SicurezzaInformatica

Il vostro smartphone è sotto controllo?

Trevor Eckhart, un sysadmin e programmatore statunitense, ha trovato nel suo smartphone Android un rootkit (un programma che tenta di nascondere la sua presenza nel sistema) chiamato Carrier IQ. Questo software, stando alla ricerca di Eckhart, arriva già preinstallato sui telefoni e tiene sotto controllo un gran numero di attività, incluse le chiamate, la pressione dei tasti, gli sms (compreso il testo dei messaggi).

L'omonima azienda produttrice del software afferma che esso è installato su oltre 150 milioni di dispositivi in tutto il mondo. Scopo dichiarato del programma è quello di consentire alle aziende di telefonia di analizzare le cause di problemi come l'interruzione delle chiamate, problemi alle connessioni dati, ecc.

In questo video è possibile vedere Carrier IQ all'opera:

 

 

 

Come proteggere la propria privacy sul nuovo Facebook Places

Questa settimana Facebook ha lanciato il nuovo servizio "Places" ("Luoghi" in italiano). La dinamica è la stessa di Foursquare, e se questo nome non vi dice nulla forse non è importante, dato che molti analisti credono che presto scomparirà sotto lo tsunami di Facebook Places.

In due parole, Facebook ha attivato - per ora solo negli USA, ma presto anche in Europa - un servizio di geolocalizzazione. Si potrà far sapere, utilizzando uno smartphone con GPS, dove ci si trova in un dato momento. In quale bar, pub, pizzeria, negozio, ristorante ecc. Basterà selezionare il luogo da una lista di esercizi che si trovano in zona, ed effettuare un "check-in".

Oltre a registrarsi in un dato luogo si potranno aggiungere commenti, si potrà indicare con chi si è in quel momento, tutto pubblicato in tempo reale sul proprio profilo Facebook.

Il punto che prevede la possibilità di indicare i propri compagni di check-in è il più critico sotto il profilo della privacy. Mentre chi si auto-tagga lo fa di propria iniziativa, perché vuole far sapere agli amici che è stato in quel dato luogo, "taggare" le altre persone potrebbe essere fatto anche senza il loro esplicito consenso.

Quindi se vi trovate al bar con gli amici mentre al vostro partner/genitore/capoufficio avevate detto tutt'altro, basta che uno dei vostri amici al bar spunti il vostro nome su Facebook Places e la cosa potrebbe saltar fuori sul suo e sul vostro profilo Facebook.

Peggio, se qualcuno vuole farvi uno scherzo, vi può taggare senza che voi siate davvero lì, con potenziali conseguenze per la vostra privacy.

Fortunatamente Facebook ha già previsto anche per gli account italiani le configurazioni adatte per evitare che altri possano taggarvi senza il vostro permesso. Basta accedere alle Impostazioni sulla privacy (tasto Account in alto a destra su Facebook), quindi fare clic sull'opzione Personalizza impostazioni (verso il centro in basso). Dopodiché scorrere la pagina fino ad arrivare alla sezione Elementi condivisi dagli altri e impostare la voce Gli amici possono registrarmi nei luoghi che visito su Disattiva.

Fatto. Questo non vi impedirà di usare Facebook Places qualora ne aveste voglia, ma bloccherà chiunque tenti di "taggarvi" a vostra insaputa.

Un'applicazione per Android ruba alcuni dati riservati

Un wallpaper per i cellulari Android, ospitato sul Market ufficiale, catturerebbe informazioni riservate come il numero di telefono, l'id dell'abbonato e il numero della segreteria telefonica, inviandole poi a un server in Cina. L'applicazione è stata scaricata da un minimo di 1,1 milioni a un massimo di 4,6 milioni di volte.

Lo hanno affermato il CEO e il CTO dell'azienda di sicurezza Lookout alla conferenza Black Hat in corso a Las Vegas.

Benché il sistema Android elenchi il tipo di informazioni a cui avrà accesso ogni software che viene installato, generalmente questa schermata viene approvata dagli utenti senza porsi troppe domande.

Ne parla Venturebeat.

Facebook e la privacy, come mettere in sicurezza il proprio account

Un dei "nuovi pericoli" alla sicurezza delle informazioni è oggi rappresentato dagli attacchi alla nostra privacy basati sui dati contenuti nei social network.

Facebook, con le sue continue modifiche alle condizioni d'uso che limitano sempre di più la protezione della privacy dei suoi utenti, richiede ora un bel po' di attenzione per configurare al meglio i parametri relativi alla riservatezza delle nostre informazioni.

BusinessInsider ha pubblicato oggi un'interessante guida su come "mettere in sicurezza" il proprio account su Facebook. Consiglio a tutti gli utilizzatori di questo social network di dare un'attenta occhiata al link che segue:

How To Put Facebook On A Privacy Lockdown

Intervista sul mobile spam

Qualche giorno fa ho rilasciato un'intervista ad Alground sul mobile spam.

EstDomains de-accreditato da ICANN

EstDomains, un registrar noto per ospitare innumerevoli domini Internet collegati ad azioni di spamming e di phishing, ha perso l'accredito ad ICANN (PDF).

Le ragioni ufficiali riguardano le condanne del suo presidente per frode (truffe con carte di credito, lavaggio di denaro sporco e falsificazione di documenti) passate in giudicato in Estonia, ma già da tempo in molti chiedevano a ICANN la rimozione dell'accredito a EstDomains per la protezione che dava a spammer e phisher.

