vitocola.it

Condividere saperi, senza fondare poteri
Browsing category: Hardware/Software, webwired
0 comments

Ninux Day 2016

A Firenze, nell’ex villa rurale del 1500 di ExFila (che fu la storica sede della fabbrica di matite Fila), dal 26 al 27 novembre ci sarà il Ninux Day, organizzato dalla wireless community network ninux.org.

Tutti i membri delle community italiane ed europee e gli appassionati delle reti free, si riuniranno per discutere di:

* rete come bene comune
* networking spontaneo, dal basso
* governance di comunita’ decentralizzate
* aspetti legislativi legati alle community networks e delle reti wireless
* espressioni artistiche nell’ambito delle community networks o reti wireless
* reti cittadine
* wireless mesh networks
* protocolli di routing
* sistemi operativi FLOSS orientati al networking
* management e monitoring distribuito
* servizi distribuiti e decentralizzati
* fog computing e cloud (IaaS) distribuito
* reti resilienti

Se volete farvi un’idea su Ninux e le reti libere ne parlavo un po’ di tempo fa qui e qui.

Se invece volete proporre un talk o un workshop, potete invia un’e-mail a contatti@ninux.org con una breve biografia e un abstract da 50-100 parole entro il 15 Novembre.

Dove: Exfila, Via Leto Casini 11, Firenze
Wiki: http://wiki.ninux.org/NinuxDay2016
Blog: http://blog.ninux.org
Mappa dei nodi ninux: http://map.ninux.org

0 comments

La nostra sicurezza nelle chat

In una ricerca pubblicata qualche giorno fa, Amnesty International ha stilato una classifica di 11 aziende (Apple, Blackberry, Facebook, Google, Kakao Corporation, LINE, Microsoft, Snapchat, Telegram, Tencent e Viber Media), proprietarie di applicazioni di messaggistica istantanea, che hanno maggior rispetto per la privacy dei loro clienti.

prismPeccato che sia in testa che in coda alla classifica ci siano gli stessi nomi che dal 2007 al 2013 erano presenti nel famoso caso PRISM.  Amnesty International non ignorava la cosa e ha chiarito di essersi interessata alle aziende “commerciali” con le applicazioni più diffuse. Ecco perché, per esempio, non c’è Signal che appartiene a un gruppo non-profit.

In sostanza Amnesty classifica quelle aziende con più attinenza e rispetto della propria policy in modo da consigliarci un male minore.

I criteri indagati sono stati 5 (1-riconoscere le minacce online alla libertà di espressione e diritto alla privacy come i rischi per i suoi utenti attraverso le sue politiche e le procedure; 2- applica la crittografia “end-to-end” di default; 3-sensibilizza gli utilizzatori sulle minacce alla loro privacy e alla libertà di espressione; 4-rivela i dettagli del richieste del governo per i dati utente; 5-pubblica i dati tecnici del suo sistema della crittografia) ma nessuna analisi tecnica è stata condotta sulla sicurezza globale del servizio di messaggistica.

Precisiamo che neanche con la crittografia “end-to-end”  si è al riparo dagli spioni, poiché sarebbe sempre possibile entrare in possesso delle chiavi crittografiche private con un po’ di “social engineering”, ad esempio, fingendosi uno dei destinatari, oppure assicurandosi il controllo di un nodo della connessione, o anche semplicemente accedendo ai dati di backup del cloud, ecc…., più o meno quello che la NSA faceva con x-keyscore.

Dunque, forse, sarebbe stato più utile considerare “se, dove e come” queste aziende conservano i dati dei clienti.

overall-ranking

Per farla breve ne viene fuori che WhatsApp (il più utilizzato sia per numero di ore che per frequenza di utilizzo e che usa lo stesso protocollo di Signal) è la chat più sicura di tutte, superando anche la concorrente Telegram che, invece, dal 2015  ha messo in palio 300mila dollari per chiunque riesce a superare il proprio sistema di sicurezza.

Ultima cosa importante del documento di Amnesty è che solo la metà delle aziende intervistate, rende pubblico un report sulla quantità di dati degli utenti che viene dato ai governi in seguito a esplicite richieste.

Ma allora, qual è l’app di messaggistica più sicura?

