giovedì 25 dicembre 2008

Accettato da IEEE CSSE un articolo generato automaticamente!

Ce l'hanno fatto un'altra volta! 

Come nel 2005, sono riusciti a farsi accettare un articolo generato in modo automatico. La conference è di IEEE CSSE: Computer Science and Software Engineering e l'articolo è  "Towards the Simulation of E-commerce".

L'autore è un certo Herbert Schlangemann. Fatevi un giro su Internet per capire chi è, perché io non ho il coraggio di mettere un link diretto :-)

Che vi fossero problemi nel processo di review degli articoli era fuor di dubbio, ma adesso si sta esagerando. Che attendibilità hanno gli articoli già pubblicati a questo punto?
Forse andrebbe rivisto l'intero processo di pubblicazione e magari fare in modo che le pubblicazioni di un autore non possano eccedere una certa frequenza (oltre ai problemi di plagio che però sia ACM che IEEE stanno già considerando).

Gli articoli pubblicati in queste conferenze costituiscono di fatto la base della conoscenza informatica accreditata e "controllata". Ma forse varrebbe la pena di avere meno articoli ma di più peso, invece che questa babele di ricerche spesso inutili.

mercoledì 24 dicembre 2008

lunedì 22 dicembre 2008

Writing Secure Code for Windows Vista: gratuito in versione elettronica

Se sviluppate su Windows VISTA vi consiglio di affrettarvi e di andare sul sito della Microsoft Press che, per i suoi 25 anni, distribuisce gratuitamente la versione elettronica del libro "Writing Secure Code for Windows Vista" di Michael Howard and David LeBlanc (autori di sicuro rilievo nel campo della software security). 

Consiglio la lettura del libro poiché VISTA implementa meccanismi di sicurezza indubbiamente più stringenti rispetto ai suoi predecessori. Se però ritenete che VISTA sia insicuro per definizione potete evitare di leggere il tomo :-)

giovedì 18 dicembre 2008

Uscita la patch per la vulnerabilità su IE

Ieri alle 19:00 Microsoft ha rilasciato la patch per la grave vulnerabilità scoperta in Internet Explorer (praticamente tutte le versioni).

Ecco il link: 


Consiglio a tutti di sbrigarsi nel patchare le macchine client. 

Se avete già sostituito IE con Firefox allora probabilmente avrete visto che anche quest'ultimo ha aggiornato la versione alla 3.0.5. Anche qui per numerose vulnerabilità presenti nella 3.0.4.

lunedì 15 dicembre 2008

Il supporto più sicuro per i vostri dati?

Ma siamo tutti convinti che i nostri dati memorizzati gelosamente sul DVD di turno saranno disponibili tra 10 anni? Forse no. Quanti supporti in 30 anni sono caduti in disuso? Quante piattaforme hardware, software e formati oramai sono irreperibili e/o inutilizzabili?

E allora che fare? 

Il backup certo, con il restore di sicurezza per controllare che il backup sia effettivamente riuscito. Ma c'è una terza cosa la "conversione": ovvero convertire periodicamente i dati dai vecchi formati/supporti ai nuovi formati/supporti.

Un esempio? 

Tempo fa aprendo un cassetto ho trovato dei miei vecchi programmi scritti in C e C++. Avevo la tenera età di 17 anni e per me sono dei cari ricordi (qualcuno potrebbe trovare strana questa affermazione ma tant'è). Ah, dimenticavo! I programmi erano (e lo sono tutt'ora) memorizzati su Floppy da 3" 1/2!

Un brivido dietro la schiena ed una rapida occhiata al mio PC, che stranamente aveva ancora un Floppy drive funzionante, ed ho provveduto immediatamente ad archiviarli sul mio disco rigido e a fare un bel backup sui 3 dischi rigidi esterni.

Dovendo conservare testi e documenti molto importanti forse il consiglio migliore oltre alla terna "backup/restore/convert" è quella di archiviarli su carta! Ovviamente non potete archiviare un intero programma su carta (anche se forse qualcuno particolarmente malato potrebbe anche farlo) ma documenti di una certa rilevanza sì.

Vi segnalo questa presentazione del grande Paolo Attivissimo sulla conservazione dei dati.

venerdì 12 dicembre 2008

Google rilascia il "Browser Security Handbook"

Google ha rilasciato, con licenza Creative Commons 3.0 e a firma di Michal Zalewski (Google Security Team),  un manuale che definisce le caratteristiche di sicurezza dei maggiori browser comparandole tra loro.

