Dopo lo sconcerto della scorsa settimana che ha coinvolto il sistema di sicurezza domestica Nest di Google, i legislatori statunitensi vogliono delle risposte.

Lunedì, il senatore Roger Wicker del Mississippi, presidente del Senate Commerce Committee, ha inviato una lettera al CEO di Google Sundar Pichai chiedendo informazioni sul nuovo scandalo privacy di Google, ovvero sul fatto che il gigante tecnologico non ha rivelato un microfono nei suoi dispositivi Nest Secure ai consumatori.

“Negli ultimi anni, i consumatori si sono sempre più preoccupati della capacità delle grandi aziende tecnologiche di raccogliere e utilizzare dati personali su di loro a loro insaputa” – si legge nella lettera della Commissione -. Pertanto, è di fondamentale importanza che aziende come Google siano completamente trasparenti con i consumatori e forniscano la completa divulgazione di tutte le specifiche tecniche dei loro prodotti nel punto di vendita“.

La lettera, che è stata anche firmata dai sottosegretari Jerry Moran del Kansas e John Thune del Sud Dakota, fa riferimento a un’audizione al Senato lo scorso settembre quando il responsabile della privacy di Google, Keith Enright, aveva affermato che “la trasparenza è un valore fondamentale del nostro approccio per servire gli utenti“. La mancata divulgazione da parte di Google di un microfono all’interno del suo prodotto Nest Secure solleva serie domande sul suo impegno per la trasparenza nei confronti dei consumatori”, conclude la lettera.

Il comitato del Senato chiede a Google di fornire risposte scritte entro il 12 marzo alle sei domande sul microfono inizialmente non divulgato nei suoi dispositivi Nest Secure, tra cui come e quando ha scoperto che un microfono non era elencato su schede specifiche per i consumatori e se ne è a conoscenza terze parti che utilizzano il microfono “per qualsiasi scopo non autorizzato“.

Inoltre la Commissione ha anche richiesto un briefing di persona con il personale di Google entro e non oltre il 29 marzo.

Secondo Business Insider diversi parlamentari che hanno parlato con  la scorsa settimana hanno espresso preoccupazione per il microfono nascosto e le implicazioni per la privacy dei consumatori.

Il senatore Mark Warner della Virginia, uno dei principali difensori della privacy e vice presidente del Senato Intelligence Committee, ha dichiarato che il mancato riconoscimento da parte di Google dei componenti del suo dispositivo di sicurezza è totalmente in disaccordo con le aspettative dei consumatori.

“Il punto di discussione standard che i consumatori non si preoccupano della privacy è stato sempre più confutato, poiché apprendiamo che consumatori e responsabili politici sono stati tenuti all’oscuro per anni sulla raccolta dei dati e sulle pratiche di commercializzazione”, ha detto Warner. “Sia le agenzie federali responsabili che il Congresso degli Stati Uniti devono tenere audizioni per far luce sul lato oscuro e oscuro dell’economia digitale“.

Clicca qui per leggere la lettera inviata dal Senato a Google

Per approfondire

Scandalo Nest Secure, il Senato Usa a Google: ‘Vogliamo incontro e risposte entro marzo’

Huawei’s chairman said Tuesday that the United States has “no evidence” that its equipment to build next-generation 5G wireless networks could be used as a vehicle for Chinese spy operations.

In a keynote address at the mobile industry’s biggest annual global event in Barcelona, Guo Ping reiterated his company’s position that there are no “backdoors” in its technology that could allow Beijing to spy on countries.

“The US security accusation against our 5G has no evidence. Nothing. The irony is that the US Cloud Act allow their entities to access data across borders,” he said at the Mobile World Congress.

“We don’t do bad things. Let me say this as clear as possible. Huawei has not and we will never use backdoors and we will never allow anyone to do so in our equipment. We take this responsibility very seriously,” he added, speaking in English.

US President Donald Trump’s administration has in recent months ramped up efforts to block Huawei, the leader in 5G, by urging allies to avoid the Chinese powerhouse, claiming that national security interests are at stake.

