vitocola.it

Condividere saperi, senza fondare poteri
Browsing category: hacking/hacktivism, sicurezza, webwired
0 comments

Un trojan di stato alla prova dei fatti

Come funziona e quanto è sicuro un “captatore informatico”?

Sul sito DDAY.it, già all’epoca dell’hackeraggio del sito di HackingTeam, era possibile trovare una dettagliata descrizione del funzionamento del famoso RCS Galileo (il captatore informatico creato da HackingTeam, l’azienda italiana che fornisce questa suite di intelligence a oltre 21 stati nel mondo) ma il Collettivo Autistici Inventati fa di più: installa e mette in funzione il software simulando un’intrusione vera e prorpria. In tal modo mette alla prova “RCS Galileo” e soprattutto dimostra come, alla prova dei fatti, il DDL Orlando appena licenziato anche alla Camera, apra la strada a un pericoloso abbassamento non solo della privacy dei cittadini ma anche della loro sicurezza.

galileo from cami on Vimeo.

0 comments

WannaCry: che fare?

Qualche giorno fa, oltre duecentomila computer nel mondo, sono stati infettati da un ransomware che, come al solito, ha criptato i file (rendendoli inaccessibili) per poi chiedere il pagamento in cambio della chiave di decriptazione. Il malware si chiama WannaCry  e si è diffuso con una rapidità incredibile in un bel numero di paesi; ha sfruttato una falla di sicurezza nel sistema di condivisione dei file e di conseguenza ha avuto gioco facile all’interno delle reti a dominio Windows.

La debolezza era già nota a Microsoft, poiché l’exploit usato (EternalBlue), messo a punto dalla NSA per i loro consueti usi di spionaggio, era stato rubato dal gruppo Shadow Brokers che l’aveva messo on-line ad aprile (una settimana dopo che Trump aveva ordinato il bombardamento della base siriana).

Infatti Microsoft, il 14 marzo, aveva rilasciato degli aggiornamenti, per corregge la modalità con le quali SMBv1 gestisce “le richieste appositamente create a un Microsoft Server Message Block 1.0“.  

Ma si sa che gli utenti windows sono dei buon temponi che non badano troppo agli aggiornamenti di Windows Update (a dirla tutta sono forse gli unici utenti che stanno loggati h24 come administrator sulle proprie macchine) e che hanno permesso a WannaCry di moltiplicarsi a dismisura. Poi nelle lan aziendali, dove le politiche di aggiornamento sono elefantiache, l’intrusione è stata uno scherzetto (benedetto WSUS).

Ora, se non siete stati infettati (e l’Italia è fra le nazioni meno colpite) potete semplicemente avviare Windows Update, verificare la presenza di aggiornamenti e installarli subito, altrimenti vi tocca ripristinare i file dal vostro backup. Se non avete fatto neanche quello… pazienza, vi servirà da lezione e magari, poi, imposterete gli aggiornarsi in modalità “automatica”.
Anche per quelli che ancora smanettano su Windows XP (un sistema ormai dismesso da Microsoft) è stato diffuso un aggiornamento di sicurezza che dovrebbe metterli al sicuro.

Questa era la parte, per così dire, tecnico-descrittiva dell’azione, ora dovremmo cercare di capirne la natura e la logica sottesa a quello che solitamente ci raccontano.

Edward Snowden sostiene che gli attacchi alla rete arrivano anche dagli stati nazionali che si combattono, attraverso le agenzie di intelligence, a colpi di software malevoli. Forse non è un caso se WannaCry sia una diretta derivazione di quello della NSA.

Brad Smith, president and chief Legal Officer di Microsoft, ha detto che questo attacco fornisce un esempio della grande attività di “stoccaggio delle vulnerabilità da parte dei governi”: un po’ come se rubassero agli Usa qualche suo missile Tomahawk. 

Secondo altri, esistono consistenti evidenze di legami tra Shadow Brokers e Putin. Proprio Shadow Brokers aveva detto a Trump di aver votato per lui, ma di aver perso la fiducia riposta nell’attività del neo presidente.

