01 Febbraio 2026
Home Blog Pagina 92

Bitcoin. Basta balle: chi ci guadagna, e chi ha perso tutto. Inchiesta

0

Secondo noi, solo la metà della gente ha capito cosa sono i bitcoin. Pochi li hanno compresi anche a livello economico, e pochissimi hanno afferrato se e come ci si può guadagnare veramente.
Vi suggeriamo di ripartire da zero: affermazioni di grandi prodigi, titoloni sulla loro caduta e guide arzigogolate non fanno altro che confondere la mente dell’utente medio.

Cerchiamo, stavolta, di capire davvero di cosa si tratta e di far parte di quel fortunato gruppo di persone che li usano nel modo giusto.

Resettate la mente: capiamo davvero cosa sono i Bitcoin

Non preoccupatevi, non è difficile e nemmeno tanto lungo da comprendere.

Era il 2009, quando un signore dal nome giapponese, Satoshi Nakamoto (ma con molta probabilità un gruppo o una organizzazione incarnata in costui) pubblicò un documento dove parlava di una nuova valuta digitale, una criptomoneta, chiamata bitcoin. Si trattava di una valuta completamente virtuale, senza banche nè governi a controllarla, che poteva essere usata per scambiare beni e servizi.

Poi, nel 2010, Nakamoto sparì. E nel 2013, il fenomeno Bitcoin si impose a livello mondiale.

Andando sul pratico, per partire con i bitcoin bisogna collegarsi presso una piattaforma di scambio, un sito web, creare un profilo più o meno simile a Paypal e versare dei soldi (reali). In cambio ti vengono accreditati dei bitcoin, che puoi conservare in un portafoglio virtuale (wallet) che risiede online oppure fisicamente sul tuo PC o in una chiavetta USB. Da quel momento puoi comprare beni su internet pagando in bitcoin.

Ok, direte voi, è una moneta digitale alla fine. Una variante virtuale dei soldi… eh no. È un cambiamento di sistema.

Mai più banche e Governi cattivi: un sistema diverso

I bitcoin si propongono come alternativi ad altri due sistemi: quello centralizzato e quello decentralizzato.

Nel primo caso esiste un Governo, un ente centrale, che stampa moneta, la distribuisce ai singoli e assicura il valore di quella moneta. Ad esempio, fino alla seconda guerra mondiale il valore della moneta corrispondeva alle riserve auree conservate presso lo Stato. Tu usi il denaro perché ti fidi del valore che gli attribuisce il tuo paese e che gli danno gli altri con cui commerci.

Il secondo sistema è quello decentralizzato. Ovvero, non c’è più un solo ente superiore, ma più enti “grossi” che distribuiscono moneta e valore ai singoli.

La terza variante, su cui vive bitcoin, è il sistema decentralizzato e distribuito. Qui non esiste alcun ente superiore, regolatore o legislatore. Tutti sono uguali, e uno vale uno.

Ogni transazione viene vista e approvata dalla comunità. Tutto pubblico e tutto tracciato, raccolto in una serie di “blocchi” di scambi. E’ la Blockchain, il nuovo sistema decentralizzato e distribuito

In questo caso immaginiamo che io voglia fare una transazione con qualcuno. Raccolgo i dati necessari e le informazioni utili, e poi chiedo a tutti gli altri che scambiano nel mondo se la mia transazione è corretta e può essere autorizzata. Se tutto il gruppo, se tutta la comunità, mi dà l’ok, la transazione avviene.

Un gruppo di transazioni in un determinato periodo di tempo viene chiamato “Blocco” o “Block“. E i blocchi uno dopo l’altro, formano una “catena di blocchi”, ovvero una “Blockchain“.

Questa è la rivoluzione, e anche quello che ha attratto l’attenzione mondiale: tutti sono pari, non ci sono le banche o i Governi cattivi a comandare, non esistono commissioni da pagare o tasse.

Esistono gli scambi tra persone, semplicemente. Inoltre le transazioni sono segnate e tracciabili per sempre, ma gli autori della transazione, i cosiddetti “nodi”, sono nell’anonimato più assoluto.

Certo, si può tentare di tracciarli, ma bastano dei “Mixer” per mescolare i dati, e chi ha fatto lo scambio non lo trovi mai più.

Una nuova corsa all’oro. Minare i Bitcoin

Per capire più a fondo il fenomeno dei Bitcoin, bisogna comprende anche il concetto di Mining. Si tratta sostanzialmente di prendere un blocco di transazioni e avviare, tramite dei computer, una serie di calcoli matematici.

Questi calcoli, una volta terminato il processo, arrivano a definire una sequenza numerica, detta Hash, che identifica il blocco. Ebbene, la meraviglia sta nel fatto che quando riesci ad ottenere l’Hash di un blocco, questo si converte in 12.5 Bitcoin.

Così come una volta ci si metteva nei fiumi a cercare con il passino fino a che trovavi una pepita d’oro, adesso ci si mette a fare calcoli con i computer per scovare un numero Hash che diventa denaro.

Nakamoto, sin dall’alba dei tempi, impose un limite massimo mondiale di 21 milioni di Bitcoin minabili, e al momento attuale ne sono stati minati 12 milioni.

In teoria chiunque può minare bitcoin, e su Amazon si possono trovare computer per provare a minare delle valute minori, ma una attività di questo tipo è praticamente appannaggio di progetti di stampo industriale.

Ed è accaduto anche che nel 2017 si sia verificata una specie di lite fra i “minatori”. Alcuni volevano eseguire i calcoli su blocchi di 1MB, come è sempre stato, mentre altri volevano poter minare blocchi più grandi, di 8MB. Il risultato è stato un “Fork”, cioè una divaricazione nel mining.

Nel frattempo sono nate anche alcune valute indipendenti come Ethereum e Bitcoin Cash.

I primi a capire le potenzialità dei bitcoin: i ladri

I primissimi a comprendere la funzione e le potenzialità dei bitcoin sono stati i criminali di tutto il mondo.

Un risparmiatore rovinato dal furto alla piattaforma MtGox, nel 2014. Tra hacker e fallimenti, evaporarono bitcoin per l’equivalente di 345 mln di euro

Per prima cosa sono stati attaccati i portafogli virtuali online che conservavano i bitcoin dei loro clienti. Famoso fu il caso di Mt Gox, che si vide sottrarre 750mila bitcoin. Più recentemente NiceHash ne ha persi altri 4.700. Ma anche i virus che rubano i wallet conservati in locale sul PC hanno fatto danni.

Ancora peggio. Esistono da diversi anni dei virus chiamati Ransomware, che arrivano su un pc, criptano il contenuto rendendolo illeggibile e chiedono un riscatto in denaro per consegnare la chiave necessaria a decifrare e riottenere i propri dati.

Questi malware avevano però un problema: una transazione verso una banca può essere tracciata. E i bitcoin, tracciabili ma non associati ad un nominativo esplicito, hanno risolto il problema.

Le vittime erano costrette a convertire denaro reale in bitcoin, e pagare i pirati informatici in maniera anonima.

Ma anche il commercio illegale ne ha approfittato: Silk Road è stato un gigantesco portale di e-commerce di prodotti illegali, dalle armi, alla droga, ai DVD o materiale d’autore, che si faceva pagare in bitcoin.

I clienti, sicuri di non poter essere rintracciati, hanno usato allegramente i bitcoin in barba alle autorità.

L’aspetto economico: i bitcoin sono volatili

A questo punto possiamo finalmente dire di aver compreso i bitcoin sotto l’aspetto tecnico. Ma dal punto di vista economico devono essere chiari altri due elementi.

Il primo è la estrema volatilità. Proprio perché fa parte di un sistema distribuito dove non ci sono autorità, il valore di un bitcoin non è definibile in maniera precisa. Questo dipende piuttosto dall’andamento, dalla fiducia o dall'”umore” della comunità che li usa. Un bitcoin può valere €8000 euro al mattino, scendere a €7000 la sera e tornare a €9000 il giorno dopo. Gli sbalzi di valore sono continui e molto forti.

Quello che possiamo dire con sicurezza, è che nel medio-lungo periodo, tende ad apprezzarsi in maniera piuttosto stabile.

I bitcoin non sono (ancora) una moneta

La seconda cosa da comprendere è che il bitcoin, non è una “moneta”, perché non ha le caratteristiche che storicamente la definiscono.

Innanzitutto una moneta deve essere una unità di conto. Cioè devo poter dire con ragionevole sicurezza che con 1 Euro, centesimo più o centesimo meno, posso comprare una zucchina. La volatilità dei bitcoin impedisce però agli stessi di essere usati come unità di conto. Il che gli impedisce di essere considerati moneta.

In secondo luogo, una moneta deve poter essere usata per fare scambi. Io consegno due etti di crudo e ricevo in cambio della moneta perché ho fiducia di poterla riutilizzare a mia volta per altri scambi. Una volta la sicurezza derivava dal fatto che il valore della moneta era nella moneta stessa, ad esempio una quantità di oro, incorruttibile. Adesso ci fidiamo più che altro del valore dato dallo Stato a quella moneta.

