Newsgroup: it.comp.sicurezza.varie
Titolo: CSS e "keylogging"

 
un "giochino" niente male, in breve basta un CSS per riuscire a
catturare le credenziali di logon
 
https://github.com/maxchehab/CSS-Keylogging
 
 
se qualcuno fosse interessato qui c'è una discussione in corso
sull'intera faccenda, e credo sia piuttosto illuminante
 
https://news.ycombinator.com/item?id=16422696
 
 
il problema è che, mentre i "js" possono essere bloccati senza alcun
problema, fare lo stesso con i "css" è molto più complicato, questo a
sua volta espone una miriade di utenti al rischio di furto delle
proprie credenziali, dato che basta anche solo un "banner" per usare il
giochino del "css" e rubare le credenziali di accesso a diversi siti
 
 



tra l'altro, stando ad uno studio portato avanti dall'università di
Princeton, sembrerebbe che un "trucco" simile sia stato (e sia) usato
da diversi siti per tracciare la navigazione degli utenti
 
https://webtransparency.cs.princeton.edu/no_boundaries/session_replay_sites.html
 
 
a questo punto tra CSS, JS, "supercookies" e "fingerprinting del
browser" [1] non è che ci sia da scialare poi così tanto; certo, il
tutto non è una novità (almeno non per me), ma oggi stiamo arrivando a
livelli da vero e proprio "big brother"
 
[1] 
https://panopticlick.eff.org
 
 
 


... e poi fai tombola!
 
Penso che anche tu sia concorde che 1984 era una favola per bambine educande.
 
 
-- 
Sign mancante, sono in attesa di ispirazioni.

 per bambine educande.
 
Anni fa non capivo come mio padre non fosse in grado di
inviare un SMS; adesso che con le debite proporzioni non
mi sento più in grado di controllare NIENTE di quello che
accade sul mio PC, riesco a mettermi nei suoi panni. Si
viene presi anche per stanchezza e incapacità di
ricominciare sempre ogni volta da capo.
 
-- 
"Pompieri? Presto, venite, la mia casa sta bruciando"
"OK, quando ha avuto origine il fuoco?"
"Nel paleolitico, però sbrigatevi"
 

 ricominciare sempre ogni volta da capo.
 
Infatti è proprio lì il problema: tutti contro uno, uno contro tutti  
("Uno" inteso come "utente", cioè l'ultima ruota del carro).

ricominciare sempre ogni volta da capo.
Sottoscrivo.
Mi pare sia sempre piu' difficile non castrarsi digitalmente e
mantenere allo stesso tempo una consapevolezza di cio' che si cede
e cio' che si riesce a mantenere custodito.
 
Ciao
 
-- 
Bad command or file name. Bad, bad command! Sit! Stay! Staaaay...



Il riferimento a "big brother" era solo un esempio, di certo abbiamo
ampiamente superato quanto profetizzato da Orwell in "1984" (del resto
lui non aveva idea di certe realtà); ad ogni modo, tornando in topic,
se volessimo essere precisi, dovremmo anche aggiungere tutto quello che
va sotto l'acronimo IOT e che include elettrodomestici "intelligenti"
ma anche oggetti più semplici, come ad esempio delle "banali" lampadine
 
Tali periferiche sono state progettate come se la rete alla quale sono
collegate sia, per assunto, sicura, cosa che non è assolutamente vera
nel caso di internet, ed ovviamente questo ha delle conseguenze... ed
anche delle conseguenze PESANTI
 
Anni fa parlavo di privacy, violazione della stessa e raccolta dati da
parte di una miriade di entità (incluso il supermercato o il benzinaio
che ti fanno prendere "la tessera" - ma non solo); all'epoca purtroppo
nessuno si rendeva conto e passavo per "paranoico" ... beh, che dire...
sarò anche stato paranoico, ma credo di aver avuto ragione
 
 

 paranoico, ma credo di aver avuto ragione
 
E' questo nello specifico lo scenario che Orwell non
avrebbe immaginato sulla scala che si sta sviluppando
oggi. Lessi i suoi libri tanto tempo fa e non ricordo se
le vittime del sistema erano contente di esserlo. Ma se 
anche l'avesse previsto mai avrei immaginato di diventare 
lo zimbello dei miei amici che se va bene mi dicono "male 
non fare paura non avere" se no mi prendono in giro. La 
cosa che letteralmente mi sconvolge è il "male non fare", 
come se fosse scontato che non avendo niente da nascondere 
la vita privata potesse essere sottoposta a un controllo 
così profondo senza che ce ne siano conseguenze. Questo 
per alcuni. Per la maggior parte, quello che sento dire è 
che a gmail e a whatsapp non rinuncerebbero mai perché 
sono comodi per il lavoro, come se non fossero stati 
appositamente studiati per questo con gli evidenti secondi 
fini.
 
