
14 Novembre 2016
Un sistema informatico senza alcuna falla di sicurezza è ormai utopia e per quanto un'azienda cerchi di realizzare il sistema più sicuro possibile, qualcosa sfugge sempre. I grandi colossi dell'informatica lo sanno bene e tra questi Google ha da tempo creato un programma che permette agli sviluppatori di guadagnare somme di denaro anche importanti, nel caso in cui venga trovata una vulnerabilità all'interno degli ecosistemi del gigante della ricerca.
Su Android questo ha permesso di scoprire e chiudere diversi bug ma di nuovi sono emersi recentemente anche su Nougat sfruttando il Google Pixel. Il Team Cinese Qihoo 360 ha infatti preso il controllo del Pixel in occasione del PwnFest, un evento dedicato all’hacking che si svolge in Cina.
Non solo è stato possibile aprire il Play Store e Chrome, ma attraverso un exploit è stata anche personalizzata la pagina aperta dal browser con la scritta Pwned By 360 Alpha Team.
La falla non è stata resa pubblica ma ovviamente è stata comunicata a Google per poterla chiudere quanto prima. In compenso 120.000$ sono stati vinti dal Team che ha trovato importanti problemi di sicurezza anche in Safari, Edge e altri software importanti oltre che su Adobe Flash vincendo un totale di 520.000$.
Commenti
bravo! raccontalo pure ai tuoi colleghi e al tuo capo cosí vieni licenziato x giusta causa e ti becchi anche una denuncia x danni... io fossi in te cancellerei il commento e l´account (tra l´altro fatto dal tuo account con oltre 900 commenti immagino tutti fatti da IP "sicuri") magari qualcuno contatta la Postale, anche se sono degli incapaci un poveraccio come te lo beccano di sicuro e col DDl del 2014(se non mi sbaglio) incassano pure bene (fino a 10000 euro per "aggressioni alla riservatezza dei dati e delle comunicazioni informatiche" , inoltre non puoi + interstarti una scheda sim o un contratto internet x 5 anni), e nel caso i tuoi colleghi giá lo sappiano incomincerei a chiedergli di non farne parola e a offrirgli il caffé tutte le mattine)
Ma come si chiamano queste app
Bhe certo, poi sono appassionati quindi alla fine non è nemmeno pesante studiare quando qualcosa ti piace :)
Grande capo???
esattamente, è vero che molti sono autodidatti, ma ciò non vuol dire che non abbiano studiato...anzi!
Sono autodidatti con una mole impressionante di studio, altrochè!
Studiare mica vuol dire solo essere andato a scuola!
e se lo dice bruno, é una buona camicia per tutti!
ma dopo aver fatto la legge ed inasprito le pene bisogna formare gli agenti per trovare i colpevoli...e qui cascano gli asini.
Secondo te,uno che compra un Iphone 4S al mediaword nel 2012 a 699€ e lo rivende a 190€ rimettendoci 509€,é un genio o un fessacchiotto?Il tuttologo de sta cippa!!!
Ma che vaccate vai dicendo? Non c'è nulla da sognare anzi faresti bene a controllare prima di scrivere
Peccato che è illegale. E se la legge si evolverà presto la violazione degli account diventerà come aver commesso un furto in abitazione. Se le pene fossero dell'ordine di anni di carcere la situazione cambierebbe presto.
Sogna.
Le patch le ricevo pochi e pure in ritardo e molti nenache le ricevono, nascono con un os di mer.e e muoiono con un os di mer.a al quadrato.
Figurati arrivano in ritardi sui prodotti di google e quelli dopo due anni non sono piu supportati a livello di os.
Mai piu android per i miei gusti,forse fra qualche decennio.
In 8 anni ancora non ha capito come si programma google.
Ho resistito abbastanza te che dici?
Si quando gli aggiornamenti non fanno casini.
Se usa androdi può spendere anche 10000€ delle mer.a rimane
120.000$ a grifon d'oro
Scusa per la mia ignoranza ma faccio qualche lavoro saltuariamente come programmatore HTML e CSS e il PHP non lo tocco nemmeno :)
Mi sa che hai un po' di confusione sulla questione PHP.