Washington considers the matter urgent as countries around the world prepare to roll out fifth-generation or 5G networks that will bring near-instantaneous connectivity, vast data capacity and assist futuristic technologies such as self-driving cars.

Network operators seeking to quickly deploy the new wireless networks are in a bind as Huawei’s 5G equipment is seen as being considerably more advanced than that of its rivals such as Sweden’s Ericsson or Finland’s Nokia.

Huawei, China’s most successful global firm, says it is 12 months ahead of its rivals in implementing 5G technology.

“Huawei is leading in 5G globally but we understand innovation is nothing without security,” said Guo, before adding 5G security standards should be decided by technical experts.

The head of Vodafone, the world’s second largest mobile operator, said Monday the United States needed to share any evidence it has about Huawei with European authorities so they can decide whether or not to use the Chinese firm’s technology in their 5G networks.

“We need to have a fact-based risk-assessed review,” Vodafone chief executive Nick Read told a penal discussion on the opening day of the Barcelona trade show.

He said he had not seen what evidence the United States has to back its claims “but they clearly need to present that evidence to the right bodies throughout Europe.”

Australia, New Zealand and Japan have followed Washington’s call for a Huawei ban, but the picture in Europe is more nuanced.

Some major countries such as Germany expressing concerns that banning Huawei would cause a considerable setback in Europe’s efforts to deploy 5G and stay competitive in communications.

Related: France to Tighten 5G Security

Related: Huawei ‘Shocked, Amused’ by Espionage Accusations

Related: Huawei – How the Telecoms Giant is Seen Around the World

http://feedproxy.google.com/~r/Securityweek/~3/_Yw9I-pAbBE/huawei-says-us-has-no-evidence-5g-spying-allegations

Più tecnologia ma meno privacy. Sembra questo il binomio che accompagna ormai l’innovazione tecnologia mondiale.

Secondo quanto riporta il The Guardian, se fai acquisti nei famosi centri commerciali australiani Westfield, probabilmente sei stato scansionato e registrato da dozzine di telecamere nascoste inserite nei cartelloni pubblicitari digitali all’interno dei centri commerciali.

Le fotocamere semi-camuffate possono determinare non solo la tua età e il tuo sesso, ma anche il tuo stato d’animo in pochi secondi, grazie al rilevamento facciale.

L’umore dei clienti come target

La rete Smartscreen di Westfield è stata sviluppata dalla società di software francese Quividi nel 2015. Le loro fotocamere (non visibili) catturano le immagini degli acquirenti e applicano analisi statistiche per identificare i dati demografici del pubblico.

Quividi afferma che i loro tabelloni pubblicitari possono distinguere il sesso degli acquirenti con una precisione del 90%, cinque categorie di umore da “molto felice a molto infelice” e l’età dei clienti all’interno di una fascia di cinque anni.

L’umore è una visione particolarmente preziosa per gli inserzionisti, in quanto rivela il sentimento generale degli acquirenti nei confronti di un marchio e come si sentono in determinati negozi in determinati momenti della giornata. A differenza del sesso e dell’età, l’umore è più difficile da determinare, infatti è determinato con una precisione di circa l’80%.

Ora ci sono più di 1.600 pannelli pubblicitari installati in 41 centri Westfield in Australia e Nuova Zelanda. Scentre Group, società madre di Westfield Australia, sottolinea che tutti i dati raccolti sono anonimi e che stanno utilizzando il rilevamento facciale, non la tecnologia di riconoscimento facciale (Facial Recognition Tecnology).

Ciò significa che vengono raccolte informazioni generiche come l’età e il sesso di un acquirente piuttosto che la tecnologia che utilizza i database di corrispondenza fotografica per identificare chi sono i clienti. Un portavoce non confermerebbe se Westfield considererebbe o meno l’utilizzo del FRT in futuro.

