Newsgroup: it.comp.sicurezza.varie
Titolo: Gmail e identificazione hardware

Ciao NG,
 
Forse è arrivata l'ora che io approfondisca un po' come
funziona la comunicazione con i providers.
 
Ho appena cambiato modem-router e gmail non mi fa
scaricare la posta con Thunderbird, oltre ad avvisarmi via
SMS di un accesso "sconosciuto". E' già accaduto quindi
basta loggare via web, dire "ero io" e tutto finisce lì.
Però mi chiedo come faccia a saperlo perché vorrei che si
impicciasse il meno possibile.
 
Stavo pensando di impostare lo stesso MAC su entrambi ma
dato che alla google non sono stupidi sono sicuro che
succederà qualcosa di indesiderato.
 
Quindi la mia domanda è duplice: capire se Gmail sa
qualcosa tramite gli identificativi del solo modem o
peggio esegue javascript anche su thunderbird il che
ammetto mi scoccerebbe. Una volta saputo cosa fa, capire
se è possibile questo blocco account. Sì, lo so e lo vedo
che si ricorda dei dispositivi quindi con questo secondo
cambio la cosa dovrebbe essere finita qui, ma comunque
vorrei capire fino a che punto si impiccia del mio PC.
 
grassie
 
Apx.
 
-- 
- Perché hai fatto sesso con lei?
- Era ferma e nuda, cos'altro avrei dovuto fare?
- Ehm... L'autopsia.
 

 SMS di un accesso "sconosciuto". 
 
Il controllo è sull'indirizzo IP, se gmail vede un indirizzo IP in un
range totalmente diverso o in una locazione geografica diversa dalla
solita, ti avverte dell'accesso "sospetto"
 
Per dire, a me è capitato inavvertitamente; ero connesso tramite VPN ad
una rete remota ed avevo il client di posta attivo, questo ad
intervalli controllava la mail inclusa quella delle caselle gmail... e
siccome l'IP da cui usciva su internet la rete remota era diverso e per
di più in una locazione geografica ben distante da quella dell'IP che
avevo usato pochi minuti prima, Gmail ha "sentito puzza di bruciato" e
mi ha inviato l'alert :)
 

 si impiccia del mio PC.
 
non si impiccia (non almeno in questo caso) del tuo pc. ed è un controllo 
che ti conviene ci sia, specie se non hai attivato l'autenticazione a due 
fattori.
 

Grazie mille, pensavo peggio :)

 Grazie mille, pensavo peggio :)
 
niente di che, tra l'altro il controllo "geografico" sugli IP è uno di
quelli che ho in piedi su diversi server di posta; se un utente si
connette da (es.) Voghera e, dopo qualche minuto, lo stesso utente (ok
le stesse credenziali) vengono usate per una connessione che arriva da
Caltanissetta o, che so, da Bangkok, quelle connessioni vengono
rifiutate e viene inviato un alert all'utente; se poi, entro un certo
tempo, l'utente non conferma che la connessione era "ok" e non modifica
le credenziali, l'account viene bloccato
 
semplice, ma efficace :)
 
 

 le credenziali, l'account viene bloccato
 
Per curiosità, solo curiosità, come gestisci l'invio dell'alert e la ricezione
della conferma?
 
Diversi anni fa, mi sono trovato all'estero per vacanza e gmail, si è
(giustamente) accorta della diversa locazione e si è limitata a chiedere la
conferma, durante il login, da quale città abitualmente mi connettevo. Poi
bona, finita li.
 
Un'altra volta invece gmail mi ha bloccato l'accesso. Fortunatamente avevo in
piedi una pseudo vpn con ssh al server di casa ed ho fatto ponte da li.
 
Palese che in questi casi, le connessioni da diverse locazioni sono distanti
varie ore!!!
 
 
-- 
I parked my harddisk - and got a ticket!

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 solita, ti avverte dell'accesso "sospetto"
 
Non è solo un controllo sull'indirizzo IP, ma anche sul client. Per capirci,
se mi connetto a GMail con Thunderbird e con il broswer, mi chiede di
autenticare tutti e due i client
 
Enrico

 tutti e due i client
 
Comunque ho fatto una prova ora: preso nota indirizzo IP e
ho scaricato normalmente posta; poi ho disconnesso
fisicamente il cavo dalla presa a muro e con il nuovo IP
nessuna protesta. E' andato a fagiolo che gluglu mi
identificava il precedente IP su Roma, e il secondo zona
Frosinone.
 
