News del 22 Settembre 2011

Una falla in Mac OS X 10.7 Lion permette di cambiare la password dell'utente

Il recente sistema operativo Mac OS X 10.7 Lion è affetto da un grave bug di sicurezza che permette a chiunque di poter cambiare la password dell'utente corrente senza che sia richiesta alcuna autenticazione. A spiegare i dettagli del problema è Defence in Depth, un blog che tratta di sicurezza informatica.

L'autore, Patrick Dunstan, spiega come per risalire alla password utente sia possibile impiegare una tecnica già descritta in passato per forzare i sistemi Mac OS X 10.6 e precedenti e che prevede, in sintesi, di estrarre gli hash della password da uno specifico file shadow dell'utente, localizzato in uno specifico percorso. Gli shadow file sono file il cui accesso è consentito solamente all'utente con i privilegi più elevati, in altri termini all'utente root. Da Tiger in poi ogni utente ha i propri shadow file, i cui dati sono accessibili solamente dall'utente root, o almeno così dovrebbe essere.

Pare tuttavia che nel lavoro di riprogettazione degli schemi di autenticazione di Lion sia passato inosservato un dettaglio piuttosto importante. Sebbene gli utenti non-root non abbiano ancora la possibilità di accedere direttamente ai file shadow, Lion attualmente permette loro di vedere le informazioni sugli hash delle password, estraendoli tramite Directory Services. L'aspetto più problematico è rappresentato dal fatto che questa falla permette inoltre di cambiare direttamente la password dell'utente loggato senza che venga richiesta l'autenticazione.

Questo problema, in talune situazioni, potrebbe facilmente rappresentare una strada per scalare i privilegi, in special modo se la vittima dell'attacco è un utente con i diritti di amministratore. La limitazione dell'accesso standard all'utility dscl rappresenta attualmente una misura temporanea che può contenere il problema, in attesa che Apple si appresti a rilasciare una patch correttiva.

--------------------------------------------------------------

Seagate presenta GoFlex Desk da 4 TB, unità esterna a disco singolo

Seagate ha annunciato la distribuzione del nuovo componente della famiglia GoFlex Desk da 4TB, l'unità disco con la capacità più elevata del settore almeno fino ad oggi. Ora giungono nuovi dettagli e prezzo in Euro. Un nuovo design accoglie la vera novità, ovvero un disco da 3,5 pollici con capacità record da ben 4TB, con buona probabilità dotato di regime di rotazione conservativo (5400 giri?), non certo un 7200rpm.

L'interfaccia di base utilizzata è la USB 3.0, in grado di operare anche con le porte USB 2.0. Come tipico però delle unità GoFlex di Seagate, sono previsti connettori per ampliare la compatibilità dell'unità anche con le interfacce FireWire e Thunderbolt, quest'ultima attesa anche sui computer non Apple a partire dal 2012.

L'esigenza di spazio di archiviazione non conosce limiti i crescita, con l'aumento della diffusione di materiale digitale, non ultimi fotografie e video. Una tendenza che IDC, nota agenzia specializzata in previsioni di mercato, prevede costante anche per gli anni a venire. La nuova unità GoFlex Desk da 4 TB è disponibile sul sito http://www.seagate.com/ ed entro un mese potrà essere acquistata presso retailer online selezionati al prezzo di vendita suggerito dal produttore di 249,99 Euro.

Si tratta di cifre suggerite e suscettibili di flessioni, come spesso accade nella grande distribuzione. Una cifra in particolare parla chiaro: si tratta di una unità da circa 0,062 Euro a GB, ovvero poco più di 6 Eurocent per ogni GB di archiviazione, pur considerando che le unità esterne hanno costi più elevati dei dischi interni. Gli hard disk tradizionali, insomma, proseguono nella corsa ai TB senza conoscere soste. Pur considerando il costo per GB in ribasso per le unità SSD, il divario in questo campo rimane enorme, giustificando e garantendo lunga vita agli hard disk tradizionali ancora per molti anni.

-----------------------------------------------------

HP inizia i licenziamenti dalla divisione WebOS

HP ha annunciato, lo scorso 18 Agosto, l'intenzione di sospendere lo sviluppo delle proprie soluzioni appartenenti alla famiglia WebOS, una delle azioni che seguono una completa procedura di revisione interna all'azienda alla ricerca della massima profittabilità.

Come ben noto, HP ha tra le altre anche annunciato di voler valutare una differente destinazione per il proprio gruppo PSG, responsabile della produzione di soluzioni destinate al pubblico consumer. L'ipotesi più plausibile è quella di un completo spin off a creare una nuova azienda, specializzata per l'appunto in soluzioni di fascia consumer.

