Newsgroup: it.comp.sicurezza.varie
Titolo: [Report] Perche' Windows Media Player fa la spia

Credo sia IT ed interessante per tutti. Ho verificato personalmente ( IE 6,
NIS, Java attivo solo su conferma) ed è vero.
Mi piacerebbe conoscere le vostre opinioni.
_____REPORT DA MAILING LIST_______
__Perche' Windows Media Player fa la spia?__(16 gennaio 2002)__
Ci risiamo. Un'altra falla nel software Microsoft. Di per se' la cosa non
farebbe notizia (capita spessissimo), ma e' il tipo della falla che mi fa
venire i brividi e mi spinge a scriverne. In pratica, Windows Media Player
(il programma Microsoft che serve per suonare i file audio e video)
permette di spiare la navigazione di un utente e riconoscerlo anche se ha
attivato tutte le normali protezioni di privacy.
La cosa funziona cosi'. Quando installate Windows Media Player, al
programma viene assegnato automaticamente e silenziosamente un numero
identificativo. Il numero identificativo assegnato alla vostra copia e'
unico e irripetibile: non ce l'ha nessun altro su Internet. In altre
parole, quel numero vi identifica inequivocabilmente. E' il vostro numero
di matricola, la vostra impronta digitale, il vostro DNA in Rete. In
pratica, a vostra insaputa Windows vi assegna un codice di identificazione
individuale. E poi lo sbandiera in Rete.
Eh gia'. Il problema e' che questo numero identificativo segreto e'
interrogabile dall'esterno, per cui puo' essere usato per riconoscervi.
Come descritto da Richard M. Smith presso
http://www.computerbytesman.com/privacy/supercookie.htm
, bastano poche
righe di Javascript per consentire a un sito ostile di evocare il Windows
Media Player e fargli rivelare il vostro identificativo. Questo avviene
anche se disattivate tutti i cookie e li cancellate ogni volta, come si fa
di solito per proteggere la propria privacy. Per questa sua caratteristica
di comportarsi come un cookie anche quando i cookie sono disattivati,
Richard usa il termine "supercookie" per definire questa falla di Windows
Media Player.
Tutto questo apre possibilita' di tracciamento inquietanti. Ad esempio, un
sito puo' sapere quando e quante volte lo visitate. Una serie di siti
legati da un accordo commerciale puo' condividere i dati di tracciamento
cortesemente offerti da Windows Media Player e farsi un'idea molto precisa
delle vostre abitudini, dei vostri gusti e delle vostre disponibilita'
economiche. Voi siete convinti di navigare anonimamente, ma in realta'
Windows Media Player vi sta tradendo alle spalle, lasciando dietro di voi
una scia di numeri identificativi in ogni sito che decide di approfittare
di questa falla.
Se per caso non siete convinti che possa esistere un simile abominio,
provate voi stessi. Visitate questo indirizzo:
http://www.computerbytesman.com/privacy/supercookiedemo.htm
Dopo qualche secondo comparira' il vostro numero identificativo univoco. Il
mio e' questo:
{16A8EDA0-AAE5-11D5-BECF-0020E00EB7DD}
La pagina dimostrativa funziona con qualsiasi browser (compreso il
nuovissimo Internet Explorer 6 e anche Opera) e qualsiasi versione di
Windows, XP compreso, con o senza rifiuto dei cookie, a patto che abbiate
attivato Javascript (cosa che fanno quasi tutti).
Contenti? Visto con che amorevole cura Microsoft si occupa della vostra
privacy?
_Rimedi_
Il numero identificativo di Windows Media Player e' per fortuna
modificabile. Pero' richiede che modifichiate il Registro, operazione
delicata e di certo non alla portata dell'utente medio. Se ve la sentite,
la chiave del Registro da modificare, stando a Richard Smith, e' questa
HKEY_CURRENT_USER\Software\Microsoft\Windows Media\WMSDK\General
oppure
HKEY_USERS\<utente>\Software\Microsoft\Windows Media\WMSDK\General
Il valore da modificare è la stringa "UniqueID". Tuttavia la modifica
potrebbe impedire il funzionamento dei sistemi di gestione dei diritti
digitali del Media Player (quelli che vi permettono di suonare la musica
protetta con sistemi anticopia).
Un altro metodo per evitare di seminare queste impronte digitali e'
disattivare Javascript, ma questo comporta che moltissimi siti diventeranno
inutilizzabili perche' usano appunto Javascript.
A seguito delle segnalazioni di Richard Smith, Microsoft ha aggiunto alle
versioni recenti del Media Player un'opzione nel menu Strumenti > Opzioni.
Nella versione inglese e' etichettata "Allow Internet sites to uniquely
identify your player": disattivandola, il numero di identificazione verra'
cambiato ad ogni sessione di Internet Explorer, per cui la vostra privacy
sara' di nuovo salva (almeno fino alla scoperta della prossima falla).
Microsoft ha documentato il problema presso
http://www.microsoft.com/technet/security/bulletin/MS01-029.asp
, dove
trovate anche una patch apposita.
Nella peggiore delle ipotesi, se siete sufficientemente disgustati da
questo pasticcio, potete naturalmente disinstallare Windows Media Player e
cercarvi un programma sostitutivo nelle biblioteche di software di Internet.
_La domanda fondamentale__
Trovata e risolta la falla, resta la domanda iniziale. Perche' Microsoft ha
introdotto questa funzione? A che cosa puo' mai servire un numero
identificativo univoco cosi' ben nascosto in un programma che
apparentemente non c'entra proprio niente con l'identificazione
dell'utente? Non certo per la gestione dei diritti digitali, dato che ora
Microsoft ne consente la disabilitazione.
E allora quale altra spiegazione rimane?
Lascio la risposta alla vostra immaginazione.
Nel frattempo, felice navigazione con i prodotti Microsoft.
Ciao da Paolo.
-----------------------------------------------------------------------
Paolo Attivissimo         Traduttore tecnico, divulgatore informatico
top...@pobox.com
 