Le aziende di vendita al dettaglio si rivolgono sempre più a software di rilevamento facciale e riconoscimento facciale per attirare e coinvolgere il pubblico. I clienti internazionali di Quividi includono Tesla, 7-Eleven, Coca-Cola, oOH Media e la banca HSBC.

Terry Hartmann, vicepresidente di Cognitec Asia Pacific, la società che sviluppa “tecnologie di riconoscimento facciale leader di mercato per clienti e agenzie governative in tutto il mondo“, afferma che l’uso del rilevamento facciale non è diverso dalla manipolazione da parte di Facebook della cronologia delle ricerche online degli utenti per pubblicità.

“Non stai identificando chi è quella persona, stai solo identificando le caratteristiche fisiche di quella persona. Non è diverso da Facebook spuntare annunci che potrebbero essere interessati e social media che raccolgono le persone in base alle loro abitudini di clic o agli acquisti che hanno fatto “.

FRT: l’allarme privacy degli esperti

Mentre il rilevamento facciale potrebbe essere considerato relativamente benigno, l’utilizzo del Facial Recognition Tecnology invece risulta più problematico.

Il dottor Dong Xu è la cattedra di ingegneria informatica presso l’Università di Sydney, dice che, in condizioni di illuminazione ottimale e utilizzando basi di dati fotografici di alta qualità, l’FRT è più preciso degli umani nell’identificare i volti e ora può riconoscere un individuo da milioni di fotografie.

Secondo Xu, la tecnologia è ancora più affidabile nell’identificare i criminali – e presumibilmente altre persone – rispetto all’utilizzo delle impronte digitali.

Questa tecnologia è ancora nelle fasi iniziali del settore retail australiano, ma la FRT ha un notevole potenziale di investimento e crescita. Aziende internazionali come Target, 7-Eleven, Walmart, Google e Facebook stanno tutti sperimentando il riconoscimento facciale. Il mercato globale del FRT ha un valore di circa 3 miliardi di dollari USA (4,1 miliardi di dollari) e si prevede che cresca fino a 6 miliardi di dollari entro il 2021.

Target e Walmart affermano di aver provato la tecnologia “in-store per prevenire furti e frodi”, mentre 7-Eleven intende usarlo per “identificare i clienti fedeli“.

Cosa succede in Cina

La Cina è il leader mondiale nel riconoscimento facciale, con oltre 176 m di telecamere CCTV. Il FRT viene utilizzato per la sorveglianza e il controllo delle strade, ma anche nei negozi “senza contanti” della Cina. In questi negozi gli acquirenti possono acquistare i prodotti semplicemente scansionando i loro volti, mentre in ATMS e negli hotel, basta uno sguardo per controllare e prelevare denaro. Alibaba e Guess stanno ora sperimentando un progetto chiamato FashionAI. Il progetto si adatterebbe a FRT negli specchietti retrovisori, consentendo ai clienti di vedere se stessi in abiti senza doverli indossare.

In Australia pesa l’assenza del GDPR

L’Australia è già insufficiente quando si tratta di regolamenti in questo settore. Ad esempio, secondo l’attuale quadro normativo, né Westfield né Quividi hanno bisogno del consenso o delle conoscenze degli acquirenti per monitorarli e registrarli tramite il rilevamento facciale delle loro telecamere per cartelloni Smartscreen.

Eppure, in tutta Europa, Quividi è conforme alle rigide norme sulla privacy implementate dal GDPR imposto lo scorso maggio, che ha dato ai cittadini il diritto di controllare i propri dati personali e di essere informati su come vengono utilizzate le loro informazioni.

