Vai al contenuto

Il procuratore generale William Barr ha tenuto un discorso sulla cifratura dove il punto più importante, secondo Bruce Schneier e anche secondo me, è che finalmente c'è l'ammissione che introdurre delle backdoor per garantire l'accesso alle forze dell'ordine diminuisce la sicurezza.

Barr rimane convinto che ne valga la pena ma non è questo il punto: fino ad ora era sempre stato detto che le backdoor di stato si sarebbero potute aggiungere senza diminuire la sicurezza.

Ora finalmente si può iniziare un dibattito politico serio. Aggiungere le backdoor permette alle forze dell'ordine di intercettare i cattivi ma, diminuendo il livello di sicurezza, permette anche ai cattivi di sorvegliare noi.

Quello che il procuratore Barr dice è che si tratta di "cybersecurity di consumo" e non "codici di lancio nucleari": è vero ma non dimentichiamo che le persone che usano questa famosa "cybersecurity di consumo" sono anche legislatori, amministratori delegati, le stesse forze dell'ordine per non parlare del personale addetto alle centrali nucleari o ai codici di lancio giusto per fare un esempio. Argomentare poi che queste persone posso essere dotate di strumenti di comunicazione sicuri (senza le backdoor) è un esercizio che si ritorce contro a chi lo propone visto che, a questo punto, anche i criminali possono usarle strumenti senza backdoor quindi torneremmo tutti al punto di partenza avendo solamente peggiorando la sicurezza generale.

C'è veramente da sperare che finalmente ora il dibattito possa spostarsi dal precedente "finta sicurezza" vs privacy al reale dibattito sicurezza vs sicurezza e, secondo Bruce Schneier la sicurezza complessiva è molto più importante dell'esigenza delle forze dell'ordine di intercettare e va difesa anche a costo di rinunciare all'accesso tramite backdoor delle forze dell'ordine. Questo, tra i vari motivi, perché tutti questi strumenti di comunicazione proteggono anche i codici di lancio delle armi nucleari citati dal procuratore Barr.

Image credit TorrentFreak

Per effettuare piccole modifiche manuali al file RRD dei grafici la via più breve è di esportare il file in xml, modificarlo e poi convertirlo nuovamente in rrd e sostituirlo a quello originale.

I tool indicati nei link sono quelli originali di RRDtool.

Questo tipo di operazione è utile, ad esempio, se nei dati che generano il grafico è stato registrato un picco (che magari non era neppure reale) che rovina l'aspetto del grafico sballando la scala: sostituendo a mano i valori del picco con numeri più consoni si risolve in maniera molto rapida.

Corte di giustizia europea

La Polonia non accenna a fermarsi nella battaglia contro la direttiva copyright. Con un tweet della cancelleria del primo ministro polacco avvisa che porterà alla corte questa norma sproporzionata.

Tomorrow morning #Poland will bring a case before the #CJEU against the copyright directive, a disproportionate measure that fuels censorship and threatens freedom of expression. #Article13#Article17#ACTA2

Via Punto Informatico

Un interessante articolo di Bruce Schneier sull'eterna battaglia tra esperti di sicurezza informatica e politici: entrambi sono conviti di essere nel giusto e quello che Bruce Schneier propone è una nuova figura che racchiuda sia le competenze tecniche di un esperto di cybersecurity che la cognizione di causa sugli interessi pubblici di un politico.

Una figura rara ma non inesistente.

Image credit TorrentFreak

Google rimuove parecchi link di materiale protetto da copyright a seguito di segnalazioni dei proprietari dei diritti. Aggiunge anche una nota nella quale spiega cosa e perché è stato rimosso: sfruttando questa nota c'è chi ha creato una extension per Firefox, Chrome e Opera che ripristina i risultati censurati.

Era già da tempo che mi ero accorto di questa strana situazione e ora c'è addirittura una extension che automaticamente ripristina la situazione precedente alla censura.

