Articoli

Questo articolo è disponibile anche in versione podcast audio.

Due punti, aperta parentesi tonda, chiusa parentesi tonda, aperta parentesi graffa, spazio, due punti, barra verticale, due punti, E commerciale, spazio, chiusa parentesi graffa, punto e virgola, due punti.

Questi tredici caratteri, spazi compresi, sono tutto quello serve per mandare in crash quasi tutti i computer. Non importa se usate Windows, Linux o macOS: se digitate questa esatta sequenza di caratteri in una finestra di terminale o in una riga di comando, il vostro computer quasi sicuramente si bloccherà e sarà necessario riavviarlo, perdendo tutti i dati non salvati. Non è necessario essere amministratori del computer.

Ovviamente digitare questa sequenza di caratteri non è un esperimento da provare su un computer che state usando per lavoro o che non potete permettervi di riavviare bruscamente.

Ma come è possibile che basti così poco?

Quella sequenza di caratteri non è una falla recente: è un problema conosciuto da decenni e si chiama fork bomb o rabbit virus o ancora wabbit. Il primo caso di fork bomb risale addirittura al 1969. Non è neanche un virus: fa parte del normale funzionamento dei computer.

Semplificando in maniera estrema, ogni programma o processo che viene eseguito su un computer può essere duplicato, formando un processo nuovo che viene eseguito anch’esso. Questa duplicazione si chiama fork, nel senso di “biforcazione”. A sua volta, il processo nuovo può creare una copia di sé stesso, e così via.

Se si trova il modo di far proseguire questa duplicazione indefinitamente, prima o poi verranno creati così tanti processi eseguiti simultaneamente che il computer esaurirà le risorse disponibili, come la memoria o il processore, e quindi andrà in tilt, paralizzandosi per il sovraccarico e costringendo l’utente a uno spegnimento brutale e a un riavvio.

Questa trappola letale è stata per molto tempo un’esclusiva dei sistemi Unix e quindi anche di Linux, ma oggi esiste anche in macOS e in Windows 10 e successivi. Questi sistemi operativi, infatti, includono quella che si chiama shell bash, ossia un particolare interprete dei comandi (chiamato bash) usato anche dai sistemi Linux e Unix. Dare a questo interprete quei tredici caratteri è un modo molto conciso di ordinargli di generare un processo che generi un processo che generi un processo e così via.

Non è l’unica maniera di avviare questa reazione a catena: ce ne sono molte altre, anche per le vecchie versioni di Windows, ma questa è particolarmente minimalista.

:() definisce una funzione di nome “:” e il cui contenuto è quello che si trova fra le parentesi graffe

:|:& è il contenuto della funzione, ed è una chiamata alla funzione stessa (“:”), seguita da un pipe (che manda l’output della funzione chiamata a un’altra chiamata della funzione “:”) e da un ampersand (che mette in background la chiamata)

; conclude la definizione della funzione

: ordina di eseguire la funzione di nome “:”

È forse più chiaro se si usa bomba per dare un nome “normale” alla funzione e si usa una notazione meno ermetica:

bomba() {
  bomba | bomba &
}; bomba

Difendersi non è facilissimo per l’utente comune: ci sono dei comandi che permettono di porre un limite al numero di processi che è possibile creare, ma comunque non offrono una protezione perfetta. In alternativa, si può tentare di disabilitare la shell bash in Windows, ma le conseguenze possono essere imprevedibili.

In parole povere, il modo migliore per evitare una fork bomb è impedire che un burlone o malintenzionato possa avvicinarsi, fisicamente o virtualmente, alla tastiera del vostro computer.

Fonti aggiuntive: Apple, Cyberciti, Okta.

Questo articolo è disponibile anche in versione podcast audio.

Il 19 ottobre scorso Microsoft ha annunciato che i dati riservati di alcuni suoi clienti e potenziali clienti sono stati resi pubblicamente accessibili via Internet a causa di un suo errore di configurazione. I dati includono dettagli delle strutture aziendali, le fatture, i listini prezzi, i dettagli dei progetti, i nomi e numeri di telefono dei dipendenti e il contenuto delle loro mail.

L’azienda minimizza e nota che l’errore è stato corretto poco dopo la sua segnalazione da parte della società di sicurezza informatica SOCRadar il 24 settembre scorso, ma alcuni esperti non sono altrettanto rassicuranti.

I dati sono stati infatti catalogati da siti come Grayhat Warfare e come avviene sempre in questi casi non c’è modo di sapere quanti malintenzionati hanno avuto il tempo di procurarsene una copia.