In questo caso i bitcoin funzionano: sono effettivamente incorruttibili, tanto che vengono definiti “oro digitale” e possono essere usati per degli scambi perché esistono altre persone che credono di poterli usare a loro volta.

La terza caratteristica di una moneta è però la possibilità di usarla come pagamento, e qui non ci siamo. Si, è vero, abbiamo appena detto che possono essere usati per fare scambi, ma i pagamenti sono un’altra cosa. Ad esempio, a fronte di un debito, io faccio un pagamento ad un creditore tramite dollari od euro che, avendo corso legale, è obbligato ad accettare. Questo mi rende libero, ovvero svincolato dal quel debito.

I bitcoin non hanno ancora le caratteristiche per essere definiti una moneta. Non vanno trattati come i soldi normali.

Nel caso dei Bitcoin, non avendo un corso legale, il creditore può rifiutarsi di accettarli come mezzi di pagamento, e dunque non sono utilizzabili con la stessa stabilità delle monete classiche.

Infine, la moneta deve avere un valore relativamente stabile. E di nuovo, i bitcoin non ce l’hanno: il fatto accade perché l’offerta di Bitcoin è piuttosto fissa, non può aumentare rapidamente, mentre la domanda può variare in un attimo. Da qui le intense fluttuazioni.

Per cui, dobbiamo sapere che i bitcoin sono una valuta di scambio, ma non hanno corso legale e non vanno trattati come i soldi normali. In altre parole, non hanno ancora le caratteristiche per definirsi “moneta” a pieno titolo.

Bitcoin. Capiamo finalmente chi ci guadagna e chi ci perde

Abbiamo superato indenni la parte didattica, ma ora è tempo di capire meglio se il fenomeno Bitcoin è una colossale bolla speculativa, paragonata da alcuni a quella del 1600 sui tulipani in Olanda, o se siamo di fronte ad una rivoluzione da capire e da abbracciare.

Partiamo da una domanda semplice: con questi bitcoin, finora, chi ha guadagnato veramente? Per rispondere abbiamo chiesto al Prof. Ferdinando Ametrano, che insegna Bitcoin and Blockchain Technologies alla Bicocca di Milano, ed ha la particolarità di non avere colleghi, perché è il primo in Europa ad avere un insegnamento sull’argomento.

“Ok facciamo una classifica – dice con voce squillante al telefono – i primi in assoluto sono i “cassettisti”, quelli che hanno comprato bitcoin un anno fa o prima e li hanno detenuti senza spenderli né scambiarli. Hanno guadagnato più di tutti, perché hanno trattato i bitcoin come “oro digitale”, bene rifugio, aspettando che si apprezzassero.

Al secondo posto ci sono le piattaforme di scambio, quelle che intermediano la compravendita di bitcoin raccogliendo commissioni. Al terzo posto… i furfanti: quelli che hanno messo in piedi un circo di piccole e grandi frodi e che spesso manipolano le contrattazioni con la complicità di borse di scambio poco affidabili”. E chi ci ha perso? “Gli utenti medi che, senza comprendere la natura di bitcoin, li hanno comprati e poi rivenduti, facendo trading magari anche su frequenza giornaliera: hanno perso alla grande su un mercato significativamente manipolato“.

I cassettisti: sono quelli che con i bitcoin possono dire di aver qualcosa in mano. Chi ha fatto speculazioni scambiano in giornata ha perso… alla grande

Ok ma adesso i Governi stanno iniziando a vietare i bitcoin. Per cui il sogno è già finito? “Assolutamente no – risponde Ametrano – perché i Governi non possono tecnicamente bloccare Bitcoin: dovrebbero fermare tutti i nodi della rete, più di 10000 sparsi in tutto il mondo.

Quello che possono fare è tentare di strozzare o proibire bitcoin, magari nascondendosi dietro l’esigenza di regolamentarlo: nel 1933 gli USA vietarono il possesso di oro. In ogni caso il proibizionismo non ha mai funzionato, il valore del bene proibito semplicemente aumenta ed il mercato non si ferma”.

Ma forse il problema potrebbero essere i privati? Perché quando abbiamo detto che nella blockchain ognuno chiede agli altri se può eseguire la transazione, è evidente che la richiesta, il controllo e l’autorizzazione sono automatici, eseguiti da computer.

Ma se la Blockchain diventasse negli anni sempre più grossa, con sempre più richieste da gestire, potrebbero essere necessarie delle web farm di elaborazione dati gentilmente “offerte” da grandi aziende.

Ferdinano Maria Ametrano, unico in Europa ad avere un insegnamento su Bitcoin e Blockchain Technologies: “I bitcoin vanno visti come oro digitale. Se reggono alla prova del tempo potrebbero avere un notevole impatto sull’economia mondiale”

E queste grandi aziende, contribuendo in maniera sostanziale al funzionamento e stabilità della blockchain ne potrebbero parimenti influenzare il comportamento? “No, – taglia corto Ametrano – bastano 150GB di spazio su un PC per diventare un nodo della rete con una copia integrale della blockchain.

Operare un nodo della rete non è particolarmente gravoso, non servono grandi aziende. Ed è proprio il fatto che la blockchain è distribuita che ha garantito il funzionamento ininterrotto di bitcoin”.

Il mining di Bitcoin è in mano a pochi produttori. “Ma non è un problema – spiega Ametrano – in ogni caso potrebbero intervenire altre aziende”

“Se vogliamo parlare di oligopolio – prosegue Ametrano – c’è nei fatti per quello che riguarda i nodi che svolgono l’attività computazionalmente intensa del mining. Attualmente circa il 70% dell’hardware usato per minare bitcoin è prodotto da Bitmain che lo vende a tre/quattro aziende.

Ma stanno arrivando anche altri produttori, compreso un gigante come Samsung. In ogni caso il mining, se sufficientemente decentralizzato e distribuito, non ha la possibilità di influenzare bitcoin o di manipolare la blockchain.”

Ma se un Governo andasse a dire a chi ha il monopolio del mining che se non vuole avere problemi con il fisco dovrebbe ridurre o sospendere le attività? Oppure se domani un miner determinante minacciasse di interrompere i lavori se non in cambio di una percentuale sulle transazioni?

“Subentrerebbero altri miner, in altre aree geografiche – chiosa Ametrano – altri attori motivati da interessi economici, culturali e politici a sostenere la rete bitcoin”

Perfetto. E infine la domanda delle domande: se fossi un utente medio, che vuole sfruttare i bitcoin stando dalla parte di chi ci ha guadagnato e non del “fesso che ci ha perso” che dovrei fare?

“Per prima cosa – spiega con sicurezza Ametrano – bisogna studiare per comprendere che bitcoin può essere una ragionevole diversificazione dei propri investimenti. Significa aggiornarsi tecnologicamente e familiarizzare con un significativo cambiamento di paradigma culturale, che se regge alla prova del tempo potrebbe avere un notevole impatto sull’economia mondiale.

Quali sono le piattaforme di scambio bitcoin più affidabili? Chicago: Gemini, GDax, ItBit, Kraken, Bitstamp. E l’italiana TheRockTrading: nel mondo è la più vecchia borsa bitcoin tutt’ora funzionante

In secondo luogo si può investire in bitcoin quella parte di capitale di cui si possa sopportare senza troppi rimpianti l’eventuale perdita. Siamo di fronte a una svolta storica: se davvero bitcoin rappresenta l’oro digitale, allora il suo potenziale è persino sottovalutato e dovrà apprezzarsi decine di volte; se invece dovessero emergere elementi critici che oggi sfuggono alle analisi, allora il suo valore è destinato ad azzerarsi.

Terza regola, affidarsi per la compravendita a borse di scambio affidabili, ma evitare assolutamente di custodire i propri bitcoin presso le borse, che potrebbero fallire o essere violate: bisogna gestirli attraverso un proprio software wallet, a cui altri non possano accedere: bitcoin nasce per non doversi fidare di intermediari”.

Quali borse sono affidabili? “Quelle utilizzate come mercati di riferimento per il prezzo di riferimento dei futures quotati a Chicago: Gemini, GDax, ItBit, Kraken, Bitstamp. A questi aggiungerei l’italiana TheRockTrading: nel mondo è la più vecchia borsa bitcoin tutt’ora funzionante; non si sono fatti bucare da hacker, non sono scappati con i soldi dei clienti: credenziali minimali, ma nel new wild west di bitcoin sono le migliori che si possano esibire”.

Ultimo ma non ultimo: “Bitcoin è un bene rifugio, oro digitale. Meglio evitare il trading speculativo, acquistarli e rivenderli dopo pochi giorni: va considerato come un investimento di lungo termine, meglio fare i cassettisti. È solo così che, se l’esperimento bitcoin avrà successo, potranno realizzarsi guadagni significativi”.

Privacy. Google e Facebook hanno in mano il 76% dei siti del mondo

0

Google e Facebook non hanno solamente miliardi di utenti a disposizione, ultra controllati e monitorati, ma ci seguono anche quando non li usiamo. Dal momento che la stragrande maggioranza dei siti internet include dei loro codici nelle pagine web, diventando un ponte per il controllo pressochè totale della popolazione mondiale.