La pubblicità mirata e l’infiltrazione della FRT nella vita di tutti i giorni potrebbero diventare a breve la norma in tutti i Paesi del mondo. La tecnologia ha un potenziale incredibile, ma dobbiamo essere vigili nel bilanciare i pretesi benefici contro la protezione della nostra privacy personale, dopotutto, senza privacy non c’è libertà.

https://www.key4biz.it/nei-centri-commerciali-si-sperimenta-il-rilevamento-facciale-per-i-clienti-ma-la-privacy-dove-e/243824/

Dopo quella del Garante Privacy italiano, è arrivata anche la bocciatura del Garante Privacy europeo, perché il termine dei 6 anni per la conservazione dei dati è eccessivo. “È un grave errore la legge sulla Data Retention fino a 6 anni in vigore in Italia, perché incompatibile con i valori europei. Ho invitato il Legislatore italiano a riflettere ancora sul tema con la speranza di una modifica”, ha detto Giovanni Buttarelli rispondendo a una domanda di un europarlamentare al termine della presentazione della relazione annuale dell’European Data Protection Supervisor illustrata questa mattina davanti alla Commissione per le libertà civili, la giustizia e gli affari interni del Parlamento europeo. “Il 2018 è stato l’anno più importante per la protezione dei dati personali nell’Ue grazie alla piena entrata in vigore del GDPR”, ha iniziato così Buttarelli la lettura della relazione, “in questo modo l’Ue si pone come leader mondiale nella definizione dei parametri per una crescita digitale responsabile”, ha aggiunto il Garante Privacy europeo.

Cosa prevede la norma italiana sulla Data Retention?

La norma sulla conservazione dei dati impone agli operatori di telecomunicazioni di conservare i metadati (non le conversazioni) di traffico telefonico e telematico per 6 anni. La legge è stata approvata l’anno scorso dal Parlamento italiano nel recepimento della direttiva europea sugli ascensori, in cui è stata inserita la norma che favorisce la sicurezza nazionale a discapito della privacy di tutti i cittadini. Il provvedimento ha ricevuto poi l’ok definitivo della Camera dei Deputati con l’approvazione della cosiddetta ‘Legge Europea 2017’, nella quale è contenuta la direttiva sugli ascensori.

Va specificato che per l’Italia, come per gli altri paesi europei si tratta di metadati, ovvero informazioni di dettaglio su numero del chiamante, numero del ricevente, data e durata della conversazione, frequenza delle chiamate e altro, mentre quanto alla navigazione Internet viene registrato ogni elemento della navigazione (indirizzo IP, siti visitati, device usato, durata della consultazione, pagine visionate, traffico e-mail).

È vero che si tratta di metadati, ma va tuttavia precisato che i soli metadata forniscono già una montagna di informazioni che qualunque sistema di analytics, ovvero un banale software di intelligenza artificiale anche modesto, potrebbe tracciare attraverso psico-profili e mappe di relazioni tali da cui dedurre una quantità enorme di informazioni sulle persone e sulla loro vita privata.

Nel dettaglio l’articolo 24 “fissa in settantadue mesi il termine di conservazione dei dati di traffico telefonico e telematico, nonché dei dati relativi alle chiamate senza risposta, al fine di garantire strumenti di indagine efficaci a fronte delle straordinarie esigenze di contrasto al fenomeno del terrorismo, anche internazionale”.

Il termine dei 72 mesi è stato introdotto con un emendamento presentato da Walter Verini (PD) con questa motivazione: “Dalle audizioni parlamentari la Procura nazionale antiterrorismo ha suggerito alla politica uno strumento ulteriore per prevenire e contrastare il terrorismo, questo è proprio una conservazione più a lungo termine dei dati del traffico telefonico e telematico”.

La norma è un unicum nell’Unione europea nella quale non c’è un provvedimento simile armonizzato per tutti i Paesi membri. Anche per questo motivo ha espresso la sua contrarietà Antonello Soro, Garante Privacy. “Se la minaccia di attacchi informatici è quotidiana diventa ancora più incomprensibile la decisione di aumentare fino a 6 anni la Data Retention, ignorando, non solo le sentenze della Corte di giustizia europea, ma anche il buon senso”, ha detto Soro, il 24 ottobre scorso, durante il convegno Privacy digitale e protezione dei dati personali tra persona e mercato svoltosi a Firenze.

