Hijacking dei dns

Qualche tempo fa un certo Dan Kaminsky (già noto nell’ambiente dei black hat) scrisse sul suo blog di aver scoperto una vulnerabilità a livello dei DNS internet in grado di portare al dirottamento (hijacking) delle connessioni verso pagine non desiderate.

Qualcuno lasciò scorrere queste parole come se avessero poco fondamento ma lo stesso scopritore della falla decise che da li ad un mese avrebbe reso pubblico l’hack questa dichiarazione portò molte grandi compagnie informatiche che operano su internet ad allearsi per risolvere il problema con una patch di aggiornamento.

Il mese non è ancora passato, siamo se non sbaglio alle 3 settimana, ma l’hack è stato reso pubblico da ignoti.

Eccolo reperibile quindi a questo indirizzo.

Speriamo almeno che in queste due settimane qualcosa sia stato risolto perchè operare su di un sito di banking on line che non è quello originale potrebbe crearmi qualche piccolo problema……..

Link Dan Kaminski blog

Ciao a tutti.

Network manager ci riprova

Network manager non è mai andato a genio a molti utenti del pinguino ma nonostante questo molte distro lo includono come gestore di default di tutte le vostre connessione verso il mondo di internet e non solo.

nm_logo.png

Ora sembra essere arrivato il momento della riscossa per questo progetto portato avanti con i denari della RedHat dopo due anni circa infatti ecco che potremmo godere visionare a breve la nuove versione ormai giunta alla 0.7.

Le promesse sono molte, partendo da tempi di connessione molto ridotti, supporto a più dispositivi di rete collegati simultaneamente ed alla integrazione con PPP.

In previsione per il futuro anche il supporto a connessioni bluetooth ed il supporto all’IpV6.

Personalmente mi sento di dare una chance a questa applicazione non vedo quindi l’ora di poterla testare in questa nuova e speriamo migliorata veste.

Link

Link sito progetto

Ciao a tutti.

Open Source Security Study, una valutazione a dir poco faziosa

Leggo con rammarico un articolo apparto su Punto Informatico che cita uno studio eseguito da http://www.fortify.com circa la sicurezza del codice open.

Reputo l’articolo di Fortify molto fazioso e non mi sorprenderei minimamente se si venisse a sapere che è la ricerca sia stata commissionata da aziende che producono software chiuso.

Mi chiedo quindi dove sia la professionalità di coloro che hanno scritto il pezzo riempendo lo stesso di inesattezze, valutazioni sommarie e di false illusioni circa i programmi chiusi.

Il brutto di queste situazioni è proprio nell’alone di scredito che si cerca di porre nei confronti delle valide e sempre più sicure applicazioni open, siano essi interi sistemi operativi o semplici applicativi.

Per tutta risposta lo stesso sito di Punto Informatico propone un pezzo che, con spirito critico e considerazioni estremamente corrette e realistiche, analizza quanto detto dai presunti esperti di Fortify.

Invito tutti a leggere quanto scritto per valutare l’etica di chi scrive……quindi solo una rapida conclusione può saltare alla mente:

  • o qualcuno ha pagato……
  • o siamo di fronte ad una incompetenza senza precedenti

Link articolo di critica Punto Informatico

Link articolo notizia pubblicazione lavoro su Punto Informatico

Link articolo Fortify

Ciao a tutti.

Una lettera dalla Sun…….

Connessione ad internet a banda larga 20 euro al mese con mastercard

Un pc per la navigazione 70 euro al mese con mastercard

Ricevere una lettera dalla Sun anche solo per un sistema operativo gratuito………non ha prezzo.

OpenSolaris.jpg

A presto per una prova completa di recensione…….

Ciao a tutti.

GNU/Linux e Bsd insieme in un articolo scientifico che li accusa di gravi vulnerabilità

All’Università dell’Arizona devono avere qualche rotella fuori posto visto l’articolo scientifico che tra qualche giorno dovrebbe essere pubblicato da alcuni ricercatori dello stesso ateneo.

Nel pezzo vengono descritte alcune gravi vulnerabilità riguardanti Linux e Bsd ed i loro rispettivi gestori dei pacchetti.

Più in particolare sono stati presi in esame i gestori APT, APT-RPM, Pacman, Portage, Ports, Slacktool, Stork, Urpmi, Yast, YUM e nessuno di questi è stato in grado di superare i criteri di sicurezza richiesti.

Schermata_Sorgenti_software.png

Leggi il resto del post »

La sicurezza? Non solo quella dei pc

Vorrei porre per poche righe l’attenzione sul recente annuncio del governo italiano che prevede di acquisire, entro il 2010, le impronte digitali di tutti coloro che sono in Italia.

Il pretesto per realizzare questa manovra di controllo, perchè secondo il mio parere solo in questo modo può essere definita la cosa senza cadere nel campo politico della questione, è l’inclusione delle stesse impronte sulla nuova carte di identità.

Ci si cela dietro al volere europeo ma è evidente che questa iniziativa discutibile porterà a molti risvolti sociali.

Se da una parte possiamo etichettare l’iniziativa come giusta per la sicurezza dei cittadini è possibile scovare delle problematiche quantomeno occulte in questa nuova iniziativa.

