L'FBI contro la crittografia

Un argomento sul quale si è discusso molto negli ultimi tempi è quello della crittografia dei dati, un ufficiale dell’FBI ha testimoniato che lo scopo delle forze dell’ordine è quello di collaborare con una società tecnologica per prevenire la crittografia. Anche se le compagnie non dovrebbero mettere l’accesso alla crittazione dei clienti prima di preoccupazioni per la sicurezza nazionale, perché la maggiore priorità del governo è quella di prevenire l’uso di tecnologie che proteggono ogni cosa che le persone fanno online. Il loro scopo non è quello di usare una “back door”, termine usato dagli esperti per descrivere punti di accesso integrati, ma quello di accedere ai contenuti dopo essere passati per un processo giudiziario.

presa da: tophdgallery

Dopo le rivelazioni da parte di Edward Snowden dello spionaggio dell’NSA, alcune compagnie tecnologiche, quali per esempio Apple, hanno iniziato a proteggere i propri utenti con la crittografia, usandone una chiamata “end-to-end”, dove solo colui che manda e che riceve il messaggio sono in grado di leggerlo. Così queste compagnie non possono provvedere l’accesso alle forze dell’ordine, pure se munite di un ordine del tribunale.

D’altra parte questa situazione permette la sicurezza anche di criminali, rendendo più difficile alle forze dell’ordine di rintracciarli.

Alcuni esperti di crittografia affermano che usare questo tipo di soluzioni potrebbe compromettere la sicurezza, perché non c’è garanzia che un cracker non possa utilizzare la stessa “back door”. Per risolvere questo problema Michael Rogers ha pensato di dividere le chiavi per decodificare il messaggio per rendere più difficile la crittografia agli crackers.

Recentemente sono stati approvati due emendamenti per gli stanziamenti a un disegno di legge. Il primo, da Zoe Lofgren e Ted Poe, bloccherebbe al governo di forzare una compagnia per modificare misure di sicurezza per spiare gli utenti. Il secondo, da Thomas Massie, stopperebbe i fondi previsti per le agenzie che stabiliscono gli standard crittografici dall’essere usati per consultarsi con l’NSA a meno che non rafforzi la sicurezza delle informazioni.

fonte: washingtonpost

Gabriele Corso

Guida pratica a LUKS

"When privacy is outlawed, only outlaws will have privacy"

Phil Zimmerman                                     

Questa e` una guida pratica all'uso di LUKS su Linux.

LUKS e` un acronimo che sta per Linux Unified Key Setup ed e` il formato standard per il disk-encryption, creato nel 2004, si distingue da molti altri formati crittografici per la particolareggiata documentazione e soprattutto per esser stato sottoposto ad auditing, ovvero il processo di controllo del codice sorgente per verificarne l'integrita`, l'efficacia e la robustezza degli algoritmi e l'assenza di backdoor o bug software critici.

Il primo passo per utilizzare LUKS e` installarlo sulla propria distribuzione, o controllare se e` gia` presente.

Preparare la partizione

In questo esempio la partizione /dev/sda1 viene formattata e sovrascritta.

# cryptsetup -y -v luksFormat /dev/sda1

WARNING!
========
This will overwrite data on /dev/sda1 irrevocably. Are you sure? (Type uppercase yes): YES
Enter LUKS passphrase:
Verify passphrase:
Command successful.

In questo post useremo i parametri di default che sono:

# cryptsetup -v --cipher aes-xts-plain64 --key-size 256 --hash sha1 --iter-time 1000 --use-urandom --verify-passphrase luksFormat  /dev/sda1

ed equivalgono al precedente; 
se si vuole adottare un livello di sicurezza maggiore e personalizzata si puo` eseguire

#cryptsetup benchmark

 e scegliere il cypher e l'algoritmo che si preferisce. Si ricorda che il numero relativo alla dimensione della chiave e` la meta` di quello usato da LUKS, ovvero 512 bit in questo caso.
Il prossimo comando inizializza il volume dopo aver inserito la chiave per il volume. Il terzo argomento e` il nome che si vuole scegliere per la partizione.
La password scelta non puo` esser in nessun modo recuperata.

