cavallette

[English version below]

A partire da oggi entrano definitivamente in vigore le direttive del garante della privacy italiano sui cookies e siamo tenute per legge, pena multe salatissime, a inserire su tutti i blog di Noblogs e su tutti i siti che usano cookies un banner che vi richiede il consenso esplicito all’uso dei cookies.

Si tratta esclusivamente di una formalità, e dal punto di vista del funzionamento dei server di A/I non cambia niente: Autistici/Inventati, e quindi NoBlogs, non registra alcuna infomazione sugli utenti né effettua alcuna profilazione.

Ma che cosa sono i cookies, a che servono e perché vengono usati anche su Noblogs e sui siti di A/I?

I cookies sono informazioni registrate nel tuo computer (o smartphone) quando visiti un sito web. Alcuni, quelli che usiamo noi (i cosiddetti cookies tecnici) servono a facilitare e a velocizzare la navigazione, altri a interfacciarsi con servizi come Twitter o Youtube (i “cookies di terze parti”) e altri ancora per profilare gli utenti a scopo commerciale. Questi ultimi non sono usati sui server di A/I per policy, e di conseguenza neanche i nostri utenti possono usarli nei loro siti.

Quindi non sarete profilati se visitate un sito di A/I o un blog di Noblogs. Considerate però che, a prescindere dalla nuova legge e dal banner d’ordinanza, se accedete a un sito o a un social network commerciale i cookies di profilazione non mancano mai. Se questa idea non vi piace, l’ideale è cancellare i cookies ogni volta che chiudete la sessione del browser: un’opzione che si trova nelle impostazioni del vostro browser.


English version
(altro…)

[IT] I certificati SSL di noblogs.org sono stati aggiornati nuovamente. Il cambiamento più significativo è che si tratta di certificati forniti da una CA commerciale. Nonostante la nostra posizione sull’industria delle CA sia rimasta immutata, vogliamo che i nostri utenti possano trarre vantaggio da alcune delle recenti e moderne migliorie al protocollo SSL, ottenibili purtroppo solo usando un certificato commerciale.

[EN] The noblogs.org SSL certificates have been updated yet again. The most significant change, this time, is that the new certificates are issued by a commercial CA. Our position on the CA industry has not changed, but we’d like for our users to take advantage of some of the more recent and modern improvements to the SSL protocol, which can unfortunately only be activated with a commercial certificate.

Importante: questo post è del 2015. Potete trovare la nostra nuova chiave qui.

Important: this post was written in 2015. You can find our new key here.

[english version below]

PGP e la sua implementazione libera GnuPG è uno degli strumenti che consigliamo ai nostri utenti per comunicare sia tra di loro che con noi. Per comunicare attraverso PGP è necessario avere la chiave, cosiddetta pubblica, del destinatario. È molto importante assicurarsi che la chiave che si ha appartenga effettivamente alla persona con cui vogliamo comunicare e non a qualcun altro: in questo caso infatti si rischia nel migliore dei casi di mandare un’email illeggibile al nostro destinatario e nel peggiore di essere intercettati e di perdere le garanzie di sicurezza che pensavamo di avere usando PGP.

La nostra chiave pubblica si può trovare sul nostro sito, oppure si può richiedere a uno dei tanti keyserver, che si possono paragonare a servizi di “pagine gialle” delle chiavi crittografiche. La maggior parte di questi server pubblica tutte le chiavi che gli vengono inviate, senza controllare l’effettiva autenticità delle informazioni riportate. È quindi estremamente facile creare una chiave a nome di un’altra persona e caricarla su uno di questi server.

È quel che è successo a noi solo qualche settimana fa: qualcuno ha deciso di creare una chiave a nostro nome e di caricarla sui keyserver. Non ne conosciamo le motivazioni (uno scherzo? un esperimento? un goffo tentativo di intercettare le comunicazioni coi nostri utenti?), però dobbiamo avvisarvi: non tutte le chiavi a nostro nome che trovate su internet sono autentiche. Quindi quando scaricate la nostra chiave pubblica, controllate le firme e se potete utilizzate il Web of Trust.

La fingerprint della nostra chiave [al marzo 2015] è

E30D 5650 109E 5353 2104 B879 DA73 3D59 D98D A9CE

Diffidate delle imitazioni!

(altro…)

English version below

Ultimamente sia Autistici/Inventati che altri server autogestiti come Riseup o Nodo50 hanno subito attacchi DDoS (Distributed Denial of Service).

Un DDoS consiste nel dirigere un enorme flusso di traffico fasullo contro l’obiettivo per saturare l’infrastruttura e quindi impedire il funzionamento dei servizi offerti. In questo modo il server non può più rispondere alle richieste di visualizzazione di pagine web, di scaricamento della posta, di collegamento a jabber e via dicendo. Di conseguenza, la fretta può spingere gli/le utenti a usare servizi commerciali, che sono più resistenti agli attacchi DDoS e quindi offrono servizi più stabili. Noi però vi sconsigliamo di prendere decisioni dettate dalla fretta. Per prevenire rischi per la vostra privacy, vi consigliamo di aprire una casella di posta di backup su un altro server amico e di usare jabber con un servizio alternativo (come quello associato a tutte le caselle di posta Riseup o quello di Systemli) invece di ricorrere a un servizio commerciale di messaggistica istantanea.

