Privacy: come eliminare il tracciamento della pubblicità comportamentale

Ho appreso stamane da New Blog Times che la Network Advertising Initiative, l'associazione di 60 delle principali reti pubblicitarie che abitualmente tracciano le abitudini Internet degli internauti,ha messo a disposizione degli internauti la possibilità di eseguire un opt out, ovvero di uscita, dal tracciamento dai vari circuiti che propongono pubblicità sulla base delle abitudini di navigazione.
Incuriosito, sono andato a provarlo qui.

Come avviene l'opt-out
Attraverso il rilascio di un cookie contenente un codice da ognuno dei siti dei circuiti di tracciamento.

Come verificare che venga rilasciato il cookie
Ho dapprima cancellato tutti i cookie del mio browser, ho poi richiamato la pagina di cancellazione rimuovendomi da ogni circuito e ho poi verificato il contenuto dei cookie di Firefox.
Effettivamente appaiono dei nuovi cookie i cui codici fanno sembrare che l'optout sia stato richiesto.
Verificherò nei prossimi giorni se tali cookie vengono mantenuti e se non ne vengono aggiunti altri.

Il vantaggio dell'opt-out sulla cancellazione completa dei cookie
La cancellazione completa dei cookie rimuove ogni possibilità di collegamento con la storia pregressa dal momento della rimozione in poi, ma, una volta iniziato a navigare normalmente, quando si capita su un sito che aderisce a un circuito di behavioral advertising verrà comunque rilasciato un cookie per il tracciamento che vi seguirà nella navigazione.
Inserendo invece un cookie di opt-out, anche qualora visitaste un sito che potrebbe tracciarvi, non vi verrà rilasciato nessun nuovo cookie, e nessun cookie verrà aggiornato.

Se decidete di aderire all'opt-out globale, come misura precauzionale, consiglio comunque di ritornare spesso sulla pagina di verifica dell'opt-out per deselezionare i circuiti di cui non vi aggrada far parte (io li ho rimossi totalmente).

Le fotocopiartici Canon non stampano documenti sensibili!

Non si tratta di uno slogan pubblicitario, ma di una tecnologia recentemente presentata dall'azienda giapponese produttrice di tecnologie elettroniche.

La nuova versione di Uniflow, il sistema di gestione di documenti utilizzato da stampanti, scanner e fotocopiatrici della Canon, è in grado di impedire la stampa o la copia di documenti contenenti specifiche parole chiave.

Uniflow è un sistema di gestione dei documenti che permette la gestione centralizzata di stampanti, scanner, fotocopiatrici e device multifunzione, in modo da tener traccia di quanti documenti sono stati stampati e da chi, facilitando così i processi di fatturazione sia per clienti esterni, sia per i dipartimenti di un'azienda.
La nuova versione di UNiflow consente di prevenire la stampa di un documento se esso contiene parole chiave riferibili a informazioni confidenziali che non devono essere riprodotte (nomi di clienti, numeri di carte di credito o di conto corrente, codici fiscali, ecc).
Il sistema è in grado di inviare a un responsabile del controllo una copia PDF del documento in questione ed eventualmente può informare l'utente che il suo tentativo è stato bloccato.
Uniflow utilizza la tecnologia OCR (optical character recognition) dell'azienda belga Iris.
Questo tipo di strumento va a braccetto con strumenti di DLP (Data Leakage Prevention) che compiono funzioni similari e che sono già impiegati per impedire che informazioni confidenziali escano dall'azienda attraverso email, internet o dispositivi rimovibili.

(Da Andrea Rui su Linkedin in Italian Information Security Professional)

Meglio una colonscopia o la computer security? Ovvero, perchè le persone non si curano della sicurezza

Devo ammettere che trovo sempre meno interessanti le analisi, i sondaggi, le survey che ultimamente vengono condotte nell'ambito della sicurezza.
L'ultima di cui mi è giunta notizia, però, è veramente bizzarra: più di un americano su 10 preferisce farsi fare una colonscopia che impiegare il proprio tempo a occuparsi della sicurezza del proprio PC.
Ma come?!?! O, per dirla all'americana, WTF ?!?!?
E' quanto emerge da un sondaggio denominato Keep Internet Security Simple (KISS) e condotto da PC Tools, l'azienda americana specializzata in sicurezza.
I risultati dell'analisi dicono che c'è un forte desiderio da parte degli americani (io aggiungo: e non solo) di essere costantemente collegati, in qualsiasi momento della giornata, durante qualsiasi situazione (o quasi).