Per tutto il resto vi consiglio questo articolo di Daniele Gambetta su Il Manifesto.

0 comments

Il mio primo Sinclair QL

Gli anni ’80 possono essere ricordati, tranquillamente, per le “musicassette” che, a tutti gli effetti, sono state le chiavi per aprire il mondo conosciuto e quello conoscibile.

Credo di essermi sentito un pirata per la prima volta, dopo aver duplicato della musica da una cassetta originale a una vergine o, come molti altri, dopo aver registrato dei pezzi col miscrofono direttamente dalla radio per poi riprodurli e diffonderli (anche se quest’attività la facevo già da qualche anno prima, con la trasmissione “Pop-Off” che andava in onda dopo le 21 sul secondo canale della Rai) .

Poi mi sentivo un vero e proprio hacker quando duplicavo una cassetta per un datasette.

Insomma le musicassette stavano dappertutto: nelle case, nelle auto, in giro nei walkman e io ne avevo la stanza piena fino al soffitto. Fu, probabilmente, questa la ragione che mi spinse ad avvicinarmi al QL, l’ultimo prodotto di casa Sinclair (CPU Motorola 68008 a 7.5 MHz e 128k di RAM). Perchè QL, oltre al suo Qdos multitasking e al suo SuperBasic, utilizzava dei mini supporti di memorizzazione magnetici, i ZX Microdrive, sui quali girava anche una suite office di serie (word processor, foglio di calcolo, database e grafica) sviluppati dalla Psion.  Altra novità erano le due porte QLAN che permettevano di creare una rete di QL e/o Spectrum a 100 Kbaud.

In sostanza Sinclair cercava di intromettersi in un mercato ancora fortemente diviso tra computer home e sistemi professionali, facendo da cerniera tra i due mondi.

Le cose, però, non andarono proprio nel modo sperato: il periodo fu infelice a causa dell’uscita di Macintosh 128k e della fretta che ebbe la Sinclair nel lanciare il QL prima di Apple. Forse proprio quella fretta fece partorire un prodotto con diversi difetti sia nell’hardware che nel software.

Quei mini supporti magnetici, poi, si rivelarono poco affidabili e poco capienti (100 Kb) e il Qdos fu costretto a un numero imprecisato di patch. Anche la compatibilità con gli altri prodotti della stessa casa andò a farsi benedire, mentre sul mercato si affacciavano macchine con architetture più performanti.

Insomma nel giro di qualche anno, con l’acquisizione d Sinclair da parte di Amstrad, il QL esce completamente di scena e io invece ci continuai a lavorarci, giocarci per quanto possibile; anzi grazie a quel QL sviluppai una passione che porto ancora dentro.

Poi come fai a non commuoverti davanti a una coriacea community che è attiva ancora oggi.

0 comments

Ninux Day 2016

A Firenze, nell’ex villa rurale del 1500 di ExFila (che fu la storica sede della fabbrica di matite Fila), dal 26 al 27 novembre ci sarà il Ninux Day, organizzato dalla wireless community network ninux.org.

Tutti i membri delle community italiane ed europee e gli appassionati delle reti free, si riuniranno per discutere di:

* rete come bene comune
* networking spontaneo, dal basso
* governance di comunita’ decentralizzate
* aspetti legislativi legati alle community networks e delle reti wireless
* espressioni artistiche nell’ambito delle community networks o reti wireless
* reti cittadine
* wireless mesh networks
* protocolli di routing
* sistemi operativi FLOSS orientati al networking
* management e monitoring distribuito
* servizi distribuiti e decentralizzati
* fog computing e cloud (IaaS) distribuito
* reti resilienti

Se volete farvi un’idea su Ninux e le reti libere ne parlavo un po’ di tempo fa qui e qui.

Se invece volete proporre un talk o un workshop, potete invia un’e-mail a contatti@ninux.org con una breve biografia e un abstract da 50-100 parole entro il 15 Novembre.

Dove: Exfila, Via Leto Casini 11, Firenze
Wiki: http://wiki.ninux.org/NinuxDay2016
Blog: http://blog.ninux.org
Mappa dei nodi ninux: http://map.ninux.org

0 comments

L’internet delle cose vostre

Prima di raccontavi questa storia è bene evidenziare 4 parole chiave.

