E’ notizia di ieri che il Governo (tra le poche cose buone che ha fatto fino ad ora, ndr) ha abolito l’articolo 7 del decreto Pisanu sulla sicurezza (terrorismo??) che impedivano l’accesso alle reti WiFi pubbliche senza essere prima identificati.
Per molti, e a ragione, questo decreto è stato un vero proprio cappio allo sviluppo delle reti WiFi pubbliche negli ultimi 5 anni. Per cui la notizia di apertura, attesa e spinta da molti, non può che essere accolta con molta felicità e ottimismo. Anche da me, ribadisco.
Appoggiata un attimo la bottiglia di spumante (in attesa di riprenderla per capodanno) permettetemi però di fare alcune riflessioni sulla sicurezza.
Forse sarò un pochino fissato (ma credetemi, c’è chi lo è più di me), e non a caso uno dei miei primi articoli su questo blog fu “Le reti wireless sono insicure: come e perché proteggersi“, in cui facevo una carrellata sulla sicurezza delle reti wifi, le problematiche legali e la sicurezza dei protocolli WEP e WPA.
mi autoquoto un pezzetto:
Molti tendono a minimizzare il problema, pensando che nessuno dei vicini di casa andrà mai a collegarsi con la propria rete. Niente di più sbagliato! Ormai tutti i portatili in commercio hanno la scheda wireless integrata. Basta attivarla e (Windows <_<) rileva le reti aperte disponibili e addirittura tenta di connettersi alla prima che trova, in modo spesso del tutto trasparente all’utente! Chi abita in città, in mezzo a palazzi e condomini sa bene quanto non sia raro rilevare 4-5 reti wireless intorno a se…
Ok, direte voi, che mi importa? Al massimo il vicino naviga a mie spese in qualche sito, che succederà mai !? – Questo in effetti oltre ad essere il caso migliore, è anche il caso più frequente. Solitamente il vicino non è un malintenzionato… ma vi fidate ciecamente di tutti quelli che vi abitano (o che passano) attorno ? Altro piccolo inconveniente: il vicino smanettone si collega alla vostra rete e con un programma p2p occupa la maggior parte della vostra banda. Siete contenti? Non credo.
Ma pensate al caso peggiore: il vicino che credevate tanto innoquo in realtà è un delinquente che approfitta della vostra rete per compiere illeciti. Le forze dell’ordine verranno a cercare VOI a casa, perchè l’ip con il qualche il vicino ha navigato è il vostro. E voi non avrete nessuna prova (o comunque saranno discutibili) che non siete stati voi.
Secondo me non vale la pena di rischiare.
Applicate questo discorso alle reti wifi completamente aperte e capirete che non c’è più bisogno di un bimbominkia qualunque che fa il lamer decrittando una WEP (veramente alla portata di tutti, vista la debolezza intrinseca del protocollo e la grande quantità di utility che si trovano per farlo in 10 minuti) né hacker più smaliziati che si mettono a provare attacchi bruteforce o da dizionario su handshake WPA (e con molto tempo libero a disposizione, se la password è > 10 caratteri).
Senza considerare poi il fatto che i dati sulle reti wifi aperte viaggiano assolutamente in chiaro. Questo vuol dire che chiunque connesso alla stessa rete con un programmino di scansione può intercettare semplicemente il vostro traffico (qualora non usi sicurezze come HTTPS, SSL, VPN, IPSEC) e leggere le vostre conversazioni, email, o addirittura fingervi voi stessi.
Avete sentito parlare di Firesheep? Una comoda estensione per Firefox uscita alla ribalta un paio di mesi fa che fa una cosa semplicissima: permette di entrare negli account Facebook, Twitter, Foursquare (e molti altri) delle persone connesse contemporaneamente alla vostra rete wifi aperta. Come fa? Sfruttando proprio il fatto che, esclusa l’autenticazione iniziale https, la conseguente sessione viaggia in http normale, scambiandosi (in chiaro) cookie di sessione.
Firesheep intercetta questo cookie e si finge voi stessi, permettendo di scrivere nei vostri account senza che voi ve ne accorgiate.
L’ho testato personalmente e funziona esattamente come promesso. E non bisogna essere hacker.
Il WiFi aperto è sicuramente una gran cosa per gli hot-spot in luogo pubblico, favorendo la connettività dei dispositivi, ma è bene pensare per bene a cosa si va potenzialmente incontro.
Edit: vi linko questo interessante articolo di Ars Technica: “How to stay safe at a public wi-fi hotspot“
Il GPS
Tutti ormai hanno familiarità col GPS (Global Positioning System), sistema creato inizialmente nell’ambito militare USA, che sfrutta una costellazione di satelliti per calcolare la propria posizione in un qualsiasi punto del globo con un’accuratezza di pochi metri.