Vi risparmierò le interessanti indicazioni emerse a riguardo di quando e come gli americani vogliono essere connessi con PC, PDA o sSmartPhone, per focalizzarmi invece su cosa essi desiderano a proposito della loro privacy e sicurezza:

• il 79% vuole mantenere file e documenti sul computer fuori dalle grinfie degli altri, ivi compresi i figli, i genitori, i consorti, i colleghi e gli amici;

• il 45% degli americani si sentirebbe imbarazzato se amici o famiglia vedessero "certi" file contenuti in PC, PDA o SmartPhone;
• nonostante il clamore intorno a sicurezza, virus, worm, cybercrime, il 32% degli americani potrebbero scaricare del malware visitando un sito sospetto.

E qui arriva la parte più interessante: sebbene il 93% degli intervistati possegga un computer, il 76% preferirebbe fare i lavori di casa o altre attività meno piacevoli piuttosto che provvedere a ottimizzare il proprio sistema, sia in termini di sicurezza, sia in termini di stabilità. Tra le attività meno piacevoli vengono annoverate: fare il bucato (54%), cambiare il pannolino a un neonato (43%), andare dal dentista (34%), aspettare in cosa alla motorizzazione civile(20%), rimanere imbottigliato nel traffico (19%), farsi fare una colonscopia (12%).
E questo la dice lunga su come viene percepito dalla maggioranza delle persone l'approccio con i tecniciscmi dell'informatica: difficile, lungo, noioso, pedante, fastidioso, e chi più ne ha, più ne metta.
E nelle aziende la percezione non cambia: spesso mi sono trovato in difficoltà a trovare la cooperazione dei dipendenti sui temi della sicurezza. Non si capisce cosa non funzioni in queste persone. Sebbene la sicurezza sia fondamentale, non agiscono come dovrebbero.
Quello che però scordiamo è uno degli aspetti fondamentali della psiche umana: le persone non reagiscono alla realtà. Reagiscono alla loro percezione della realtà.
Si tratta di un punto critico da considerare quando cerchiamo di affiancare le necessità di sicurezza al comportamento umano.
La sicurezza è importante, ma fino a che le persone in un'azienda non lo comprendono, fino a che non introiettano questo concetto, non agiranno di conseguenza.
Può darsi che i vostri requisiti e le vostre procedure siano state sviluppate con estrema cura, siano adeguate al contesto e necessarie all'azienda, ma fino a che il personale non comprenderà che queste procedure sono necessarie, non le seguirà. Anche di fronte alla presenza di una reale minaccia, se le persone non la percepiscono come tale, non agiranno di conseguenza.
E' necessario quindi un impegno preciso mirato a far cambiare la mentalità della gente: un programma di formazione sulla sicurezza che conduca a una security awareness diffusa deve quindi tener conto di elementi motivanti e di componenti che facciano capire il reale vantaggio, anche personale (perché è il fattore più motivante in assoluto), che si può avere da una maggior sensibilità verso questi temi.

Google implementa l'autenticazione a due fattori sulle Google Apps

Fino a oggi, Google ha permesso di accedere agli account delle Google Apps attraverso un'autenticazione tradizionale mediante nome utente e password.
L'utilizzo sempre maggiore che viene fatto delle applicazioni di Google anche a livello professionale ha spinto il gigante della ricerca-e-non-solo a implementare un'autenticazione a due fattori, completamente gratuita e in grado di utilizzare un mezzo che tutti ormai hanno a disposizione: il telefono cellulare.
A differenza però di vari sistemi già adottati, ad esempio dai servizi di online banking, Google permetterà sia di ricevere una one-time-password via SMS, sia di installare una app sul proprio smartphone in grado di generarla.
Il codice di verifica generato o ricevuto dovrà essere inserito successivamente al nome utente e password.

Disponibile al momento solo negli Stati Uniti e solo nella versione a pagamento delle Google Apps, tra pochi mesi verrà rilasciato nella versione standard aperta a tutto il pubblico.
L'implementazione di Google è basata su uno standard aperto e l'app sarà open source, integrabile eventualmente con tecnologie di autenticazione di altri vendor e adattabile a svariate esigenze.

