Tirocinio di orientamento e formazione presso l'ufficio del Garante per la protezione dei dati personali

Non sono tanti soldi ma se il tirocinio è fatto bene .......

Il Garante per la protezione dei dati personali propone un periodo di tirocinio di orientamento e formazione della durata di sei mesi, non rinnovabile e non ripetibile, a giovani laureati in possesso del diploma di laurea in giurisprudenza, scienze politiche e scienze della comunicazione o equipollenti.
Gli aspiranti devono aver conseguito uno dei predetti titoli di laurea da non più di dodici mesi, con votazione non inferiore a 105/110 e non aver compiuto il ventottesimo anno di età alla data di scadenza del termine di presentazione della domanda.
Il presente avviso è rivolto a giovani laureati in possesso dei requisiti sopra menzionati.
Costituiscono titoli valutabili: 
a) la lode nella votazione di laurea; 
b) la discussione di tesi in materia di protezione dei dati personali o sui diritti della personalità; 
c) l'eventuale ammissione a corsi di specializzazione o di dottorato; 
d) le esperienze di studio, di ricerca o professionali nelle materie di interesse del Garante.
La Commissione di valutazione delle domande potrà, prima di procedere all'esame delle stesse, individuare ulteriori aspetti di cui tener conto.
Gli aspiranti ritenuti più meritevoli saranno convocati per un colloquio al fine di verificarne le attitudini e la disponibilità alla frequenza del tirocinio. A conclusione della selezione sarà formata una graduatoria che conserverà validità sino all'indizione di una nuova selezione.
Il tirocinio di orientamento e formazione sarà attivato sulla base di apposite convenzioni con università ai sensi delle "Linee guida in materia di tirocini", definite con l'Accordo tra Governo, Regioni e Province autonome di Trento e Bolzano in data 24 gennaio 2013, e della Deliberazione della Giunta regionale della Regione Lazio n. 199 del 18 luglio 2013, recante le disposizioni attuative del citato Accordo.
In conformità alla citata normativa, il requisito del conseguimento del titolo di laurea entro e non oltre dodici mesi dal suo conseguimento deve essere posseduto alla data di attivazione del tirocinio.
Il periodo di tirocinio è gratuito e non comporta l'instaurazione di un rapporto di lavoro subordinato. E' prevista un'indennità di euro 400,00 mensili lordi a fronte di una partecipazione minima al tirocinio del 70%, ridotta in misura proporzionale all'effettiva partecipazione, sempre su base mensile, qualora la stessa risulti inferiore al 70%.
Le domande, compilate secondo l'allegato schema, corredate da un dettagliato curriculum vitae et studiorum in formato europeo, dovranno essere inviate entro il 5 settembre 2014 al seguente indirizzo di posta elettronica certificata (PEC): risorseumane@pec.gpdp.it

TrueCrypt non è più sicuro

TrueCrypt non è più sicuro uno dei tool di sicurezza più popolari e sicuri cessa lo sviluppo ed anche sul sito ufficiale presenta in home messaggi di insicurezza. 

Gli sviluppatori hanno infatti comunicato che può contenere vulnerabilità non risolte, quindi non è sicuro.

Proprio cosi uno dei software per la cifratura di dischi e partizioni sembra on essere più tatno affidabile, sul sito della software house che lo ha sviluppato si legge che lo sviluppo del progetto è stato interrotto già da maggio come conseguenza della fine del supporto ufficiale a Windows XP.

Adesso a fronte dell'insicurezza del software si invitano utenti ad usare il tool BitLocker integrato da Microsoft nelle versioni successive di Windows (da Vista in poi).

Attenzione una versione "funzionante" di TrueCrypt è ancora disponibile per il download, ma si tratta di un software senza le funzionalità di cifratura e quindi utile a decifrare i dati già criptati per trasferirli altrove. 

Si aprono adesso discussioni sulla mossa della software house produttrice di TrueCrypt, accusata di speculare sulla veridicità delle attività.

L'improvvisa dichiarazione di malfunzionamento insieme con il messaggio che invita ad usare BitLocker di Microsoft suggeriscono tante idee su cosa sia successo compreso il fatto che si possa trattare di una trovata pubblicitaria.

TrueCrypt una cifratura sicura e Open Source

La sicurezza dei pc, ma dei sistemi in genere passa anche attraverso buoni programmi di cifratura, che combinato con antivirus e firewall rendono sempre più difficile carpire dati 

Lungi da noi consigliare un software piuttosto che un altro, noi ricordiamo consigliamo e ci battiamo per i metodi che devono essere sviluppati ed aggiornati alle esigenze, stavolta nell'ottica di "dare a Cesare quel che è di Cesare" vi aggiorniamo sui risultati dei test sviluppati da operatori del settore sul software TrueCrypt di cifratura.

