[Domanda] Tentativo di phishing o cosa?

[Robby The Robot]

Salve a tutti, spero sia la sezione giusta dove postare...

Poco fa è successa una cosa strana:
stavo controllando la mia posta su gmail (computer con Win7 Pro 64, Firefox aperto nella sandbox di Comodo), quando mi si è aperta una seconda finestra del browser, apparentemente per un sondaggio di Firefox. Caso ha voluto che in quel momento avessi disattivato l'ad-blocker, ma non so se avrebbe fatto differenza.
Di solito sono piuttosto sospettoso ma, visto che uso Firefox quotidianamente, ho pensato di rispondere per cortesia.
Il "sondaggio" era di quattro domande, proposte in quattro schermate successive, domande tipo "quante volte usi Firefox" "quali altri browser usi" ecc...
Dopo aver risposto alla quarta domanda c'è stato un breve intervallo (due o tre secondi) durante il quale è comparso un rettangolino rotante (sempre nella finestra del browser, non come puntatore) e poi una schermata con un premio (uno smartphone molto costoso offerto a 1 Euro) e messaggi di persone che, apparentemente, avevano ricevuto il premio.
A questo punto mi è venuto il dubbio che il sondaggio fosse farlocco e ho chiuso il browser.

Per chiarezza:
l'unica cosa che ho fatto è stato cliccare sulle quattro risposte, non ho fornito dati di alcun tipo.

Dopo aver chiuso il browser:
- Ho spento il router in modo da cambiare IP
- Ho resettato la sandbox di Comodo
- Ho fatto una scansione completa con Avast, negativa.
- Adesso farò una scansione con Emsisoft Emergency Kit

Se negativa anche questa sono pulito?
Consigli ulteriori?
E' la prima volta che mi succede una cosa del genere, di solito non prendo virus o altre schifezze. Significa che si è creata una falla da qualche parte?

P.S.: come software "di sicurezza" sul PC ho Avast, Comodo Firewall, Malwarebytes Anti-Exploit (anche se, sinceramente, non capisco se è ancora funzionante), CryptoPrevent.

[Nicodemo Timoteo Taddeo]

Salve a tutti, spero sia la sezione giusta dove postare...

Poco fa è successa una cosa strana:
stavo controllando la mia posta su gmail (computer con Win7 Pro 64, Firefox aperto nella sandbox di Comodo), quando mi si è aperta una seconda finestra del browser, apparentemente per un sondaggio di Firefox.

Era questo?

https://imgur.com/a/PmjEp

[Robby The Robot]

Esattamente quello.

[Nicodemo Timoteo Taddeo]

Esattamente quello.

Togli il presunto allora, è un chiaro tentativo di phishing :)

Qualche anno fa era già in circolazione qualcosa di analogo e chiedeva dati quali il numero di telefono e un indirizzo email valido. Spero per te che non hai abboccato e non hai dati informazioni sensibili.

In ogni caso se quella sandboxie ha senso di esistere, non si deve essere caricato nulla sul sistema operativo, per cui sei ragionevolmente sicuro.

[Robby The Robot]

La scansione con Emsisoft Emergency Kit è negativa, posso ragionevolmente stare tranquillo?
Dovrei fare un backup del sistema e non vorrei portarmi dietro "ospiti indesiderati".

Da una ricerca in Rete ho visto che ad alcune persone questa finestra si è aperta mentre navigavano sul noto sito di aste e mi sono ricordato che, in effetti, anch'io mi trovavo su quel sito. Stavo controllando la posta e c'era una mail su un oggetto corrispondente a una mia ricerca salvata (ne ricevo diverse ogni giorno) e la finestra malefica è comparsa subito dopo aver aperto la pagina. Ad ogni buon conto, per sicurezza ho cambiato la password della casella di posta.


Qualche anno fa era già in circolazione qualcosa di analogo e chiedeva dati quali il numero di telefono e un indirizzo email valido. Spero per te che non hai abboccato e non hai dati informazioni sensibili

Mi hanno preso in un momento particolare, ero un po' distratto e per giunta avevo momentaneamente disattivato l'ad-blocker.
Mi servirà da lezione: mai abbassare la guardia!
Come detto, non ho fornito alcun dato, ho solo risposto alle quattro domande e poi mi sono fermato.
Certo, a voler essere paranoici, si potrebbe pensare all'installazione di qualche programma "sgradito" ma penso che la sandbox un po' pari il cu... ehm le spalle.


In ogni caso se quella sandboxie ha senso di esistere, non si deve essere caricato nulla sul sistema operativo, per cui sei ragionevolmente sicuro.
Eh, questo lo sanno solo quelli di Comodo.
Mi sa però che è arrivato il momento di installare qualcosa di specifico, tipo Sandboxie.

Comunque, da quello che mi pare di capire, non ho fatto danni. Però mi rimane un dubbio: perché questa finestra è stata visualizzata?
Pare che non sia la prima volta che gira e immagino che altre simili siano in circolazione ma io non le avevo mai viste prima.
Perché questa volta è riuscita ad intrufolarsi?

[Robby The Robot]

Scusa ma o non ho capito la tua risposta o parliamo di due cose diverse.

Lo scopo del backup è, per me, quello di poter tornare a un sistema funzionante in poco tempo in caso di problemi che compromettano irrimediabilmente il sistema stesso, dando per scontato (per quanto realisticamente sia possibile essere sicuri) che il sistema sia, in ogni momento, "pulito" (in fondo è il sistema che uso, quindi devo assumerlo come "pulito", o non usarlo proprio).
A tal fine ogni tanto (una volta al mese, a volte ogni due mesi), dopo aver scansionato a fondo con antivirus e antimalware e dopo aver fatto una pulizia di file "inutili" (con l'utility di W7 e CCleaner) creo un'immagine del sistema e la conservo su un disco esterno. Vado via via cancellando i backup più vecchi conservando solo i tre più recenti.
Per chiarire quindi, non è che devo fare il backup perché è successa questa cosa, era già in programma indipendentemente.

Dalla frase "eseguire un backup di un sistema che è stato utilizzato per settimane o mesi..." ecc... deduco che l'immagine "sicuramente pulita" è un'immagine creata subito dopo l'installazione del S.O. e magari alcuni programmi. Ma se così è, francamente mi sfugge la differenza tra la procedura che hai descritto e un semplice formattone e reinstallazione da capo di tutto (o meglio, la differenza c'è ma non so se giustifichi tutto il lavoro rispetto a una formattazione e reinstallazone). A quel punto tanto varrebbe usare sempre tutto in sandbox e ripartire ogni volta col sistema pulito o usare l'equivalente su Windows di un Linux senza persistenza (non so se si può fare una cosa del genere) o, molto più semplicemente passare direttamente a Linux e non pensarci più (Linux che uso su un secondo computer da diversi anni ormai e che installerei anche su questo PC se non fosse per un paio di applicativi che mi trattengono su Windows).

