Cassandra Crossing/ Foneros - parte seconda

di Marco Calamari - Risolto con il nuovo firmware il problema di sicurezza legato a quello precedente, che consentiva l'accesso al router. Ma con le nuove iniziative commerciali i foneros italiani rischiano di più

Roma - Lunedì è avvenuto l'atteso passaggio del Movimiento Fon alla seconda fase, che prevede vendita ed acquisto di collegamenti, introducendo le figure "Bill" ed "Alien". Questa iniziativa, malgrado il suo carattere commerciale ed i metodi di network marketing che usa che la rende ben diversa da iniziative più libere, merita attenzione e rispetto considerando che cerca di rendere più facile, più economico e più pervasivo l'accesso WiFi nel mondo.

Qualche giorno fa Punto Informatico aveva pubblicato un articoloche sottolineava alcuni problemi del Movimiento Fon, sia di tipo informatico (relativamente alla sicurezza), sia di tipo comunicativo e legale. Una iniziativa "aperta" e collaborativa come il Movimiento Fon rende necessaria la massima chiarezza sui suoi aspetti tecnici e normativi. Alla luce dei cambiamenti avvenuti, ripercorriamo quanto esposto precedentemente.

Per quanto riguarda la sicurezza, il firmware 0.6.6 appena uscito ha chiuso la falla che permetteva a chi si collegasse via wireless di accedere al router.
Molto opportunamente questo non è ora più possibile; questo vuol dire che chi si collega al router non puo' più accedere via ssh alla console del router stesso. La cosa è indispensabile perchè anche questa versione del firmware non obbliga a cambiare la password di default del router, che chiunque quindi puo' conoscere. Aggiornamento vivamente consigliato.
Sembra anche non più necessario collegare i computer preesistenti all'hub incorporato nel Social Router Fon; non esisteva infatti giustificazione per costringere a far passare tutto il traffico della LAN attraverso il router Fon.
D'altra parte tutto il materiale stampato precedentemente accessibile sul sito è ad oggi non più disponibile, quindi non è possibile verificare quale sia il collegamento consigliato per il router Fon.
È strano che proprio nel momento in cui una documentazione sarebbe più necessaria per documentare i cambiamenti che secondo i messaggi giunti sui forum ci sarebbero stati nel nuovo firmware, essa sia scomparsa; speriamo si tratti di un momento di confusione dovuto agli aggiornamenti a tutto il sistema.

Purtroppo, a giudicare dal thread dell'annuncio del firmware 0.6.6 reperibile qui, sembrerebbe che il metodo comunicativo con i foneros sia rimasto il precedente, caratterizzato da poca informazione e nessuna risposta alle richieste di chiarimento.
Particolarmente indicativa è una frase di risposta del moderatore, che cito qui, invitando pero' a leggere l'intero thread:
"you have to upgrade the firmware. if you do the firmware upgrade, you will be IN the FON comunity".

La comunicazione del numero dei foneros nel mondo è impressionante ma ambigua; ieri, a detta del sito, si è superato il numero di 60.000 foneros nel mondo, ma si tratta probabilmente di quelli che si sono registrati al sito. La consultazione della mappa, che ha gravi problemi di aggiornamento, darebbe un numero di router installati di circa 25.000, che è comunque un risultato senza precedenti se tutti fossero attivi.

Un check a campione di quelli fiorentini ha dato pero' risultati deludenti. Mercoledi 21 solo 1 su 9 risultava attivo, e c'erano gravi errori di posizionamento sulla mappa tra indirizzo dichiarato e posizione geografica.

L'accesso ai sorgenti del firmware è diventato ancora più difficile da trovare; al meglio delle ricerche svolte non esistono ad oggi link sul sito, ma è stato comunque possibile scaricare i sorgenti "aggiornando" la versione dalla URL da cui era stato scaricato il precedente, che resta purtroppo ben poco documentata come la precedente. Rendere così difficile l'accesso ai sorgenti è omogeneo al desiderio di conservare completamente il controllo dei firmware dei router Fon che traspare dalle non-risposte dei moderatori.

Si tratta di una cosa comprensibile dato il tipo di iniziativa, ma incompatibile con il voler giocare nel campo del software libero. La GPL stabilisce l'obbligo di fornire i sorgenti, e renderlo difficoltoso non è allineato con essa.