Via TorrentFreak

Telefono fisso VoIP

La telefonia VoIP dal punto di vista dell'utente finale mi sembra essere in sofferenza.

Dietro alle chiamate vocali di WhatsApp, di Skype e di altre applicazioni per smartphone c'è il protocollo VoIP e ormai anche chi ha ancora il vecchio telefono fisso in casa non sa che praticamente, dalla centrale telefonica locale in avanti, tutto viene trasformato in VoIP. Si tratta in tutti questi casi di un uso sotto il cofano del VoIP quindi non dico che stia scomparendo ma solo che la sua visibilità presso il grande pubblico, come un qualcosa da usare direttamente, sia quasi zero.

Non so se sia un bene o un male ma io, da nostalgico, ho ancora un applicazione sullo smartphone per la telefonia VoIP in protocollo standard SIP anche se, a ben vedere, non la uso mai. Avendo un piano telefonico con chiamate illimitate non serve quasi più a nulla.

Resta l'uso come sostituto della linea fissa in casa ma anche qui a che scopo quando ormai i cellulari coprono tutte le esigenze?

Il tag Bluetooth di Wiliot

Un produttore di chip, Wiliot, ha creato un tag bluetooth delle dimensioni di un francobollo che funziona senza batteria.
L'energia la ricava dalle onde elettromagnetiche che ci circondano.
Non avendo l'ingombro, il costo e la durata limitata della carica dovute alla batteria si aprono scenari di utilizzo interessanti:


  • Ogni oggetto può essere tracciato lungo tutta la filiera produttiva
  • In aggiunta alle etichette classiche si potranno avere etichette bluetooth molto più dettagliate
  • Le istruzioni d'uso potranno essere lette dagli elettrodomestici (lavatrice che saprà come lavare un capo perché se lo fa dire direttamente)
  • Gli oggetti smarriti saranno più facilmente rintracciabili, col cellulare, se si trovano nelle vicinanze (chiavi smarrite in casa ad esempio)

Potendo inoltre abbinarlo a sensori le possibilità sono ancora maggiori:

  • Un oggetto è troppo caldo, sensore di temperatura, e ti avvisa
  • Un contenitore è vuoto, sensore di pressione, e ti ricorda di comprare il contenuto
  • Tanti sensori di temperatura per mappare ambienti in modo da studiare ottimizzazioni del riscaldamento e raffrescamento

La fantasia non ha limiti e sicuramente verranno fuori altri e inediti potenziali utilizzi.

Via Quinta e The Verge

I prezzi che il broker di exploit Zerodium paga per gli zero-day sono in aumento: questo indica che mediamente è più difficile trovare bug gravi perché i prodotti sono scritti meglio che in passato e anche che la domanda di zero-day è in aumento.

Altra informazione interessante è che molte aziende hanno un programma di ricompense per i bug ma quello che pagano è drasticamente meno di quanto pagano i broker che poi, presumibilmente, li rivendono a chi li usa per scopi non leciti.

Via Bruce Schneier, Image credit Blue Solution Blog

Grafico dell'incidenza annuale di tumori al cervello

Uno studio australiano mostra che non ci sono evidenze di aumenti di tumore al cervello attribuibili all'uso del cellulare.

Le conclusioni sono chiare e specificano anche che il periodo di latenza è di 15 anni e non si esclude che possano esistere effetti che si manifestino dopo 15 anni quindi l'osservazione continua.

Via Quintarelli

Grazie ad una nuova legge dello stato della California avremo maggior sicurezza sui dispositivi IoT.

Questa legge impone a tutti gli oggetti connessi di avere un ragionevole livello di sicurezza: dato che i produttori di dispositivi IoT devono aggiornare il loro software per poter vendere in California e che non ha senso mantenere un ramo "sicuro" per la California e uno "insicuro" per tutti gli altri, questo miglioramento sarà per tutti.

Via Bruce Schneier

In riferimento a notizie circolate oggi (ieri: martedì 27 novembre), EOLO apprende con stupore che l’amministratore delegato della società, è stato sottoposto alla misura cautelare degli arresti domiciliari per una vicenda chiarita 2 anni fa presso le sedi competenti.

