Considerazioni a contorno

Relativamente al precedente post, aggiungo alcune precisazioni:

• in primis, le considerazioni non sono in contrasto con gli articoli dai quali sono partito;
• ho riletto i suddetti articoli, stavolta più interessato alla notizia che alle mie elucubrazioni, e non mi è sfuggita la annotazione che un segno del cambiamento è l'annuncio che YouTube condividerà i propri guadagni con gli utenti.

(Apro una premessa: qui entro molto più che in altri casi, pertanto inauguro la sezione "Considerazioni personali")
Mi sembrava una incompletezza non considerare che adesso, ai programmi televisivi della notte, i genitori dovranno preoccuparsi dei contenuti disponibili a tutte le ore del giorno.
Si potrebbe dire che l'accesso a certi contenuti è comunque più difficoltoso: la mia figlioccia, a quattro anni, avvia e gioca con un PC linux... A voi le conclusioni!

Metti il cassetto nel televisore

Apprendo da questo post che Bill Gates ipotizza una breve durata per la televisione come la conosciamo.
Bhè, guardando la televisione di oggi, non c'è che da attendere che il tempo passi in fretta :-)
Solo che, se a dirlo è il produttore di un S.O., la deformazione professionale mi fa sperare che, almeno parlando di tecnologia, questa non cambi troppo repentinamente: oggi, per non vedere un contenuto, basta cambiare canale. Questo non è solo il limite ed il vantaggio dell'offerta limitata, ma anche di una strumentazione semplice ma altrettanto poco pericolosa. Se la televisione del futuro ipotizzata da Gates è una evoluzione di Media-Center (o prodotti analoghi, per carità, non sto parlando di Windows-contro-tutti!), non siamo certamente sulla buona strada.
Oggi, l'utente medio fa fatica a proteggere il PC, con il quale si "impegna" a lavorare, o ama giocare/impegnare il proprio tempo. Nessuna soluzione casalinga PC-like unisce semplicità e sicurezza ad un livello paragonabile ad un elettrodomestico senza un adeguato controllo, ad oggi. Basta leggere i vari articoli sulle "botnet", quelli non inutilmente allarmistici, intendo, per immaginare l'utente medio che la sera, davanti alla TV del futuro, si pone il problema che il proprio apparato multimediale abbia prestazioni adeguate o sia stranamente sovraccaricato...
In definitiva, chi ha bisogno di un tray dentro un televisore?
Magari il problema è un altro: se metto un tray nel televisore, cosa ci potrò trovare dentro?

Aggiornamento del sito web

Non ho resistito... Se qualcuno è capitato in passato nelle sezioni contenenti i documenti, avrà visto le presentazioni in formato "html" di Powerpoint... Bhè, ho scoperto la funzione di esportazione Flash di OpenOffice e... il risultato è notevolmente migliore!

Spazi di discussione

Ieri è stata annunciata la chiusura della Mailing List Teach.
Da quando faccio questo lavoro, è la seconda lista che ritengo interessante che chiude. La prima, è stata la storica e, direi, mitica it.comp.sicurezza.cert-it, la prima lista alla quale ho partecipato, dove sono stato talvolta "moderato", nella quale si affrontavano a 360° le tematiche di sicurezza E tecnologiche. Purtroppo, anche essendo presenti altre buone liste alle quali sono iscritto, queste non riflettono i toni quasi sempre pacati e lo spirito di condivisione che si respirava allora, e la pazienza di coloro che si prodigavano anche a cavillare su concetti che oggi possono sembrare banali, ma che allora erano know how di pochi.
Negli ultimi post della Teach-Sicurezza è stato detto che questa moria di liste è forse dovuta ai blog o ad altri mezzi di scambio di informazioni. Non credo. A mio avviso, quella che è venuta a mancare è la partecipazione degli utenti della sicurezza e l'interesse dei neofiti a tematiche che siano più "alte" rispetto allo specifico prodotto o soluzione tecnologica.
E sopratutto, la concenzione che questo tipo di mailing list non servono solo e soltanto a risolvere il problema di qualcuno, ma per scambiare opinioni sulla natura del problema stesso, su come evolvono i problemi e le relative soluzioni.

