Esattamente il 26 ottobre del 2017, un breach del sito MyHeritage avrebbe permesso agli hacker di accedere agli indirizzi email e password dei clienti di uno dei portali più usati per effettuare test del DNA. Stando ai dati ottenuti dalla compagnia con base in Israele, sarebbero almeno 92 milioni i profili interessati, ovvero chiunque abbia avuto accesso al servizio prima e dopo la violazione.

Si, perché la falla è stata scoperta solo in settimana, quando cioè un ricercatore di sicurezza indipendente si è imbattuto nel file contenete le informazioni sensibili dei navigatori. Nonostante le chiavi segrete ospitate sui server fossero codificate tramite hash, l’azienda ha invitato comunque i consumatori a cambiarle, per evitare qualsiasi problema di intrusione.

Cosa è successo

Queste le parole del team: “Dopo aver appreso dell’incidente, abbiamo istituito un gruppo di risposta alla sicurezza per indagare sull’incidente. Stiamo anche prendendo provvedimenti immediati per coinvolgere un’agenzia indipendente che conduca revisioni forensi complete così da determinare la portata dell’intrusione ma anche per fornire raccomandazioni sui passi da intraprendere ed evitare che un simile incidente si verifichi in futuro”.

Inoltre, pare che le informazioni più critiche ai fini del servizio, ovvero i dati sul DNA e relativi alberi genealogici, siano conservate altrove, su un sistema separato che include vari livelli di protezione. Inoltre, da qualche tempo il sito offre anche l’autenticazione a due fattori, che permette di aggiungere un ulteriore strato di sicurezza e innalzare la privacy dell’identità online. Ultimamente MyHeritage ha riscosso un incremento di utenti davvero notevole. Partendo da un semplice tampone nella guancia, il portale analizza milioni di catene genetiche (presenti anche su servizi simili), per restituire sequenze e corrispondenze comuni.

L'articolo 92 milioni di DNA digitali a rischio hacker proviene da Data Manager Online.

Al di là delle idee catastrofiste di qualche imprenditore, c’è un serio pericolo dietro l’affermazione di robot e automi in ambito produttivo e civile: la sicurezza dei software. Qualora per il mondo vaghino decine, se non centinaia e migliaia di robottini vulnerabili, chiunque potrebbe violarne i sistemi e utilizzarli a proprio scopo. Non si tratta di uno scenario preso da qualche film sci-fi di Hollywood ma un contesto più che reale, se declinato ai famosi Pepper. I ricercatori della Technical University of Sweden, Michele De Donno e Nicola Dragoni, insieme al collega Alberto Giaretta della Orebro University (tutti di chiari riferimenti italiani), hanno infatti pubblicato un report che riassume tutte le problematiche di sicurezza a bordo dei conosciutissimi umanoidi.

Di cosa si tratta

All’interno di “Adding Salt to Pepper: A Structured Security Assessment over a Humanoid Robot”, gli universitari elencano le falle che permetterebbero a un hacker di ottenere le chiavi di accesso ai sistemi di comando, così da trasformare un potenziale supporto per l’uomo in una macchina molto pericolosa. “Siamo stati in grado di rubare le credenziali di accesso, eseguire un’escalation di privilegi e leggere alcuni dati. Inoltre, è possibile comandare fisicamente il robot senza autenticazione, usarlo per spiare le persone e persino danneggiarle direttamente – hanno detto i tre spiegando che – la sensazione è che robot del genere, a scopo commerciale, siano arrivati troppo presto sul mercato, privi di adeguate misure di sicurezza e ponendo a serio rischio gli utenti da parte dei costruttori”. SoftBank, che sviluppa Pepper, non ha risposto alle indagini diffuse nelle ultime ore ma è probabile che lo farà molto presto, almeno tappando i bug individuati dai nostri connazionali.

L'articolo I robot Pepper sono un pericolo per l’uomo proviene da Data Manager Online.

GitHub ha comunicato di aver riscontrato un bug sui propri server che permetteva alle password di essere conservate in chiaro. All’interno di alcuni log presenti sui sistemi aziendali, si potevano trovare database pieni zeppi di chiavi segrete visibili e non crittografate come ci si aspetterebbe. Si tratta di un problema molto simile di cui ha sofferto Twitter la scorsa settimana e che aveva portato la piattaforma a invitare tutti gli iscritti a cambiare le password di accesso sebbene in assenza di qualsiasi violazione. Come sia potuto accadere che le stringhe di GitHub siano rimaste così, trasparenti e alla stregua di chiunque non è stato spiegato.