Il principio del GPS è abbastanza semplice: attraverso i segnali ricevuti dai satelliti in orbita (almeno 4) il
schema di funzionamento del GPS
terminale riesce a calcolare la propria posizione conoscendo il tempo di volo del segnali, la mappa dei satelliti e la loro sincronizzazione temporale. Da quando il suo utilizzo è stato liberalizzato per usi civili e commerciali, il suo successo è stato esponenziale, dai navigatori sui veicoli alle più recenti implementazioni sugli smartphones avanzati.
L’utilizzo del GPS in mobilità ha aperto nuovi interessanti scenari non solo per la navigazione cartografica, ma anche per tutti quei servizi che possono sfruttare l’informazione sulla localizzazione dell’utente per fornire un servizio personalizzato di informazioni, meteo, traffico ecc, senza dimenticare i risvolti social di Twitter e Foursquare.
Il GPS però presenta molti problemi se utilizzato in ambienti chiusi oppure in città, tra gli edifici. Per questo sono state pensate alcune soluzioni alternative: una di queste è l’utilizzo delle segnale GSM o UMTS ricevuto dalle celle circostanti: ogni antenna trasmette infatti informazioni sulla propria posizione geografica, ma l’accuratezza di questo tipo di localizzazione è evidentemente pari alla grandezza della cella, per cui può anche essere di alcuni Km in zone rurali.
Il WPS
Un altro sistema che è venuto fuori negli ultimi tempi è quello che sfrutta la presenza di access point WiFi sparsi nel territorio: conoscendo l’esatta ubicazione degli access point ricevuti dal proprio terminale, è possibile determinare la posizione con un’accuratezza di poche decine di metri. Questo sistema è chiamato anche WPS (Wireless Positioning System).
Dato che non c’è un modo intrinseco di ricavare la localizzazione dagli access point, è necessario avere un database in cui sono associati ai MAC address degli AP con le rispettive location.
Probabilmente avrete di recente sentito parlare di alcune questioni dovute alle macchine di Google che, percorrendo le strade per registre le immagini impiegate in Street View, raccolgono contemporaneamente le informazioni degli access point ricevuti, mappandoli. Qualcuno si è chiesto che tipo di dati venissero “sniffati” e salvati da Google (a cui in teoria serve solo il MAC address), soprattutto se la rete in questione è aperta, senza alcuna protezione.
Fermo restando che secondo me chiunque lasci aperta la propria rete wireless è un incosciente, perché è come lamentarsi se i ladri rubano in casa dopo aver lasciato porte e finestre spalancate, Google, dopo aver dichiarato che non viene raccolto alcun dato per scopi diversi alla localizzazione, pare abbia acconsentito a far visionare i propri dati e promesso di cancellare tutti quelli captati “per sbaglio”.
Google possiede appunto uno di questi database wps, ma non è l’unica.
Skyhook
Un altro servizio molto importante e diffuso è quello Skyhook Wireless, azienda americana fondata nel 2003 per rispondere alla crescente domanda di servizi location-based.
Skyhook è stata la prima a creare un sistema diffuso di raccolta dei dati ed un database su scala mondiale.
Pubblico qui sul blog un elaborato fatto per il corso di Sistemi Telematici, dal titolo in oggetto.
Spero che la mia analisi possa essere utile anche per qualcun altro 😉
Introduzione
Scenario di Identità Federata nelle PA
Scenario di Identità Federata nelle PA
Che cosa è l’identità?
Generalmente è Cosa sei? Cosa ti piace?.
In una visione allargata l’identità è anche la reputazione: Cosa dico su di me? Cosa dicono gli altri su di me?
Nel mondo reale l’identità può venire accertata in modo diretto o verbale solo se conosciamo (o ci fidiamo) dell’interlocutore.
Altrimenti il metodo più utilizzato è l’utilizzo di carte identificative, rilasciate da un’autorità terza (e di solito certificata e ritenuta affidabile dalle parti), contenente i principali dati e la foto.
Ma come avviene lo scambio di identità sul web ? Il problema di fondo è che Internet ed i browser non sono stati pensati per identificare univocamente gli utenti.
Quando facciamo l’accesso ad un sito immettendo username e password, in realtà non stiamo accertando che siamo fisicamente noi, ma che “qualcuno” in possesso di quelle credenziali sta lavorando o immettendo dati. E’ analogo ad una chiave di casa: chiunque in possesso della chiave giusta può entrare, anche se non autorizzato.
Una identità digitale di questo tipo è semplicemente quello che il sito web conosce su di te.
Ciascuno di noi può avere più identità, dipendenti dal contesto. Così come nella vita reale possiamo avere un passaporto, una patente di guida, una tessera universitaria, una carta di credito che, pur appartenendo alla medesima persona, abilitano differenti funzioni nei rispettivi contesti, così nel mondo digitalizzato abbiamo una fragmentazione dell’identità. Il problema è che non c’è un modo semplice, affidabile e sicuro per gestire questo complesso portafoglio di identità digitali.