The Microsoft bucket has been publicly indexed for months, it’s called olyympusv2 hosted on Azure blob storage – it was publicly readable. It’s even in search engines.https://t.co/5iBIb2qvue pic.twitter.com/5zjC0IC4wh

— Kevin Beaumont (@GossiTheDog) October 20, 2022

Secondo l’avviso pubblicato da SOCRadar, il problema non riguarda soltanto Microsoft ma tocca anche Amazon e Google, che hanno malconfigurato vari server contenenti dati sensibili dei propri clienti aziendali.

SOCRadar ha raccolto le informazioni su queste violazioni di riservatezza in un’apposita pagina del proprio sito, che consente di sapere se un’azienda è coinvolta o meno digitandone il nome di dominio nella casella di ricerca, e ha dato alla vicenda il nome BlueBleed.

In totale sono circa 150.000 le aziende interessate, che appartengono a 123 paesi. Le mail rese troppo visibili sono circa un milione e gli utenti sono circa 800.000. Responsabilmente, SOCRadar non rivela i dati ma si limita a dire se sono presenti o meno negli archivi resi eccessivamente accessibili dai servizi cloud di Microsoft, Amazon e Google. Se la vostra azienda usa servizi cloud di questi tre grandi nomi è opportuno dedicare un minuto a un controllo per vedere se è fra quelle coinvolte.

Va ricordato che i dati ottenuti da fughe di questo genere vengono solitamente utilizzati dai criminali online per ricatti ed estorsioni o per carpire illecitamente la fiducia dei dipendenti di un’azienda presa di mira manifestando di conoscere informazioni aziendali riservate, ma vengono anche a volte semplicemente rivenduti al miglior offerente, per cui non è mai il caso di ignorare segnalazioni di cloud colabrodo come questa.

Fonte aggiuntiva: Bleeping Computer, Graham Cluley.

Questo articolo è disponibile anche in versione podcast audio.

Torno a parlare del visore per realtà virtuale Quest Pro, presentato da Meta la settimana scorsa e descritto nella puntata del 14 ottobre del podcast Il Disinformatico della RSI, perché c’è un aggiornamento importante che finalmente chiarisce un dubbio che molti si sono posti in questi anni, da quando Meta (che all’epoca si chiamava ancora Facebook) acquisìOculus, una rinomata marca di prodotti per realtà virtuale, nel 2014.

Come mai Facebook/Meta è così tanto interessata a questa tecnologia, che a prima vista sembra molto sganciata dal mondo dei social network e della messaggistica digitale?

La risposta è arrivata esaminando le caratteristiche tecniche del visore Quest Pro, che è dotato di telecamere rivolte verso gli occhi dell’utente che ne tracciano la direzione dello sguardo (il cosiddetto eye tracking) e leggendo attentamente il testo dell’aggiornamento dell’informativa sulla privacy pubblicato da Meta, disponibile anche in italiano. Questa informativa dice testualmente che possono essere raccolti “dati aggiuntivi sull’utilizzo del visore (compreso il tracking degli occhi) per aiutare Meta a personalizzare l’esperienza dell’utente e migliorare Meta Quest”.

“Personalizzare l’esperienza dell’utente” è un eufemismo ricorrente per indicare la pubblicità mirata, quella che sui social network viene proposta al singolo utente sulla base dei suoi gusti, delle sue amicizie, della sua localizzazione e degli argomenti di cui scrive o che dimostra di apprezzare.

In un visore per realtà virtuale dotato di tracciamento degli occhi, questa personalizzazione può basarsi sulla direzione dello sguardo, che è una cosa estremamente personale e spesso involontaria. Meta potrà sapere per esempio se il nostro occhio cade su un certo accessorio di abbigliamento indossato da una celebrità che si esibisce in realtà virtuale o anche se cade su quello che sta sotto il suo abbigliamento.

Vi sentireste tranquilli a passeggiare per strada e sapere che qualcuno, istante per istante, sta controllando cosa state guardando e per quanto tempo si sofferma il vostro sguardo? Questo, in sintesi, è quello che propone Meta nel mondo virtuale.

In altre parole, la spinta al metaverso di Meta è ispirata dall’idea che se l’azienda di Zuckerberg riesce a convincerci a lasciare che registri cosa guardiamo potrà sapere ancora di più cosa ci piace e quindi vendere agli inserzionisti pubblicitari ancora più dati personali. Dati personali che, va ricordato, sono il pane quotidiano dei social network. E quindi il cerchio si chiude: la realtà virtuale interessa a Meta perché le consente di proseguire ed estendere la sua raccolta minuziosa di informazioni su di noi, che può rivendere.

