Archive for the 'Senza categoria' Category

Page 3 of 10

Creare cartelle di segnalibri "nascoste"

Pubblicato da gialloporpora il 5 settembre 2007 in Senza categoria con 0 Comments

Questa è una richiesta che è apparsa sul newsgroup it-alt.comp.software.mozilla:

Esiste un plugin o estensione per firefox attualmente alla versione 2.0.0.6 che permetta di bloccare l'accesso con richiesta di password a una determinata cartella dei segnalibri ?

Per quanto ne so io non esiste un'estensione simile, anche perché Firefox salva i segnalibri su un file HTML che è facilmente accessibile aprendolo normalmente con un qualunque browser. Probabilmente una tale feature potrà essere implementata in Firefox 3.0 che salva i segnalibri in un database SQLite, nel frattempo si può aggirare il problema usando un feed RSS protetto da autentificazione.

Il modo più semplice è aprire un account su qualche sito di social bookmarking (come del.icio.us o blogmarks.net) e aggiungere i propri segnalibri come privati. A questo punto basterà sottoscrivere il feed RSS associato al proprio account, come segnalibro Live ed il gioco è fatto.

Se si è loggati Firefox mostrerà i segnalibri salvati come se facessero parte di una cartella, se non si è loggati il feed RSS risulterà vuoto. Se qualcuno non si fida e dispone di un server proprio (o in localhost) può sempre creare un feed RSS che risulti vuoto se non si è loggati e che contenga i segnalibri "segreti" se si è loggati.

Sinceramente ho qualche dubbio sull'utilità di avere una cartella di segnalibri "nascosta", comunque visto che non è la prima volta che qualcuno ne fa richiesta, ho voluto postare una possibile soluzione.

Altro problema col password manager

Pubblicato da gialloporpora il 23 luglio 2007 in Senza categoria con 0 Comments

Della serie: "quando ne arriva uno poi ne arrivano altri cento", ecco che dopo i bug segnalati nella scorsa settimana si ripresenta di nuovo un problema col password manager interno. La vulnerabilità è molto simile a quella segnalata da Chapin e che affligeva la versione 2.0 del browser di casa Mozilla (risolta nella versione 2.0.03).

Secondo quanto riportato da Heise-Security è difatti possibile, usando del codice javascript, forzare Firefox a completare i campi di login in una pagina ospitata sullo stesso server In altre parole, questo può essere sfruttato in siti come Myspace o similari per creare una pagina per il furto delle credenziali d'accesso all'account.

I siti dove tale vulnerabilità può essere sfruttata sono dunque relativamente pochi, ma occorre fare molta attenzione. . In ogni caso richiedendo codice Javascript per essere attivata è meno grave di quella precedentemente riportata, in quanto l'inserimento di codice Javascript è solitamente bloccato all'interno dei server stessi per ovvi motivi di sicurezza.

La cosa migliore sarebbe quella di non memorizzare mai le password, ma è anche vero che molti non seguono questa sana precauzione preferendo il salvataggio dei dati di autentificazione nel password manager. Io personalmente, è da un po' che utilizzo l'estensione PasswordMaker che permette la creazione di password a partire da un'unica master password, questa soluzione però impone di dover modificare tutte le password utilizzate nei vari siti/forum.

Un'altra ottima soluzione è utilizzare l'estensione Secure Login, che blocca l'autocompletamento dei campi di login e vi dà la possibilità di eseguire l'accesso semplicemente cliccando nell'iconcina sistemata nella barra di stato (od opzionalmente nella barra degli strumenti). L'estensione supporta il multi utente ed è molto comoda, nonchè sicura, se decidete di memorizzare le password nel gestore interno di Firefox.

Qui trovate la pagina con il proof of concept della vulnerabilità.

Ancora sul Firefox URI…

Pubblicato da gialloporpora il 19 luglio 2007 in Senza categoria con 3 Comments

AGGIORNAMENTO2: nuovi sviluppi ora sembra sia colpa di Windows

MegaLab.it – Il baco negli URI? E' colpa di Windows

Non è colpa né di Firefox né di Internet Explorer. Il problema di sicurezza che tanto sta facendo discutere in questi giorni si trova ancora più in basso, a livello di sistema operativo.