E’ l’analisi lanciata da Gabriel Weinberg, CEO e fondatore di DuckDuckGo, un motore di ricerca che si distingue per il completo anonimato dei suoi utenti.

Privacy. Così Google e Facebook tengono in pugno il web

Google, azienda statunitense fondata nel 1998, detiene oggi il primato dei motori di ricerca. Coordina altre attività leader del settore informatico e tecnologico, grazie alle quali accede con facilità alle informazioni degli utenti

Secondo il progettoWeb Transparency & Accountability di Princeton, il 76% dei codici di tracciamento nascosti all’interno dei siti web appartiene a Google e il 24% a Facebook. Sono seguiti da Twitter al 12%. È certo quindi che Google o Facebook ci monitorino su molti siti che visitiamo, oltre a rintracciarci quando utilizziamo i loro prodotti.

Di conseguenza, queste due società hanno accumulato enormi profili di dati su ogni persona, che possono includere interessi, acquisti, ricerche, cronologie di navigazione, geo-localizzazione e molto altro ancora. Una enorme mole di informazioni che mettono a disposizione di gruppi di sponsor per pubblicità mirate e invasive che ci seguono su Internet.

Proprio per la loro posizione all’interno di una vasta gamma di servizi del web, Google e Facebook possono raccogliere informazioni personali che si combinano insieme in enormi profili digitali al fine di offrire un iper-targettizzazione migliore rispetto alla concorrenza.

Secondo eMarketer, gestiscono ora il 63% di tutta la pubblicità digitale del mondo, e hanno rappresentato nel 2017, il 74% della crescita in questo mercato. Insieme formano un denso duopolio della pubblicità digitale, che non presenta segni di cedimento e che blocca la strada a qualsiasi competitor.

Facebook, social network nato nel 2004 collabora ora con altre app di condivisione e agenzie pubblicitarie, grazie alle quali reindirizza i propri utenti verso ricerche personalizzate

Ma il controllo di questi due giganti del web non si limita ai dati e alla pubblicità, ma può distorcere la nostra percezione mentre navighiamo sul web.

Google e Facebook usano i dati raccolti come input per elaborare algoritmi di intelligenza artificiale sempre più sofisticati. Questi ci inseriscono all’interno di quella che viene definita “bolla di filtraggio”. Una serie di impostazioni, risultati di ricerca, preferenze di navigazione, che creano un “universo digitale” personalizzato per noi.

Certamente bello, ma allo stesso tempo pericoloso: questo sistema distorce la realtà, mostrandoci o nascondendoci informazioni a nostra completa insaputa.

La ricetta di Weinberg: cosa dovrebbero fare i Governi

Con questo obiettivo di trarre sempre più profitto da informazioni personali, Google e Facebook hanno mostrato scarso rispetto per tutte le conseguenze negative dei loro algoritmi.

Su pressione dei Governi e delle normative, le due multinazionali hanno spesso attuato delle politiche di autoregolamentazione, ma in realtà, secondo l’analisi di Weinberg, si tratta di illusioni.

Qualsiasi restrizione a lungo termine sulla privacy dei dati forniti a Google e Facebook si oppone fondamentalmente ai loro modelli business di pubblicità iper-mirata, basata su una sorveglianza personale sempre più intrusiva.

Sfortunatamente, ben poco è stato fatto da parte delle autorità mondiali. I parlamenti, secondo la soluzione prospettata da Weinberg, devono studiare soluzioni efficaci per frenare questo monopolio di dati. Innanzitutto, è necessario richiedere maggiore trasparenza degli algoritmi e sulla privacy, in modo che le persone possano veramente comprendere il modo in cui le loro informazioni personali vengono raccolte, elaborate e utilizzate da tali società. Solo allora sarà possibile il consenso informato.

C’è anche bisogno di proporre nuove leggi sul possesso inalienabile dei propri dati. Infine, si dovrebbe limitare il modo in cui i dati possono essere riutilizzati, inclusi strumenti più aggressivi per bloccare le acquisizioni dei dati, che consolidano la potenza dei gruppi sopra citati e che aprirà la strada a una maggiore concorrenza nella pubblicità digitale.

Agli utenti viene offerta la possibilità di definire restrizioni sulla propria privacy che però non vengono totalmente rispettate

Finché non vedremo cambiamenti significativi da parte delle istituzioni, i consumatori dovrebbero esprimere il proprio dissenso. DuckDuckGo ha scoperto che circa un quarto degli americani stanno già intraprendendo azioni efficaci per riappropriarsi della propria privacy.

Aiuti giungono anche da componenti aggiuntivi del browser che riescono a bloccare i tracker nascosti di Google e Facebook, oltre a fornire alternative private ai loro servizi principali.

La completa perdita di privacy nell’era di Internet non è inevitabile. Attraverso una regolamentazione ponderata e una maggiore scelta del consumatore, possiamo scegliere un percorso più funzionale. Dovremmo guardare al 2018 come un punto di svolta nella privacy dei dati, nel quale ribellarsi alle implicazioni inaccettabili di due società che controllano così tanto il nostro futuro digitale.

L’HTML 5 è davvero così sicuro? ecco le vulnerabilità a cui stare attenti

L’HTML 5, il nuovo linguaggio erede di Flash Player è davvero così completamente al sicuro? O esistono delle vulnerabilità di sicurezza che lo rendono un prodotto non del tutto inattaccabile?

Adobe Flash Player, lo storico strumento per la visualizzazione di elementi multimediali su internet, che ha dominato gli anni ’90 e i primi anni 2000, cesserà di esistere nel 2020 ed la soluzione destinata a prendere il suo posto è senza dubbio l’HTML 5, ormai da tempo considerato da sviluppatori ed utenti il degno successore di questo programma.

Tecnicamente l’HTML5 possiede delle caratteristiche che rendono più facile per i programmatori creare dei siti web in grado di caricare e far funzionare video in differenti formati: il contenuto che è possibile ottenere non avrà problemi infatti ad essere riprodotto su computer desktop, tablet, smartphone, televisori e piattaforme di gaming.

E non si può fare a meno di ricordare che anche YouTube, il noto aggregatore di video, è già passato da tempo all’HTML5 abbandonando Adobe Flash Player e dando modo di adattare e far cambiare automaticamente la risoluzione video in base alla connessione di rete dell’utente finale per ottenere una migliore performance.

Un altro esempio? E’ grazie a questa tecnologia che i gamer della Xbox One possono eseguire delle live stream delle proprie partite.

Per ottenere un prodotto completo soprattutto in materia di streaming e video conferenza l’HTML 5 deve essere integrato con Javascript e CSS3.

Attenzione però: questo non significa che tale struttura possa rimpiazzare interamente il prodotto di Adobe: l’HTML5 non è infatti in grado, ad esempio, di interagire con una webcam e l’audio registrato da un microfono e da solo non può essere usato per creare animazioni o video interattivi. In questi casi vi è bisogno di integrare JavaScript o CSS3 per raggiungere il risultato sperato.

Ma sul fronte della sicurezza? L’HTML5 è più sicuro da usare in alternativa a Flash? Sicuramente sì. Ma vi sono delle falle alle quali fare attenzione per prevenire i problemi.

HTML 5. Prima vulnerabilità: il codice sorgente è troppo leggibile e attaccabile

Una delle prime vulnerabilità collegate all’HTML5 risiede nel codice sorgente facilmente leggibile da qualsiasi browser in tutte le pagine che non hanno una connessione criptata. Qualsiasi persona capace di visionare l’header, le sezioni, gli articoli ed i tag video potrebbe essere in grado di raggiungere i file video. Un semplice esempio di codice non criptato facilmente sfruttabile:

<video width=”320″ height=”240″ controls>

<source src=”movie.mp4″ type=”video/mp4″>

<source src=”movie.ogg” type=”video/ogg”>

<source src=”movie.webm” type=”video/webm”>

</video>

Come è possibile notare, i file video sono elencati in bella vista con tutto ciò che necessita ai browser per visualizzarli, sia sui dispositivi fissi che mobili. E sebbene alcuni formati non possano contare su supporti diretti da parte di alcuni browser, nella maggior parte dei casi basta una semplice connessione ad internet per dare modo ai malintenzionati di agire sui brani video del sito.

Tramite software di terze parti in grado di convertire i file AVI in MP4 o se le clip video sono caricate tutte in questo formato, facilmente leggibile da ogni browsersi possono eseguire danni concreti.

Un hacker o chiunque voglia sferrare un attacco, con un codice HTLM5 non criptato, non avrà problemi a trovare i video, farne una copia, modificarne i frame inserendo codice pericoloso e da lì tentare di entrare nell’amministrazione del sito web.

Il codice sorgente, se troppo visibile, può essere pesantemente sfruttato dai pirati informatici

HTML 5. Secondo bug: non ci sono strumenti di sicurezza per i tutti i browser

Un’altra vulnerabilità di questo codice, da non sottovalutare, è che manca di strumenti e sistemi di sicurezza sufficientemente solidi. Il problema fondamentale è la mancanza di un sistema di autenticazione FIDO (Fast Identity Online) che rende la maggior parte dei browser esposti all’esecuzione di codice dannoso, nascosto tra le pieghe dei tag HTML 5.

