Politics on Marcello Barnaba

Sull'exploit PDF e kernel dell'iPhone

Wed, 04 Aug 2010 00:00:00 +0000

Come la maggior parte di voi già sa, ci sono due vulnerabilità aperte e critiche nelle versioni di iPhone OS dalla 3.x in su. La prima risiede nel componente Compact Font Format del renderer PDF, la seconda è un errore nel kernel che permette agli attaccanti di bypassare la sandbox (SeatBelt) dentro cui le applicazioni vengono eseguite sull’iPhone.

Le due vulnerabilità sono state scoperte da @comex, @chpwn e altre persone.

Solo poche settimane dopo il difetto di design .lnk su Windows (ragazzi, usate LoadLibraryW per caricare una dannata icona!), queste vulnerabilità di iPhone OS sono ancora più interessanti, per il modo in cui il rilascio viene gestito dalla community e dal vendor.

Ho passato 3 ore ieri notte a cercare informazioni dettagliate sul bug, e a parte confusi (e propagandistici) blog post, le uniche briciole di informazione sono in questo tweet e nell’exploit PDF vero e proprio su jailbreakme.com. Dove sono i post sulle security mailing list? Dov’è il CVE? Persino il CERT ancora non dice niente su questa vulnerabilità.

C’è qualcosa di terribilmente sbagliato in corso: il gioco del gatto col topo che porta i ricercatori dell’iphone-dev team a non divulgare nessuna delle vulnerabilità che trovano è diventato molto pericoloso per gli utenti finali: un exploit che permette l’esecuzione di codice remoto e l’uscita dalla jail senza nessuna interazione da parte dell’utente, veicolato tramite qualcosa che si considera “sicuro” (un file PDF) è quello che si chiama una falla critica; mentre l’exploit che la sfrutta si chiama 0-day. È la prima volta nella mia vita che vedo un 0-day pacchettizzato e distribuito esplicitamente tramite un sito web.

Fare qualcosa è sempre meglio che non fare niente

Fri, 12 Jun 2009 15:32:20 +0000

Dal palco del web2.0 Expo 2008 a San Francisco, Clay Shirky parla della rivoluzione sociale portata dal web2.0 nella società contemporanea, dalla TV a Wikipedia e World of Warcraft. E Twitter doveva ancora essere riconosciuto a livello globale, nel 2008.

Il video originale e la relativa discussione qui (per gentile concessione di blip.tv). Voto: 5 (perspicace)

Basta una sola persona per far partire la festa

Sun, 31 May 2009 10:00:00 +0000

La conclusione triste: “gli esseri umani sono animali da branco”
La conclusione buona: “la viralita’ e’ sempre esistita, non e' un’invenzione del Web2.0. Il social networking e’ semplicemente uno strumento potente per chiunque voglia cambiare il mondo”
La conclusione cattiva: “quanto ci vuole per portare la gente dai propri computer al mondo reale dopo un avviso virtuale da qualche ‘uomo che balla’?”
Altre conclusioni: leggete i commenti su questo video su reddit e su youtube.

E-Privacy 2009: Verso il Controllo Globale

Thu, 28 May 2009 13:00:00 +0000

Indice

La Ricetta

Ingredienti

L'ambiente sociale del 2009
Un mucchio di ha ck er s
Qualche avvocato competente
Un portavoce di Google
I Big Brother Awards
Una consistente dose di paranoia

Preparazione

Prendete l'intero ambiente sociale, completamente impreparato alla (r)evoluzione mediatica avvenuta negli ultimi anni, e lasciate che gli hacker osservino e ne parlino/scrivano. Portate gli avvocati, e lasciate che riconoscano “Houston! Abbiamo un problema!”, definendolo al contempo in legalese. Fate domande e partecipate a dibattiti interessanti.

Ora, consegnate il Big Brother Award 2007 al rappresentante di Google, lasciate che il sole si tuffi nelle colline, aggiungete una notevole quantita' di vino rosso toscano, e preparatevi per il giorno dopo. Lasciate fluire la paranoia, mentre gli hacker mostrano come si puo' essere tracciati e trovati tramite la rete cellulare e spiati tramite telecamere collegate via wifi piazzate li' per la vostra sicurezza.

Guardate i Big Brother Awards 2009 non consegnati restare sulla scrivania dei relatori e improvvisamente messi in vendita su eBay, e tornate a casa, dove leggete e guardate un'intervista video-editata al premier italiano.

Mettete tutto in frigo e date al vostro cervello due giorni per metabolizzarlo. Poi scrivetelo tutto A VOCE ALTA.

Foto di lorelei-ranveig

#top

Lo scenario

Siamo connessi. Siamo completamente connessi. Stiamo condividendo, stiamo creando identita' multiple, stiamo esagerando e diventando dipendenti, stiamo guadagnando soldi (forse) da tutto cio', e se da un lato ci stiamo aprendo la mente a culture e punti di vista diversi, dall'altro stiamo solo restringendo le nostre visioni perche' troviamo solo le informazioni che cerchiamo, trattando Internet come un surrogato morbido della TV, annichilendo il pensiero critico, e ancora peggio, demonizzando la rete (non nel significato unix del termine) a causa delle dichiarazioni di alcuni «politici», dimenticando che tutto cio' che gli uomini hanno costruito nella storia sono strumenti, e qualsiasi problema causato dagli strumenti e' solo questione di come altri uomini li usano effettivamente, non degli strumenti stessi.

