Scarsa sicurezza proprietaria

Altri esempi di malware proprietario

Il software non libero (proprietario) è molto spesso malware, progettato per danneggiare gli utenti. Il software non libero è controllato dai suoi sviluppatori, e questo fatto mette gli sviluppatori in una posizione di potere nei confronti degli utenti; quest è l'ingiustizia di fondo. Spesso gli sviluppatori esercitano questo potere a danno degli utenti che invece dovrebbero servire.

Questa pagina elenca casi chiaramente dimostrati di scarsa sicurezza in software proprietario che ha gravi conseguenze o che è altrimenti degna di nota.

È sbagliato comparare il software libero con un'idea fittizia che il software proprietario si aperfetto, ma spesso la stampa lo fa quando viene scoperta una falla di sicurezza in un programma libero. Gli esempi qui sotto mostrano che il software proprietario non è perfetto ed è anzi abbastanza trasandato.

Sarebbe sbagliato comparare il software proprietario con un'idea fittizia di software libero perfetto. Ogni programma non banale ha bug, ed ogni sistema, libero o proprietario che sia, potrebbe avere errori di sicurezza. Errare è umano, questa non è una colpa in sé. Ma gli sviluppatori di software proprietario di frequente ignorano larghe falle, o addirittura ne introducono di nuove deliberatamente, e in ogni caso gli utenti non possono fare niente per ripararle. Questa situazione di impotenza in cui sono ridotti gli utenti è la colpa del software proprietario.

• I "cracker" hanno trovato un modo di penetrare in una “smart” TV e usare la sua telecamera per guardare le persone che stanno guardando la TV.

• Molti modelli di telecamere connesse ad Internet contengono backdoor.

  Questo è un grave problema di sicurezza: chiunque, compresi malintenzionati, può trovare quelle credenziali e usarle per penetrare nelle telecamere degli utenti.

• Il driver Conexant HD Audio (versione 1.0.0.46 e precedenti) pre-installato su 28 modelli di portatili HP scriveva su un file i tasti premuti dall'utente. Qualsiasi processo con accesso al filesystem o all'API MapViewOfFile poteva ottenere accesso al log. Inoltre, secondo modzero l'uso di tecniche di tipo "Covert Storage Channel" permette agli autori di malware di trasmettere i tasti premuti senza correre il rischio di essere classificati come software pericoloso dai controlli euristici degli antivirus.

• Il codice proprietario che fa funzionare pace-maker, pompe di insulina e altri dispositivi medici è pieno di problemi di sicurezza.

• Attacchi che sfruttano difetti di Windows, sviluppati originariamente dalla NSA e poi trafugati dal gruppo Shadowbrokers, vengono ora usati per colpire molti computer Windows e richiedere un riscatto.

• La backdoor delle CPU Intel, nota come —the Intel Management Engine—, ha avuto una grave falla di sicurezza durata 10 anni.

  La vulnerabilità permetteva a un cracker di accedere all'interfaccia web di Intel Active Management Technology (AMT) senza password e di ottenere accesso amministrativo con accesso a tastiera, mouse, monitor e altri privilegi.

  Per giunta, nei processori Intel più moderni è impossibile disattivare l'Intel Management Engine, quindi anche gli utenti che volessero prendere misure precauzionali non possono farci nulla a meno di usare macchine che non presentino la backdoor.

• Molti dispositivi Android possono essere violati tramite il chip Wi-Fi a causa di un problema di sicurezza nel firmware non libero di Broadcom.

• Quando la lavatrice di Miele per uso ospedaliero del tipo che chiamiamo "Internet of Stings" viene connessa ad Internet, la sua sicurezza è nulla.

  Ad esempio un malintenzionato può accedere al filesystem della lavatrice, infettarla con malware, e costringere la lavatrice a lanciare attacchi ad altri dispositivi nella rete. Dato che queste lavatrici sono usate negli ospedali, questi attacchi potrebbero mettere a rischio centinaia di vite.

• WhatsApp ha una funzione che è stata descritta come “backdoor” perché consentirebbe al governo di annullare la cifratura del testo.

  Gli sviluppatori, forse anche in buona fede, dicono che non era intesa come backdoor, ma questo lascia aperto il dubbio se qualcuno la possa usare come tale. Dato che il programma non è software libero non possiamo controllarlo.

