cavallette

Segui il nostro tweet per aggiornamenti sulla reinstallazione dell’infrastruttura

Read our updates on Twitter for news on the reinstallation of our infrastructure

[English version below]
[Versión en Español mas abajo]
[Portuguese]

Ieri, giovedì 14 settembre, abbiamo scoperto che qualche giorno fa un account di amministratore è stato compromesso. Appena ce ne siamo resi conto, abbiamo cominciato immediatamente a lavorare per risolvere il problema. Abbiamo già realizzato le mitigazioni necessarie e siamo riusciti nuovamente a rimettere tutto in sicurezza. Sono ancora in corso analisi dei log e la reinstallazione dell’infrastruttura.

Stiamo analizzando i dettagli della situazione per sapere esattamente che cosa è successo. Data la natura dell’intrusione, potenzialmente tutti i dati degli utenti sono stati accessibili agli intrusi, ma al momento non abbiamo prove del fatto che siano state toccate delle caselle di posta.

Come misura di sicurezza minima, dovresti cambiare tutte le tue password e le domande di recupero dei tuoi account (email, webdav, lista di email e newsletter, noblogs.org). Ti consigliamo di usare una password forte.

Inoltre raccomandiamo sempre caldamente, se ancora non lo hai ancora fatto, di attivare l’autenticazione a due fattori (2FA) per tenere il tuo account più al sicuro.

Nel caso l’autenticazione 2FA fosse già stata abilitata, dovrai resettarla, disattivandola e riattivandola.

Se ne hai la possibilità, scarica sempre i messaggi di posta sul tuo computer, conservandoli con la dovuta cautela, invece di lasciarli sui nostri server. Inoltre per maggior sicurezza ricorda sempre di crittografare le tue comunicazioni:

* email
* chat

[English version]

Yesterday, on Thursday 14 September, we found out that a few days ago an admin account had been compromised. As soon as we spotted this intrusion, we immediately got to work for solving the problem. We have already taken the necessary mitigation measures and have secured the machines. We are still analyzing logs and reinstalling the infrastructure.

We are examining the details of the situation to figure out what happened exactly. Given the nature of this intrusion, all users’ data might have potentially been accessed by the intruders, but so far we have found no evidence that someone touched the mailboxes.

As a minimum security requirement, you should change all your passwords and the recovery questions for your accounts (email, webdav, mailing lists and newsletters, noblogs.org). We recommend to create strong passwords for this.

We also strongly suggest, if you haven’t done so already, to activate 2-factor authentication to secure the access to your account.

If you have already enabled 2-factor authentication, you should reset that too, by deactivating it and activating it again.

If you can, always download your email messages to your personal computer, storing them with care, instead of keeping them in our servers. Also, remember to secure your communications by encrypting them:

* email
* chat

[Español]

Ayer, jueves 14 de Septiembre, hemos descubierto hace unos días que una cuenta de administración de nuestra infraestructura había sido violada. En cuanto nos hemos dado cuenta hemos empezado a trabajar para resolver el problema. Hemos tomados las medidas de mitigación necesarias y hemos puesto en seguridad las maquinas. Estamos todavía analizando los logs y reinstalando la infraestructura.

Estamos también examinando los detalles de la situación para averiguar lo que ha ocurrido. Dada la naturaleza de la violación, los intrusos han tenido acceso a todos los datos de los usuarios, pero en este momento no tenemos pruebas de que hayan tocado las cuentas de correo.

Como medida mínima de seguridad, tienes que cambiar las contraseñas y las preguntas de seguridad de todas tus cuentas (email, webdav, listas de correo y newsletters, noblogs.org). Te recomendamos de crear contraseñas fuertes.

También te recomendamos, si no lo has hecho todavía, activar la autenticación de dos factores (2FA).

Si ya tenias la autenticación de dos factores habilitada, tendrás que resetearla, deshabilitandola y volviendo a habilitarla.