Disponibilità wireless

Per molti è sinonimo di disponibilità.
La connettività wireless è uno dei mezzi con i quali, a quanto si dice, si garantirà l'accesso ad internet ad alta velocità a coloro i quali non sono ancora stati raggiunti da ADSL o addirittura dal mitico "doppino".
Per inciso, nella diatriba sul Wi-Max trovo alquanto faziosa la motivazione relativa al fatto che la completa liberalizzazione consentirà effettivamente di portare a chicchessia la connettività a banda larga, poichè mi sfugge perchè per collegare uno chalet di montagna da Bell a oggi non si sia usato un cavo, mentre si dovrebbero installare appositamente dei ripetitori di segnale; al contrario, ho chiarissimo il termine economico della cosa.
Volevo comunque approfittare della recensione di questa notizia perchè ultimamente, parlando di Wi-Fi, ho notato come troppo spesso ci si concentri prevalentemente sul problema della riservatezza della comunicazione e dell'autenticazione dei nodi, aspetto certamente importantissimo, minimizzando al contrario un limite intrinseco della tecnologia, ovvero proprio la disponibilità della connessione, che come l'articolo racconta, può essere oggi minata da un apparato della dimensione di un pacchetto di sigarette!

Sensazionalismo o incomprensione, ma il PC non si accende da solo...

7 Gennaio. Caminetto acceso, come di consueto nei giorni di festa, televisione accesa in attesa del cartone animato di turno per i bambini, telegiornale. Una notizia attira la mia attenzione:

Allarme hacker nel mondo. Migliaia di pc in stand by, al chiuso dei nostri uffici e delle nostre case, sarebbero controllati a distanza da hacker senza scrupoli, che aspettano solo l'ora e l'occasione piu' propizia per accenderli segretamente, a nostra insaputa, e utilizzarli ai fini piu' diversi, tutti rigorosamente e scrupolosamente illegali.

Ecco, ci risiamo. Ho capito male io? I PC si accendono e iniziano a fare cose strane? Nessuna, ahimè, indicazione più tecnica, ma frasi del tipo:

Sembra la trama di un film di fantascienza e invece e' la nuova, concretissima frontiera del crimine cibernetico.

Allora ho capito bene, evidentemente c'era uno spazio del TG da riempire. Magari nel mondo non è successo niente di grave, allora potremmo forse sopportare...
Non resisto, vado sul web a vedere cosa è successo. Purtroppo, non ho spolverato il PC, nonostante i giorni di festa era ancora caldo, ma avevo accuratamente evitato le news. Trovo la fonte, il cui titolo non è meno altisonante, anche se il contenuto è meno fantascientifico:

Web: armata Computer Zombie vince
Compagnie sicurezza alzano bandiera bianca

Vado quindi alla fonte della fonte della *sconcertante* notizia, tra i diversi passi, cito

“It’s the perfect crime, both low-risk and high-profit,” said Gadi Evron, a computer security researcher for an Israeli-based firm, Beyond Security, who coordinates an international volunteer effort to fight botnets. “The war to make the Internet safe was lost long ago, and we need to figure out what to do now.”

Certamente, questo spunto porta ad una riflessione: infatti l'articolo, che si sviluppa in modo più articolato di un'ANSA, analizza e chiarisce in modo più adeguato il problema e propone quella che a mio avviso è la chiave di lettura più corretta: il problema, non è legato alla tecnologia in se, ovvero non stiamo parlando di qualcosa di veramente nuovo, neppure, se vogliamo, per quanto riguarda le modalità con le quali si vanno a creare queste botnet. Il problema principale consiste nel fatto che l'attacco non è più nè generalizzato, nè necessariamente immediato, nè auto-referenziale: l'approccio "infetta e attendi" ha riscontri nel mondo reale nelle spy story (ricordo un bellissimo film di Gere nei panni di una spia russa in "sospensione" da tutta una vita) o nelle tecniche dei terroristi, con il vantaggio che il tempo di attesa tra l'acquisizione del controllo e l'azione vera e propria non comporta praticamente alcun rischio ma solo vantaggi. Questo approccio caratterizza l'attacco dall'avere (almeno in potenza) un fine ben preciso: nel caso migliore, lo spam, nel caso peggiore il DDOS, ed i volumi sono certamente tali, secondo le stime riportate, da essere seriamente preoccupati, sì, ma non in misura diversa da quanto chi si occupa di sicurezza dice da tempo. Ricordo, ai tempi di code-red, qualcuno dire, date le dimensioni dell'infezione del worm, che si doveva, di fatto, ringraziare il creatore del worm stesso perchè se avesse incluso funzionalità ancor più distruttive di quelle effettivamente riscontrate, i problemi sarebbero stati enormemente maggiori. Si trattava, per altro, di un worm che sfruttava una vulnerabilità nota da mesi.