L’azienda e i suoi soci rinnovano la fiducia sia nei confronti del proprio top management che nelle autorità competenti, certi che la vicenda verrà chiarita nell’interesse di tutte le parti coinvolte.

Interessante articolo di Bruce Schneier sull'uso dei dati personali degli IoT (per esempio videocamere di sorveglianza ma anche aspirapolvere e altro). I produttori di questi oggetti non pubblicano nulla sulla trasparenza nell'uso dei nostri dati e non commentano al riguardo quando interpellati.
Siete sempre convinti che sia bello, comodo e fantastico avere il proprio sistema di allarme, con magari videocamere interne, connesso via internet al sito del produttore?
Segue una traduzione molto libera del breve articolo di Bruce.

I dispositivi IoT sono dispositivi di sorveglianza e i produttori generalmente li usano per raccogliere dati sui loro clienti. La sorveglianza è ancora il modello di business di Internet e questi dati sono usati contro l'interesse dei clienti: sia dai produttori che da qualche terza-parte al quale il produttore vende i dati. Ovviamente questi dati possono anche essere usati dalle forze dell'ordine; lo scopo dipende dalla nazione.

Niente di tutto questo è una novità e molto di questo è spiegato nel mio (ndt suo: di Bruce) libro Data and Goliath. Quello che è comune per le aziende di Internet è di pubblicare un "rapporto sulla trasparenza" che indica almeno le informazioni generali su come le forze dell'ordine usano questi dati. Le aziende IoT non pubblicano questi report.
TechCrunch ha chiesto informazioni ad alcune di queste aziende e, fondamentalmente, ha scoperto che nessuno parla.

Via BoingBoing

Se ti si guasta il nuovo Mackbook pro non puoi riparartelo da solo, non puoi farlo riparare da tuo "cuggino" e neppure da un tecnico più o meno esperto a meno che non sia autorizzato da Apple.

Se ci provi smette di funzionare: Stefano Quintarelli fa notare che in pratica lo compri ma non è del tutto tuo.

Comincia ad assomigliare a quello che succede con i brani musicali acquistati online: non li acquisti realmente nel senso che comunemente si dà al termine ma compri solamente un diritto (oltretutto spesso anche temporaneo) ad ascoltarli. Stesso discorso per gli ebook visto che può anche capitarti di veder sparire dal tuo device un ebook che pensavi di aver "acquistato" e non puoi neppure lamentarti perché è tutto regolare.

La direzione che stiamo prendendo è questa. Temo che sia inevitabile: forse, in alcuni casi, può anche andare bene ma io devo dire che la cosa non mi piace.

Picture credit moosticks

Una sentenza canadese impone, a chi va a caccia di pirati e per farlo ha bisogno della collaborazione degli ISP per recuperare il nome associato ad un indirizzo IP, di pagargli un compenso ragionevole.

Mi sembra ragionevole: se, come in questo caso, si vuole far causa a 55'000 "pirati" non si può pretendere che gli ISP lavorino gratis. Il pirati l'ho virgolettato perché dover definire in questo modo così tante persone deve quantomeno far venire il dubbio che ci sia qualcosa di sbagliato alla base.

Via Stefano Quintarelli e engadget

Una ricerca effettuata da sanvine, una società canadese di consulenze sulla banda larga, mette in possibile correlazione il recente aumento del traffico BitTorrent con l'aumento di player nel settore dello streaming online legale.

In particolare l'interessante ragionamento è che iniziano ad esserci diversi fornitori di serie tv e affini e ciascuno ha contenuti in esclusiva che risultano interessanti per il pubblico. In questo scenario l'utente medio è disposto a pagare per abbonarsi ad alcuni ma non a tutti e il resto lo scarica pirata via BitTorrent.