Ad un primo esame, ve ne saranno altri in futuro, TrueCrypt è andato molto bene si è evidenziata qualche pecca (BUG) ma sembra nulla di serio e preoccupante.

Nello specifico Si sono evidenziate poco più di 10 vulnerabilità, ma nessuna di queste è risultata particolarmente critica per la messa in sicurezza dei dati.

Il progetto di verifica si compone di due parti, terminata questa partirà la fase di analisi della "ROBUSTEZZA" relativa alle tecnologie utilizzate per la crittografazione dei dati.

TrueCrypt e' un software free molto utile per gestire adeguatamente il grado di riservatezza del proprio lavoro, garantendo al tempo stesso una estrema facilita' d'uso. 

TrueCrypt e' un software che consente di creare e gestire un volume cifrato con algoritmi di cifratura forte.

La cifratura è "on the fly": I dati inseriti nel volume cifrato con il sw e' leggibile se si è In possesso della la password. Infatti fino a quando non viene inserita la password, il volume altro non è che un file contenente una serie di caratteri. 

Gli algoritmi di cifratura che si accompagnano al sw sono solidi e conosciuti, nello specifico stiamo parlando : AES, Blowfish, CAST, IDEA e Triple DES.

Il programma e' Open Source. Lo spazio disco richiesto e' di circa 1,5MB.

Lo dichiara Microsoft: World è vulnerabile.

Parte tutto dal codice sviluppato per i file RTF, è qui in fatto che è stata rilevata un bug attraverso il quale si possono fare non pochi danni.

Tanto ciò detto la società Microsoft ha pubblicato il Security Advisory 2953095 su una nuova vulnerabilità scoperta in Word, un bug non da poco visto che riesce a colpire anche da remoto quando si aprono questi file con estensione RTF "degradati".

In molti potrebbero pensare che questa vulnerabilità non è particolarmente dannosa in quanto si tratta di file il cui utilizzo è in forte decrescita nel tempo, ma occorre fare una riflessione molte volte si leggono mail con grazie all'apporto specifico dell'engine di word 2010.

Diamo a Cesare quel che è di Cesare per cui ringraziamo il "security team" di Google, che per primo ha individuato e reso pubblico questo Bug. Ma sempre nell'ottica di dare a Cesare quel che è di Cesare rileviamo con preoccupazione che anche stavolte, ed ormai troppo spesso, la casa madre di questi software Microsoft arriva dopo e solo dopo una denuncia specifica.

In tutto questo Microsoft, si limita a consigliare di applicare il fix in grado di disabilitare l'apertura dei file .RTF.

E mentre Microsoft studia adottiamo du e regole molto semplici

• Disabilitare l'apertura dei file RTF in Microsoft Word
• Leggere le email in formato testo normale.

Di seguito come gestire l'apertura dei file con outlook testo prelevato dalla pagina ufficiale microsoft per office

Lettura dei messaggi in formato testo normale

È possibile disattivare la formattazione, le immagini e i collegamenti per tutti i messaggi che vengono aperti in Microsoft Outlook 2013.

1. Fare clic sulla scheda File.
2. Fare clic su Opzioni.
3. Fare clic su Centro protezione e quindi su Impostazioni Centro protezione.
4. Fare clic su Sicurezza posta elettronica.
5. In Visualizzazione come testo normale selezionare la casella di controllo Visualizza tutti i messaggi standard in formato testo normale.

Per includere i messaggi con firma digitale, selezionare la casella di controllo Visualizza tutti i messaggi con firma digitale in formato testo normale.

 NOTA    Se si desidera visualizzare il messaggio di testo normale nel formato originale, fare clic sulla barra informazioni e scegliere Visualizza in formato HTML o Visualizza in formato RTF.

Per chi non ci credeva. Ancora su BitCoin

Ne avevamo scritto qualche giorno fa, ma sui social network si registrava ancora qualche incredulo.

A questo link un articolo interessante sulla chiusura di  Mt. Gox
http://www.ilfattoquotidiano.it/2014/02/25/bitcoin-big-del-settore-sparisce-dal-web-volatilizzati-oltre-350-milioni-di-dollari/894324/

MtGox, il maggiore sito di scambio delle monete digitali bitcoin, è stato chiuso dall'azienda che lo gestisce. 

La piattaforma è stata infatti soggetta a problemi tenici e ha interrotto tutti i prelievi dei clienti perchè ha intercettato “attività sospette”.