#cryptsetup luksOpen /dev/sda1 testvolume

Enter passphrase for /dev/sda1:

Ora /dev/sda1 correttemente inizializzato viene mappato su /dev/mapper/testvolume. Per verificare lo stato del volume:

# cryptsetup -v status testvolume

/dev/mapper/testvolume is active.
type: LUKS1
cipher: aes-cbc-essiv:sha256 
keysize: 512 bits 
device: /dev/sda1 
offset: 4096
sectors size: 419426304 
sectors mode: read/write
Command successful.

Formattare la partizione

Ora ci si deve assicurare che in caso di un'analisi esterna ogni dato venga visto come una serie random di zero ed uno senza valore e assicurarsi che non ci sia un leak di informazioni relative all'uso del disco:

# dd if=/dev/zero of=/dev/mapper/testvolume

Ora si deve creare un filesystem In questo caso ext4

# mkfs.ext4 /dev/mapper/testvolume

 

Montare e chiudere il disco 

Per montare da /dev/mapper il disco e poterlo utilizzare digitare:

# mount /dev/mapper/testvolume /mnt/testvolume

e per chiudere il volume in maniera sicura:

#umount /mnt/testvolume
# cryptsetup luksClose testvolume

 

Cambiare password

LUKS supporta anche piu` di una password per volume quindi si procede aggiungendo una nuova password:

# cryptsetup luksAddKey /dev/sda1
Enter any passphrase:
Enter new passphrase for key slot:
Verify passphrase:

e poi rimuovendo quella precedente:

# cryptsetup luksRemoveKey /dev/sda1

Oppure in alternativa si puo` utilizzare

#cryptsetup luksChangekey /dev/sda1

Se si volesse rendere completamente inaccessibile il volume basta rimuovere la chiave attraverso il comando:

#cryptsetup luksErase /dev/sda

questa opzione non richiede password ed e` irreversibile.  

Francesco Mecca

Defend yourself: crittografia e "plausible deniability"

Nel 2000, ben molto prima dello scandalo datagate, prima perfino dell'attacco alle torri gemelle, il Parlamento inglese approvo` una legge sulla sorveglianza di massa.
Questa legge, intitolata RIPA, Regulation of Investigatory Powers Act, interviene su come il corpo di polizia puo` condurre le investigazioni telematiche.

Con questa legge viene permesso:

• l'accesso ai dati dell'ISP, in segreto;
• monitoraggio indiscriminato delle comunicazioni in transito e delle attivita` online;
• permette di non rivelare davanti alla Corte i dati raccolti.

L'aspetto piu` terribile di questa legge in ultimo e` la possibilita`, da parte degli investigatori, di obbligare il sospetto a rivelare le proprie chiavi crittografiche con le quali ha criptato i propri hard disk, i propri messaggi o le email.

Graffito a Columbus, Ohio (foto di Jeff Schuler)

Vi sono due metodi per difendersi da questa che ritengo una orribile prevaricazione:
Il primo e piu` svantaggioso e` il nuke, ovvero l'eliminazione dei dati: l'utente rivela una password, non quella per accedere ai dati criptati,ma una che una volta inserita sovrascrive permanentemente le chiavi crittografiche, rendendo cosi` impossibile l'accesso.

In Linux questa funzione e` implementata da LUKS attraverso una patch distribuita dagli sviluppatori di Kali Linux.

Il secondo metodo invece si basa sull'ingegneria sociale, oltre che su una buona soluzione software.
Un volume crittografico sicuro non ha alcuna firma digitale ed e` indistinguibile da un pugno di dati random. Per questo motivo posso includere un secondo volume all'interno del primo e proteggere ciascuno di essi con una password differente.

Ad esempio supponiamo che io abbia un volume da due GiB diviso in due sottovolumi da 1 GiB l'uno. Se dovessi essere interrogato o torturato affinche' ceda la password, posso fornire la chiave di uno solo dei due volumi, dove non tengo files sensibili ma dati che non possono incriminarmi e cosi` il secondo volume rimane nascosto. Questo sistema di protezione e` nominato: “Plausible Deniability”.

Nel 1997 Julian Assange (il fondatore di Wikileaks) insieme a Suelette Dreyfus e Ralf Weinmann ha sviluppato Marutukku, piu` semplicemente chiamato RubberhoseFS, ovvero un insieme di file system che proteggono i dati dell'utente e forniscono la “deniability”.

