« agosto 2006 | Principale | ottobre 2006 »
Per i lettori a Verona e provincia segnalo che ne L'Arena di lunedì prossimo (2 Ottobre) si parlerà di spam, con un intervento del sottoscritto. Si analizzerà la situazione attuale, le motivazioni dietro allo spam e le ultime tendenze. Il tutto in maniera semplice e accessibile anche ai non addetti ai lavori.
Chi vuole potrà leggere l'articolo on-line sul sito del quotidiano.
Un articolo del Register, citando a sua volta un pezzo di Technology Review, parla di una nuova tecnologia sviluppata da Google che si interfaccia col microfono dei nostri PC.
Il sistema consentirebbe a un software di Google di ascoltare ciò che il microfono riesce a catturare: la musica del nostro stereo, i programmi che stiamo vedendo in TV, la suoneria del cellulare, ecc. A quel punto il programma crea delle "stringhe di riconoscimento" (fingerprint) che spedisce al server per l'identificazione. Il server, dopo un confronto con milioni di altri fingerprint presenti nel suo database, comunica quindi al programma sul PC i gusti dell'utente, in modo da mostrargli banner e pubblicità maggiormente attinenti.
Per fare un esempio, mettiamo che il server di Google si renda conto che la maggior parte degli utenti che guarda i programmi di Licia Colò è più propenso a cliccare sui banner di Greenpeace. A quel punto ogni volta che dalla nostra TV uscirà la squillante voce della nota conduttrice aspettiamoci di vedere sul PC un banner che ci invita a salvare gli orsi bianchi del Polo Nord...
A parte l'ovvia sensazione da "grande fratello" che suscita questa notizia, c'è da dire che già oggi software malevoli potrebbero ascoltare ciò che viene detto vicino al microfono del PC, così come potrebbero essere in grado di vedere quello che cattura la webcam. Non si chiamano "spyware" così per caso. Quindi la possibilità di farci spiare dal nostro PC non l'ha inventata Google.
Inoltre, Google ha assicurato che ciò che vedranno i suoi server saranno solo queste stringhe di riconoscimento generate dal programma, NON i file audio veri e propri:
Google says that its fingerprinting technology makes it impossible for the company (or anyone else) to eavesdrop on other sounds in the room, such as personal conversations, because the conversion to a fingerprint is made on the PC, and a fingerprint can't be reversed, as it's only an identity.
Rassicurazioni a parte, sarebbe ora che iniziassimo tutti a leggere meglio quei testi che si chiudono generalmente con la pressione sul pulsante "Accetto". In futuro uno di essi potrebbe recitare " .... il software può registrare e inviare al server di XYZ tutto ciò che viene intercettato dal microfono o dalla webcam o da qualsiasi altro dispositivo di registrazione connesso al computer, anche se apparentemente inattivo, incluse in via esemplificativa discussioni, imprecazioni, musica, squilli, conversazioni, anche di terzi o riservate ... "
Uno dei rarissimi casi - se non proprio l'unico - in cui una banca decide di rimborsare le vittime del phishing.
La Bank of Ireland ha recentemente dichiarato di aver rimborsato alcuni suoi clienti che erano caduti vittima di un phishing, come riporta Punto Informatico, creando un precedente importante e aprendo quindi un vaso di Pandora che potrebbe essere molto difficile chiudere.
Da sempre le banche si battono, a livello mediatico, politico e ovviamente giudiziario, per non essere ritenute responsabili in caso di phishing. Gli avvisi e i fogli informativi che ci spediscono, che ci mostrano sui loro siti o che ci allegano agli estratti conto hanno il duplice scopo di 1) informare la clientela che esiste un fenomeno chiamato 'phishing', 2) dimostrare in un eventuale processo che loro hanno fatto tutto il possibile per avvisarci, con l'obiettivo di rispedire al mittente qualsiasi richiesta di rimborso.
Ecco perché la mossa della Bank of Ireland avrà fatto alzare ben più di un sopracciglio negli altri istituti bancari.
In un suo comunicato la banca irlandese quasi si scusa con i colleghi per aver rimborsato i suoi clienti, assicurando che si è trattato di un caso eccezionale:
Customers that have been refunded by the Bank recently were done so, having reviewed their cases and on the exceptional basis that "Phishing" was not widely known or understood by customers and was a relatively new phenomenon in internet banking in Ireland.
However, the Bank wishes to reiterate its policy that it does not refund customers that are the victims of 'phishing' attacks.
In questo post, abbastanza lungo, rifletto sull'efficacia di un certo tipo di anti-spam. Il testo è rivolto a chi si interessa approfonditamente del problema, tutti gli altri lo possono considerare una lettura "facoltativa".
Alcuni giorni fa ho ricevuto il messaggio riportato nell'immagine a fianco.
La mail è arrivata immediatamente dopo una mia comunicazione all'utente in questione (ho oscurato il suo indirizzo per ovvie ragioni di privacy). Dopo diversi anni in cui se ne parlava ho finalmente avuto una dimostrazione "live" dei tanto discussi sistemi antispam Challenge and Response.
Questi sistemi si basano su un presupposto: chi ci scrive deve per forza essere una persona, e lo deve dimostrare facendo clic su un link che gli invieremo.
A prima vista può sembrare una trovata geniale, ma paradossalmente l'efficacia di questo sistema è inversamente proporzionale alla sua diffusione. Infatti se il challenge-and-response si dovesse affermare come metodo antispam, gli spammer cambierebbero sicuramente le loro tattiche in modo da rendere ancora più marcata l'inclusione di indirizzi realmente esistenti nel campo "From:" dei loro messaggi di spam, indirizzi ovviamente appartenenti a utenti ignari di tutto.
Oggi infatti, tranne in alcuni casi, lo spam ci viene inviato da indirizzi inventati come "john.doe@dominioqualsiasi.it". Lo spammer del resto è un imprenditore, un vero e proprio homo economicus, e non perde tempo a modificare il suo software in modo da fargli inserire a tutti i costi un indirizzo funzionante nel campo "From:". Ciò che interessa allo spammer è che l'indirizzo nel campo "To:" sia valido, il resto è una perdita di tempo (e quindi di denaro).
Ma se già un buon 10% dell'utenza iniziasse a usare sistemi di challenge-and-response (per brevità, C/R), agli spammer verrebbe a mancare un'importante fetta di "mercato", ragione sufficiente per costringerli a modificare la loro tattica, obbligandoli a inserire indirizzi funzionanti anche nel campo del mittente, nella speranza statistica che una buona fetta di ignari utenti a cui torna indietro il messaggio di "challenge" faccia comunque clic sul link di risposta, e che altri siano già inclusi nelle whitelist dei vari server.
Continua a leggere "Challenge and Response, nessuna panacea contro lo spam" »