Si puedes, descargate siempre los mensajes de tu correo en tu ordenador personal, y guardalos con cuidado, en vez de dejarlos en nuestros servidores. También recuérdate de cifrar tus comunicaciones:

* correo
* chat

[Portuguese]

No dia 14 de Setembro, descobrimos depois de alguns dias que uma conta de administração da nossa infraestrutura foi violada.
Na hora que descobrimos isso, começamos imediatamente e trabalhar para resolver o problema. Já realizamos as mitigações necessárias e conseguimos assegurar novamente las maquinas

Estamos analisando os detalhes da situação para saber exatamente o que aconteceu. Considerando a naturaleza de la violação, os intrusos tiveram acesso a todos os dados de usuários, mas nesse momento não temos prova que tocaram as contas de email.

Como medida minima de segurança, tem que mudar sua senhas e suas perguntas de seguridade de todas suas contas (email, webdav, listas, newsletter, noblogs.org). Recomendamos usar senhas forte.

Também recomendamos, se ainda você não está ativo, ativar a autenticação 2FA

Se você já tem 2FA habilitada, você precisa reconfigurá-la, desativando e reativando a mesma.

Se pode, baixa sempre suas emails no seu computador, e guardá-las com cuidado, em lugar de manter as email dentro do nossos servidores. Também lembra-se de criptografar suas comunicações:

Para maior segurança lembra sempre de encriptar suas comunicações:

* email
* bate-papo

27 Mag 2017 @ 19:00–23:30

Incontro con Gabriella Coleman, antropologa della McGill University di Montreal.

Coleman e’ una delle principali studiose di hacking e controculture digitali, e autrice di “I mille volti di Anonymous” .

Link all’evento: http://www.pianoterralab.org/evento/talk-con-gabriella-coleman/

Sito di Gabriella Coleman: http://gabriellacoleman.org/

La serata sara’ anche benefit per Autistici/Inventati

[English version below]

2FA, ovvero: raddoppia la sicurezza della tua mail

Il 2015 è quasi finito e, come (quasi) tutti gli anni, abbiamo preparato un regalo speciale per scongiurare la sfiga delle feste e, soprattutto, delle intrusioni nelle caselle di posta. Si tratta di un pensierino dal nome un po’ criptico, ma abbastanza fondamentale di questi tempi. Si chiama 2FA, che vuole dire “two-factor authentication”, autenticazione a due fattori, e il concetto è molto semplice: una volta che lo avrai attivato, per entrare nella tua webmail avrai bisogno di una cosa che sai (la tua password) e di una cosa che hai (il tuo smartphone). In questo modo diventerà più difficile per qualche malintenzionato leggere le tue mail, perché anche se qualcuno riuscisse a intrufolarsi in qualche modo nel tuo computer e a soffiarti la password, avrebbe bisogno anche di rubarti il telefono per accedere alla tua casella. Semplice, no? E allora cosa aspetti?

Attiva subito la 2FA per la tua mailbox!

Per farlo bastano pochi passi:

1. Accedi al tuo pannello utente.
2. Clicca sul tuo nome utente in alto a destra sulla barra nera.
3. Nel menu a tendina che si è appena aperto, clicca su “Abilita autenticazione a doppio fattore (OTP)”.
4. Segui le istruzioni (in sostanza devi installare un’app sul tuo telefono, impostare la domanda di recupero della password se non l’hai ancora fatto e alla fine cliccare sul tasto “Abilita”).

Un paio di avvertimenti importanti:

