SicurezzaInformatica

Togli lo spyware? Violi il contratto

Per gli appassionati di giurisprudenza ecco un'analisi di Securityfocus, tanto interessante quanto preoccupante, sulle implicazioni legali dello spyware e della sua rimozione coatta.

In molti casi lo spyware viene installato sul computer a seguito di un contratto fra l'utente e l'azienda che distribuisce un qualsiasi software. Sto parlando di quel genere di contratti che appaiono improvvisamente sullo schermo mentre stiamo per installare il programma che abbiamo appena scaricato, gli stessi su cui (ammettiamolo) il 99,9% di noi clicca su "I ACCEPT" o "I AGREE" senza leggerne nemmeno una parola.

Ebbene quei contratti a volte dicono: "Noi (l'azienda) ti diamo questo software gratis, ma tu (l'utente) devi permettere l'installazione di quest'altro software (spyware o adware che dir si voglia) che monitorerà la tua attività sul web e che ogni tanto ti farà apparire un banner pubblicitario".

Qualora l'utente dovesse accettare, e di solito lo fa, lo spyware sul suo computer non si potrà più definire tale, poiché in effetti esso non spierà (se per spiare si intende un'osservazione nascosta e illecita) bensì monitorerà le attività dell'utente avendo avuto il suo esplicito consenso.

Usare quindi un software anti-spyware, che fa di tutt'erba un fascio e che elimina anche gli spyware installati "lecitamente", vorrebbe dire agevolare e indurre l'utente alla violazione degli impegni contrattuali presi in precedenza con altre software house.

Dall'articolo in questione:

The problem is worse for anti-spyware programs, which essentially automate the process of breaching consumer contracts. [...] Essentially, the spyware distributors would argue that the anti-spyware purveyors are inducing their customers to breach their contractual obligations, and are tortuously interfering with their contractual relationships with those who knowingly downloaded the spyware.

La bagarre in realtà non è nuova. In passato quasi tutti i produttori di software anti-virus hanno dovuto fare i conti con questo o con quel produttore di programmi ai limiti del lecito, software che avevano molte caratteristiche del trojan o della backdoor, ma che rivendicavano una qualche utilità e che quindi non volevano essere identificati come malware tout-court.

Prendiamo l'esempio di "NetBus", un software nato come backdoor per hacker e che dopo qualche tempo ha cercato di darsi una veste più legale spacciandosi per una sorta di "utility" riservata agli amministratori di sistema. Backdoor era e backdoor è rimasta, così gli anti-virus hanno continuato a identificarlo come malware - nonostante le minacce del suo produttore - e gli utenti per fortuna hanno continuato a esserne protetti.

A questo punto bisognerebbe chiedersi: sarebbe successa la stessa cosa se invece di un qualsiasi squattrinato programmatore americano, il produttore di NetBus fosse stata una grande software house con soldi da spendere in avvocati e tribunali? In quel caso sarebbero forse riusciti a convincere le aziende produttrici di anti-virus a eliminare quel programma dalla lista nera dei "malware" (o a convincere un eventuale giudice chiamato a esprimersi sulla questione)?

E cosa succederà quando le aziende che distribuiscono spyware - pardon, adware - avranno abbastanza soldi per trascinare in tribunale i produttori di anti-spyware?

Forse la soluzione ce l'ha Spybot, un diffuso programma anti-spyware, che prima di caricarsi avvisa l'utente con il seguente testo (il neretto l'ho messo io):

Rimuovendo le pubblicità automatizzate con questo programma, potresti non essere più autorizzato ad utilizzare il programma che le ospita. Per maggiori informazioni, sarebbe opportuno leggere le licenze d'uso di tali programmi.

Basterà?

Il worm Witty forse un attacco di cyberwarfare

Securityfocus ha un'interessante storia sul lavoro investigativo che è stato svolto per cercare di risalire agli autori del worm Witty, che poco più di un anno fa ebbe un breve momento di notorietà infettando oltre 12.000 sistemi.