Mi pare che delle due l'una. Gluglu nel corso del tempo ha
accumulato abbastanza info per sapere che TIM ha pochi
pool di indirizzi per zone italiane che coprono una o due
regioni e quindi è sicuro che il PC sia lo stesso e/o fa
qualche operazione di fingerprinting che non so. Forse
entrambe le cose.




Si, vero !
 

 come farai quando avremo il teletrasporto funzionante?
 
quando verrà il momento, ci penserò :D
 

 ricezione della conferma?
 
con l'account "di recupero" :) in pratica legato ad ogni account sul
server c'è un account di recupero che può essere un indirizzo email o
un numero di cellulare, a quel punto si tratta banalmente di inviare
una email o un SMS contenente un URL con un codice univoco :)
 
 
 

come farai quando avremo il teletrasporto funzionante?
 
Google fornirà un componente da installare sull'apparecchio per il
teletrasporto, per le notifiche del cambio di posizione.
 
A quel punto tanto google saprà già quante volte ci grattiamo le
palle, e la cosa grave è che a tutti sembrerà normale così.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 sembrer� normale cos�.
 
C'è di peggio che sembrare normale, a me i miei amici
prendono in giro con la cantilena "male non fare paura non
avere", come se avessi paura e non fossi delle due
sbalordito che si possa accettare supinamente tutto questo :/


 questo :/
 
al di la di quello che dicono i tuoi amici (i miei ad esempio tendono ad 
essere più che altro seccati, specie i più profani) il problema è molto 
più complesso e planetario. google si è insinuato nei servizi essenziali 
e non si tratta di accettare "supinamente" ma di accettare nostro 
malgrado. serve una protezione normativa forte e, soprattutto, 
transnazionale.
a te fanno specie i tuoi amici che minimizzano, a me invece quelli che da 
una parte si scagliano contro google e dall'altra contro europa e 
definiscono il gdpr un inutile baraccone. 
 

 un inutile baraccone.
 
Pochi ma ho anche di quelli tra i conoscenti.
Raccapricciante l'ignoranza diffusa, non me ne capaciterò mai.


 grado di imporre all'Europa. 
 
lo zio sam lascialo stare, l'europa ha ben dimostrato di tenergli testa. 
il problema sono questi colossi che ormai hanno un potere più di 
qualsiasi stato. 
l'europa dovrebbe dire a google: tu i dati dei cittadini europei intanto 
li gestisci solo su datacenter in europa e con la massima trasparenza, 
come fanno tutte le aziende del nostro continente (che hanno dei vincoli 
strettissimi quando portano i dati fuori dalla giurisdizione europea) e se 
ti becco a sgarrare ti faccio sanare il debito pubblico dell'italia. il 
problema è che, così facendo, dovrebbe essere pronta a ritorsioni 
difficili da gestire. per esempio, avendo google in mano praticamente 
tutti i servizi di navigazione / geolocalizzazione usati dai cittadini, è 
chiaro che abbia un enorme potere di contrattazione. saremmo pronti a 
fronteggiare eventuali limitazioni per gli utenti europei su questi 
servizi? ci sono alternative? la risposta a questa domanda è la chiave di 
tutto.
 

 tutto.
 
A che punto stanno i satelliti Galileo? Altrimenti piegati a Glonass, 
per forza di cose, visto che BeiDu non lo consideri neanche, immagino.
 
L'unico telefono satellitare che conosco che dovrebbe ricevere tutti i 
segnali GPS possibili e' sempre Thuraya, comunque. Quindi ti ritrovi ad 
avere a chefare con la Boeing comunque.
 

 superficie di un oceano.
 
Tanto per fare un paio di esempi innocui relativamente al fingerprinting
 
https://amiunique.org/
 
 
https://panopticlick.eff.org/
 
 
ma quello è solo la punta dell'iceberg; se consideri che la "moda" più
recente è quella di inserire backdoor direttamente nell'hardware (un
esempio su tanti, il "caso" huawei) o nel firmware, direi che il resto
è quasi irrilevante, per come la vedo io le varie normative sono solo
il mezzo, per politici e governi, di cercare di mostrare che "stanno
facendo qualcosa" senza considerare che quel "qualcosa" serve a poco, o
addirittura a nulla; c'è un mercato che fa girare miliardi dietro alla
raccolta dei dati degli utenti e va posta attenzione al fatto che tali
dati vengono aggregati e correlati, per cui, alcuni dati che presi da
soli potrebbero sembrare irrilevanti, una volta aggregati e correlati
con altri forniscono delle informazioni estremamente dettagliate
 
 

 estremamente dettagliate
 
Per fare un esempio leggermente "fuori argomento", supponiamo di
aggregare i dati provenienti dai contatori di gas, elettricità ed acqua
a quelli relativi al traffico sulla linea internet casalinga; soltanto
usando questi dati si riesce a sapere con notevole precisione gli orari
nei quali c'è qualcuno nell'abitazione o addirittura se in un dato
momento c'è qualcuno; come vedi il "tracking" non è solo relativo alle
attività "su internet"; altro esempio, se hai la "card" per il
supermercato e la usi normalmente, si possono anche tracciare i tuoi
spostamenti, idem per quanto riguarda la "card" per il carburante,
anche senza arrivare a bancomat o carte di credito
 

 
https://amiunique.org/
 
 
All time : However, your full fingerprint is unique among the 1319248 
collected so far.