• La 2FA è per la webmail: per il resto dovrai generare una password specifica.
  Per i client di posta come Thunderbird e per Jabber/XMPP (Pidgin, Jitsi) avrai bisogno di una password generata appositamente, che potrai usare soltanto per un particolare client su un particolare dispositivo. Per creare una password per il tuo client di posta o per Jabber/XMPP, leggi queste istruzioni.
• Una volta che avrai attivato l’autenticazione a due fattori, il tuo punto debole sarà proprio la domanda di recupero della password: se infatti qualcuno vuole accedere alla tua casella di posta e non ci riesce perché non ha il tuo telefono, potrebbe semplicemente provare a resettare la tua password. Per questo è essenziale che la tua domanda di recupero riguardi davvero qualcosa che nessun altro può sapere, e addirittura alcuni consigliano di usare una domanda e una risposta di fantasia. In sintesi l’essenziale è ricordare che:
  1. Se perdi il telefono, l’unico modo di avere accesso alla tua casella di posta è attraverso la domanda di recupero.
  2. Se la risposta alla domanda si trova sui social network, la tua casella non sarà sicura anche se hai impostato l’autenticazione a due fattori.
• Se non hai uno smartphone e non hai nessuna intenzione di procurartene uno, una soluzione c’è, ma è complicata e prevede l’acquisto di una YubiKey. Troverai il comando per configurare la YubiKey nella pagina di istruzioni che si aprirà quando cliccherai il tasto “Abilita”. Se vuoi saperne di più, segui questo blog, dove prossimamente vogliamo pubblicare un post di approfondimento.

Il tuo sostegno è sempre essenziale

Nel 2016 Autistici/Inventati compie 15 anni, e in questi 15 anni abbiamo creato un’infrastruttura resistente che ha permesso di comunicare e di esistere in rete a tanti gruppi e individui attivi nelle lotte più diverse per un mondo migliore (o almeno un po’ meno tetro e deprimente).

Dato che non prendiamo neanche il becco di un quattrino per tenere in piedi questi servizi, l’esistenza di questa infrastruttura è soprattutto merito della nostra comunità di utenti, che continuano a sostenerci con le loro donazioni.

Anche se mail, siti, blog, mailing list, VPN e quant’altro sono offerti gratuitamente, infatti, per noi nulla di tutto questo è
gratuito, e, anzi, i costi che sosteniamo sono consistenti. Quindi è venuto il momento di ricordare tutto questo e di pensare a noi: sostienici anche quest’anno con la tua donazione! Anche un contributo minimo può fare la differenza.

Ci sono molti modi per contribuire. Scegli quello che fa meglio al caso tuo qui.

* * *

Dicembre 2015
Collettivo Autistici/Inventati
https://www.inventati.org https://www.autistici.org
contribuisci: https://www.autistici.org/it/donate.html

* * *

ENGLISH VERSION

(altro…)

Basta poco alle volte per farsi spaccare la faccia. Puoi trovarti nel ruolo di occupante di una casa a bologna, la mattina dello sgombero dell’ex telecom, oppure un sabato pomeriggio di fronte alla maker faire a roma, o in una della tante altre occasioni in cui lo stato italiano ti offre l’opportunita’ di elevare la tua street credibility con quache segno, se sei fortunato permanente, sul corpo.
Ma restiamo sulla maker faire.
Da qui sotto

https://archive.org/details/makerzine

potete scaricare una zine che veniva distribuita in quel sabato pomeriggio all’ingresso della fiera