AGGIORNAMENTO: in realtà ci sono stati sviluppi riguardanti il bug dei Firefox URI (che è stato corretto nella versione 2.0.0.5) e che attribuiscono totalmente la responsabilità al browser Mozilla. A questo si aggiunga il fatto che Firefox tiene lo stesso comportamento di IE, rendendo inutile lo stratagemma dell'escaping dei caratteri Potete leggere anche questo post che entra nei dettagli riguardo la registrazione dell'URI handler e di come avviene il passaggio dei dati dall'applicazione chiamante a quella chiamata.

La nuova versione di Firefox sistema, fra gli altri, il bug riguardante il Firefox URI, di cui avevo parlato poco tempo fa, ora però sembra che Firefox non sia l'unica applicazione che può essere sfruttata per eseguire chiamate arbitrarie utilizzando IE come vettore:

However, I can still automatically launch a wide range of external applications from Internet Explorer and provide them with arbitrary command line arguments. AcroRd32.exe (Adobe Acrobat PDF Reader), aim.exe (AOL Instant Messenger), Outlook.exe, msimn.exe (Outlook Express), netmeeting.exe, HelpCtr.exe (Windows Help Center), mirc.exe, Skype.exe, wab.exe (Windows Address Book) and wmplayer.exe (Windows Media Player) – just to name a few

In altre parole usando IE tali applicazioni (e probabilmente non sono le uniche) possono essere richiamate e sfruttate per portare un attacco al vostro computer. Microsoft non ritenendo questo un problema specifico di IE, ma bensì delle applicazioni chiamate, si rifiuta di mettere una pezza facendo in modo che IE gestisca in modo più intelligente le chiamate.

Conclusione: anche se la responsabilità non è di Internet Explorer, utilizzando questo browser (e solamente questo) è possibile sfruttare praticamente tutte le applicazioni installate sul vostro PC per portare a segno un attacco.

Soluzione: non usate Internet Explorer, almeno fino a quando non sarete certi che tutte le applicazioni installate sul vostro PC saranno in grado di rifiutare le chiamate fatte da IE stesso .

Fra l'altro, dando una rapida occhiata alle applicazioni vulnerabili, sembra che microsoft dia pure il cattivo esempio.

Fonte: pseudotecnico blog

Virus vi cripta il disco e vi chiede 300$ per ripristinarlo

Pubblicato da gialloporpora il 15 luglio 2007 in Senza categoria con 4 Comments

ormai le licenze me le hanno date, in ogni caso questo post sul blog di PrevX è abbastanza interessante da poter essere linkato anche senza avere nulla in cambio .

E' stato rilevato un nuovo virus: "NTOS.EXE" classificato come generico Win32.PSWSteal.Gen. Il simpatico applicativo una volta attivato vi cripta l'Hard Disk usando l'algoritmo di cifratura RSA, questo è il messaggio che vi segnala l'avvenuta cifratura dell'HD:

"Hello, your files are encrypted with RSA-4096 algorithm (http://en.wikipedia.org/wiki/RSA). You will need at least few years to decrypt these files without our software. All your private information for last 3 months were collected and sent to us. To decrypt your files you need to buy our software. The price is $300. To buy our software please contact us at: tristanniglam@gmail.com and provide us your personal code -xxxxxxxxx. After successful purchase we will send your decrypting tool, and your private information will be deleted from our system. If you will not contact us until 07/15/2007 your private information will be shared and you will lost all your data — Glamorous team."

Soluzioni:

vi fidate e gli pagate la licenza di 300$;
avete un backup da ripristinare e sperate che non siano stati inviati dati sensibili;
risolvete uno dei problemi più complicati della matematica, cioè create un algoritmo di fattorizzazione che possa venire eseguito in tempi accettabili da un computer.

La parte interessante della notizia (per cui vi rimando allarticolo originale sul blog di PrevX) è vedere le aziende che hanno questo file nel loro sistema , e che forse, non sanno nemmeno di averlo, visto che non tutti gli antivirus lo rilevano come codice maligno .

Ricordo che ho ancora una licenza di PrevX da poter regalare, e qualche altra la dovrebbe avere Sbronzo di Riace.

Fonte: PrevX

AGGIORNAMENTO: grazie a The King of GnG di Megalab.it, ecco cosa viene detto sul blog di Kaspersky riguardo al virus sopracitato:

Viruslist.com – Analyst's Diary

Of course, we've analyzed the files, and in spite of the text above, there's no sign of RSA-4096. Interestingly, this nasty little piece of work, which we detect as Virus.Win32.Gpcode.ai, has a very limited shelf life, from 10th to 15th July 2007. Why? We can only guess.