Anzitutto è molto probabile che si sia trattato di un mini-attacco di cyberwafare, visto che - partendo dal server di un Isp europeo - il worm è stato impiantato direttamente e consapevolmente nei computer di una base militare statunitense (non viene rivelato quale).

L'articolo poi descrive come si è riusciti a risalire all'indirizzo IP di origine:

The analysis of the pseudo-random number generator found that the worm would not generate addresses for about 10 percent of the Internet and would generate the same address twice for another 10 percent of possible Internet addresses. The researchers used their analysis of the generator to plot the orbits -- the sequences of numbers each worm would create -- and found a single address from which copies of the worm propagated but which did not fall on any orbit.

Quindi o l'autore ha commesso una lieve leggerezza nel programmare il codice facendo in modo che il suo indirizzo IP non venisse colpito, oppure voleva capire fino a che punto gli investigatori sarebbero stati in grado di risalire al server di origine.

Quando una blacklist anti-spam crea problemi all'ISP

A volte un provider può essere troppo zelante nell'inserire liste di indirizzi IP all'interno delle proprie blacklist. Spesso questo causa ai clienti il mancato ricevimento di e-mail perfettamente legittime.

Un gruppo di utenti del provider americano Verizon ha fatto causa all'Isp poiché le sue politiche troppo rigide contro lo spam impediscono in certi casi il normale scambio di corrispondenza con clienti in Europa e in altre zone del mondo. Ne parla Security Pipeline in questo articolo, dal quale segue un estratto che riassume bene la vicenda:

According to John Levine, the chair of the Anti-Spam Research Group, "this is the case of the bad guys versus the worst guys."

Mitigare i rischi di phishing ispirati dai grandi furti di informazioni

Sempre più spesso negli Stati Uniti e in altre parti del mondo le aziende che trattano dati personali o le banche e gli istituti di credito sono vittima di furti di informazioni riguardanti i loro clienti. Non starò qui ad elencare tutti gli esempi, i giornali Usa ne sono pieni.

I furti possono avvenire a causa di attacchi dall'esterno ad opera di criminali, attacchi dall'interno ad opera di dipendenti, perdita di computer portatili o di nastri di backup.

Ogni link vi porterà a un caso emblematico che meriterebbe un articolo a sè nella sezione Privacy. Ma sono troppi. L'amara realtà è che i furti di informazioni esistono e continueranno a esistere a danno degli utenti i cui dati riservati vengono trattati in modo tutt'altro che sicuro.

Quando un furto viene scoperto le aziende (controvoglia, e normalmente solo quando c'è una legge che le obbliga) informano del fatto la stampa e i diretti interessati. Questi ultimi spesso sono decine di migliaia di individui, a volte centinaia di migliaia, in qualche raro caso il numero raggiunge cifre con sei zeri. È normale quindi che la maggior parte di loro venga a sapere del furto prima dai giornali che non dall'azienda.

È qui che entra in scena un aspetto quasi sempre sottovalutato dalle aziende: esse affermano che contatteranno presto i loro clienti, ma non specificano mai come lo faranno.

Quando si verificano casi del genere una gran parte degli utenti ha modo di sentire in TV o di leggere sulla stampa che, nel caso i loro dati fossero fra quelli rubati, prima o poi verranno contattati dalla loro banca. Tuttavia l'informazione percepita finisce lì, visto che le aziende non mettono adeguatamente in risalto il fatto che il contatto avverrà necessariamente per lettera o per telefono.

Questa mancanza di chiarezza apre un ghiotto spiraglio per i phisher, che approfittano così dell'ampia copertura data dai media all'intera storia per creare in fretta e-mail fraudolente che sembrino provenire dall'azienda vittima del furto di informazioni. Data l'eco della vicenda è probabile che la percentuale di utenti che "abboccano" al phishing sia sensibilmente più alta, e ciò non farà altro che peggiorare una situazione già di per sè critica.