Per quanto riguarda l'aspetto commerciale, la società che gestisce il Movimiento Fon è cambiata, ed il nuovo contratto che lega i foneros è stato aggiornato. A detta della nuova società i cambiamenti contrattuali (quali siano non è molto chiaro, almeno ad un ingegnere) vengono accettati continuando ad usare il router, ma in Germania ed in Italia questo, secondo il codice civile, non dovrebbe essere legale. Al solito, parla un ingegnere; la parola agli avvocati.

Per quanto riguarda la parte legale ed i rischi che i foneros italiani corrono per le possibili violazioni alla Legge Gasparri ed al Decreto Pisanu nulla è cambiato; è pero' da oggi possibile farsi ancora più male accettando il ruolo di Bill e diventando così un fornitore commerciale di connettività.

Non sembrano esistere nuove possibilità di accedere ai log degli accessi.
A questo proposito non risulta neppure che la società che gestisce il Movimiento Fon abbia avviato una consultazione con il Ministero dell'Interno o con il Ministero delle Comunicazioni per avere chiarimenti sulla legalità del comportamento dei foneros italiani. Almeno per la parte relativa ai log ci sarebbe potenzialmente la possibilità di scaricare ufficialmente i foneros dagli obblighi di tenuta dei log. Continuiamo a consigliare alla società che gestisce il Movimiento Fon di tentare di proteggere in questo modo i suoi utenti italiani.

Per finire, tramite la pagina personale dei foneros che hanno registrato un router, è ora possibile accedere all'elenco dei nomi di coloro che si sono collegati al router, ed avere l'elenco dei collegamenti che l'utente ha fatto sugli altri router della rete.
Basterebbe poco per trasformare queste informazioni nel famoso log degli accessi che forse metterebbe i foneros italiani al riparo almeno dai fulmini del Decreto Pisanu.

Marco Calamari

I precedenti interventi di Marco Calamari sono disponibili a questo indirizzo
6 Commenti alla Notizia Cassandra Crossing/ Foneros - parte seconda
Ordina
  • Dopo i "furbetti del quartierino" ecco arrivati i furbetti del wi-fi. Tutto giusto quello che dice Marco sui problemi di sicurezza e di trasparenza commerciale. Legalmente le cose secondo me sono ancora più rischiose di quanto scritto nell'ottimo articolo. Ma c'è una cosa che mi infastidisce molto e di cui non si parla: FON è un'iniziativa commerciale e basta! Usare termini come "social", revolution", "movimiento" è solo uno squallido tentativo da furbetti di darsi una patina "sociale"... eppure c'è qualcuno che ci crede... bah! Foneros, occhio, oltre a correre rischi seri vi fate anche prendere per il c...

    ms
    non+autenticato
  • Se la pensate così e volete ancora pagare 10 euro per 40 minuti di connessione wi-fi...
    non+autenticato
  • perche non chiedono a telecom ed a tutti gli altri isp di bloccare sta boiata... che se un ingenuo ci casca si mette FON e ha la sfiga di avere un vicino di casa pedofilo passa sicuramente un bel guaio si vede sequestrare il pc per un annetto in attesa del controllo di quello che ha sul disco un bel processo e se poi non trovano il pedoprono magari si attaccano a qualche mp3 o a qualche dvx tanto per far vedere che fanno il loro dovere...poi vagli a dire FON e FON anzi a quel punto se nel contratto con isp ci sta scritto che non puoi rivendere il servizio sei apposto ti fa causa anche isp... apparte gli schezi nal contratto di fastweb mi sembra che ci sia scritto...

    anche se FON tenesse i log non credo andrebbe ancora bene .. oggi per avere un scheda gsm devi andare al negozio col documento.
    il form di per diventare utente FON non mi pare che rispetti tutti i parametri per identificazione certa del utente...


    non+autenticato
  • - Scritto da:
    > perche non chiedono a telecom ed a tutti gli
    > altri isp di bloccare sta boiata... che se un
    [...]
    > che rispetti tutti i parametri per
    > identificazione certa del
    > utente...
    >

    Tutto corretto, tutto giusto, ma... prova a pensare a cosa accadra dopo.
    Ormai tutti i router adsl hanno un'antenna wifi, o almeno la maggior parte dei modelli.