Quindi sembrerebbe una mezza bufala visto che dalle analisi di Kasperky non risulta nessuna traccia dell'uso dell'algoritmo RSA per la cifratura dei dati, e si sta già lavorando ad un tool di decriptazione.

Sulla vulnerabilità dei Firefox URL

Pubblicato da gialloporpora il 15 luglio 2007 in Senza categoria con 0 Comments

La notizia ha ormai già fatto il giro del mondo, in ogni caso, ne parlo solo per cercare di proporre una toppa momentanea.

La vulnerabilità permette di eseguire codice maligno sfruttando Firefox, ma per essere attivata è necessario utilizzare Internet Explorer (o eventuali altri browser che associno il protocollo firefox:// a Firefox senza filtrare la richiesta).

Si è discusso molto su chi fosse il vero responsabile, inizialmente è stato segnalato come un bug del browser di casa Microsoft, successivamente la responsabilità è stata adossata quasi totalmente al navigatore di casa Mozilla. Per saperne di più vi rimando a questo interessante articolo su mozillalinks.

Una cosa deve essere ben chiara: se usate Firefoxx non correte nessun pericolo, l'exploit viene attivato tramite Internet Explorer, probabilmente anche usando IETab (ma non ho provato in quanto non uso l'estensione) si può essere a rischio di attacchi.

Una soluzione proposta è quella di cancellare la chiave di registro:

HKEY_CLASSES_ROOT\FirefoxURL.

io posso consigliarvi di provare a lanciare Internet Explorer (se proprio non riuscite a farne a meno) usando questo file BAT:

echo off REN "C:\Programmi\Mozilla Firefox\firefox.exe" panda_rosso.lock "C:\Programmi\Internet Explorer\iexplore.exe" REN "C:\Programmi\Mozilla Firefox\panda_rosso.lock" firefox.exe

Naturalmente se avete IE o Firefox installati in cartelle diverse da quelle indicate dovrete modificare i percorsi.

Se avete più di una versione di Firefox installata è possibile che dobbiate rinominare tutti gli eseguibili presenti sul vostro Hard Disk. Se usate una versione portabile di Firefox è possibile che l'exploit non abbia effetto, in quanto, tale versione non dovrebbe registrare chiavi di registro di sistema.

AGGIORNAMENTO: se il metodo sopra proposto non vi aggrada cancellate le azioni associate al protocollo firefox://, andando in:
Risorse del computer -> Strumenti -> Opzioni cartella -> Tipi di file

quindi dopo aver selezionato la voce "Firefox URL" (come mostrato in figura) cliccate su "Avanzate" e rimuovete le azioni associate al protocollo.firefox:// Equivalente alla cancellazione della voce di registro proposta sopra, ma meno delicata come operazione.

Temi Simpson per Firefox

Pubblicato da gialloporpora il 6 luglio 2007 in Senza categoria con 4 Comments

Sinceramente stavo cercando un tema per Foobar, comunque visto che vanno di moda i Simpson ecco due temi per Firefox (in realtà ci sono in ogni archivio due temi: uno per Windows e uno per Mac)

Bisogna scompattare l’archivio e trascinare il file jar associato al proprio sistema operativo nel “Gestore dei Temi” (Strumenti -> Componenti aggiuntivi -> Temi). Dopo aver riavviato il tema apparirà fra quelli disponibili. Io ho scaricato il primo:

Pensavo peggio . Ora comunque rimetto il Noia 2.0 . Per amanti dei Simpson leggendo qui potete crearvi un avatar stile Simpson.

SearchWord integrata in Firefox 3.0

Pubblicato da gialloporpora il 5 luglio 2007 in Senza categoria con 0 Comments

Una delle estensioni che, da quando è stata creata, ho sempre installato su tutti i profili è: SearchWord, quindi nulla di meglio se l'estensione verrà inclusa di default in Firefox 3.0 . L'estensione permette di indicizzare i motori di ricerca installati – similmente a quanto avviene con i segnalibri – con una keyword, permettendo in questo modo di fare ricerche dalla barra degli indirizzi senza l'obbligo di scorrere i motori dalla barra di ricerca. Per indicizzare i motori di ricerca è sufficiente accedere alla: ""Gestione dei motori di ricerca":

selezionando un motore di ricerca, fra quelli installati, e cliccando su "Edit" è possibile associare la keyword al motore stesso:

in realtà SearchWord permette il doppio click diretto sul motore di ricerca senza doversi spostare sul tasto "Edit", cunzione che avevo personalmente richiesto con un commento su Mozilla Addons all'autore (Ryan Flint) e che è stata prontamente inserita da quest'ultimo .

