Congrats Snowden

I didn’t use Microsoft machines when I was in my operational phase, because I couldn’t trust them. Not because I knew that there was a particular back door or anything like that, but because I couldn’t be sure
— Snowden said.

Ora immagino che si sia spulciato una ad una tutte le righe di codice della sua distro preferita. E che abbia compilato la sua distro preferita a mano per essere sicuro che i bit che installava erano quelli del codice che ha ispezionato. E che abbia verificato tutte le righe di codice del compilatore e l’abbia compilato a mano, prima di compilare il resto di tutto l’OS. E che magari abbia usato l’ASSEMBLER per farlo. E che abbia controllato tutto il codice del compilatore ASSEMBLER per farlo. E immagino pure che abbia scelto un’architettura safe, perché vatti a fidare di Intel. Roba risaputa sin dal 1984 (coincidenza? non credo!).

Quello che dice Snowden nel paragrafo citato è molto interessante: ad un certo punto bisogna tracciare una linea. Ma la posizione della linea è un concetto astratto e quella scelta è alquanto farlocca. Fossi nell’NSA comincerei ad inserire vulnerabilità nei compilatori usati da quelli che distribuiscono le distro. Un po’ come hanno fatto in maniera non altrettanto raffinata gli achari cinesi.

-quack

UPDATE: Apple a quanto pare è persino più paranoica e non si fida di Hardware Off-The-Shelf.

Pubblicato mercoledì 23 marzo 2016 alle 5:57 PM - 17 commenti so far
Archiviato in: Privacy, Security, Linux

The network hole

Come ripromessomi, rieccomi qui a prendere nota di come tappare un buco di cui ero consapevole ma che finora ho ignorato visto i rischi relativamente bassi.

Poi è arrivato KeRanger. Gli “espertoni” dicono che non dobbiamo preoccuparci, tanto al massimo sono stati infettati 6500 Mac, e loro – solo per questione fortuita – non erano tra gli sfigati: che peccato!

In realtà dovremmo cominciare a farlo perché là fuori c’è qualcuno intenzionato a colpire la fascia di utenti smaliziata: è un po’ strano, perché colpire utonti di solito è economicamente molto più fattibile, ma è successo. Cioè: a scaricare Transmission dal sito di Transmission e lanciarlo sul Mac avrei potuto anche essere io. Il passo successivo, quello di controllare l’hash dei file per ogni applicazione da installare, è roba da Snowden.

Aspetti negativi: gli antivirus per questo tipo di attacchi basati sulla tempestività SONO INUTILI.

Come mitigare:

  1. installare ed usare qualcosa come QUBE OS, ma anche questo è roba da Snowden.
  2. backup: funziona solo se il backup supporta la history dei file, funzionalità abbastanza comune (lo fa CrashPlan e il backup server di Windows Home Server). Perché se il backup mantiene solo l’ultima copia, potrebbe essere quella già criptata

Un altro aspetto collegato è il fatto che ormai da sempre tutti i miei contenuti, documenti/multimedia/ecc., sono depositati su un server NAS centralizzato, e questi sono accessibili con le stesse credenziali che uso quotidianamente. Da questa riflessione sviluppatasi nel forum è venuto fuori che avere permessi di scrittura su un NAS usando le stesse credenziali è altrettanto pericoloso: un’applicazione malevola potrebbe cancellare tutte le mie foto, criptarle o distruggerle in qualsiasi altra maniera irreparabile. Per questo tipo di evenienza, che copre anche il guasto hardware degli hard-disk, c’è la copertura di CrashPlan online, ma dover scaricare TB di dati non è il massimo della convenienza.

Ieri sono arrivato alla conclusione che avere un unico set di credenziali con permessi di scrittura è nocivo, sbagliato e va risolto: prima meglio che poi. E ieri ho risolto: rimossi i permessi di scrittura a tutti gli utenti interattivi di casa, ovvero gli umani, e assegnati permessi di scrittura solo ad amministratori e bot protetti da password diverse. C’era solo un piccolo problema da superare: Windows non permette di usare due credenziali diverse quando si accede a due share diverse di uno stesso server.

In poche parole, non si può usare Topolino per accedere a \\SERVER\topolino ed usare Paperino per accedere a \\SERVER\paperino. Ora se solo fosse possibile avere due “nomi” per lo stesso “SERVER”, visto che le credenziali sono legate al nome del server, si sarebbe a cavallo.

Questo per fortuna è possibile in un paio di modi:

  • se sul server si usa SAMBA, intesa come l’implementazione Linux/Unix del protocollo SMB, allora è semplicissimo. Basta aggiungere una riga in cima al file di configurazione (smb.conf). Esempio:
    netbios aliases = SERVER TOPOLINO PAPERINO
    Una volta riavviato il servizio nmbd, si può raggiungere il server usando uno qualsiasi dei nomi indicati. Per Windows sembreranno server diversi, quanto basta per assicurarsi la possibilità di usare appunto credenziali diverse.
  • se si tratta di un server Windows o altra roba e se il server Windows ha un indirizzo IP statico, allora basta aggiungere la coppia “indirizzo_IP aliasserver” al file in \WINDOWS\SYSTEM32\etc\drivers\hosts e risolvere la questione (sfortunatamente sul lato client)
  • in ogni altro caso, il consiglio è di passare ad Ubuntu Server 16.04: supporta ZFS nativamente e a tanta bell’altra roba (dieci anni fa, altri tempi)

A questo punto si tratta solo di creare le share con diversi permessi ed il gioco è fatto.

Data la centralizzazione del controllo, il primo metodo è preferibile al secondo, ma in ogni caso dal punto di vista operazionale sono identici.

