Come proteggere il server contro la vulnerabilità di Heartbleed OpenSSL

Importante Vulnerabilità di Sicurezza SSL
Lunedì, 7 aprile 2014, è stata comunicata una vulnerabilità di OpenSSL che è stata chiamata una delle peggiori falle di sicurezza nella storia recente di Internet. Il bug, chiamato il Heartbleed bug, è stato introdotto in OpenSSL versione 1.0.1. E' presente dal marzo del 2012 ed è patchato con OpenSSL versione 1.0.1g rilasciata il 7 aprile 2014. Il problema, etichettato CVE-2014-0160, è descritto in dettaglio qui.

Il bug consente a qualsiasi malintenzionato di leggere la memoria di un host vulnerabile, il che significa che tutte le chiavi che sono state utilizzate su un host con una versione vulnerabile di OpenSSL devono essere considerate compromesse. Le distribuzioni stanno aggiornando i loro pacchetti e spingendo gli aggiornamenti, ma gli utenti hanno bisogno di abbattere i più recenti pacchetti e revocare le chiavi precedenti basate su versioni insicure.

Vi mostrerò come aggiornare i propri sistemi con una versione sicura di OpenSSL, revocare i certificati SSL insicuri, e verificare se siete vulnerabili o meno.

Aggiorna il tuo Sistema
Il modo più semplice per aggiornare i pacchetti è quello di aggiornare l'intero sistema.

Su Ubuntu e Debian, puoi aggiornarlo digitando:

sudo apt-get update
sudo apt-get dist-upgrade

Se si desidera solo di aggiornare i pacchetti interessati, e non aggiornare l'intero sistema (consigliato solo se si ha motivo di ritenere che gli aggiornamenti agli altri componenti romperanno il vostro sistema), si possono selettivamente aggiornare i pacchetti OpenSSL digitando:

sudo apt-get install --only-upgrade openssl
sudo apt-get install --only-upgrade libssl1.0.0

Questo aggiornerà i pacchetti vulnerabili, lasciando il resto del sistema in uno stato non aggiornato.

Verifica i tuoi Numeri di Versione
Si consiglia di controllare la versione di OpenSSL dopo aver aggiornato il sistema.

Mentre OpenSSL versione 1.0.1g è il fix ufficiale di questo problema, la versione che corregge questo per diverse distribuzioni e versioni può variare. Alcune versioni e distribuzioni patchati le loro versioni più vecchie per risolvere il problema, piuttosto che rilasciare una versione completamente nuova in un vecchio, ecosistema stabile.

A causa di questo motivo, è meglio controllare attraverso il sistema di pacchettizzazione della vostra distribuzione, dal momento che il comando versione openssl potrebbe non riflettere le informazioni necessarie.

Releases Debian e Ubuntu e Versioni Corrette
Per i sistemi Debian e Ubuntu, ottieni la versione di OpenSSL digitando:

dpkg -l | grep "openssl"

Per gli utenti Debian, la release di Debian che si esegue determinerà la versione corretta per la correzione. Se la versione di OpenSSL è almeno recente come la versione elencata qui per la vostra distribuzione, dovreste essere protetti:

• Debian 6 (Squeeze): Non influenzato (fornito con una versione precedente alla vulnerabilità)
• Debian 7 (Wheezy): 1.0.1e-2+deb7u6
• Debian testing (Jessie): 1.0.1g-1
• Debian unstable (Sid): 1.0.1g-1

How to Protect your Server Against the Heartbleed OpenSSL Vulnerability

Important SSL Security Vulnerability
On Monday, April 7th 2014, an OpenSSL vulnerability was disclosed which has been called one of the worst security holes in recent internet history. The bug, called the Heartbleed bug, was introduced in OpenSSL version 1.0.1. It has been in the wild since March of 2012 and is patched with OpenSSL version 1.0.1g released on April 7th 2014. The problem, tagged CVE-2014-0160, is described in detail here.

The bug allows any attacker to read the memory of a vulnerable host, which means that any keys that have been used on a host with a vulnerable version of OpenSSL should be considered compromised. Distributions have been updating their packages and pushing out updates, but users need to pull down the most recent packages and revoke any previous keys based on insecure versions.

I'll show you how to update your systems with a secure version of OpenSSL, revoke any insecure SSL certificates, and test whether you are vulnerable or not.