Tecnicamente il progetto consiste in varie porzioni di dati criptati che riempiono il drive. Ogni porzione ha la propria password, la propria mappatura e ciascuno una chiave crittografica differente: quando si decritta un pezzo esso appare come l'intero drive e cosi` non permette di sapere quanti altri volumi con dati differenti sono allocati nell'hard disk. Lo sviluppo di Rubberhose e` stato interrotto benche` sia disponibile in alpha per Linux, FreeBsd e NetBsd.

Il menu creazione volume di Truecrypt 7.1a su GNU/Linux

Un altro noto software che implementa la deniability e` Truecrypt.
Questo sofware crittografico, coperto da un velo di mistero da quando il 28 maggio 2014 gli sviluppatori hanno inspiegabilmente terminato lo sviluppo, e` probabilmente uno dei piu` avanzati, sottoposto ad audit, ha dato dimostrazione della sua corretta implementazione crittografica con il caso di Daniel Dantas (Operation Satyagraha).
Truecrypt permette di creare un volume crittografico che si presenta come un file ma viene gestito, quando aperto correttamente con la propria password) come una partizione del disco. Inoltre vi e` anche la possibilita` di criptare l'installazione di Windows in toto, similmente a Diskcryptor.

Quando si crea uno di questi volumi si ha la possibilita` di riservare dello spazio ad un “hidden volume” che avra` una password differente (perfino algoritmi crittografici diversi dal primo volume se lo si richiede). Non si puo` sapere senza conoscere la seconda password se vi e` un volume nascosto aggiuntivo e quando si apre il volume principale esso risultera` avere le dimensioni di tutto l'archivio criptato e quindi anche riempiendolo di dati il volume nascosto verrebbe sovrascritto, ma la sicurezza dell'utente preservata.

La crittografia e` la piu` forte arma di cui dispone un cittadino digitale. E` la propria roccaforte contro l'invasione del cloud, l'intercettazione delle comunicazioni e soprattutto, la prima difesa che ci protegge dalla NSA.

Anche se non abbiamo nulla da nascondere

Francesco Mecca 

NSA e le intercettazioni telefoniche

immagine presa da wikipedia

L’NSA (National Security Agency) è un organo governativo degli USA che si occupa della sicurezza all’interno della nazione, tutelandola da eventuali attacchi. La sua nascita si ebbe quando il presidente della commissione Herbert Brownell pensò che le comunicazioni all’interno delle forze armate dovevano essere coordinate meglio (anche se dopo il ruolo dell’NSA fu esteso alla nazione), così nel giugno del 1952 il presidente Truman l’ autorizzò.

La NSA per assolvere al suo compito può controllare buona parte del traffico telefonico americano, e proprio per questo è stata soggetto di diversi eventi, come ad esempio l’articolo del New York Times nel quale diceva che, sotto pressione della Casa Bianca e con un ordine esecutivo del presidente Bush, la NSA aveva condotto delle intercettazioni telefoniche non autorizzate sui cittadini che chiamavano al di fuori del paese, nel tentativo di ostacolare il terrorismo. La pubblicazione di questo articolo fu posticipata di un anno perché la Casa Bianca chiese di non pubblicarlo al momento, dato che avrebbe potuto compromettere l’operazione, facendo sapere ai potenziali nemici di essere controllati.

Subito questa rivelazione provocò un grosso scandalo in tutto il paese, il senatore  Arlen Specter e il congressista Rob Simmons si schierarono contro, dichiarando che ciò era  violazione della legge e abuso dei diritti costituzionali, infatti secondo la legge “Le comunicazioni da, verso o riguardo ad un cittadino statunitense... non possono essere raccolte intenzionalmente senza autorizzazione”. Il presidente Bush successivamente fece un discorso nel quale confermava di aver autorizzato le intercettazioni senza mandato, e giustificava la situazione dicendo che erano misure opportune per la sicurezza nazionale, e che avrebbe fatto il possibile per tutelare i cittadini fintato che fosse esistita la minaccia di al-Quaeda. Gran parte della popolazione non prese bene la notizia, infatti i cittadini americani ormai erano controllati dal governo, il quale infrangeva le leggi costituzionali sulla privacy dell’individuo, giustificando il tutto dicendo che era per il bene della nazione.