IoT

è l’acronimo di Internet of things (Internet delle cose) ed è la possibilità concessa agli oggetti di connettersi alla rete e comunicare tra loro. Per esempio un piccolo termostato installato su un frigorifero, un forno, una caldaia, che avvisa via internet il raggiungimento di una temperatura, oppure delle scatoline porta-farmaci che fanno squillare il cellulare di un familiare se il nonno si dimentica di prendere la pillola, tutte le smartTV, l’impianto di riscaldamento o di climatizzazione, ecc….  Insomma tutti quegli oggetti che attraverso un protocollo IP sono in grado di dialogare con qualche nodo della rete Internet e dei quali ci occupiamo poco in termini di sicurezza perché ci viene facile pensare che nessuno voglia entrare nel nostro tostapane.

DNS

è l’acronimo di Domain Name System e serve a “risolvere” i nomi dei nodi della rete in indirizzi IP e viceversa. Per esempio se digitiamo sulla barra degli indirizzi del nostro browser questo indirizzo IP: 216.58.198.36 ci comparirà la pagina di Google, come se avessimo scritto www.google.com. Sostanzialmente a questo serve il DNS e prima della loro invenzione (giugno 1983) se avessimo voluto trovare Google avremmo dovuto conoscere esattamente il suo indirizzo IP.  In pratica, ogni dominio internet viene registrato con un indirizzo IP pubblico e un nome, poi dei database sui server DNS si incaricano di accoppiarli sempre.

Ddos

Il Distributed Denial of Service è un tipo di attacco malevolo che, sfruttando la logica della comunicazione con il protocollo TCP, consiste nell’inviare molti pacchetti di richieste a un server il quale, dovendo rispondere necessariamente a ogni richiesta, si “ingolfa” al punto da rendersi inefficiente.  Quindi tutti gli apparati collegati a internet con TCP sono potenzialmente soggetti a questo tipo di attacco. Ovviamente maggiore è la quantità delle richieste inviate al server e più letale sarà il Ddos, ecco perché, prima di sferrare l’attacco, i cracker devono mettere insieme un buon numero di macchine attaccanti.  Siccome queste macchine sono poi individuabili, i cracker infettano prima un buon numero di apparati, attraverso virus che aprono delle porte esterne, e poi le comandano da remoto. Tutti questi computer diventati “zombie” entrano a far parte della BotNet che diventa la vera macchina da guerra.  E’ interessante sapere che vengono preferite le macchine che eseguono Windows perché è più facile inoculare un trojan ed è praticamente assicurata la diffusione dell’infezione a tutti i contatti presenti sul computer, quindi automaticamente ingigandire la botnet.

ddos-attackEra la primavera del 2013 e i server di  Spamhaus, un’organizzazione che fornisce filtri per bloccare lo spam nelle email, subisce una serie di attacchi informatici che costringono a una navigazione lenta e addirittura nulla in intere regioni del Belgio, Lussemburgo, Olanda, Gran Bretagna e in minima parte anche in Germania e in Francia. Si tratta di attacchi Ddos partiti ai primi di marzo in sordina e che verso la metà del mese erano diventati già insostenibili per i server di Spamhaus. La mole di dati che bombarda questi server viaggiano, all’inizio, a circa 10 Gigabit al secondo, poi si incrementano fino a 100 Gigabit e alla fine raggiungono i 300 Gigabit per secondo (cioè una cosa come 300 miliardi di bit al secondo).  Subito dopo tutti parlano del più grande attacco informatico che la rete abbia mai conosciuto e, per inciso, i sospetti cadranno su  CyberBunker, un gruppo olandese di web hosting che era stato accusato, proprio da Spamhaus, di usare lo spam per la vendita di prodotti e per questo l’aveva inserito nella sua lista per i filtri antispam.  Anche se, in verità, la polemica era già iniziata prima, nel momento esatto in cui CyberBunker aveva ospitato il dominio di “The Pirate Bay”.