I pro

Molti pensano che se non si ha nulla da nascondere e si riga dritto tra le leggi che regolamentano la nostra società italica non ci sia motivo per il quale ci possa essere del risentimento nel lasciare qualcosa di molto personale allo stato che, attraverso un database, potrebbe risolvere casi di furto o di reati molto più gravi quali omicidio o simili.

Si potrebbe anche ipotizzare un calo di criminalità visto che il sistema potrebbe funzionare da deterrente per coloro che volessero commettere abomini contro altre persone.

I contro

Ogni buon esperto di social engineering sa benissimo che falsificare delle impronte digitali è ormai alla portata della casalinga che è al piano di sotto.

Niente quindi vieta di depositare impronte false o più semplicemente di fornirsi di impronte digitali false prima di commettere (commit……ahaha) dei reati di qualsiasi tipo.

In questo frangente da segnalare la provocazione del Chaos Computer Club tedesco che ha distribuito kit con impronte digitali del ministro dell’interno nazionale pronte all’utilizzo.

Conclusioni (personali ovviamente….)

Ancora una volta i politici italiani, e badate bene che non sto parlando ne di destra o sinistra ma di entrambi le fazioni, si dimostrano ignoranti fino all’osso per quel che riguarda l’adozione delle “nuove tecnologie”.

Consultare degli esperti del settore penso non sia una azione tanto difficile visto le cifre astronomiche che i vari ministeri italiani spendono in consulenze le quali si rivelano per il più delle volte estremamente inutili.

Da italiano quale sono mi sento profondamente offeso dall’iniziativa anche a livello personale, ho la forte sensazione di uno stato (ripeto che non mi schiero politicamente ne a destra ne a sinistra) che cerca di opprimere i propri cittadini nelle libertà personali, ovviamente non quelle che prevedono reati i quali vanno sempre condannati, e sempre più si inizia a percepire lo “stato” come un regine e non come organismo creato dalla società per la società.

Invito quindi tutti ha sollevare le proprie voci, anche se solo nel web, per far conoscere i rischi connessi all’adozione di questa misura di sicurezza che, senza sottovalutazione di alcun tipo, possiamo considerare stupida e per nulla sicura.

Ciao a tutti.

P.S.: Come ripetuto lungo l’articolo questa non vuole essere una protesta contro l’attuale governo ma piuttosto contro la classe politica intera che si sta dimostrando profondamente ignorante e irrispettosa verso coloro, i cittadini tutti, che pagano i loro stipendi.

P.S.1: meglio condannare tramite la prova dubbia delle impronte digitali un signore che non avendo possibilità di sfamarsi ruba un pacco di pasta dal supermercato o mandare giustamente dentro un signore che tramite la malattia altrui specula e guadagna illecitamente miliardi alle spalle della società??

Dimenticavo, il primo è uno qualsiasi il secondo ha la solidarietà del mondo politico intero perchè non è giusto carcerare qualcuno perchè ha rubato milioni di euro………….riflettiamo su queste cose.

Succulenti e dissetanti notizie miste [Intel, Mozilla, OpenMoko]

Per il vostro palato fine tre notizie di media importanza da leggere velocemente.

I ragazzi di ars technica hanno tetstato, per tutti coloro che vogliano leggere l’articolo in inglese, il software che equipaggia il telenonino Linux per eccellenza e cioè il Neo.

Tra le varie foto riportate protrete leggere di prestazioni ed impressioni d’uso, insomma una recenzione fatta con i fiocchi da leggere tutta in un fiato.

Link

Quanti di voi hanno per le mani un palmare o pocketPc di tipo evoluto con sistema operativo Windows mobile sa quanto sia importante un buon browser per affrontare quelle fugaci sessioni di navigazione in mezzo al marciapiede.

Come tutti sappiamo benissimo il browser già integrato nel sistema operativo non è dei migliori (non voglio scendere in offese gratuite) ed è necessario ricorrere a software alternativi come Opera mobile.

Anche Mozilla tempo fa annunciò la sua voltà di creare qualcosa di estremamente funzionale per i dispositivi mobili ed ecco che nacque Fennec.

Ora è il momento di fare il punto della situazione che vede la fondazione impegnata al rilascio della versione alpha tra un paio di mesi e, secondo pronostici, della versione finale entro l’anno prossimo.

Gli sviluppatori, come sempre in questi casi, dichiarano di volere un software leggere, funzionale in grado di destreggiarsi tra tutti gli standard della rete e compatibile con i sistemi dei plugin che ha creato la fortuna del browser della volpe, staremo a vedere.

Link

Se le prime due notizie hanno una importanza di tipo relativo questa che vi vado a presentare è decisamente importante quanto meno sotto il profilo della sicurezza dei vostri dati.

Qualche tempo fa era possibile leggere in rete la notizia di bug dei processori AMD in fase di costruzione e fu scandalo.

Prontamente AMD dichiarò che quei bug esistevano ma erano stati corretti in fase di testing dei loro processori ed allo stato attuale nessun utente correva alcun rischio.