Solo Firefox 54 e Xbox One al momento hanno parzialmente implementato questo sistema ma il WWWC (World Wide Web Consortium) non ha ancora elaborato delle regole di sicurezza comuni per tutti i browser, nel momento in cui visualizzano una pagina in HTML 5.

Grazie ad HTML5Test, un’applicazione web molto popolare che calcola quanto funzionino bene i diversi browser, si può verificare come i più sicuri per visualizzare l’HTML 5 siano Opera 45 ( punteggio 518 su 555) e Edge 16. Ma si tratta di strumenti ancora incompleti e che non danno sufficiente protezione.

HTML 5, la terza falla: è facilissimo inserire codice malevolo

L’ultima importante falla dell’HTML5 consiste nel fatto che è molto facile inserire del codice malevolo dall’esterno. L’HTML 5 in realtà è molto ricco di codici per far funzionare degli elementi: ci sono quelli per la comunicazione come le chat integrate sui siti web, quelli che si occupano delle integrazione con i social network, gli strumenti per la geolocalizzazione,  o per gestire le applicazioni offline.

Qualsiasi hacker o programmatore può attaccare un sito tramite vulnerabilità dell’HTML 5 e inserire del codice malevolo creando danni: ad esempio può attivare un loop infinito di un video o un elemento interattivo, bloccando un sito web.

Problema simile nel caso in cui si attacchi un “sandboxed frame”: in questo caso si può ottenere il totale blocco del video riprodotto nel sito. Non solo: anche i messaggi scambiati fra il sito web e i navigatori, come una chat per un supporto tecnico, possono essere alterati o spediti agli interlocutori sbagliati. E ancora: i web socket possono essere sottoposti ad attacchi DoS e di conseguenza i server che ospitano il sito potrebbero dover gestire una serie di richieste false in grado di rallentare il portale.

Cosa indica questo? Che per quanto il formato HTML5 sia avanzato ed in grado di gestire al meglio la creazione e gestione di file video “intelligenti”, alcune sue falle nella sicurezza potrebbero mettere a rischio il sito web, a volte in modo maggiore rispetto a ciò che accadrebbe utilizzando Flash.

Per l’HTML 5 il rischio più elevato è quello di esecuzione da parte del browser di codice malevolo inserito nelle pagine web

HTML 5. Come mettere in sicurezza il codice e i video

Come già anticipato, le falle di sicurezza nell’HTML5 ci sono, ma questo non significa che non si possa fare niente per ovviare alla loro presenza. Ecco alcune delle azioni che si possono intraprendere:

  • Criptare il codice sorgente HTML5 e rendere impossibile per le persone intenzionate ad attaccare il sito web l’utilizzo di strumenti come Encrypt HTML Pro
  • Installare un’utility in grado di filtrare il codice per rimuoverne le parti modificate e pericolose: il migliore in tal senso è HTML Purifier
  • mantenere sempre aggiornati i router wireless e i dispositivi Bluetooth
  • ridurre i permessi relativi ai codici non sicuri
  • prevenire la stampa o la copia del codice sorgente
  • cambiare le password di amministratore date di default
  • trovare gli input provenienti da fonti non attendibili e non consentirgli di girare
  • utilizzare HTML5Test per testare il supporto sicurezza per i propri browser
  • far girare HTML5 con HTTPS

Per aumentare la sicurezza dell’HTML5 utilizzato nel proprio sito è poi raccomandato utilizzare i seguenti HTTP headers:

  • X-Frame-Options
  • X-XSS Protection
  • Strict Transport Security
  • Content Security Policy
  • Origin.

HTML5: l’importanza degli aggiornamenti

Le falle dell’HTML5 insegna una lezione inconfutabile: per godere di questo linguaggio, tutti gli strumenti collegati dovranno essere sempre aggiornati. Solo in questo modo si potrà lavorare in modo sicuro.

La futura dipartita di Adobe Flash Player rappresenterà un problema? No. Il passaggio ad HTML 5 è un passo in avanti gigantesco, specie per la sicurezza, e le enormi possibilità dell’HTML5 si vedono già con grande soddisfazione. Ma è importante ricordare che ogni persona o azienda che vorrà lavorare con questo nuovo linguaggio dovrà conoscerne gli inevitabili difetti, senza pensare di lavorare con uno strumento immune alle vulnerabilità.

Quando le app per il fitness rivelano segreti militari. Il caso Strava

0

Le applicazioni per il fitness spopolano nel mondo, permettendo di tenere sotto controllo peso, allenamenti e forma fisica. Ma quando i dati raccolti per anni vengono mostrati su una mappa e da qui si scoprono i movimenti dei soldati USA, le basi segrete e le linee di rifornimento, qualcosa non torna. E’ il caso Strava, che ha costretto i massimi vertici militari americani e internazionali a prendere provvedimenti.

Strava.com, definita “Social Network degli atleti”, è una società di rilevazione con sede a San Francisco che vanta circa 27 milioni di utenti in tutto il mondo.Questi accedono all’app tramite dispositivi per il fitness (es. Fitbit e Jawbone) oppure iscrivendosi direttamente al sito.

I dati vengono raccolti tramite GPS in forma anonima e distribuiti su mappe termo-luminose, rendendo evidenti i percorsi più seguiti. Il primo aggiornamento globale di Strava risale a novembre 2017.

Sulla base dei dati, circa un miliardo, dal 2015 al 2017, la società ha caricato per la prima volta una mappa che mostra l’attività fisica degli utenti in tutto il mondo. Ovviamente, le aree urbane sono quelle che rappresentano un agglomerato più denso.

Strava è un’azienda leader nel monitoraggio dell’attività atletica. Nata nel 2009 a San Francisco, è ora un vero e proprio social network per sportivi

Le app per il fitness hanno svelato i tragitti degli utenti. Anche dei militari USA

Sono però alquanto strani i luoghi desertici, che dovrebbero essere isolati, ma che presentano invece zone molto fitte. Il motivo di tale stranezza è stato scoperto dall’australiano Nathan Ruser.

Studente di sicurezza internazionale e Medio Oriente, ha deciso di analizzare la questione sul conflitto in Siria postando su Twitter una frase provocatoria che ha scosso l’opinione pubblica. La sua osservazione è stata subito approfondita da esperti in materia, come l’analista tedesco in materia di sicurezza internazionaleTobias Schneider.

Tale rivelazione è incentrata sul fatto che alcune di quelle rotte sembrano tracciare posizioni militari statunitensi segrete all’estero. La mappa permette infatti di identificare per nome le basi dell’esercito militare e i suoi percorsi in zone del Medio Oriente.

Il Washington Post ha quindi postato online la Global heat map” di Strava che rivela, tra gli altri, gli avamposti dell’esercito americano, tra le più pericolose e segrete location al mondo, oltre ai tracciati dei convogli militari e le ronde di perlustrazione. È facile così individuare non solo la posizione, bensì i nomi delle basi e delle città nelle quali sono ubicati, possibilità che il sito offre agli utenti ai fini della condivisione della propria posizione sui vari social network.

In questo modo è stato scoperto, ad esempio, il tracciato più utilizzato in Iraq, soprannominato dai suoi utenti “Base Perimeter”. Un altro, situato all’esterno della grande base americana in Kandahar, Afghanistan, viene chiamato “Sniper Alley.”

La scoperta delle basi e degli spostamenti militari 

La notizia ha portato esperti militari, soldati e gran parte di internet a perlustrare la mappa, alla ricerca di prove dell’attività, chiedendosi se il rilascio di tali informazioni sensibili sulla posizione possano in qualche modo fornire una supervisione della sicurezza militare, oltre che comprometterla.

Le “Global heat map” rivelano la posizione e gli spostamenti dei militari in Medio Oriente

L’esercito militare ha dovuto quindi rispondere all’inchiesta circa le problematiche riguardanti le nuove tecnologie. Il maggiore Audricia Harris ha dichiarato tuttavia che il personale del Dipartimento della Difesa sa già come limitare i profili personali su internet e sulle misure di sicurezza interna ed estera.

Nonostante ciò,  i dati recenti mettono in risalto la necessità di assumere maggior consapevolezza della situazione. Il Dipartimento della Difesa sta ora cercando di determinare se sia necessaria una formazione in materia per i propri soldati.

Come evidenzia l’ufficio stampa del Commando Centrale in Kuwait, portavoce della coalizione contro lo Stato Islamico, il rapido sviluppo di nuove tecnologie di informazione migliora le nostre vite ma pone dure sfide a chiunque operi a livello di sicurezza e protezione. Costringe a ridefinire le proprie politiche e procedure.

L’accesso pubblico a tali dati potrebbe rappresentare una vera e propria catastrofe come rivela Nathaniel Raymond, presidente del Programma di sicurezza umana e tecnologia di Harvard. Analizzando l’impatto dei dati tecnologici sull’uomo, considera da sempre la pericolosità dei dispositivi GPS e delle compagnie che li monitorano.