Un altro importante evento è quello che riguarda le due grandi compagnie telefoniche americane AT&T e Verizon, che, come mostrato da Edward Snowden, hanno installato delle tecnologie per copiare, scannerizzare e filtrare gran parte del loro traffico telefonico. A tal proposito la New York State Common Retirement Found e la Trillium Asset Management hanno presentato richiesta alle due aziende di pubblicare il numero di richieste che le compagnie ricevono per le informazioni sui clienti ogni sei mesi. La compagnia AT&T è stata avvertita che questo tipo di collaborazione potrebbe ostacolare le sue ambizioni a espandersi in Europa, e un suo portavoce ha replicato che la compagnia guarda le proposte degli azionisti, ma non vuole esprimersi in merito, mentre la Verizon ha dichiarato di stare valutando la proposta.

Fonti: www.theguardian.com

Gabriele Corso

Google afferma di essere pronta a dare agli utenti android più controllo sulla privacy

articolo tradotto da bloomberg.com

Google inc. sta progettando di dare ai suoi utenti android più controllo riguardo a quali informazioni le applicazioni possono accedere, hanno affermato le persone che si occupano di ciò.

Il sistema operativo android di Google è impostato per dare agli utenti una scelta più dettagliata a quali contenuti possono accedere le app, secondo le richieste delle persone, che hanno chiesto di non essere identificate affinchè la faccenda rimanga privata. Questo potrebbe includere foto, contatti o la posizione. Un annuncio del cambiamento, che metterebbe Android più in linea con l' iOS Apple Inc., è previsto per la conferenza degli sviluppatori di Google in San Francisco questo mese, ha detto una delle persone.

immagine presa da slidetomac.com

La Mountain View, società con sede in California l'anno scorso ha semplificato come le persone siano informate su ciò a cui un app sta accedendo. Sono gli utenti a decidere se l'app può essere scaricata. La nuova impostazione da la possibilità all'utente di scegliere a cosa può accedere un'app.

Google sta aggiungendo alcune funzionalità per i propri servizi di telefonia mobile che cerca di attirare gli utenti che sempre più vanno su Internet tramite i loro dispositivi wireless. L'Android ha avuto l'81% del mercato mondiale degli smartphone mentre l'Apple il 15%, secondo Gartner Inc.

La pressione su Android cresce in alcune parti del mondo. Nei cinque paesi più gandi d'Europa, la sua quota è scesa al 69 per cento nel primo trimestre dal 72 per cento rispetto all'anno precedente, secondo Kantar worldpanel.com. La quota per iOS è salita al 20,3 per cento dal 18,6 per cento, Kantar ha riferito.

Eugenio Corso

Ancora nessuna visita dalla Cina

Questo blog non puo` essere visualizzato in Cina.
A partire dal 1993 mentre molti altri Stati si occupavano delle leggi sul cyber crimine il CCP (Chinese Communist Party) ha dato inizio ad una delle piu` grandi operazioni di censura moderna mai messa in atto: il Grande Firewall Cinese.

"If you open the window for fresh air, you have to expect some flies to blow in."

“Se apri la finestra per far entrare un po` di aria fresca, anche delle mosche entreranno” 

Deng Xiaping

Questa e` l'ideologia alla base del blocco, che tecnicamente e` il piu` sofisticato sistema di filtri automatizzato adoperato nell'obiettivo di sradicare il diritto alla liberta` di espressione e del web libero per i netizen cinesi.
 
Il blocco avviene tramite queste tecnologie:

• Blocco IP per tutti i protocolli web;
• Reindirizzamento tramite DNS; 
• Filtering dell'URL;
• Filtering dei pacchetti TCP : se contengono determinate keyword vengono terminati; questo colpisce in particolar modo i motori di ricerca e i blog, come questo, che contengono parole nel' indice del Grande Firewall; 
• Se una connessione TCP e` stata precedentemente bloccata i tentativi futuri vengono bloccati per un periodo di tempo; 
• Blocco VPN attraverso l'apprendimento progressivo dei metodi utilizzati per criptare i canali.

Inoltre per facilitare i blocchi a partire dal 2011 alcune macchine eseguono delle connessioni a computer esterni alla Cina ed attraverso il “deep packet inspection” raccolgono informazioni utili per ampliare le capacita` del Great Firewall. Questo e` quanto e` stato raccolto in varie analisi, il governo cinese non e` completamente trasparente sui metodi usati e fino a che punto i dati analizzati dalle macchine vengano poi raccolti ed ispezionati per profilari utenti "pericolosi".

Muro.