Nel piccolo pamphlet si critica la centralita’ del business all’interno della ricerca accademica, il concetto di innovazione tecnologica che sembra assumere senso solo quando si traduce in impresa, ovvero quando assume un significato per il mercato, e quindi si puo’ comprare e vendere.
Non sono cose difficili da notare ecco, l’avranno percepito anche un sacco dei maker presenti alla fiera qualcosina di strano, e che forse esiste una certa differenza di approccio e di mentalita’ tra lo stand dell’eni e quello dei piccolo fablab di castiglion da lago.
La visione ufficiale della maker faire e’ ben sintetizzata nelle dichiarazioni di Asset Camera, ovvero quella cosa che “Cura i servizi innovativi e di sviluppo del sistema imprenditoriale, i rapporti con i media e le attività di comunicazione e relazioni esterne della Camera di Commercio di Roma” e che spingeva molto sulla riuscita della fiera.
La reazione alle cariche viene sintetizzata nel titolo di un articoletto sul manifesto con le dichiarazioni del direttore del suddetto ente “Vorrei che i giovani capissero il futuro al posto di contestare la maker faire”.
E’ un affermazione interessante. In primis perche’ non dice “vorrei che i giovani si costruissero un futuro”, ma che lo devono capire, perche’ il senso del futuro e’ gia’ scritto, se lo capisci volendo ti eviti le manganellate, se poi lo abbracci, Asset Camera puntera’ su di te e ti aiutera’ ad avere successo nel mondo prossimo venturo, che comunque e’ piu’ o meno come quello di adesso, ma piu’ caldo, con piu’ domotica, cose a led e problemi ambientali da risolvere. Forte no ?
Anche da un punto di vista tecnologico stiamo in una botte de fero, il futuro alla fine e’ delinenato. Per questo alla maker faire ci sono anche grandi aziende, per far vedere ai ragazzi come si fanno le cose nel mondo dei grandi e che quello e’ il punto di riferimento.
E comunque innovazione/rivoluzione non si appliccano all’ordine sociale. Infatti sottolineano sempre dall’Asset “I fablab e i makers sono la risposta più bella dei giovani alla crisi”. Certo, perche’ la migliore risposta alla crisi costante del capitale e del lavoro non puo’ che essere: accendiamo cose con i led comandandole via internet. O al limite lavora gratis per inventarti qualcosa che sia appetibile per il mercato, fatti una start up e spera che qualche grossa azienda ti compri, oppure evolvi e divieni imprentitore di te stesso. Le menti eccellenti sopravviveranno, al limite fuggiranno all’estero. Per gli altri: comunque ti sei trovato un hobby, tanto sei disoccupato, hai un sacco di tempo libero, no ? Tieni, accenditi un led, offriamo noi. Magari un giorno impari a farne luccicare tanti, e fai l’albero della vita ad Expo.
Le parole del buon direttore di Asset pero’ non sono a vanvera. E’ evidente che nessuno crede che i fablab e i maker possano in qualche modo essere un settore trainante dell’economia. Piuttosto una nicchia, pero’ dalle discrete potenzialita’ ideologiche. Contengono in se’ un ragionamento che potrebbe evolvere su diverse strade. La curiosita’ ti spinge a capire e intervenire sul mondo, a sviluppare capacita’ di fare. Bravo. Ora sei spendibile sul mercato del lavoro, perche’ hai un buon livello di problem solving. Ti appassioni anche ai problemi. Ottimo, appassionati a quelli che possiamo vendere bene, e saremo amici per sempre. Ti piace collaborare con gli altri, aiutarsi a vicenda ? Perfetto, perche’ lavorare con il proprio team e’ importante per emergere nella competizione. Hai una certa manualita’ e intelligenza pratica. Splendido, metti i tuoi arti al servizio di un’impresa. Dimostraci quanto tieni a noi e noi saremo carini con te, davvero. Tutte queste caratteristiche, secondo me alquanto apprezzabili in un essere umano, declinate in un altro senso invece condurrebbero ad una certa capacita’ di autorganizzarsi, autogestirsi, sostenersi l’un l’altro. Se solo non ci fosse qualcuno che poi riporta sempre la tua vita sulla centralita’ del soldo, e quando gli fai notare che e’ un modo di fare antipatico, ti spacca la faccia.

++++++++++++++++++++++++++++++++++++++
IMPORTANTE: NUOVA CA
IMPORTANT: NEW CA
++++++++++++++++++++++++++++++++++++++

[english version below]

#####
Tra pochi giorni (alla fine di Settembre 2015) la Certification
Authority di Autistici/Inventati rinnovera’ i certificati.

I nostri servizi saranno per te inaccessibili, a meno che tu non
segua questa procedura di aggiornamento:

Visita https://ca.autistici.org e segui le istruzioni riportate
sulla pagina, assicurandoti di effettuare tutte le verifiche suggerite.

Questa procedura e’ obbligatoria anche se si e’ gia’ scaricato
il certificato della CA di A/I in passato: e’ necessario ripeterla con
il nuovo certificato aggiornato.