Le basi concettuali e l'economia della neutralita' della rete [Parte 2] - 14 maggio 2009, Roma

Sat, 16 May 2009 04:00:00 +0000

Questa e' la seconda parte del mio resoconto del convegno nnsquad.it tenutosi a Roma il 14 maggio 2009, ospitato dalla fondazione di consulenti ICT Fondazione Ugo Bordoni.

Nella prima parte ho descritto la sessione mattutina, dedicata alla definizione della neutralita' della rete e a come l'economia globale possa conciliarsi con essa. Il pomeriggio e' stato dedicato a interventi piu' tecnici, e ho avuto l'occasione di sentire le osservazioni dei portavoce delle telco sulla situazione attuale e sui possibili sviluppi futuri.

Il primo intervento e' iniziato alle 14:15 ed e' stato tenuto dal prof. Vittorio Trecordi (slide disponibili qui). Lo ha introdotto affermando che la net neutrality potrebbe potenzialmente contrastare con lo sviluppo economico e le esigenze di sicurezza, a causa delle intercettazioni necessarie per queste ultime, intercettazioni che sono fortemente contrarie alla liberta' individuale di comunicare.

Stranamente (o forse no), non e' stato fatto alcun cenno ai modi attuali per aggirare sia le intercettazioni che la localizzazione dei comunicanti: mi riferisco al progetto Tor, il piu' noto bastione che garantisce la privacy ed e' attualmente usato da giornalisti che lavorano in zone "calde", tra molti altri.

Un altro punto sulla legislazione e' che non e' uguale in tutti i paesi, sebbene Internet sia diffuso in tutto il mondo; inoltre dovremmo definire su quali reti valutare la neutralita', perche' non necessariamente una rete IP e' connessa a Internet (pensate ai walled garden di proprieta' degli ISP).

Inoltre, di nuovo sulla Quality of Service: Trecordi ha affermato che Internet ha avuto successo grazie al suo "modello a clessidra" e alla “capacita' di disaccoppiare i servizi di comunicazione dall'infrastruttura di rete”, ma i requisiti di QoS (ad es. per il VoIP) stressano la pila protocollare, soprattutto dove i condotti di rete sono “in overbooking”. Inoltre, anche l'overprovisioning fallisce, a causa dell'architettura decentralizzata di Internet, e i colli di bottiglia si trovano principalmente nei punti di interconnessione tra ISP.

Le basi concettuali e l'economia della neutralita' della rete [Parte 1] - 14 maggio 2009, Roma

Sat, 16 May 2009 02:00:00 +0000

http://www.fub.it/events/seminari/neutralitadellareteeaspettisocioeconomici

http://www.nnsquad.it/

Neutralita' – “L'economia si sta dematerializzando”

Sollecitato da un messaggio Facebook inviato il 6 maggio 2009 a tutti i membri del gruppo nnsquad.it – per un Internet neutrale, mi sono imbattuto in questo evento interessante a cui ho avuto l'occasione di partecipare, tenutosi nel seicentesco palazzo Rospigliosi nel cuore di Roma.

Nella foto: Kenneth Carter e Stefano Quintarelli

La premessa era promettente: tecnici, dottori di ricerca, portavoce delle telco e politici che parlano di internet, della sua liberta' innata, e di come conciliarla in una societa' dove le misure di sicurezza aumentano costantemente, e come tali contrastano con un mondo virtuale senza barriere di sorta. Inoltre, e' un'arena virtuale in cui tutto puo' essere gratuito, non solo le informazioni, e le persone ci si stanno abituando.

Il primo intervento e' stato tenuto dal prof. Kenneth Carter, direttamente dalla Columbia University, e ha fatto da ampia introduzione alle tematiche esplorate (e talvolta ripetute) durante la giornata. In breve, la grande domanda e': gli ISP possono offrire diversi gradi di performance su diversi siti (o far pagare per performance migliori), permettere/bloccare/sovraccaricare l'accesso a certi siti o da certi dispositivi?

Filtrare l'accesso ai servizi di rete e' una pratica comune su internet, come lo e' filtrare i contenuti, e non necessariamente cattiva: pensate ai filtri antispam per prevenire UCE e ai filtri dei NAP per prevenire e mitigare attacchi DDOS, o ai sistemi antivirus/IDS. Anche i piani di servizio differenziati, dove ottieni latenza piu' bassa o maggiore banda in upload pagando di piu', sono accettabili, perche' la “qualita' del servizio” non e' un valore assoluto: dipende dal tipo di servizi che l'utente usa. E nella maggior parte dei casi, l'utente non coglie (e nemmeno ha bisogno di cogliere) i concetti che ci stanno dietro.