• I giocattoli “smart” My Friend Cayla and i-Que possono essere controllati da remoto con un telefono cellulare; non è necessario l'accesso fisico. Questo permetterebbe ai malintenzionati di ascoltare le conversazioni di un bambino e persino di parlare attraverso i giocattoli.

  Ad esempio un ladro potrebbe chiedere a un bambino, attraverso il giocattolo, di aprire la porta mentre la mamma è distratta.

• Le applicazioni per cellulare per comunicare con un'automobile "smart" possono avere una sicurezza molto modesta.

  In aggiunta, l'automobile contiene un modem cellulare che dice al "grande fratello" dove la macchina si trova in qualsiasi momento: se avete una di queste auto, sarebbe bene disconnettere il modem per disattivare il tracciamento.

• Se acquistate un'auto, casa, TV, frigorifero di tipo "smart" da altri, solitamente il proprietario precedente può ancora controllarla da remoto.

• I telefoni Samsung hanno un problema di sicurezza che permette a un SMS di installare ransomware.

• Le reti telefoniche cellulari di tipo 4G LTE sono insicure. Possono essere controllate da terze parti e usate per attacchi di tipo "man in the middle".

• Per carenze di sicurezza è facile aprire le porte di 100 milioni di auto costruite da Volkswagen.

• È stato sviluppato ransomware per un termostato che usa software proprietario.

• Un bug di Internet Explorer ed Edge permette a un malintenzionato di ottenere le credenziali dell'account Microsoft dell'utente, se riesce a fargli visitare un link opportunamente costruito.

• WhatsApp non cancella mai davvero i messaggi. Possono essere recuperati in vari modi.

• Un problema di sicurezza nella Image I/O API di Apple permetteva di eseguire codice malevolo da qualsiasi applicazione che usava la API per mostrare un certo tipo di file immagine.

• Un bug in una libreria proprietaria ASN.1, usata nelle torri di comunicazione per cellulari, nei cellulari stessi e nei router, permette di prendere il controllo di tali sistemi.

• Gli antivirus hanno così tanti errori che possono peggiorare la sicurezza di un sistema.

  GNU/Linux non ha bisogno di antivirus.

• Videocamere di sorveglianza connesse in rete prodotte da oltre 70 marche hanno problemi di sicurezza che permettono a tutti di vedere le immagini.

• La “Smart Home” di Samsung ha un grosso problema di sicurezza; persone non autorizzate possono controllarla da remoto.

  Samsung dice che questa è una piattaforma "aperta" e quindi il problema ricadrebbe in parte sugli sviluppatori di applicazioni. Questo è chiaramente vero nel caso di applicazioni proprietarie.

  Tutte le cose "smart" con ogni probabilità vogliono ingannarvi.

• La Nissan Leaf ha un modem che permette a chiunque di accedere da remoto al computer di bordo e modificare alcune impostazioni.

  Ciò è semplice da fare perché il sistema non richiede di autenticarsi quando si accede via modem; ma anche se lo facesse, è impossibile essere certi che la Nissan non possa avere accesso dato che il software nella macchina è proprietario e quindi impone agli utenti di fidarsi alla cieca.

  Anche se nessuno si collega da remoto all'auto, la compagnia telefonica può seguire i movimenti dell'auto in tempo reale grazie alla presenza del modem; ma è possibile rimuovere il modem.

• È stato trovato malware in alcune telecamere di sicurezza in vendita su Amazon.

  Una telecamera che registra localmente, su un supporto fisico, e non ha connessione di rete, non costituisce un problema di sorveglianza, né per il fatto che la telecamera possa riprendere persone né per possibile malware nella telecamera.

• Un bug nell'applicazione di messaggistica dei vari iGadgets permetteva a un sito malintenzionato di estrarre tutta la storia dei messaggi dell'utente.

• Molte applicazioni proprietarie per i pagamenti trasmettono dati personali in modo insicuro. Tuttavia, il peggior aspetto di queste applicazioni è che i pagamenti non sono anonimi.

• I braccialetti per il monitoraggio della forma fisica di FitBit hanno una vulnerabilità Bluetooth che permette ai malintenzionati di inviare malware ai dispositivi, che in seguito possono infettare computer e altri dispositivi simili con cui entrano in contatto.

