Alberto Bartoli - Blog

Non mi riferisco agli europei di calcio. Mi riferisco agli " AWARDS for Human-Competitive Results produced by Genetic and Evolutionary Computation ". In pochissime parole, ogni anno viene organizzata una competizione internazionale riservata a chi ha ottenuto risultati scientifici "human-competitive" utilizzando tecniche di calcolo genetiche o evolutive (per avere un'idea di quali siano queste tecniche, vedi penultimo paragrafo qui ). Abbiamo superato la prima selezione (22 partecipanti) e ci siamo qualificati per la finale: 8 partecipanti, 22 Luglio 2016, Denver. Maggiori dettagli in un post sul sito del Machine Learning Lab. PS: E' la seconda volta che arriviamo in finale. La prima volta fu due anni fa. Il blog post  in cui avevo messo l'annuncio iniziava esattamente come questo post ma invece di riferirsi agli europei si riferiva ai mondiali...

...ad integrazione di quanto ho scritto ieri sull'uso dei cellulari come strumento aggiuntivo di autenticazione, si sta diffondendo un altro modo per ottenere il codice inviato via SMS. E' basato su "social engineering" (ingannare l'utente; niente di tecnicamente sofisticato). Mi spiace non averci pensato io, è davvero banale. L'attaccante deve avere ottenuto la password dell'utente da attaccare. Ciò non è immediato ma neanche difficile: il motivo per il quale si inviano i codici via SMS è proprio perché ottenere la password non è difficile. A questo punto l'attaccante procede come segue: Esegue il login con username e password dell'utente. Subito prima di eseguire una operazione che richiede l'inserimento di un codice inviato dal servizio via SMS, l'attaccante: invia un messaggio all'utente, in una qualche forma: Twitter, email, whatsapp, SMS...; nel messaggio dichiara di essere il servizio e scrive: " Caro utente, abb...

I cellulari sono usati sempre più spesso come strumento per aumentare la sicurezza dei sistemi informatici. Si usano comunemente per la cosiddetta two-factor authentication: l'utente inserisce una password, il sistema invia un SMS ad un numero telefonico associato alla password, l'utente trova nell'SMS un codice, valido solo per alcuni minuti, da inserire nel servizio come ulteriore conferma della propria identità ("something you know" = password più "something you have" = cellulare con un certo numero telefonico). Tecniche di questo genere sono usate in molti servizi di carattere finanziario (ad esempio Postepay) o di carattere legale (verbalizzazione on-line degli esami nel nostro ateneo). Come accade invariabilmente ogni volta che si sviluppa una nuova tecnologia, molti tendono a considerare quella tecnologia come sinonimo di sicurezza assoluta (basta leggere un pò di pubblicità o di documenti tecnici che risalgono ai primi anni di SSL e HTTPS p...

A mio parere la legge ed i decreti citati in questa pagina sono sbagliati ed ingiusti, per molti motivi che non approfondisco per mancanza di tempo e di voglia. Idem per il modo con il quale la legge ed i decreti sono stati applicati nella nostra Università. Idem per il fatto che ancora non sappiamo come la nostra Università intenderà applicare la legge ed i decreti in futuro (nessuno conosce i criteri che saranno utilizzati per valutare il lavoro che stiamo facendo oggi). Tutto ciò premesso, ammetto di essere contento per la valutazione del mio lavoro: triennio precedente al 2011: 11 su 80 partecipanti e 134 aventi diritto; triennio precedente al 2013: 1 su 78 partecipanti e 134 aventi diritto.

...su LinkedIn (qualcuno pensava già alla mia password per verbalizzare gli esami...invece no; più precisamente, se mi sono state trafugate le credenziali di ateneo io non lo so). Non dovrebbe essere successo nulla di particolarmente grave, ma mi pare importante condividere questo evento per sottolineare che: Queste cose possono accadere a chiunque. Il furto della intera tabella delle credenziali (username e password) sui server è un evento relativamente frequente e può coinvolgere anche grandi organizzazioni. Ne avevo già parlato in un post recente . Io posso tentare di custodire le mie credenziali nel modo migliore possibile; ma se le mie credenziali le conosce anche il server, allora l'attaccante può rubarle dal server.  Per quanto riguarda il punto 3, tentare di rubare le credenziali dal server è molto più conveniente per l'attaccante: se ha successo un attacco verso di me, l'attaccante ottiene UNA credenziale; se ha successo un attacco verso il server, l'at...

Nella lezione di "reti di calcolatori" di ieri mi sono reso conto che devo insistere maggiormente per sottolineare un aspetto di SSL (quindi di HTTPS) che a me pareva banale ma che evidentemente banale non è. SSL fornisce garanzie di sicurezza (autenticazione, integrità, riservatezza) tra le due estremità della connessione TCP. Fornisce cioè garanzie relative allo spostamento di dati tra un punto ed un altro. SSL non fornisce nessunissima garanzia di sicurezza "nei calcolatori" alle due estremità della connessione. Esempio semplicissimo: un attaccante può modificare un documento statico sul server; oppure può modificare i programmi sul server che generano i documenti dinamici. SSL continua a fornire le proprie garanzie: i dati sono autentici, riservati ed integri da una estremità all'altra della connessione. Ma i dati che viaggiano nella connessione non sono quelli che il server "avrebbe voluto inviare". Da un altro punto di vista, il dato sul ...

Sto valutando l'opportunità di sostenere l'esame di stato, ma cercando su internet e sui vari forum non trovo particolari vantaggi come ingegnere informatico (se non 0,5 punti in graduatoria nei concorsi pubblici...ed un po' di prestigio personale). Prima di scartare questa idea però volevo chiederle un'opinione in merito, poiché credo che la sua esperienza l'abbia aiutata a rispondere al "a che cosa serve l'esame di stato per un ingegnere informatico"? La mia esperienza purtroppo non mi ha aiutato a rispondere. La risposta è "in tutta sincerità non lo so". "Non lo so" non significa "a nulla". Significa "non lo so". Per estensione implica "a me non è mai servito e non conosco nessuno di cui possa affermare che gli sia servito". Devo comunque aggiungere che è vero anche il contrario: non conosco nessuno di cui possa affermare che sia stato danneggiato dall'avere sostenuto l'esame...