Un pappagallo geek che twitta

Tue, 21 Apr 2009 23:00:00 +0000

Sto cercando un nuovo animale domestico. Noi abbiamo gia’ due gatti adorabili, ma dopo aver sentito quanto puo’ essere viva una casa con tanti animali (dopo una bella serata al maniero de il quadrato), sto pensando di prenderne un altro da crescere e amare.

Ma che razza di geek sarei, se non ci aggiungessi un tocco nerd? Quindi, dopo l’interfaccia cervello-twitter di cui si e’ parlato tanto negli ultimi giorni, stasera un pensiero abbastanza casuale e divertente mi e’ balenato in testa: che ne dite di prendere un pappagallo cenerino, crescerlo, insegnargli a parlare, e lasciarlo… be’, twittare le sue parole usando un sistema di riconoscimento vocale piazzato accanto alla sua gabbia e collegato a un account twitter? Quanto sarebbe assurdo? :D

A pensarci bene, la cosa piu’ strana e’ che nel 2009, un pappagallo che twitta mi fa pensare a un “pappagallo con accesso a twitter”… e non a un uccello che emette il suo verso naturale. Sono troppo sovraccaricato da questa storia dei social media? Dovrei prendermi una vacanza?

Direi di si’. Ma non adesso. Il primo Facebook Developer Garage italiano e’ tra appena due giorni… :)

Immagine per gentile concessione di @ozjulian su flickr, CC BY-NC-SA

Avviso a tutti i dipendenti

Tue, 24 Feb 2009 13:06:14 -0500

(Letto su full-disclosure)

Subject: Notice to all employees
Date: Tue, 24 Feb 2009 13:06:14 -0500

Dear employees,

Due to the current financial situation caused by the slowdown
of the economy, Management has decided to implement a scheme
to put workers of 40 years of age and above on early retirement.

This scheme will be known as RAPE (Retire Aged People Early).

Persons selected to be RAPED can apply to management to be eligible
for the SHAFT scheme (Special Help After Forced Termination).
Persons who have been RAPED and SHAFTED will be reviewed under the
SCREW programme (Scheme Covering Retired Early Workers). A person
may be RAPED once, SHAFTED twice and SCREWED as many times as
Management deems appropriate.

Persons who have been RAPED can only get AIDS (Additional Income
for Dependents & Spouse) or HERPES (Half Earnings for Retired
Personnel Early Severance).

Obviously, persons who have AIDS or HERPES will not be SHAFTED or
SCREWED any further by Management.

Persons who are not RAPED and are staying on will receive as much
SHIT (Special High-Intensity Training) as possible. Management
has always prided itself on the amount of SHIT it gives employees.

Sincerely,
The Management

(Spero vi siate divertiti :D C’e’ anche una versione USAF del 1997).

Il significato dello sfondo predefinito di Windows 7.

Wed, 28 Jan 2009 15:00:00 +0000

Quando installi la beta per sviluppatori di Windows 7, dopo il solito ciclo di 3 riavvii, vieni accolto dalla seguente immagine:

È il pesce combattente del Siam, un bellissimo pesce tropicale, ma con una caratteristica interessante: è estremamente aggressivo. La credenza popolare vuole che due maschi si combattano anche in natura, ma non è proprio vero. Questa credenza deriva dal comportamento del pesce in acquario, dove il vincitore attacca continuamente il perdente, causandone alla fine la morte.

Ora, pensate all’ecosistema software come a un acquario. E pensate a Microsoft dentro questo acquario. L’ultima release del sistema operativo Microsoft ha un pesce aggressivo come skin predefinita, ed è solo in questo acquario. E non c’è posto per nessun altro: combatteranno qualsiasi avversario, anche se della stessa specie.

Quel che è incerto è… ci riusciranno, o no? :). Staremo a vedere!

La fine dell'anonimato online

Mon, 01 Dec 2008 22:00:00 +0000

Esattamente le parole che mi girano per la testa in questi giorni:

http://www.readwriteweb.com/archives/the_end_of_online_anonymity.php

Quando raggiungeremo il punto in cui l’anonimato online sarà finito, invece di poter essere chi siamo davvero, il fatto di essere diventati così consapevoli di essere sempre registrati, fotografati, tracciati e seguiti, avrà in realtà creato una personalità leggermente alterata. Come i concorrenti dei reality TV, l’atto di essere osservati cambierà il nostro comportamento. L’immagine del nostro brand personale diventerà la nostra identità pubblica e quindi la nostra identità.

Direi che queste parole descrivono perfettamente l’“effetto Facebook”.

Voi che ne pensate?

Quando i sysadmin governavano la Terra

Wed, 21 Nov 2007 00:00:00 +0000

Un romanzo davvero, davvero, davvero NERD di Cory Doctorow che racconta di un gruppo di sysadmin che lottano per tenere in piedi la cara vecchia Rete dopo un evento catastrofico che ha messo il mondo intero in ginocchio. Combattono con scorte limitate di energia e cibo e comunicano via Usenet… usando la buona vecchia gerarchia alt.

Voto: 10+ per la cosa più geek che abbia mai letto. Vale davvero l’ora necessaria per leggerlo tutto. Buona lettura