| V I S U A L I Z Z A D I S C U S S I O N E |
| admin |
Inserito il - 10/03/2006 : 12:02:59
Skype bara con Intel; Mac "bucato" in 30 minuti, ma c'è il trucco
by Paolo Attivissimo
__Skype, limite di chiamate artificioso favorisce Intel__
Chi usa Skype per telefonare via Internet e ha un computer con
processore AMD si sarà accorto che Skype consente un massimo di
cinque partecipanti a una chiamata. Chi invece ha un processore Intel
Dual-Core può gestire dieci partecipanti. Ma questo non avviene
perché il processore Intel è più potente: avviene semplicemente
perché Skype contiene un'istruzione che rifiuta arbitrariamente certi
processori, col risultato di far credere agli utenti di avere un
processore "insufficiente" e indurli a comprarne uno più potente.
E' stato insomma introdotto un limite artificioso nel programma al
solo scopo di far vendere più processori, specificamente processori
Intel. Ah, le gioie del software chiuso: quando ti dicono che dentro
ci può essere di tutto, è questo che intendono. Mi pento di aver
consigliato Skype all'epoca in cui esordì.
Le prove di questo comportamento scorretto sono ottime e abbondanti.
Maxxuss, uno smanettone russo già noto per i suoi successi
nell'aggirare i sistemi di protezione di Mac OS X Intel per farlo
girare anche su computer non-Apple, ha pubblicato una patch per Skype
che toglie il limite di cinque partecipanti (il sito è però
irraggiungibile al momento in cui scrivo):
http://maxxuss.com/home/skype.html
A detta di chi l'ha provata, la patch permette a Skype taroccato di
funzionare benissimo in conferenza a dieci anche su processori AMD e
su quelli Intel non-Dual Core.
Come se questo non bastasse, c'è anche l'ammissione del trucchetto,
messa nero su bianco da Intel stessa in un articolo di Cnet:
http://news.com.com/Intels+mantra+Lets+make+a+deal/
2100-1006_3-6038282.html
"La settimana scorsa [l'articolo è del 13 febbraio 2006) Intel
ha stretto un accordo con il provider voice over IP Skype che prevede
che la società di VoIP fornisca funzioni avanzate di chiamata in
conferenza esclusivamente su PC che usano chip Intel... Mosse come
l'accordo con Skype, che durerà per un periodo limitato ma non noto,
sono un modo per impedire ad AMD di conquistare clienti che vogliono
usare applicazioni come la conferenza a dieci di Skype... Un
rappresentante di Intel ha dichiarato che negli attuali processori
Pentium D o Core Duo di Intel non ci sono istruzioni specifiche che
aumentano le prestazioni delle applicazioni VoIP. Skype utilizza
un'operazione denominata "Get CPU ID" per identificare il tipo di
processore".
In altre parole, Intel sta usando Skype per battere AMD non sulla
base della qualità dei propri processori, ma tramite alleanze
commerciali che facciano terra bruciata intorno ad AMD. Per usare una
frase famosa in un'altra circostanza analoga, Intel usa Skype per
"tagliare il tubo dell'ossigeno" alla concorrenza:
http://www.businessweek.com/microsoft/updates/up90129a.htm
E Skype, gioiosamente, acconsente. Roba da antitrust? Già fatto:
http://news.com.com/AMD+files+antitrust+suit+against+Intel/
2100-1001_3-5765844.html?tag=nl
Direi che è il momento di far sapere ai signori di Skype che questi
giochetti da compare del monopolista non sono accettabili. C'è un
modo molto semplice ed efficace per farlo: cancellare la propria
iscrizione a Skype. Io lo farò appena avrò esaurito il mio credito, e
ho già chiuso tutte le altre mie iscrizioni. Passerò a programmi
analoghi basati sugli standard aperti SIP e Jabber. E voi?
__Mac "bucato" in 30 minuti? Niente panico, se non spalancate la porta__
Questo articolo vi arriva grazie alle gentili donazioni di
"p_barnabe" e "daniela".
Ultimamente c'è più interesse del solito per ogni notizia che
riguarda la sicurezza del Mac. A volte la fame di scoop (magari
mescolata con un po' di voglia di consolarsi in stile "mal comune,
mezzo gaudio") spinge a gonfiare notizie in realtà banali fino a
farne nascere un allarme generale inutile e deleterio.