http://www.attivissimo.net
---------+---------+---------+---------+---------+---------+---------+--
(C) 2002 by Paolo Attivissimo. Questo messaggio puo' essere distribuito e
pubblicato liberamente se non si trae lucro dalla sua distribuzione e se non
ne viene alterato in alcun modo il contenuto.
Iscrizioni: 
internetpertu...@yahoogroups.com
Dis-iscrizioni: 
internetpertut...@yahoogroups.com
Problemi: 
top...@pobox.com
Se ti piace quello che leggi, fallo sapere in giro, e mandami
un po' di focaccia!
L'utilizzo, da parte tua, di Yahoo! Gruppi è soggetto alle
http://it.docs.yahoo.com/info/utos.html
____REPORT \_______
Ciao
--
Parsifal
www.geocities.com/florindi1975
www.telediritto.it

 ha scritto nel messaggio
news:UEA18.2518$QG2....@news2.tin.it...

attraverso una campagna divulgativa :))
Abbastanza facile. 4 righe in un file .REG per modificare le righe
in
HKEY_CURRENT_USER\Software\Microsoft\Windows Media\WMSDK\General
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows Media\WMSDK\General
...marcolfa?
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

HKEY_CURRENT_USER\Software\Microsoft\Windows Media\WMSDK\General
                                      ^^^^^^^^^^^^^^ 
Sicuro?
A quale versione di windows ti riferisci?
Perché da me non esiste tale chiave (w98 prima edizione).
P.S.Tutti i messaggi inviati da OE non patchato (R:) vengono cancellati.
-- 
FORSE un virus? Accertatene! 
http://www.avp.it/
         ADOTTA ANCHE TU
Curiosita'? Prova a CERCARE! 
http://www.google.com/
              QUESTA
Informazioni utili:          
http://securfaq.usenet.eu.org
         SIGN
Per QUALUNQUE DUBBIO:        
http://www.google.com/search?q=
        :-)

 Perché da me non esiste tale chiave (w98 prima edizione).
Potrebbe anche dipendere dalla versione del Media Player.
Con 98SE e WMP 6.4.07.1119 quella chiave ce l'ho.
Non c'è solo UniqueId, ma anche un VolumeSerialNumber, oltre al
ComputerName.
Ho disattivato la casella delle opzioni come viene indicato nel
post di Parsifal, mo' vedo se veramente le chiavi cambiano ogni
volta oppure no.
-- 
Bye by V.

 volta oppure no.
Ho provato, ma la mia ID e` comunque sempre visibile...
Bella roba...
Qui bisogna inventarsi qualcosa...
Ora ci penso su...
-> GbC
http://www.gbcweb.com

 volta oppure no.
Io son tre giorni che ci litigo, ma rimane sempre il supercookie attivo,
maledetto bast@rdo!!!
Cmq resta il fatto che sarebbe bello conoscere la ragione di un simile ID.
--
Parsifal