PHP serve a generare la pagina lato server. Il tuo browser non lo vede nemmeno. Se tu hai il controllo sul codice PHP vuol dire che sei TU l'autore di quella pagina! E in quel caso... beh... generala direttamente senza codice JS malevolo... non so se mi sono spiegato bene?
La tua domanda equivale a: "sono un cioccolataio, c'è modo di rimuovere l'olio di palma dalla mia cioccolata??". Producila direttamente senza se non ce la vuoi mettere!!! (esempio stupido, ma giusto per capirsi :D)
Quindi per rendere una pagina più sicura basterebbe, dopo che la sorgente ha eseguito il codice javascript, farlo sparire del tutto inserendo tramite funzione PHP un display:none; dentro i tag <script></script>. Giusto?
Di solito no, dato che, anche se riesci a scatenare un overflow o simile con semplice HTML (difficile, i parser sono molto robusti ormai) tipicamente ti serve comunque del codice di scripting per poi eseguire le operazioni che sfruttano l'exploit.
Ma come dicevo, non è mai detto... ad esempio stagefright sfruttava una vulnerabilità del player video, quindi in quel caso bastava il tag HTML5 "<video>" e si riusciva a far danni. Nella maggior parte dei casi, comunque, il vettore di attacco è JavaScript.
Ma se la pagina che arriva a me non ha nessuno script aperto ma solo una head, un pezzo di body con relativi css e basta è comunque possibile?
PHP è un linguaggio "server side" che in pratica esegue la sua logica e i suoi conti sul server e poi rimanda al client (il tuo browser) una pagina HTML che può o meno contenere codice di scripting (JavaScript) o qualsiasi altro contenuto.
Il fatto che il sito "non abbia animazioni" non vuol dire nulla, fare animazioni è UNO degli usi di JavaScript, ma non c'erto l'unico, può anche essere usato per eseguire operazioni logiche che non hanno alcun effetto "visibile" sulla pagina.
Quindi no, non importa con quale linguaggio sia generata la pagina lato server (PHP, Java, semplice pagina statica HTML, ecc.), l'importante è il contenuto della pagina quando arriva al client, cioè al tuo browser.
Piace vincere facile a questi
ho detto che s7 l'ha ricevuta prima dei nexus ed infatti è cosi!
Hai dimenticato "esticaxxi"
S6 ha ricevuto quella di ottobre a novembre... La patch di novembre l'hanno ricevuta materialmente prima i Nexus e i Pixel, come nel 99% dei casi... e per "materialmente" intendo che puoi installarla, non che hai letto l'annuncio sul blog.
Bravo!!!
Guarda che stai parlando con uno che espleta il 95% delle funzioni col suo smartphone vocalmente,esperto di anime giapponesi e chi più ne ha,più ne metta!!!
Calcola che se sono bravi ne vincono altri di premi, di sicuro hanno più soldi di me
Tutti, li ricevono nel mese in corso, samsung subito ad inizio mese.
La patch di novembre lha ricevuta prima s7 e poi nexus e pixel.
Solo?
Non sono un volontario e non sono per nulla arrogante, dico solo come sono le cose nella realtà, ma la verità fa male
Eh ma non lo devi spiegare a me, ma ad un certo KenZen che crede di sapere ma in realtà noterai te stesso...
Credevo intendessi fuori dalla discussione, che per me si chiude qua.
Saluti
di per sè non è illogico preferire il sistema più sicuro solo perché non è sicuro. le scelte si basano sul calcolo delle probabilità. tra un sentiero con 1000 mine e uno con 100 mine quale sceglieresti?
ovviamente, dipende anche da quanto la sicurezza è importante per te. a me ad esempio importa relativamente, non sono così sprovveduto da avere comportamenti a rischio e nel mio smartphone non c'è nulla che sarebbe particolarmente grave fosse violato.
e c'è da dire che mentre per un sentiero minato è semplice contare le mine, in un sistema informatico non è così banale e scontato stabilire quale è più sicuro.
no non è affatto una cosa stupida, è anzi l'unica!
