SKY TG24 "IoReporter"

Rubare identità su Facebook

Attenzione!

C'è un tizio che si è registrato su Facebook a nome di Riccardo Luna e sta girando a suo nome.

Qui le info:

Wired Italia - Cronaca di un furto. Di identità. La mia.

Sito fake di MSN

Da stamattina continuano a arrivarmi messaggi via MSN tutti con questo testo "Prova questo sito http://www.messengerscan.com ti dice chi ti ha cancellato o bloccato nel MSN".
Ovviamente il sito serve solo a prendervi i dati del messenger quindi take care.
Link: Forum Hacker :: Leggi argomento - Sito fake di MSN

Come scegliere password sicure, parla Schneier

Alcune coniderazioni del guru Schneier sulla scelta di password sicure.
Da leggere.
Link: Schneier on Security: Choosing Secure Passwords.

Come trovare documenti riservati in Internet

Boingboing ha una segnalazione decisamente ovvia ma interessante.

Se fai una ricerca su Google per parole come confidential, ecc. si trovano molti documenti riservati.

Morale: se hai un documento riservato non metterlo in rete e non scriverci "confidenziale" ;)

Link: confidential "do not distribute" - Google Search.

Come scoprire una password (video)

Gianni Amato segnala questo video davvero interessante per capire (una volta di più) quanto sia facile scoprire una password.

Link: Exploit.

Vedere i virus del mondo su una mappa

Buona trovata di F-Secure per visualizzare i virus in circolazione nel mondo (e promuovere indirettamente i propri prodotti).

Si tratta di una mappa geografica che indica le "infezioni" informatiche in corso ed il livello di pericolosità.

Link: F-Secure World Map

Problemi del dominio .EU

Un post da leggere sui problemi legati al dominio .EU.

Link: Hot Points – A blog by Go Daddy founder and president Bob Parsons

The .EU landrush fiasco. A bumbling registry allows Europe's very own domain name to be highjacked!

Quanto ci metto a craccarti la password

Bell'articolo via Digg, anche se datato 2004, sui tempi necessari per trovarti la password, in base alla tipologia impiegata (numero di caratteri, alfanumerica, maiuscolo/minuscolo, ecc.).

Link: Password Recovery Speeds

Firefox e password in chiaro

Premetto di essere un accanito utilizzatore di Firefox (lo uso e lo stretcho il più possibile aggiungendo e rimuovendo estensioni in continuazione).

Però è stato sollevato il problema che da strumenti>opzioni>privacy> mostra password, vengono visualizzate in chiaro tutte le password salvate (uso FX da molto tempo e onestamente non lo sapevo).

Ovvie le critiche di sicurezza rispetto ad esempio ad Opera, ma il problema mi sembra in ogni caso a monte.

Come gestire correttamente e in modo sicuro password di testo?
Soprattutto è realmente possibile?

Cosa ne pensate?

Link: Firefox saved passwords for all to see

Come capire se ti spiano l'email

Un modo semplice ma interessante per capire se un'email è o meno sotto controllo.

Anche se pensato per gli USA e la NSA, può essere utile approfondire anche da noi.

Link: Boing Boing: Experiment to see if your mail is being tapped by the gov't

1. Set up a Hotmail account.

2. Set up a second email account with a non-U.S. provider. (eg. Rediffmail.com)

3. Send messages between the two accounts which might be interesting to the NSA.

4. In each message, include a unique URL to a Web server that you have access to its server logs. This URL should only be known by you and not linked to from any other Web page. The text of the message should encourage an NSA monitor to visit the URL.

5. If the server log file ever shows this URL being accessed, then you know that you are being snooped on. The IP address of the access can also provide clues about who is doing the snooping.

Spam bancario (ancora)

Ho appena ricevuto sulla mia mail, questo phishing (ormai siamo alle mail ingannevoli che sono addirittura a nome di 3 istituti bancari insieme! Ho sostituito i link con link1/2/3):

Banca Intesa/ San Paolo IMI/ Fineco chiede il vostro contributo:
Per i possessori di un conto Banca Intesa o di un conto San Paolo IMI o di un conto Fineco, a seguito di verifiche
di l'indirizzo di posta elettronica nei nostri database clienti, si è reso necessario utilizzo online la conferma dei
Suoi dati. Le chiediamo perciò di confermarci i dati in nostro possesso, accedendo al seguente form protetto:

Per i possessori di un conto Banca Intesa: Link1

Per i possessori di un conto San Paolo IMI: Link2

Per i possessori di un conto Fineco: Link3

Fate attenzione !
Non rispondete, non date i Vostri dati.

EFF cracca il codice segreto delle stampanti

Sta girando veloce questa notizia di Electronic Frountier Foundation.