Se ho scritto qualche inesattezza o interpretato male la tua risposta correggimi pure.

[Robby The Robot]

Cerco di rispondere e ovviamente quello che scrivo è il mio punto di vista, ma inizio con una premessa:
il sistema io lo devo considerare "integro fino a prova contraria", questa è condizione necessaria per il suo utilizzo. Se partissi dal principio che il sistema è "compromesso fino a prova contraria" non mi resterebbe altro da fare che spegnere il PC e non accenderlo più.
L'integrità la assumo sulla base che è il mio sistema e io so come lo utilizzo, mettendo in atto una serie di strumenti e pratiche (antivirus, antimalware, firewall, sandbox, monitoraggio di comportamenti strani, chiusura delle porte, ecc... soprattutto prudenza e diffidenza).

Dalla tua risposta mi rendo conto che, in effetti, stiamo parlando di due cose diverse.
Tu hai esposto una teoria sull'uso del backup che è sicuramente utile e interessante ma ha altro scopo rispetto a quello che io perseguo.
Alla luce di quanto ho appena scritto sopra, il backup di sistema per me è semplicemente un modo per tornare velocemente allo stato in cui si trovava il computer in un dato momento, non tanto (o almeno, non solo) per possibili problemi di malware ma anche per cose molto più banali (es. rottura del disco di sistema). E', in un certo senso, una versione potenziata del punto di ripristino, conservato su un drive esterno.
Quindi il "mettiamoci una pezza ripristinando il backup" non è la mia "filosofia", io cerco di non dovermi trovare nella condizione di mettere pezze.
Per inciso, neanche a me è mai capitato di dover ripristinare, questo o altri sistemi (e dico, meglio così!) e da quando uso il computer pochissime volte (potrei contarle sulle dita di una mano, credo) ho avuto problemi di virus e simili, durante i primi anni (io sono partito da XP). Per fortuna mai cose gravi, che ho risolto senza grossi problemi.
Ci sono stati (e ci sono) malware di alto livello operanti a livello mondiale (in particolare APT con funzionalità modulari di auto-aggiornamento) individuati anni dopo la loro prima effettiva distribuzione e che, quindi, nessun antimalware è stato in grado rilevare se non dopo la scoperta effettuata da uno o più ricercatori operanti in ambito sicurezza. Si tratta indubbiamente di situazioni limite ma che sono esistite, esistono ed esisteranno: quando parliamo di sicurezza informatica devi sempre valutare il peggior scenario immaginabile nel quale potresti incappare e non quello più favorevole
Se entri in questo ordine di "paranoia" (passami il termine) non ti resta altro che spegnere tutto.
Qualche anno fa qualcuno riuscì a sostituire le iso di Linux Mint (che, tra l'altro è la distro che uso io ma per fortuna non ci incappai) con delle iso infettate. A questo punto chi ti assicura che il sistema Windows che stai installando non sia stato "manomesso"? Soprattutto ora che non c'è più il supporto ottico ma si scarica. E gli aggiornamenti? E gli applicativi? E gli aggiornamenti degli applicativi?
Quello che voglio dire è che ad un certo punto si deve pur stabilire (ragionevolmente, certo, prudentemente, certo) un limite "alla paranoia" se si vuole continuare ad usare lo strumento senza impazzire.
Io, per esempio, so che se scarico una iso di una distro Linux al 99,999% è sicura. So che rimane lo 0,001% che non lo sia, ma è un rischio col quale devo convivere, se appunto voglio continuare ad usare lo strumento computer. Posso mettere in atto alcuni comportamenti atti a minimizzare i rischi (scaricare dal sito ufficiale, controllare la firma digitale, controllare i checksum) ma un minimo rischio rimane. D'altronde, ogni anno molte persone subiscono incidenti d'auto ma questo non comporta certo l'abbandono dell'automobile.
Tre sono pochi. Sei è il minimo, meglio sette di cui il primo di “base” e permanente (ovvero da non eliminare mai e con sopra solo l'O.S. senza aggiornamenti o programmi di terze parti)
In effetti con tre intendevo quelli che vado via via creando, poi ne ho uno che tengo sempre, creato dopo l'installazione del sistema e dei driver della scheda madre. Spero comunque di non doverlo mai usare.
Di più non posso tenerne, occupano troppo spazio.
La mie procedure operative sono un pochino più complesse
Vedi quanto scritto prima a proposito del compromesso da trovare :)
Personalmente mi accontento di sandboxare i browser.
un esempio in “miniatura” (visto il range temporale di un solo mese) di quanto da me affermato qui sopra lo colgo proprio riallacciandomi al tuo accennare a CCleaner
Per fortuna non incappai in quel problema (ero fermo ad una versione precedente).
Le differenze ci sono e, almeno per me, sono più che evidenti e per nulla marginali
Mah, probabilmente su questo hai ragione, come detto non mi sono mai trovato nella condizione di dover ripristinare il sistema. Tieni però presente che il metodo da te descritto richiede una quantità di lavoro extra e ripetuto per ogni backup. Non so se ci sia poi tutta questa differenza, in termini assoluti, col formattone. Certo col tuo metodo il lavoro e il tempo extra sono frazionati in molteplici piccole sessioni e questo è sicuramente preferibile.
Personalmente utilizzo da anni ben tre livelli di virtualizzazione di cui il terzo è la sandbox
Sì, ma capisci che la cosa diventa assai macchinosa, senza contare che queste procedure necessitano di hardware potente.
Immagino che usi una VM + sandbox + "qualcosa", non è che puoi metterti a virtualizzare macchine su qualunque PC.
Per curiosità, cosa è il "qualcosa"?
Nessun Sistema Operativo è invulnerabile ai malware, neppure Linux
Vero, ma è indubbio che la possibilità di imbattersi in qualcosa di... sgradevole è di ordini di grandezza inferiore usando un Linux.
Nello specifico però mi riferivo al discorso "backup di sistema" che, almeno in Mint, non esiste, consiste solo nel salvataggio di una lista dei programmi che sono stati aggiunti dall'utente e che verranno reinstallati sul nuovo sistema.
a fare la differenza non è l'O.S. ma l'utente che lo va ad utilizzare
E infatti l'errore è stato mio.

Ora ti faccio direttamente la domanda che ancora non ha ricevuto risposta:
perché di queste finestre/pop-up/ecc... non ne avevo mai visto prima traccia e stavolta invece sì? Dipende solo dal fatto che c'era l'ad-blocker disattivato?