Il quadro che si sta delineando è dunque la presenza di una propria identità digitale frammentata e dispersa per la rete e questo si traduce non solo in un moltiplicarsi di password, account e profili ma anche di un importante rischio per la propria privacy, dato che è spesso improbabile, se non impossibile, tener traccia di tutti i propri dati e aver la possibilità di gestirli, aggiornarli, modificarli o semplicemente cancellarli.
Dato che saranno sempre necessari tanti e diversi tipi di identità, l’idea di una identità unica, centralizzata e gestita da un solo sistema è sicuramente da scartare.
Il problema dell’identità non si limita a quella dei servizi Internet. Con la crescente diffusione dell’e-Government, la necessità di soluzioni sicure ed affidabili per la gestione delle identità dei cittadini si è fatta molto più stringente. Anche nell’ambiente della Pubblica Amministrazione ci troviamo di fronte ad una identità (del cittadino) frammentata e dispersa in molteplici banche dati. La soluzione ideale è un framework che sia trasparente all’utente finale, ma che abiliti nel back-office tutta una serie di procedure finalizzate a collegare in modo sicuro i vari frammenti dell’identità del cittadino.
In questo elaborato saranno analizzati i possibili soggetti fiduciari per la gestione di identità, sia per i privati che per le pubbliche amministrazioni, focalizzando l’attenzione soprattutto sulla gestione di identità federata.
Concluderò con un confronto tra le varie soluzioni analizzate.
Probabilmente saprete già tutti di cosa parlo: per chi avesse vissuto le ultime settimane su un altro pianeta o non avesse seguito alcuna partita dei mondiali, per vuvuzelas intendo quelle FASTIODIOSISSIME trombette che gli africani suonano incessantemente dall’inizio alla fine in ogni partita.
Oltre ad imprecare in ogni lingua africana, perché già dopo 5 minuti non si sopportano più, mi sono chiesto (per la serie “Siccome sono un Ingegnere…”) se esistesse un modo per filtrare dalla telecronaca il suono di quelle trombette, lasciando inalterato tutto il resto. Beh è bastata qualche ricerca su Google e un paio di prove per rendersi conto che c’era chi ci aveva già pensato prima di me !
Mr. Google ne ha tirata fuori un’altra delle sue… Google Buzz !!!
Ehm, non intendevo proprio lui… 🙂
Finalmente, dopo un anno e mezzo (luglio 2008) circa da quando avvistai la Google Car per le vie del Casentino, le immagini panoramiche a 360° della nostra vallata sono state pubblicate !
Sono disponibili i maggiori paesi casentinesi e le strade principali, anche se ancora rimangono diversi “buchi”.
Possiamo quindi fare un salto a Castel San Niccolò, Stia, Pratovecchio, Poppi, Bibbiena, Montemignaio, Castel Focognano, Chitignano, Talla, e la maggior parte delle loro frazioni !
Se siete “fortunati” troverete anche casa vostra, la vostra macchina o forse pure voi stessi.
Suggeritemi le situazioni più divertenti, strane e curiose che trovate, provvederò ad inserirle qui aggiornando il post.
– la Google Car ha avuto la sfiga (conosciuta da molti casentinesi) di iniziare la Consuma dietro la Sita! Chissà che accidenti ! 😀 Per fortuna dopo un po’, ecco il sorpasso !
(News e commenti sul Casentino: Casentinesi.it)
Chi ha provato Safari 4 su Mac sa quanto sia estremamente veloce sia nel caricamento che nel rendering delle pagine. La versione a 64bit introdotta con Snow Leopard ha ulteriormente incrementato le prestazioni.
Ci sono due cose che molti Firefox users rimpiangono in Safari: la mancanza di plugin ed estensioni. Una di quelle più usate è sicuramente Adblock, che permette di rimuovere le pubblicità dalle pagine web, velocizzandone il caricamento.
Forse non tutti sanno che fino alla versione 3 di Safari esistevano dei plugin analoghi che funzionavo egregiamente. Posso citarvi SafariBlock e Safari AdBlock. Purtroppo la nuova versione del browser della mela ha introdotto diverse modifiche e ha reso non funzionanti questi plugin (per adesso).
In questi giorni sono però riuscito a scovare un’applicazione che risolve il problema: una specie di proxy che filtra le immagini ed i siti presenti nella sua lista (che si aggiorna da sola). Il risultato è quello che ci aspettiamo: pagine pulite e prive di pubblicità.
Il programma in questione è GlimmerBlocker.
una volta installato il package, apparirà un nuovo pannello nelle preferenze di sistema, attraverso il quale gestire tutte le impostazioni, attivare o personalizzare i filtri e via dicendo.