Osservando il sito del registrar, dove ancora non c'è traccia del provvedimento, si notano una serie di link e comunicati per la lotta allo spam. Mi sembra evidente che l'azienda abbia provato di tutto in queste settimane per darsi una parvenza di onestà, visto che i primi richiami di ICANN non promettevano nulla di buono.

---

Prove di anti-cyber-terrorismo in India

Mentre la Cina attacca (?) gli USA, l'India prova a difendersi dal terrorismo. Lo riferisce Bruce Schneier sul suo blog, che a sua volta riporta una notizia pubblicata dal sito indiano MiDDay:

Mumbai police will have access to new software connected to 500 cyber cafes in the city that will send them logs

In sostanza la polizia di Mumbai (ex Bombay) installerà un software in 500 Internet cafè che le permetterà di monitorare le attività terroristiche.

The police needs to install programs that will capture every key stroke at regular interval screen shots, which will be sent back to a server that will log all the data.

La logica è che se i terroristi temono di essere rintracciati usando la connessione Internet di casa o da amici/conoscenti, in un Internet cafè sarebbero protetti dall'anonimato.

Vijay Mukhi, President of the Foundation for Information Security and Technology says, “The terrorists know that if they use machines at home, they can be caught. Cybercafes therefore give them anonymity.”

E da oggi ovviamente qualsiasi terrorista che dovesse pianificare un attentato ci penserà due volte prima di usare un Internet cafè di Mumbai. Di conseguenza ecco l'ennesimo esempio di come una misura estrema presentata come mezzo di contrasto al terrorismo finisce per essere usata contro la criminalità comune. Oltre che ovviamente per rendere la vita più difficile al resto della popolazione.

All cyber cafes in the city will now need a police license to keep their business going. All cafes need to register at the police headquarters and provide details on the number of computers installed, type of computers and technical details like the IP address of each machine.

Codificare l'email nell'HTML per evitare lo spam (II)

Più di due anni or sono ho dato qualche consiglio per codificare gli indirizzi e-mail nelle pagine HTML onde evitare che essi cadano vittima degli e-mail harvester.

Oggi navigando sul sito di project honeypot (un progetto interessante di cui parlerò, se sarà il caso, fra qualche giorno) ho trovato questo altro metodo per inserire gli indirizzi sul Web in modo da renderli invisibili agli harvester: offuscarli con del codice JavaScript.

Scrivendo un indirizzo e-mail nella maschera proposta dal sito di project honeypot si otterrà il codice JavaScript da inserire nelle pagine web. Poiché i programmi di e-mail harvesting non elaborano lo JavaScript - vuoi per questioni di velocità, vuoi per evitare di rimanere fermi su del codice fallato o realizzato ad arte per bloccarli - essi salteranno a piè pari il codice contenente l'indirizzo e-mail, che tuttavia verrà visualizzato ai visitatori del sito come se niente fosse (posto ovviamente che questi ultimi abbiano il browser abilitato per eseguire codice JavaScript).

SigInt, Echelon visto dal Canada

L'Edmonton Sun, giornale canadese, ha ospitato le riflessioni di un giornalista sul ruolo del Canada nel progetto di signals intelligence noto ai più come Echelon.

Quando si parla di Echelon si pensa quasi sempre agli Stati Uniti, NSA & Co. Il ruolo degli altri paesi appare minore, ma lo è davvero?

In Canada, the most important sits in Leitrim, a sleepy community of Ottawa that was just countryside when the station, codenamed CAF97, was first constructed in 1941. Now, it sits a scant distance from the end of Bank Street, where the city's longest street turns into Highway 31, taking busy urbanites past the capital's airport and subdivisions. Although the Communications Security Establishment (CSE) never talks about its operations publicly, Leitrim - a Canadian Forces base - is long believed to have monitored Russian submarine and shipping activities in the Arctic.

A chi si interessa dell'argomento, segnalo che Wikipedia ha una buona pagina su Echelon.

Sequestri di portatili volando negli USA

La paura di volare da tempo ha assunto un nuovo significato. La paranoia da attentato terroristico ci spinge non solo a imbarazzanti spogliarelli davanti ai metal detector (agli aeroporti di Mosca, ma non è l'unica città, da un paio d'anni ormai è d'obbligo togliersi le scarpe e zompettare dentro mini-sacchetti di plastica), ora negli USA potrebbero sequestrarvi il computer e compiere un'approfondita analisi dei suoi contenuti.

Ne parla Punto Informatico:

La Association of Corporate Travel Executives, ACTE ha diramato un allarme a tutti i propri soci secondo cui "con le attuali leggi americane, agenti governativi possono sequestrare e analizzare il computer portatile di un viaggiatore, i suoi dischi e altri media elettronici quando arriva negli Stati Uniti da un volo internazionale o parte dagli Stati Uniti verso un altro paese".

E in effetti il comunicato dell'ACTE non lascia spazio ad alcun dubbio:

The Association of Corporate Travel Executives (ACTE) is warning its members that under U.S. law, government agents may seize and search a person´s laptop computer, computer discs, and other electronic media when that person arrives in the U.S. from abroad or departs from the U.S for a foreign country. The law applies equally to U.S. passport holders and non-U.S. passport holders. The association is advising business travellers to be cautious in carrying proprietary information across U.S. borders.

Il mio consiglio si esaurisce in un'unica parola: crittografia.