Qualche giorno fa ho rilasciato un'intervista ad Alground sul mobile spam.
Privacy e spam
04 agosto 2009
29 ottobre 2008
07 settembre 2007
Prove di anti-cyber-terrorismo in India
Mentre la Cina attacca (?) gli USA, l'India prova a difendersi dal terrorismo. Lo riferisce Bruce Schneier sul suo blog, che a sua volta riporta una notizia pubblicata dal sito indiano MiDDay:
Mumbai police will have access to new software connected to 500 cyber cafes in the city that will send them logs
In sostanza la polizia di Mumbai (ex Bombay) installerà un software in 500 Internet cafè che le permetterà di monitorare le attività terroristiche.
The police needs to install programs that will capture every key stroke at regular interval screen shots, which will be sent back to a server that will log all the data.
La logica è che se i terroristi temono di essere rintracciati usando la connessione Internet di casa o da amici/conoscenti, in un Internet cafè sarebbero protetti dall'anonimato.
Vijay Mukhi, President of the Foundation for Information Security and Technology says, “The terrorists know that if they use machines at home, they can be caught. Cybercafes therefore give them anonymity.”
E da oggi ovviamente qualsiasi terrorista che dovesse pianificare un attentato ci penserà due volte prima di usare un Internet cafè di Mumbai. Di conseguenza ecco l'ennesimo esempio di come una misura estrema presentata come mezzo di contrasto al terrorismo finisce per essere usata contro la criminalità comune. Oltre che ovviamente per rendere la vita più difficile al resto della popolazione.
All cyber cafes in the city will now need a police license to keep their business going. All cafes need to register at the police headquarters and provide details on the number of computers installed, type of computers and technical details like the IP address of each machine.
07 maggio 2007
Codificare l'email nell'HTML per evitare lo spam (II)
Più di due anni or sono ho dato qualche consiglio per codificare gli indirizzi e-mail nelle pagine HTML onde evitare che essi cadano vittima degli e-mail harvester.
Oggi navigando sul sito di project honeypot (un progetto interessante di cui parlerò, se sarà il caso, fra qualche giorno) ho trovato questo altro metodo per inserire gli indirizzi sul Web in modo da renderli invisibili agli harvester: offuscarli con del codice JavaScript.
Scrivendo un indirizzo e-mail nella maschera proposta dal sito di project honeypot si otterrà il codice JavaScript da inserire nelle pagine web. Poiché i programmi di e-mail harvesting non elaborano lo JavaScript - vuoi per questioni di velocità, vuoi per evitare di rimanere fermi su del codice fallato o realizzato ad arte per bloccarli - essi salteranno a piè pari il codice contenente l'indirizzo e-mail, che tuttavia verrà visualizzato ai visitatori del sito come se niente fosse (posto ovviamente che questi ultimi abbiano il browser abilitato per eseguire codice JavaScript).
31 ottobre 2006
SigInt, Echelon visto dal Canada
L'Edmonton Sun, giornale canadese, ha ospitato le riflessioni di un giornalista sul ruolo del Canada nel progetto di signals intelligence noto ai più come Echelon.
Quando si parla di Echelon si pensa quasi sempre agli Stati Uniti, NSA & Co. Il ruolo degli altri paesi appare minore, ma lo è davvero?
In Canada, the most important sits in Leitrim, a sleepy community of Ottawa that was just countryside when the station, codenamed CAF97, was first constructed in 1941. Now, it sits a scant distance from the end of Bank Street, where the city's longest street turns into Highway 31, taking busy urbanites past the capital's airport and subdivisions. Although the Communications Security Establishment (CSE) never talks about its operations publicly, Leitrim - a Canadian Forces base - is long believed to have monitored Russian submarine and shipping activities in the Arctic.
A chi si interessa dell'argomento, segnalo che Wikipedia ha una buona pagina su Echelon.
26 ottobre 2006
Sequestri di portatili volando negli USA
La paura di volare da tempo ha assunto un nuovo significato. La paranoia da attentato terroristico ci spinge non solo a imbarazzanti spogliarelli davanti ai metal detector (agli aeroporti di Mosca, ma non è l'unica città, da un paio d'anni ormai è d'obbligo togliersi le scarpe e zompettare dentro mini-sacchetti di plastica), ora negli USA potrebbero sequestrarvi il computer e compiere un'approfondita analisi dei suoi contenuti.