È quindi estremamente importante per le banche e le aziende vittima di furti d'informazioni adottare una chiara press policy, indicando in ogni relativo comunicato stampa (nonché pregando i singoli giornalisti di mettere in risalto) che, se ci si prepara a contattare i propri clienti in merito al furto, questo contatto non avverrà via e-mail bensì per mezzo di altri metodi più tradizionali.

Sarebbe un'azione responsabile da parte delle aziende colpite, che già dovranno faticare non poco per guadagnare nuova credibilità agli occhi dei loro clienti.

P.S.
Questo articolo era in preparazione da diversi giorni, e non è collegato all'azione di phishing che ha recentemente colpito i clienti di Banca Intesa. Si tratta di due cose nettamente diverse, in quel caso infatti non mi risulta vi sia stato alcun furto di informazioni ai danni della banca, nè inadempienze da parte di quest'ultima.

Il Wi-Fi governativo Usa non è adeguatamente protetto

A quanto sembra in questo periodo le reti governative americane sono soggette a un intenso controllo da parte di ispettori e auditor. Solo pochi giorni fa ho parlato delle critiche sollevate nei confronti del network del DHS, ora è il turno delle reti Wi-Fi di molte agenzie del governo degli Stati Uniti: esse sarebbero vulnerabili ad attacchi di vario genere e la cifratura in molti casi non sarebbe adeguata. Ne parla Reuters.

Per una corte Usa il Pgp è da criminali

In un processo per pedofilia il solo fatto di avere il programma PGP (Pretty Good Privacy) sul computer sarebbe un indizio a sfavore dell'imputato, questa la conferma di una corte d'appello del Minnesota.

Secondo i giudici infatti il solo possesso del più diffuso software di crittografia evidenzierebbe le intenzioni criminali dell'utente. Ne parla News.com.

Se la tendenza a considerare il Pgp come un programma da criminali dovesse proseguire anche al di fuori dei processi per pedofilia iniziamo a preparare tonnellate di arance, che le carceri fra poco si faranno molto più affollate..

La FTC chiede ai provider di staccare i computer infetti

Il trend che avevo preannunciato in questo e in questo intervento non solo si sta radicalizzando, ma recentemente ha anche ricevuto una ventata istituzionale da parte della Federal Trade Commission statunitense.

Ieri infatti, come riporta CNN, la FTC ha annunciato che chiederà a 3000 provider in tutto il mondo di creare policy apposite per lo sganciamento dai loro network di quei computer che - all'oscuro dei loro legittimi proprietari - vengono indebitamente usati come veicolo per spam e altri atti criminali.

Se le cose continuano così è presumibile pensare che - nel giro di qualche anno - tenere un PC senza adeguate difese da worm e spyware potrebbe costare all'incauto proprietario il completo distacco dalla Rete.

Del resto la rapida diffusione delle connessioni a banda larga "always on", un fatto di per sè positivo e importante, ha come rovescio della medaglia il costante aumento dei cosiddetti eserciti di zombie, che se prima erano prevalentemente server oggi sono composti da migliaia di PC di casa "bucati" e usati come veicolo per spam, phishing e compagnia.

Per fare un'analogia, oggi se un autoveicolo viene ritenuto un pericolo per la circolazione gli si impedisce di circolare. Se è il conducente a essere ritenuto un pericolo gli viene sospesa o ritirata la patente di guida. Il medesimo principio, fatte le dovute proporzioni, si può e si deve applicare anche al mondo di Internet.

Iscom: primo volume sulla sicurezza delle reti

Come previsto è uscito anche il primo volume dell'Iscom sulla sicurezza ICT, intitolato "La sicurezza delle reti - dall'analisi del rischio alle strategie di protezione".

Il documento è scaricabile qui (1.473KB).