In sostanza EFF ha decrittografato il codice utilizzato nelle stampanti della serie Xerox Docucolor.
Perchè?
Doctorow di Boingboing spiega che molte stampanti "hide information about your printer's serial number and the date and time of your print job in every job you print. It's believed that this is done to get your equipment to incriminate you without your knowledge."

A prescindere dai rilievi giuridici e di merito, l'aspetto rilevante è a mio parere ancora quella che definirei: hackabilità.

Esci con un prodotto, un sito, un'idea? Il mondo la fuori è pronto a modificarla, craccarla, rielaborarla. Che tu lo voglia o no.
Bisogna tenerne conto.

Link: Boing Boing: EFF cracks hidden snitch codes in color laser prints.

Net Tools

Segnalo un software free che mette insieme una serie di strumenti utili per amministratori di rete e non solo.
Sotto le prime 20 di oltre 90 funzioni.
Come Vi sembra?

Link: Net Tools.

1) IP Address Scanner 2) IP Calculator 3) IP Converter 4) Port Listener 5) Port Scanner 6) Ping 7) NetStat (2 ways) 8) Trace Route (2 ways) 9) TCP/IP Configuration 10) Online - Offline Checker 11) Resolve Host & IP 12) Time Sync 13) Whois & MX Lookup 14) Connect0r 15) Connection Analysator and prtotector 16) Net Sender 17) E-mail seeker 18) Net Pager 19) Active and Passive port scanner 20) Spoofer...

(IN)SECURE Magazine: periodico gratuito di sicurezza informatica

A chi si occupa di sicurerezza segnalo questo periodico che non conoscevo e sembra ben fatto.
E' un pdf free scaricabile (è di oltre 60 pagine il numero attuale).

"(IN)SECURE Magazine is a freely available digital security magazine discussing some of the hottest information security topics. It can be distributed only in the form of the original non-modified PDF document."

Link: (IN)SECURE Magazine.

Consigli per non farsi clonare il bancomat

Sul sito della Polizia ci sono utili indicazioni - e anche un video - per evitare di farsi clonare il bancomat quando si preleva, tra cui:

"Allo sportello: osservare l'apparecchiatura alla ricerca di anomalie e modifiche. Sulla verticale o diagonale della tastiera può esserci per esempio una microtelecamera.
Bocca della fessura: controllare se la fessura dove si  inserisce la tessera Bancomat è ben fissa. Se si muove o si stacca potrebbe significare che è stata coperta con uno “skimmer”
Tastiera: verificare se anche la tastiera è ben fissa. Spesso i malfattori sovrappongono una loro tastiera per catturare il codice Pin. In questo caso c’è un gradino di un paio di millimetri
Pin: digitare il codice nascondendo con il palmo dell’altra mano l'operazione 

Link

Via: Dighel al Dutur Attenti al bancomat (ha altri link a Slashdot e foto).

Vulnerabilità Netscape e Thunderbird

Inchiostro segnala (per chi ha Netscape e Thunderbird):

Segnalo che sono stati trovati diversi vulnerabilità in Netscape (anche l'ultima versione 8.0.3.3 ne è affetta). Sono state classificate da Secunia molto critiche.

In pratica si possono manipolare i dati personali della vittima, eseguire attacchi spoofing, bypassare i controlli di sicurezza e compromettere la stabilità del sistema.

Anche in Thunderbird (client di posta elettronica made in Mozilla) è stata riscontrata una vulnerabilità estremamente critica.

Thunderbird non esegue bene uno script Shell che consente di aprire un link malevole attraverso una mail.

Il bug è solo per ambienti Linux e Unix e ne sono affette tutte le versione di Thunderbird.

Per ora i due bug non hanno patch di sicurezza e si raccomanda la massima prudenza e di utilizzare altri software finchè non verranno tappati questi nuovi buchi informatici.

Fonte Secunia.com

Rasbank: risolto

Giacomo ha postato l'aggiornamento del caso Rasbank.
Problema risolto. Bene :)
Grazie dunque a Daniele Fogazzi per aver segnalato il problema e soddisfazione per il comportamento attento di Rasbank (che allertata da Html.it ha tappato la falla).

Link: Rasbank: il caso è chiuso in meno di 24 ore | News dal Web | WEBNEWS.HTML.it.

Phishing e Rasbank

Grazie a Luca ho saputo della vicenda di phishing relativa questa volta al sito di Rasbank.

Giacomo Dotta, puntuale e preciso come sempre, ha tutte le informazioni su Html.it.

Giacomo mi ha anche fatto testare la falla e devo confermare che è molto pericolosa (= se clicchi sul link fraudolento di turno vieni ingannato).

Ne approfitto per constatare quanto oggi sia fondamentale essere presenti in Internet, ed esserci con gli strumenti giusti, integrati con il mondo dei blog.

Troppo più vantaggioso.
Viene a sapere subito che cosa si dice del tuo prodotto, se ci sono problemi, critiche (o anche complimenti, ecc.).