P.S.: anche su Linux (che io considero molto sicuro) uso una sandbox ;)
P.P.S: dato il tuo atteggiamento "integralista", posso dedurre che tu non utilizzi smartphone o dispositivi IoT? :D

[Robby The Robot]

E' tutto interessante ma, come già detto, perseguiamo fini diversi.
Inoltre, implementare la tua procedura significherebbe, a questo punto, formattare e ripartire da zero. Non se ne parla.
Se in futuro malauguratamente dovessi essere costretto al formattone potrei prendere in considerazione la cosa, previo impegno da parte tua alla pubblicazione di tutorial passo-passo per utenti non troppo "skillati" (ho tolto il saluto per molto meno di "skillati" ;)).

Credimi, non è “paranoia” ma una semplice ed obiettiva valutazione dei rischi ai quali è esposto un qualsiasi device collegato ad internet. E no, non occorre spegnere tutto: per le cose “realmente” importanti è sufficiente un computer air-gapped con filesystem cifrato: l'unica accortezza è che ogni singolo componente dell'hardware air-gapped sia nuovo (compresi gli eventuali supporti di memorizzazioni esterni) e che la macchina in questione non sia mai stata collegata precedentemente ad internet (in caso contrario, è da ritenersi compromessa)
Non faccio l'agente segreto, non riesco a immaginare a cosa potrebbe servirmi un sistema air-gapped e col filesystem cifrato, non ho cose così "importanti". Tra l'altro, pare che anche i sistemi air-gapped siano hackerabili (ma se uno che è capace di hackerare un sistema del genere perde tempo con me mi sa che ha le idee abbastanza confuse :D)
(La cosa comica è che, tra i miei conoscenti, sono io a passare per paranoico perché ogni tanto lascio cadere qualche commento di fronte a veri e propri atti di masochismo informatico o perché mi rifiuto di usare il Wi-Fi).
Escludendo l'improbabile compromissione delle ISO presenti sul server dello sviluppatore, nello specifico caso di Windows le ISO sono tutte corredate da relativo HASH di controllo con cui puoi validarne tu stesso l'integrità
Sì, ma se dobbiamo fare i paranoici allora facciamolo in grande stile: io posso immaginare un "attaccante onnipotente" che, se riesce a sostituire sul server le iso integre con quelle infette, non vedo perché non dovrebbe poter hackerare il sito ufficiale, cambiare hash, checksum, fingerprint, firme digitali, di tutto di più.
Alla fine l'unica è quella: accettare un rischio minimo, sapere che, per quanto piccolo, è teoricamente possibile, e continuare a vivere.

Il discorso sugli aggiornamenti di Windows non mi è chiaro.
Se vengono scoperte falle nel sistema e rilasciati aggiornamenti che le chiudono non capisco come si possa non aggiornare.
Per la cronaca, ormai da tempo (da quando ci fu il casino con WU che si impallava per ore) aggiorno manualmente installando solo gli aggiornamenti di sicurezza.

Stare lì a scansionare Windows come un ossesso tramite tutti i possibili, inimmaginabili e per nulla affidabili tool anti-malware per poi eseguire un backup di un sistema potenzialmente infetto con il rischio di propagare l'infezione anche ai successivi backup? No grazie. E ci vuole comunque tempo, diciamocelo, anche dando per buona questa metodologia di backup che tanto buona non è...e se devo comunque perdere tempo allora il backup lo faccio come si deve, non così
Mah... come un ossesso non direi. Faccio una scansione con Avast e una con EEK, fine.

Tu in quale di questi due gruppi vorresti trovarti? Io nel primo
Direi nel primo pure io ma ormai è impossibile.

Assolutamente no. La procedura della tripla virtualizzazione è macchinosa solo per chi non sa implementarla e gestirla. Tale procedura, se impostata a dovere è totalmente trasparente all'utente e quindi di facile utilizzo: applicata poi da mani esperte ti garantisce una sicurezza d'uso inimmaginabile rispetto a qualsiasi altra soluzione
Vale sempre il discorso di prima sui tutorial :)

È sufficiente un vecchio Core2 del 2008 con 8 GB di RAM. Per una gestione ottimale consiglio un i3 anche di prima generazione, sempre con 8 GB di RAM e magari con SSD
Caso vuole che il computer che sto usando in questo momento (con Linux) monti proprio un Core2 ma 4GB di RAM, dubito fortemente (uso un eufemismo) che possa far girare una VM.

Per le macchine che non rientrino nei limiti della prima o della seconda soluzione hardware è sufficiente levare la VM: anche due soli strati di virtualizzazione sono più che adeguati per un'utenza non professionale che desideri operare in un ambiente di media sicurezza
Quindi? Sandbox (che uso già) + cosa? I software che hai citato a me sembrano più o meno delle sandbox.

Non saprei dirti: non mi sono mai imbattuto in qualcosa di sgradevole sotto Windows...
Be', io per esempio mi sono imbattuto in un aggiornamento di MS (ai tempi in cui aggiornavo con WU) che mi ha installato, senza chiedermi nulla, una specie di banner che mi invitava a passare a W10. Dimmi tu!

Risposta lunga: dipende dalla pessima abitudine di molti utenti nel perseverare nell'uso-abuso di strumenti inadeguati alla funzione per i quali sono stati originariamente sviluppati. Il browser web è stato concepito principalmente per navigare nel WWW, non per gestire le email. Per quello esiste una cosa chiamata “Client di Posta Elettronica”
Guarda, non uso client di posta da non so quanti anni (lo abbandonai già su XP).
Giusto per la precisione, il problema in questione si è verificato all'apertura di una pagina di eBay, che stessi controllando la posta credo sia stata solo una coincidenza.

Niente smartphone, però ho 3 cellulari: il mio preferito è uno StarTAC 2004
Io ne ho uno solo (cellulare dico) comprato 30 Euro nuovo almeno 10 anni fa.
Purtroppo mi sa che, prima o poi, dovrò cedere e prendere uno smartphone (economico), consapevole del fatto che metterò i miei dati alla mercé di chiunque.

semmai dovessi passare dalle parti di casa mia imbattendoti in un collegamento Wi-Fi disponibile sappi che mi hanno rapito gli alieni e che il tizio che mi assomiglia e che ti ha aperto la porta è in realtà un clone!
Tanto non so che faccia hai :D

[Robby The Robot]