English version

(altro…)

Oggi faremo un po’ di manutenzione programmata sui nostri server, il che significa che qualche servizio potrebbe essere indisponibile per un breve lasso di tempo. Aggiorneremo questo post in caso di problemi permanenti

[ENGLISH VERSION]

We will perform some planned maintenance on our servers today. This means that some services will be unavailable from time to time. We’ll update this post in case persistent issues arise.

We have had a major issue with one of our servers, please read our announcement

Abbiamo avuto un problema grave ad uno dei nostri server – per favore leggete il nostro avviso

Durante il weekend effettueremo una manutenzione sui servizi di posta di A/I. I server di posta verranno fermati a rotazione per alcune ore, durante le quali gli utenti ospitati sul server in questione non saranno in grado di leggere la posta. I messaggi di posta in entrata non subiranno disservizi e la posta sara’ nuovamente disponibile una volta finita la manutenzione.

A/I mail services will undergo maintenance during the weekend. All mail servers will be stopped in turn over some hours, while a server is being stopped it won’t be possible to check email. Inbound messages however won’t be impacted by the maintenance and email will be fully available once maintenance is over.

[English version below]

Come avete letto nel post precedente a causa di un bug in alcune implementazioni della libreria OpenSSL  è stato necessario cambiare i certificati che utilizziamo per le connessioni  SSL, per esempio per accedere alla webmail.
Purtroppo questo non basta, ora tocca a voi fare la vostra parte, è tempo di cambiare la password se non lo avete fatto nelle ultime ore: è tecnicamente possibile che, prima che il bug fosse noto ed i nostri sistemi aggiornati, qualche malintenzionato possa aver carpito la vostra password sfruttando questo bug!

Come creare una nuova password, un esempio possibile
Per le password che dovete tenere a memoria: prendete le iniziali delle parole di una frase che ricordate bene e mescolatele a numeri e segni di punteggiatura secondo un vostro criterio personale.

Suggerimenti per la gestione delle password
Per non dimenticare le vostre password e non essere costrette o costretti a sceglierne di facili e insicure, potete usare un “password manager”. Ci sono vari programmi di questo tipo, come ad esempio Keepass. Questi programmi vi consentono di generare password molto sicure, memorizzandole tutte in un archivio criptato. In questo modo dovrete ricordare a memoria solamente la password del password manager (e questa dovrà essere molto sicura!)

Siamo certi che seguirete il nostro suggerimento, ne va della vostra sicurezza!

English version

As you’ve probably read in the previous post, due to a bug in the OpenSSL library we had to change the SSL certificates for our encrypted services. Unluckily, this is not enough. Now it’s your time to do the next move, it’s time for you to change your password, if you haven’t done so in the past few hours! There is the technical possibility that, before this bug was publicly disclosed and a fix was available, someone could have captured your credentials while you were logging in.

How to create a good password, a possible advice
For those passwords you have to remember: take the initials of each word of a sentence you can easily remember, and mix them with numbers and punctuation following your own personal criteria.

Some advice on storing your passwords
To avoid forgetting passwords, and to avoid having to choose an easy (and insecure!) one for this reason, you could use a Password Manager. There are several programs to do this, for example Keepass among others. These programs let you choose very secure and hard to memorize passwords  since the Password Manager will keep them for you in an encrypted archive, so you’ll have to just remember the password to access the Password Manager itself (so please, at least make this one very secure).

We are sure you’ll take our advice as it’s YOUR security at risk!

[IT] Un rapido aggiornamento tecnico su CVE-2014-0160: abbiamo appena rigenerato tutti i certificati SSL dei nostri servizi.  Notare che il certificato della CA e’ rimasto lo stesso.

[EN] A quick technical update on CVE-2014-0160: we have just created new SSL certificates for all our services. Note that the CA certificate stays the same.

As we will never get tired of explaining, A/I is a collective that offers its services only to groups and individuals who embrace the fundamental principles of antifascism, antiracism, antisexism and antimilitarism as well as a non-commercial approach.

We are extremely glad to see that most of our users understand this requirement and not only agree with our policy and manifesto, but often use our services for critical projects aimed at turning those same principles into reality.

Unfortunately sometimes the opposite happens, but when we find out (and we do!) that someone has cheated on us, and has used his or her account for spreading messages that go against our principles, we  immediately close that account together with all related services. This is what has just happened with ukraine.noblogs.org, a blog opened by the so-called Ukraine Revolutionary Army and very close to the far-right positions of Right Sector.

If you notice other blogs that clash against our policy and manifesto, please let us know by writing to info@autistici.org