 Il Garante ha motivato nel dettaglio la preoccupazione per la protezione dei dati personali degli italiani: “Al giorno sono circa 5 miliardi i dati di traffico telefonico e telematico conservati dagli operatori e dagli Internet Service Provider e questa prassi di conservarli per 6 anni in modo indistinto andrebbe nella direzione opposta di proteggere la privacy del nostro Paese e dei cittadini”.

Infatti, più a lungo saranno presenti i dati nei server degli operatori di telecomunicazioni più aumenta il rischio di data breach (violazione dei dati personali), oltre gli alti costi che dovranno sostenere gli operatori per conservare, si spera in totale sicurezza, i dati numerici del nostro traffico telefonico (solo le telefonate, comprese quelle senza risposta) e i dati di navigazione su Internet.

Data Retention fino a 6 anni in Italia caso unico al mondo

Pensate, in Russia la Data Retention è fino a 6 mesi. In generale, la conservazione dei dati per ragioni di sicurezza è applicata in modo differenziato nei vari Paesi.

La Francia ha adottato un criterio unico, fissando la conservazione dei dati a 12 mesi. In Germania i dati vengono conservati per 10 settimane, quanto a traffico telefonico e navigazione in internet, mentre i dati sulla geolocalizzazione sono cancellati dopo 4 settimane. In Belgio si va dai 6 ai 9 mesi, in base alla gravità dei reati riscontrabili. Stesso criterio in Spagna, dove la norma è fissata a 12 mesi, che possono essere ridotti a 6 mesi o estesi a 2 anni, a seconda dei casi. In Australia si conservano i dati di traffico telefonico e internet per 2 anni.

Poi c’è il caso americano. In Usa l’argomento è scottante. La Nsa (National security agency) come è noto per prassi conserva i metadati del traffico internet dell’intero pianeta fino a 1 anno.

Dal quadro sommariamente descritto, emergono le due anomalie del quadro internazionale: quella russa, che conserva anche tutti i contenuti del traffico telefonico e internet, e quella americana, che può andare prevedibilmente oltre la soglia dei metadati in casi di sicurezza nazionale, a cui si limitano invece tutti i paesi europei.

Ai due casi estremi citati, si aggiunge l’anomalia italiana, ancor più pesante se si considera che la norma che fissa a 6 anni la conservazione dei dati è stata approvata sei mesi dopo la piena applicazione del Gdpr.

Dunque in Italia la conservazione dei dati è fino a 6 anni. Caso unico al mondo.

https://www.key4biz.it/garante-privacy-europeo-grave-errore-data-retention-in-italia-fino-a-6-anni/243828/

Duo Labs, part of Cisco-owned Duo Security, has launched a new service designed to analyze Chrome extensions and deliver security reports on them. 

Dubbed CRXcavator and released in beta, the tool seeks to provide consumers and enterprise users alike with actionable intelligence on the large number of available Chrome extensions by scanning the Chrome Web Store on an ongoing basis. 

The tool can analyze extension permissions and their implications and also evaluates extensions from several other angles. 

Although Chrome users are asked to approve permissions for installed extensions, many people grant permissions without much consideration, a risky behavior when installing extensions in enterprise environments. Security teams, however, usually lack the capabilities of investigating extensions. 

 “We have categorized and assigned an objective numerical risk score to each permission to help a security team have a metric to use when triaging extension analysis,” Duo explains. 

The service looks at sites the extension’s code likely makes external requests to and also identifies domains the extension can communicate with. It also analyzes third-party JavaScript libraries for vulnerabilities and lets users look into the code of externally included JavaScript files. 

CRXcavator also scans for potentially dangerous functions and possible “entry points” for attackers, adds extension metadata to generated reports, and identifies related extensions to help analysts find alternatives to shady or risky extensions. 

“With all these perspectives included, a CRXcavator report equips a security operations analyst to make a well-informed decision about whether to allow or block an extension,” Duo says.