In effetti, tempo permettendo, (magari come regalo di Natale?) mi era balenata l'idea di strutturare tutta una serie di tutorial passo-passo proprio su questi ed altri argomenti ma pensavo di scriverli direttamente sul mio sito web e poi eventualmente duplicarli quale mirror qui sotto forma di thread in modo da dare la possibilità agli utenti di chiarire eventuali dubbi tramite forum. Sempre che sia fattibile come da regolamento e che i mod siano d'accordo
A me l'idea sembra ottima. Anzi, se possibile, metti pure link al tuo sito (o manda in MP).
"skillati" non a caso l'ho messo tra virgolette: era una sorta di parodia dello slang “dell'informatichese”
Certo, la mia era infatti una battuta sull'uso degli inglesismi. Personalmente trovo il termine orripilante.
Se l'AG è ben implementato le possibilità di violazione sono prossime allo zero, specie se parliamo di un ambiente elettronicamente schermato, presidiato e non pubblico a cui magari può accedere fisicamente una sola persona.
Ah, un ambiente elettronicamente schermato! E dillo prima!
Quindi il cappello di stagnola lo posso anche lasciare alla porta, non serve :D
Scherzi a parte, mi pare una cosa "leggerissimamente" esagerata.
Come ho già detto non sono faccio l'agente segreto.
Fai leggere loro questo articolo, così vediamo se continuano a ridere...
http://securityinfo.it/2017/10/16/funziona-lattacco-krack-le-reti-wi-fi
Sapevo già.
Mah... penso che sì, probabilmente continuerebbero a ridere. La maggior parte delle persone mi pare non si faccia grossi problemi sulla privacy, basti vedere il successo (e il modo in cui vengono usati) i social. Inoltre non riuscirebbero a comprendere il lato tecnico della questione, non avendo le competenze richieste (e non è che io le abbia, ma almeno se non posso mettere quella blindata cerco di non lasciare la porta spalancata).
Casomai dimmi tu se questo sia o non sia l'ennesimo e più che legittimo motivo per bloccare gli aggiornamenti di Windows.
La mia era una battuta in riferimento alla tua affermazione "non mi sono mai imbattuto in qualcosa di sgradevole sotto Windows".
In informatica si va avanti anche per “tentativi”: ti prendi un SSD da 30 euro e ci metti su Windows, lo aggiorni, lo pulisci e ci fai subito su un'immagine di “base” e poi smanetti con tutti i programmi di sicurezza possibili ed immaginabili studiandoli a fondo e cercando di configurarli al meglio: se poi ti incasini troppo ripristini l'immagine in 30 sec. e ricominci con gli esperimenti o, se il PC è abbastanza potente, puoi usare una VM. Questa cosa la puoi fare anche nei ritagli di tempo: non è che devi starci sopra 10 ore al giorno ogni giorno
Non ce la faccio. Mi devi credere sulla parola ma non ne ho materialmente il tempo.
La sandbox lavora a livello di applicativo, mentre i due software da me suggeriti lavorano a livello di filesystem (ad esempio, ti renderebbero immune ai ransomware che cifrano la MFT nel qual caso l'infezione riuscisse a bucare la sandbox e poi la VM, riavviando Windows
Uhm, interessante! Ci penserò.
Magari se lo avessi fatto presente prima...
Se rileggi meglio quello che ho scritto nel post #5 (quello a cui hai risposto) noterai:
Da una ricerca in Rete ho visto che ad alcune persone questa finestra si è aperta mentre navigavano sul noto sito di aste e mi sono ricordato che, in effetti, anch'io mi trovavo su quel sito. Stavo controllando la posta e c'era una mail su un oggetto corrispondente a una mia ricerca salvata (ne ricevo diverse ogni giorno) e la finestra malefica è comparsa subito dopo aver aperto la pagina
:D :D :D

Va be', ti faccio gli auguri di Buone Feste e grazie per i consigli.

[Dan1979]

Discussione interessante....e complimenti per le competenze.....


Ah, un ambiente elettronicamente schermato! E dillo prima!
Quindi il cappello di stagnola lo posso anche lasciare alla porta, non serve :D
Scherzi a parte, mi pare una cosa "leggerissimamente" esagerata.
Come ho già detto non sono faccio l'agente segreto.


Mi sento di dire che oggi giorno sono riusciti a carpire e trasmettere info addirittura dal calore emesso dai componenti interni del pc come cpu e ram...
In piu anche un hd meccanico sarebbe attaccabile (per il momento quasi in teoria o perlomeno ancora è tutto da perfezionare) anche non essendo collegato ad internet, questo perche i movimenti delle testiche che producono onde elettromagnetiche potrebbero essere prese e decodificate rivelando informazioni....
Quindi in un sistema Air-gapped oltre a tutte le precauzini note, adesso è necessario pure la schermatura ed è consigliato l utilizzo di ssd...
In piu è buona norma posizionare il pc in una stanza priva di finestre oppure oscurare tutti i led del pc sopratutto quello del hd , visto che tramite dei droni con programmi appositi si è riusciti a decodificare e ricevere dati e quindi a decifrare il lampeggio dei led del hd...
Sembra james bond ma è cosi....
Certo sono tecniche da affinare e sono in fase di sviluppo ma esistono....

Colgo l occasione anche io per fare gli auguri di buon natele e feste....

[Robby The Robot]

@Phoenix2005

Ho dimenticato prima di chiederti:
corrispondenti di Shadow Defender e/o ToolWiz Time Freeze per Linux?
Ho già visto che qualcosa c'è, ma magari tu sai indirizzarmi più precisamente.

@Dan1979

Riassumendo, il filo del discorso è stato:
P2005: per le cose importanti usa un sistema air-gapped con filesystem criptato
RTR: pare che anche i sistemi air-gapped siano hackerabili
P2005: no, se (oltre ad essere AG e criptato) è posto in un ambiente schermato e a cui ha accesso una sola persona.
RTR: Dillo prima allora ;)
D1979: meglio usare SSD e no finestre

A questo punto suggerirei direttamente un bunker sotterraneo in cemento armato, una (unica) porta in acciaio da 7" e scanner impronte+retina :D
E niente condotti d'areazione che poi Tom Cruise si cala come l'Uomo Ragno!
Non sono James Bond (direi purtroppo...) né gestisco dati particolari (ogni tanto un certo Joshua mi chiama per propormi una partita ma io metto subito giù).
Battute a parte, mi pare si sia scivolati "leggermente" verso la paranoia.
Può essere interessante discuterne ma sono cose che, imho, non hanno applicazioni reali per qualunque utente "ordinario" (parlo di questi ultimi post, quelli sul backup sono invece sicuramente utili, a patto di saperlo prima di cominciare ad usare il S.O.).

Grazie e auguri anche a te!

P.S.: ironicamente, nella stanza dove è situato il mio PC c'è una sola finestra ed è quasi sempre chiusa ma... ovviamente è un caso.

[Ryddyck]

Anche se hai disattivato l'adblocker eri "protetto" dalla sandbox, difficlmente sei stato infettato. Per il resto mi preoccuperei dei dati di accesso, un bel cambio password dopo aver pulito tutto sarebbe meglio.
Riguardo al discorso sul sniffare i dati di accesso tramite browser a quanto pare firefox quantum è immune (no sandbox, no estensioni, solo avast/comodo attivati se può essere d'aiuto)*.
In alternativa a qubes, visto che stai sempre su windows perché non provi intanto ad aggiornare a w10 ed utilizzare l'hyper-v se è possibile? Comunque per evitare sbattimenti una livecd fa sempre il suo sporco lavoro senza sprecarsi in virtualizzazione varia e alla ricerca di buon hardware per far andare tutto liscio.