Quando si enunciano buone pratiche come quelle di servizi televisivi analoghi a quelli che ho ascoltato io, siamo certamente lontani dal far fronte al problema, che ha invece soluzioni più semplici, come le solite buone pratiche nell'uso della posta, l'uso di strumenti, anche gratuiti, di sicurezza quanto meno entry level, ed allo stesso modo soluzioni a livelli certamente più alti, come i recenti problemi legati al DNS in italia hanno portato alla ribalta.
Con questo non voglio minimizzare. Contesto fortemente chi afferma

La possibilita' che il legittimo proprietario se ne accorga sono praticamente nulle.

facendo riferimento al fatto che un PC entri a far parte di un botnet. Non se ne accorgerà, se non avrà un minimo set di applicazioni di sicurezza, che dovrebbero fare proprio questo per lui!
L'occasione di elevare la cultura generale e la consapevolezza del problema naufraga miseramente di fronte al sensazionalismo, perdendo una grossa occasione.

A proposito.
Temendo di non aver sentito bene la notizia del telegiornale, qualche ora dopo ho iniziato una folle ricerca per la rete. Per un pò, ho temuto di aver travisato. In un certo senso è vero; qui trovate il testo della notizia, è del TG2, che per iscritto (notate le virgolette) assume certamente un significato diverso. La riporto integralmente visto che, a mio modo, non mi sono comportato molto diversamente:

Internet, 2 mln di pc zombie nel mondo, allarme anche in Italia. Allarme hacker nel mondo. Migliaia di pc 'in stand by', al chiuso dei nostri uffici e delle nostre case, sarebbero controllati a distanza da hacker senza scrupoli, che aspettano solo l'ora e l'occasione piu' propizia per 'accenderli' segretamente, a nostra insaputa, e utilizzarli ai fini piu' diversi, tutti rigorosamente e scrupolosamente illegali. Sembra la trama di un film di fantascienza e invece e' la nuova, concretissima frontiera del crimine cibernetico. Difficile, se non impossibile, azzardare stime precise, ma le macchine infettate da noi in Italia dovrebbero essere nell'ordine di diverse decine di migliaia. Un numero destinato inevitabilmente a crescere con la diffusione di Internet. Infatti e' attraverso la rete che si diffonde il 'contagio' il meccanismo di trasmissione ripete quello degli immortali 'trojan' (i programmi 'cavalli di troia', ndr) con utenti che, convinti in buona fede di installare ed eseguire un certo programma, si trovano a scaricare applicazioni di tutt'altro tipo'. Il risultato finale e' inquietante. Dal quel momento il nostro pc diventera' infatti parte integrante di una rete, in gergo di una 'botnet', contrazione di robot network, comprendente decine di migliaia di altri pc, controllati remotamente da terzi. La possibilita' che il legittimo proprietario se ne accorga sono praticamente nulle. Il computer infettato potra' forse rallentare la sua velocita' di esecuzione, e in ogni caso si trattera' di un rallentamento impercettibile all'occhio di un utente medio. Ma quali sono i rischi legati alla crescita esponenziale del fenomeno? Le possibilita' di applicazione sono numerose, e in parte ancora da esplorare 'il capitano', come viene chiamato in gergo l'hacker autore dell'infezione puo' ordinare ai 'suoi' pc veri e propri attacchi web del tipo spam (la famigerata posta spazzatura che intasa le nostre e-mail) o denial-of-service (la paralisi di siti indotta da migliaia di accessi contemporanei mirati) ma puo' servirsene anche per la propagazione di virus tradizionali, furti di identita', attivita' di vero e proprio spionaggio. I pc zombie rappresentano una minaccia potenzialmente devastante anche, se non soprattutto, per l'economia legale, per le transazioni commerciali, per il business on line in generale. Le aziende stanno investendo sempre piu' risorse umane ed economiche sul fronte del contrasto ma e' una rincorsa continua tra controllori e controllati, con una frontiera che, inevitabilmente, si sposta ogni giorno piu' in la.