Un conto è essere consapevoli di un problema e accettarlo
ma consci degli aspetti negativi. Altro conto è essere
felici per la convinzione che le comodità offerte siano di
gran lunga preferibili alla libertà.


sar? anche stato paranoico, ma credo di aver avuto ragione
Certo, ragionissima.
 
Mentre si puo' facilmente (dal mio punto di vista) rinunciare a tessere, raccolte
varie e tutto quello che ti chiede dati personali per registrarti, districarsi
in questo senso dal punto di vista informatico-tecnologico, anche per chi si 
interessa attivamente alla questione mi pare diventi sempre piu' difficile.
Cerchi di essere attento, eviti iscrizioni alla pene di segugio, aggiorni sofware,
eviti di far circolare in qualsiasi modo dati personali ... tutto questo
e poi scopri che comunque, in qualche modo _sempre nuovo_, c'e' chi ti succhia
dati senza che tu ne sia consapevole (e naturalmente non parlo di malware). 
Ah, ovviamente cerchi di non privarti delle possibilita' date dalla telematica 
moderna, senza tornare cioe' a vent'anni fa e isolarti completamente.
 
Un esercizio di equilibrismo veramente difficile.


 sarò anche stato paranoico, ma credo di aver avuto ragione
 
Mah! Anch'io quando anni fa, parlavo di quelle cose ai miei colleghi e
superiori, ero considerato "uno che dice cazzate".
 
-------
 
Piuttosto, leggevo ieri (con 39 di febbre) il discorso css...
 
Mi sembra di aver capito che il gioco funziona se tu sei correntemente loggato
col browser con user/pass ed un banner riesce a estrarre quelle credenziali,
giusto?


 moderna, senza tornare cioe' a vent'anni fa e isolarti completamente.
 
Aggiungo, che anche se tu non sei registrato a facebook, twitter, linkedin,
eccetera, molti tuoi dati li sanno tramite tuoi amici e conoscenti.
 
Mi è capitato più volte (una decina circa) di ricevere inviti ad iscrivermi a
linkedin, solo perchè miei ex colleghi si sono iscritti e le loro rubriche sono
state "secchiate".
Fortuna era la mail aziendale...
Ma il mio cellulare?
Il mio nome?
Il mio indirizzo?
La mia foto nella rubrica?
Sicuramente anche questi dati sono sfuggiti...
 
Come diceva qualcuno (ministro UK), perchè perdere tempo ad inserire backdoor,
quando si possono succhiare informazioni in altro modo?




Direi impossibile, vedi, basta avere uno smartphone; per fare un
esempio, prendiamo un normale smartphone android; quando inizi ad
usarlo, come prima cosa, ti viene richiesto di crearti un account
google, a quel punto, lo smartphone è legato all'account e siccome
sullo smartphone ci metti i tuoi contatti ecco che automaticamente si
può collegarti con altre persone e con le informazioni delle stesse,
aggiungici la registrazione della posizione (che funziona anche a gps
disattivato), mettici i backup automatici che sono comodi nel caso di
problemi ma che in pratica caricano i tuoi dati sul cloud di google,
aggiungici... ok, mi fermo, ma tra dati direttamente o indirettamente
forniti da te, dati raccolti correlando le tue informazioni con quelle
dei tuoi contatti, abitudini ottenibili controllando i tuoi spostamenti
ed altre informazioni, la privacy diventa una parola senza senso
 
 

disattivato)
 
Poi ci sono le app che "si allargano". Negli aggiornamenti ogni tanto
salta fuori "l'app X chiede l'autorizzazione per fare la cosa Y. Avevi
già concesso l'autorizzazione per le cose A B O P R". E spesso la
nuova ficcanasata non sembra essere così necessaria.
Anzi, sembra proprio fuori luogo.
 
Spuntano come i funghi "accesso all'elenco contatti" "accesso alla
lista chiamate". Oh, è un app per convertire le unità di misura, che
cazzo te ne frega delle mie chiamate?
Questa me la sono inventata, ma non è molto differente dai casi veri
che ho visto.
 
Quale app può necessitare veramente di vedere le ultime chiamate?
 
Io con Android cerco di tirare il culo indietro, ma mi accorgo che col
passar degli anni è sempre più difficile.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.