• Le funzioni di “cifratura nativa” dei dischi usano firmware proprietario per cifrare, e sono pertanto inaffidabili. I dischi “My Passport” di Western Digital hanno una back door.

• Mac OS X ha avuto per 4 anni una backdoor locale intenzionale, che gli utenti potevano sfruttare per ottenere privilegi di amministratore.

• Alcuni ricercatori in materia di sicurezza hanno scoperto falle nei dispositivi diagnostici usati per il monitoraggio e l'assicurazione dei veicoli e hanno dimostrato di poter prendere il controllo di un'auto o un camion con un semplice SMS.

• Alcuni cracker sono riusciti a prendere il controllo di un'auto “connected car” Jeep.
  Hanno dimostrato di essere in grado di conoscere la posizione dell'auto, di avviare o fermare il motore, di attivare e disattivare i freni e altro.

  Si può ipotizzare che anche Chrysler e la NSA possano fare lo stesso.

  Se si possiede un'automobile che contiene tra i suoi componenti un telefono cellulare, è opportuno considerare se disattivarlo.

• Le pompe Hospira, che sono usate per somministrare farmaci ai pazienti, sono state classificate come “il dispositivo IP meno sicuro mai visto” da un ricercatore in tema di sicurezza.

  A seconda del tipo di farmaco che viene somministrato, questa insicurezza potrebbe consentire di perpetrare omicidi.

• I criminali informatici potrebbero sfruttare problemi di sicurezza in un erogatore di farmaci per uccidere pazienti.

• La NSA può intercettare dati in vari smartphone, tra cui iPhone, Android e BlackBerry. Sebbene l'articolo non sia dettagliato a sufficienza, pare che questo non sia compiuto tramite la ben nota backdoor universale presente in tutti i telefoni cellulari. Potrebbe comportare lo sfruttamento di vari bug. Ci sono molti bug nei programmi di radiocomunicazione dei telefoni.

• Le “Smart home” (case intelligenti) sono dimostrate essere estremamente vulnerabili all'effrazione.

• Grazie alla scarsa sicurezza di WhatsApp, intercettare è un gioco da ragazzi.

• La FTC (Federal Trade Commission, l'agenzia di stato americana per la tutela dei consumatori) ha punito una società per aver creato webcam dalla sicurezza così scarsa da permettere a chiunque di usarle per spiare.

• È possibile prendere il controllo dei computer di bordo di alcune automobili inserendo malware all'interno di file musicali. O anche via radio. Ulteriori informazioni.

• È possibile uccidere la gente che fa uso di dispositivi medici prendendone il controllo via radio. Per ulteriori informazioni, seguire questo link o quest'altro.

• Molte attrezzature ospedaliere hanno pessima sicurezza, mettendo a rischio le vite dei pazienti.

• Alcuni punti di vendita basati su Windows sono stati compromessi e trasformati in una botnet adibita alla raccolta di numeri di carta di credito dei clienti.

• Un'applicazione che per evitare il “furto di identità” (accesso a dati personali) caricava i dati degli utenti su un server speciale è stata disattivata dal suo sviluppatore dopo aver scoperto una falla di sicurezza.

  Quello sviluppatore sembra essere scrupoloso circa la protezione di dati personali da terze parti in generale, ma non può proteggere quei dati dal governo. Anzi, il contrario: comunicare i propri dati al server di qualcun altro senza prima usare del software libero per crittarli mina i propri diritti.

• Alcune memorie flash (come chiavette USB) contengono software modificabile che le rende vulnerabile ai virus.

  Non chiamiamo questa una “backdoor” perché è normale che si possa installare un altro sistema operativo in un computer se si ha accesso fisico a questo. Comunque, chiavette e schede di memoria non dovrebbero poter essere modificate in questo modo.

• Un programma non libero può scrivere software non libero sostituibile su unità di archiviazione di massa. Questo rende ogni sistema vulnerabile ad attacchi persistenti e non individuabili tramite i normali metodi forensi.

• Molte applicazioni per smartphone usano metodi di autenticazione insicuri quando memorizzano i dati personali dell'utente su server remoti rendendo così vulnerabili informazioni come indirizzi e-mail, password e informazioni sullo stato di salute. Dato che queste applicazioni sono proprietarie è impossibile sapere di preciso quali siano a rischio.