Akhgari, le cui argomentazioni e proposte sono state riprese ieri in questo post del Mozilla Add-ons Blog, spiega che oggi Firefox non ha modo di riconoscere automaticamente quali estensioni onorino PBM e quali invece ignorino tale funzione. Il risultato è che certi add-on potrebbero scrivere sull’hard disk dati potenzialmente sensibili anche quando l’utente ha attivato la navigazione anonima, e questo senza che il browser possa ravvisare la violazione e avvertire l’utente.

Akhgari ha dunque proposto una policy, peraltro già accolta dai coordinatori di addons.mozilla.org (AMO), che stabilisce che tutte le estensioni che registrano dati personali o potenzialmente sensibili – come URL visitati, segnalibri, contenuti di pagine web, dati delle form, dati personali dell’utente ecc. – debbano esplicitamente supportare PBM, e dunque astenersi dal registrare certe informazioni quando la navigazione anonima è attiva.

La policy verrà da subito applicata a tutti i nuovi add-on, mentre agli autori delle estensioni preesistenti Mozilla fornirà due mesi di tempo per adeguarsi alle nuove regole: trascorso questo arco di tempo, gli add-on che non rispetteranno la policy verranno eliminati da AMO.

Akhgari ammette che la disamina degli add-on non sarà un compito facile, soprattutto perché non può essere automatizzata: “Ancora una volta – ha detto lo sviluppatore – si rivelerà preziosa la collaborazione degli autori”.

Secondo il blog di ADO, la nuova policy entrerà ufficialmente in vigore verso la fine di marzo. Nel frattempo vale il vecchio detto: “Fidarsi è bene…”.

Secondo NetWitness la botnet ha “pupari” che vivono nell’Europa dell’est, ha cominciato a operare nell’ultima parte del 2008 ed è tutt’ora operativa con un centro di “comando & controllo” situato in Germania. Alla base dell’attacco c’è il “caro” e vecchio phishing, con messaggi di posta elettronica capziosi che riconducono a pagine web malevole con l’unico obiettivo di installare malware sulla macchina da infettare.

Le vittime di questo “cyber-attacco” vengono quantificare in 2.400 diverse società e organizzazioni sparse in quasi 200 paesi, incluse 10 agenzie governative degli Stati Uniti e (almeno in un caso) un account email di un militare a stelle e strisce. Oltre al controllo remoto dei PC zombificati, il malware ha permesso agli ignoti (o presunti tali) criminali di rastrellare una gran messe di informazioni e dati sensibili inclusivi di credenziali di accesso, numeri di carte di credito e via elencando. Il numero di sistemi infetti viene stimato nell’ordine di 75mila unità.

Stiamo dunque assistendo a una breccia senza precedenti nella sicurezza dei computer interconnessi di importanti istituzioni e società private? Assolutamente no, perché la stessa NetWitness identifica la matrice dell’attacco nel trojan Zeus, venduto sotto forma di “toolkit” per la creazione di malware personalizzato e ben noto alle società di sicurezza e alle autorità: al punto che le indagini hanno già condotto alla cattura di un paio di cyber-criminali inglesi che hanno fatto uso del suddetto toolkit.

La stampa e una parte della blogosfera a ruota hanno però abboccato alla (blanda) esca del Wall Street Journal e hanno titolato con strilloni apocalittici: il più grande cyber-attacco della storia, attacco hacker da record, maxi cyber-attacco a opera dei cattivi hacker (sic!) dell’Europa dell’est.

Grande risalto viene dato anche al fatto che nell’attacco sia coinvolto un soldato statunitense, fatto questo che per chi non conosce le reali condizioni-colabrodo dei network militari americani ha contribuito ad aumentare il rischio percepito e il relativo ritorno di traffico sui mezzi di comunicazione generalisti.

In quanto alle dimensioni della botnet, poi, è sufficiente rinfrescare un poi la memoria della storia recente per ridimensionare drasticamente il cosiddetto “più grande cyber-attacco della storia”: la stessa botnet Zeus nel suo complesso dovrebbe al momento includere 3,6 milioni di PC compromessi (ben al di là dei 75mila individuati da NetWitness), mentre i casi più eclatanti già registrati negli annali includono lo Storm Worm (con stime variabili tra 1 milioni e 50 milioni di PC infetti) e il sempreverde Conficker (10 milioni di sistemi o giù di lì). Di cui i mass media, a cui fa evidentemente difetto la memoria, hanno già abbondantemente parlato in passato.