Come era facile immaginare la notizia circolata molto in fretta ha provocato un forte calo del valore dei bitcoin,anche perchè le transazioni effettuate con questo sistema non possono essere tracciate o annullate.

Italia e Cyber-Sicurezza. Linee guida

Da oggi chi vuole fare veramente sicurezza, e ancor di più se questo è un ente, dovrà per forza di cose leggersi e documentarsi rispetto ai documenti in materia pubblicati sulla gazzetta ufficiale n° 41 del 19 febbraio u.s..

L'Italia quindi si allinea finalmente all'Europa seguendo quest'ultima sulla linea che sta tracciando rispetto al problema della cyber-sicurezza, dove esistono già delle linee guide per la messa in sicurezza delle cosiddette infrastrutture critiche (energia e trasporti) e dall'obbligo per tutti i Paesi di istituire dei Computer Emergency Response Team (CERT) in grado di reagire tempestivamente ad eventuali attacchi informatici.

Nello specifico sono infatti stati pubblicati 

"il quadro strategico nazionale per la sicurezza dello spazio cibernetico"

e

"Piano nazionale per la protezione cibernetica e la sicurezza informatica"

Ambedue i documenti sono a firma del Comitato interministeriale per la sicurezza della Repubblica (CISTR) e rivolti a combattere le minacce informatiche.

Nel Quadro strategico si mira da un alto ad individuare i profili e le tendenze evolutive delle minacce, delle vulnerabilità dei sistemi e delle reti di interesse nazionale, e dall'altro si specificano i ruoli e compiti dei diversi soggetti pubblici e privati coinvolti e prescrivendo l'adozione di strumenti e procedure per intervenite efficacemente nella lotta alle minacce informatiche; 

il Piano Nazionale, elenca invece le priorità, individua gli obiettivi specifici e determina le linee d'azione sempre seguendo quanto riportato nel Quadro strategico.

Il quadro strategico si nota subito per la snellezza infatti lo scritto è composto di due capitoli e di due allegati uno dei quali è il glossario, abbiamo:

capitolo 1 "Profili e tendenze evolutive delle minacce e delle vulnerabilità dei sistemi e delle reti di interesse nazionale" dove molto spazio viene dedicato alla Minaccia e alla Vulnerabilità;

capitolo 2 "Strumenti e procedure per potenziare le capacità cibernetiche del paese" nel quale tra l'altro viene evidenziata la centralità della partnership Pubblico Privato (PPP);

Allegato 1" Ruoli e compiti dei soggetti pubblici" , dando il dovuto risalto a ruoli e compiti anche all'interno dell'Agenda Digitale.

Adobe altre Patch per altre falle alla sicurezza

Adobe non smette di stupirci e ormai più che un software sembra decisamente un software in balia delle onde. 

La società in poco tempo emette una nuova nota nel tentativo di chiudere i buchi che si aprono su questo software che dopo l'attacco estivo e sempre di più nell'occhio del ciclone.

La richiesta dell'azienda oggi è molto chiaro tutti gli utenti devono aggiornare Flash sui propri sistemi operativi.

Le vulnerabilità a cui si va incontro sono tre, almeno quelle identificate, ma soprattutto risultano molto pericolose perchè potrebbero sfruttare questi buchi per eseguire codice da remoto che potrebbe fare non pochi danni, per cui al momento vale solo la richiesta fatta dalla casa madre di Adobe di aggiornare Flash sui sistemi operativi.

per dare a Cesare quel che è di Cesare bisogna anche mettere in evidenza che la falla non è stata rilevata da Adobe come ci si aspetterebbe, ma dal laboratorio di kaspersky.

Naturalmente come ormai costume di Adobe non si hanno notizie certe sui danni che questa mancata sicurezza ha generato e ancor più grave non si sa cosa sta generando e cosa genererà per chi ignaro non procede all'aggiornamento.

Il flop della settimana. Register lascia a piedi in tanti, ma nessuno lo dichiara.

Cosa stia succedendo a register non è dato sapere, di certo tanti utenti che si sono appoggiati a loro per domini e posta in queste settimane hanno tribolato e non poco.

Register azienda che in sostanza vende spazio web associato ad un dominio e gestisce la posta per milioni di persone sta lasciando a piedi parecchi utenti.

Partiamo dall'inizio iniziano a moltiplicarsi le segnalazioni di poca professionalità da parte di register per il modo, ma sarebbe meglio dire per l'assenza totale con la quale, gestisce i propri clienti. 

Da Sabato ma forse anche nella giornata precedente chi aveva l'account di posta con register non ha ricevuto più nessun messaggio, e cosa ancor più grave non ha ricevuto nessuna segnalazione dall'azienda. 