L'introduzione di un'autenticazione più efficace rimuove uno degli ostacoli che vengono percepiti dalle aziende circa l'adozione del cloud computing: la sicurezza. In questo modo Google si afferma sempre più come un fornitore di suite di produttività per le aziende

Inoltre, l'autenticazione a due fattori è stata da sempre una funzionalità cruciale e ciò che Google sta facendo è senza dubbio fondamentale perché sta aumentando il livello di attenzione nei confronti della sicurezza, affermando su scala planetaria che l'autenticazione a due fattori è una funzione ormai necessaria.
Se ce l'ha Google, devono averla anche le aziende che forniscono servizi più critici al pubblico!
Che ne pensate?

La formazione dei dipendenti in ambito sicurezza deve fare ancora molta strada

Social-Engineer.Org, un'organizzazione che ha lo scopo di aiutare le aziende a comprendere le minacce inerenti le tecniche di social engineering ha annunciato ieri la pubblicazione del rapporto finale sui risultati di una recente competizione tenutasi durante lo scorso Defcon 18 a Las Vegas. Scopo della gara era la raccolta di informazioni dalle aziende utilizzando tecniche di social engineering.
Tra le 15 aziende obiettivo di questo contest figuravano BP, Shell, Apple, Google, Microsoft, Cisco Systems, Proctor and Gamble, Pepsi, Coca-Cola, Symantec, Phillip Morris, Walmart, Mcafee e Ford.
Il rapporto pubblicato sul sito di Social-Engineer.Org rivela interessanti e al contempo allarmanti dati.
Ad esempio che non è necessario essere un esperto navigato in social engineering per penetrare con successo un'azienda: un attaccante senza esperienza ha comunque un facile accesso a risorse gratuite come Facebook, LinkedIn, Twitter, Google Search e Google Street View, risorse che, congiuntamente ai call center e agli uffici di customer service, costituiscono un'ottima fonte di informazioni da molte delle aziende obiettivo.
Per cercare di carpire informazioni dalle aziende "più tenaci" si è ricorsi a varie tecniche tra cui l'uso di pretesti credibili quali i sondaggi sulla soddisfazione dei dipendenti, camuffarsi da clienti inetti o da agenzie di collocamento per intervistare quegli impiegati che avevano pubblicato il curriculum vitae in un sito di ricerca lavoro.
L'obiettivo non era di raccogliere informazioni sensibili, ma di catturare delle "bandiere" corrispondenti a informazioni che possono costituire le basi per approntare un vettore di attacco successivo.
Ecco alcuni esempi di dati da raccogliere:

• esistenza di una rete wireless aziendale;
• il nome della rete wireless;
• l'apertura di un URL;
• le versioni di browser, lettore PDF, di sistema operativo con service pack, del software antivirusm del client email;
• l'utilizzo di VPN;
• come vengono smaltiti i documenti;
• come viene smaltita la spazzatura;
• il tipo di sistema telefonico;
• il corriere utilizzato;
• il processo di assunzione e licenziamento.

I risultati dell'analisi hanno mostrato che l'impiegato medio di un call center non ha avuto un adeguato training sulla sicurezza e, per questo motivo, non riesce a individuare un potenziale pericolo nella condivisione di informazioni che lui percepisce come insignificanti. Con le informazioni corrette, ovvero grazie alle bandiere citate sopra, un social engineer può fingersi un dipendente guadagnando così la fiducia delle persone chiave che in azienda possono portarlo alla compromissione di informazioni sensibili o confidenziali.
La grande sfida che devono affrontare le aziende che vogliono difendersi da minacce di questo tipo è di inserire in maniera adeguata un training anti ingegneria sociale all'interno del piano di formazione del personale.
Perché un piano di formazione sia veramente efficace, è necessario che coinvolga tutte le persone in azienda: i call center sono uno degli anelli deboli della catena perchè spesso non sono stati sottoposti a un programma di security awareness. Questo si può tradurre in fughe di informazioni e in incremento del rischio in azienda.
Ma il call center è solo la tradizionale punta dell'iceberg, la parte più evidente del sistema.
La dimostrazione dell'inefficacia del training (o della sua inesistenza) è stata riscontrata nella mancanza di resistenza degli impiegati alle domande loro poste: quando non esistono linee guida chiare per affrontare determinate situazioni, essi agiscono come il loro ruolo richiede, ovvero essere utili alla persona che chiama.
Le aziende devono anche agire nei confronti dei social network: questi strumenti costituiscono un vettore di informazioni notevole, ma ancora questa realtà non viene percepita dalle aziende che, sebbene ne possano gestire l'accesso con sistemi tecnologici, non danno direttive su come il singolo dipendente si debba comportare nei confronti della divulgazione di informazioni aziendali.