*edit: banalmente basta disabilitare il salvataggio delle password, non riesce così ad utilizzare i dati.

[Robby The Robot]

Ti confermo che ci sto lavorando ma ci vorrà tempo: ho già eseguito gli screenshot (41 immagini...numero provvisorio!) a corredo della guida...appena sarà pronta ti farò sapere. :)
Bene! Aspettiamo allora!
Sia quel che sia, ribadisco che autenticarsi tramite web browser per accedere alla casella di posta elettronica è una pessima idea
Ho letto molto velocemente ma, se non ho capito male, il problema sarebbe nei password manager dei browser, se è così io non li uso mai, inserisco a manina le password ogni volta col copia-incolla da KeePass.
Giusto per curiosità (visto che non ricordo più come funzionavano), usare un client di posta significherebbe scaricare sul PC le mail? O potrei comunque operare on-line?
Nel secondo caso ci potrei anche pensare, nel primo no.
Il migliore imho è Qubes OS, che ho potuto testare e di cui ti confermo la bontà:
https://www.qubes-os.org

Il vantaggio di utilizzare Qubes è che la virtualizzazione è alla base dell'idea stessa dell'OS. :)
Uhm... molto interessante. Mi sa che, appena ho il tempo, lo provo.
Cappellino di carta stagnola? Paranoie? Forse. ;) Ma se, tanto per dire, quelli di Avast avessero implementato una difesa AG, con accessi controllati/limitati esclusivamente agli sviluppatori del software Ccleaner (ex Piriform), difficilmente si sarebbe potuta verificare la compromissione della macchina in questione e la successiva infezione di oltre 1.700.000 computer sparsi in giro per il mondo...
Infatti io parlavo di utenti "ordinari", definizione che non comprende certamente una software house che opera nel campo della sicurezza informatica.


@Ryddyck
Per il resto mi preoccuperei dei dati di accesso, un bel cambio password dopo aver pulito tutto sarebbe meglio
Se ti riferisci alla password della casella di posta, già fatto.
Riguardo al discorso sul sniffare i dati di accesso tramite browser a quanto pare firefox quantum è immune (no sandbox, no estensioni, solo avast/comodo attivati se può essere d'aiuto)*
Mi potresti essere d'aiuto se mi spiegassi una contraddizione che non capisco: in lungo e in largo viene consigliata l'installazione di alcune estensioni che "dovrebbero" proteggerti durante la navigazione, poi però sembra che le estensioni stesse possano "spiarti".
La domanda è: le estensioni vanno installate o no?
In alternativa a qubes, visto che stai sempre su windows perché non provi intanto ad aggiornare a w10 ed utilizzare l'hyper-v se è possibile?
E' altamente improbabile, almeno per come vedo le cose oggi, che io passi mai a W10, penso che W7 sarà per me l'ultimo sistema MS.
Comunque per evitare sbattimenti una livecd fa sempre il suo sporco lavoro senza sprecarsi in virtualizzazione varia e alla ricerca di buon hardware per far andare tutto liscio
Eh, ma qui parliamo di uso normale, quotidiano del PC. Il LiveCD ha un uso limitato ad alcuni casi particolari (almeno per me).
banalmente basta disabilitare il salvataggio delle password, non riesce così ad utilizzare i dati.
E infatti io non le salvo.

[Ryddyck]

Beh intanto dipende tutto dal contesto, ci sono estensioni ed estensioni. Limitatamente a firefox e alle nuove webextension sono in teoria più sicure visto che non possono avere particolari accessi (come succedeva in passato invece con le estensioni classiche), se invece ti riferisci a greasemonkey/tampermonkey/etc che permettono di eseguire script e quindi svolgere altre funzioni quello dipende da te che le installi (anche se poi alla fine si può sempre spulciare il codice). Se invece ancora ti riferisci ad estensioni come adblock plus che comunica ugualmente informazioni ad enti di loro interesse basta semplicemente non utilizzarlo e passare ad ublock origin.

Per quel che riguarda invece il live os, qubes os è nato appositamente anche come sistema di uso quotidiano a differenza ad esempio di tails.

Comunque io ti consiglio di passare a w10, è un ottimo sistema e molto più avanzato rispetto a w7. Alla fine basta eliminare quelle 4 app, disabilitare la telemetria e windows defender/firewall in favore di antivirus/firewall di terze parti.

[Ryddyck]

Aggiungi alla lista strict popup blocker per ff :read:
Per quanto riguarda gli aggiornamenti sinceramente non mi è ancora capitato che si resetti tutto, o forse parli degli update annuali? In quel caso io faccio sempre una installazione pulita, li vedo come i vecchi service pack.
Per pulire windows si può usare dwslite + spybot antibeacon o per i più smaliziati http://fdossena.com/?p=w10debotnet/index_1709.frag

[Ryddyck]

Fortunatamente applicavo già questi accorgimenti, e al momento dell'uscita del major update ho sempre fatto l'installazione pulita e per questo non me ne sono mai accorto (anche se poi ad ogni major release aggiungevano roba nuova come pubblicità durante il blocco schermo per chi ha fatto l'upgrade da un os precedente).
A volerla dire tutta, alcuni software come roguekiller segnalano le personalizzazioni effettuate dall'utente (esempio banale la disabilitazione delle app recenti su start) e tentano di ripristinarla.

[Robby The Robot]

Chiedo scusa ma mi erano sfuggite queste ulteriori risposte.

@Ryddyck
Per le estensioni, mi riferivo specificamente a quelle su privacy/sicurezza, su alcune pare ci siano pareri contrastanti.
Per pulire windows si può usare dwslite + spybot antibeacon o per i più smaliziati http://fdossena.com/?p=w10debotnet/index_1709.frag
Ecco, già questo basta a farmi passare la voglia di impelagarmi in W10.

@Phoenix2005
Io il cloud non so manco cos'è (quasi), mai usato e mai penso lo userò.
Anti-keylogger non ne ho mai messi perché 1) chi mi assicura che l'anti non funga invece da logger? 2) se sul sistema è arrivato un keylogger, secondo me, c'è una grossa falla da qualche parte.
Per la posta elettronica, con POP3 devo necessariamente scaricare sul PC? Da come hai scritto sembra di sì e per me non è praticabile.
Se crei un multiboot con un secondo Windows completamente virtualizzato via Shadow Defender o ToolWiz Time Freeze ottieni di fatto un sistema a sola lettura simile ad un LiveCD ma facilmente personalizzabile e decisamente più performante sia in fase di caricamento dell'OS che di esecuzione dei singoli applicativi presenti
E' comunque un'operazione da fare all'inizio, immagino. Poi sono contrario al multiboot (è una mia idiosincrasia).