I malcapitati utenti non ricevevano la posta e se usavano la web mail spesso non accedevano ma soprattutto quando accedevano non trovavano nessun messaggio ne nella casella di posta ne da parte di register che evidenziava qualche problema.

Solo accedendo all'area registrata e non quindi alla webmail si trovava un messaggio che farneticava di disservizi che sarebbero terminati entro la giornata.

Naturalmente la cosa era vera a metà  nel senso che i disservizi erano veri ma il tutto non si è risolto in giornata anzi sono  continuati.

Register ci delude anche sulla gestione dei domini web sia in termini di assistenza sia in termini di professionalità. 

Se dopo mille difficoltà per aprire un ticket riuscite ad inviarlo la risposta è standard non rispetta assolutamente il cliente si legge lontano un miglio che sono risposte standard e che non si degnano minimamente di guardare il problema.

Quello che ci domandiamo noi è,

ma queste aziende non dovrebbero essere certificate in qualità?

ma queste aziende non dovrebbero rispettare dei tempi per la risoluzione dei guasti?

ma queste aziende non dovrebbero rispettare dei termini contrattuali?

Insomma register non funziona ma anche chi doveva controllarli pensa solo a prendersi i soldi delle certificazioni.

E-waste

A dimostrazione che anche il settore di riferimento arriva sui vari target con ritardo, o meglio arriva quando l'argomento comincia a far crescere la richiesta e quindi l'economia che vi gira intorno da qualche giorno anche i giornali di specializzati parlano di E-Waste, argomento sul quale dibattiamo scriviamo e diamo consigli da quasi due anni.

http://punto-informatico.it/3964425/PI/News/e-waste-tempo-intervenire.aspx

A questo link un interessante articolo sul argomento.

La spazzatura informatica è un problema sicuramente ecologico ma rappresenta anche uno tra i primi anelli deboli della catena della sicurezza informatica.

al link che segue un articolo nostro sull'argomento già pubblicati quasi due anni fa sul sito dei consulenti ICT
http://www.alfredovisconti.it/index.php/en/pubblicati/gli-articoli/107-nuove-tecnologie/216-e-waste

buona lettura

Metodologia è sicurezza.

Era stata segnalata ed è stata pubblicata, la piccola guida sulla sicurezza informatica per tutti tecnici e non, vi sono un bel po' di regole molto semplici ma che più di un rapporto sulla sicurezza ha identificato come non rispettate.

Mettere in pratica alcune semplici regole può migliorare la sicurezza del computer e la vostra privacy fino ad un 50 % in più

I commenti sono graditi cosi da migliorare la prossima edizione.

Una guida metodologica leggibile e non solo per i tecnici.

http://www.alfredovisconti.it/index.php/pubblicati/gli-articoli/109-sicurezza-informatica

Google continua a perdere in sicurezza?

La domanda è lecita e sembra proprio che sia cosi.

Google infatti, in questo caso, ammette la sconfitta, il modello usato fino ad ora completamente aperto di Chrome non è del tutto sicuro, visto che è possibile postarvi anche estensioni che se pur con lo stesso nome rispetto alle originali, si rivelano in alcuni casi (e purtroppo non pochi) come codice malevole, con le conseguenze che tutti possiamo immaginare. 

E' questo quindi il motivo che ha portato Google a centralizzare e quindi nei piani a controllare la distribuzione di questo software. 

Da domani, data che potrebbe essere identificata con l'arrivo del nuovo anno, gli utenti che vorranno rilasciare software dovranno obbligatoriamente servirsi solo ed esclusivamente dei server del colosso Americano.

Nei piani di Google questo passaggio obbligato dovrebbe permettergli di verificare e ridurre la possibilità che sotto il bollino di google.

Morale della favola quindi non ci sarà più la possibilità di effettuare download liberi, in quanto l'unica fonte sarà il marketplace. 

E fin qui tutto a posto infondo lo fanno per la sicurezza, ma la vera novità sta nel fatto che chi vuole rilasciare software per il download dovrà pagare per l'ospitalità

ADOBE il danno nascosto è più grave del previsto. Molto più grave

Magra consolazione essere stati tra i primi ad informare gli utenti (almeno quelli che ci seguono) dell'attacco che aveva subito ADOBE. 

Quello che ci colpisce di più è che questa notizie si è cercato di tenerla nascosta senza darle troppo risalto ed invece era proprio come dicevamo noi non erano meno di tre milioni gli utenti che si sono visti rubati le proprie password ma come affermato dalla stessa casa l'attacco ha interessato oltre al codice sorgente oltre 38 MILIONI di utenti. 

