![](images/Ermopoli/misc/logo80x80.gif) |
Ermopoli
L'antica città della conoscenza |
|
|
|
|
27-01-2007, 13.17.26
|
#1
|
Amministratore
Data registrazione: 28-05-2004
Messaggi: 9,695
|
Sicurezza informatica
Pur non potendo affrontare tutti i problemi connessi all'argomento, vorrei cercare di dare un'idea di quello che può capitare, sviluppando un thread in più puntate, con eventuali domande o contributi.
Oggi siamo tutti pieni di password per servizi vari, chi naviga anche ammesso che frequentasse un solo sito regolarmente ha minimo 3/4 password, l'account nel sito, l'account email, l'account di accesso internet etc... se poi si girano più siti o si hanno più email, se si lavora in un azienda con una rete informatica etc le password si moltiplicano.
Generalmente ci sono due politiche, la stessa password per tutto... magari anche banale, che ci ricorda qualcosa di riconducibile a noi... il primo che si prende la briga di trovarla avrà accesso a tutto ciò che ci riguarda. Una soluzione migliore è una password diversa per ogni account/servizio, evitando parole da vocabolario, nomi di persona, date di nascita etc.... per un lestofante non è difficile interfacciare un dizionario informatico che faccia provare in sequenza tutte le parole, se abbiamo usato la password "albero" è solo una questione di tempo (pochi secondi) per trovarla, se la data di nascita con altra ricerca in sequenza lo stesso. Alcuni software arginano questo problema, per esempo non permettendo il tentativo di più password troppo velocemente da una all'altra, se uno sbaglia a digitare pochi secondi non cambiano nulla, ma se uno deve provare in sequenza 10000 vocaboli un conto è provarne 100 al secondo, un conto è provarne uno ogni 20 secondi.... unendo la cosa con altri sistemi un pò si argina appunto..... ma non può essere sicuro al 100% perchè l'errore è di base nella scelta della password.
L'altra soluzione (più saggia) è una password diversa per ogni servizio/account scegliendo password casuali composte di numeri e lettere (maiuscole e minuscole), questo oltre che eliminare il problema del brutal force (forza bruta, in gergo la tecnica di ricerca per tentativi consecutivi) su dizionario elimina anche tentativi di ingegneria sociale.
Che cosa è adesso 'sta ingegneria sociale? E' un sistema in cui approcciando una persona, un impiegato/a di un'azienda (che ha accesso ad informazioni) si raccolgono più dati possibili sulla stessa (persona) in modo da trovare la possibile password scelta anche quando questa è composta, esempio: mi chiamo Mario e sono nato in marzo se uso una password MaMar è più sicura che Mario, ma uno che fosse in possesso sia del nome che della data di nascita con un programma di "anagrammi" automatici in pochi secondi proverebbe tutte le combinazioni, poi spesso gli impiegati usano come password dei sistemi aziendali parole stupidissime, non pensando che se qualcuno accedesse a tale struttura con la loro password loro ne pagherebbero le conseguenze. Ma questo vale per molte altre cose che non si pensano..... ![rolleyes33.gif](images/Ermopoli/smilies/rolleyes33.gif)
Scrivere tutte le password su un foglietto o su un file del pc leggibile non cambia la situazione... del resto se ho 30 passw ricordarle a memoria è complicato, esistono dei programmi che possono registrare tutte le informazioni sotto un'unica password... il che sembrerebbe far tornare al punto 1, se beccano quella sono fregato ![icon_mrgreen.gif](images/Ermopoli/smilies/icon_mrgreen.gif) , però prima di tutto deve essere a "prova di bomba" secondo è solo sul mio pc.... il che presume che dovrei impedirne l'accesso (vedremo alle prossime puntate) il più possibile. Anche i moderni browser hanno un sistema di ricovero password (quando vi chiede se memorizzare la pasword di accesso) a parte alcuni recenti problemi ( sistemati con gli ultimi aggiornamenti, li avete fatti?) se impostate la password master danno un buon compromesso
per iniziare credo che basti... proseguirò.....
Vorrei però prima farvi notare come la filosofia Hacker (nel vero senso della parola, cioè di colui che vuole conoscere, plasmare, studiare e non far danni o male alle persone, quelli sono cracker o lamer) è molto vicina all'Esoterismo e anche alla Spiritualità, direi che è il basso, un microcosmo di una realtà più vasta e grande.... lavorare nell'informatica ricordandosi di non esserne parte ma agente oggettivo addestra la mente.
|
|
|
29-01-2007, 13.54.47
|
#2
|
Organizza eventi
Data registrazione: 09-04-2006
Messaggi: 2,233
|
E sì, ne so qualcosa in fatto di sicurezza
(in-sicurezza) informatica...
Seguo il discorso con molta attenzione.