Ne parla Punto Informatico:
La Association of Corporate Travel Executives, ACTE ha diramato un allarme a tutti i propri soci secondo cui "con le attuali leggi americane, agenti governativi possono sequestrare e analizzare il computer portatile di un viaggiatore, i suoi dischi e altri media elettronici quando arriva negli Stati Uniti da un volo internazionale o parte dagli Stati Uniti verso un altro paese".
E in effetti il comunicato dell'ACTE non lascia spazio ad alcun dubbio:
The Association of Corporate Travel Executives (ACTE) is warning its members that under U.S. law, government agents may seize and search a person´s laptop computer, computer discs, and other electronic media when that person arrives in the U.S. from abroad or departs from the U.S for a foreign country. The law applies equally to U.S. passport holders and non-U.S. passport holders. The association is advising business travellers to be cautious in carrying proprietary information across U.S. borders.
Il mio consiglio si esaurisce in un'unica parola: crittografia.
18 ottobre 2006
SMSpam sui cellulari
Oggi ho ricevuto per la prima volta uno spam via SMS (noto anche come m-spam, o mobile spam). Per molti di voi sicuramente non sarà nulla di nuovo, ma per chi ha conservato gelosamente il proprio numero di cellulare al riparo da occhi indiscreti per tanti anni, quella di oggi rappresenta sicuramente una novità degna di indagine.
Ero conscio del fatto che lo spam tramite SMS si stesse diffondendo, ma solo dopo aver eseguito una breve ricerca su Internet mi sono reso conto delle dimensioni che in questi anni ha assunto il problema. Per farsi un'idea basta frequentare per un po' il newsgroup it.news.net-abuse.
Il mittente del messaggio è nascosto, sicuramente inviato da uno script posto su chissà quale server. Il testo dell'SMS tuttavia pubblicizza un servizio erotico con numerazione 899. Dopo una breve ricerca ho trovato un sito molto utile, lo pubblico per aiutare chi come me decidesse di mettersi alla caccia dei m-spammer: www.fastpath.it/dialer/. Da questo sito è possibile rintracciare l'azienda intestataria di un numero a valore aggiunto (899 e simili) per metterci in grado di avere almeno un indirizzo al quale inviare la nostra protesta.
Elenchi del genere vengono forniti anche dal Ministero delle Comunicazioni sotto forma di archivi auto-estraenti.
Ma l'indagine ovviamente non si ferma lì, visto che l'azienda che ha assegnato la numerazione 899 di solito NON coincide con lo spammer, che il più delle volte è solo uno dei tanti clienti del fornitore. Anzi, spesso egli è addirittura il cliente di un cliente. Quindi armiamoci di santa pazienza e iniziamo a scavare.
Una volta identificata l'azienda che detiene illegalmente i nostri dati, si potrà inviare una richiesta per sapere come li hanno ottenuti. In questo l'apposito modulo predisposto dal Garante per la Privacy può venirci in aiuto.
Nonostante tutto, la strada per trovare i malfattori e sottoporli a un qualche tipo di giudizio sarà tutta in salita. Buona fortuna a quelli che ci proveranno.
29 settembre 2006
Intervista a L'Arena di Verona
Per i lettori a Verona e provincia segnalo che ne L'Arena di lunedì prossimo (2 Ottobre) si parlerà di spam, con un intervento del sottoscritto. Si analizzerà la situazione attuale, le motivazioni dietro allo spam e le ultime tendenze. Il tutto in maniera semplice e accessibile anche ai non addetti ai lavori.
Chi vuole potrà leggere l'articolo on-line sul sito del quotidiano.
09 settembre 2006
Google ci ascolta (?)
Un articolo del Register, citando a sua volta un pezzo di Technology Review, parla di una nuova tecnologia sviluppata da Google che si interfaccia col microfono dei nostri PC.
Il sistema consentirebbe a un software di Google di ascoltare ciò che il microfono riesce a catturare: la musica del nostro stereo, i programmi che stiamo vedendo in TV, la suoneria del cellulare, ecc. A quel punto il programma crea delle "stringhe di riconoscimento" (fingerprint) che spedisce al server per l'identificazione. Il server, dopo un confronto con milioni di altri fingerprint presenti nel suo database, comunica quindi al programma sul PC i gusti dell'utente, in modo da mostrargli banner e pubblicità maggiormente attinenti.