La censura non solo infrange il diritto inalienabile dell'uomo alla liberta`, ma crea intorno alla societa` che ne e` vittima una sorta di bolla la quale scherma dai cambiamenti esterni e fa da cuscinetto a tutti i moti turbolenti interni.

In moltissimi Stati europei molti siti vengono bloccati (talvolta con un semplice DNS poisoning) e quindi il cittadino in molti casi non e`consapevole che non puo` accedere ad una risorsa, oppure sceglie di adottare tecniche per circumnavigare il blocco.
 
In Cina invece quando lo Stato oltre che alla censura sceglie di adoperare contromisure oppressive nei confronti dei “fuorilegge” si crea un il Panopticon di Michael Foucault: ogni comportamente viene misurato dal punto di vista del “sospettabile” e da questo ne scaturisce la normalizzazione dell'individuo.
Judy Blume in uno dei suoi discorsi piu` celebri riguardo la censura e il mondo giovanile afferma: 

  "Non sono solo i libri bruciati ora che mi preoccupano. Sono i libri che non saranno mai scritti. i libri che non saranno mai letti. E tutto questo per la paura della censura"

Viviamo in un periodo di forte e radicale cambiamento, questo notevole avanzamento tecnologico non solo fornisce al censore tutti gli strumenti per perpetuare la sua tirannia, ma concede anche all'uomo gli strumenti per liberarsene e far volare libere le idee e i pensieri.

Francesco Mecca

Non abbiamo nulla da nascondere

vignetta di John Deering (si ringrazia l'autore per la disponibilita` alla pubbilicazione)

Un normale cittadino inglese in due sole occasioni puo` ascoltare la frase: “se non hai nulla da nascondere non hai nulla da temere” in TV: durante lo spot di Elave e della causa farmaceutica Ovelle con i suoi spot NSFW, oppure nel motto del programma per la promozione delle CCTV in luoghi pubblici nelle strade del Regno Unito che recita: “If you've got nothing to hide, you've got nothing to fear"

Sfatiamo un mito comune

Questo argomento a favore dell'intercettazione di massa e a danno nei confronti diritto alla privacy e` spaventosamente comune e viene usato non solo dai governi o dagli istituti di sorveglianza ma comunemente per non esprimersi contro le operazioni di controllo governativo: e` una argomentazione piuttosto inconsapevole e fine a se stessa che non tiene conto di svariate implicazioni e permette ai governi di implementare lo stato di sorveglianza.

Innanzitutto la privacy e` controllo, non segretezza: la sorveglianza sociale ha il potere di eliminare il diritto di libera espressione, di libera associazione e di proprieta` personale.
Il controllo dei dati e` uno dei dibattiti piu` attuali nell'unione europea e proprio da qui nasce il termine di “privacy obliqua”, ovvero la possibilita` per le aziende di avere a propria disposizione i dati che il cittadino ha liberamente (ma spesso sensa saperlo) concesso loro.

Se hai i miei dati ho diritto ai tuoi

Uno Stato in cui tutte le mie attivita` (magari anche i pensieri) sono pubblici implica che nessuno possa nascondere questi dati; invece nella societa` attuale le agenzie governative come la NSA o anche solo i politici si nascondo spesso dietro il segreto e non acconsentono alla completa trasparenza delle loro azioni: si origina cosi` una intollerabile forma di disparita`.

A questo si aggiunge che non sei mai te stesso a decidere se hai qualcosa da nascondere, bensi` l'autorita`.
James Duane lo spiega cosi':

“Estimates of the current size of the body of federal criminal law vary. It has been reported that the Congressional Research Service cannot even count the current number of federal crimes. These laws are scattered in over 50 titles of the United States Code, encompassing roughly 27,000 pages. Worse yet, the statutory code sections often incorporate, by reference, the provisions and sanctions of administrative regulations promulgated by various regulatory agencies under congressional authorization. Estimates of how many such regulations exist are even less well settled, but the ABA thinks there are nearly 10,000”

Con le parole di Bruce Schneier: “se mi dai sei linee scritte di pugno dall'uomo piu` onesto, potrei trovare qualche motivo per farlo impiccare!”.

A questo si aggiunge che non e` sempre la verita` la paladina dei nostri diritti: spesso i pregiudizi sociali a cui si aggiunge la manipolazione dei mass media porta un innocente ad essere dichiarato colpevole falsamente ed innanzitempo. 