Cosa succede

Quello che sappiamo si basa sulle dichiarazioni del team: “Durante un normale controllo, abbiamo scoperto che un bug ha permesso di mostrare un piccolo numero di password degli utenti al nostro sistema di registrazione interno. Siamo intervenuti tempestivamente per correggerlo ma è stato attivato un reset delle chiavi per una protezione maggiore”. Ad ogni modo pare che il breach interessi solo una certa fetta di iscritti che però potrebbe essere importante, considerando che la piattaforma ne conta oltre 27 milioni in totale.

Di norma, GitHub conserva le password dopo averle crittografate via hash ma il bug, stando a quanto comunicato, consentiva di catturarle in chiaro quando si avviava una procedura di reset manuale. Trovandosi solo su server dell’azienda, nessun soggetto terzo ha potuto accedere alle chiavi quindi le conseguenze dovrebbero essere limitate, se non pari a zero. Non è certo questo l’unico bug che girava sul portale più amato dagli sviluppatori; nel giro di un mese il team dedicato ha affermato di averne scovati circa 500 mila, nascosti tra le maglie dei file.

L'articolo GitHub ha un problema con la sicurezza delle password proviene da Data Manager Online.

Proprio nel giorno del Password Safety Day, l’occasione ideale per sensibilizzare gli utenti sulla sicurezza online, Twitter ha scoperto che buona parte delle credenziali dei suoi utenti sono state liberamente esposte a eventuali attacchi hacker. Il social network ritiene che ben 330 milioni di password possono essere a rischio. Si parla quindi di oltre il 98% degli account potenzialmente violati. Il sito di microblogging ha invitato i suoi iscritti a cambiare la password sebbene si tratti di “un eccesso di prudenza”.

Le difficoltà riscontrate da Twitter, che ha bloccato la pubblicità di Kaspersky Lab, nascono da un problema tecnico alla rete interna e in particolare al sistema di memorizzazione delle password. Queste non sono crittografate ma convertite in sequenze casuali di numeri tramite “hashing” in modo da velocizzare il processo di autenticazione. L’azienda comunque sottolinea che il bug è stato risolto e che non ci sono conferme che le password siano effettivamente state violate. Per precauzione sarebbe comunque opportuno cambiare le chiavi d’accesso. “Recentemente – si legge nel post pubblicato dal support di Twitter – abbiamo trovato un bug che memorizzava le password smascherate in un log interno. Abbiamo corretto il baco e non abbiamo indicato alcuna violazione o uso improprio da parte di nessuno, per precauzione, prendi in considerazione la possibilità di modificare la password su tutti i servizi in cui hai utilizzato questa password”.

We recently found a bug that stored passwords unmasked in an internal log. We fixed the bug and have no indication of a breach or misuse by anyone. As a precaution, consider changing your password on all services where you’ve used this password. https://t.co/RyEDvQOTaZ

— Twitter Support (@TwitterSupport) 3 maggio 2018

L'articolo Twitter: a rischio 330 mln di account, meglio cambiare password proviene da Data Manager Online.

Così come i giganti della rete, anche Netflix ha aperto il suo programma di bug bounty. La piattaforma americana intende ingaggiare la community di esperti per scoprire se al suo interno vi sono falle e vulnerabilità sconosciute, che potrebbero mettere a rischio la sicurezza di migliaia di utenti da ogni parte del globo. Ospitato dal servizio Bugcrowd, il nuovo progetto offre premi che vanno da 100 dollari e arrivano a 15 mila, per i riconoscimenti più di valore, al netto della verifica da parte dei tecnici della compagnia.

Le linee guida del concorso sono alquanto stringenti, anche perché Netflix non ha intenzione di trasformare il bug bounty in un boomerang: gli hacker non devono diffondere le eventuali informazioni di clienti e dipendenti a cui hanno accesso e ogni tipo di informazione utile a violare in qualche modo sito e app deve essere condivisa con il gruppo e non utilizzata a scopo personale.

Trovare le falle

In realtà questo non è il primo bug bounty di Netflix. Sin dal 2013 l’azienda ha avviato ricerche specifiche con cui ha inteso coinvolgere gli smanettoni nell’analisi del codice al fine di rilevare debolezze nei sistemi. Nel 2016 c’era stato un certo ampliamento del programma, che oggi ha una portata globale. “Nell’ottica di interpellare una più vasta mole di esperti – spiega la compagnia  — abbiamo aumentato il numero di soggetti interessati. Oggi siamo oltre 700, da cui ci aspettiamo tanta qualità e un lavoro pensato per rendere i nostri client ancora più sicuri”.