Per fare un esempio, mettiamo che il server di Google si renda conto che la maggior parte degli utenti che guarda i programmi di Licia Colò è più propenso a cliccare sui banner di Greenpeace. A quel punto ogni volta che dalla nostra TV uscirà la squillante voce della nota conduttrice aspettiamoci di vedere sul PC un banner che ci invita a salvare gli orsi bianchi del Polo Nord...
A parte l'ovvia sensazione da "grande fratello" che suscita questa notizia, c'è da dire che già oggi software malevoli potrebbero ascoltare ciò che viene detto vicino al microfono del PC, così come potrebbero essere in grado di vedere quello che cattura la webcam. Non si chiamano "spyware" così per caso. Quindi la possibilità di farci spiare dal nostro PC non l'ha inventata Google.
Inoltre, Google ha assicurato che ciò che vedranno i suoi server saranno solo queste stringhe di riconoscimento generate dal programma, NON i file audio veri e propri:
Google says that its fingerprinting technology makes it impossible for the company (or anyone else) to eavesdrop on other sounds in the room, such as personal conversations, because the conversion to a fingerprint is made on the PC, and a fingerprint can't be reversed, as it's only an identity.
Rassicurazioni a parte, sarebbe ora che iniziassimo tutti a leggere meglio quei testi che si chiudono generalmente con la pressione sul pulsante "Accetto". In futuro uno di essi potrebbe recitare " .... il software può registrare e inviare al server di XYZ tutto ciò che viene intercettato dal microfono o dalla webcam o da qualsiasi altro dispositivo di registrazione connesso al computer, anche se apparentemente inattivo, incluse in via esemplificativa discussioni, imprecazioni, musica, squilli, conversazioni, anche di terzi o riservate ... "
03 settembre 2006
Challenge and Response, nessuna panacea contro lo spam
In questo post, abbastanza lungo, rifletto sull'efficacia di un certo tipo di anti-spam. Il testo è rivolto a chi si interessa approfonditamente del problema, tutti gli altri lo possono considerare una lettura "facoltativa".
Alcuni giorni fa ho ricevuto il messaggio riportato nell'immagine a fianco.
La mail è arrivata immediatamente dopo una mia comunicazione all'utente in questione (ho oscurato il suo indirizzo per ovvie ragioni di privacy). Dopo diversi anni in cui se ne parlava ho finalmente avuto una dimostrazione "live" dei tanto discussi sistemi antispam Challenge and Response.
Questi sistemi si basano su un presupposto: chi ci scrive deve per forza essere una persona, e lo deve dimostrare facendo clic su un link che gli invieremo.
A prima vista può sembrare una trovata geniale, ma paradossalmente l'efficacia di questo sistema è inversamente proporzionale alla sua diffusione. Infatti se il challenge-and-response si dovesse affermare come metodo antispam, gli spammer cambierebbero sicuramente le loro tattiche in modo da rendere ancora più marcata l'inclusione di indirizzi realmente esistenti nel campo "From:" dei loro messaggi di spam, indirizzi ovviamente appartenenti a utenti ignari di tutto.
Oggi infatti, tranne in alcuni casi, lo spam ci viene inviato da indirizzi inventati come "john.doe@dominioqualsiasi.it". Lo spammer del resto è un imprenditore, un vero e proprio homo economicus, e non perde tempo a modificare il suo software in modo da fargli inserire a tutti i costi un indirizzo funzionante nel campo "From:". Ciò che interessa allo spammer è che l'indirizzo nel campo "To:" sia valido, il resto è una perdita di tempo (e quindi di denaro).
Ma se già un buon 10% dell'utenza iniziasse a usare sistemi di challenge-and-response (per brevità, C/R), agli spammer verrebbe a mancare un'importante fetta di "mercato", ragione sufficiente per costringerli a modificare la loro tattica, obbligandoli a inserire indirizzi funzionanti anche nel campo del mittente, nella speranza statistica che una buona fetta di ignari utenti a cui torna indietro il messaggio di "challenge" faccia comunque clic sul link di risposta, e che altri siano già inclusi nelle whitelist dei vari server.
Continua a leggere "Challenge and Response, nessuna panacea contro lo spam" »