Passiamo affermare che in pochi si sono salvati? diremmo proprio di si, anche perchè Adobe ha dovuto dichiarare che oltre alle password sono state prelevate anche i dati compresi quelli, cifrati, relativi alle carte di credito,e un numero imprecisato di dati relativi a utenti registrati a diversi servizi che fornisce la casa.

L'azienda attraverso il suo portavoce ha dichiarato suo malgrado che:

"Ad oggi le nostre indagini hanno confermato che gli attaccanti hanno ottenuto l'accesso agli ID Adobe e alle password cifrate  di circa 38 milioni di utenti attivi" 

Adesso sarebbe opportuno e questo lo può dire solo Adobe se ci sono state azioni malevoli condotte con questi account rubati.

E' importante sapere che a parte i numeri e le dichiarazioni rilasciate dalla casa, che in più di una occasione si sono dimostrati sbagliati e poco oggettivi, il vero numero sembra superare di molto i 100 milioni di utenti scoperti.

Come già detto in un articolo precedente questo attacco è particolarmente grave perchè potrebbe intaccare anche enti e aziende che tutto possono pensare tranne di essere bucati attraverso una trasformazione PDF.

Lavabit ha scelto la chiusura pur di non consegnare le chiavi di cifratura

Non ci interessa sapere se sotto questa decisione ci siano altre decisioni, ad esempio di marketing, a noi in questo caso interessa dare onere al merito a Lavabit il servizio di email private che ha scelto la chiusura pur di non consegnare le chiavi di cifratura.

Il tutto nasce dalla solita richiesta americana che in barba a qualsiasi principio di privacy aveva chiesto a Lavabit di avere i dati di un utente Lavabit che con ogni probabilità si identifica nella persona di Edward Snowden.

Nome riconducibile al ex tecnico della Central Intelligence Agency (CIA) e fino a giugno 2013 collaboratore della Booz Allen Hamilton che ha rivelato diverse informazioni su programmi di intelligence secretati, tra cui il programma di intercettazione telefonica tra Stati Uniti ed Unione Europea, per capirci colui il quale ha dato il via al DATAGATE che tanti danni di immagine sta procurando ai cowboy americani.

Levison pur di non rilasciare dati privati ha preferito interrompere le attività di Lavabit, si è spinto fino ad un'ostruzionismo intelligente consegnando la chiave privata in formato cartaceo, e quindi inutilizzabile secondo i geni dell'FBI.

Morale ad oggi pesa su lavabit, e per essa sul suo capo prima citato, l'accusa di inadempienza che potrebbe condurlo in carcere, oltre ad una sanzione che cresce di giorno in giorno secondo le leggi americane.

Capiamoci il governo americano con le sue leggi non poteva fare ciò e perciò ha considerato Lavabit come un tradizionale operatore di telecomunicazioni, che deve garantire l'intercettabilità su richiesta:
Lavabit fa notare come lo Stored Communications Act, su cui le autorità hanno fatto leva per ottenere la chiave SSL, consente di richiedere i dati relativi a delle comunicazioni: la chiave SSL non ha nulla a che vedere con i messaggi scambiati, ma è piuttosto uno strumento per decifrarli, per accedere a tutte le comunicazioni mediate dal servizio.Le richieste del governo, rappresenterebbero una chiara violazione del Quarto Emendamento della Costituzione degli Stati Uniti: per autorizzare una perquisizione deve esistere una motivazione ragionevole per ritenere che questa faccia emergere le prove di un reato.

Stiamo attenti qui il problema non è proteggere il singolo ma proteggere tutti gli utenti infatti consegnare la chiave SSL significherebbe offrire la possibilità di decifrare tutte le comunicazioni di tutti gli utenti di Lavabit.

Datagate all'italiana Ma sono gli americani a farsi prendere con le mani nella marmellata.

E' iniziato tutto perchè gli americani si sono fatti prendere con le mani nella marmellata, quindi adesso è logico pensare, ma ormai ne abbiamo la "sicurezza" se intercettano la Francia perchè dovrebbe salvarsi l'Italia?

Sia ben chiaro questo non è un vero e proprio problema di sicurezza informatica ma soprattutto di poca attenzione alla riservatezza delle comunicazioni, falla nella quale evidentemente i "cowboy" si sono subito infiltrati e noi abbiamo fatto la fine degli indiani.

In Italia si preoccupano che la riservatezza dei cittadini non sia stata violata, ma penso che le intercettazioni non siano state mirate ad ascoltare conversazioni private tra due amanti, mentre sembra molto plausibile che questa attività fosse diretta ad ascoltare e carpire in anticipo le linee politiche del nostro governo.