Per esempio, sempre Tobias Schneider, ha identificato il nome di ben 573 persone che ogni mattina fanno jogging intorno al quartier generale dell’intelligence britannica, il che molto probabilmente li identifica come agenti di questa istituzione.

Il problema non riguarda solo la possibilità di individuare facilmente le basi militari su una mappa. Molto spesso la loro posizione geografica è già nota, come anche gli spostamenti dei militari all’esterno della base.

I soldati statunitensi utilizzano applicazioni con GPS, fornite proprio dal Pentagono, con lo scopo di indurre il proprio personale a muoversi di più e a fare esercizio fisico. In questo modo è però possibile utilizzare i dati per programmare imboscate o ricostruire le dinamiche di movimento all’interno della base o in aree dove molto probabilmente ne verrà allestita una nuova.

Inoltre le zone a più alta concentrazione potrebbero essere quelle di ristoro o i dormitori, il che permette agli avversari di identificare un obiettivo più specifico. Diventa facile anche seguire le aree di pattugliamento, il che compromette il lavoro di segretezza sviluppato dagli Stati Uniti, i quali tendono a non rivelare aree specifiche del loro operato.

Le missioni segrete in Afghanistan, Iraq e Siria rischiano di essere compromesse, mettendo in pericolo i soldati stessi

Nessuna legge per la gestione dei dati. Così è nato il caso Strava

Il problema principale è che non è stato istituito un codice regolatorio per compagnie come Strava che collezionano informazioni degli utenti. Il loro rispetto per i dati sensibili non è ancora stato definito, il che li esclude da determinate responsabilità.

Strava risponde alle accuse dimostrando che, tramite il proprio blog, riesce a indirizzare gli utenti al fine di gestire la loro privacy sulla piattaforma. Strava sostiene che la heat map globale rappresenta una visione aggregata e anonima di oltre un miliardo di attività caricate sulla piattaforma.

Esclude pertanto zone private o delimitate dai parametri impostati a priori dall’utente. Si impegna quindi ad aiutare le persone a comprendere meglio le proprie impostazioni per dare loro il controllo su ciò che condividono. Il loro intento non è quindi quello di divulgare tattiche, tecniche o procedure.

Poiché il governo militare vuole avviare procedure di sensibilizzazione circa l’utilizzo responsabile dei dispositivi di localizzazione e Strava prende la sicurezza dei propri utenti seriamente, c’è l’intenzione di collaborare al fine di salvaguardare le aree sensibili dell’attività in questione.

L’azienda ha la convinzione che la trasmissione dei dati sensibili sia naturalmente opzionale, e che debba spettare alle decisioni personali di ogni utente se condividere o meno i propri spostamenti. È vero però che l’utente è ben predisposto ad acconsentire alla condivisione poiché questa permette di accedere ad altri servizi e, funzionando in maniera simile ad altri social network, permette di confrontare i propri risultati con quelli di altre persone che utilizzano l’applicazione.

Se il dipendente licenziato si vendica rubando dati aziendali. Come reagire

0

Quante informazioni, password, accessi e conoscenze ha un collaboratore fidato dopo anni di lavoro insieme? E che danni potrebbe provocare alla vostra azienda se per un licenziamento o l’incrinarsi dei rapporti, decidesse di usare tutto quello che sa contro la vostra azienda per vendetta?

Per quanto ci si possa illudere di avere tutto sotto controllo e di avere a che fare con gente onesta non è possibile non considerare la variabile della vendetta, che in un contesto lavorativo può essere espressa in tanti modi. Il più pericoloso è senza dubbio quello della vulnerabilità di sistema e di sfruttamento delle falle nello stesso, facilmente utilizzabili da coloro che lo conoscono e che in passato ne hanno avuto accesso.

Per i dirigenti che si possono trovare in questa situazione, esiste una strategia di risposta elaborata dall’esperto statunitense William Evanina, che ha collaborato con l’FBI.

Approcciare questo tema con la giusta serietà, non concentrando in un solo reparto le responsabilità della sicurezza ma creando un network di risorse in grado di collaborare per far sì che nulla metta in pericolo l’azienda ed il suo lavoro.

La migliore difesa consiste nel preparare una squadra in grado di fronteggiare i problemi nel più breve tempo possibile.

Costruisci una squadra per elaborare la strategia migliore

La sicurezza informatica è tra le basi del corretto funzionamento di qualsiasi società, soprattutto in tempi in cui anche una stampante in linea, se dotata di una porta di accesso alla rete, può trasformarsi in una falla da eliminare. Per prima cosa, sono così tante le possibili minacce al sistema aziendale che risulta controproducente dare la responsabilità della protezione dello stesso ad una sola persona, incaricata di risolvere la questione.

E’ necessario piuttosto dare vita ad una squadra “interdisciplinare”: è il gruppo delle risorse umane e le autorità specializzate in questo tipo di crimini che si rivelano essere la soluzione migliore. Quando un attacco è in corso, la velocità è la base del successo nel difendere e solo un network di specialisti ben preparato sarà in grado di affrontare il problema con velocità ed il massimo della pulizia.

Una buona squadra potrebbe essere composta dal responsabile IT, da un manager, dai collaboratori più stretti del licenziato e da un esperto di sicurezza informatica, magari assunto per il caso.
Create una squadra di 5/6 persone, non di più.

Stabilisci che cosa bisogna proteggere

Quando si ha a che fare con informazioni aziendali importanti, definite Critical Business Information (CBI), per essere certi di fare un ottimo lavoro non si deve pensare di difendere “dati” o “processi”, ma considerare gli stessi come “persone”. In fin dei conti è proprio ciò che accade: quando si protegge un’azienda in realtà ci si prende cura del potenziale cliente finale che utilizzerà quello specifico prodotto.

Un concetto valido per qualsiasi tipo di produzione e qualsiasi tipologia di approccio difensivo che deve far parte della routine aziendale. Un buon ragionamento potrebbe essere: “Dobbiamo proteggere il nostro amministratore delegato e la privacy dei suoi familiari, il dirigente che ha assunto l’ex collaboratore e i nostri fornitori con cui il licenziato era in contatto”.

In questo modo capire automaticamente che cosa dovete proteggere: il pc dell’amministratore, il suo smartphone, gli account social della famiglia. E ancora: il conto Paypal del dirigente e il tablet dove sono registrate le consegne dei fornitori”. Pensare al “Chi”, vi aiuterà a capire immediatamente “Cosa” dovete difendere.

Conoscere la collocazione fisica e virtuale del sistema da proteggere è basilare.

Identifica dove si trovano i dispositivi a rischio

Proteggere le informazioni riservate in una azienda significa non solo conoscerne il funzionamento e la struttura ma anche l’esatta posizione, virtuale e fisica, all’interno del proprio sistema. Questo consente di poter approcciare qualsiasi problema con maggiore facilità anche se, è doveroso sottolineare, spesso il processo è molto più difficile quando ad essere presa in considerazione è una grande società con molte sedi rispetto ad un’azienda più piccola.

In ogni caso tale conoscenza è basilare per capire quanto e come le proprie informazioni siano esposte al pericolo: basta un piccolo errore e documenti di vitale importanza possono essere disponibili alla consultazione di personale non autorizzato a visionarli.

La protezione passa in questo caso anche attraverso una collaborazione molto stretta tra il team che si occupa della sicurezza virtuale della risorsa e la squadra di lavoro adibita alla protezione fisica della struttura: non si può escludere che un dipendente deluso possa trovare il modo di mettere a repentaglio la sicurezza dell’azienda attraverso una filiale vicina a dove abita.

Una volta che avrete una squadra di esperti, consapevoli di chi bisogna proteggere, di cosa bisogna difendere e di dove si trovano i terminali da mettere in sicurezza, sarete nelle condizioni di reagire adeguatamente e di passare all’atto pratico. Cambio delle password, dei conti correnti, degli accessi a gestionali e archivi.

Accorgersi prima di un dipendente potenzialmente pericoloso

Ovviamente, la prevenzione è l’arma migliore. Proteggere le informazioni aziendali in generale, è palese, è un lavoro che deve essere portato avanti in squadra, attraverso la messa a punto di un network importante in grado di funzionare in modo adeguato. Questo perché non si ha mai la certezza della tipologia di problema che si potrà affrontare. Si è fatto l’esempio del collaboratore licenziato e scontento che potrebbe tentare di rivalersi sull’azienda sfruttandone le falle.

In questo caso qualsiasi dispositivo in linea e qualsiasi uso dei computer aziendali differente da quelli stabiliti dai protocolli può inficiare l’intero sistema, mettendolo alla mercé di malintenzionati e di gravi perdite. Comprendere quali possano essere le risorse umane delle quali fidarsi e quelle delle quali avere paura non è semplice.

La chiave per anticipare il problema sta nell’avere il controllo delle informazioni: queste devono essere gestite secondo la legge e da risorse umane non solo in grado di lavorare virtualmente in maniera etica  ma che siano affidabili in termini di mantenimento degli alti standard di sicurezza.

Per questo motivo, per mantenere alta la protezione di informazioni sensibili, iniziare con una selezione scrupolosa del personale diventa basilare.