* Cosa fare se non si e’ riusciti ad installare il nuovo certificato in
tempo?
La procedura da seguire e’ la stessa che effettueresti su un computer
nuovo per accedere al tuo account di Autistici/Inventati: visita
http://ca.autistici.org e segui le istruzioni riportate sulla pagina,
ricordandoti di effettuare anche le verifiche suggerite.

* Perche’ questa tortura?
Perche’ abbiamo scelto di prendere una posizione forte nel dibattito che
riguarda il mondo delle Certification Authority commerciali:

https://www.autistici.org/it/ssl.html

####

In few days (end of September 2015), the Autistici/Inventati
Certification Authority will *EXPIRE*, making it impossible for you to
reach our services, unless you follow this procedure to update it:

Visit https://ca.autistici.org and follow the instructions on
that page.

This is mandatory even if you have already downloaded and installed
the A/I CA certificate in the past (you need to do the same with the
new, updated certificate).

* What do I do if I was unable to update the CA certificate in time?
You should follow the same procedure that you would when installing
the A/I certificate on a new computer: visit http://ca.autistici.org
and follow the instructions on that page.

* Why all this trouble?
Read the following for our position on the debate on commercial
Certification Authorities:

https://www.autistici.org/en/ssl.html

####

[english version]

A fake website has been indexed as legit “Autistici/Inventati” on some ToR search engines. If you’re accessing Autistici/Inventati via ToR, we remind you of the correct URL:

wi7qkxyrdpu5cmvr.onion

(You can check this information by yourself requesting the TXT record of “onion.autistici.org”. I.e. typing  “dig txt onion.autistici.org” on a terminal )

Beware of imitations!

[versione italiana]

Il nostro sito e’ stato “clonato” su ToR. Alcuni motori di ricerca hanno indicizzato il nostro indirizzo onion sbagliato. Se accedete ad A/I via ToR, vi consigliamo caldamente di controllare la URL corretta:

wi7qkxyrdpu5cmvr.onion

(E’ inoltre possibile ottenere l’ indirizzo giusto con una richiesta DNS per il record TXT dell’indirizzo “onion.autistici.org”. Ad es. aprendo un terminale e digitando “dig txt onion.autistici.org<invio>” )

Diffidate delle imitazioni!

A/I

[IT] I certificati SSL di noblogs.org sono stati aggiornati nuovamente. Il cambiamento più significativo è che si tratta di certificati forniti da una CA commerciale. Nonostante la nostra posizione sull’industria delle CA sia rimasta immutata, vogliamo che i nostri utenti possano trarre vantaggio da alcune delle recenti e moderne migliorie al protocollo SSL, ottenibili purtroppo solo usando un certificato commerciale.

[EN] The noblogs.org SSL certificates have been updated yet again. The most significant change, this time, is that the new certificates are issued by a commercial CA. Our position on the CA industry has not changed, but we’d like for our users to take advantage of some of the more recent and modern improvements to the SSL protocol, which can unfortunately only be activated with a commercial certificate.

[IT] Abbiamo aggiornato i certificati SSL dei nostri servizi. Come sempre, i certificati sono firmati dalla nostra CA. In caso di dubbi, usate questa pagina per verificare la validità dei nostri certificati SSL.

[EN] We have updated the SSL certificates for our services. As usual, they are signed by our own CA. In case of doubts, check out this page for instructions on how to verify the validity of our SSL certificates.

Oggi faremo un po’ di manutenzione programmata sui nostri server, il che significa che qualche servizio potrebbe essere indisponibile per un breve lasso di tempo. Aggiorneremo questo post in caso di problemi permanenti

[ENGLISH VERSION]

We will perform some planned maintenance on our servers today. This means that some services will be unavailable from time to time. We’ll update this post in case persistent issues arise.

We have had a major issue with one of our servers, please read our announcement

Abbiamo avuto un problema grave ad uno dei nostri server – per favore leggete il nostro avviso