L’occhio di Google è dunque arrivato quasi ovunque, all’interno del Whistler Olympic Park, per mappare le vaste distese di neve, mostrarle ai netizen che non potranno assistere dal vivo ai Giochi. In aggiunta, una sorta di tour in tre dimensioni, realizzato dai tecnici di Mountain View per ricostruire le principali infrastrutture dei giochi di Vancouver.

Auto e motoslitte si sono dunque messe all’opera, al servizio del grande occhio di Street View. E se in Canada le googlecar hanno scaldato i propri motori, in Germania li hanno spenti da un po’.

Tutta una bufala quindi, il tracciamento avvenuto a Berlino della googlecar attraverso un dispositivo GPS nascosto. Uno scherzo architettato dal Free Art & Technology Group, manica di burloni dediti alla creatività artistica. L’inseguimento è sì avvenuto, ma relativamente ad un’auto messa a disposizione dello stesso gruppo. Quindi non una vettura ufficiale di Google.

A renderlo noto, un secondo articolo del quotidiano britannico Guardian, che aveva parlato in precedenza dell’anomalo inseguimento per le strade di Berlino. La stessa BigG, venuta a conoscenza del primo articolo, ha provveduto a contattare il quotidiano, sottolineando come un tracciamento del genere non sarebbe potuto proprio accadere.

Le googlecar sono infatti a motori spenti in Germania, data la generale inclemenza del tempo atmosferico e una scarsa disponibilità della luce ottimale per gli scatti del servizio Street View. Scatti che riprenderanno presto, stando alle dichiarazioni di Mountain View. Il giornalista del Guardian si è così scusato con i suoi lettori, per non aver pensato prima alle condizioni meteo attuali di Berlino, poco appetibili per le auto di BigG. Con tanto di frecciatina al gruppo di burloni.

Una coppia di Pittsburgh, Aaron e Christine Boring, aveva fatto causa a Google nel 2008 per violazione della privacy e negligenza nel pubblicare le foto su Internet della loro residenza. Inoltre, dal momento che i coniugi vivono in una strada privata, accusavano Mountain View di aver violato la loro proprietà privata, infiltrandosi per fotografarla. Oggi il processo arriva forse ad una conclusione di fatto: se violazione c’è stata, non ha causato danni.

La Corte, infatti, ha ritenuto non sussistere le accuse di violazione di privacy, né l’abuso nel pubblicare le foto, che sono in seguito state rimosse. Per quanto riguarda invece l’accusa di violazione di proprietà privata, la Corte riconosce in parte le ragioni della coppia ma minimizza l’effettivo danno subito: a loro, dunque, ora l’onere della prova degli eventuali danni subiti, non potendo ottenere i 25mila dollari richiesti per violazione di privacy ed eventuali danni morali.

Se non riusciranno, in pratica, a dimostrare di aver subito effettivamente dei danni, potrebbe configurarsi un risarcimento di appena un dollaro (come stabilito dal precedente chiamato in causa dalla Corte). Una cifra del tutto simbolica, che dovrà quindi bastare nel caso in cui le ragioni della coppia fossero puramente di principio.

Contornando il suo articolo di screenshot catturati nelle varie sessioni di “sniffing” condotte su Internet Explorer 8, Edelman prova che nel caso in cui fossero attive le “caratteristiche avanzate” (vale a dire la visualizzazione del PageRank delle pagine web e Sidewiki per commentare i siti Internet) la toobar di Google continua a comunicare i dettagli di navigazione dell’utente ai server di Mountain View.

Il problema, che dal Googleplex definiscono “bug” e assicurano di voler risolvere con il prossimo upgrade al software, non si presenta su Internet Explorer 7, Firefox o Chrome. Google sostiene che l’incidente ha influenzato la navigazione di un numero limitato di utenti senza però rivelare alcun dato preciso a riguardo.

Le critiche di Edelman (già consulente di società concorrenti di Google e impegnato anche in una causa legale contro Mountain View) vanno però oltre la toolbar, coinvolgendo le modalità di controllo delle caratteristiche del tool e l’EULA visualizzata in occasione dell’installazione.

Le “enhanced features” che continuano a comunicare con i server remoti sono estremamente facili da attivare, dice il ricercatore, non altrettanto da disabilitare e la cosa non gioca certo a favore della privacy degli utenti. Per quanto riguarda l’accordo di licenza, inoltre, le modalità di visualizzazione che ne complicherebbero inutilmente la consultazione sarebbero una ulteriore conferma della scarsa attenzione di Google per le legittime istanze di trasparenza manifestate dai netizen.