![Happy](images/smilies/smile.gif)
|
|
|
08-02-2007, 20.50.53
|
#3
|
Amministratore
Data registrazione: 28-05-2004
Messaggi: 9,695
|
installazione di software strani
Uno dei problemi che affligge le utenza windows è che tranne poche cose tutto il software che gira che sia professionale o amatoriale è compilato.
Che significa compilato? E' forse difficile spiegarlo bene senza scendere troppo in particolari, ma prendiamo per esempio il più stupido programma, quello che si usa sempre come esempio. Questo programma una volta eseguito scriverà la frase "ciao mondo" (in inglese di solito "hello word").
Se vedessimo i dati in linguaggio macchina che passano tra le varie componenti, cioè vedessimo lavorare realmente il programma vedremmo una cosa tipo questa sotto:
Citazione:
0000:0000 7f 45 4c 46 01 01 01 00 4c 69 6e 75 78 00 00 00 .
0000:0010 02 00 03 00 01 00 00 00 cc cb fd 00 34 00 00 00 .
0000:0020 00 00 00 00 00 00 00 00 34 00 20 00 02 00 00 00 ..
0000:0030 00 00 00 00 01 00 00 00 00 00 00 00 00 10 c0 00 ..
0000:0040 00 10 c0 00 fb c2 3d 00 00 d0 3d 00 05 00 00 00 .
0000:0050 00 10 00 00 01 00 00 00 b4 0f 00 00 b4 1f df 08 ...
0000:0060 b4 1f df 08 00 00 00 00 00 00 00 00 06 00 00 00 ´.
0000:0070 00 10 00 00 70 54 2f 46 7f 55 50 58 2f 07 0d 0c ....
|
(non è il codice di "hello word" è solo un esempio)
Qualcuno ci lavora direttamente... per creare programmi molto snelli ma di solito si usa un linguaggio di programmazione che può essere interpretato o compilato.
In entrambi i casi per scrivere il nostro fatidico programmino si scriverebbe una riga tipo:
print "ciao mondo"; o echo "ciao mondo"
etc etc a seconda dl tipo di linguaggio utilizzato, ma mentre nel linguaggio interpretato diamo in pasto al pc direttamente il sorgente (cioè quelle istruzioni come quelle scritte per esempio) nel linguaggio compilato il sorgente viene appunto compilato e trasformato in qualcosa di simile a quella cosa che ho quotato sopra, questo rende il programma un pò più veloce ma in alcuni linguaggi se non si ha il sorgente non è quasi possibile capire cosa fa il programma si possono solo vedere gli effetti per quello che è possibile vedere.
Quindi tornando a windows che è usato dalla maggior parte delle persone un programma potrebbe farmi giocare ma "sotto", cioè non visibile andare a cancellare dei miei file, è così (similmente) che funzionano i virus solo che questi spesso non sappiamo che esistono senza l'antivirus.
Da quando esiste internet la cosa si complica, una volta si entrava (in ambiente domestico negli uffici era diverso) in un pc solo con floppy, cd etc a parte i primi pionieri delle bbs (un giorno ve ne parlo) quindi al massimo ci si poteva beccare un virus (eh si anche io ho usato windows e prima ancora dos e prima ancora... siete troppo giovani ![icon_mrgreen.gif](images/Ermopoli/smilies/icon_mrgreen.gif) ), ma adesso potrei avere un programma che senza che io sappia si colleghi ad un sito o un'altro pc, nel migliore dei casi per passare tutti gli indirizzi mail che trova in rubrica (per spammare poi) nella peggiore lascio a voi immaginare.
I firewall (argomento di prossime puntate) ovviano un pò il problema, ma non completamente. Su Linux il problema è inesistente perchè a parte pochi rari casi tutti i programmi sono dotati di sorgente, quindi chi ne capisca un minimo troverebbe subito inghippi.
Il consiglio del post è: Non installate programmi di dubbia provenienza solo per provare, se potete e siete in grado tenete una seconda partizione indipendente dove provare programmi (non è sicuro al 100% ma meglio che farlo in quella che si usa).
Ricordate che la maggior parte di quei programmini che installate non vi servono realmente, un utente normale con pochissimi software (anche gratis) può fare tutto, non serve installare 4 programmi di fotoritocco perchè ce li hanno dati con la stampante, la macchina fotografica e lo scanner ognuno diverso, anche se sono della casa produttrice non è detto che non inviino dati ai siti per statistiche, non sono dannosi ma a me la cosa da fastidio.