 Cmq resta il fatto che sarebbe bello conoscere la ragione di un simile ID.
Sarebbe anche bello sapere cosa gliene frega del serial number
del nostro hd in quella chiave...
-- 
Bye by V.

 del nostro hd in quella chiave...
Dubito che avremo mai una risposta.
--
Parsifal

Allora...
Se la elimino (la chiave) si rigenera con un valore diverso...
Un buon modo sarebbe quello di eliminarla ogni volta che si avvia
Windows, in modo da averne una sempre diversa e non essere tracciati...
Non so se ne vale la pena...
Se elimino il valore (la svuoto) non viene rigenerata...
Ma il mio PC è sempre identificabile tramite il valore della chiave
vuoto...
Funzionerebbe solo se in molti azzerassero il valore della chiave...
Che ne penZate?
-> GbC
http://www.gbcweb.com

Dubito che avremo mai una risposta.
Chiave di criptazione ? Cosi' da tracciare le reinstallazioni?
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 
Allora lavori per la microsoft! :)
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 {3300AD50-2C39-46c0-AE0A-AC2B13C20E6B}
I primi 10 byte (3300AD50-2C39-46c0-AE0A per intenderci) non sono nient'altro
che l'identificativo di Media Player e sono uguali per tutti (e' uguale anche
nei MacIntosh, vedi tu). Una volta che e' stato disabilitato l'identificativo
univoco gli ultimi 6 byte vengono generati in modo random ad ogni sessione di
Media Player (dove per sessione si intenda anche la creazione dell'oggetto in
una pagina web).
Fabio

 Immutabile nei secoli dsei secoli, amen.
A me cambia. E comunque non ad ogni sessione di IE ma di Media
Player.
Fabio

 
Veramente io mi riferivo al fatto che consigliavi di disinstallare 
real-player per un "problema" di media player :)


 
Io su questo PC ho la 7.qualchecosa e l'opzione per identificare 
univocamente il media-player puņ essere disabilitata dalla dialog 
"options".
Ovviamente ho disabilitato tutte queste "features" (anche perchč i cd dei 
pogues non li ha mai trovati in nessun database...).


 parte potrebbe anche contenere il numeto di telefono o l'indirizzo.
Non so perche', ma la struttura di quella chiave mi richiama a mente un
class-id, cioe', io non me ne preoccuperei troppo...
PS:
Anche OE ha un class-id, e cosi' ogni altro programma, non riusciro' mai
a spiegare a cosa servono, ma senza non funziona nulla...
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - Ximian Gnome - Evolution

 
E' un GUID (di cui il class-id è uno dei possibili utilizzi).
Dovrebbe essere un ID univoco collegato a uno specifico PC (al MAC 
address e altra fuffa) e a uno specifico istante temporale (in questo 
modo i GUID generati sul tuo PC dovrebbero essere unici).
In COM servono per identificare univocamente una classe (class-id, 
appunto), un'interfaccia, una type-library etc... senza dipendere dal 
nome.


 Sara' grave? <g>
Sì, se sei il solo che ha quell'ID.
Nel GUID non ci dovrebbero essere informazioni che permettano di 
risalire direttamente al tuo PC (anche se, come notava marcolfa, c'è 
una certa "regolarità" nei GUID visto che parte delle informazioni 
derivano dal MAC address). 
La cosa che conta, per chi controlla il "superbiscotto" è "tracciare" i 
tuoi movimenti e magari farti registrare su almeno un sito (in modo da 
associare l'id a te e non a un generico MAC address).


clsid:22D6F312-B0F6-11D0-94AB-0080C74C7E95
Potrebbe essere un clsid di un plugin particolare.
Tale clsid/GUID e' presente da qualche altra parte, nel registro?


 associare l'id a te e non a un generico MAC address).
Uhm...lanciamo la campagna "all zeroes". 
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 player ?
Probabilmente non ha disabilitato l'invio del GUID.
Se l'invio del GUID e' disabilitato il GUID viene generato accodando
6 byte random alla sequenza fissa 3300AD50-2C39-46c0-AE0A. Se invece
non e' disabilitato viene inviato il vero GUID, che trovi nel reg di
windows.
Fabio

 adesso:
Questo devi chiederlo alla microsoft.
Fabio

viene chiamato il metodo GetClientID(). Quando, ivece, usi GetClientID()
No, nella fretta ho scritto male. Viene generata quando viene creata una
nuova istanza del media player ed è univoca per ogni istanza.
Fabio

tu non saresti sempre sicuro che mi riferisca a Te. :))
Fantocci? Fantocci, e' lei? <click>