P.S.: e dire che io consideravo Vista il primo sistema bloatware della storia ;)

[Robby The Robot]

Forse non te ne sei accorto ma in realtà il Cloud lo stai già usando ;) : se lasci le email sui server di Google o Microsoft di fatto stai usufruendo di un servizio Cloud a tutti gli effetti; servizio su cui non hai nessuna garanzia, controllo o diritto: né sui tuoi dati né sulla tua privacy.
Vero, ma con cloud si intendono principalmente altre pratiche, lo sappiamo entrambi.
La posta elettronica è un servizio cloud a cui non posso rinunciare.
Il vantaggio di POP3/IMAP è quello di poter avere una copia fisica delle tue email non solo sul server di posta ma anche sul tuo PC: se il fornitore del servizio fallisce? Oppure subisce un attacco ransomware? Oppure il tuo account di posta viene bloccato per motivi tecnici o in seguito ad una presunta violazione da parte tua dei TOS o perché il server dove risiede la tua casella di posta elettronica viene sequestrato dall'Autorità giudiziaria? Basta ricordarsi quello che è successo qualche anno addietro a Megaupload e alle migliaia di utenti che hanno perso i dati in seguito alla chiusura forzata del servizio...
Sì, quello che non ho capito è se si possa operare con un client e-mail solo on-line esattamente come con il browser. Non sono assolutamente interessato ad avere una copia locale delle mail, non c'è niente di così "vitale" da richiedere tale pratica.
Il multi-boot può essere estremamente utile: es. se il sistema primario all'improvviso non dovesse eseguire correttamente la fase di boot è possibile utilizzare il sistema secondario per ripristinarne la funzionalità oppure - se dovesse risultare troppo danneggiato - è possibile eseguire una copia dei dati prima di ripristinarlo...ma anche eseguire una scansione AV stile live-cd.
Infatti per questo tipo di operazioni (che, per fortuna, non ho mai dovuto fare) userei il metodo LiveCD/USB.

[Ryddyck]

A proposito di posta elettronica e cloud, dovresti provare ad orientarti verso società che tengono maggiormente alla privacy come ad esempio protonmail. Dacci un'occhiata ;)
Se può tornare utile a qualcuno
E-mail: https://docs.google.com/spreadsheets/d/1OGZ274QezBHYtl9_ry5Eb3n-PtVDNdM5mIHOLOEtGCc
VPN: https://docs.google.com/spreadsheets/d/1L72gHJ5bTq0Djljz0P-NCAaURrXwsR1MsLpVmAt3bwg
https://thatoneprivacysite.net/

[Robby The Robot]

Io tratto la mia posta elettronica come se fosse (quasi) di pubblico dominio.
Google sa cosa acquisto su Amazon o eBay? Pazienza.
Comunque i link sono utili, gli darò un'occhiata.
E' da un po' che vorrei provare una VPN ma non riesco a scegliere.

[Ryddyck]

Sempre la proton da molta banda e nessun limite per essere gratuita. Mentre a pagamento andrei sicuramente su nordvpn ;)

[Robby The Robot]

Buono a sapersi, appena ho il tempo cerco di capirne di più.
In generale, sono semplici da usare? Nel senso, non è che dovrò mettermi a impostare parametri a destra e a manca?

[Ryddyck]

Dipende dalla vpn se fornisce o meno un client, ma usualmente per Windows/Mac sicuramente c'è il client quindi basterà installarlo, avviarlo, selezionare il server e connettersi (poi ci sarebbero varie impostazioni relative ad esempio alla protezione del wifi o ethernet, killswitch o altro ma di solito non servono chissà quali conoscenze ed è tutto un on/off) o in alternativa se lo permette il fornitore di vpn è possibile utilizzare ad esempio openvpn e ti darà sicuramente molta più libertà.

[Robby The Robot]

Faccio un paio di considerazioni, forse dettate dalla mia ignoranza sull'argomento, se sbaglio correggete pure:

- Lo so che esistono dei metodi per criptare in modo robusto le mail (anche se, specificamente alla posta elettronica, finora non ne ho riscontrato la necessità. La mia corrispondenza è piuttosto... banale), così come so dell'esistenza di strumenti come TOR, Tails, ecc...
Alla fine però ci si ritroverà sempre nella condizione di doversi "fidare" delle asserzioni di qualcuno. Il provider X di posta elettronica o di VPN mi assicura che la mia attività non verrà monitorata, ma come faccio io a sapere che questo corrisponde al vero? Mi pare che tutto si riduca all'affermazione di X e alla mia maggiore o minore propensione a dargli fiducia.

- Credo altamente probabile che l'utilizzo di strumenti del genere risvegli l'attenzione indesiderata di entità che monitorano costantemente la Rete. Se si criptano le proprie mail è vero che si ottiene la privacy ma qualcuno potrebbe chiedersi perché il signor Pinco Pallino senta tanta necessaria la privacy da usare la crittografia. Se si usa TOR si diventa (più o meno) anonimi sulla Rete ma, sono quasi sicuro, da qualche parte qualcuno vede questo flusso di dati criptati e potrebbe farsi la solita domanda.

- Potrei addirittura ipotizzare che uno o più "agenti malevoli" creino "servizi" con lo scopo non di proteggere ma di "scoprire".

- Non vorrei che, alla ricerca del briciolo di privacy in più, si finisse accidentalmente in luoghi (virtuali) da cui è altamente consigliabile restare il più lontano possibile.

[Ryddyck]

Sono assolutamente d'accordo con te, ma secondo questa logica dovresti avere una conoscenza globale di tutto ciò che ti circonda per poter controllare a mano qualsiasi cosa fidandoti solo ed esculsivamente di te stesso... e non è assolutamente fattibile, per sfortuna!
Il mondo è per certi versi abbastanza cattivo ed esiste poca cooperazione e coordinamento, se fossimo tutti dei santi non ci sarebbero guerre, fame nel mondo, etc etc. ma a quanto pare non è così e bisogna riuscire a fare qualcosa di buono fidandosi anche degli altri.
Riguardo alla questione privacy ti rimando al manifesto cypherpunk https://www.activism.net/cypherpunk/manifesto.html
Chi dice che non ha niente da nascondere non ha ancora capito la privacy, ma basterebbe chiedere ad uno di questi "Quindi non ci sarebbe nessun problema a darti un megafono e girare per la città gridando password, segreti, quanto guadagni, come guadagni, che categoria di film porno ti piace, se tradisci tua moglie, etc etc?"
Credo che sia in atto decadimento dell'importanza delle informazioni e dei propri dati ormai da una decina d'anni a questa parte con l'avvento dei social network, la gente non ha capito che è possibile clonare una identità con 4 foto e due messaggi vocali (e aggiungi impronte digitali e scansione facciale biometrica :asd:).
È una questione etica, filosofica, sociale ed antropologica... ci vogliono un paio di lauree per capire che siamo diventati abbastanza rincojoniti :asd:
Questa è la mia visione del mondo, ma dall'altra parte c'è chi pensa che questo individualismo debba essere controllato ed in parte eliminato per evolverci in qualcos'altro di non specifico basato su una qualche tipo di interconnessione artificiale... in pratica una sorta di Matrix.