 

ALLO di Google neanche a parlarne. A parte la crittografia traballante c’è quel forte interesse (comune a tutte le aziende) a far soldi con i dati degli utenti che qui viene affinata ancor di più attraverso la “machine learning”. Si tratta di un servizio di profilazione avanzato degli utenti con il quale Google capisce sia il testo che le immagini contenute nei messaggi. In tal modo l’app riesce sia a suggerire frasi automatiche in risposta a delle immagini inviate che consigliare dei risultati di ricerca con una geolocalizzazione rapida su Maps in funzione del contenuto del testo digitato.  Dunque tutto il contrario della privacy dell’utente.

WhatsApp è la più popolare in assoluto, supera il miliardo di utenti e, come dice Amnesty, usa una crittografia end-to-end.  Il problema serio è rappresentato dalla raccolta di dati e metadati (la lista dei contatti, numeri di telefono e a chi si scrive) che Facebook può utilizzare per i propri fini e anche consegnarli alle autorità qualora venissero richiesti. Se poi si sceglie di salvare i contenuti delle conversazioni su cloud si completa il quadro del rischio per l’utente.

Telegram usa il protocollo MTProto definito, però, “traballante” da Thaddeus Grugq. A suo demerito va detto che salva tutti i dati sui propri server in chiaro e a suo merito i “bot” e le api libere per poterli creare, ma sopratutto i “canali” con i quali è possibile comunicare istantaneamente con un grandissimo numero di utenti.

Il migliore è sicuramente Signal e non perchè  l’abbia detto Snowden un anno fa, piuttosto per la sua filosofia di base che lo rende più sicuro.  signalIntanto è un sistema aperto e questo già basta a garantire sulla sicurezza da solo. Anche se può sembrare un ossimoro, in realtà  quando i codici sorgenti sono aperti, chiunque può migliorarli creando patch e sviluppi alternativi attraverso collaborazioni diffuse e riutilizzo del codice.

Inoltre Signal non raccoglie dati e metadati degli utenti da nessuna parte, ma annota soltanto i tempi di connessione. Anche quando chiede di condividere i contatti (in modo da trovare chi usa la stessa app) tutta l’operazione viene subito cancellata dai server.  Non essendo presente la funzione di backup della chat, nel caso si cambiasse smartphone, si dovrà spostare tutto a mano.

E’ stata creata da Open Whispers System, una società no profit che si finanzia solo con le donazioni volontarie. L’unico neo di questa app è quella di essere poco diffusa (sembra che sia stata scaricata da poco più di 1 milione di utenti contro il miliardo di utenti dichiarato da WhatsApp) e probabilmente resterà tale proprio a causa della sua filosofia sulla sicurezza che la rende poco user friendly.

0 comments

Panama papers e altri numeri

Conto corrente estero e conto offshore

da l’Espresso

Per lo Stato italiano, e per l’Europa, è possibile possedere un conto corrente all’estero a patto che venga dichiarato fiscalmente, inserendolo nella dichiarazione dei redditi (nell’apposito quadro RW della dichiarazione dei redditi a partire da una giacenza o movimentazione annuale pari o superiore a 15 mila euri). La banca estera nella quale si apre il conto è obbligata a comunicare allo stato di residenza del correntista tutte le informazioni relative al conto corrente.
Il correntista, di conseguenza, verserà un’imposta (Ivafe) sul suo valore del deposito pari al 2 per mille, oltre alla normale tassazione sulle plusvalenze realizzate.
Sostanzialmente è come tenere un conto in una banca italiana, l’unica convenienza potrebbe essere rappresentata da migliori condizioni sulla tenuta del conto, da servizi più efficaci ed efficienti o dalla convinzione di aver depositato i propri soldi in una banca più solida e più sicura ma, credo, niente di più.
Chi mira, invece, a risparmiare sul pagamento delle tasse dovrà eludere tutta la procedura ufficiale e seguirne una “offshore”, ovvero aprire un conto estero sul quale le tasse non vengono pagate grazie alla segretezza dell’identità del correntista.