Le informazioni vengono memorizzate nel file search.sqlite, il che significa che per fare un backup dell'indicizzazione dei motori di ricerca è sufficiente salvarlo assieme alla cartella searchplugins.

Altri post simili:
Ricordarsi le keyword associate ai segnalibri,
E' bello essere ascoltati,
SearchWord.

Gran Paradiso alpha6 (prima parte)

Pubblicato da gialloporpora il 4 luglio 2007 in Senza categoria con 2 Comments

E' da poco disponibile per il download la alpha 6 di gran paradiso (alias firefox 3.0), nonostante non sia una versione definitiva e il download sia consigliato solo ai più temerari, si possono scorgere delle importanti modifiche.

nota: fare molta attenzione a non usare il profilo corrente con la nuova versione, in quanto sarà quasi impossibile riutilizzarlo con la versione 2.0 una volta aggiornato. backup fortemente consigliato.

il fatto è che vengono apportate delle sostanziali modifiche all'archiviazione dei dati, nella versione 2.0 questi venivano archiviati in file di puro testo, ora invece vengono salvati utilizzando il database sqlite.

per fare qualche esempio pratico, ecco i file che trovo su un nuovo profilo creato con la versione 3.0:

cookies.sqlite
formhistory.sqlite
places.sqlite e places.sqlite-journal

che sostituiscono rispettivamente i file: cookies.txt formhistory.dat e bookmarks.html+history.dat (segnalibri + cronologia). cominciando a fare qualche download di file inoltre verrà creato il file download.sqlite che sostituisce l'attuale download.rdf (cronologia dei file scaricati).

Ci sono anche due altri nuovi file: contents-prefs.sqlite e search.sqlite, di cui parlerò in un altro post e che servono rispettivamente per salvare le preferenze di visualizzazione dei singoli siti, e le keyword dei motori di ricerca (vedi SearchWord, una delle mie estensioni preferite che non dovrò più installare con Firefox 3.0 ).

Il passaggio al nuovo tipo di memorizzazione dei dati, che non avviene più in file di testo ma utilizzando un database, fa si che un sacco di estensioni smettano di funzionare, e non serve a nulla forzarne l'installazione cambiando la max version, ovviamente.

Questi cambiamenti comunque incideranno anche sul corretto funzionamento di software esterni come anti-spyware o pulitori (CCleaner) visto che il salvataggio dei cookie e della cronologia è notevolmente diverso, anche se ci si augura che vengano aggiornati e resi compatibili al momento dell'uscita della release ufficiale 3.0.

Visualizzare documenti con Firefox

Pubblicato da gialloporpora il 26 giugno 2007 in Senza categoria con 0 Comments

Vediamo alcuni metodi che si possono utilizzare per aprire documenti di testo direttamente in una scheda di Mozilla Firefox/Seamonkey.

Per i documenti che utilizzano formati aperti si può utilizzare il plugin di OpenOffice (è necessario avere installato una versione di OO superiore alla 2.0). Per attivarlo, aprire ad esempio Writer e spuntare la voce "Attiva" in:

Strumenti -> Opzioni -> Internet -> Plugin per Mozilla

Eseguire l'operazione col browser chiuso, una volta riavviato digitare: about:plugins nella barra degli indirizzi e assicurarsi che il plugin di OpenOffice sia elencato nella lista dei plugin installati. Se non dovesse apparire fra i plugin installati si cerchi un file di nome npsoplugin.dll (a partire dalla cartella in cui è installato OpenOffice.org) e lo si copi nella cartella plugin di Mozilla Firefox/Seamonkey.

Il plugin di OpenOffice, una volta attivato, viene associato ai seguenti tipi di file: SDC, SDS, SDA, SDD, SDP, SMF, VOR, SGL, SDW, SXC, STC, SXD, STD, SXI, STI, SXM , SXW, SXG, STW, ODT, OTT , ODM, OTH, ODS, OTS, ODG , OTG, ODP, OTPe ODF. Come si vede non può essere utilizzato per aprire i file DOC che sono quelli più comunemente usati (purtroppo )sul Web. Aspettando che il comune buon senso porti ad un sempre maggior utilizzo dei formati aperti, supportati nativamente da OpenOffice, vediamo un'estensione che può essere utilizzata per aprire i documenti DOC e altri che sfruttano formati proprietari (come i fogli di Excel)

NOTA: mentre il plugin di OpenOffice funziona sia con Firefox, che con Seamonkey (e probabilmente con ogni browser Gecko based come K-Meleon), l'estensione è compatibile solo con Mozilla Firefox.