Fra coloro che subirono più disservizi ci fu la webtv Netflix che restò irraggiungibile per un bel po’ di tempo.

C’è di nuovo Netflix fra i siti bloccati con l’ultimo attacco Ddos di qualche giorno fa, insieme a Twitter, Spotify, Airbnb, Reddit, Etsy, SoundCloud, GitHub e The New York Times, giusto per fare i nomi più grossi.  La trama è simile a quella appena raccontata e si riparla del “più grande attacco a internet“: la tecnica è la stessa, cambia solo il target,  ma la quantità di dati inviati ai server attaccati è di oltre 620 Gigabit al secondo, più del doppio di quello del 2013.

Alla base c’è sempre il solito Ddos (ormai il 90% degli attacchi sono di questo tipo) ma la prima differenza è rappresentata dal bersaglio: i server di Dyn.com, una società che offre il DNS ai molti domini Internet, che appena attaccata crea un effetto domino su un numero incredibilmente alto di altri server che non riescono più ad essere raggiunti nella rete perchè non rispondono più alla chiamata in chiaro in internet. La seconda sostanziale differenza è costituita dalla botnet: non più un esercito di computer zombie ma una massa indecifrata di attrezzature e oggetti che utilizzano l’IoT:  immaginate un esercito zombie di frigoriferi, televisori, lavatrici, macchine fotografiche, termostati, router, telecamere, video registratori digitali, strumenti della robotica, ecc…. che lanciano l’attacco alla Dyn.

E’ da tempo che l’internet delle cose veniva accusato di non badare troppo alla sicurezza, lo diceva già Forbes nel 2014, per esempio.  Brian Krebs, fra i maggiori esperti di sicurezza informatica, l’aveva previsto e aveva lanciato l’allarme denunciando la presenza di un codice che alimenta la botnet costruita su IoT.

Insomma, l’attacco del 21 ottobre sicuramente farà storia per la semplicità con la quale è riuscita a piegare i grandi di internet senza attaccare i loro server. Farà anche accademia per quanti vorranno provarci seguendo uno dei tanti tutorial disponibili in rete e noleggiando una botnet per 5 dollari l’ora.

Chi è stato? Al momento è difficile dirlo o fare delle previsioni, tutte le strade sono aperte: un gruppo di cracker ingaggiati da qualche azienda o qualche partito? oppure una semplice prova sul campo di una nuova strategia di intelligence?

0 comments

La nostra sicurezza nelle chat

In una ricerca pubblicata qualche giorno fa, Amnesty International ha stilato una classifica di 11 aziende (Apple, Blackberry, Facebook, Google, Kakao Corporation, LINE, Microsoft, Snapchat, Telegram, Tencent e Viber Media), proprietarie di applicazioni di messaggistica istantanea, che hanno maggior rispetto per la privacy dei loro clienti.

<img class=”wp-image-4163 alignleft” src=”http://www this content.vitocola.it/wordpress/wp-content/uploads/2016/10/prism2-300×225.jpg” alt=”prism” width=”440″ height=”330″ srcset=”http://www.vitocola.it/wordpress/wp-content/uploads/2016/10/prism2-300×225.jpg 300w, http://www.vitocola.it/wordpress/wp-content/uploads/2016/10/prism2.jpg 700w” sizes=”(max-width: 440px) 100vw, 440px” />Peccato che sia in testa che in coda alla classifica ci siano gli stessi nomi che dal 2007 al 2013 erano presenti nel famoso caso PRISM.  Amnesty International non ignorava la cosa e ha chiarito di essersi interessata alle aziende “commerciali” con le applicazioni più diffuse. Ecco perché, per esempio, non c’è Signal che appartiene a un gruppo non-profit.

In sostanza Amnesty classifica quelle aziende con più attinenza e rispetto della propria policy in modo da consigliarci un male minore.