Panama papers

Questo è proprio il punto nodale di un conto offshore: la segretezza. Ma non è cosa semplice da realizzare. Considerato l’obbligo della trasparenza delle aziende e il grande impegno dell’OCSE nella lotta contro i paradisi fiscali, diventano indispensabili almeno due cose: primo rivolgersi a uno dei 14 paesi dove è ancora possibile richiedere segretezza (Belize, Brunei, Isole Cook, Costa Rica, Guatemala, Filippine, Liberia, Isole Marshall, Montserrat, Nauru, Niue, Panama, Uruguay e Vanuatu) e poi affidarsi a società o agenzie specializzate che riescono a far arrivare il denaro sul conto corrente di questa banca estera senza lasciare tracce. Anche tracce come le “ Panama papers”. Quasi dodici milioni di documenti, relativi a transazioni finanziarie segrete, sottratti allo studio Mossack Fonseca da un anonimo whistleblower che, come dice l’Espresso, li ha forniti al quotidiano tedesco Suddeutsche Zeitung che, a sua volta, si è rivolto al ICIJ (l’International Consortium of Investigative Journalists che ha condiviso il lavoro e la scoperta con le 378 testate partner tra cui l’Espresso).
Siccome stiamo parlando di 2,6 terabyte di dati, c’è chi sostiene che non si tratti di una semplice gola profonda ma crackers che hanno sfruttato la vulnerabilità di un vecchio plugin su WordPress (“Revolution Slider” che in una sua versione non aggiornata fa caricare una shell remota – corretta già da due anni da Wordfence) e di un server di posta, al quale accedevano tutti i clienti dello studio, che risedevano sullo stesso network.
Insomma una grossolana leggerezza che ha permesso di scaricare, per mesi, tutto l’archivio dello studio Mossack Fonseca. Infatti, dopo il 3 aprile, il loro dominio è passato a Incapsula che ha trasferito tutto su server neozelandesi.

Crackers?

Crackers perché l’operazione è stata pagata (non si sa se commissionata o offerta) e la filosofia hacker non collima con questa tipologia di finalità; e poi perché nella rete hacker non c’è stata nessuna eco dell’impresa.
Pagata dagli americani perché l’ICIJ è stato fondato da un giornalista americano (Chuck Lewis) ed è sostenuta da: Adessium Foundation, Open Society Foundations, The Sigrid Rausing Trust, Fritt Ord Foundation, Pulitzer Center on Crisis Reporting, The Ford Foundation, The David and Lucile Packard Foundation, Pew Charitable Trusts and Waterloo Foundation.
Tant’é che, al momento, tra tutti gli americani presenti nei documenti, non è ancora saltato fuori nessun nome eccellente a fronte dei 140 politici e uomini di Stato del resto del mondo.

I numeri

215 mila le società coinvolte, riferite a 204 nazioni diverse e 511 banche (tra cui le italiane Ubi e Unicredit);
378 giornalisti, in un forum chiuso, analizzano un database di 2,6 terabyte lungo 38 anni di registrazioni.
800 sono gli italiani coinvolti e tutto quello che ne verrà fuori continueremo a leggerlo sulle maggiori testate giornalistiche del mondo.

0 comments

Meerkat on Android

Screenshot_2015-05-23-13-15-14Meerkat è il nome con il quale gli africani chiamavano il Suricata. Venne introdotto nella lingua inglese attraverso un errore di comprensione dall’olandese che invece con quel nome identificavano un Cercopithecus.
C’è chi sostiene che la derivazione sia sanscrita, ma questa è un’altra storia. Sicuramente a molti il suricata, farà venire in mente “Hakuna Matata” cantata da Timon e Pumbaa nel Re Leone; ma noi ci occuperemo qui, più semplicemente,  di un’app per lo streaming video.

E Periscope?
Perché parlane ora dal momento che l’app c’è già da un po’ di tempo? Anzi sono già forti le polemiche e la concorrenza con Periscope? Semplicemente perché da poco è stata rilasciata sullo store di Google ed è fuori dalla beta anche per i dispositivi Android.
Diciamo subito, così ci togliamo il dente, che le differenze più vistose con Periscope sono la completa integrazione-complicità con Twitter (ma prima che Twitter comprasse Periscope c’era anche per Meerkat) e le possibilità sia di far rivedere lo streaming in replay che di crearne uno privato che Meerkat non fa.  Però mentre Periscope  è presente soltanto su Apple Store, Meerkat lo trovate anche sul Play di Google e questo basta e avanza.

