Numero 14 del 2019

Titolo: Novità dal Web.

Autore: Barbara Lispi.

Articolo:
Novità dal Web.

Di Barbara Lispi.

Ecco le novità dal Web:

1. Apple presenta Card, la sua carta di credito integrata con Wallet e con gli altri servizi. Apple Card, carta di credito sia virtuale che fisica, è integrata con Wallet, il borsellino elettronico di Apple; ma può anche essere indipendente rispetto allo smartphone. Questa Card, realizzata in collaborazione con MasterCard e Goldman Sachs, non ha scadenza, non usa alcun codice CVV e non deve essere firmata dall'utente. Card premierà gli utenti con rimborsi giornalieri di piccola entità. Il sistema di sicurezza è basato sull'impiego di un codice di sicurezza univoco valido una sola volta; inoltre la Card, se abbinata ai Device Apple più recenti, sarà protetta anche da Touch ID e Face ID.

2. Telegram permette di cancellare qualunque messaggio inviato o ricevuto. Gli utenti potranno cancellare da entrambi i Device, il proprio e quello del destinatario, qualunque messaggio inviato o ricevuto in precedenza, anche a mesi di distanza. L'eliminazione dei messaggi sarà definitiva e non lascerà alcuna traccia. Per usare questa nuova funzione, basterà premere sul messaggio da rimuovere quindi confermarne la cancellazione toccando la relativa icona. Telegram propone anche l'invio anonimo; strumento che consente di rimuovere qualunque dato che possa permettere, a soggetti terzi, di risalire al nome della persona che ha inviato il messaggio.

3. Pwn2Own, superate le difese di Safari, Firefox, Virtualbox e VMware. La competizione Pwn2Own, organizzata da ZDI, Zero Day Initiative, è una gara tra hacker con lo scopo di evidenziare nuove e importanti vulnerabilità nei principali software; in palio ci sono premi in denaro e una Tesla. Oltre alle sfide tradizionali, è stato chiesto di individuare falle nel software che sovrintende il funzionamento delle vetture elettriche progettate proprio da Tesla. Gli esperti hanno concentrato la loro attenzione sui bug delle sandbox di browser come Apple Safari e di soluzioni per la virtualizzazione quali Virtualbox e VMware. Inoltre sono riusciti a sfruttare un bug del compilatore JIT di Mozilla Firefox per prendere il completo controllo del sistema in uso.

4. Windows Virtual Desktop, cos'è e come funziona. Defender sbarca sui sistemi macOS. Windows Virtual Desktop è un servizio che funziona sul cloud: si appoggia alla piattaforma Azure e permette di eseguire istanze di Windows e di singole applicazioni senza installare nulla in locale. Si può anche installare Windows 7 sul cloud e usare gratuitamente il programma Extended Security Updates fino al 2023. Windows Virtual Desktop sarà disponibile verso la seconda metà di quest'anno. Per usare questo nuovo sistema bisogna avere un abbonamento Azure. Inoltre, grazie a Defender ATP for Mac, anche i sistemi macOS saranno gestibili dalla piattaforma Microsoft Defender.

5. Posticipare tutti gli aggiornamenti di Windows 10 e i riavvii del sistema. Col rilascio di Windows 10 Aggiornamento aprile 2019 utenti e amministratori di sistema potranno personalizzare il comportamento di Windows Update per ciò che riguarda gli aggiornamenti e il riavvio automatico del sistema; sarà possibile ritardare l'installazione degli aggiornamenti di qualità e dei feature update fino a 30 giorni; fino a 7 giorni il riavvio del Pc. Le preferenze si potranno impostare anche usando un file REG: il ritardo sarà impostato a 7 giorni per entrambi i tipi di aggiornamenti e a 2 giorni per i riavvii automatici. Tali preferenze saranno comunque personalizzabili.

6. Google come Microsoft: a breve arriverà una schermata per la scelta del browser su Android. Dopo la sanzione da 4,34 miliardi di € ricevuta lo scorso anno, Google sta facendo alcune modifiche alle funzioni di Android per attuare le direttive delle Autorità europee. Google, presto, chiederà a ogni utente di Android, vecchio e nuovo, di scegliere quale browser e quale motore di ricerca vuole usare in modo predefinito sul suo Device. Questa decisione arriva a pochi mesi di distanza dall'introduzione di costi di licenza per i produttori che continueranno ad usare Android.

7. Kaspersky accusa Apple di abuso di posizione dominante e denuncia la Mela. Dopo Spotify, anche Kaspersky si è rivolta all'Antitrust per denunciare il comportamento di Apple che abuserebbe della sua posizione dominante. Le contestazioni riguardano la funzione Screen Time, Tempo di utilizzo di iOS 12, che consente di attivare strumenti di parental control sui Device Apple bloccando certe applicazioni, consentendone l'avvio solo in precise fasce orarie, negando la connessione verso certe tipologie di siti. Apple svolgerebbe il duplice ruolo di proprietaria della piattaforma e di controllore penalizzando le app di terze parti che possono costituire una minaccia per le proprie soluzioni.

8. Codice JavaScript permette di accedere alla rete locale: come può accadere. Forcepoint, azienda specializzata nella sicurezza informatica, ha lanciato l'allerta circa l'uso sempre più diffuso di una lacuna, che accomuna tutti i principali browser, che permette di superare, almeno in parte, il concetto di same-origin policy. SOP è un approccio usato in tutti i browser che evita l'accesso di codice contenuto in una qualunque pagina web ad altre pagine. Il responso ottenuto dall'esecuzione del codice JavaScript sul sistema locale può essere trasferito verso un server remoto. Un aggressore può così raccogliere dati sulla configurazione della rete locale e, sulla base delle porte aperte, stabilire quali componenti server sono in ascolto e quali servizi sono in uso.