Le risorse dedicate alla sicurezza informatica devono essere selezionate in maniera molto scrupolosa.

Lo stesso deve essere preparato, sapere come agire ed essere motivato al punto giusto: il coinvolgimento nella sicurezza deve essere vissuto come personale e nessuna capacità mai essere data per scontata.

Devono essere messe a punto delle regole pratiche, che diano la possibilità ai reparti dedicati dell’azienda di verificare periodicamente non solo che la preparazione dei propri dipendenti sia adeguata, ma anche che il loro comportamento rimanga ideale e costante nel tempo. Qualsiasi condotta sospetta (ad esempio un cambio di password improvviso e non giustificato da parte di un dipendente) deve poter essere scoperta e approcciata nell’immediato con il supporto di mezzi adeguati.

La dirigenza dell’azienda dovrebbe prevedere degli standard ben precisi da rispettare per poter lavorare con informazioni di tale importanza che possano essere applicati non solo sulla condotta lavorativa del personale che lavora in sede, ma anche dei dipendenti che operano in filiali.

Se il problema sicurezza viene affrontato in maniera errata da parte dei responsabili interni i protocolli rischiano di saltare, le risorse ad esse dedicate potrebbero non funzionare al 100% nel loro ruolo ed in generale si potrebbe arrivare non solo una perdita di dati ma anche alla potenziale effrazione di leggi a propria insaputa.

Un programma “difensivo” di qualità, basato su un network di risorse ben strutturate può fare la differenza, portando ad un funzionamento migliore dell’azienda.

I software che prevedono i crimini: così lavora la polizia del futuro

0

Prevedere i crimini prima che vengano compiuti è il sogno di ogni poliziotto. E in realtà esistono i Crime Predicting Software che si occupano di raccogliere e analizzare i dati sui crimini del passato, per predire quelli nuovi e giocare di anticipo. Una soluzione fantascientifica che ci fa sentire in un nuovo mondo.

Ma… quando alcune previsioni dei software vengono azzeccate anche da persone comuni, l’entusiasmo cala.

La sicurezza della popolazione, è sempre stata garantita dalla polizia, che ha fatto affidamento sul proprio istinto e sui dati a sua disposizione per perseguire i crimini, ma che ora deve fare i conti con risorse sempre più limitate poiché la lotta alla criminalità e l’aumento della violenza rendono l’operato della polizia ogni giorno più difficile.

Nati alla fine degli anni ’80 negli Stati Uniti, i Crime Predicting Software sono stati sviluppati con l’intento di fornire un supporto scientifico all’indagine criminologica, creando delle vere e proprie previsioni sui crimini del futuro. 

Affidarsi a software dedicati che si occupano della rilevazione, dell’analisi e dell’interpretazione di tali dati, appare davvero come una ottima soluzione per rimanere al passo con i tempi e, addirittura, anticiparli.

I software che prevedono i crimini. La raccolta dati e la mappatura

Dalla mappatura dei dati alla previsione dei crimini: così lavora un Crime Prediction Software

Analizzando il funzionamento nel dettaglio, i dati raccolti dal lavoro quotidiano del dipartimento di polizia vengono catalogati in sistemi di gestione delle banche dati che associano informazioni geografiche (es. latitudine e longitudine) con indirizzi e aree di segnalazione della polizia e memorizzano e gestiscono chiamate di servizio, arresti e altri dati potenzialmente mappabili, comuni alla maggior parte dei dipartimenti di medie e grandi dimensioni.

Garantire la qualità dei dati è fondamentale. Se non sono completi, accurati o tempestivi, viene meno questo sistema di localizzazione.

Una volta messi insieme e resi disponibili per l’analisi infatti, questi volumi di dati sono fondamentali per comprendere non solo ciò che è accaduto in passato ma, sulla base di tali modelli, ciò che si svilupperà, potenzialmente, in futuro.

La migliore organizzazione e i modelli di previsione consentono alle agenzie di anticipare incidenti, individuare profili criminali, ridurre i tassi di criminalità e ottimizzare l’utilizzo delle risorse.

Basandosi su episodi precedenti, profili, mappe e tipologie, oltre a fattori quali eventi meteorologici o giorni festivi e di paga, i funzionari di polizia possono individuare aree tipicamente frequentate da criminali violenti.

Vengono stilati identikit per identificare somiglianze con delinquenti noti e individuare le condizioni scatenanti i crimini violenti, per prevedere quando e dove questi crimini potrebbero verificarsi in futuro, nonché determinare la probabilità di recidiva.

Così la polizia gioca d’anticipo

Per prevedere i crimini, i software appositi uniscono dati, età, zone geografiche e scadenze (come i giorni di paga o le festività) per creare una reportistica

Una volta che le informazioni sono state elaborate e diventano disponibili, questi software permettono agli agenti di polizia di accedere a informazioni accuratamente calcolate che consentono  di monitorare in anticipo le attività criminali, prevedere la probabilità di incidenti.

Ma non solo: anche distribuire efficacemente le risorse e risolvere i casi più velocemente, ovvero ampliare il proprio campo d’azione in maniera più intelligente, assicurandosi che nessuno sforzo venga sprecato attraverso un uso migliore delle informazioni che vengono generate e memorizzate.

Le informazioni più affidabili consentono alle forze dell’ordine di migliorare le indagini, la pianificazione delle proprie risorse, la gestione dei casi, le operazioni e l’applicazione. Con questa intuizione, la prevenzione del crimine diventa una scienza.

I dubbi degli studiosi

Sarebbe tutto bello, se non fosse che recenti studi eseguiti al Darmouth College, hanno dimostrato come software ampiamente utilizzati potrebbero essere accurati nel predire comportamenti criminali tanto quanto persone senza alcuna esperienza in materia.

L’analisi ha mostrato che i non addetti ai lavori che hanno risposto a un sondaggio online, si sono comportati esattamente come il Crime Predicting Software COMPAS (Correctional Offender Management Profiling for Alternative Sanctions) utilizzato dai tribunali per aiutare a determinare il rischio di recidiva, sollevando il problema sulla effettiva utilità di questi strumenti.

Il documento di ricerca della Darmouth mette a confronto il software commerciale COMPAS e alcuni volontari individuati tramite il Marketplace online Amazon Mechanical Turk, per analizzare quale approccio è più accurato ed equo nel giudicare la possibilità di recidiva, intesa come l’atto di commettere un reato, anche minore, entro due anni dall’ultimo arresto di un imputato.

Uno studio mette in dubbio la loro efficacia: anche persone senza esperienza riescono ad azzeccare le previsioni

Ai gruppi di lavoratori sono state sottoposte brevi descrizioni circa il  sesso, l’età e la precedente storia criminale di un imputato.

I risultati umani sono stati quindi confrontati con i risultati del sistema COMPAS, che utilizza 137 identikit variabili per ciascun individuo.

Risultati dello studio: anche persone senza esperienza ci azzeccano

Con meno informazioni rispetto a quelle del COMPAS, 7 anziché 137, i risultati emersi sono risultati pressoché simili: 67% dei casi presentati al gruppo di lavoratori contro il 65, 2% del COMPAS. I partecipanti allo studio e il COMPAS erano d’accordo sul 69,2% dei 1000 imputati nel predire chi avrebbe ripetuto i crimini.

Lo studio dimostra addirittura che, sebbene il COMPAS si serva di oltre un centinaio di informazioni, lo stesso livello di accuratezza può essere ottenuto con due sole variabili: l’età dell’imputato e il numero di condanne precedenti.

Secondo lo studio, la questione della previsione accurata della recidiva non è limitata al COMPAS ma è stato rilevato che otto dei nove programmi software sottoposti ad ulteriori esami non sono riusciti a fare previsioni accurate, e le abilità di essere umani senza esperienza erano perlomeno pari a quelle dei software.

Infine, nonostante non sia tecnicamente rilevante, quando è stata presa in considerazione la razza, la ricerca ha scoperto che i risultati di entrambi gli intervistati umani e del software hanno mostrato notevoli disparità nel modo in cui vengono giudicati gli imputati in base al colore della pelle.

Malware Android ruba le credenziali di Uber

0
Dagli account rubati alle reti gestite dagli hacker russi, il mercato nero di Uber è diventato un punto fermo nel underground digitale. Solo un mese fa, utenti e autisti di Uber hanno appreso che la loro privacy poteva essere messa a rischio a causa della massiccia violazione dei loro dati. Ora, i ricercatori della Symantec hanno trovato un nuovo malware Android che tenta di rubare la password Uber, la password del telefono e i dati della carta di credito, prima di coprire le proprie tracce.
Il malware è una variante di FakeApp, un trojan Android che gli aggressori hanno utilizzato per visualizzare annunci pubblicitari e raccogliere informazioni da dispositivi compromessi dal 2012. Tuttavia, è stato aggiornato numerose volte e la versione scoperta di recente cerca di rubare le credenziali degli utenti tramite deep linking URL nella vera app di Uber.