E' notizia di questi giorni dell'inizio dei primi licenziamenti interni all'azienda dei dipendenti impegnati nella divisione WebOS. Si tratta di una mossa attesa alla luce di quanto dichiarato lo scorso Agosto da HP, che coivolgerà poco più di 500 dipendenti. Al momento attuale non è ben chiaro se l'azienda riorganizzerà internamente almeno una parte di queste persone, ma considerando la rapidità e la radicalità nella scelta che ha portato alla chiusura della divisione WebOS uno scenario di questo tipo pare difficile da ipotizzare.

Resta ora da capire anche quale sarà il destino di WebOS, diventato asset di HP a seguito dell'acquisizione di Palm. L'ipotesi più plausibile è che HP possa riuscire a cedere ad altra azienda la parte software di WebOS, mentre pare più difficile ipotizzare che HP possa continuarne all'interno lo sviluppo fornendo il software in licenza a terzi.

--------------------------------------------------------

Facebook: invasione di video falsi. Attenti a dove cliccate

Nello scorso weekend e nelle ultime ore gran parte degli utenti di Facebook avranno notato messaggi anomali comparire sulle proprie bacheche, in particolare hanno fatto la loro comparsa fantomatici video aventi come protagonisti alcuni dei nostri contatti. Ogni video è poi accompagnato da un commento del tipo "nome contatto non credevo potessi fare una cosa del genere" o altre semplici frasi che dovrebbero suscitare curiosità.

In realtà non si tratta di video ma di codice malevolo che si sta diffondendo sul social network sfruttando un elemento difficile da tenere a bada: la curiosità umana. Gli esperti dicono che l'immagine di anteprima del video è leggermente più piccola rispetto a quelle di Youtube, oppure che sia completamente assente il pulsante play; inoltre, i messaggi di commento sarebbero sempre i medesimi. Quelli appena elencati sono però elementi che solo con molta attenzione verranno notati.

Una volta cliccato sul video, l'utente viene invitato a compiere alcune operazioni che in reltà hanno lo scopo di mettere in grado il codice malevolo di diffondersi alla lista dei propri contatti. Al momento non è chiaro se quest'ultima impennata di video fraudolenti su Facebook abbia una vera e propria payload, sia priva di ulteriori conseguenze oppure intenda creare sui sistemi infetti una breccia da sfruttare in futuro per altre operazioni.

Symantec ha recentemente distribuito alcuni dettagli relativi a queste genere di problemi: per il colosso americano della sicurezza il 15% dei video in circolazione su Facebook sarebbero riconducibili ad azioni di likejacking, termine utilizzato per identificare il problema in oggetto e derivato dal noto clickjacking.

Tornado al social network, segnaliamo l'esistenza dell'app Norton Safe Web dedicata a Facebook e molto utile per individuare situazioni simili a quelle appena descritte, anche se all'utente è richiesta come di consueto attenzione e prudenza. Infatti, come mostrano le due immagini seguenti, il controllo viene fatto sui link presente nella propria bacheca, ma nel caso specifico della minaccia di cui stiamo parlando il link presente è il banalissimo facebook.com, mentre con il click del mouse si viene rimandati a una pagina ben diversa. 

------------------------------------------------------------

Microsoft prende il 30% dalle Metro App di Windows?

Settimana scorsa ha fatto il suo debutto ufficiale Windows 8: in occasione della conferenza stampa per gli sviluppatori, infatti, Microsoft ha mostrato la developer preview del futuro sistema operativo. Tra le molte novità colpisce particolarmente l'interfaccia Metro: ottmizzata per un utilizzo con dispositivi touchscreen, integrerà applicazioni capaci di garantire una importante esperienza di utilizzo. Le applicazioni dovranno però essere sviluppate per tale interfaccia al fine di funzionare correttamente.

Con l'introduzione dell'interfaccia Metro, quindi, Microsoft apre la strada anche ad un mercato delle app. Quello che abbiamo già visto con Apple e il suo App Store, quindi, potrebbe e dovrebbe arrivare anche in chiave Microsoft: si tratta di una strategia vincente e i dati lo dimostrano, ecco allora che il colosso di Redmond tenta di seguirne la scia.

Ma come incentivare gli sviluppatori a creare nuove applicazioni che siano compatibili con l'interfaccia Metro? sono emersi solo nei giorni scorsi alcune indiscrezioni circa il metodo di retribuzione che Microsoft intenderà apportare. Nonostante manchi conferma ufficiale dall'azienda, infatti, sono in molti ad indicare che il colosso di Redmond applicherà la stessa strategia utilizzata da Apple: il 70% degli introiti andrà allo sviluppatore, mentre il 30% rimarrà all'azienda.

Prima di approdare sullo store Microsoft ogni applicazione dovrà passare il processo di controllo anti-malware di Microsoft. Quanto e come la strategia di Microsoft premierà l'azienda? L'esito sarà, ovviamente, frutto diretto dell'implementazione e dell'offerta che verrà fornita all'utente finale. Per saperlo, quindi, non ci resta che attendere.

------------------------------------------