The service also provides users with the option of creating accounts and linking them to groups. Enterprises can leverage these groups to manage Chrome extension whitelists, set threat intelligence keys, gain visibility into extensions used within their environments, and more. 

Furthermore, CRXcavator provides users with the option to request approval for extensions that haven’t been included in an enterprise’s whitelist. 

After scanning the Chrome Web Store in January 2019, the security firm discovered and processed 120,463 extensions and apps, many containing various issues, such as the lack of a listed privacy policy (84.7%) or support site (77.3%), or the use of vulnerable third-party libraries (31.8%).

Most of the 95k extensions in the Web Store that support Content Security Policies (99%) do not have default-src or connect-src in the CSP defined (these allow developers restrict the external resources the extension can access). In fact, 78.3% do not have a CSP defined, Duo says. 

Related: Google Tightens Rules for Chrome Extensions

Related: Google Removes Inline Installation of Chrome Extensions

http://feedproxy.google.com/~r/Securityweek/~3/5bv5ueL-pbc/new-service-ciscos-duo-labs-analyzes-chrome-extensions

Several phone apps are sending sensitive user data, including health information, to Facebook without users’ consent, according to a report by The Wall Street Journal.

An analytics tool called “App Events” allows app developers to record user activity and report it back to Facebook, even if the user isn’t on Facebook, according to the report .

One example detailed by the Journal shows how a woman would track her period and ovulation using an app from Flo Health. After she enters when she last had her period, Facebook software in the app would send along data, such as whether the user may be ovulating. The Journal’s testing found that the data was sent with an advertising ID that can be matched to a device or profile.

Although Facebook’s terms instruct app developers not to send such sensitive information, Facebook appeared to be accepting such data without telling the developers to stop. Developers are able to use such data to target their own users while on Facebook.

Facebook said in a statement that it requires apps to tell users what information is shared with Facebook and it “prohibits app developers from sending us sensitive data.” The company said it works to remove information that developers should not have sent to Facebook.

The development comes as Facebook is dealing with increased scrutiny over how it handles user data. Last week, British lawmakers issued a scathing report calling for tougher privacy rules for Facebook and other tech firms.

Criticisms over privacy intensified nearly a year ago following revelations that the now-defunct Cambridge Analytica data-mining firm accessed data on some 87 million Facebook users without their consent. The U.S. Federal Trade Commission has been investigating that flap as well and is reportedly in negotiations with Facebook over a multibillion dollar fine.

The data-sharing is related to a data analytics tool that Facebook offers developers. The tool lets developers see statistics about their users and target them with Facebook ads.

Besides Flo Health, the Journal found that Instant Heart Rate: HR Monitor and real-estate app Realtor.com were also sending app data to Facebook. The Journal found that the apps did not provide users any way to stop the data-sharing.

Flo Health said in an emailed statement that using analytical systems is a “common practice” for all app developers and that it uses Facebook analytics for “internal analytics purposes only.” But the company plans to audit its analytics tools to be “as proactive as possible” on privacy concerns.

Hours after the Journal story was published, New York Gov. Andrew Cuomo directed the state’s Department of State and Department of Financial Services to “immediately investigate” what he calls a clear invasion of consumer privacy. The Democrat also urged federal regulators to step in to end the practice.

Securosis CEO Rich Mogull said that while it is not good for Facebook to have yet another data privacy flap in the headlines, “In this case it looks like the main violators were the companies that wrote those applications,” he said. “Facebook in this case is more the enabler than the bad actor.”

http://feedproxy.google.com/~r/Securityweek/~3/bgiFocBpl_M/report-apps-give-facebook-sensitive-health-and-other-data

The Face ID and Touch ID authentication feature introduced recently to WhatsApp for iOS can be easily bypassed, but a patch has been released.

An update rolled out in early February for the iOS version of WhatsApp introduced a new feature that allows users to lock the application on their iPhone using the smartphone’s Face ID and Touch ID facial recognition and fingerprint systems.