Come funziona Fake App

Secondo questa ricerca, il malware Android fa sì che una falsa interfaccia utente Uber si apra ripetutamente sul dispositivo della vittima, occupando tutto lo schermo fino a quando l’utente non immette il proprio ID e password Uber. Come con molte altre campagne di phishing, non appena la vittima fornisce le proprie credenziali, il malware invia i dettagli al server remoto dell’hacker.
Secondo i ricercatori Symantec, il malware si diffonde attraverso download di app di terze parti. Fortunatamente, non ha toccato per ora molti utenti Uber. Tuttavia, si consiglia di fare attenzione e di non farsi ingannare.
Gli attacker potrebbero utilizzare in vario modo i dati rubati di account Uber. È probabile che gli aggressori tenteranno di sfruttare queste informazioni per guadagnarci, eseguendo truffe o tentando di venderle ad altri nei forum del dark web, dove i clienti acquistano i dati di accesso e poi semplicemente fanno le corse a spese della vittima. Nel 2015, truffatori vendevano migliaia di account rubati per $ 1 ciascuno, prima che il mercato diventasse saturo e il prezzo precipitasse a soli 40 centesimi per account. Molti di questi account sono stati probabilmente compromessi perché le vittime avevano utilizzato la stessa password su Uber su un sito Web già violato, il che significa che i truffatori potevano accedere all’account dell’utente.
Uber non ha rilasciato una dichiarazione in merito.

Meltdown e Spectre. Microsoft rilascia aggiornamenti per proteggere Surface

0

I due bug, soprannominati Meltdown e Spectre , influenzano quasi tutti i dispositivi realizzati negli ultimi 20 anni, inclusi i processori e processori AMD, ARM e Intel.

L’installazione della patch più recente è uno dei principali modi in cui gli utenti possono proteggersi da Meltdown e Spectre. L’ articolo di supporto sui nuovi aggiornamenti di Microsoft spiega che la società è anche a conoscenza di come le vulnerabilità potrebbero influire sui suoi servizi cloud e ha iniziato a proteggerli.

Per ora, non ci sono attacchi confermati sui clienti Microsoft che sfruttano le vulnerabilità. “Microsoft non ha ricevuto alcuna informazione per indicare che queste vulnerabilità sono state utilizzate per attaccare i clienti in questo momento”, afferma l’articolo.

I seguenti dispositivi Surface che utilizzano Windows 10 possono essere aggiornati con la nuova patch:

  • Surface Pro 3
  • Surface Pro 4
  • Libro di superficie
  • Surface Studio
  • Surface Pro Model 1796
  • Laptop di superficie
  • Surface Pro con LTE Advanced
  • Surface Book 2

Un portavoce di Microsoft ha confermato che gli aggiornamenti sono attualmente in corso di distribuzione e possono essere scaricati controllando il sistema di aggiornamento interno del dispositivo o visitando l’Area download Microsoft . La società sottolinea, tuttavia, di attendere gli aggiornamenti del firmware appropriati specificamente relativi a Meltdown e Spectre, in modo da non scaricare versioni precedenti.

Le password non serviranno più. Parola di Microsoft

0
Windows Hello, la tecnologia Microsoft per l’autenticazione degli utenti di Windows tramite il riconoscimento facciale, lanciato nel 2015 come parte di Windows 10, è utilizzato in modo predefinito per 125.000 dipendenti dell’azienda.
 
La maggior parte dei dipendenti Microsoft accede già ai propri computer utilizzando Windows Hello for Business anziché le password. Molto presto ci aspettiamo che tutti i nostri dipendenti saranno completamente liberi da password. – afferma Microsoft – Per diversi decenni, l’industria si è concentrata sulla protezione dei dispositivi […] ma non è sufficiente. Dovremmo anche concentrarci sulla protezione delle persone. Siamo in grado di migliorare la vostra esperienza e la sicurezza, consentendo voi diventate la password.

Qualunque cosa si pensi di Windows Hello o della biometria in generale, l’osservazione della casa di Redmond sembra corretta.

Le password sono state create per un mondo di dispositivi e sistemi, ora si sente la necessità di verificare l’identità di una persona in tempo reale utilizzando qualcosa di più sostanziale di una stringa di caratteri, un bisogno ogni giorno più pressante.

Non bisogna però dimenticare che l’autenticazione a più fattori (MFA) fa questo senza la necessità di abolire completamente le password, ma l’argomento contrario è che anche questo metodo è vulnerabile e complicato.

Meglio la rottura netta con il passato. Come dice Microsoft nel suo messaggio pubblicitario: “tu sei la password“.

Una cautela è che mentre i sistemi di identificazione facciale aboliscono le password – dati unici sperabilmente noti solo all’utente – non aboliscono il fatto che i dati privati e molto preziosi debbano essere tenuti al sicuro.

Nel caso di Hello, si tratta di dati biometrici, che devono essere memorizzati da qualche parte, Microsoft ha recentemente chiarito dovrebbe trovarsi all’interno di un chip TPM (Trusted Platform Module).

Riconoscimento Biometrico dell'impronta digitale

Cambiare una password compromessa è già abbastanza difficile, ma fare lo stesso per un volto smarrito, un dito o una traccia vocale potrebbe essere impossibile.

Né, ironia della sorte, Hello è stato immune dalle preoccupazioni per la sicurezza, come la recente ricerca che ha scoperto che il riconoscimento potrebbe essere bypassato da niente di più complicato che una fotografia a raggi infrarossi del titolare dell’account.

Ironia della sorte, la ricerca è servita a sottolineare quanto sarebbe difficile sconfiggere Hello in condizioni reali.

Ottenere una fotografia IR ad alta definizione di un titolare del conto non sarebbe banale, mentre alcuni dei punti deboli tecnici rivelati dall’attacco erano collegati all’immaturità dell’hardware della videocamera di cui Hello ha bisogno per il riconoscimento facciale.

Forse ciò che separerà gli utenti dalle password sarà un mosaico di sistemi biometrici (vedi Face ID di Apple come principale concorrente), di cui Hello sarà solo uno. Per quanta sicurezza aggiunga, non sarà necessariamente più semplice o meno costoso per gli utenti.

A qualcuno mancheranno le password quando alla fine spariranno? Sembra improbabile, ma in quel momento, probabilmente molto lontano, ci saranno molte persone che si sentiranno molto nostalgiche per il mondo più semplice in cui hanno vissuto.

Falla processori Intel. Tutte le patch. Le previsioni in esclusiva degli esperti

0

Si chiamano Meltdown e Spectre, e sono vulnerabilità che colpiscono i processori installati nei device di tutto il mondo, esposti al furto di dati.

Il terremoto nel settore della sicurezza hardware mondiale porta la comunità ad interrogarsi su cosa fare. In questo report vi forniremo le prime efficaci contromisure per proteggere i pc dall’attacco, tutte le patch correttive esistenti, e la verosimile evoluzione del pericolo nei prossimi anni, raccontata dagli esperti.

Falla nei processori Intel, AMD e Arm. La dinamica dell’attacco

Le vulnerabilità sono due. La prima si chiama Meltdown e coinvolge tutti i processori Intel, sono escluse le altre marche.

La seconda, quella che sembra più grave, si chiama Spectre, e coinvolge sia gli Intel che i processori AMD e ARM.

Quando utilizziamo i programmi sul pc, questi necessitano dell’esecuzione di una serie di calcoli. Il microprocessore, o CPU, è l’unità hardware dedicata a questo lavoro, e di norma, registra i dati relativi ai vari programmi eseguiti in singole porzioni o spazi che vengono separati fra di loro, per non fare confusione.

Tra una porzione e l’altra viene inserita una specie di “porta” che permette di distinguere una parte dall’altra.

Nel momento in cui viene richiesto di eseguire un grande numero di calcoli , i processori di nuova generazione hanno come obiettivo quello di massimizzare la velocità.

Per dare delle risposte il più rapide possibili, queste CPU non aspettano che gli vengano chieste delle informazioni precise ma iniziano ad analizzare le richieste precedenti e si mettono ad “indovinare” i dati che gli saranno domandati.

Meltdown e Spectre coinvolgono complessivamente le CPU Intel, AMD e ARM. Per miliardi di dispositivi in tutto il mondo

Questo meccanismo di previsione porta però le CPU ad ignorare i limiti, le porte che erano state stabilite tra una porzione di dati e l’altra, e questo li spinge a restituire informazioni che non dovrebbero rivelare.

In altre parole, è come se il processore, pur di fare velocemente il suo lavoro, inizi a ragionare di testa sua, ignori le “pareti divisorie” tra una porzione e l’altra, e vada a pescare informazioni senza controllare “se” era il caso di farlo.

Questa dinamica può portare al furto di tutte le informazioni all’interno dei programmi che abbiano una certa importanza come le password, altri tipi di dati sensibili e addirittura dati bancari.

Per chi desidera approfondire, esiste uno studio completo su Meltdown, e un altro su Spectre.

Falla nei processori: sapevano della vulnerabilità?

Tutto questo è stato scoperto in parte da ricercatori indipendenti (il Politecnico austriaco di Graz e la società tedesca di sicurezza informatica Cerberus ) e in parte dal programma di individuazione vulnerabilità Project Zero di Google.

Il problema è che tutto questo sarebbe stato comunicato già l’anno scorso in maniera discreta alla Intel.