A nostro modo di vedere questo datagate è anche il risultato della crescente riduzione dei controlli sulla privacy dove il governo non fa altro che diminuire le sanzioni se non toglierle in alcuni casi, quindi meno controlli meno sicurezza più porte d'ingresso aperte per verificare i fatti altrui.

Poco importano le rassicurazioni di Obama che dichiara che gli Stati Uniti «non tengono sotto controllo e non terranno sotto controllo» le comunicazioni degli alleati.

E' chiaro ormai che se anche alleati per gli americani siamo da controllare, del resto egli ultimi due anni non è la prima volta che lo fanno.

Questo problema dovrebbe aprire gli occhi sulla dismissione telecom e l'ingresso di Telefonica nell'asset societario.

Occorre intervenire subito per far capire che sulle comunicazioni vi sono alcuni asset che non si toccano.

(in)sicurezza informatica

L'incremento nell'uso del computer ha portato con se una diversa concezione di sicurezza informatica.

Se poi si pensa che l'utilizzo delle risorse (dati) ha cambiato il proprio modo di interagire con gli utenti, basti pensare che ancora dieci anni fa i dati, sensibili e consistenti, erano gestiti in “comunità”, ristrette mentre oggi piattaforme tipo Home banking pubblicano su internet dati di rilievo, si nota subito che la sicurezza informatica cambia con una velocità a volte tale che l'utente non riesce a proteggersi in maniera adeguata.

Ad oggi il “come” e il “ quando” viene attivato un attacco informatico non può essere conosciuto se non dopo che lo stesso si è verificato, a prescindere dal risultato.

Chi si occupa di sicurezza informatica ritiene che le tecnologie a supporto abbiano uno sviluppo troppo lento rispetto alle nuove possibilità di attacco.

Il perché di questa situazione, a torto o a ragione, risiede nel costo dello sviluppo della sicurezza, che ancora oggi viene percepito dalle aziende come un costo troppo elevato rispetto al potenziale rischio, ecco perché la cultura del mercato oggi è ancora basata sull'ipotesi che ogni sistema è perfetto, per cui si affronta la sicurezza solo come conseguenza del danno.

Purtroppo con ancora maggiore lentezza, si muovono i sistemi legislativi nel dettare la pena per il reato informatico, basti pensare che in termini legislativo la proprietà elettronica come la proprietà intellettuale non è ancora chiara.

Il primo passo per una corretta gestione preventiva dei sistemi informativi è mettere nel giusto ordine i termini e gli scopi delle attività di sicurezza.

Questo esercizio comporta anche una rivisitazione culturale del problema insieme con la sua accettazione.

E' errato, o quantomeno, non totalmente corretto, pensare e poi dichiarare la “protezione del proprio sistema informativo”, mentre sarebbe corretto dichiarare che “il proprio sistema informativo garantisce i dati ivi conservati e non ne permette il prelievo l'uso o la manipolazione fraudolente, se non a persone che hanno il diritto di accedere a quel dato”.

Per meglio comprendere questa affermazione basti pensare al sistema informatico di una banca. L'istituto anche a scopo pubblicitario definisce il proprio sistema inviolabile lo garantisce e ne effettua lanci pubblicitari i cui costi non sono irrisori. Nessuno però riflette che quel sistema è solo una parte del contenitore dei dati, quasi la totalità dei dati che permettono l'ingresso sono fuori controllo e senza sicurezza opportuna. Infatti ad esempio le credenziali al sistema di accesso (ma potremmo dire gli estratti conti, i numeri degli assegni i dati delle persone che hanno versato sul vostro conto e se ne potrebbero dire tanti altri) sono almeno su due computer fuori dal controllo bancario, stiamo parlando del pc di casa e di quello dell'ufficio, ma possono anche essere sul notebook e sullo smartphone, soprattutto sono sulla posta elettronica personale. Come si può notare abbiamo citato quattro computer facilmente penetrabili ed un sistema quello della posta sempre disponibile.

Si potrebbe obiettare che cosi niente è sicuro e si sta usando la demagogia per banalizzare il problema, vi faccio però osservare che non è necessario sviluppare grandi sistemi per penetrare la sicurezza, quando il sistema stesso mette a disposizione strade più forti ed economiche.

Quanto detto sin ora trova valore aggiunto se si mettono a confronto alcuni sondaggi effettuati sulla sicurezza.

Un primo sondaggio del 2001 sviluppato interamente attraverso interviste a personale specifico sulla sicurezza informatica rilevava che tra i metodi più diffusi per gli attacchi informatici avevamo:

• 27% attraverso applicazioni non ancora conosciute nel mondo informatico, per capirci tutti quei software che riescono ad attaccare i sistemi fin quando la sicurezza non prende coscienza dell'esistenza di tale sw e trova le giuste contromosse;
• 22% attraverso software di previsione delle password
• 17% attraverso l'uso non corretto dell'account per l'ingresso
• il resto della percentuale si spalma tra vari sistemi conosciuti o meno che definiremo di guerriglia comune.

