Non so bene come valu­tare l’ultimo periodo per Apple. Da una parte gli affari vanno bene (1, 2) ma dall’altra sono stati com­bi­nati diversi casini: la tran­si­zione a MobileMe; la qua­lità di MobileMe stesso; la que­stione della salute di Jobs; infine, l’attesissima patch con­tro l’inquinamento della cache (cache poi­so­ning) del DNS.

Non cono­sco i det­ta­gli spe­ci­fici di que­sta ver­sione ma, par­lando in ter­mini gene­rali, il cache poi­so­ning con­si­ste nel fare in modo che, quando inter­ro­ghiamo il DNS per chie­dere a quale indi­rizzo IP cor­ri­sponde un certo nome di domi­nio, come ad es. refactor.it, non otte­niamo in rispo­sta l’indirizzo cor­retto ma un altro, con­sen­tendo in que­sto modo all’autore del cache poi­so­ning di indi­riz­zare gli ignari utenti su siti che nulla hanno a che fare con quelli veri: voi pen­sate di acce­dere al vostro conto in banca e in realtà dall’altra parte c’è già qual­cuno che si frega le mani (sì, lo so che state pen­sando che non è poi così diverso dal ban­chiere ma è per ren­dere l’idea).

Ora, come spesso suc­cede, que­sta vul­ne­ra­bi­lità è stata sco­perta molto tempo fa (circa sei mesi) e il respon­sa­bile, Dan Kaminsky, ha tenuto segreta la cosa dando così il tempo di tro­vare il rime­dio. Come altret­tanto spesso suc­cede, la noti­zia è tra­pe­lata ed è scat­tata la corsa fra i cer­ca­tori del rime­dio e i cer­ca­tori del rag­giro. (3)

In tutta que­sta tra­fe­lata corsa nel rimet­tere insieme i cocci, chi è rima­sto cla­mo­ro­sa­mente indie­tro è stata Apple, che solo ieri ha rila­sciato la patch e solo per Mac OS X Server. È pro­ba­bile che la causa di que­sta len­tezza sia legata al pro­cesso di con­trollo qua­lità a cui sono sot­to­po­sti gli aggior­na­menti soft­ware ma ciò non toglie che Apple non è stata in grado di rea­gire in modo tem­pe­stivo e que­sto va cor­retto, altri­menti il mer­cato enter­prise rimarrà sem­pre in mano ad altri e per buoni motivi.

Altri link:

• “DNS Clients Have Small Vector of Risk after Patch”: un bel post sulle pro­ba­bili cause del ritardo, sulla sua gra­vità e sui pos­si­bili rimedi da uno che in Apple ci ha lavorato;
• “Opinion: Apple’s unfor­gi­va­ble DNS delay”: cri­tica severa ma giu­sta su tutto l’affaire;
• “The DNS Vulnerability”: cito di nuovo que­sto arti­colo per­ché nella seconda parte offre spunti anche per una cri­tica più radi­cale a tutta le que­stione della sicurezza.

A volte mi chiedo se tutte le varie menate sulla sicu­rezza di Mac OS X siano solo in attesa di una bella doc­cia fredda. Prendete ad esem­pio que­sto arti­colo: basta un AppleScript di una riga per diven­tare root.

Non che Mac OS X sia messo male rispetto ad altre piat­ta­forme, tutt’altro ma la sen­sa­zione dif­fusa di invul­ne­ra­bi­lità mi lascia un po’ perplesso.

Leggo che in USA ma anche in altri paesi (in Italia come siamo messi?) gli agenti di fron­tiera sono auto­riz­zati a per­qui­sire por­ta­tili, cel­lu­lari, PDA e qual­siasi altro aggeg­gio elet­tro­nico; nella per­qui­si­zione è con­sen­tito anche il down­load dell’intero disco.

Nell’arti­colo viene sug­ge­rito di usare una par­ti­zione nasco­sta (non mon­tata) o cose del genere, ma io avrei un sug­ge­ri­mento più radi­cale (e più sem­plice): usare Internet. Perché por­tarsi in giro – e ten­tare di far attra­ver­sare le fron­tiere a – dati che pos­sono essere rubati o spiati quando pos­siamo lasciarli in un posto sicuro?

E qual­cosa mi dice che i vari cat­ti­voni cer­cati attra­verso le per­qui­si­zioni (ter­ro­ri­sti, pedo­fili e com­pa­gnia bella) ci sono già arri­vati; vediamo quando ci arri­vano anche le varie poli­zie, ammesso che invece non fac­ciano solo scena con­scia­mente.

Leggendo un thread su una mai­ling list in cui si chie­deva di un buon gene­ra­tore di pas­sword, qual­cuno ha con­si­gliato 1Password, che, a giu­di­care dal video di pre­sen­ta­zione fa anche molto altro. In par­ti­co­lare, appog­gian­dosi al Keychain gesti­sce le pas­sword, gli account e i form per tutti i browser.

Mi sem­bra un bel pro­dotto! Qualcuno ha espe­rienze al riguardo?