E il fatto che il CEO di Intel Brian Krzanich, abbia venduto le sue azioni, passando dalle 495.743 che aveva al minimo obbligatorio di 250.000, in poco tempo, fa sorgere il sospetto che negli alti piani dei giganti dell’hardware ci si preparasse ad una cosa del genere.

I portavoce della Intel, spiegano che la vendita delle azioni era programmata già da un mese, ma il bug era noto da molto più tempo.

Falla nei processori Intel, AMD e ARM. Le patch complete

Per difendersi da queste vulnerabilità la reale soluzione è drammaticamente semplice:  bisogna riprogettare l’hardware dei microprocessori e distribuirli in tutto il mondo. Cosa che ovviamente richiederà un tempo decisamente lungo.

I vendor hanno già distribuito le prime patch. Forse rallentano un po’, ma la falla è troppo critica

Quello che si può ragionevolmente fare è attuare dei  Workaround, cioè delle soluzioni provvisorie che possono avere già degli ottimi effetti.

Il primo livello di intervento, quello possibile nell’immediato, è di agire sul sistema operativo.

Attraverso delle patch, possiamo ordinare al nostro sistema di non richiedere al nostro processore velocità a tutti i costi, evitando di esporci alla trappola.

Purtroppo questi aggiornamenti potrebbero rallentare le prestazioni del computer su percentuali che vanno dal 5% al 30% nei casi peggiori. Ma vi suggeriamo di installarle ugualmente, in quanto la vulnerabilità è veramente critica.

Di seguito presentiamo l’elenco per ogni piattaforma delle patch immediatamente applicabili.

Android

Per i dispositivi che girano su Android e sono realizzati direttamente da Google, l’aggiornamento dovrebbe essere scaricato e installato automaticamente. Per i dispositivi di altri produttori, il processo può essere un po’ più lento. Indipendentemente dal produttore del dispositivo, gli utenti dovrebbero verificare se l’aggiornamento è disponibile seguendo questi passaggi:

  • Apri l’app Impostazioni del dispositivo
  • In basso, tocca “Sistema“, quindi “Info sul telefono” o “Informazioni sul tablet“.
  • Scorri verso il basso fino a “Versione Android” e “Livello patch sicurezza Android“.
  • Assicurati che l’ultima patch sia aggiornata ad Android 2018-01-05.

Se così non fosse:

  • Apri l’app “Impostazioni del dispositivo“.
  • In basso, tocca “Sistema“, quindi “Aggiornamento del sistema“.

Se è disponibile un aggiornamento, scaricarlo e installarlo.

iOS

Per verificare la presenza di un aggiornamento iOS, effettuare le seguenti operazioni:

  • Apri l’app Impostazioni
  • Raggiungi il menu “Generale” e tocca “Aggiornamento software

Se è disponibile un aggiornamento, scaricarlo e installarlo

Windows

Microsoft ha rilasciato un aggiornamento per la sicurezza che contribuirà a mitigare la minaccia posta da Meltdown e Spectre. L’aggiornamento, disponibile per Windows 10, è identificato come KB4056892 (build OS 16299.192).

Le macchine con Windows 10 dovrebbero scaricare e installare automaticamente l’aggiornamento. Altrimenti l’aggiornamento può anche essere scaricato dal sito di aggiornamento di Microsoft.

Intel ha anche pubblicato uno strumento in grado di verificare il firmware di una pc. Lo strumento di rilevamento Intel-SA-00086 è disponibile per i computer che eseguono Windows 10, 8.1 e 7 e può determinare se un PC richiede un aggiornamento del firmware. Nel caso basta seguire le istruzioni per procedere all’update.

Mac OS

Gli utenti Mac che hanno seguito gli aggiornamenti di sicurezza dovrebbero essere già protetti da Spectre e Meltdown; Apple ha iniziato a mitigare l’attacco con il rilascio di MacOS High Sierra 10.13.2, reso disponibile per la prima volta il 6 dicembre 2017.

Per assicurarti che un Mac sia aggiornato, apri l’App Store e fai clic sulla scheda “Aggiornamenti“.

Se è disponibile un aggiornamento, dovrebbe apparire.

Scarica e installa l’aggiornamento e tieni conto che il processo potrebbe richiedere il riavvio della macchina.

La tabella seguente riunisce le patch per tutte le altre piattaforme

Clicca sul nome per leggere le informazioni Data
Amazon 4 gennaio 2018
AMD 4 gennaio 2018
Android 4 gennaio 2018
ARM 4 gennaio 2018
CentOS 4 gennaio 2018
Chromium 4 gennaio 2018
Citrix 4 gennaio 2018
F5 4 gennaio 2018
Google 4 gennaio 2018
Huawei 4 gennaio 2018
IBM 4 gennaio 2018
Intel 4 gennaio 2018
Lenovo 4 gennaio 2018
Linux 4 gennaio 2018
Microsoft Azure 4 gennaio 2018
Microsoft Windows 4 gennaio 2018
NVIDIA 4 gennaio 2018
OpenSuSE 4 gennaio 2018
Red Hat 4 gennaio 2018
SuSE 4 gennaio 2018
Trend Micro 4 gennaio 2018
VMware 4 gennaio 2018
Xen 4 gennaio 2018

Proteggere la navigazione internet: Chrome Site Isolation

La seconda linea di intervento riguarda la navigazione su internet.

Sono prevalentemente i javascript, dei codici largamente utilizzati sui siti, quelli che consentono di sfruttare l’attacco. E’ stato riscontrato che l’utilizzo del browser Google Chrome con il meccanismo di Site Isolation è un’ottima protezione.

Questo può aumentare il consumo di memoria dal 10 al 20%, ma il gioco vale la candela.

    • Aprite Google Chrome
    • Nella barra degli indirizzi digitate chrome://flags/#enable-site-per-process e premete Invio
    • Nell’opzione “Site Isolation” cliccate su “Abilita
    • Se non visualizzate l’opzione Site Isolation, aggiornate Chrome 
    • Riavviate il brower e abilitate Site Isolation

La terza soluzione, nel caso in cui si voglia comprare o scegliere di usare un computer nei prossimi mesi, è quello di orientarsi verso un Chromebook.

Secondo indicazioni precise di Google infatti, gli Intel Chrome OS con kernel 3.18 e 4.4 sono protetti con una tecnologia chiamata KPTI, che va a disinnescare il meccanismo.

Verificate che la versione di Chrome OS sia pari o superiore alla 63, distribuita a metà dicembre del 2017.

Falla nei processori di tutto il mondo. Cosa accadrà?

Quali possono essere le ripercussioni di una vulnerabilità tanto grave?

Corrado Giustozzi, esperto di sicurezza informatica di livello internazionale e membro del comitato direttivo del Clusit, spiega ad Alground che “le principali vittime saranno le grandi compagnie di Internet. Le Web Farm e il mondo Cloud.”

La soluzione definitiva sarà una riprogettazione dei microprocessori. Fino a quel momento intere categorie saranno a rischio

“Si tratta – spiega Giustozzi – di aziende che utilizzano processori ad altissime prestazioni e che sono particolarmente esposte sia perché nel loro caso l’attacco può funzionare molto bene sia perché contengono molte informazioni, ovvero i dati che gli utenti scambiano sul web e che passano inevitabilmente da loro, il che ingolosisce i pirati informatici”

C’è da aspettarsi nei prossimi anni, quindi, una serie di attacchi alle grandi compagnie come Microsoft, Google Drive, piuttosto che Azure o Amazon Cloud.

A mitigare il pericolo, la resilienza, ovvero la capacità di reazione a pericoli improvvisi, di queste piattaforme. Ed effettivamente Amazon, Google, e Microsoft Azure, hanno già applicato patch correttive.

Sono esenti dal pericolo i singoli utenti? “In linea generale – risponde Giustozzi – chi naviga con il proprio pc, e non compie operazioni pesanti, nonostante l’installazione delle patch, non dovrebbe avere particolari problemi, negli anni a venire”.

C’è solo una categoria di utenti “semplici” che potrebbe essere a rischio… e per sua stessa volontà: i videogamer. “Gli utenti finali più esposti al pericolo sono loro – spiega ad Alground, Stefano Zanero, del Politecnico di Milano – quelli che hanno bisogno di un altissima velocità della CPU e che, essendo nella parte tendenzialmente giovane della popolazione, hanno poca etica di sicurezza informatica.”

“Proprio loro – avverte Zanero – potrebbero addirittura evitare consapevolmente di installare le patch o disinstallarle per recuperare la velocità mancata, esponendosi ciecamente al rischio.”

Insomma, le previsioni sul futuro di Meltdown e Spectre, obbligano a rimanere all’erta. Non siamo alla fine del mondo, ma “purtroppo è stata scoperchiata non solo una singola vulnerabilità – conclude Zanero – ma un intero approccio allo sfruttamento dei bug hardware.”

“Mi aspetto attacchi nel corso dei prossimi tempi e le prime soluzioni definitive, quelle di riprogettazione hardware, saranno per forza rilasciate sul mercato solo nei prossimi tre o quattro anni, il ciclo di vita medio di un processore.”