E' il caso, per esempio, della notizia di un Mac bucato entro trenta
minuti dalla sua messa in Rete per sfida. Ne parla ZDNet:
http://news.zdnet.com/2100-1009_22-6046197.html?tag=nl.e589
Il 22 febbraio scorso, un utente Mac svedese ha collegato il suo Mac
Mini a Internet e ha sfidato gli esperti a "bucarglielo", ossia
superarne le difese e acquisire privilegi di root (che consentono
all'intruso di fare qualsiasi cosa, come cancellare file e installare
programmi):
http://rm-my-mac.wideopenbsd.org.nyud.net:8090/
Sei ore (non trenta minuti) dopo l'annuncio della sfida, il Mini era
stato violato da un utente identificatosi come Gwerdna, ossia "Andrew
G." a rovescio, che ha dichiarato di averci messo una mezz'oretta
scarsa (ecco i famosi 30 minuti) usando delle falle non documentate
di Mac OS X.
A molti è venuto spontaneo il paragone con Windows pre-Service Pack
2, che notoriamente veniva bucato e infettato mediamente entro sedici
minuti dalla messa in Rete, secondo una ricerca (PDF) dell'Internet
Storm Center di agosto 2004:
http://www.sans.org/rr/papers/index.php?id=1298
Ma il paragone è decisamente fallato, e gli utenti Mac non devono
farsi prendere dal panico (né subire gli sberleffi e i "te l'avevo
detto" degli invidiosi).
La sfida, infatti, era basata su un Mac OS X intenzionalmente reso
più vulnerabile:
* Il servizio vitale ssh era stato reso accessibile da Internet
(nella configurazione standard del Mac non lo è).
* Il Mac era stato attivato come server Web (cosa che non avviene
nell'uso normale).
* Cosa peggiore, lo sfidante concedeva a chiunque di creare account
sul Mac da remoto; un comportamento assolutamente non normale e molto
imprudente. Quando un intruso riesce ad ottenere un account locale
sulla macchina-bersaglio, il più è fatto (è come se fosse fisicamente
davanti al computer): la vera difficoltà sta nell'ottenere questo
account locale, cosa che invece in questa sfida non era necessario fare.
In pratica, lo sfidante ha invitato gli intrusi ad entrargli in casa
dopo aver dato loro la chiave della porta principale ed aver chiuso a
chiave soltanto le porte interne. Non è un granché come sfida: è una
privilege escalation, ossia l'acquisizione illecita di privilegi di
amministratore da parte di un utente non privilegiato (la porta
blindata di casa è aperta, il ladro è già in casa, non gli resta che
scassinare la serratura delle porte interne). Cosa non certo
trascurabile, ma molto meno drammatica di quel che potrebbe sembrare
leggendo distrattamente la notizia sensazionalista di ZDnet.
Il popolo di Slashdot ha fatto a pezzi la sfida:
http://apple.slashdot.org/apple/06/03/06/1446207.shtml
Fra i tanti commenti sferzanti, ecco uno dei più sintetici: "dopo
aver dato agli scassinatori le prime tre cifre della combinazione a
quattro cifre della vostra cassaforte, lo scassinatore più veloce
riesce ad aprirla in meno di trenta minuti". Roba da panico generale,
insomma.
Siccome la notizia non mancherà di essere diffusa e distorta, dando
impressioni errate agli utenti Mac, Dave Schroeder, un Macchista
esperto dell'Università del Wisconsin, ha predisposto una sfida più
realistica:
http://test.doit.wisc.edu/
Ha messo in Rete un Mac Mini con su Mac OS X 10.4.5 dotato degli
aggiornamenti di sicurezza più recenti, che ha due account locali e
offre ssh e http accessibili da Internet (ma non concede account
automaticamente, a differenza dell'altra sfida). Già così è comunque
molto di più di quello che farebbe un Mac in condizioni normali di
utilizzo ed è più simile a quello che farebbe un Mac usato come
server Web.
La nuova sfida è stata lanciata il 6 marzo, ma è stata interrotta in
quanto non approvata formalmente dall'Università. Secondo Slashdot,
la nuova sfida è stata conclusa dopo 38 ore, nelle quali sono stati
effettuati attacchi DoS occasionali e 4000 tentativi di login su ssh.
La sfida ha generato 6 milioni di eventi loggati dal firewall e un
picco di banda di 30 Mbps. Nessun tentativo di penetrazione ha avuto
successo.
Per chi fosse interessato a irrobustire il proprio Mac OS X, ecco
alcuni manuali (in inglese):
* Messa in sicurezza di Tiger (Corsaire.com, PDF)
http://www.corsaire.com/white-papers/050819-securing-mac-os-x-tiger.pdf
* La guida dell'NSA (sì, quella NSA)
http://www.nsa.gov/snac/downloads_macX.cfm
* La documentazione di sicurezza Apple
http://www.apple.com/support/security/commoncriteria/
Ciao da Paolo.
-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-
(C) 2006 by Paolo Attivissimo (www.attivissimo.net).
|
|
|
![[AmadeuX BiblioForum]](https://www.amadeux.it/forum/immagini/amadeuxcomm1.jpg "[AmadeuX BiblioForum]")