 
 
non ho capito se devo ridere o piangere :/


 non ho capito se devo ridere o piangere :/
 
 
Non so tu ma io non rido. Del resto non mi voglio
ripetere, credo si sappia come la penso e quanto sono
preoccupato se non altro perché mi sento tra i pochissimi
(sulla media della popolazione) che si pongono il problema.
 
 
-- 
- Cos'ha lui più di me???
- Vuoi la risposta in cm o in Euro?
 

non ho capito se devo ridere o piangere :/
 
Piangere.


 Piangere.
 
Oppure accettare lo stato delle cose e regolarsi di conseguenza
 

 e regolarsi di conseguenza
 
E cioè fare cosa?
 
I font: come si fa a sapere quali sono i tipi di font più comuni da 
tenere sul pc (e avere comunque solo quelli)?
 
Il browser: ok cambio agent e dico a Firefox di essere un chrome nella 
versione più diffusa.
 
E il tipo di Pc, di sistema operativo...cosa potrei fare?
 
Insomma, voglio dire che non è facile nascondersi in un mucchio più 
grande e fare diventare quell'1 su 1319000 un 1 su 3.

 schiantarsi dalle risate.
 
mi sembra una cazzata. anche se fossero sul cloud di google (e direi che 
è improbabile) o usassero una tecnologia tipo k8s (questo magari è più 
probabile) non avrebbero nessun motivo per scrivere una cosa del genere.

E cioè fare cosa?
 
Per esempio: VM con un Windows 10 installato "stock", e nessuna
personalizzazione. Ovviamente browser Edge.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 personalizzazione. Ovviamente browser Edge.
 
Ma no, dai, edge non lo usa nessuno, sarei individuato come uno dei 2  
su 900 milioni (100Mega meno del numero che MS giurava di raggiungere 
in 3 anni dal 2015, cioè 2 anni fa...) in un microsecondo.
 
L'altro potrebbe essere Satya Nutella...

 spostamenti, 
 
magari solo quelli.
 
https://tinyurl.com/y5ooshu9
 
 
basta avere una quantità sufficiente di dati e si può risalire 
praticamente a tutto. e bada bene, vanno benissimo anche i dati anonimi: 
il machine learning sta rendendo progressivamente superflua la 
profilazione.

probabile) non avrebbero nessun motivo per scrivere una cosa del genere.
 
Non conosci i webmastella di oggi... Per loro fa figo scrivere in
calce alle loro web-prodezze "Powered by Google" :-(
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 alle loro web-prodezze "Powered by Google" :-(
 
questo tema non mi interessa, io constato semplicemente quello che ha 
scritto lui è falso. e francamente non capisco il senso di riportare delle 
fake così insulse e facilmente verificabili.
 

schiantarsi dalle risate.
 
Ma sei sicuro? Perché ci sono appena andato. Parliamo dello stesso sito?
 
https://europa.eu/
 
 
Perché la scritta non la vedo, e il sito non scarica risorse da Google!.
 
Nella pagina sui cookie c'è scritto:
 
	Cookie di terze parti
 
	Alcune delle nostre pagine mostrano contenuti di siti esterni quali
	YouTube, Facebook e Twitter.
 
	Per poter visualizzare tali contenuti di terze parti devi avere
	accettato i relativi termini e condizioni, comprese le rispettive
	politiche in materia di cookie, sulle quali non abbiamo alcun
	controllo.
 
	Tuttavia, se non visualizzi tali contenuti non viene installato alcun
	cookie di terza parte sul tuo dispositivo.
 
	Fornitori esterni sui siti web della Commissione
 
	YouTube
	Internet Archive
        ScribbleLive
        Google Maps
        Twitter
        TV1
        Vimeo
        Microsoft
        Facebook
        Google
        LinkedIn
	...(omissis)...
 
	Questi servizi di terze parti esulano dal controllo della Commissione
	europea. Le società fornitrici possono modificare in qualsiasi momento
	le proprie condizioni di servizio, lo scopo e l'uso dei cookie ecc.
