SicurezzaInformatica

Cambiate la password di LinkedIn, ma non solo

Alla fine LinkedIn ha mandato la sua comunicazione ufficiale a tutti gli utenti, ha aggiornato il sito e ha scritto un post sull'argomento: 6,5 milioni di password sono state indebitamente copiate e rese di pubblico dominio. Molte sono ancora crittografate, altre invece sono state già decrittate. Se usate LinkedIn ci sono molte probabilità che fra queste 6,5 milioni di password ci sia anche la vostra.

Dopo aver cambiato la password del sito (fatelo subito), consiglio un articolo di un anno fa ma sempre attuale su come aumentare la sicurezza e la privacy di LinkedIn: LinkedIn Privacy (in inglese).

 

 

 

Un bug di iOS5 mette a rischio la privacy delle immagini

In determinate circostanze è possibile, con l'iPhone bloccato, accedere alle immagini contenute nello smartphone.

Per prevenire indesiderati accessi alla galleria che contiene le immagini scattate dalla fotocamera è possibile utilizzare un codice di blocco che impedisce di visualizzare gli scatti e richiede di sbloccare il device inserendo il codice numerico. Il sistema appena descritto funziona bene, ma in determinate circostanze potrebbe rivelare alcune debolezze. 

La nuova falla nella sicurezza di iOS 5 spiegherebbe i suoi effetti tutte le volte in cui la data dello smartphone è portata ad un periodo precedente. Tale evento può verificarsi per impostazioni errate dell’utente o quando si cambia fuso orario. 

Maggiori informazioni su Apple.HDblog.

Malware tramite i PDF

Gli attacchi possono arrivare anche attraverso i file PDF. Repetita juvant.

 

2010: PDF con sorpresa

Il nuovo anno si apre con un PDF che, sfruttando una vulnerabilità non ancora risolta in Adobe Reader (CVE-2009-4324), consente di "infettare" il PC semplicemente aprendo il documento contenente il malware. Poiché il PDF è già in circolazione (molta gente si sente erroneamente al sicuro quando apre un documento in formato PDF) consiglio di disabilitare il JavaScript sul proprio Adobe Reader fino a che non verrà rilasciata una patch per la vulnerabilità.

Maggiori informazioni presso l'Internet Storm Center.

Patch per la vulnerabilità di Explorer

In merito alla vulnerabilità 0-day di pochi giorni fa, Microsoft ieri ha ufficialmente rilasciato una patch e ha pubblicato un security bulletin.

Consiglio l'aggiornamento tramite Windows Update.

---

Vulnerabilità critica per Internet Explorer

Nei giorni scorsi sono stati scoperti diversi exploit che sfruttano una vulnerabilità 0-day di Internet Explorer 7. La vulnerabilità è presente anche nelle versioni precedenti, come afferma Microsoft nel suo bollettino di sicurezza, ma per ora gli exploit si concentrano sulla versione 7.

La vulnerabilità consentirebbe di eseguire codice arbitrario sul computer vittima, fino quindi a prenderne il controllo, rubare le password e altre attività malevole. Tutto questo semplicemente visitando con Internet Explorer uno dei siti web compromessi (in questo articolo della BBC si parla già di 10.000 siti).

Le alternative per ora restano quelle di usare un browser concorrente finché Microsoft non provvederà a rendere disponibile una patch. O, se proprio si deve usare Internet Explorer, implementare tutti i macchinosi workaround illustrati nel bollettino di sicurezza di Microsoft.

---

Vulnerabilità delle tastiere cablate

Due ricercatori del Politecnico di Losanna hanno dimostrato come sia possibile catturare a distanza (anche nella stanza accanto) i tasti premuti su una tastiera collegata a un PC con un cavo USB o PS2.

I due hanno messo in piedi un sistema che capta le onde elettromagnetiche emesse da alcuni tipi di tastiere, in genere quelle più moderne, fino a una distanza di 20 metri. Il sistema funziona anche se la tastiera e l'antenna sono separate da un muro.

"We conclude that wired computer keyboards sold in the stores generate compromising emanations (mainly because of the cost pressures in the design). Hence they are not safe to transmit sensitive information. No doubt our attacks can be significantly improved, since we used relatively inexpensive equipment."

In attesa di un documento vero e proprio, che dovrebbe trovarsi al vaglio di una commissione per essere presentato a un convegno, i due ricercatori hanno pubblicato due video, presenti sul sito indicato sopra, di cui riporto il secondo (per me il più interessante).

Compromising Electromagnetic Emanations of Keyboards Experiment 1/2 from Martin Vuagnoux on Vimeo.

---

Quaranta patch per Mac

E mentre una buona fetta di utenti vota - nel sondaggio del mese - che Mac Leopard è uno dei sistemi per default più sicuri, Apple rilascia un mega-update di sicurezza con 40 patch per OS X.

---

Patch Tuesday di Maggio

Microsoft ieri ha rilasciato ben 19 patch che risolvono altrettanti problemi di Internet Explorer, Office, Exchange e Windows, fra cui vulnerabilità critiche come la MS07-029.

Se non avete gli aggiornamenti automatici abilitati, le patch si scaricano da Microsoft Update (solo con Internet Explorer).

Patch per i chip Centrino

Se come il sottoscritto vi trovate in vacanza agganciati a una rete Wi-Fi col vostro portatile Intel Centrino, sarebbe il caso di scaricare (ca. 100MB!) la patch di Intel che tappa una falla potenzialente molto pericolosa:

Security vulnerabilities have been identified in the Microsoft* Windows* drivers for the Intel® 2200BG and 2915ABG PRO/Wireless Network Connection Hardware (w22n50.sys, w22n51.sys, w29n50.sys, w29n51.sys), which could potentially be exploited by attackers within range of the Wi-Fi station to execute arbitrary code on the target system with kernel-level privileges.

Una volta accertato che il vostro chip sia fra quelli vulnerabili, scaricate e applicate la patch.