PS: mi sono dilungato in altri argomenti forse poco attinenti :asd:

[Ryddyck]

Sui dati offline è possibile un controllo “assoluto”: la crittografia serve proprio a questo...più difficile, anzi impossibile da ottenere, invece il controllo “assoluto” su quelli online ma con la giusta consapevolezza (e conoscenza) si può raggiungere anche in quest'ambito un più che decoroso compromesso tra usabilità/riservatezza/sicurezza.

Per i dati si, ma la risposta era relativa alla domanda diretta sul software. Nessuno (che io conosca o che sia ancora nato) è capace di conoscere un software dalla a alla z, nemmeno la software house stessa visto che collaborano più menti insieme, ecco la risposta a quella domanda si ripercuote sulla "fiducia nel prossimo".

Purtroppo...
https://www.wired.it/economia/busine...ati-personali/

Quando il prodotto è gratis significa che il prodotto sei tu :asd: Sulla stessa linea https://www.youtube.com/watch?v=YJg02ivYzSs
Non so se conosci i cryptoanarchici ma ultimamente c'è molta gente che cammina a volto coperto ed indossa dei guanti.

L'episodio di Black Mirror “Caduta libera" sembra fantascienza, di certo eccessivo...ma a pensar male spesso...

Avevo iniziato la prima serie, al secondo episodio ero un po' stufo (mi è sembrato un po' troppo distopico per i miei gusti, magari durante l'estate proverò a rivederlo).

È vero...siamo OT ma alla fine, se ci pensi bene, solo in parte ...il topic iniziale verteva sul phishing...e qui si continua a parlare di phishing...di Stato! Poi consideriamo un fatto non secondario: ci si difende dal phishing anche grazie alla conoscenza degli strumenti corretti da utilizzare: nel caso delle email in fase di autenticazione ai relativi servizi è più sicuro utilizzare un client di posta elettronica piuttosto che un qualsivoglia web browser. Senza contare che il phishing di alto livello - quello con la “P” maiuscola - è preceduto sempre da una profilazione mirata dell'utenza da colpire, di norma effettuata proprio grazie alle precedenti comunicazioni inviate in chiaro...cosa che non potrebbe avvenire, utilizzando email cifrate.

Se esistesse uno Stato capace realmente di tutelare i cittadini, a cominciare dagli ISP che non danno i dati a destra e a manca, allora si potrebbe iniziare a ragionare :ciapet:

[Robby The Robot]

@Ryddyck

Siamo un po' OT ma la discussione mi sembra comunque pertinente e interessante.
Sono assolutamente d'accordo con te, ma secondo questa logica dovresti avere una conoscenza globale di tutto ciò che ti circonda per poter controllare a mano qualsiasi cosa fidandoti solo ed esculsivamente di te stesso... e non è assolutamente fattibile, per sfortuna!
E' quello che cercavo di dire a Phoenix, più o meno.
Chi dice che non ha niente da nascondere non ha ancora capito la privacy
Infatti io non sono tra questi (e spesso, come dici, è pura ipocrisia).
Credo che sia in atto decadimento dell'importanza delle informazioni e dei propri dati ormai da una decina d'anni a questa parte con l'avvento dei social network
Assolutamente d'accordo su questo.
...dall'altra parte c'è chi pensa che questo individualismo debba essere controllato ed in parte eliminato per evolverci in qualcos'altro di non specifico basato su una qualche tipo di interconnessione artificiale... in pratica una sorta di Matrix.
Io sono pessimista, secondo me siamo già dentro una sorta di Matrix.

@Phoenix2005

Il discorso va ben oltre il mero utilizzo di email cifrate
Il mio era solo un esempio tra i tanti possibili.
Se ti entrano i ladri in casa una, due, tre volte ad un certo punto sentirai la necessità di prendere adeguate contromisure in modo da far sì che questo non accada più...
Certamente sì, ma c'è un piccolo difetto nella tua analogia: nel caso nostro non sono solo i "ladri" ad agire ma anche altre "entità", dotate, per motivi che non staremo qui ad approfondire, di poteri tali da poter aggirare perfino i vincoli costituzionali che tu richiami (figurati in quanta considerazione possano quindi tenere i tuoi "chissenefrega").
Nel caso di questi specifici strumenti la tua sicurezza non è necessariamente delegata ad altri poiché per ognuno di essi esiste il relativo codice sorgente: non stiamo parlando di una black box ma di sistemi la cui robustezza può essere valutata da chiunque
Anche qui si trattava di esempi. Alcuni strumenti sono open source e quindi analizzabili (da chi ne ha le competenze, non certo da me) ma altri no e lì entra in gioco il fattore fiducia.
I tuoi dati vengono comunque archiviati e catalogati costantemente in maniera legale ed illegale sia in Italia che all'estero: non perché tu sia un “sospetto” ma perché lo possono fare e lo fanno, così come io li cifro non perché sia un “sospetto” ma perché lo posso fare e lo faccio.
E' proprio questo il punto, nel momento in cui si usano alcuni strumenti (on-line) secondo me si passa nella lista dei "sospetti". Se a "qualcuno" dovesse venire la curiosità di sapere perché il signor Phoenix2005 senta tanto la necessità di comunicare con tanta segretezza vaglielo poi a spiegare tu che lo fai solo perché puoi o chiedigli chi gli ha dato il permesso di analizzare e archiviare i tuoi, di dati.
Ti linko un passaggio (https://en.wikipedia.org/wiki/Tails_(operating_system)#In_mainstream_media) dalla pagina Wikipedia di Tails.
Però non mischiamo in maniera grossolana i due concetti: privacy e crittografia
Mah... a me sembrano concetti fortemente legati, mi pare abbastanza difficile ottenere la prima senza la seconda (come, mi pare di capire, afferma il manifesto linkato da Ryddyck)
Domanda che purtroppo rimarrà senza risposta in saecula saeculorum, visto che i dati potranno essere intercettati, archiviati, visualizzati ma non letti in quanto cifrati...
Qualunque sistema di crittografia, per quanto robusto, perde la sua efficacia nel momento in cui una "entità" sia in grado di esercitare una pressione fisica e/o psicologica significativa.
ai Mr. “qualcuno” di turno consiglio comunque una sana lettura: “La Costituzione Italiana”, parte I, Articolo 15
Su questo ho espresso la mia opinione poco sopra.
C'è da dire però che l'Art. 15 de “La Costituzione Italiana” è applicabile solo all'interno dei patri confini mentre la questione di cui sopra ha una valenza transnazionale e, come tale, va ribadisco affrontata con strumenti di protezione adeguati ai tempi e alle necessità, strumenti che tengano nel dovuto conto l'evoluzione dei meccanismi alla base della comunicazione tra individui.
Non la vedo molto probabile come cosa. Il mondo è cambiato, molto in peggio purtroppo, dopo gli eventi del 9/11. Che tali eventi siano stati causa effettiva o solo comoda giustificazione (o un mix delle due, probabilmente) si assiste da allora al movimento in direzione opposta.