Programmi craccrati.... a parte il discorso etico... ce ne sono molti di free perchè devo volere quello e non pagarlo? Se sono craccrati che ne so di quali modifiche ci hanno fatto... sono spesso lenze e ami per pescare... è inutile che io installi sistemi sofisticatissimi e poi usi un office craccrato da chissà chi e che fa sotto chissà che cosa... poi è assurdo quando ho a disposizione un openOffice gratis (tanto per fare un esempio ma per ogni tipologia c'è il programma giusto), e alcuni grossi programmi free sono sicuri al 100% proprio per il discorso dei sorgenti aperti e per la grande comunità che ci lavora (metterò un elenco appena ho tempo)
per ora mi fermo
|
|
|
08-02-2007, 23.09.21
|
#4
|
E' praticamente nato/a qui
Data registrazione: 10-08-2005
Messaggi: 7,218
|
Questo è interessante. Per quelli come me che capiscono si e no un terzo di quel che hai detto, forse sarebbe bello avere una listina di programmi che sono disponibili gratis (e relativi link) con una piccola spiegazioncina... risparmiare senza imbrogliare, che sia per etica, per rischio o per entrambi, penso sia interesse di tutti.
Se nel mentre poi si impara qualcosa e si ampliano i propri orizzonti ancora meglio...
![ciao](images/Ermopoli/smilies/ciauzz.gif)
|
|
|
24-02-2007, 16.02.33
|
#5
|
Amministratore
Data registrazione: 28-05-2004
Messaggi: 9,695
|
Firewall
Si si con calma in un'altro thread farò un elenco con una breve introduzione dei principali software free e opensource (adesso vagamente avete capito che significa vero? ![icon_mrgreen.gif](images/Ermopoli/smilies/icon_mrgreen.gif) ) e possibilmente crossplatform (cioè che funzionano nello stesso modo in molti sistemi operativi, di solito Linux, Windows e Mac.... ma spesso anche altri).
Letteralmente "muro di fuoco" è il software che controlla tutto ciò che entra e che esce dal nostro pc, se siamo connessi ad internet non è meno importante dell'antivirus, non potete sapere quante volte mi capita di controllare dei pc che cercano di fare cose strane qui sul server di Ermopoli e vedere che sono quelli che in gergo si chiamano zombie. Se io lascio le porte del mio pc aperte, un simpaticone (per non dire peggio) può entrarvi, installarvi dei programmi e tramite questi fare da ponte per andare a fare danni in giro. I più colpiti sono quelli sempre connessi ad internet con indirizzo ip fisso, ma una volta entrati in un pc basta per esempio installare un programmino che ogni volta che questo si collega invia un segnale con il nostro nuovo indirizzo ip da qualche parte.
Questo solo per accennarvi i problemi che non si possono mai immaginare.
E' fondmentale avere un buon firewall, se non installiamo a tutto spiano (e lo facciamo solo con software sicuri) è sufficiente controllare le entrate, viceversa sarà necessario che il programma controlli anche le uscite, praticamente con windows questo è lo standart e non sarebbe neanche completamente sufficiente dato che comunque dobbiamo lasciare aperto un possibile canale di comunicazione con la microsoft pena la non connessione.
--- continua -----
|
|
|
03-09-2007, 20.48.40
|
#6
|
Amministratore
Data registrazione: 28-05-2004
Messaggi: 9,695
|
Principali programmi insicuri
Come detto sopra, qualsiasi programma scaricato ed installato (magari che neanche serve solo per il gusto, conosco parecchi softwardipendenti) è potenzialmente a rischio, i più rischiosi sono i programmi alla moda craccrati, chi fa questo servizio non sempre è un individuo simpatico, nella migliore delle ipotesi potrebbe racimolare gli indirizzi email che trova nel vostro pc (e qui l'inconscenza significa fare un danno anche ad altri) nella peggiore usare il vostro pc come testa di ponte per fare traffici in giro, in gergo rende il vostro pc uno zombie. Usare solo programmi di una software house con una certa reputazione, oppure open source da una buona garanzia, al massimo invieranno (i primi, quelli commerciale) qualche dato statistico ma non che lede la privacy.
Qualsiasi programma è a rischio, ma la parte da leone la fanno il browser e il programma per la posta, essendo quelli che direttamente sono connessi ad internet basta che abbiano il più piccolo baco per permettere danni.
Qualcosa si è fatto anche in casa wndowos comunque internet explorer e outlook sono dei colabrodi e dove non peccano mancano di alcune impostazioni automatiche che rendono la navigazione più sicura.
Esempio: è buona norma fare in modo che la posta si apri in modo testo e non html, poi se il mittente è conosciuto si può passare in modo graficamente più gradevole cioè html.
Per darvi un idea, in modo html la mail può contenere quella che si chiama immagine online, cioè ogni volta che aprite quella mail l'immagine non risiede sul vostro pc ma su un server online, questo ignifica che se anche non rispondete lo spammatore sa che avete aperto quella mail, quindi l'indirizzo esiste ed è di qualcuno.