Caso mai venisse il dubbio che “personalizzare l’esperienza dell’utente” sia un po’ vago per dedurne tutto questo, va aggiunto che Nick Clegg, presidente per gli affari internazionali di Meta, ha dichiarato pochi giorni fa, in un’intervista al Financial Times, che i dati di tracciamento oculare potranno essere usati “per capire se le persone interagiscono con una pubblicità o no”.

Per ora l’attivazione del tracciamento dello sguardo nel visore Meta Quest Pro è facoltativa, come sottolinea quella stessa informativa sulla privacy, ma siccome lo stesso tracciamento viene usato anche per ottimizzare la risoluzione delle immagini nella zona guardata e per rilevare e trasmettere le espressioni facciali, rischia di essere difficile rifiutare questa attivazione. Come nota Ray Walsh di ProPrivacy, in una riunione che si svolge nel metaverso “non vorrai essere l’unico che sembra uno zombi inespressivo in una stanza virtuale piena di gente che sorride e aggrotta le sopracciglia”.

La questione è complicata anche legalmente, perché un visore per realtà virtuale che rileva le espressioni facciali e la direzione dello sguardo, oltre che i movimenti dell’utente, raccoglie dati biometrici, che sono fortemente regolamentati e quindi ci saranno decisioni anche politiche da prendere presto in materia, paese per paese.

Nel frattempo, chiarito il dubbio sulla brama di metaverso di Zuckerberg, è forse opportuno valutare gli altri dispositivi per realtà virtuale di altre aziende che offrono prestazioni pari o superiori a Meta Quest Pro senza essere così ficcanaso.

Fonti aggiuntive: Gizmodo, Extremetech.

È un po’ che mi riprometto di scriverne pubblicamente e rispondere in dettaglio a una domanda che mi viene fatta molto spesso: come mai il Disinformatico da marzo 2021(specificamente dal 19) non è più in diretta e in studio con un animatore o un’animatrice, in formato chiacchierata e disponibile anche in video, ma è un podcast puro nel quale parlo (quasi sempre) solo io? E come mai non torna al vecchio formato?

Molti che me lo chiedono pensano che il passaggio alla versione podcast puro sia stata una mia decisione oppure una conseguenza dell’emergenza Covid, ma non è così.

Il cambio è stata una conseguenza di una delle periodiche ristrutturazioni del palinsesto della Radio Svizzera di lingua italiana, durante la quale è stato deciso che nel nuovo format di Rete Tre (la rete che ospitava la diretta), più musicale e meno parlato, non aveva senso una trasmissione molto “parlata” come il Disinformatico, ma aveva molto senso mantenerla come podcast puro.

Le restrizioni legate al Covid in realtà non hanno giocato nessun ruolo nel cambiamento, e infatti le dirette in studio sono proseguite per un anno dopo l’inizio della pandemia, adottando le varie precauzioni introdotte man mano. 

La scelta di produrre il podcast puro usando i miei mezzi tecnici invece di andare negli studi della RSI è maturata man mano dopo un po’ di sperimentazione, perché l’autoproduzione mi faceva risparmiare il tempo di viaggio dal Maniero Digitale agli studi di Lugano e mi liberava da vincoli di orario (a volte registro il podcast di notte, specialmente quando ci sono aggiornamenti dell’ultimo momento, cosa impensabile se dovessi andare in studio). I contenuti e il formato del podcast sono scelti da me in piena autonomia, esattamente come in passato: ogni tanto faccio qualche esperimento, come il racconto di scienza futura o le puntate Story monotematiche.

So che a molti piaceva di più il format a due voci, più “chiacchieroso”, e confesso che anche a me manca l’interazione con gli animatori e le animatrici di ReteTre. Ogni tanto mi capita comunque di tornare in studio, anche in TV (con programmi come Filo diretto), ed è sempre un piacere; se un nuovo palinsesto lo chiederà, lo farò molto volentieri. 

Ma al tempo stesso il formato podcast mi permette di raccontare storie più complesse e complete, di aggiungere clip sonore che la diretta renderebbe molto più difficili da gestire, e di non dover cercare di adattare la narrazione ai tempi disponibili (e spesso imprevedibili) della diretta. Se la storia da raccontare è lunga, la posso presentare per intero, senza dover correre o stringere.

Preferite “Il Disinformatico” com’è ora (voce singola) o come era prima (a due voci)?

— Paolo Attivissimo (@disinformatico) October 22, 2022

Ci tenevo a spiegarlo bene: spero di averlo fatto, ma se c’è qualche altro dettaglio che vorreste conoscere, chiedete pure nei commenti.