Ben oltre il sostrato sociale

 La sorveglianza di massa determina uno spaventoso cambiamento comportamentale: ogni gesto che l'individuo si trovera` a compiere non verra` analizzato secondo il binomio legale-illegale, bensi` secondo la domanda: “E` un comportamento sospetto? L'autorita` come puo` valutare questa mia azione?”. Si perde ogni confine certo per finire nel limbo dell'incertezza e del timore. 

Nella societa` attuale un imputato è considerato non colpevole sino a condanna definitiva ovvero non spetta all’imputato dimostrare la sua innocenza ma è compito degli accusatori dimostrarne la colpa. La presunzione di innocenza al contrario non trova posto in uno stato di controllo a cui potrebbe bastare l'analisi di un'idea non ancora messa in atto per processare un cittadino. 

Due torti a volte fanno un giusto

Per quale motivo in molti stati si prende in considerazione il matrimonio omosessuale?

Il sistema democratico permette a chi lotta attraverso mezzi leciti di ottenere riconosciuti I propri diritti, ma in molti casi queste vittorie legali non sarebbero state possibili se qualcuno non avesse in precedenza commesso il reato infrangendo la legge. Come puo` lo Stato decidere o meno sul matrimonio omosessuale se nessuno avesse visto o avesse preso parte in relazioni con persone dello stesso sesso?

Quando si dispone di tutti gli strumenti per un tecnocontrollo effettivo ogni potenziale fuorilegge verrebbe perseguitato.

Nulla da nascondere?

“Diventiamo individui attraverso la scoperta che possiamo nascondere qualcosa negli altri” afferma Emilio Mordini.

La semplice verita` e` che non serriamo le persiane per nascondere crimini e misfatti, le esperienze anche piu` ingenue dell'individuo si riflettono nell'intimita`, “che al giorno d'oggi, e` il Santo Graal”. 

Francesco Mecca

Facciamo luce sui profili ombra

La BPC, Belgian Privacy Commision, il 31 marzo ha pubblicato un documento investigativo sulle policy di Facebook e da questa indagine e` emersa una violazione delle leggi europee sul tracciamento online.

Ogni volta che un utente non loggato, o perfino senza account sul social network, visita una pagina che incorpora il bottone “like” o altri plugin sociali riceve un piccolo file di testo chiamato cookie che incorpora una miriade di informazioni e la propria attivita` online in toto. Anche se si ha scelto per l'opt out un particolare cookie chiamato 'datr' contenente un ID unico viene scaricato e mantenuto nella cache del browser identificando il computer dell'utente in maniera indistinguibile.
Per quale motivo Facebook usa questo sistema di tracciamento?

Foto di PoL Úbeda Hervas 

Questo metodo di raccolta dati permette all'azienda di Mountan View di creare profili ombra a loro volta integrati dai dati forniti da altri utenti.

Uno “shadow profile” e` un file archiviato nei server di Facebook e collegato univocamente ad un utente online: non e` assolutamente differente da un profilo vero e proprio se non che non e` pubblico e generato ad insaputa del proprietario dei dati.

Quando un membro di Facebook installa sul proprio smartphone l'app ufficiale acconsente alla lettura (e all'archiviazione) dei propri contatti, dell'elenco chiamate, la lettura degli sms e nei file archiviati nella scheda SD e l'accesso a praticamente tutte le funzione del dispositivo di tracciamento smartphone.
In questo modo ed attraverso i cookie Facebook riesce a riunire la maggior parte delle informazioni personali di utenti non iscritti, tra cui gli indirizzi mail, i numeri di telefono, le foto di altri membri iscritti, in alcuni casi perfino l'indirizzo di casa e informazioni di lavoro.

Permessi dell'app di Facebook su Android

Chi ha il controllo su questi dati?

Non di certo l'utente che viene profilato a sua insaputa, ma le compagnie di advertising (a breve il lancio della piattaforma omniseziente ATLAS), le agenzie governative e Facebook stessa che si scusa dicendo che i dati vengono “inclusi”, non “raccolti” (“Additionally, no other types of personal or financial information were included”).

C'e` scampo al potere di Facebook? C'e` una via di fuga dal web sociale per chi vuole rimanere una persona non un prodotto? A 10 anni da quando TimO'Reilly conio` la fatidica espressione “Web 2.0” l'utente consapevole si trova ad un bivio dove ogni scelta e` in perdita.

