un test se si passa da mod_php a FastCGI.

    Dalla versione 5.3 PHP ha introdotto FastCGI Process Manager (FPM), una tecnologia per demonizzare l’interprete PHP e richiamarlo da server HTTP differenti anche, volendo, da host diversi. FPM crea uno o più pool di server, ciascuno con un proprio contesto di sicurezza e una propria configurazione, in questo modo il numero di worker che interpretano il codice PHP può essere diverso dai worker del server HTTP.

    Vediamo come passare da mod_php a FPM su un’installazione CentOS 6.

    (altro…)

    Luigi Rosa

  • Generatore di password via command line

    Ogni tanto serve generare un po’ di password casuali, questo è un metodo rapido e, si spera, efficace.

    Tutto quello che serve è un *NIX e un /dev/urandom con una ragionevole entropia, magari aiutato da un software come haveged.

    Questa è l’invocazione per richiamare 1024 byte di password casuali (deve essere scritta su una riga sola, vado a capo per praticità):

    strings /dev/urandom |
tr -c -d '\!-~' |
dd bs=1 count=1k 2>/dev/null |
sed -r 's/(.{12})/\1\n/g' ;
echo

    Quello che fa questa command line è prendere da /dev/urandom solamente i gruppi di byte che corrispondono a caratteri stampabili (prima riga), filtrarli secondo un range ASCII (seconda riga), fermarsi a 1024 caratteri (terza riga), visualizzarli su righe di 12 caratteri l’una (quarta riga) e andare a capo dopo l’ultima password (ultima riga).

    Il range sulla seconda riga è uno dei più ampi possibile nel set ASCII stampabile perché lascia fuori solamente lo spazio e può essere modificato a piacere, ad esempio se si vogliono solamente lettere minuscole e numeri la seconda riga diventa

    tr -c -d 'a-z0-9' |

    Sulla quarta riga si può variare il numero 12 per avere password di lunghezze differenti o sostituire \n con \t per avere le password incolonnate separate da tab.

    Luigi Rosa

  • Sarai abbastanza sveglio?

    Il libro Sei abbastanza sveglio per lavorare in Google è un testo molto illuminante.
    Come si può intuire dal titolo, tratta di due grandi temi: l’efficacia (o sarebbe meglio dire inefficacia) dei colloqui di lavoro tenuti come la maggior parte di noi li conosce e l’insieme di conoscenze scientifiche, spannometria e creatività necessarie a superare i test attitudinali che sempre più aziende (Google nel titolo è solo un esempio) propongono ai candidati.

    Oltre a scoprire molte cose sulle Risorse Umane e sul recruiting in generale, non vi nascondo che tutta la parte sui questionari sia la più interessante: prima di tutto per sfidare sè stessi a risolverli, poi per imparare come affrontare quelli troppo difficili.
    Spesso sono questionari lunghi e complicati che non tutte le aziende e i reparti si possono permettere: nel mio piccolo io sono spesso alla ricerca di domande o problemi possibilmente semplici da porre che non necessitino troppo tempo o risorse, ma che siano utili per capire velocemente e in maniera ragionevolmente affidabile le competenze e le abilità di un candidato. (altro…)

    Luca Mauri

  • Harry Beck

    Beck Plaque
    Targa commemorativa, stazione di Finchley Central. Da Wikipedia.

    Harry Beck è il tipico esempio di tecnico che fa le cose per migliorare ciò che vede ed è anche il tipico esempio di come questi atteggiamenti vengano riconosciuti in maniera postuma.

    Prima del 1931 la mappa della metropolitana di Londra era fedele alla posizione geografica delle stazioni, ma stava diventando sempre meno comprensibile man mano che si aggiungevano linee e fermate.

    Harry Beck era un disegnatore tecnico al servizio dell’ufficio dei segnali della metropolitana e in quell’anno realizza la sua prima versione della mappa traendo spunto dai diagrammi elettrici.

    (altro…)

    Luigi Rosa

  • La Stampa. Punto.

    Stampa - Corsera - RepubblicaDa ieri il sito de La Stampa ha lo stesso nome della testata e cade il suffisso .it.

    Primo tra i tre maggiori quotidiani generalisti italiani a compiere questa scelta non solo grafica, La Stampa si allinea alla strategia delle maggiori testate internazionali. La redazione è ora unica e i contenuti possono essere indirizzati indifferentemente sui vari media.

    Per troppo tempo le redazioni online dei quotidiani sono state (e in Italia molte lo sono ancora) le sorelle minori delle testate cartacee, che spesso antepongono la velocità nel dare una notizia all’accuratezza della medesima (tipico esempio), come se arrivare primi fosse più importante della professionalità.

    Uniformare una redazione per i vari media non è solamente un fatto logistico o tecnologico, ma richiede un grande sforzo da parte delle persone coinvolte, molte delle quali devono davvero cambiare il loro modo di lavorare.

    In bocca al lupo, quindi, alla testata torinese. (via @marcobardazzi)

    Luigi Rosa

  • Linee di Nazca in chiave moderna

    ChinaNazca

    Scopro oggi da un articolo su Wired una serie di misteriose strutture nel mezzo del deserto nel territorio della Cina.
    Tramite Google Maps è possibile osservare queste strutture dallo spazio e, se “inquietanti” è una parola troppo grossa da usare, sicuramente sono misteriose, più che curiose e forse anche preoccupanti.

    La prima e più evidente è un apparente intrico di piste larghe approssimativamente 10-20 metri.
    Non è chiaro se siano cementate, imbiancate o se si tratta di roccia madre ripulita dal suolo. Apparentemente non c’è regoalrità nel disegno: alcune sono rette, altre frastagliate. Misteriosamente tutte iniziano e finiscono bruscamente, non rappresentano nessun percorso chiuso.
    A prima vista sembrano veramente delle moderne Linee di Nazca.

    (altro…)

    Luca Mauri

  • La sfiga ci vede benissimo

    Questa mattina il blog è stato offline fino dopo l’una ed è doverosa una spiegazione.

    Ieri ho vinto per oggi un viaggio andata e ritorno in Francia da un cliente per una serie di riunioni di pianificazione. No, non è un modo per nascondere un pranzo di Natale, a pranzo ho mangiato una baguette au jambon mentre tornavo a piedi in ufficio dal Carrefour dove avevo fatto razzia di formaggi.

    Stamattina mi sono svegliato alle 04:30 e ho trovato la VM su cui è ospitato il sito irraggiungibile. Ho aperto un ticket e sono saltato in macchina per andare dal cliente.

    Il fornitore ha risolto il problema poche ore dopo, ma c’è un “ma”.

    Fino all’una non mi sono potuto collegare in Rete ed è stato lì che ho scoperto il problema: quando un server va giù male rimangono i socket nel file system (stale socket). Le ultime versioni di MySQL di CentOS sembra che abbiano dei problemi con gli stale socket: quando MySQL riparte dopo un crash non ripulisce lo stale socket e tutti i processi che usano quel metodo di comunicazione vedono il database server KO.

    Ecco spiegato il down di questa mattina, purtroppo la sfiga ha visto che questa mattina ero AFK e ha colpito con precisione chirurgica.

    Luigi Rosa