> adesso:
Forse e' completamente casuale, ma le prime cifre hanno una FORTE
dipendenza dal momento, ovvero sono a lenta variazione... 


 player ?
Premesso che quello postato in origine non è mio, ma di Paolo Attivissimo,
autore dell'articolo, il mio ID è
{3300AD50-2C39-46c0-AE0A-A027ECBC9C8E} e quindi piuttosto simile a quelli
generati da te.
Il problema è che ho disattivato tutto il disattivabile e il sito continua a
fornirmi questo ID.
Dove diamine lo pesca? (cookies puliti, anzi nuclearizzati).
--
Parsifal

 dipendenza dal momento, ovvero sono a lenta variazione...
Acc. La sequenza che riporto sopra e' stata ottenuta nel giro di un 1 minuto
circa ma mi sembra che le variazioni siano notevoli.
Fabio

 Dove diamine lo pesca? (cookies puliti, anzi nuclearizzati).
Come ho scritto in un post precedente la prima parte 3300AD50-2C39-46c0-AE0A
è sempre uguale per tutti. Probabilmente è hardcoded.
L'ultima parte, a detta di microsoft, dovrebbe essere generata casualmente
ma, come dice giustamente marcolfa, non ho fatto analisi statistiche per
verificarlo.
Noterai che se chiudi la finestra di explorer, distruggendo l'istanza di
media player, e poi la riapri gli ultim i6 byte saranno cambiati.
Lo stesso puoi verificare se apri una seconda finestra di explorer anche
lasciando aperta la prima: la seconda avrà gli ultimi sei byte diversi perchè
al suo interno è stata creata una nuova istanza di media player.
Fabio

uhm... HappyCactus ha trovato sul portatile WMP 7.00.00.1440
Uhm, mi sa che ho frainteso il discorso.
Dimenticate tutto quanto sopra.
Controllavo direttamente nella pagina di WMP, invece che il sito del
supermegacoocky... :p


 ProductId
Qui non ti seguo. Cosa intendi dire?
Fabio

circa ma mi sembra che le variazioni siano notevoli.
A volte lo sono, a volte no. Ripeto, a me par proprio che sia pure
spuntata una doppia...


Ho scritto nel post precedente come dovrebbe funzionare.
Ti credo:
Guarda un po' che cosa ho trovato sbirciando nell'address space di
msdxm.ocx:
1d302800 55 6e 61 76 61 69 6c 61 62 6c 65 00 25 30 34 58
Unavailable.%04X
1d302810 00 00 00 00 7b 33 33 30 30 41 44 35 30 2d 32 43
...{3300AD50-2C
1d302820 33 39 2d 34 36 63 30 2d 41 45 30 41 2d 30 30 30
39-46c0-AE0A-000
1d302830 30 30 30 30 30 30 30 30 30 7d 00 00 00 00 00 00
000000000}......
Lo riconosci? :)
Uhm.... peccato non avere winice sul portatile........
HappyCactus e il prurito ai polpastrelli...


 si "none" è una risposta convincente ;)))
Il fatto che si possa fare non vuol dire che venga fatto. E ovviamente
neanche che _non_ venga fatto. Se proprio volevano fare una cosa del
genere, pero', potevano evitare di complicarsi la vita e usare tutti
i byte a disposizione invece dei soli ultimi sei. Tra l'altro io potrei
connettermi a diversi server in momenti successivi e quindi l'informazione
che tu hai fornito in questo pseudo covert channel, che è splitatta su
diverse sessioni di media player, andrebbe persa.
Vuoi mettere altra carne al fuoco? Parliamo anche del session-id, allora,
perchè a questo punto non si può trascurare visto che sono 16 bellissimi
byte che vengono a loro volta generati ad ogni sessione e inviati al media
server. Anche la generazione di questi potrebbe essere non casuale e
possono trasportare molte più informazioni.
E poi hai forse trovato l'algoritmo che genera i 6 byte? Sei in grado di
predirne la sequenza o cose del genere? Mi sembra che la tua tesi non sia
piu' dimostrabile della mia :)  La generazione random, almeno e', confortata
dalle fidate dichiarazioni pubbliche di micorsoft.
.. ok, questa ultima cosa potevo fare a meno di dirla :)
Fabio

> Uhm.... peccato non avere winice sul portatile........
E' da stamattina che mi dico: lo installo o non lo installo :)
Non l'ho mai usato su win2k. Magari non funziona neanche.
Mo guardo.
Fabio