L’attenzione alla sicurezza dei dati è diventato un pillar essenziale di ogni business digitale. Con molta probabilità, un servizio come Netflix qualche anno fa non si sarebbe nemmeno immaginato di dover attivare un progetto del genere ma è evidente che, gestendo contenuti sensibili tra cui le informazioni di pagamento, prevenire un eventuale breach è quanto mai necessario per evitare effetti devastanti sui conti interni.

L'articolo Anche Netflix ha il suo programma bug bounty proviene da Data Manager Online.

Dopo esser passata quasi indenne dallo scandalo Spectre e Meltdown, i giorni duri non sono ancora finiti per AMD. La compagnia di sicurezza CTS-Labs, con sede in Israele, ha infatti scoperto ben 13 falle che metterebbero in pericolo le informazioni a bordo delle CPU della serie Ryzen ed Epyc, e non solo queste. Il problema risiede nella particolare costruzione dell’architettura Zen del gruppo, che al momento interessa quattro categorie di prodotto: Ryzen ed Epyc appunto ma anche Ryzen Pro e Ryzen Mobile. L’agenzia ha persino realizzato un sito web, www.amdflaws.com, dove viene spiegato per bene cosa succede a causa delle vulnerabilità riscontrate. Come nel caso di Spectre e Meltdown, le 13 problematiche ricadono in quattro differenti tipologie, indicate con i nomi di Masterkey, Ryzenfall, Fallout e Chimera, ognuna delle quali interessa un particolare contesto di specifica debolezza informatica.

Cosa succede

Tra le varie critiche mosse ad AMD, CTS-Labs puntualizza la scarsa attenzione posta alla sicurezza a livello boot dove, sfruttando la falla Masterkey, un aggressore può prendere il controllo di ciò che viene attivato all’avvio del computer per eseguire script e programmi malevoli, così come disabilitare strumenti di monitoraggio e scan del sistema. Le altre decine di bug si concentrano sulla possibilità di infettare le macchine con malware e virus evitando l’analisi dei software di controllo e persino di valicare le difese di AMD Secure OS, sistema operativo che governa il Secure Processor integrato nei Ryzen che, in teoria, dovrebbe restituire una protezione estesa.

Per ora AMD ha rilasciato questa dichiarazione: “Abbiamo appena ricevuto un report da un’azienda chiamata CTS Labs che afferma che ci sono potenziali vulnerabilità di sicurezza legate ad alcuni dei nostri processori. Stiamo studiando e analizzando attivamente i risultati. Questa compagnia ci era francamente sconosciuta e troviamo insolito che un soggetto attivo in tale campo pubblichi la sua ricerca senza fornire un ragionevole tempo di intervento ai diretti interessati. Per AMD la security è una priorità assoluta e lavoriamo continuamente per garantirla sempre, in caso di potenziali nuovi rischi”.

L'articolo Non solo Intel: scoperte decine di falle sulle CPU AMD proviene da Data Manager Online.

In questi giorni si è scatenato un certo panico tra i possessori di iPhone per un via di un particolare carattere che se visualizzato tramite app molto diffuse ed utilizzate è in grado di bloccare il dispositivo per un lungo lasso di tempo. Fortunatamente gli ingegneri di Apple si sono messi subito al lavoro risolvendo il problema con una lodevole tempestività. Il nuovo aggiornamento iOS 11.2.6 permette agli utenti iPhone e iPad di dormire sonni tranquilli. Il download può essere effettuato direttamente dal dispositivo o tramite iTunes e richiede solo pochi minuti. Il fix inoltre ha risolto anche le difficoltà di comunicazione tra alcune app di terze parti e dispositivi intelligenti esterni.

[amazon_link asins=’B01MCW7EOW,B076YM5P2H,8866210374,8817054178,B078LGWZKW,8807883600′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’5a4a108f-1653-11e8-b32c-c92bd14191ea’]

A scoprire il bug è lanciare l’allarme è stato il portale Smartworld. Il protagonista di questa curiosa vicenda è un particolare simbolo in lingua telugu, uno dei numerosi idiomi parlati in India. La criticità si presentava quando questo carattere veniva condiviso tramite WhatsApp, Telegram e altre app di messaggistica. Non solo, anche Safari, Messaggi e Twitter erano possibili veicoli di infezione. Una volta visualizzato le app andavano in crash e risultava molto difficoltoso riavviarle. Se invece il carattere era presente nelle notifiche anche la Home di iPhone poteva bloccarsi per un tempo indefinito. Il problema non riguardava solo iPhone e iPad ma anche i computer Mac e gli orologi smart Apple Watch. La Mela, che ha ordinato a Github di rimuovere il pacchetto iBoot contenente alcune parti del codice del suo sistema operativo mobile, ha comunque provveduto a rilasciare l’apposito fix anche per macOS (10.13.3) e watchOS (4.2.3).