Un phishing prende di mira i clienti di Banca Intesa

Un messaggio e-mail in inglese che all'apparenza proviene da Banca Intesa ha iniziato ad arrivare nella giornata di oggi presso le mailbox di numerosi utenti italiani.

Il mittente può variare, ma il dominio finale resta sempre @bancaintesa.it

Il testo dell'email è il seguente:

Dear Banca Intesa Customer,

We find that some of our members no longer have access to their email addresses. As result Banca Intesa server sent this letter to verify e-mail addresses of our clients. You must complete this process by clicking on the link below and entering in the small window your Banca Intesa bank online access details:

[n.d.R. naturalmente il link è stato rimosso]

Si tratta come ovvio di un grossolano tentativo di phishing ad opera di ignoti truffatori, che cercano di indurre gli eventuali clienti del servizio di home banking a rivelare i loro dati riservati. Come ogni grande istituto bancario Banca Intesa non invia mai questo genere di comunicazioni via e-mail. Stranamente però al momento di scrivere l'azienda non ha ancora rilasciato un comunicato sul proprio sito per avvertire i clienti del raggiro.

Ci sarebbe da chiedersi come mai gli autori della truffa abbiano deciso di produrre un messaggio in inglese anziché in italiano. Forse contano di trarre vantaggio da un iniziale momento di confusione dell'utente, che trovandosi di fronte a un messaggio di cui non comprende appieno il significato potrebbe paradossalmente essere indotto ad abbassare la guardia.

Oppure essi cercano di tastare il terreno a fini statistici, provando a capire qual'è la percentuale di successo presso l'utenza italiana di un phishing in inglese. Se così fosse aspettiamoci per le prossime settimane o per i prossimi mesi un analogo messaggio in italiano.

Aggiornamento:

Ora Banca Intesa ha inserito nella sezione del proprio sito riservata ai clienti un avviso che recita:

Sono stati segnalati in questi giorni tentativi di acquisizione fraudolenta tramite e-mail dei codici di accesso ai servizi bancari online.
Questo tentativo di frode (conosciuto anche con il termine 'phishing') viene effettuato richiedendo di fornire i propri dati personali sia rispondendo a un'e-mail appositamente inviata, sia collegandosi a un determinato sito indicato nella stessa e-mail.
A questo scopo sono stati stato utilizzati anche il nome e il logo di Banca Intesa.

E' bene sapere che in nessun modo Banca Intesa ha richiesto o richiederà, direttamente o tramite terzi, informazioni relative ai suoi codici di accesso ai servizi Intesa online. Se dovesse ricevere una e-mail, una lettera o una telefonata con la richiesta di dati personali anche se apparentemente proveniente da Banca Intesa la invitiamo a non rispondere e a cancellare l'eventuale messaggio e-mail.

Banca Intesa garantisce i massimi standard di sicurezza per i suoi servizi online. Operare via Internet, telefono o cellulare e' semplice e sicuro, basta rispettare alcune facili regole:

1. I codici sono la chiave di accesso ai servizi online: vanno conservati con la massima cura
2. Non dare a terzi i propri codici di accesso a Intesa online
3. Non inserire i propri codici personali in siti raggiunti cliccando un link contenuto in comunicazioni ricevute via mail o in qualsiasi sito diverso da Banca Intesa
4. Non rispondere a indirizzi mail se si hanno dubbi sull'autenticità del messaggio
5. Per collegarsi e operare in piena sicurezza con la banca digitare direttamente sul browser l'indirizzo www.bancaintesa.it

Come rompere la cifratura WEP

Questo articolo spiega passo-passo come rompere una chiave WEP (Wired Equivalent Privacy), l'ormai obsoleta cifratura presente nelle prime connessioni Wi-Fi (ma oggi ancora molto usata, per non parlare delle reti dove la cifratura è totalmente assente).

Bisogna perderci un po' di tempo. Indicato per chi ha la necessità di spiegare al capo perché quella VPN in ufficio è proprio necessaria.