Francesco Mecca

L'anonimato violato di TOR

Miliardi di persone usano giornalmente internet, ma sono poche quelle a conoscenza del suo lato oscuro, il deep web,nel quale sono presenti siti che gestiscono business illegali (dalla vendita di account rubati alla clonazione di carte di credito) e al quale tutti possono accedere tramite "Tor". Questo è un software che rende chi lo utilizza invisibile, poichè nasconde l'indirizzo IP del computer tramite la crittografia a strati, da qui il nome scelto che sta per "The Onion Router". Infatti grazie a Tor l'utente si collega al sito che vuole visitare passando però da una serie di altri server che fungono da router e cifrano la comunicazione.

foto presa da newsbitcoin.it

Tuttavia, dal 30 Gennaio al 4 Luglio 2014, Tor è stato colpito da attacchi da parte dell'FBI che miravano a togliere l'anonimato. Il bersaglio dell'attacco non sono state solo le persone che hanno utilizzato il software per la navigazione anonima, ma anche chi creava e gestiva siti web e servizi online in maniera anonima. Le persone a rischio infatti erano quelle che visitavano i siti che erano stati precedentemente compromessi, ovvero quei siti che incorporavano nel loro codice il payload.
Il payload è un tipo di shellcode, ovvero un piccolo pezzo di codice, che sfrutta una vulnerabilità del software per lanciare un command shell dal pc infetto ed eseguire determinate funzioni. Questo payload, chiamato magneto, si avviava in un pezzo non mappato di memoria e mandava comandi ARP all'host e in seguito si connetteva tramite una semplice richiesta HTTP a un indirizzo localizzato in Virginia USA. Questa richiesta avveniva al di fuori di TOR, in maniera tale da esporre, oltre l'indirizzo MAC, l'IP del computer.

Sullo smascheramento delle identità di persone che fanno uso di software come TOR però si sono create due correnti di pensiero diverse. Una da più peso all'aspetto negativo che deriva dal fatto di concedere l'anonimato e si schiera a favore di questi metodi per rivelare l'identità di chi naviga su tali software, come per esempio la Russia che è arrivata a offrire 3,9 milioni di rubli a chiunque trovasse un modo per togliere l'anonimato agli utenti del sistema. L'altra corrente di pensiero, della quale fa parte anche il movimento "Anonymous", crede sia necessario avere un modo per restare invisibili sulla rete poichè questi sistemi sono usati anche da attivisti politici che si trovano in paesi in cui vige una forte censura e quindi l'anonimato gli permette di non essere rintracciati dai loro governi.

fonti[ilsole24ore.com , ibtimes.com]

                                                                                                                                                                                                                                                                               Eugenio Corso

Bitwhisper, dove anche la rete non arriva

Lo scorso 26 marzo 4 ricercatori della Ben Gurion University in Israele hanno sviluppato Bitwhisper, un inconsueto malware per PC che dimostra la possibilita` di penetrare macchine anche non connesse in rete.

In informatica si usa il termine air-gapped device per denotare due terminali fisicamente separati, uno dei quali e` connesso ad internet mentre l'altro e` completamente offline: tutto il lavoro sensibile viene svolto sul dispositivo offline e successivamente trasferito (magari con un drive usb) sul pc connesso e pubblicato in rete.

Queste precauzioni si basano sul presupposto che un pc non connesso ad internet sia sicuro da vettori di attacco, e che anche se infetto non puo` ricevere comandi.

Bitwhisper e` la dimostrazione che e` possibile fare breccia in questi sistemi attraverso lo sfruttamento dei sensori termici installati in ogni macchina per prevenire il surriscaldamento.

In questo video viene illustrato l'attacco: innanzitutto in entrambi i pc e` installato il malware che attraverso l'uso del processore, della scheda video e opzionalmente di tutte le altre componenti hardware innalza in maniera controllata la temperatura della macchina dove e` installata, aspettando che l'altra macchina percepisca con i propri sensori questo innalzamento e trasmetta indietro un segnale di conferma. Il sistema di comunicazione e` molto simile al codice morse e un innalzamento di un grado puo` venir tradotto in un bit di segnale.

Tramite questa tecnica e` possibile trasmettere 8 bit di segnale all'ora a PC ad un massimo di 40 centimetri di distanza. In questo modo viene azionato il piccolo lancia missili giocattolo sul PC di destra.