Questa non è la prima volta che un semplice simbolo mette in crisi la stabilità di iOS nonostante gli enormi sforzi di Apple per garantirla. Nel 2015 si è scoperto che una precisa sequenza di caratteri in arabo inviata via SMS era in grado di bloccare lo smartphone per diverse ore. Lo stesso avveniva quando si visualizzava l’emoticon dell’arcobaleno associata ad altri simboli.

[amazon_link asins=’B01MCW7EOW,B076YM5P2H,8866210374,8817054178,B078LGWZKW,8807883600′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’5a4a108f-1653-11e8-b32c-c92bd14191ea’]

L'articolo iPhone: Apple ha risolto il bug del carattere indiano proviene da Data Manager Online.

Usare Linux su una Switch può essere affascinante, oltre che utile. Il primo passo è stato compiuto dagli hacker del gruppo fail0verflow, che sono riusciti a valicare le difese dell’OS montato a bordo della console da Nintendo sfruttando un bug a livello hardware. Il processore interno, l’Nvidia Tegra X1, soffre infatti di un buco nei processi di boot che, anche in assenza di dettagli specifici, sembra permettere l’installazione di un sistema alternativo. Il tutto non avviene in automatico ma in una sorta di modalità dual dove, prima del caricamento originale si passa al secondario di Linux, con vantaggi e rischi. Si, perché dipendendo dalla struttura del SoC, non vi è patch o fix a cui Nvidia e Nintendo possano lavorare per tappare la falla, con la possibilità che malintenzionati la sfruttino per le loro infime operazioni di hacking.

Mondo pirata

Anche ancora nessuno ha sfruttato il bug del Tegra, la violazione apre a vasti scenari di piracy del software di bordo. Nintendo ha da sempre combattuto la pirateria utilizzando cartucce proprietarie e giochi con DRM molto restrittive. Eppure, trattandosi di un ambiente digitale, potrebbe bastare per aggirare le certificazioni che entrano in ballo quando c’è da far partire un videogame. La compagnia giapponese, che proprio grazie alla Switch si è rimessa in carreggiata nel complesso mondo del gaming, non sarà di certo contenta della scoperta dei fail0verflow che, c’è da dire, non hanno spiegato in che modo sono riusciti a bucare il bootloader della console, probabilmente con l’intento di contrattare le informazioni sul loro lavoro con la multinazionale.

L'articolo Nintendo Switch può ospitare Linux proviene da Data Manager Online.

L’inizio d’anno non si è fatto certo mancare i fuochi d’artificio. Lo spettacolo pirotecnico che maggiormente rimarrà impresso nella nostra memoria è senza dubbio la vicenda dei bug nei microchip. Chi, incredulo per la notizia, ha esclamato “porco cane!” dimostra una certa conoscenza del calendario cinese, ma l’aggiunta “suina” esubera la classificazione del 2018. È cominciato in anticipo l’anno del cane, che a rigore avrebbe dovuto vedere l’alba il 16 febbraio. Il maiale arriverà nel 2019 e chissà quante altre volte l’imprecante abbinamento verrà profferto prima di allora.

La storia della “cardiopatia” dei nostri computer è una pagina triste che disincentiva qualsivoglia tentativo di scherzare in proposito e che induce a fare tutte quelle riflessioni che nel tempo abbiamo rinviato, sbuffando l’immancabile “ma figurati!” con cui si ribatteva ogni volta che si sentiva prospettare un potenziale pericolo o rischio. La traversia in questione non si ferma alla drammatica constatazione di una spiacevole vulnerabilità, né alle conseguenti considerazioni che spingono anche i più incauti a preoccuparsi.

Gli immancabili complottisti (e con loro molta gente che non crede alle scie chimiche o ad altre solenni amenità che affollano il web) non si sono lasciati sfuggire un dettaglio che la cronaca – almeno dalle nostre parti – si è guardata bene dal porre nella dovuta evidenza. Quel birbaccione di Brian Krzanich, amministratore delegato dell’azienda protagonista della debacle tecnologica, a novembre avrebbe venduto il 60 per cento delle sue azioni Intel. Ha incassato 39 milioni di dollari guadagnandone 25: sbalorditivo fiuto per le plusvalenze da non lasciarsi scappare, oppure funesto presagio di catastrofiche riverberazioni immediatamente conseguenti la possibile diffusione della notizia della falla nei microchip?