Un sito rispettabile ed onesto non vi creerà mai problemi, diverso è il discorso andando in cerca di programmi copiati, di suonerie gratis, di musica o film copiati. Per fortuna oggi i linguaggi di programmazione che possono essere utilizzati in internet hanno delle limitazioni di sicurezza, per esempio normalmente io non posso attraverso un programma php o java o flash etc (quelli che si usano in internet) leggere i vostri file o scaricarli o caricarvi file senza che sappiate, senza che diate un consenso... ma fatta la legge trovato l'inganno.... seppur per fortuna non è una cosa alla portata di tutti, uno bravo una via la trova, per cui attenzione con quali siti interagite.
|
|
|
13-09-2007, 12.10.50
|
#7
|
Amministratore
Data registrazione: 28-05-2004
Messaggi: 9,695
|
Proxy server
Oggi vanno di moda, la fobia della navigazione anonima: "così siamo più sicuri"
Siamo proprio sicuri di essere più sicuri?
Prima tento di descrivere cosa sono questi proxy, sono dei server, dei programmi all'interno di server in rete (per esempio in internet) che filtrano tutte le comunicazioni tra due nodi della rete.
Praticamente io Tizio mi collego a Ciapelo.com ma invece che farlo normalmente passo per Gigi_proxy.com teoricamente Ciapelo.com riceverà i dati inerenti Gigi_proxy.com invece che quelli di Tizio.
Anche i meno tecnici si accorgeranno che questo rallenta la navigazione, certo oggi con le linee veloci potrebbe essere quasi impercettibile, ma ciò che mi chiedo è per quale motivo dovrei utilizzare questi metodi?
Cosa mi renderebbe più sicuro? Se mando il numero della carta di credito solo una connessione SSL (cioè criptata, quando navigando vedete l'iconcina del lucchetto) mi garantisce che l'informazione è solo tra me e il sito che la riceve, passare per un proxy non cambia nulla, se non il giro più lungo.
Certo non sono stupido, so l'uso che i "furboni" pensano di farne, esempio registrarsi più volte con nick diversi nei siti, a prescindere che commettendo cose gravi la polizia informatica e anche uno bravo può risalire la catena, ma cosa più semplice è abbastanza facile accorgersi per un amministratore di un sito che uno viene da un proxy, quindi anche senza tanta fatica regolarsi di conseguenza.
Se escludiamo questo discutibile utilizzo non vedo altri motivi per utilizzare tali sistemi, anzi ne vedo i pericoli che poi esporrò, è senz'altro più efficace l'utilizzo della crittografia per mandare mail importanti per esempio, purtroppo questo prevede che il ricevente sia predisposto a tale scopo.
Quali sono i pericoli nell'uso dei proxy?
Il proxy per fare il suo lavoro deve registrare le richieste che tizio manda verso Ciapelo, girarle a Ciapelo, aspettare la risposta e girarla verso Tizio, per fare tutto questo deve memorizzare per un tempo variabile il traffico che passa per lui.
I sistemi di proxy generalmente sono privati, un'azienda ha un'unica uscita verso internet e con un proxy controlla ciò che che i dipendenti fanno, o quanto meno può impedire alcuni siti per esempio. Se il "furbone" navigatore "anonimo" utilizza questo sistema, spesso usa dei server privati che per qualche errore ha dei buchi, nessuno metterebbe su un proxy pubblico a consumare traffico (che costa) per nulla, tranne due casi.
Il primo potrebbe essere un'organizzazione i cui server saranno sommersi dalle richieste, con rallentamenti mostruosi.... il secondo potrebbe essere uno più furbo dei furboni....
Provate ad immaginare che io apra un bel proxy pubblico e fossi un disonesto... ognuno che passando per questo proxy invia mail (con annessi indirizzi), codici di accesso, password etc senza crittografia è nelle mia mani... nella migliore delle ipotesi posso rivendere gli indirizzi mail per spam, nella peggiore avere in mano dati veramente importanti.
Quindi concludendo, il rischio è che per evitare che qualcuno che mi da un servizio (non parlo di Ermopoli, ma di grandi siti/network) possa fare statistiche (che problemi mi danno? mica sono agganciate al mio nome) per monetizzare un pò, per evitare questi mi trovo ad essere bersaglio di cose peggiori... e via con virus, malware etc
Il discorso è ancora lungo solo su quest'ultimo punto...
|
|
|
Strumenti discussione |
Cerca in questa discussione |
|
|
Regole di scrittura
|
Tu non puoi inserire nuovi messaggi
Tu non puoi rispondere ai messaggi
Tu non puoi inviare files
Tu non puoi modificare i tuoi messaggi
Il codice [IMG] è Attivato
Il codice HTML è Disattivato
|
|
|
Tutti gli orari sono GMT +2. Adesso sono le 01.39.43.
|