Dov'è il blog di Rasbank per gestire le pubbliche relazioni?

Perché Dotta deve chiamare più numeri prima di avere una risposta per un problema che interessa alla Banca e ai suoi utenti?

Confidiamo in una veloce soluzione.

Link: Phishing, grave falla sul sito Rasbank | News dal Web | WEBNEWS.HTML.it.

Bancomat con Windows XP crash

Ho trovato su Flickr queste foto di un bancomat che crasha e si riavvia (Win XP montato).

Mi lascia perplesso, a prescindere dalle consuete considerazioni sulla stabilità di Windows vs. Linux, il fatto che il sistema operativo in un bancomat sia così in vista, così accessibile all'utente.

Non credo che l'utente medio sappia quanto sia facile craccare un pc; ma se un bancomat è o diventa equivalente a un pc, allora quanto è sicuro un bancomat (ora? in futuro?) ?

Link: ATM Running Windows XP & Crashing - a photoset on Flickr.

Una "tonnellata" di link utili se perdete la Password

Lista molto ricca di strumenti e utility per recuperare password smarrite et simila.

Da usare come sempre a fin di bene!

Link: Password Portal - Password Recovery, Password Cracking.

Have you lost or forgotten a password? Do you need help recovering a password?  Here you will find links to Commercial Password Recovery resources. We have also included links to a wide range of associated resources.  These include:  links to Password Cracking sites, Password Management software, Security Consultants who specialize in Penetration Testing, Data Recovery and Media Recovery companies, Computer Forensics specialists, Computer Forensic Software, Encryption Software, Hacker and Cracker sites, Data Backup services and software and Security Publications.

Far collassare Internet: ciscogate

Consiglio la lettura di questo articolo di Cnet sulle problematiche di stabilità della Rete (e le recenti vicende di sicurezza releative ai routers Cisco).

E' possibile "tirar giù Internet" con un attacco? Se ne parla da tempo.

Link: Security Watch: A credible plan to take down the Internet - CNET reviews.

Many security researchers I spoke to at the Black Hat conference said they weren't expecting a network worm to surface anytime soon, but all admitted that the possibility exists. If anything, the flurry of news reports about the flaw has prompted large companies to patch their Cisco routers ASAP. That's good. The more routers that are patched now, the fewer will fall victim later. No wonder the U.S. government officials attending Black Hat all rushed to thank Lynn after his presentation, and one even handed him the challenge coin, a military medallion that honors those fighting terrorism.

Bypassare Microsoft windows genuine

Sembra che in questi giorni gli hack si siano concentrati su Microsoft.

Andy segnala questo, relativo al sistema di riconoscimento di Microsoft per il download di software e aggiornamenti (sono 6 righe di codice..).

E' un utile spunto per sottolineare come in Rete i sistemi di protezione (DRM inclusi) abbiano vita davvero breve (non per incapacità di chi li fa ma per la natura stessa del sistema in cui si opera).

Per chi nutrisse ancora dei dubbi, invito alla lettura del classico di Cory Doctorow su questo tema.

Link: Andy WebNews: How to Bypass WGA.

Indirizzo della barra di stato cammuffato (Various Browser Status Bar Spoofing)

Salvatore segnala un altro problema di sicurezza che riguarda questa volta l'indirizzo mostrato nella barra di stato.

In pratica passando con il mouse sopra a un link se ne può mascherare il reale indirizzo, con grande gioia del phishing.

L'ho provato con Firefox (1.0.4) e devo dire che, a meno di aprire il codice della pagina, si viene ingannati.

Link: Various Browser Status Bar Spoofing - Salvatore Aranzulla.

Google Video bucato

In molti mi hanno segnalato ieri la notizia dell'hack di "GoogleLan" (la versione di Videolan implementata da Google per la sua sezione video).

Purtroppo ieri ho cercato di postare tra le pause dle convengno Open Source di Foggia, ma la connessione umts da portatile mi ha dato mille problemi. I.Simpatico riassume di seguito la vicenda. MM

Jon Lech Johansen (meglio conosciuto come DVD Jon) dopo aver creato il programma DeCSS che aggirava le protezione sui DVD attirandosi gli strali delle Major che lo portarano in tribunale, dopo aver scritto PyMusique con il quale si poteva acquistare musica da iTunes senza le protezioni DRM, ha attirato la sua attenzione sul player video made in Google.

Il Plug-in basato su VLC Player è passato al microscopio di Jon ed è stata bucato. In pratica solo i video ospitati su server Google possono essere visti, tramite l'apposito plug-in.

Con la patch resa disponibile da Jon viene rimossa questa restrizione ed un qualsiasi video non ospitato su server google può essere visto.

In meno di 24 ore Google Video è stato bucato.