I browser esaminati sono i seguenti:


Per ogni caratteristica di sicurezza vi sono delle tabelle comparative che permettono allo sfortunato web developer di capire come la caratteristica di sicurezza venga implementata nei diversi browser.

Molto utile non c'è che dire!

Questa è l'introduzione dell'autore del manuale nella pagina Wiki del progetto:

Browser Security Handbook is meant to provide web application developers, browser engineers, and information security researchers with a one-stop reference to key security properties of contemporary web browsers. Insufficient understanding of these often poorly-documented characteristics is a major contributing factor to the prevalence of several classes of security vulnerabilities. 

mercoledì 10 dicembre 2008

UBI phishing

Peccato! Devo dire che questa volta avevano iniziato bene ma poi sono caduti sul solito ORRORE di ortografia. 


"Per attivare il tuo account, la preghiamo di [...], hanno per rispondere...."

Ma con tutti i soldi che si fregano non si possono permettere un traduttore dal russo/estone/cinese/coreano all'italiano? Ovviamente il link non punta alla banca ma ad un PC a Seoul nella Corea del Sud.



lunedì 8 dicembre 2008

Non fate l'upgrade a PHP 5.2.7!

Per tutti quelli che aspettavano la nuova versione di PHP 5.2.7, una terribile notizia. La versione in questione contiene un baco di sicurezza niente male. In poche parole viene disattivata la funzionalità (a dire il vero oramai deprecata) "magic_quotes_gpc": anche se impostata non funzionerà.

In sostanza la direttiva "magic_quotes_gpc" esegue automaticamente l'escape di apici e doppi apici presenti nei parametri passati in GET e POST. Come difesa dalle "SQL Injection" oramai è abbastanza debole e per questo è consigliabile fare una "data validation" più accurata. 

Per il software legacy però è meglio non avere una versione bacata di PHP e poiché tra una settimana verrà rilasciata la 5.2.8, forse è il caso di aspettare.

--- AGGIUNTA DEL 10/12/2008 ---

E' stata rilasciata la versione 5.2.8 che risolve il problema.

domenica 7 dicembre 2008

E la Cina consigliò di regolare Internet a Silvio IV

Ha attraversato l'oceano un'altra delle mirabili idee del nostro amato Premier: regolare Internet. Si sarà consigliato con il governo Cinese che è esperto in materia.

"The President of Italy, which will have the Presidency of the G8 starting January 1, says he wants to use the future position of Italy to 'Regulate the Internet.' Italy's President Berlusconi appears to be a cantankerous character, prompting riots when Italy last had the G8 presidency in 2001. This will no doubt be a serious effort, but knowing the fundamental design of the Internet involves routing around damage, the efforts could be more amusing than threatening." Update — 12/5 at 00:04 by SS: Reader fondacio noted that Silvio Berlusconi is Italy's Prime Minister, not its President. He is Italy's G8 representative, and Italy will hold the presidency in 2009."

Non potremmo proporre ai cinesi di adottarlo? In fondo è simpatico...

mercoledì 3 dicembre 2008

UAC: mea culpa di Microsoft

Non tutti sanno che Microsoft dopo la disastrosa esperienza di VISTA ha deciso di rendere lo sviluppo del prossimo sistema operativo di Redmond "collaborativo". Nell'alveo della collaborazione c'è anche il blog del gruppo di ingegneri che si dedicano appunto alla ingegnerizzazione del nuovo SO: Windows 7. 

Il blog ha come finalità il recepimento di possibili indicazioni da parte della community degli utenti Windows prendendo in considerazioni le loro, spesso, giuste critiche.

Come sappiamo una delle caratteristiche più contestate di VISTA è lo UAC. Personalmente mi aspettavo queste contestazioni. Non perché sia implementato male, ma perché passare da un SO che ti fa fare qualsiasi cosa ad uno che ti chiede abbastanza spesso il consenso è sempre abbastanza impattante sull'usabilità del sistema.

Ma tant'è. Ricordate? Usabilità e Sicurezza sono nemici giurati e spingere da una parte rende inevitabilmente il sistema meno usabile o meno sicuro. 

E questo è stato. VISTA è indubbiamente più sicuro con l'UAC ma anche meno usabile dei suoi predecessori. Più sicuro perché un utente che abbia i privilegi di amministratore al log-on non riceve effettivamente questi privilegi ma normalmente quello dello standard user. Solo quando l'esecuzione di alcuni programmi richieda privilegi più elevati, comparirà la finstra dello UAC che permetterà di elevarli.  