Possiamo notare che tra queste percentuali fatta eccezione per la prima ben il 39% delle “vulnerabilità” sono da addebitarsi alla risorsa umana e non alla bravura di chi in modo malevolo tenta di accedere sui sistemi.

Le prime ammissioni di ADOBE.

Adesso viene da chiedersi, il problema è più serio del previsto o questa è una azione di marketing tardiva e necessaria?

In tutti e due i casi abbiamo molta paura, anche perchè secondo noi al fatto che questo attacco sia gravissimo si aggiunge un'azione di marketing di basso livello che doveva essere fatto due mesi fa al momento dell'attacco e non oggi.

Leggiamo insieme la mail che Adobe sta mandando ai suoi clienti, in grassetto trovate il testo della mail nel carattere normale e puntato il nostro dubbio

Oggetto: informazioni importanti sul ripristino della password

• Da notare che nell'oggetto non c'è nessun riferimento all'attacco, si vuole far passare quest richiesta come una normale attività di sicurezza, cosa che non è visto che chiedono il cambio password.

Di recente abbiamo rilevato che un aggressore si è introdotto illegalmente nella nostra rete e potrebbe aver ottenuto l'accesso al suo ID Adobe e alla sua password codificata. Attualmente non abbiamo riscontrato cenni di attività non autorizzate sul suo account.

• Avrebbero notato che qualcuno si è introdotto illegalmente, ma come fanno a sapere se ci sono attività non autorizzate su un determinato account? Io stesso a settembre ho fatto delle operazioni con Adobe attraverso il mio account, come fanno a sapere che sono stato io e non altri. 

Per impedire l'accesso non autorizzato al suo account abbiamo ripristinato la sua password e la preghiamo di visitare il sito www.adobe.com/go/passwordreset_it per crearne una nuova. Le consigliamo anche di modificare la password personale su tutti i siti web in cui usa nome utente o password analoghi. Inoltre, la invitiamo a prestare attenzione a messaggi e-mail sospetti o scam telefonici in cui vengono richieste informazioni personali.

• I dubbi sulla potenza dell'attacco ci vene proprio dalla seconda parte di questo testo. Infatti ci consigliano di cambiare la password anche su siti a loro non conosciuti dove siamo registrati. Inoltre siamo noi che dobbiamo prestare attenzione alle mail o alle telefonate che arrivano a loro nome, non era meglio se avessero comunicato che per un lasso di tempo la società non inviava comunicazioni ma erano valide solo le dichiarazioni postate sul loro sito. 

Deploriamo profondamente gli eventuali disagi causati. Apprezziamo la fiducia dei nostri clienti e continueremo a lavorare assiduamente per impedire questo genere di eventi in futuro. In caso di domande, può reperire ulteriori informazioni nella pagina dedicata agli avvisi ai clienti, disponibile qui.

• Su quest'ultima frase non ci esprimiamo perchè queste righe e questa chiusura ci fanno solo capire che in Adobe non si sono nemmeno preoccupati di far tradurre il messaggio arrivato dalla casa madre con attenzione.

Sembra risolto il grave problema di GOOGLE Talk

Sembra finalmente risolto il problema che ha visto coinvolto negli ultimi giorni il colosso americano che negli ultimi giorni a recapitato in modo del tutto random i messaggi inviati con l'applicazione google talk. 

Gli utenti da subito hanno riempito di segnalazioni che di dovere ma la problematica sembra essere continuata per due giorni prima di trovare una soluzione definitiva, forse bastava inibire le funzionalità del prodotto fino alla completa rimozione del bug.

Poco importa che questa problematica, a dire di google, abbia interessato solo gli utenti che non avevano effettuato l'upgrade a Hangouts, a noi sembra che abbia interessato un pò tutti quelli che usano i servizi di messaggistica istantanea della Grande G.

Quindi anche in questo caso privacy violata a tante persone e per di più ignare che adesso sperano che i loro messaggi siano stati cancellati da chi li ha ricevuti e soprattutto sperano che gli stessi messaggi non vengano utilizzati per secondo scopi.

Al momento si sa solo che il problema è stato rimosso ma i tecnici stanno ancora cercando di comprendere il fattore scatenante di tale problematica, e questo ci preoccupa non poco e ci costringe a consigliarvi di astenervi dall'utilizzo di questa chat per qualche giorno ancora.