I bug in questione non mettevano certamente in crisi  la sicurezza del sistema ma piuttosto lo rendevano per così dire “meno performante”.

Ora lo stesso problema sembra essersi profilato per Intel ma in questo caso ci sono problemi ben più gravi.

Voci vogliono infatti che i bug che affliggano le cpu Intel siano potenzialmente pericolosi in quanto permettono ad un malintenzionato di crashare sistemi, prendere il controllo del kernel o disabilitare protezioni varie il tutto indipendentemente dal sistema operativo installato nella macchina.

Ad annunciare il tutto è stata qualche tempo fa l’Università dell’ Illinois ma ora Kris Kaspersky ha deciso che è l’ora delle dimostrazioni che ha intenzioni di proporre durante Hack In The Box Security Conference 2008 nel quale si prodigherà nel mostrare, a noi comuni mortali, esempi di queste tecniche applicate via javascript e pacchetti TCP/IP con qualsiasi sistema operativo.

Lo stesso Kris ha dichiarato poi di voler rendere pubblico tutto il codice utilizzato per la demo.

Link

Ciao a tutti.

Per favore mi porti un buon bug del 1975

Potrebbe suonare più o meno la richiesta di un programmatore intenzionato a scovare e correggere in tutti i modi possibili ed immaginabili un bug.

Pochi giorni fa uno sviluppatore OpenBSD, mentre era intento in una nuova implementazione di malloc, ha scoperto un bag Unix risalente al 1975 e mai corretto.

Bug quindi d’annata, ben 33 anni, nascosto all’interno di yacc; non mi crea stupore comunque che il bug sia stato scoperto da uno del team OpenBSD in quanto conoscendone qualcuno vi posso dire quanto siano attenti alla sicurezza di ogni riga di codice scritta.

Il bello della storia è che è stato rintracciato anche il programmatore colpevole, il suo nome è Stephen C. Johnson ed in quegli anni era dipendente della AT&T e ad oggi è ancora attivo sul campo con alcuni progetti.

Dimenticavo un dettaglio………il problema è riscontrabile solo su piattaforme utilizzanti processori Sparc64 e quindi su di un ridotto numero di macchine ma si sa che gli errori vanno corretti anche se l’utenza che potrebbe incapparvi è veramente minima……..santa pignoleria OpenBSD.

Link

Ciao a tutti.

Mi sono deciso a provare anche OpenSolaris

Premetto che, fino a ieri, la cosa più approfondita che avvessi mai fatto con OpenSolaris è stata la scrittura di qualche sporadico comando nel terminale di una macchina virtuale OpenSolaris ma ieri ho capito che è il tempo di provare.

Il seminario che ieri si è tenuto nelle aule del polo di informatica dell’Università degli Studi di Camerino ha contribuito ad aumentare quella curiosità che già precedentemente nutrivo per questo sistema operativo.

In realtà più che un seminario eravamo in un ambiente stimolante definito dalla stessa relatrice come una conversazione informale.

Uno sguardo alla storia del progetto, uno al gestore dei diritti, uno al kernel passando per vari aspetti come ad esempio il sistema di scheduler e di gestione delle prioritò dei processi o la gestione a zona della memoria.

Ho notato quindi un sistema completo costruito su delle solide basi ideologiche quindi non resta che provare il sistema operativo e valutare la bontà del lavoro effettuato dai programmatori Sun.

Ciao a tutti.

P.S.: potevo scaricare la ISO dal sito lo so ma volete mettere l’emozione di vedersi arrivare a casa il cd all’interno di una busta della Sun??? Quindi via con la spedizione gratuita in stile Canonical.

00Gnome: la morte può attendere

Dopo le voci che volevano un progetto gnome ormai in decadenza e vicino alla morte è possibile udire una voce proveniente dalla Turchia, e più precisamente da Istanbul, forte e chiara all’interno della grande rete che dice più o meno così:

Gnome è più vivo che mai

questo è infatti il segnale forte che si è avuto durante il keynote di Kristian Rietveld dove è stata proiettata questa immagine:

gnome3.jpg

Le previsioni vogliono un progetto Gnome 3.0 che terra impegnati gli sviluppatori per i prossimi 24 mesi fino alla fatidica data di rilascio che presumibilmente dovrebbe essere prevista per la prima metà del 2010.

Non voglio dilungarmi in frasi prettamente inutili atte solo a descrivere cosa voglio o cosa non voglio dal futuro gnome ma desidero solo porre alcune raccomandazioni che nel mio piccolo mi sento di dover esprimere:

  • transizione indolore (o almeno il più indolore possibile)
  • rivoluzione……..si ma con criterio
  • ascoltare i desideri degli utenti……….e se possibile esaudirli
  • semplicità del progetto

ecco secondo me il segreto di una buona ricetta che porterà gnome 3.0 ad essere il sistema DE delle mie macchine Linux.

Non resta che iniziare una di quelle tipiche attese snervanti che ti fanno sudare freddo ad ogni annuncio fino al fatidico giorno tanto atteso del rilascio definitivo.

Pensandoci bene due anni sono un po tantini meglio inziare l’attesa tra 18 mesi…….

Ciao a tutti.