9. Password manager Firefox Lockbox: perché non ci ha convinto. Firefox Lockbox non è un vero e proprio password manager, ma piuttosto un'applicazione che fa da ponte tra i server Mozilla, la funzione Firefox Sync e il dispositivo dell'utente. Chi non ha un account utente Firefox, non potrà usare Lockbox, perché l'App si appoggia alle informazioni caricate sui server Mozilla. Non è possibile aggiungere nuove credenziali oppure modificare quelle già presenti da Firefox Lockbox: bisognerà per forza attendere che siano sincronizzate sul cloud dal browser Firefox. Lockbox non è insomma altro che un "intermediario" tra i server Mozilla e i device mobili dell'utente.

10. Microsoft rinnova il suo Surface Book 2 con una CPU Intel di ottava generazione. Microsoft ha aggiornato il Surface Book 2 di fascia media, quello da 13 pollici, equipaggiandolo con un processore Intel Core i5 di ottava generazione. Il Surface Book 2 integra una CPU i5-8350U capace di lavorare a una frequenza base di 1,7 GHz per spingersi in modalità turbo fino a 3,6 GHz. Completano la dotazione 8 GB di memoria RAM e 256 GB di storage interno. Per il Surface Book 2 da 13 pollici l'aggiornamento del processore è l'unica modifica significativa ma che dovrebbe comunque consentire un notevole balzo in avanti in termini di performance.

11. Android, scoperte due vulnerabilità che possono consentire l'esecuzione di codice da remoto. Google ha risolto alcune vulnerabilità in Android sfruttabili aprendo o visualizzando alcuni tipi di file. I bug di sicurezza più importanti sono quelli contraddistinti dagli identificativi CVE-2019-2027 e CVE-2019-2028; interessano il Media framework in tutte le versioni di Android dalla 7.0 Nougat in avanti e potrebbero consentire l'esecuzione di codice potenzialmente dannoso con i privilegi più elevati. Su tutti i Device vulnerabili dovrà essere quindi installato l'aggiornamento di aprile 2019. Il problema riguarda i Device di fascia medio-bassa non supportati dai rispettivi produttori per i quali non sono disponibili soluzioni temporanee per risolvere il problema. In questi casi è bene installare una ROM di terze parti così da ricevere tempestivamente tutti i nuovi aggiornamenti.

12. GDPR: accordo tra Accredia e Garante per la certificazione accreditata in materia di dati personali. Il nuovo regolamento europeo in materia di protezione dei dati personali, GDPR "General Data Protection Regulation", prevede l'istituzione di meccanismi per la certificazione della protezione dei dati personali per dimostrare la conformità dei trattamenti effettuata dai responsabili del trattamento. Il Garante per la protezione dei dati personali e Accredia, Ente unico nazionale di accreditamento designato dal Governo italiano, hanno siglato un'importante intesa incentrata sulle attività di accreditamento e certificazione previste dal nuovo regolamento.

13. Scoperte 36 vulnerabilità nelle reti 4G LTE utilizzabili per modificare il traffico dati. Nel 2008 sono state scoperte alcune vulnerabilità nei protocolli SS7 usati per la gestione delle attività svolte sulle reti di telefonia mobile mentre più di recente un team di ricercatori universitari ha scoperto altre 3 lacune di sicurezza nelle reti 4G e nelle future 5G. Gli esperti del Korea Advanced Institute of Science and Technology (KAIST) hanno rilevato 36 nuove vulnerabilità nelle reti 4G/LTE che potrebbero mettere fuori uso le base station degli operatori, disconnettere gli utenti dal network, inviare SMS falsi, intercettare e alterare il traffico dati. I ricercatori hanno usato la tecnica fuzzing: approccio basato sull'invio di un grande quantitativo di dati verso l'obiettivo. Esaminando le anomalie restituite in output si può ipotizzare la presenza di lacune di sicurezza finora sconosciute. Secondo i ricercatori quanto emerso finora sarebbe solo la punta dell'iceberg.

14. Il nuovo Edge basato su Chromium: compatibilità con IE, macOS e Linux. Il nuovo browser Edge basato sul motore di Chromium, Blink, permetterà di scaricare le estensioni non solo dal Microsoft Store ma anche dal Chrome Web Store. Digitando edge://flags si accederà a una schermata per la personalizzazione del browser dove si troverà una voce "Enable IE Integration" che consentirà di aprire qualunque sito web usando il vecchio motore di rendering di Internet Explorer. Una funzione che farebbe ipotizzare l'imminente rimozione di Internet Explorer da Windows 10. Microsoft ha inoltre confermato che il nuovo Edge potrà essere installato in macOS e quasi certamente anche in ambiente Linux.

15. Un Malware per Android prende di mira le App di oltre 100 banche. Group-IB ha scoperto Gustuff, Malware che ha colpito le App di oltre 100 banche a livello mondiale, i principali servizi per la gestione dei pagamenti digitali come PayPal e 32 app che consentono l'uso delle crittovalute. Gustuff sfrutta gli strumenti per l'accessibilità integrati in Android per modificare i campi di testo presenti nelle App e indurre gli utenti a inserire dati personali e credenziali d'accesso in schermate diverse da quelle ufficiali. Gustuff, una volta in esecuzione, disattiva il servizio Google Play Protect. Gustuff può leggere e inviare SMS, trasmettere informazioni tecniche sul Device in uso, attivare proxy SOCKS5, seguire link, trasferire ogni tipo di file e ripristinare le impostazioni di fabbrica del dispositivo.

Per ulteriori spiegazioni, scrivere a:
Barbara Lispi