Testato con Safari 4.0.3 e Mac OS X 10.6.1 “Snow Leopard”
Altro problema che affligge i MacUsers è il plugin Flash, scritto e ottimizzato così male che stressa continuamente le nostre CPU e fa partire le ventole dei nostri MacBook a tutta velocità.
In attesa che Adobe rilasci un plugin decente (ma quando mai!?) è possibile disabilitare l’autocaricamento dei filmati flash all’interno delle pagine, che partiranno solamente al nostro comando.
Il programma che fa al caso nostro è ClickToFlash .
Al posto della finestrella del filmato, ci apparirà un gradiente grigio. Solo dopo averci cliccato sopra, il filmato (ed il plugin) flash sarà caricato.
Altra utilissima funzione di questo programmino è la possibilità di vedere i video di YouTube attraverso QuickTime in formato H.264, anziché in Flash. La qualità e la riproduzione saranno migliori, e la vostra CPU vi ringrazierà.
Anche questo è stato testato con Safari 4.0.3 e Mac OS X 10.6.1 “Snow Leopard”.
Edit del 19/12/2009
Dopo qualche mese di distanza dalla scrittura di questo articolo ho finalmente trovato un plugin definitivo per bloccare le pubblicità su Safari 4:
si chiama Safari AdBlocker, e supporta sia Snow Leopard che la modalità 64 bit. Si integra perfettamente nel pannello delle preferenze del browser e nel menu contestuale (click destro), supporta inoltre gli aggiornamenti automatici e le liste di AsdBlock. Vi consiglio assolutamente di provarlo ! 😉
Ammetto che questo blog mi ha preceduto nelle vacanze…. ehm il mio ultimo “intervento” è infatti di marzo. Per i pochi che si fossero chiesti che fine abbia fatto, voglio rassicurare tutti: sono ancora vivo e vegeto, anche se in effetti negli ultimi mesi ho lasciato un po’ questo blog nel dimenticatoio…
I crescenti impegni con la Laurea Specialistica all’Università sono stati accompagnati da una lenta e inesorabile diminuzione di interesse sul mondo di Linux/Ubuntu: lo ammetto, la facilità, l’immediatezza e la funzionalità (nel senso che funziona tutto) di MacOS hanno recentemente conquistato la mia pigrizia e vinto il mio spirito nerd-linuxiano. Ho relegato infatti il mio Ubuntu, ancora presente e funzionante in una partizione del mio Macbook, a muletto di test e spippolamenti più o meno utili, in ricordo dei tempi antichi. Per questo motivo ho ritenuto giusto, qualche mese fa, non rinnovare la mia membership al gruppo Ubuntu-it, in segno di rispetto nei confronti di chi ci mette tanto impegno e fatica per la comunità.
C’è anche da dire che negli ultimi tempi Ubuntu/Linux hanno raggiunto livelli tali di maturazione, che ormai la gran parte di guide di questo blog risultano superflue.
Al di là di questo, dopo aver studiato fino alla fine di Luglio, posso finalmente godermi qualche giorno di relax, in attesa di partire, dal 16 al 28 Agosto, con destinazione Spagna, insieme a 6 amici.
Dopo aver apprezzato Barcellona e Valencia l’anno scorso, quest’anno il nostro tragitto prevede un lungo itinerario che parte dalla capitale Madrid, seguita dai Paesi Baschi (San Sebastian e Bilbao), Santander, Gjion, per finire con La Coruña e Santiago !
Un bel giro, vero?
Al ritorno forse farò un resoconto…. sempre che abbia voglia (oppure che non rimanga là !!! ) 🙂
Ciao a tutti !!
Proprio in queste ore il robottino di Google, Android, sta facendo la sua prima comparsa nei negozi Italiani: Tim ha già annunciato nel proprio sito il lancio dell’ HTC Dream (con annessi piani telefonici dedicati), il primo smartphone con Android, mentre a breve Vodafone presenterà l’HTC Magic, il secondo (e più evoluto) terminale con questo nuovo, rivoluzionario, sistema operativo basato su Linux per dispositivi “touch” creato niente di meno che dall’onnipresente Google.
Sicuramente le aspettative del mercato sono ampie e le potenzialità pure, tanto che è impensabile non fare immediatamente confronti (hardware e software) con il leader (attuale) della categoria, l’Apple iPhone. C’è chi dice che in nel 2012 il gap con l’iPhone sarà recuperato. Staremo a vedere !
Per seguire gli sviluppi del mondo che gira intorno ad Android, da nemmeno un giorno è arrivato AndroidWorld.it, un portale completo con notizie fresche dal mondo, un forum di discussione e supporto, recensioni, guide e download.
In bocca al lupo al nuovo portale e ovviamente anche ad Android ! 😉