Nonostante in precedenza siano state mostrate tecniche piu` efficaci per penetrare dispositivi air-gapped come ad esempio segnali radio, frequenze non udibili e segnali elettromagnetici, Bitwhisper e` il piu` interessante perche` il primo a permettere non solo l'intercettazioni di dati, ma anche l'invio di segnali. Una macchina infettata da Bitwhisper puo` effettuare ping e handshake oltre che ricevere comandi ed e` molto difficile da tracciare in quanto le fluttuazioni di calore sono minime e molto frequenti nei computer.

Al momento non ci sono prove credibili che questo exploit sia stato usato da cracker o da agenzie di spionaggio, ma in precedenza -stando ai leak di Snowden- l'NSA ha sfruttato tecniche di infezione anche piu` sofisticate per iniettare malware in PC non connessi in rete delle centrali iraniane.

Francesco Mecca

Il Big Bang dei Big Data

“Perche` sto puntando tutto sul deep learning? Perche' sara` il nuovo Big Bang”

Cosi` ha parlato il CEO di Nvidia Jensen Huang il 3 marzo scorso alla sua GTC 2015.
L'attenzione di Huang si e` concentrata sul deep learning e come le deep neural networks negli ultimi anni abbiano compiuto progressi impressionanti tali da superare il cervello umano nei test di analisi immagine.

Molta della ricerca negli ultimi anni, in particolare dal 2012 ad oggi, si sta concentrando sul programmare algoritmi tali da consentire alle intelligenze artificiali di processare dati in maniera gerarchica e organizzata tramite l'apprendimento progressivo dei livelli di rappresentazione.
E` una scienza che acquista un'importanza fondamentale, anzi diventa un requisito necessario nel campo dei Big Data.

gratis: il paradosso del Web 2.0

Come possono mantenersi in vita aziende come Google, Facebook, Twitter e moltissime altre che gratuitamente offrono agli utenti finali servizi?
I dati sono la risposta economica a: “Iscriviti, e' gratis e lo sarà sempre” e lo sfruttamento di essi rende possibile le ricerche di marketing, la progettazione di gadget e sopratutto le previsioni a breve termine di trend economici, flessioni di mercato, insomma il futuro della societa'.

I dati cosi` raccolti pero` nella maggior parte dei casi sono non organizzati e a risolvere questo dilemma interviene il deep learning che si occupa di gestire, ordinare ed integrare i dati provenienti dalle sorgenti analizzate. Perfezionare il deep learning significa poter integrare e comprendere ogni singolo flusso di dati all'interno del grande mare dei big data.

Jensen continua il suo discorso affermando che: “Oggi c'e` una mole di dati troppo estesa per poter comprendere cosa stia accadendo. Un super computer grazie al deep learning potra` in futuro offrirci previsioni quanto piu` attendibili, previsioni che l'uomo non potrebbe nemmeno percepire. In futuro grazie a tutti i dispositivi connessi in internet avremo dati di qualsiasi genere. Anche quelli piu' impensabili: in base ai dati raccolti potremo dire, per esempio, se in un determinato luogo si sta svolgendo una rapina od una sommossa.”

Questa informazione per me rappresenta un lapsus ed e` l'aspetto piu` critico dei big data: l'abbattimento di ogni riservatezza personale tramite la concessione indiscriminata di dati abbatte ogni limite alla possibilita` di tecnocontrollo sul presente e sul futuro.

With Big Data Comes Big Responsibility afferma l'Harvard Business Center; ma davvero tutti i nostri dati generati dalle nostre attivita' in rete sono esclusivamente proprieta` dei giganti del Web? E' giusto che anche le nostre attivita` al di fuori del Web, come i nostri registri medici siano venduti e sfruttati commercialmente o a fini di controllo sociale?

Jeremy Keith

E` inutile chiedere regolamentazione ai governi che purtroppo sembrano ignorare le implicazioni etiche di queste pratiche oppressive, anzi in alcuni casi le sfruttano in proprio favore. E` utopico pensare di poter convincere le aziende a rinunciare a questi dati che rappresentano la loro linfa vitale.

La via di uscita sembra essere una sola, anche se poco desiderabile: l'opt out ovvero la rinuncia consapevole da parte dell'utente al servizio.

Francesco Mecca