A dimostrare che per il colosso G non è un buon periodo vi segnaliamo anche che anche Gmail, tra il 23 e il 24 settembre, ha registrato  errori e ritardi nello scambio  della posta.

Insomma negli ultimi giorni Google sta passando molto tempo a scusarsi.

 

Nuova release firefox: Poche novità funzionali, tanta sicurezza e guerra a Java.

Registriamo un rallentamento sula release di firefox per windows 8, ed intanto ci prendiamo questo aggiornamento con il quale il browser Firefox arriva alla release numero 24.

Su questo aggiornamento registriamo che tanto è stato dedicato alla sicurezza e, cosa molto importante visto i movimenti di mercato degli ultimi anni, sono stati aggiornati i supporti relativi ai nuovi protocolli sui gadget mobile basati su sistema operativo Google Android.

Segnaliamo che in questa direzione è stata aggiornata anche la versione mobile di Firefox 24, dove segnaliamo con piacere una nuova modalità di lettura notturna, un nuovo elemento per condividere contenuti online, il supporto alla condivisione su NFC che sta prendendo sempre più piede, al protocollo WebRTC.

In questa nuova versione sono stati anche inseriti 17 fix per altrettanti bug, censiti dal browser con diversi livelli di pericolosità che vanno da Critico a Moderato.

Arrivando invece a voler vedere ad occhio le nuove modifiche vi segnaliamo una nuova opzione nel menu delle schede per chiudere tutte le tab presenti alla destra di quella selezionata

Insomma tanta sicurezza e questo ci fa piacere unità a qualche bella e necessaria funzionalità, insomma un upgrade da scaricare ed installare.

0-day Microsoft sulle spine insieme agli utilizzatori del browser

Nel report security advisory 2887505 Microsoft ha ufficializzato la notizia relativa ad una pericolosa vulnerabilità in "tutte le versioni supportate" di Internet Explorer, un baco molto pericoloso perchè potrebbe portare all'esecuzione di codice da remoto, e da qui è facile immaginare le conseguenze.

Prendendo la definizione da wikipedia "In informatica si definisce 0-day qualsiasi vulnerabilità non nota e, per estensione, indica un tipo di attacco informatico che inizia nel "giorno zero", cioè nel momento in cui viene scoperta una falla di sicurezza in un sistema informatico. Questo tipo di attacco può mietere molte vittime proprio perché è lanciato quando ancora non è stata distribuita alcuna patch, e quindi i sistemi non sono ancora protetti.

Normalmente si parla di 0-day (o zero-day) riferendosi ad essi come attività espressamente dolose compiute da cracker che si adoperano per trovarle proprio con l'intenzione di guadagnarsi un accesso abusivo ad un sistema informatico vulnerabile."

E purtroppo icrosoft ha classificato questo attacco con una 0-Day la cui azione è ancor più forte per chi usa internet explorer 8 o 9.

Intanto Microsoft che dichiara che sta ancora lavorando alla rimozione definitiva del baco ha rilasciato una patch provvisoria. In sostanza il baco e quindi i suoi danni si attivano nel momento in cui si cerca di accedere ad oggetti in memoria che invece sono stati cancellati, é in questo preciso momento infatti che senza volerlo si può dare origine ad una corruzione di memoria attraverso la quale viene eseguito il software malevolo sulla macchina.

ALPITOUR Telenovella sconcertante e spiacevole ai danni dell'utente.

La società di viaggi italiana invece di contattare i propri clienti e scusarsi, cosa che rappresenterebbe il minimo sindacali della professionalità, ha dichiarato che nessun dato personale dei clienti è stato sottratto, il tutto sarebbe circoscritto alla pagina Facebook dell'azienda.

"Quello che è successo cliccando sui link postati in quei giorni non siamo in grado di dirlo con certezza".

Data questa dichiarazione siamo contenti che Alpitour organizzi viaggi e non sicurezza informatica,per un semplice motivo, vi facciamo infatti notare che dichiarano:

nessun dato sottratto 

ma poi dichiara 

cosa sia successo cliccando sulle foto non lo sappiamo.

Adesso Alpitorur dovrebbe spiegarci come possono dire che i dati sono salvi se non hanno capito cosa è successo?

Il problema è che i siti nascosti nelle foto pubblicate erano contenevano sw malware e codici exploit in grado di sfruttare alcune vulnerabilità dei browsers e che quindi essendo stati inventati per uno scopo preciso sono in grado di installare sul sistema dei malcapitati  (i clienti che si fidavano di Alpitour) software malevoli capaci di sottrarre dati personali, credenziali d'accesso,  numeri di carte di credito numeri di conti correnti e quant'altro detenuto nei dati.