PS: per i puri e duri del ter­mi­nale ci sono un paio di uti­lity dispo­ni­bili via MacPorts (ma anche Fink credo le abbia):

• apg;
• pwgen;
• sec­p­w­gen.

Mentre via Dashboard si può usare Make–A–Pass.

Tempo fa avevo girato un link per il reset tem­po­ra­neo della pas­sword. Su Mac OS X Hints ho visto la ver­sione per cam­biarla in modo defi­ni­tivo, sem­pre senza usare il DVD d’installazione. Il mec­ca­ni­smo è molto simile.

Cory Doctorow se n’è uscito con que­sta meta­fora che trovo effi­ca­cis­sima e che sospetto si dif­fon­derà; anche Bruce Schneier ha avuto un’intuizione simile, anche se espressa in modo meno effi­cace, anzi, ho appreso della cosa attre­verso il suo blog.

Questo mi ricorda, ancora una volta, la potenza delle meta­fore.

In ogni caso credo sia una pro­spet­tiva molto utile da cui guar­dare il pro­blema della gestione dei dati. Non avete anche voi la sen­sa­zione che tutti que­sti dati da gestire, quando lo sono, siano un pro­blema igno­riamo? Quali pre­cau­zioni pren­dete? E soprat­tutto, can­cel­late mai qual­cosa inten­zio­nal­mente, anche quando avete il disco vuoto?

Nel caso non l’aveste sen­tito, Apple ha pre­sen­tato fra le altre cose un nuovo por­ta­tile, il MacBook Air ed è abba­stanza pro­ba­bile che ne abbiate già le tasche piene dei com­menti pro e con­tro, per cui aggiungo solo un paio di info che credo siano interessanti.

La prima riguarda la bat­te­ria che, secondo la docu­men­ta­zione, non è sosti­tui­bile dall’utente finale. Detto che è ovvia­mente meglio potersi cam­biare la bat­te­ria da soli, i pareri al riguardo sono discor­danti ma in ogni caso la que­stione è pro­ba­bil­mente irri­le­vante: secondo AppleInsider la sosti­tu­zione è comun­que banale.

La seconda noti­zia, più suc­cosa tec­no­lo­gi­ca­mente, riguarda la que­stione del (man­cante) let­tore ottico. Apple, per ovviare a que­sta man­canza, for­ni­sce un pro­gramma chia­mato Remote Disc per l’installazione via rete. Rete?  Ma il MacBook Air non ha nem­meno la porta Ethernet!

Questo vuol che Remote Disc è capace di fare da ser­ver NetBoot e che il MacBook Air può fare il boot via wire­less, cosa che Apple stessa scon­si­gliava fino a ieri. La que­stione non è di poco conto sia per l’entità delle modi­fi­che pre­su­mi­bil­mente richie­ste all’EFI e alla solu­zione di “det­ta­gli” come l’accesso a WLAN crip­tate, ad esempio.

Come spesso accade, la pro­po­sta di Apple non fa molti com­pro­messi: “love it or leave it”. La mia opi­nione? Non è la mia mac­china ideale, non ora… E voi, siete tentati?

Spesso mi cullo nell’illusione che, essendo l’Italia rela­ti­va­mente attar­data nelle nuove tec­no­lo­gie, i pro­blemi di sicu­rezza siano un pro­blema poco dif­fuso; e forse la cosa è vera in ter­mini sta­ti­stici. Ma que­sto arti­colo su Netcraft ci ricorda che non è asso­lu­te­mente così.

Si tratta di un attacco di “Cross–site scrip­ting” che inietta un form per dirot­tar i dati inse­riti su un ser­ver a Taiwan, per poi ridi­re­zio­nare l’utente sul sito corretto.

Da leg­gere con attenzione.

Via Bruce Schneier, ade­ri­sco a que­sta “cam­pa­gna” per darsi una cal­mata con la que­stione della sicu­rezza e del terrorismo.

I am not afraid of ter­ro­rism, and I want you to stop being afraid on my behalf. Please start sca­ling back the offi­cial govern­ment war on ter­ror. Please replace it with a smal­ler, more focu­sed anti-terrorist police effort in kee­ping with the rule of law. Please stop over­reac­ting. I under­stand that it will not be pos­si­ble to stop all ter­ro­rist acts. I accept that. I am not afraid.

So che la que­stione non riguarda tanto l’Italia – almeno per la que­stione del ter­ro­ri­smo: a noi basta la menin­gite – ma non è comun­que una buona ragione per farsi det­tare la pro­pria scala di pre­oc­cu­pa­zioni: rischio di più la mia vita sulla A4.

Il rila­scio della ver­sione 10.5.1 di Mac OS X con­tiene alcuni ritoc­chi al firewall. In par­ti­co­lare, è pos­si­bile adesso è pos­si­bile bloc­care espli­ci­ta­mente anche i pro­cessi che girano a nome di root e le modi­fi­che agli accessi, per pro­cessi gestiti da laun­chd, sono immediate.