M magari fossi fuori, sai come mi diverirei
Sei fuori da adesso.
Saluti
Certo, senza studiare duramente si fa un bel lavoro. Uno può imparare le cose anche continuando a farle, non per forza si deve studiare però ovviamente chi ha studiato conosce tutto molto meglio.
Le ricevono solo gli ultimi modelli e in ritardo rispetto a Nexus e Pixel, i quali le ricevono tempestivamente all'inizio di ogni mese e per 3 anni. Io sono più autorevole di Nic.
Il mio italiano forbito è oltremodo più che sufficiente, la maleducazione sei tu che lo stai dicendo altrimenti a quest'ora sarei fuori, e terzo ti ho già fornito un'immagine in cui ti smentisci da solo, negando pure l'evidenza.
Sei proprio povero sai, e non parlo di soldi....
Del perché ti abbiano scelto non lo so, spero non per il tuo italiano forbito e nemmeno per la tua conclamata maleducazione.
In ogni caso non capisco cosa abbia a che fare la tua professione con l'argomento ma tant'è.
Ah... "perché quello sei per cosa scrivi"??? Ahahahahahahahaaha
Saluti
Non intendevo questo.
Saluti
Le patch mensili le ricevono tutti i top, samsung persino medi e base patcha mensilmente, quindi che rimane? La foga di avere presto il nuovo numerino e fare da beta tester? Secondo te perché nic scrisse tra i contro del pixel "perennemente in beta"?
di per sè non è illogico preferire il sistema più sicuro solo perché non è sicuro. le scelte si basano sul calcolo delle probabilità. tra un sentiero con 1000 mine e uno con 100 mine quale sceglieresti?
ovviamente, dipende anche da quanto la sicurezza è importante per te. a me ad esempio importa relativamente, non sono così sprovveduto da avere comportamenti a rischio e nel mio smartphone non c'è nulla che sarebbe particolarmente grave fosse violato.
e c'è da dire che mentre per un sentiero minato è semplice contare le mine, in un sistema informatico non è così banale e scontato stabilire quale è più sicuro.
E devi comunque studiare da solo
Cosa centranoni test, istruttori ecc.? Uno può studiare anche da solo
Similmente è aver al porta di casa aperta e lasciare entrare i ladri tranquillamente, ma non avere nulla da rubare.
Questo è il concetto di fondo, perché se no hai nulla da rubare nessuno si interessa a te.
Ed invece se avessi qualcosa da farti rubare allora adottare la stessa strategia per come farebbero le aziende, niente sul terminale, tutto in rete e controllo ogni tot per verificare se tutto è ok, nel caso in cui nolo fosse cambiare la modalità di informazione di accesso.
Guarda, sarà una cosa stupida, ma lo stesso sistema è applicato persino nei governi (se un terminale viene rubato si cambiano i codici).
E con questo chiudo
Gli hackers sono autodidatti nell'hackerare. Sicuramente poi devi sapere come funziona la macchina per fare un bel lavoro, ma non credo sia necessario assolutamente...
Beati loro, chissà quante Goleador...
scusa se mi inserisco nel confronto, fondamentalmente la penso come te e mi trovo più vicino al tuo punto di vista, c'è però un aspetto che vorrei sottolineare: la differenza tra la porta di vetro e la porta blindata non è data solo dal fattore tempo, ma anche dal fattore opportunità. se è vero che "l'occasione fa l'uomo ladro" è un proverbio che rigetto in buona parte, è anche vero che almeno parzialmente risponde alla realtà e sarai soggetto a più attacchi a casa rispetto a se avessi la porta blindata, dove ti attaccheranno solo professionisti.
similmente, è da preferire un sistema che ti può bucare un hacker a uno in cui riesce a entrarti la fidanzata, che magari per utenti non importanti come possiamo essere noi può essere la prima cosa. :)
per fortuna credo che questo minimo di affidabilità lo offrano tutti, per cui il problema non si pone, ma volevo integrare con questo aspetto alla discussione per completezza:)