E' da stamattina che mi dico: lo installo o non lo installo :)
e patchare WMP...?
HappyCactus che "trovata la stringa, gabbato lo santo"


 Luca 6, 39
Probabilmente non ho la tua cultura, ne informatica ne evangelica :), ma
proprio cieco cieco non sono.
Diciamo che la mia visione pessimistica delle cose quando si parla di
sicurezza e' stemperata in questo caso da un certo pragmatismo: finche' si
parlava di un GUID inviato a chissa' chi sono d'accordo ma se la cosa degenera
e dobbiamo andare per forza a cercare qualcosa di malizioso forse e'
eccessivo. Non lo nego ma non lo do neanche per scontato. Di covert channels
di questo tipo ce ne potrebbero essere di molto più efficienti senza andarsi a
complicare la vita cercando di ficcare info di un qualche rilievo in monconi
da 6 byte da dover poi riassemblare chissa' in quale modo.
Che so: non potrebbe essere uno dei motivi per cui microsoft ha implementato i
raw socket in XP, ad esempio?. Dentro un pacchetto TCP/IP ci puoi mettere
tante belle cosine senza che nessuno se ne accorga, ma non perdero' certo il
sonno pensandoci. Allo stesso tempo, però, e' abbastanza certo che quando mai
passero ad Xp le prime settimane avro' qualche log di tcpdump da guardare alla
sera prima di andare a casa. Cosi', giusto per curiosita' ;)
Se poi tu la settima prossima posterai l'algoritmo che genera quei maledetti
byte partendo dall'hash md4 della password di nt non saro' comunque io a
stupirmi piu' di tanto.
Fabio

> e patchare WMP...?
ROTFL! La patch potrebbe essere distribuita con un worm usando
qualche buco di autluc o di ecsplorer.
Comunque ho appena provato e winice non si installa su win2k/nt.
Sono una sega in queste cose ma mi ci sarei divertito. Cerchero
un win9x libero.
Fabio

quello da me indicato si, quell'altro no.
E a che si riferisce, per curiosita'?
Non mi va di installare WMP...


 stupirmi piu' di tanto.
Pax tibi Fabius evan.... mi sono fatto prendere la mano ;-)
prova,  cosi'  per curiosita'  a  fare  la  somma degli  ultimi  sette
byte, su  piu' chiavi  generate "random"...  sembra che  stiano sempre
all'interno di un certo range.
Se  ho detto  'na  strunz... perdonate,  io winkrost  lo  uso solo  in
ufficio per far finta di lavorare.
Ciao Francesco.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>
 

precedenti ... ;)
In effetti, la cosa che mi stupisce e' questa: se avessero voluto
disabilitare l'invio del GUID, perche' non inviare al suo posto una
stringa FISSA, magari tutta 0 o 0xff, invece di complicarsi la vita
con una parte fissa, e memorizzata sull'immagine del file (vedi mio
precedente post), e una variabile, se pur casualmente? non ha senso.
non e' neppure utile. A meno che...


 Provare per credere.
Appunto  prova, sia  con le  tue "chiavi"  che con  quella postata  da
Parsifal. 


 dalle fidate dichiarazioni pubbliche di micorsoft.
Basterebbe questo, appunto, a far venire voglia di cominciare la
crittanalisi di quelle sequenze.
Max "tanto userebbero lo XOR o roba del genere" 8-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 calendario di Max  con la pin-up di  turno
Chi sparge 'ste notizie false e tendenziose?
Non ho fatto nessun calendario (per fortuna (vostra)) con nessuna pin-up
(purtroppo (per me))!!!!!!!!!!!!


 (purtroppo (per me))!!!!!!!!!!!!
Ti do una bella notizia: in  questi giorni viene a trovarmi una pin-up
che  abita vicino  a te,  noi organizziamo  uno stage  glamour alle  2
sisters  (per  quest'estate).  Sei invitato,  rispolvera  la  macchina
fotografica.


 fotografica.
Guarda che ti prendo sul serio, eh! 8-)____________
Cmq le 2 sorelle (*) sono una parte stupenda della Riviera del Conero.
(*) Per i takkini del NG che non lo sapessero: non sono due belle ragazze
di Ancona, ma due grandi scogli che affiorano dal mare davanti al monte
Conero.


 Guarda che ti prendo sul serio, eh! 8-)____________
Ci puoi contare 8-)  