Ma andiamo alla parte pratica.
Per avviare l’app avrete bisogno di un account Twitter (a breve sarà possibile accedere anche con un account Facebook, cosa già possibile con la versione 1.3.1  per iOs) e dell’uso della fotocamera del device (fronte, retro o flash lo sceglierete in avvio di streaming).
Partita l’app vedrete in alto a sinistra, in un quadratino, il vostro account twitter e il vostro “score” (se ci fate tap col dito vedrete following, followers e il tasto del log-out ); al centro la faccina del suricata con il profilo a destra (in questo caso vedrete in basso soltanto 3 live streaming), se ci tappate su, si gira a sinistra e vi mostra tutto il live di quel momento.
A destra trovate una lente d’ingrandimento per cercare i follower e una medaglia (Leaderboard) che vi mostrerà la classifica degli utenti più seguiti (Nora Segura, Madonna, ecc…), quindi se volete iniziare a seguire qualcuno potete iniziare anche da qui.
Più sotto una piccola barra vi invita a scrivere qualcosa (write what’s happening) che sarà il titolo del vostro streaming, mentre più sotto vedrete scorrere le finestre del live streaming . Se qualcosa vi incuriosisce basterà tapparci sopra per guardare, commentare, metterci un like o condividere su Twitter.
Per lanciare il vostro streaming premete sul rettangolino con su scritto “Stream”; parte subito, quindi tenetevi pronti già con la prima inquadratura. In alto vedrete gli utenti che  guardano il vostro video  in quel momento (now watching) mentre dal basso scorreranno gli eventuali commenti.
Per terminare premete “Stop” e Meerkat vi mostrerà il totale delle persone che l’avranno visto.

0 comments

Android a rischio (UI State Inference Attack)

Secondo un team di ricercatori della University of Michigan e dell’Università della California,  una “debolezza” di Android metterebbe a rischio la sicurezza dei dati dell’utente del dispositivo.

Stiamo parlando di “UI State Inference Attack” ovvero l’attacco all’interfaccia dell’utente che avvalendosi di autorizzazioni alla condivisione della memoria, concesse da Android senza speciali permessi per consentire a un’applicazione di raccogliere informazioni sullo stato di altre applicazioni, permette di prelevare facilmente i dati dell’utente.

Zhiyun Qian, professore in sicurezza informatica presso l’Università della California, mette sull’avviso gli utenti sui seri rischi derivanti da questa debolezza e in un video da qualche esempio di come può funzionare l’attacco: per esempio rubare il nome utente e la password dell’applicazione “H&R Block”, copiare l’immagine di controllo presa dall’applicazione “Chase Bank”  e recuperare le informazioni della carta di credito da “NewEgg”.

I ricercatori hanno aggiunto che questo tipo di attacco, non basandosi su una falla del sistema, è possibile replicarlo anche su altre piattaforme.

0 comments

Mohiomap organizza la tua discarica info

Dice Catherine Shu che dopo essersi accorta di aver usato Evernote come una discarica di informazioni, ha provato ad usare Mohiomap, una web app che trasforma tutte le note e i file di Evernote, di Google Drive e Dropbox in mappe mentali.
In sostanza si passa da un concetto lineare (liste o elenchi) ad uno rizomatico (rete o mappa) di organizzazione delle informazioni archiviate sui diversi cloud.
La nuova forma semantica delle informazioni, secondo Christian Hirsch,  dovrebbe aiutare le persone ad organizzare meglio i loro contenuti e collegarli tra loro.
Al momento la versione gratuita permette solo di visualizzare e navigare tra le proprie mappe ma se si vogliono creare delle connessioni trai i vari nodi, accedere a una dashboard di analisi e aggiungere commenti alle note o ai file,  ci vuole un account “Premium” e 5 dollari al mese.
0 comments

Un acquisto giusto

Non faccio pubblicità (nessuno mi paga) ma questo nuovo smartphone credo che vada consigliato agli amici o comunque a chiunque sia interessato all’acquisto di qualcosa di simile e voglia risparmiare un bel po’.
Si chiama “OnePlusOne” e se leggete le sue specifiche tecniche non potete che rimanerne sorpresi.
Processore Qualcomm Snapdragon 801 con una Quad-Core CPU clockata a 2.5GHz; un nuovo EMMC 5.0 con accesso in scrittura a 400MB/s; RAM I XGB di LP-DDR3 clockata a 1866MHz e fotocamera Sony Exmor IMX214 da 13 Megapixel.
Interessante anche la politica della privacy con la CyanogenMod che protegge la tua identità crittografando automaticamente tutti i dati al momento dell’invio.
I prezzi vanno da € 269 per il 16 Gb a € 299 per il 64 Gb, dunque notevolmente al di sotto dei suoi concorrenti (S5 e iPhone 5s, solo per citarne due).
L’unico problema è che per averlo, direttamente dalla casa madre, bisogna prenotarsi per l’acquisto e dal momento della sua disponibilità avete 24 ore per acquistarlo.
Ovviamente lo si trova anche altrove ma a prezzi leggermente maggiorati.