Alla fine della giornata, se anche facessi girare il malware usando le mie credenziali, il danno sarebbe comunque limitato alla macchina su cui gira. Se anche questa è regolarmente backuppata possiamo veramente “smettere di preoccuparci”.

-quack

Pubblicato sabato 19 marzo 2016 alle 12:19 AM - 55 commenti so far
Archiviato in: Windows, Security, Linux

Diritto alla privacy

Quindi, di punto in bianco, a causa del gran casino che l’NSA spia tutti e tutto (i loro tentacoli raggiungono il 75% dei connessi), Groklaw ha deciso di chiudere.

Mi dispiace, ma forse è la scelta sbagliata per i motivi giusti. O la scelta giusta per il motivo sbagliato. O è sbagliato tutto.

Che ci sia un braccio di ferro in corso tra diritto all’informazione e diritto a far tacere l’informazione è pure triste. Però che quache paladino del software libero decida di andare in pensione adesso, mi sembra sbagliato. Certo PJ lavorava parecchio attraverso le mail. Ma non è che adesso è spiata più di prima: è cambiata la consapevolezza e forse con questa consapevolezza non riesce a fare più serenamente il suo lavoro. Ma non è un problema logistico, è un problema di emozioni. È chi prende decisioni importanti solo in base alle proprie emozioni può alla lunga pentirsi.

Che poi, un sottotesto che se tutti usassimo software libero saremmo meno spiati, spiace (e son tre!) ma non ci sta per niente. Se l’NSA può spiarci non è perché usiamo Windows anziché Linux (teorie cospirative a parte): ma perché usiamo l’email e la maggior parte dei server di posta lì fuori girano su software libero.

Un gran bel paradosso.

-quack

Pubblicato mercoledì 21 agosto 2013 alle 8:12 PM - 16 commenti so far
Archiviato in: Privacy, Linux

Upside down

Il mio geek preferito, Stallman, disse:

If the DRM is implemented in the operating system, this could result in distribution of works that can't be played at all on a free operating system such as GNU/Linux.'

Oggi giorno, nei paesi dove Netflix è disponibile, questo dovrebbe risultare palesemente falso. Netflix è disponibile su Windows e OSX perché MS non ha intenzione di rilasciare Silverlight – dichiarato ufficialmente moribondo – per Linux.

Netflix ha pure chiaramente detto che, se l’HTML5 supportasse il DRM, non avrebbero problemi a far girare la loro app in HTML5. Questo significa che se il DRM fosse parte dello standard, ci sarebbero più contenuti disponibili per Linux.

Al contrario: oggi siccome l’unica via per il DRM è il software propretario è possibile distribuire contenuti che non possono essere riprodotti su sistemi “liberi”; che è appunto il contrario di quello che Stallman dice.

Vista l’evidente falsità logica di quello che dice, rimane la domanda sul perché. Solo talebanesimo?

-quack

Pubblicato venerdì 3 maggio 2013 alle 12:16 AM - 10 commenti so far
Archiviato in: DRM, Linux

Understanding Linux

Ieri sera tardi, anche se non tardissimo, dopo l’ennesima lotta con Xen e il boot di Nexenta (la variante Solaris che ho deciso di utilizzare per ZFS), sono arrivato ad una conclusione, volendo persino banale, magari opinabile, ma che non mi pare di aver letto finora altrove.

L’episodio scatenante è stato questo: volevo utilizzare un metodo diverso per fare il boot della macchina virtuale su cui gira Nexenta (non per pura voglia di perdere tempo) utilizzando l’utility pygrub e rincuorato dal fatto che ci fosse una soluzione di backup migliore (pv-grub) a sostegno della riuscita dell’esperimento. Alla terza difficoltà, armato di bibbia, ho cercato di usare Pv-Grub ma non riuscivo a trovare “l’eseguibile” che pure è parte del pacchetto Xen standard. Ravanando su Google si scopre che siccome Debian “non compila XYZ in quanto ha dipendenze esterne” allora il pacchetto in questione manca. Ovviamente è possibile generarlo se ci si vuole avventurare nei percorsi compilativi.

Linux non è una piattaforma su cui far girare le applicazioni. Le applicazioni ci sono, non sono poche ma non sono neanche tante abbastanza per farne una piattaforma, ma questo non basta. Linux è una scatola di montaggio per piattaforme più o meno incomplete: a Debian manca questo, ad OpenSuse manca quest’altro, ecc. In Linux non esiste l’equivalente di “eseguibile” in quanto un “eseguibile” si presume abbia dipendenze binarie molto forti. Mentre in una piattaforma il contratto binario è basato su regole molto rigide, in Linux tutto è basato più o meno sui sorgenti. Chi gestisce il repository poi fa un lavoro più o meno buono di impacchettamento di sorgenti in bit ridistribuibili ma la varietà di scelta è tale che il lavoro dell’impacchettatore tende ad essere sempre sotto la sufficienza. Ad esempio nei vari kernel aggiornati di Ubuntu non è attivo il flag “CONFIG_XEN_PCIDEV_BACKEND=m” che non ha nessun effetto collaterale aggiuntivo (tolto qualche piccolo KB di occupazione di memoria) ma che porta a richiedere una ricompilazione ad hoc per chi come me ne ha bisogno.

È ovviamente possibile generare ottime piattaforme usando Linux come è il caso di Android (parlo ovviamente della piattaforma, non di tutto il resto che può avere qualità opinabili). Però nell’accezione generale d’uso la cosa è molto meno che ottimale in quanto un protocollo basato su codice sorgente è molto meno efficace di un protocollo binario: per lo meno è necessario un passo in più e purtroppo la compilazione è un processo meno deterministico di quanto si possa pensare.

-quack

Pubblicato lunedì 21 novembre 2011 alle 6:55 PM - 54 commenti so far
Archiviato in: Linux