    Un programma che, a tempo perso, attacca a forza bruta il router, dal lato dell'utente, non fa scattare (per ora) alcun allarme.

    Ma anche che non attacca a forza bruta, limitandosi ad un vocabolario con le password di defautl di svariati costruttori... be', riuscirebbe ad entrare in molti router. Da li' ad attivare il WiFi, creando una rete sprotetta, il passo e' brevissimo.

    A questo punto un cracker appena un po' intraprendente, potrebbe registrare i punti di accesso violati sulla rete FON a suo nome (o a nome di una societa' fittizia, con sede legale a Freedonia o in qualche altro staterello fantasma) e incassare.

    Bello eh?


    >GT<

  • - Scritto da: Guybrush
    > - Scritto da:
    > > perche non chiedono a telecom ed a tutti gli
    > > altri isp di bloccare sta boiata... che se un
    > [...]
    > > che rispetti tutti i parametri per
    > > identificazione certa del
    > > utente...
    > >
    >
    > Tutto corretto, tutto giusto, ma... prova a
    > pensare a cosa accadra
    > dopo.
    > Ormai tutti i router adsl hanno un'antenna wifi,
    > o almeno la maggior parte dei
    > modelli.
    >
    > Un programma che, a tempo perso, attacca a forza
    > bruta il router, dal lato dell'utente, non fa
    > scattare (per ora) alcun
    > allarme.

    Non è vero, era vero un tempo o con router da 4 soldi !

    >
    > Ma anche che non attacca a forza bruta,
    > limitandosi ad un vocabolario con le password di
    > defautl di svariati costruttori... be',
    > riuscirebbe ad entrare in molti router.

    OK, ma i daemon police ?

    >Da li' ad
    > attivare il WiFi, creando una rete sprotetta, il
    > passo e'
    > brevissimo.

    Non cosi' facile ! devi essere un asso !

    >
    > A questo punto un cracker appena un po'
    > intraprendente, potrebbe registrare i punti di
    > accesso violati sulla rete FON a suo nome (o a
    > nome di una societa' fittizia, con sede legale a
    > Freedonia o in qualche altro staterello fantasma)
    > e
    > incassare.

    Incassare la galera perchè ti beccano all'istante ! Non posso dire il perchè, ma fidati ! Sei beccato all'istante !

    non+autenticato
  • Ho beccato svariati router senza un minimo di sicurezza sulla rete, bastava mettersi in dhcp col router e si accedeva.
    Non solo.
    Ma username e pwd dei router erano pure quelli standard di default.....


    - Scritto da:
    >
    > - Scritto da: Guybrush
    > > - Scritto da:
    > > > perche non chiedono a telecom ed a tutti gli
    > > > altri isp di bloccare sta boiata... che se un
    > > [...]
    > > > che rispetti tutti i parametri per
    > > > identificazione certa del
    > > > utente...
    > > >
    > >
    > > Tutto corretto, tutto giusto, ma... prova a
    > > pensare a cosa accadra
    > > dopo.
    > > Ormai tutti i router adsl hanno un'antenna wifi,
    > > o almeno la maggior parte dei
    > > modelli.
    > >
    > > Un programma che, a tempo perso, attacca a forza
    > > bruta il router, dal lato dell'utente, non fa
    > > scattare (per ora) alcun
    > > allarme.
    >
    > Non è vero, era vero un tempo o con router da 4
    > soldi
    > !
    >
    > >
    > > Ma anche che non attacca a forza bruta,
    > > limitandosi ad un vocabolario con le password di
    > > defautl di svariati costruttori... be',
    > > riuscirebbe ad entrare in molti router.
    >
    > OK, ma i daemon police ?
    >
    > >Da li' ad
    > > attivare il WiFi, creando una rete sprotetta, il
    > > passo e'
    > > brevissimo.
    >
    > Non cosi' facile ! devi essere un asso !
    >
    > >
    > > A questo punto un cracker appena un po'
    > > intraprendente, potrebbe registrare i punti di
    > > accesso violati sulla rete FON a suo nome (o a
    > > nome di una societa' fittizia, con sede legale a
    > > Freedonia o in qualche altro staterello
    > fantasma)
    > > e
    > > incassare.
    >
    > Incassare la galera perchè ti beccano all'istante
    > ! Non posso dire il perchè, ma fidati ! Sei
    > beccato all'istante
    > !
    >