This additional level of security ensures that access to WhatsApp is protected if an unauthorized individual gains physical access to an unlocked device. The protection can be activated by going to Settings -> Account -> Privacy -> Screen Lock in WhatsApp. Users can select if they want to use Face ID or Touch ID and they can set how quickly they want the application to lock itself – immediately, after 1 minute, after 15 minutes, or after 1 hour.

A Reddit user noticed that unless this duration is set to “immediately,” the Face ID/Touch ID protection can be easily bypassed by using the Share Sheet in iOS, the system that allows users to share content with others via one of the applications installed on their device.

From the Share Sheet, users need to select WhatsApp and the application will become accessible without any Face ID or Touch ID prompt the next time it’s opened from the home screen.

The bypass method does not work if the duration is set to anything other than “immediately.”

WhatsApp, which is owned by Facebook, told SecurityWeek that “a fix has been rolled out to all users on the latest version of WhatsApp.”

Researchers from Israeli cybersecurity firm Check Point discovered recently that hackers could modify and send fake messages via WhatsApp, but the vendor has downplayed the impact.

WhatsApp announced last month that it only allows messages to be forwarded to a maximum of 5 people in an effort to block attempts to abuse the platform for spreading false information.

Related: Germany’s Continental Bans WhatsApp From Work Phones

Related: No Backdoor, but WhatsApp Can Snoop Encrypted Conversations

Related: Apple Patches Passcode Bypass in iOS

http://feedproxy.google.com/~r/Securityweek/~3/vswRH1gfT-U/bug-allows-bypass-whatsapp-face-id-touch-id-protection

Feb 22, 2019 Marco Schiaffino News, Privacy, RSS, Scenario, Vulnerabilità 0

---

Una ricerca di Duo Labs accende i riflettori su tutti i rischi legati all’uso dei componenti aggiuntivi del browser. Violazioni della privacy, vulnerabilità e molto altro…

Per la nostra sicurezza, possiamo contare su centinaia di ricercatori che passano al setaccio il codice dei software più diffusi alla ricerca di bug e vulnerabilità. In questo modo gli sviluppatori possono aggiornare tempestivamente i loro prodotti e anticipare eventuali cyber-attacchi.

Ma qual è la situazione per quel che riguarda i programmi meno celebri? O ancora: per le decine di componenti aggiuntivi disponibili su Internet per i browser che usiamo ogni giorno per navigare e collegarci a servizi Web?

A mettere il naso in questa “zona grigia” ci hanno pensato i ricercatori di Duo Labs, che hanno analizzato più di 120.000 estensioni disponibili per Chrome e ne hanno valutato il livello di sicurezza. Il progetto, che si chiama CRXcavator ed è raggiungibile a questo indirizzo, permette anche di sottoporre a scansione un’estensione specifica.

I risultati sono sconfortanti: l’84,7% delle estensioni nello store non hanno delle policy in tema di privacy e 99.000 di queste (il 77,3%) non riportano un sito in cui sia disponibile l’assistenza.

Un terzo delle estensioni disponibili (per l’esattezza il 35,4%) si arrogano il “diritto” di acquisire tutti i dati che forniamo a un sito Internet a cui ci colleghiamo, mentre il 31,8% contiene librerie di terze parti che contengono delle vulnerabilità conosciute.

Combinando i due dati, si scopre che il15% delle estensioni è in grado di leggere i dati dei siti che visitiamo e contengono vulnerabilità note. Tradotto: una estensione su sette contiene informazioni sensibili che un pirata potrebbe ottenere sfruttando exploit piuttosto banali.

Il progetto di Duo Labs, oltre a mettere in luce i rischi che corrono milioni di utenti che utilizzano Chrome (il browser di Google oggi è usato dal 79,5% degli utenti Internet) vuole offrire uno strumento per “fare pulizia” e avviare un processo di analisi dei componenti aggiuntivi che consenta (prima o poi) di migliorare il livello di sicurezza globale sul Web.