I criteri indagati sono stati 5 (1-riconoscere le minacce online alla libertà di espressione e diritto alla privacy come i rischi per i suoi utenti attraverso le sue politiche e le procedure; 2- applica la crittografia “end-to-end” di default; 3-sensibilizza gli utilizzatori sulle minacce alla loro privacy e alla libertà di espressione; 4-rivela i dettagli del richieste del governo per i dati utente; 5-pubblica i dati tecnici del suo sistema della crittografia) ma nessuna analisi tecnica è stata condotta sulla sicurezza globale del servizio di messaggistica.

Precisiamo che neanche con la crittografia “end-to-end”  si è al riparo dagli spioni, poiché sarebbe sempre possibile entrare in possesso delle chiavi crittografiche private con un po’ di “social engineering”, ad esempio, fingendosi uno dei destinatari, oppure assicurandosi il controllo di un nodo della connessione, o anche semplicemente accedendo ai dati di backup del cloud, ecc…., più o meno quello che la NSA faceva con x-keyscore.

Dunque, forse, sarebbe stato più utile considerare “se, dove e come” queste aziende conservano i dati dei clienti.

overall-ranking

Per farla breve ne viene fuori che WhatsApp (il più utilizzato sia per numero di ore che per frequenza di utilizzo e che usa lo stesso protocollo di Signal) è la chat più sicura di tutte, superando anche la concorrente Telegram che, invece, dal 2015  ha messo in palio 300mila dollari per chiunque riesce a superare il proprio sistema di sicurezza.

Ultima cosa importante del documento di Amnesty è che solo la metà delle aziende intervistate, rende pubblico un report sulla quantità di dati degli utenti che viene dato ai governi in seguito a esplicite richieste.

Ma allora, qual è l’app di messaggistica più sicura?

 

ALLO di Google neanche a parlarne. A parte la crittografia traballante c’è quel forte interesse (comune a tutte le aziende) a far soldi con i dati degli utenti che qui viene affinata ancor di più attraverso la “machine learning”. Si tratta di un servizio di profilazione avanzato degli utenti con il quale Google capisce sia il testo che le immagini contenute nei messaggi. In tal modo l’app riesce sia a suggerire frasi automatiche in risposta a delle immagini inviate che consigliare dei risultati di ricerca con una geolocalizzazione rapida su Maps in funzione del contenuto del testo digitato.  Dunque tutto il contrario della privacy dell’utente.

WhatsApp è la più popolare in assoluto, supera il miliardo di utenti e, come dice Amnesty, usa una crittografia end-to-end.  Il problema serio è rappresentato dalla raccolta di dati e metadati (la lista dei contatti, numeri di telefono e a chi si scrive) che Facebook può utilizzare per i propri fini e anche consegnarli alle autorità qualora venissero richiesti. Se poi si sceglie di salvare i contenuti delle conversazioni su cloud si completa il quadro del rischio per l’utente.

Telegram usa il protocollo MTProto definito, però, “traballante” da Thaddeus Grugq. A suo demerito va detto che salva tutti i dati sui propri server in chiaro e a suo merito i “bot” e le api libere per poterli creare, ma sopratutto i “canali” con i quali è possibile comunicare istantaneamente con un grandissimo numero di utenti.

Il migliore è sicuramente Signal e non perchè  l’abbia detto Snowden un anno fa, piuttosto per la sua filosofia di base che lo rende più sicuro.  signalIntanto è un sistema aperto e questo già basta a garantire sulla sicurezza da solo. Anche se può sembrare un ossimoro, in realtà  quando i codici sorgenti sono aperti, chiunque può migliorarli creando patch e sviluppi alternativi attraverso collaborazioni diffuse e riutilizzo del codice.

Inoltre Signal non raccoglie dati e metadati degli utenti da nessuna parte, ma annota soltanto i tempi di connessione. Anche quando chiede di condividere i contatti (in modo da trovare chi usa la stessa app) tutta l’operazione viene subito cancellata dai server.  Non essendo presente la funzione di backup della chat, nel caso si cambiasse smartphone, si dovrà spostare tutto a mano.

E’ stata creata da Open Whispers System, una società no profit che si finanzia solo con le donazioni volontarie. L’unico neo di questa app è quella di essere poco diffusa (sembra che sia stata scaricata da poco più di 1 milione di utenti contro il miliardo di utenti dichiarato da WhatsApp) e probabilmente resterà tale proprio a causa della sua filosofia sulla sicurezza che la rende poco user friendly.