Leggi News

200.000.000 account Passport a rischio di falsificazione?

Sabato abbiamo parlato di phishing in trasmissione ed ecco un nuovo pericolo.

Stamattina Salvatore Aranzulla (nella foto) mi ha dato dimostrazione pratica di una potenziale falla di Microsoft Passport (= sistema di autenticazione unico di Microsoft) estremamente pericolosa in termini di sicurezza e furto d'identità.

In sostanza dopo essermi loggato in Passport e simulando il comportamento di un utente medio, Salvatore è stato in grado di sottrarmi l'identità (= navigava in Rete come se fosse me) in circa 1 minuto (lascio a Salvatore i dettagli tecnici, che consiglio di rilasciare dopo che Microsoft avrà corretto il baco).

Confidiamo nel fatto che Microsoft corregga quanto prima questo bug e nel frattempo (se usate Passport) disattivate i Javascript durante la navigazione.

Link: Salvatore Aranzulla

Update!
Questa notizia è presente alle 16:30 di lunedì 27 giugno 2005, solo sul blog di Salvatore e qui su Sky TG24 Pianeta Internet. Data la potenziale pericolosità del bug chiederei a tutti gli interessati di dare una mano per mettere il fatto a conoscenza di Microsoft (ora provo a scrivere a Scoble).
 

Lucchetto Kensington craccato (update)

Un post di Loic le Meur rilancia la notizia del lucchetto aperto con un pezzo di carta igienica ed un pizzico di fantasia (il video per altro non è recentissimo).

L'aspetto a mio parere importante riguarda la gestione di questo tipo di situazioni da parte delle aziende coinvolte.

In alti termini: come si deve comportare un'azienda nell'era della blogosfera, nel momento in cui un proprio prodotto si dimostra vulerabile/difettoso/insicuro ?

Il problema si era già posto con il lucchetto Kryptonite ma riguarda qualunque azienda che debba gestire momenti di crisi nell'era di internet.

Un aspetto è certo: è impensabile anche solo pensare di poter ignorare Internet e i blog in questi frangenti (= perché la Kensington non si attiva immediatamente sui principali bloggers per chiarire la situazione?).

Alcuni consigli autorevoli qui e qui.

Calipari e omissis: lo scoop dei blog italiani (video)

Intervento speciale sullo scoop dei blog  italiani e il report Calipari.

Considero oggi un giorno di grande importanza per i blog e in particolare per i blog italiani.

La notizia degli omissis rivelati è stata data dalla blogosfera italiana (un nome su tutti, Macchianera) e si comportano in modo non corretto i siti e le agenzie che non citano la fonte.

I blogs (italiani) sono la fonte di questo scoop.

Link al video dell'intervento (12MB, wmv)

Acrobat 7 ci spia?

Mi interessa approfondire le affermazioni presenti nell'articolo pubblicato su LWN.net.

In sostanza si sostiene che in Acrobat 7 è presente una funzione (non trasparente per gli utenti) che effettua una chiamata a un server esterno per controllare la diffusione dei documenti in pdf.

Tradotto significa che ogni volta che apriremo un pdf con Acrobat 7, la nostra attività verrà "tracciata" per analizzare appunto la circolazione dei documenti in formato .pdf.

Attenti a Poste.it (phishing)

SalvaPCNews segnala un ennesimo caso di phishing (email truffaldina) a cui bisogna stare attenti:

" Un'email specificamente pensata per trarre in inganno gli utenti Internet italiani e' stata diffusa dal pomeriggio di ieri con una massiccia opera di spam e continua a pervenire a molti utenti mentre scriviamo.

Si tratta di una tipica email truffaldina, studiata per spingere gli utenti che la leggono a credere che si tratti di un messaggio ufficiale proveniente da Poste.it, in modo tale da spingerli su pagine web truccate per apparire pagine del sito delle Poste. In realta', come sempre in questi schemi truffa, si tratta di spazi web abusivi sui quali all'utente viene richiesto di lasciare i propri dati e codici di accesso, che vengono cosi' catturati dagli autori di queste truffe.
Persino i link presentati nelle email ad uno sguardo superficiale sembrano legittimi quando invece sono mascherati per trarre in inganno piu' facilmente l'utent emeno esperto.

E' la prima volta che i servizi di Poste.it vengono abusivamente tirati in ballo in una simile azione di 'phishing'."

Qui maggiori info

Home banking a rischio

L'articolo è interessante, anche se non aggiunge molto al problema della sicurezza in Rete.

Il problema è il solito: l'home banking è davvero sicuro?

"PERSONAL home computers were never designed to act as secure ATMs and could not be trusted for internet banking or any other online transaction, a leading internet security researcher has warned."

Come ogni altro altro servizio online anche l'home banking non è esente dai rischi di frodi e attacchi di vario tipo.

Link all'articolo di News.com.au via Smartmobs