Mi sembra una implementazione abbastanza canonica del principio del minimo privilegio. Del resto chi viene dai sistemi Linux è abituato a vedersi comparire la richiesta di password o ad anteporre la command line con "sudo".

Da non sottovalutare anche l'indubbio merito dell'UAC di aver sfrondato il parco applicativo di Windows di tutte quelle applicazioni che necessitavano dei diritti di amministratore per girare. Di fatto queste applicazioni sono costrette a rispettare i nuovi dettami come scrivere solo nella user-home dell'utente e altre piccole "sciocchezze"!

Non è facile educare i developer su Windows!

Quindi sull'aspetto sicurezza nulla da eccepire. Ma sull'usabilità qualche neo c'è e gli ingegneri del team di Windows 7 in questo blog, oltre ad analizzare lo UAC e il suo successo da un punto di vista di sicurezza, ne analizzano i problemi di usabilità ammettendo anche le pecche del sistema.

Ecco la prima grande ammissione:
However, we haven’t made things easy on you - the dialogs in Vista aren’t easy to decipher and are often not memorable. In one lab study we conducted, only 13% of participants could provide specific details about why they were seeing a UAC dialog in Vista.  Some didn’t remember they had seen a dialog at all when asked about it. Additionally, we are seeing consumer administrators approving 89% of prompts in Vista and 91% in SP1. We are obviously concerned users are responding out of habit due to the large number of prompts rather than focusing on the critical prompts and making confident decisions. Many would say this is entirely predictable

Nel post vengono analizzate anche le principali obiezioni dei clienti che spietatamente hanno affermato:
  • “I do not like to be continuously asked if I want to do what I just told the computer to do.”
  • “I feel like I am asked by Vista to approve every little thing that I do on my PC and I find it very aggravating.”
  • “The constant asking for input to make any changes is annoying. But it is good that it makes kids ask me for password for stuff they are trying to change.”
  • “Please work on simplifying the User Account control.....highly perplexing and bothersome at times” 
E ovviamente dopo il "mea culpa" vengono anche ipotizzate le soluzioni che espiano il peccato:

Based on what we’ve learned from our data and feedback we need to address several key issues in Windows 7:

  • Reduce unnecessary or duplicated prompts in Windows and the ecosystem, such that critical prompts can be more easily identified.
  • Enable our customers to be more confident that they are in control of their systems.
  • Make prompts informative such that people can make more confident choices.
  • Provide better and more obvious control over the mechanism.

Chi di voi ha VISTA sa che il suo punto debole non è l'UAC ma le prestazioni che effettivamente non sono paragonabili a XP SP2. Ma è anche vero che siamo ancora solo alla SP1.
Microsoft ha deciso di uscire con un nuovo SO solo per una questione di marketing. Una SP3 (la SP2 è già programmata) di VISTA non avrebbe l'effetto "azzerante" sul cattivo nome che VISTA si è fatto.

Mi diverto sempre quando sento qualche collega super-mega-esperto che inveisce contro VISTA asserendo che l'usabilità di questo SO è indecente e che era meglio, magari, Windows 2000. Mi diverto perché Microsoft è forse una delle poche software house con Lab di usability di tutto rispetto e se propongono innovazioni (poche a dire la verità su VISTA) è perché evidentemente i loro test hanno dato un esito positivo rispetto a queste.

Ma mentre il mondo è impegnata a combattere il vecchio gigante stanco, Google diventa padrone non dei nostri PC ma delle nostre informazioni, comprese le mie! 

Mea Culpa.

lunedì 1 dicembre 2008

L'ultimo mito cade: Apple consiglia di usare antivirus

Alla faccia di tutti quelli che affermano: "I Mac sono più sicuri intrinsecamente e non hanno bisogno degli antivirus".

Apple consiglia tre antivirus per i propri gioielli di famiglia.

Apple encourages the widespread use of multiple antivirus utilities so that virus programmers have more than one application to circumvent, thus making the whole virus writing process more difficult. Here are some available antivirus utilities:

  • Intego VirusBarrier X5, available from the Apple Online Store
    License: commercial
     
  • Symantec Norton Anti-Virus 11 for Macintosh, available from the Apple Online Store
    License: commercial
     
  • McAfee VirusScan for Mac
    License: commercial