Scrivevo che io mi sono abbonato a Netflix e, per quello che serve a me, è sufficiente ma per altri potrebbe non bastare ma, nel contempo, la spesa totale potrebbe essere troppa.

Via TorrentFreak

Impostazione di Google Calendar per bloccare l'aggiunta automatica degli inviti

A Paolo Attivissimo è capitato di ricevere una notifica di Google Calendar che non aveva impostato lui: una nuova frontiera dello spam.

Può succedere perché c'è un impostazione nei settaggi di Google Calendar che governa l'aggiunta automatica di inviti: in pratica, dato che l'impostazione predefinita accetta automaticamente tutti gli inviti, potresti trovarti invitato ad un evento e quindi vederti arrivare la notifica.

Basta cambiare questa funzionalità impostandola su "No, mostra solo gli inviti a cui ho risposto" per evitare questa particolare forma di spam.

1

Un aspirapolvere potrebbe essere trasformato in una spia e questo può succedere perché, prima di tutto, c'è la mania di avere tutto quanto connesso ad internet ( IoT ) e poi perché qualcuno ha avuto la strana idea di dotarlo di un microfono.

A questo punto, dato che spesso la sicurezza informatica di questi oggetti è molto bassa, succede che vengano trovati sistemi per manometterli e trasformarli in dispositivi di sorveglianza. In questo caso bisogna poter mettere fisicamente le mani sull'aspirapolvere quindi il tipo di attacco è limitato: se hai un malintenzionato in casa il problema maggiore non è l'aspirapolvere.

Bruce Schneier si domanda perché un aspirapolvere debba essere dotato di microfono e pure io me lo chiedo. In più mi chiedo anche il perché di questa mania di avere tutto connesso: soprattutto visto che quasi nessuno si cura della sicurezza di questi oggetti.

Evitare il traffico usando Google Maps è particolarmente utile e permette di risparmiare un sacco di tempo che altrimenti si passerebbe inutilmente in coda. Vi spiego come faccio io compresa una lamentela per il comportamento del tasto di centratura.

Prima di partire aprite l'applicazione Google Maps sul cellulare, predisponente un livello di zoom abbastanza ampio da contenere un pezzo significativo del vostro percorso che comprenda anche le strade alternative che potreste prendere in caso di traffico o incidenti, attivate ovviamente il layer del traffico in tempo reale e poi centrate la mappa sulla vostra posizione con il relativo tasto.

Ora partite e tenete d'occhio ogni tanto la mappa, che si sposta seguendo il vostro movimento, per capire se potete proseguire lungo la vostra solita strada o se è meglio deviare per evitare code o incidenti.

Detta così sembra facile e difatti fino a un po' di tempo fa lo era ma Google ha cambiato il comportamento del tasto di centratura: ora vi porta anche ad un livello di zoom molto stretto vanificando lo scopo che abbiamo.

L'unico sistema che ho trovato per ottenere la sola centratura, senza la variazione del livello di zoom, è di spostare la mappa cercando di centrala manualmente. Se la si rilascia quando è circa centrata si dovrebbe notare che l'ultimo piccolo spostamento per centrarla lo esegue da sola. A questo punto usando il tasto di centratura non varia lo zoom e, apparentemente, non esegue proprio nulla. In realtà la mappa rimane centrata seguendo i vostri spostamenti. La difficoltà è quella di riuscire nella centratura manuale: solitamente dopo un bel training e comunque ogni volta dopo svariati tentativi (nei quali, quanto fallite, parte lo zoom) si riesce. Se però avete un cellulare datato e poco potente il risultato è che prima di riuscirci l'applicazione va in crash e vi lascio immaginare i commenti indirizzati a Google.

Se conoscete qualche trucco più efficace per avere la centratura senza la variazione dello zoom scrivetemelo nei commenti.

Spostare manualmente la mappa mentre si guida è da escludere: un occhiata al volo alla mappa va bene ma smanacciare il telefono mentre si è al volante no.