Update your System
The easiest way to update your packages is to update your entire system.

On Ubuntu and Debian, you can update by typing:

sudo apt-get update
sudo apt-get dist-upgrade

If you only want to upgrade the affected packages, and not update the entire system (only recommended if you have reason to believe that upgrades to other components will break your system), you can selectively upgrade the OpenSSL packages by typing:

sudo apt-get install --only-upgrade openssl
sudo apt-get install --only-upgrade libssl1.0.0

This will upgrade the vulnerable packages while leaving the rest of your system in an un-upgraded state.

Checking your Version Numbers
You should check your version of OpenSSL after you have updated your system.

While OpenSSL version 1.0.1g is the official fix of this problem, the version that fixes this for different distributions and releases may vary. Some releases and distributions patched their older versions to fix the problem, rather than releasing an entirely new version into an older, stable ecosystem.

Because of this reason, it is best to check through your distribution's packaging system, since the openssl version command might not reflect the information we need.

Debian and Ubuntu Releases and Fix Versions
For Debian and Ubuntu systems, you get the current version of your OpenSSL package by typing:

dpkg -l | grep "openssl"

For Debian users, the release of Debian that you are running will determine the correct version for the fix. If your version of OpenSSL is at least as recent as the version listed here for your distribution, you should be protected:

• Debian 6 (Squeeze): Unaffected (Shipped with older version prior to vulnerability)
• Debian 7 (Wheezy): 1.0.1e-2+deb7u6
• Debian testing (Jessie): 1.0.1g-1
• Debian unstable (Sid): 1.0.1g-1

Recharge an electronic device with your body

A group of Korean researchers of KAIST (Korea Advanced Institute of Science & Technology) has developed a system that can charge wearable devices by the warm of the human body.
What you see in the image could simply be integrated in wearable devices such as smartwatch, fitness bracelets and so on allowing the same to recharge, to the point of being completely autonomous, with this thermoelectric generator that takes the heat from our body, transforming it into electricity. This approach is not new, but the merit of these researchers is that they used inorganic materials that have allowed to maintain a reduced weight and size even managing to print circuits on an extremely flexible support and therefore easily wearable, in glass fiber. This will then allow not only to integrate perfectly within the devices, but also to be easily wearable.

Ricaricare un dispositivo elettronico con il proprio corpo

Un gruppo di ricercatori Coreani del KAIST (Korea Advanced Institute of Science & Technology) ha realizzato un sistema in grado di ricaricare i dispositivi indossabili attraverso il calore del corpo umano.
Ciò che vedete nell'immagine potrebbe venir semplicemente integrato nei dispositivi indossabili come smartwatch, bracciali fitness e così via permettendo così ai medesimi di ricaricarsi, sino al punto di essere completamente autonomi, grazie a questo generatore termoelettrico che preleva il calore dal nostro corpo trasformandolo in energia elettrica. Si tratta di un approccio non nuovo, ma il merito di questi ricercatori è quello di aver utilizzato dei materiali inorganici che hanno permesso di mantenere un peso e delle dimensioni ridotte riuscendo anche a stampare i circuiti su un supporto estremamente flessibile, quindi facilmente indossabile, in fibra di vetro. Ciò permetterà quindi non solo di integrarli perfettamente all'interno dei dispositivi, ma anche di essere facilmente indossati.

In autunno arriva l'iPhone 6, avrà lo schermo extralarge (4,7 e 5,5 pollici)

Un nuovo iPhone con lo schermo più grande. Secondo indiscrezioni che provengono dall'Asia, questa volta il Giappone, Apple sta preparando l'iPhone 6, l'ottava generazione del melafonino, con novità sostanziali per quanto riguarda le dimensioni dello schermo. Dopo soli due anni dal primo "allungamento" dell'iPhone, che con il modello iPhone 5 era passato da uno schermo da 3,5 a uno di 4 pollici, Apple avrebbe in cantiere non una ma ben due nuove "taglie" per il suo apparecchio mobile. In particolare, lo schermo seguirebbe la moda dei "phablets", grandi schermi che ibridano il telefono con un tablet, e starebbe preparando le versioni da 4,7 e 5,5 pollici.