L'estensione si chiama Zoho QuickRead e come suggerito dal nome sfrutta le API di Zoho, un'ottima suite online che fornisce fra le altre cose:

Zoho Writer – un word processor;
Zoho Sheet – un foglio di calcolo (Excel/Calc);
Zoho Show – un’applicazione per creare presentazioni (Impress/PowerPoint);
Zoho Wiki – una Wiki personale;
altri strumenti per la produttività e la gestione di progetti collaborativi.

Molti degli applicativi sono ancora in fase beta (tentando di salvare le modifiche fatte nella Wiki si apre Talkback ) e alcuni prevedono delle versioni a pagamento per usufruire di maggiori servizi, ma questo non ci interessa visto che l'unico nostro scopo è quello di aprire un documento DOC trovato online in una scheda di Firefox.

Una volta installata l'estensione Zoho QuickRead, sarà sufficiente cliccare col tasto destro sul documento e scegliere "Open with Zoho Viewer" dal menu contestuale per aprire il documento in una nuova scheda di Firefox. Se siete registrati a Zoho potrete inoltre modificare e salvare il documento (licenze del documento permettendo ). Nei link che potrebbero interessare è spiegato come si può cambiare l'icona del cursore se esso viene posizionato su un documento DOC, in modo da facilitare il riconoscimento di questi link da aprire con Zoho QuickRead.

Su Lifehacker – che è uno dei miei blog Hi Tech preferiti – viene suggerito l'uso di DocuFarm, che però a me non ha fatto una gran impressione se devo essere sincero,. Non escludo inoltre che usando IETab si possa utilizzare il plugin di Office per Internet Explorer, ma:

non uso IETab;
non uso MS Office.

Sempre se non ricordo male, nella nuova versione della Google Toolbar dovrebbe essere stata inserita la possibilità di aprire questo tipo di documenti sfruttando Google documenti e fogli di lavoro.

Altri post che potrebbero (si spera) interessare:
Cambiare il cursore a seconda del tipo di file a cui punta il link,
Cambiare percorso alla cartella plugin,
Ajax13: una suite da ufficio online.

MeeTimer: statistiche di navigazione

Pubblicato da gialloporpora il 21 giugno 2007 in Senza categoria con 0 Comments

Quanto tempo spendete su Internet ? E sopratutto, in quali siti navigate più spesso ? State facendo cose utili o state solamente perdendo tempo ?
MeeTimer è un'estensione che potrebbe aiutarvi a rispondere a queste domande. Una volta installata MeeTimer visualizza nella barra di stato un'iconcina e un orologio che misura il tempo che spendete in un determinato sito Web e il tempo totale di navigazione, l'orologio può essere rimosso scegliendo l'opzione "Display" dal menu contestuale che appare cliccandoci sopra col tasto destro del mouse.

la cosa interessante dell'estensione è la possibilità di raggruppare i siti per categorie (del resto siamo nell'epoca del tagging esasperato), di default le categorie sono tre: Procrastination (procrastinazione o cazzeggio che meglio rende l'idea), Communication (comunicazioni), Search (ricerche), ma se ne possono aggiungere quante se ne vuole. Per aggiungere un sito ad una determinata categoria è sufficiente cliccare col tasto destro del mouse sull'icona di MeeTimer nella barra di stato e selezionare "Add www.example.com", e successivamente la categoria desiderata Prima di chiudere il browser potete aprire le statistiche e farvi un'idea di cosa avete visitato:

L'estensione può essere utilizzata liberamente ma vi esorta a fare una donazione per opere di carità. Non è l'unica estensione che tiene statistiche della navigazione, un altro esempio è Page Addict , che però tiene traccia dei siti visitati in un database online (serve registrazione) e quindi i più gelosi della propria privacy potrebbero storcere il naso .

Sarebbe interessante poter impostare un limite per la categoria Procrastination, superato il quale Firefox vi avvisi con un messaggio del genere:

Per oggi mi sembra che hai cazzeggiato abbastanza, che ne dici non è meglio se ti metti a fare qualcosa di serio ?

Fonte: Lifehacker