Se anche voi usate da sempre FoxyProxy per gestire i proxy di Firefox vi sarete accorti che per un po' di tempo non era stato aggiornato per essere compatibile con la nuova tipologia di plugin di Firefox. Nel frattempo mi sono arrangiato a mano e poi ho dimenticato di controllare.

Ora mi sono accorto che è stato aggiornato (in realtà totalmente riscritto) e quindi possiamo tornare ad usarlo.

Se avete l'esigenza di esporre un servizio web di casa vostra e volete farlo in maniera sicura gestendo voi direttamente il tutto per avere il massimo controllo una soluzione è il reverse proxy con autenticazione.

Per fare un esempio potreste voler pubblicare in internet una ip cam di sorveglianza che guarda l'esterno di casa. Il modo più facile è di impostare una regola sul vostro router per aprire la porta della videocamera ma questo presenta almeno un paio di problematiche che portano a sconsigliarlo. La più ovvia è che la videocamera potrebbe non avere l'impostazione per proteggerla con password e non è bello che chiunque possa guardare fuori da casa vostra. Una seconda considerazione è sul grado di sicurezza della vostra ip cam: potrebbe avere dei bug che permettono ad un malintenzionato di prenderne il controllo o, anche se non ne avesse, in futuro potrebbero saltarne fuori e il produttore quasi certamente non pubblicherà un aggiornamento per tappare la falla.

La soluzione reverse proxy con autenticazione è indubbiamente più complessa ma permette di avere il pieno controllo della parte che si pubblica in internet e di poter quindi tenere aggiornati tutti i componenti alle ultime versioni: un sistema correttamente configurato e mantenuto aggiornato è una buona garanzia di sicurezza.

Cosa serve per realizzarlo? Prima indico un breve elenco di oggetti che servono e poi qualche dettaglio sulle configurazioni.

Elenco:

  • Un ip pubblico (niente NAT/Carrier Grade NAT altrimenti non siete raggiungibili dall'esterno)
  • Un router che possa tenere aggiornato un dns dinamico con il vostro ip (o un ip pubblico statico)
  • Un server sempre acceso da adibire a reverse proxy

Per accedere in maniera sicura bisogna esporre il servizio in HTTPS quindi usiamo Let's Encrypt per avere un certificato gratuito per il dns che abbiamo impostato nel nostro router.

Se utilizzare una Debian con Apache come web server allora dovete abilitare i vari moduli proxy e un idea di settaggi del reverse proxy potrebbe essere:

<VirtualHost *:443>
          SSLEngine on
          SSLCertificateFile /etc/letsencrypt/live/tuo.dominio.it/fullchain.pem
          SSLCertificateKeyFile /etc/letsencrypt/live/tuo.dominio.it/privkey.pem
          ServerAdmin tuaemail@example.it
          ServerName tuo.dominio.it
          ProxyPass / http://192.168.1.100/
          ProxyPassReverse / http://192.168.1.100/
          <Proxy *>
                    AuthType Basic
                    AuthName "Restricted Access"
                    AuthUserFile "/cartella/dove/metti/il/file/passwordapache"
                    Require user nomeutente
          </Proxy>
          </VirtualHost>
<VirtualHost *:80>
          ServerName tuo.dominio.it
          Redirect permanent / https://tuo.dominio.it/
</VirtualHost>

Come vedete ho messo un rediret permenent per HTTP (porta 80) in modo che se anche cerchi di accedere senza l'HTTPS vieni rediretto sul sito sicuro. Nella sezione sopra, quella HTTPS (porta 443), ho indicato le posizioni dei certificati, l'ip interno del web server da esporre (da notare che può essere anche solo HTTP ma verso l'esterno viene fatto transitare HTTPS), come AuthName non mettete nulla di personale perché è visibile a chiunque prima dell'autenticazione e poi c'è il file dove salverete utente e password.

Fatto in questo modo potete accedere da internet al vostro servizio web semplicemente con https://tuo.dominio.it/ vi apparirà la richiesta di nome utente e password e tutto quanto transiterà in maniera cifrata.