Ci sono dubbi sull'effettiva versione da 5,5 pollici, ma parrebbe, secondo le fondi asiatiche riprese anche dal quotidiano giapponese Nikkei, che la versione da 4,7 pollici sia "sicura". Gli schermi dovrebbero essere preparati dalla nipponica Sharp e dalla coreana Samsung, mentre TSMC, produttore taiwanese di semiconduttori, sarebbe al lavoro per realizzare i chip contenuti all'interno della nuova generazione di telefonini di Apple.

È da tempo che si parla di una svolta per Apple nelle dimensioni dell'iPhone. Steve Jobs aveva sempre ribadito che un telefono da 3,5 pollici di diagonale era perfetto, ma poco dopo la sua morte in effetti era già stato lanciato il modello di iPhone 5 (e l'attuale iPhone 5s, esteticamente quasi identico al predecessore) con schermo da 4 pollici. Il beneficio in questo caso non era tanto nelle dimensioni complessive dello schermo quanto soprattutto nella sua lunghezza. I due centimetri in più hanno infatti permesso di rendere non più grandi ma più "lunghi" gli oggetti mostrati sullo schermo, siano esse pagine web, email, liste di icone, appuntamenti del calendario.

Ancora più interessanti le indiscrezioni relative alla data di uscita dell'apparecchio: Apple inizierebbe la produzione dell'iPhone 6 in primavera per avere in autunno pronto il primo contingente di pezzi: settembre potrebbe essere la data giusta per il debutto del telefono, in linea con le precedenti generazioni.
Apple segue fin dalla seconda generazione dei suoi telefoni (chiamati iPhone 3G per via della connettività su rete di terza generazione) una strategia di aggiornamento alternata: un anno viene presentato un prodotto differente in maniera sostanziale dalla generazione precedente, l'anno dopo viene presentata una versione aggiornata e più raffinata del prodotto mantenendo però le specifiche di massima e soprattutto l'estetica. Questo potrebbe giustificare quindi un differente telefono rispetto a quelli sinora realizzati con schermo sempre più grande. Il mercato sembra chiederlo, e la concorrenza già da tempo cavalca questa ondata di schermi maxi, a partire da Samsung che ha praticamente inventato il genere ma anche LG, Sony e Nokia hanno a listino prodotti con schermi di generose dimensioni. Gli analisti da tempo insistono che il fattore di forma di Apple è troppo "limitato": buona ultima anche Isi Group dichiara che più del 30% dei possessori di iPhone pagherebbe una versione nuova del suo apparecchio con un prezzo premio pur di avere uno schermo maggiorato.

Coelux, con led e nanotecnologie la luce artificiale diventa naturale

Un innovativo sistema di illuminazione per interni imita alla perfezione i raggi del sole in un cielo terso. Inventato da un italiano, debutta oggi alla fiera Light + Building di Francoforte.
Immaginate di non avere più lampadari, lampade a terra o applique, ma che la vostra stanza sia illuminata da un’apertura nel soffitto in cui si intravede un angolo di cielo e da cui entra la luce calda del sole. È questa la rivoluzionaria novità appena presentata a Light+Building, la fiera dedicata all’architettura della luce, in programma a Francoforte fino al 4 aprile. Un progetto tecnologico chiamato CoeLux e in arrivo dall’Italia, ad opera del professor Paolo Di Trapani, docente di fisica presso il Dipartimento di Scienze ed Alta Tecnologia dell’Università dell’Insubria a Como.



Di Trapani ha sperimentato per oltre dieci anni la possibilità di imitare, attraverso la tecnologia, la luce naturale e i fenomeni luminosi descritti nel libro Light and Color in the Outdoor, un classico pubblicato nel 1937 dall’astronomo olandese Marcel Minnaert, in cui si rivelano i segreti scientifici dietro fenomeni ottici come la sovrapposizione di ombre, gli arcobaleni, le albe e i tramonti, il colore del cielo, e così via. Così attraverso la continua sperimentazione, il professore e il suo team, hanno messo a punto questa finta apertura nel soffitto che proietta all’interno una luce che imita alla perfezione i raggi del sole irradiati attraverso un cielo terso. L’illusione di trovarsi all’aria aperta è resa possibile dall’utilizzo di Led di ultima generazione, in grado di riprodurre lo spettro della luce solare, ma anche da sistemi ottici capaci di direzionarne i raggi e di nanotecnologie con cui è possibile riprodurre quel particolare fenomeno che è la diffusione delle onde luminose (e che spiega scientificamente perché il cielo assume ai nostri occhi il colore blu).