0 comments

La banda dell’ultralarga

Ha ragione da vendere Massimo Mantellini quando mette il punto interrogativo sulle “competenze” di Enel, aggiungendo che “Solo un burocrate spericolato chiuso nel proprio ufficio può immaginare che l’infrastuttura digitale del Paese sia in fondo un gingillo tecnologico alla portata di chiunque”.

Stiamo parlando della “banda ultralarga”, annunciata da Renzi qualche giorno fa e che riguarda l’accesso a internet attraverso una connessione minima di 30 Mpbs.

Partiamo da un dato sostanziale: l’Italia è al 25° posto nella classifica dei 28 Stati membri dell’UE, con un accesso alla rete, geograficamente, molto divaricato; ovvero c’è una grande separazione tra le grandi aree urbane dove si accede a internet con la fibra ottica e le piccole aree dove a malapena si raggiungono i 10 Mbps. Se prendiamo come esempio la maggioranza dei comuni lucani, con i loro 2 o 4 Mbps, la velocità scende ancora di più.

Dunque aumentare la velocità delle connessioni e, soprattutto, diminuire (se non annullare) il digital divide, è una priorità imprescindibile.

Anche l’attuale governo se n’è occupato ponendo al centro della proprio proposta politica un’agenda digitale come azione programmatica improcrastinabile. Peccato che in realtà è una semplice bandierina per il marketing politico di Renzi.

Perché dico questo?

Perché non riesco a capire il motivo per il quale si cambia azienda di riferimento, scegliendo una semi-pubblica come Enel, ma si approva un progetto (Enel Open Fiber) che non prevede un intervento capillare sul territorio ma solo in zone economicamente più omogenee (cioè più convenienti dal punto di vista dell’investimento) e quindi con un approccio di tipo privatistico-imprenditoriale.

Il cluster A, quello “con il migliore rapporto costi-benefici, dove è più probabile l’interesse degli operatori privati a investire”, raggruppa le 15 principali città italiane (Roma, Milano, Napoli, Torino, Palermo, Genova, Bologna, Firenze, Bari, Catania, Venezia, Verona, Messina, Padova e Trieste) e le loro aree industriali, dove risiede il 15% della popolazione  (9,4 milioni di persone).
Il cluster B, diviso ulteriormente in cluster B1  e cluster B2, è formato da 1.120 comuni nei quali risiede il 45% della popolazione (28,2 milioni di persone).
Il cluster C , 2.650 comuni con il 25% della popolazione (15,7 milioni di persone) rappresenta le aree marginali e rurali a “fallimento di mercato” , sulle quali si prevede l’intervento del privato solo a condizione di un adeguato sostegno dello Stato.
Il cluster D con i restanti 4.300 comuni (in maggioranza al Sud) e il 15% della popolazione (9,4 milioni di persone)  è l’area dove è previsto soltanto l’intervento pubblico.

In pratica il progetto prevede di portare la banda direttamente in casa del cliente finale (FTTH) ma principalmente laddove conviene di più,  e accadrà che Enel si occuperà di portare la rete nei cluster denominati A e B (ma nel frattempo soltanto a 244 comuni l’ultralarga),  mentre gli altri due (C e D) dovranno continuare ad aggrapparsi alla rete cellulare (almeno laddove arriva il 4G); infatti il programma governativo prevede la copertura del 100% entro il 2020 ma limitatamente ai 30 megabit.

Se si considera che i comuni italiani sono 8.085 la copertura in fibra, al momento, interesserà soltanto  il 3% del territorio.

In conclusione, quasi tutto il sud resterà al palo e per la Basilicata le cose non sono certo migliori.
Basta andare sul sito Infratel Italia  per scoprire che i 100 megabit sono previsti  soltanto nelle due città capoluogo, che in 64 comuni è in corso di completamento la 30 Mega e che nei restanti 65 comuni si oscillerà tra i 2 e i 20 mega.