---

---

---

https://www.securityinfo.it/2019/02/22/le-estensioni-di-google-chrome-un-incubo-per-la-sicurezza/

Mexico’s privacy watchdog said Wednesday that the federal Attorney General’s Office stonewalled it for more than a year as it tried to investigate the government’s use of powerful Israeli spyware against journalists, lawyers and activists.

Commissioners of Mexico’s Institute for Transparency, Access to Information and Protection of Personal Data said that just this week the Attorney General’s Office provided for the first time licensing contracts from 2016 and 2017 for the Pegasus software from Israel’s NSO Group.

Initially, the office denied the contracts existed, then refused to divulge them before eventually capitulating.

Commissioners were incredulous Wednesday at the idea that the government would spend $32 million on software and then maintain that it hadn’t used it. They said the government earlier told them it had no records of the software being employed.

“When I’m going to buy something it’s because I’m going to use it,” commissioner Oscar Guerra Ford said.

In the improbable case that it really wasn’t used, there should be an explanation for why something so expensive — almost the annual budget for INAI — was purchased but not used, he said.

“It’s evident that there’s something strange,” Guerra said. He urged the new autonomous prosecutors’ office to essentially investigate itself.

In 2017, the internet watchdog Citizen Lab released its investigation that found some of Mexico’s most prominent journalists had been targeted by the spyware. Journalists Carmen Aristegui and Carlos Loret de Mola had been investigating government corruption and alleged human rights violations by security forces.

It also found evidence that members of an international team of experts backed by the Organization of American States investigating the 2014 disappearance of 43 students in Mexico were targeted.

The University of Toronto-based Citizen Lab said the software was capable of not only accessing all of the information on a target’s cellphone, but also of turning the phone into a spying device by activating its camera and microphone.

NSO had said the software was only sold to governments for the purposes of fighting crime and terrorism.

At the time, the Mexican government flatly denied any of its entities had targeted human rights defenders, journalists, anti-corruption activists or anyone else without prior judicial authorization.

Citizen Lab said it identified targeted messages sent in 2015 and 2016. Among the other targets were members of the Centro Miguel Agustin Pro Juarez, a prominent human rights group, and Mexicans Against Corruption and Impunity.

The software has been implicated in cases of misuse elsewhere as well.

In December, a Saudi Arabian dissident filed a lawsuit in Israel alleging that NSO software was used to monitor Saudi journalist Jamal Khashoggi before his killing in Turkey in October. NSO has called the lawsuit “completely unfounded.”

Related: Cyber Attack Aims to Manipulate Mexican Election

Related: Hackers Steal ‘$15.3 Million’ From Mexico Financial System

http://feedproxy.google.com/~r/Securityweek/~3/OBG49L640tY/mexican-privacy-watchdog-criticizes-government-over-spyware

Google said Wednesday it forgot to mention that it included a microphone in its Nest Secure home alarm system, the latest privacy flub by one of the tech industry’s leading collectors of personal information.

The company said earlier this month that its voice assistant feature would be available on the system’s Nest Guard, which controls home alarm sensors.

But Google hadn’t told consumers about the device’s built-in microphone when it began selling the hubs in the fall of 2017. As recently as January, the product specs for the device made no mention of a microphone.

Google said in a statement that the omission was a mistake. “The on-device microphone was never intended to be a secret and should have been listed in the tech specs,” it said.

The microphone hasn’t been active since launch, and people have to specifically enable it going forward, Google said. Business Insider first reported the microphone had been missing from the product’s description.

Google and other Internet companies are facing increasing scrutiny over their data collection practices. The forgotten microphone is not Google’s first run-in with user privacy concerns.

An AP investigation last year found the company was tracking users’ location information through its apps and search services, even if users turned the feature off.

And in 2010, Google admitted it had accidentally collected some internet activity from open Wi-Fi networks using its Street View cars.

http://feedproxy.google.com/~r/Securityweek/~3/AEN0boUx-BA/googles-nest-hub-has-microphone-it-forgot-mention