#CyberSecurity #Intel @Umberto_Rapetto L’etica è come il #microchip non si modifica @bkrunner
Click To Tweet

Il calendario non si presta ad alleggerire i sospetti dei più maligni. La breve distanza tra la fortunata cessione delle quote e la sventurata propagazione della voce che il processore esponeva gli utilizzatori di pc, tablet e smartphone a seri problemi lascia spazio ai cattivi pensieri. Che Krzanich sapesse o non sapesse, poco cambia. L’etica è come il microchip, non si modifica. L’esser per bene non prevede patch o aggiornamenti integrativi. Il problema tecnico, però, purtroppo resta. E il problema non è quello della falla appena scoperta. O almeno non è solo quello. Il vero guaio è che, dopo tanti anni a pensare a virus o bug capaci di deteriorare i nostri software, siamo costretti a fare i conti con la fragilità dell’ingrediente “ferroso”, quell’hardware che si dimostra meno duro di quanto si potesse etimologicamente immaginare.

Se un microprocessore comincia a sbagliare o si inchioda cosa succede? E se un’intera serie di chip va fuori uso contemporaneamente? E se una azienda ha l’intero “parco macchine” con il medesimo processore? E se la stessa sorte toccasse a tutte le organizzazioni pubbliche e private? Fermiamoci qui, prima che qualcuno etichetti la mia storica rubrica come “catastrofista”. La storia dei primi di gennaio non ha riguardato un computer, cento, mille o un milione, ma ha coinvolto la quasi globalità degli apparati del Globo terracqueo. Stavolta si è trattato di una sorta di bazzecola, che ha tenuto desta l’attenzione nemmeno per una settimana. E se al prossimo giro – invece di qualche grattacapo per possibili violazioni della riservatezza (questioni di tutto rispetto, non mi si fraintenda) – ci si trovasse dinanzi a una tanto spettacolare quanto drammatica paralisi sincrona di tutti i dispositivi elettronici nelle case e negli uffici, come andrebbe a finire?

Non è fantascienza e, ahinoi, è rischio conosciuto e studiato da tempo. Torneremo a parlarne, speriamo solo per accademico divertissement. Nel frattempo chi vuole entrare nell’atmosfera, cerchi in Rete la “manchurian printer”. È un incubo già preventivato, niente paura, e nel prossimo numero ne discuteremo. Buon 2018.

L'articolo Processori sotto processo. Solo loro? proviene da Data Manager Online.

Dal controllo del browser a quello del computer. Ciò permetterebbero due falle di Firefox scoperte dal team di sicurezza di Cisco. Entrambe ricadono sotto l’etichetta CVE-2018-5124, che spiega in che modo gli hacker potrebbe sfruttare i bug per insediarsi nei sistemi e compiere diversi danni. Tra questi l’esecuzione di codice maligno con i privilegi di utente legittimo, dovuti, stando alle analisi, a misure non sufficienti di ottimizzazione di alcune sezioni di linee HTML.

Le versioni di Firefox interessate sono la numero 56 (.0, .0.1, .0.2), 57 (.0, .0.1, .0.2, .0.3, .0.4) e 58. Per fortuna le altre iterazioni del software, ad esempio quelle su Android, non sono colpite visto che la modalità smartphone non presenta le debolezze individuate su PC e Mac.

Meglio aggiornare

Avendo recepito a tempo debito i suggerimenti di Cisco, Mozilla ha rilasciato subito l’update per il browser, portandolo alla 58.0.1 per le piattaforme principali, così da proteggerle dal tipo di attacco plausibile evidenziato dagli esperti. A quanto pare, i privilegi ottenibili tramite una versione buggata di Firefox non servirebbero a molto se il browser non è configurato per accedere ai diritti di sistema.

Nonostante ciò è sempre consigliabile scaricare l’update anche per evitare che dall’ingresso aperto si possano insediare minacce peggiori e non ancora individuate. Non a caso, da Cisco fanno sapere che l’aggiornamento è critico e necessario perché gli hacker potrebbero sfruttarlo in altro modo su computer indifesi. A questo link tutte le informazioni del caso mentre sul sito di Mozilla c’è il changelog della 58.0.1.

L'articolo Firefox è vulnerabile a due falle di sicurezza proviene da Data Manager Online.