Se poi, avete avuto pazienza di leggere fino a qui, chiudo con l'ennesima citazione dell'articolo originala del NYTimes. L'approccio anglosassone è vincente nel lasciare al lettore un messaggio certamente più utile del precedente:

Serry Winkler, a sales representative in Denver, said that she had turned off the network-security software provided by her Internet service provider because it slowed performance to a crawl on her PC, which was running Windows 98. A few months ago four sheriff’s deputies pounded on her apartment door to confiscate the PC, which they said was being used to order goods from Sears with a stolen credit card. The computer, it turned out, had been commandeered by an intruder who was using it remotely.

“I’m a middle-aged single woman living here for six years,” she said. “Do I sound like a terrorist?”

She is now planning to buy a more up-to-date PC, she said.

Se volevamo solo telefonare, ascoltare musica e fare ginnastica...

Di nuovo uno spunto tratto da Cryptogram: come farsi spiare facendo ginnastica. Potete trovare i dettagli in questo documento.

Si tratta dell'ennesimo caso in cui strumenti non certo di fondamentale utilità possono compromettere la nostra privacy, semplicemente perchè non sono minimamente progettati e realizzati tenendo conto del rispetto della medesima.
Il caso riguarda un noto riproduttore MP3, al quale è collegato un kit per il jogging con sensori wireless posizionati nelle scarpe.
Non si tratta di accedere a dei dati, ma semplicemente di dedurre informazioni dall'uso che si fa di un oggetto, ed in particolare, il kit è stato utilizzato per rilevare la posizione di un soggetto che si allena all'aperto.
Questo per riflettere su due aspetti non trascurabili: in primo luogo, parlando di privacy, non dobbiamo mai dimenticare che il dato in se non è sempre l'unica cosa da difendere: per esempio, non è necessario conoscere la cartella clinica dei pazienti di un reparto di cardiologia se posso conoscere la provenienza degli accessi internet al sito stesso (ammesso che dal sito siano fruibili dei servizi agli utenti) : se io fossi un'assicurazione, questo potrebbe essere sufficiente.
In secondo luogo, le tecnologie mobili, in grado di operare in maniera attiva o passiva (penso, avrete capito, anche agli RFID), devono essere oggetto di attenta valutazione da parte degli integratori e, fintanto che il settore non si dimostrerà sufficientemente maturo, degli utenti.
Come al solito.
Aggiungo un altro fatto.
Recentemente, un amico mi ha mostrato il suo nuovo cellulare.
Dovendo *necessariamente* far funzionare un kit di navigazione satellitare, vado sulle impostazioni bluetooth: il telefono è impostato come "visibile a tutti".
In questo caso, non c'è bisogno di essere ricercatori all'MIT per sapere quanto sia rischioso lasciare visibile il telefono rispetto ai nuovi worm che circolano su queste piattaforme.
Solo che stiamo parlando di tecnologie che hanno dimostrato problemi di sicurezza da qualche anno, esperienza che si spererebbe essere tramutata in configurazioni adeguate, se non soluzioni.
Il problema è che se può sembrare banale come esempio, d'altro canto il mio amico fa tutt'altro mestiere e naturalmente non è tenuto a sapere che ha comprato un mini-computer, pur giovandosi da poche ore del suo GPS (per la cronaca, la consapevolezza c'era, ma il problema era far funzionare il navigatore :-) )!

La soluzione non è certo evitare di comprare telefoni evoluti o lettori MP3 con il cardio-frequenzimetro! Il problema reale, tuttavia, è che non esiste un marketing della sicurezza su prodotti di tali fasce di utenze, e nessun mezzo per discernere chiaramente tra prodotti "buoni" e "meno buoni", quanto meno nelle impostazioni di base con le quali sono messi sul mercato.
Ancora una volta, il richiamo forte è alla "cultura della sicurezza".