La portata innovatrice dell’invenzione va ben oltre l’aspetto puramente architettonico ed estetico: basta pensare a quanto l’esposizione alla luce naturale influenza l’umore delle persone e a quanto la sua mancanza, soprattutto nei Paesi nordici, sia percepito come un vero problema sanitario. Non a caso il progetto è stato finanziato dall’Unione Europea, nell’ambito del suo programma volto a promuovere l’innovazione tecnologica. E oltre all’invenzione in sé, l’UE ha concesso fondi anche per le prime applicazioni sperimentali: l’illuminazione di spazi chiusi in cui sono coinvolti vari partner tra cui la Metropolitana Milanese. Alberghi, centri commerciali, uffici, musei, aeroporti e perché no, appartamenti, sono i luoghi la cui percezione sensoriale potrebbe essere cambiata per sempre da CoeLux, che propone agli utenti la possibilità di intervenire artificialmente sull’effetto luminoso, con alcune scenografie predeterminate, in cui la luce entra nella stanza a 30, 45 o 60 gradi, a seconda se si desideri avere l’illusione di trovarsi nei Paesi nordici, nel Mediterraneo oppure ai Tropici.

pCell, Internet mille volte più veloce rispetto agli standard 4G

Le tecnologie di connettività di rete wireless si evolvono in maniera sensazionale dal punto di vista della velocità. Tuttavia, anche nelle grandi città è ancora possibile incorrere in perdite di segnale, perdita di velocità o cadute della connessione ad internet ed in altri inconvenienti a cui ormai siamo tristemente abituati.

Ad ovviare alle problematiche sopra citate sembra voler intervenire una piccola startup americana, nota con il nome di Artemis. Fondata nel 2011, la società lavora da allora su pCell, uno standard di reti wireless che potrebbe sovrapporsi alle attuli reti 4G LTE, o almeno farlo nelle grandi città.

Allo stato attuale, il segnale di rete cellulare viene diffuso da torri che devono essere disposte lungo il territorio in maniera efficace. Man mano che ci si allontana dalla torre il segnale diventa sempre più debole, ma se due torri si trovano a distanza troppo ravvicinata possono creare delle interferenze allo stesso segnale ricevuto dal dispositivo. Al tempo stesso, se troppi utenti si agganciano alla stessa torre un sovraccarico della rete può portare ad instabilità e lentezza della connessione ad internet.



L'approccio operato da Artemis con pCell è estremamente diverso e si avvale della possibilità di poter alimentare il segnale con un numero elevato di apparecchi, chiamati pWave (dalle dimensioni analoghe a quelle dei router Wi-Fi), disposti a distanze relativamente ravvicinate. Ogni apparecchio è in grado di inviare un segnale di qualità estremamente superiore rispetto alle tradizionali torri, anche se ad una distanza parecchio più limitata.

Pertanto, piuttosto che cercare di evitare la collisione fra due segnali provenienti da torri diverse, pCell sfrutta la presenza ravvicinata di più pWave combinando il segnale proveniente da più apparecchi ed inviandolo ad un singolo utente. Secondo la società questo potrebbe permettere velocità fino a 1000 volte superiori rispetto agli attuali standard di rete 4G LTE in presenza di un "buon segnale".

Se questo non bastasse, le singole pWave utilizzano un trasmettitore da 1mW per diffondere i dati, garantendo un consumo energetico estremamente contenuto sui dispositivi di oggi, ed ancora più ridotto quando la tecnologia sarà pienamente compatibile sui terminali di domani che utilizzeranno chip appositi per la ricezione del segnale di pCell. La società vanta un consumo energetico, in quest'ultimo caso, inferiore a quello dei chip Wi-Fi inseriti sugli iPod touch di ultima generazione.

Artemis ha già pianificato il lancio di pCell nel quarto trimestre del 2014, inizialmente solo nella città di San Francisco. La società è al lavoro con un partner commerciale che gli permetterà di installare le pWaves su circa 350 edifici nella città, che dovrebbero essere sufficienti a coprire gran parte della superficie della metropoli americana.

A detta di Steve Perlman, CEO di Artemis, pCell potrebbe raggiungere molti altri mercati già a partire dal 2015, anche se bisognerà vedere quale sarà l'accoglienza degli abitanti di San Francisco, e se il primo collaudo porterà realmente ai risultati annunciati dalla startup.