[Ryddyck]

La crittografia serve per la privacy quando questa non esiste o esiste parzialmente... facciamo l'esempio banale del postino (Google :ciapet: ), ha accesso fisico alla posta ma mica si mette a leggere la posta di tutti, ora siccome non siamo a conoscenza dell'onestà intellettuale del postino (o di un mandante - Servizi, società terze, etc - che chiede informazioni su qualunque cosa passi sotto la vista dle postino) si utilizza la crittografia cosicché anche se avesse libero accesso alla posta non avrebbe la possibilità di carpirne l'informazione.
Può anche succedere il caso in cui anche con la stessa crittografia si riescano a carpire informazioni, dai banali metodi crittografici facilmente decifrabili a quelli più complessi dove si trovano falle come nel caso Truecrypt.

[Ryddyck]

Truecrypt era nel mirino della NSA nel 2012 quando poi successivamente vennero divulgati i documenti topsecret, poi ci fu il suo abbandono da parte degli sviluppatori e consecutivamente anche un audit dichiarando che non c'erano tracce di backdoor ma 11 vulnerabilità di diversa pericolosità https://thehackernews.com/2014/04/truecrypt-is-secure-encryption-tool_15.html Diciamo che qualche domanda me la sono fatta :asd:

[Robby The Robot]

@Phoenix2005

Ho capito.
Abbiamo personalità diverse, tu sei sicuro, furbo, esperto e cazzuto, a te non la si fa.
Io invece, perfino in ambiti nei quali potrei definirmi "esperto", penso sempre che, senza dubbio, c'è qualcuno che ne sa più di me. Sempre.
Tu non temi mai di fare un passo falso, io al contrario sono sempre pieno di dubbi e temo sempre di aver dimenticato qualcosa, di non aver considerato qualche fattore.
Evidentemente hai piena fiducia nell'efficacia degli strumenti che usi e pensi che si possa diventare totalmente e inattaccabilmente anonimi e invisibili sulla Rete. Io no.
Per esempio, mi pare di ricordare che, in passato, utenti di TOR siano stati identificati con successo.
Ma sicuramente erano degli sprovveduti e avranno commesso grossolani errori.
Trovo poi quasi commovente la fiducia che riponi nella protezione offerta dalla Costituzione. Se posso permettermi un consiglio, oltre che di sicurezza informatica comincia ad interessarti anche un po' di cronaca (italiana, non c'è bisogno di andare in chissà quali paesi esotici), forse potrebbe venirti qualche dubbio sul valore di tali tutele nel mondo reale. G8 di Genova ti dice niente?

[Ryddyck]

A cui però mi sembra sia stata data una risposta più che adeguata: nella prima parte dell'audit undici vulnerabilità non critiche. Nella seconda parte sono state identificate due vulnerabilità critiche ma che all'atto pratico risultano per niente agevoli da sfruttare (difficulty → high): https://opencryptoaudit.org/reports/TrueCrypt_Phase_II_NCC_OCAP_final.pdf

Ovviamente quando e se verrà eseguito un audit altrettanto esaustivo su VeraCrypt non avrò problemi a dismettere TrueCrypt in favore del suo fork. :)

Scelte... io preferisco avere un software aggiornato con le vulnerabilità patchate che un software con delle vulnerabilità scoperte da tempo e non più aggiornato ed abbandonato.
Nel caso di Veracrypt ad esempio https://ostif.org/the-veracrypt-audit-results/

[Robby The Robot]

Mah... sinceramente a me sembra che alcune tue affermazioni nei vari post si contraddicano tra loro.
Un esempio:
In Italia, sino a prova contraria, i "chissenefrega" sono tutelati a livello legislativo, visto che ci troviamo in uno Stato di Diritto e quindi valgono determinate garanzie costituzionali di cui l'Art. 15 della Costituzione è uno tra i tanti possibili esempi
Se mi sentissi realmente protetto dalla Costituzione o dal mio Governo non navigherei in maniera anonima né cifrerei i miei dati
Comunque, non è mia intenzione continuare il botta e risposta a suon di citazioni.
Il mio punto (non particolarmente complesso, credo) era che sì, è possibile tutelare la propria privacy ma alcuni strumenti potrebbero imho attirare l'attenzione indesiderata di "entità" (e con questo termine non alludo certamente a Google o Facebook).
Il mio accenno al G8, certamente off-topic se preso isolatamente, era da inquadrare in questo discorso. Anche chi si trovò coinvolto in quei tragici eventi era, in teoria, coperto da garanzie costituzionali inviolabili (cfr. Art. 13 della Costituzione, vicino a quello da te citato) ma nel "mondo reale" (in questo senso, non nel senso che hai inteso tu) quelle garanzie vennero calpestate senza pensarci.

Comunque, per il futuro, cercherò di seguire alcuni dei consigli che mi hai dato.

[Ryddyck]

L'audit a cui fai riferimento è della versione 1.18 ed è tutt'altro che esaustivo: imho 28 giorni per analizzare un software crittografico sono pochini...inoltre, dopo la versione 1.19 sono state rilasciate le versioni 1.20 e 1.21: la maggior parte degli utenti (diciamo il 99,9%) in questo momento starà utilizzando la versione 1.21 che potrebbe aver introdotto nuove vulnerabilità e sulla quale (che io sappia) non è stato effettuato audit.

Del tutto plausibile ma è molto probabile che siano state trovate altre falle anche su Truecrypt.

Ed è per questo che è nato il concetto di anonimato online: tracciare una comunicazione diventa inutile se non è possibile associare i risultati di questo tracciamento ad un individuo con tanto di nome e cognome.

Oggi, si è tenuto uno dei tanti roadshow dell'intelligence e mi è parso di capire che ormai non tengono più nemmeno alla "garanzia" dell'anonimato vero e proprio ma al "comportamento" dell'utente... dacci un'occhiata.

[Ryddyck]

I bug potrebbero scoprirli dopo anni anche dopo attenti audit di diversa durata, non avrai mai la certezza al 100%