Newsgroup: it.comp.appl.notes-domino
Titolo: sistema vulnerabile

Salve a tutti, vecchi e nuovi, e' un po' che non mi si vede ma esisto
ancora, ed ogni tanto lurko un po'....
Volevo chiedervi un parere:
Ho scoperto, in maniera del tutto casuale e riproducibile, un server
Domino di una grossa entita' governativa che si presenta in modo
estremamente vulnerabile (in 0,5 minuti ho scoperto di essere in grado
di poter diventare amministratore di tutti i server del dominio) via
web.
Ribadisco l'assoluta casualita' di come ne sono venuto al corrente,
ora la domanda e' questa: che faccio?
Personalmente agirei in questo modo: segnalo come ho scoperto la cosa,
i danni che potenzialmente chiunque sarebbe in grado di fare
(ovviamente non ho fatto assolutamente nulla, se non sbirciare la
names per rendermi conto di chi fosse questa entita'), e magari
propongo la mia societa' per risolvere gli evidenti problemi di
sicurezza che hanno.
Il dubbio e': rischio di incorrere in problemi legali operando in
questo modo?
Tenete presente che questa entita' governativa sembra essere
decisamente grande.... si parla di centinaia di server Domino....
ciao a tutti
Il vecchio Felix


Ciao Caro! Welcome Back.
Il rischio che tu diventi perseguibile, secondo me c'e'.
Se conosci qualcuno all'interno lo potresti contattare informalmente.
Se non conosci nessuno... non saprei cosa fare.
A buon senso potresti segnalare la cosa alla polizia postale.
ed entrambi ti dovrebbero ringraziare.
In pratica... avrei dei dubbi.
Se hanno dei weblog, pero' io a questo punto procederei...
--
http://www.depquest.net

 Il vecchio Felix
Il mio consiglio è "Lascia perdere!" rischi di venire accusato di tutti i
mal funzionamenti dei loro server.
Invece prova con un approccio del tipo "Siamo una società di software
specializzata nella gestione di grandi realtà Domino, e proponiamo un
servizio di rilevamento di eventuali insicurezze ..... ecc. ecc."
Forse così riesci a mettere la pulce nell'orecchio del loro IT manager ed a
ottenere un incontro. Una volta che sei lì, come per caso, fai vedere il
loro buco....
Facci sapere come è andata però, adesso siamo curiosi di sapere se riesci a
mettere le mani sul cliente!!
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ed entrambi ti dovrebbero ringraziare.
E` il modo piu` corretto.
Io l'ho gia` verificato e molto spesso, se non sempre, trovi gente 
molto preparata e disponibile che capisce.
-- 
Ciao./ Zio Ciano. Born to run Unix.
Windows NT: Designed for the Internet. The Internet: Designed for Unix.
http://www.fsf.org/philosophy/no-word-attachments.it.html
(Fare bene non e` bene, fare male non c'e` male.-)

visto che ne parlate anche a me è successo che via web su un sito
interamente costruito con notes ho avuto la possibilità di vedere tutti i
doc e oltre.... però è successo qualche mese fa e non ricordo più chi
fosse l'azienda!!! beh cmq ho lasciato perdere e non ho detto e fatto
nulla, queste cose non si sa mai come vanno a finire.....


Se ne avevi parlato qui, ricordo l'episodio.
--
http://www.depquest.net

 molto preparata e disponibile che capisce.
Gia' il rischio e' prenderla nel c. facendo "quello che e' giusto" 
Secondo te segnalare la cosa alla Polizia Postale e' rischioso in 
questi termini? 
--
http://www.depquest.net

Federico wrote:

farei anch'io cosi'.
ricordo il caso simile su questo NG. e ricordo anche che fu bucato il 
sistema Domino dell'anagrafe di Milano e il tutto riportato su punto 
informatico. come fini' allora?
l'idea della consulenza puo' essere vincente, anche perche' andresti li 
apposta, e non potrebbero accusarti di aver fatto danni.

 questi termini? 
No. Non devi assolutamente essere anonimo e spiegare per bene il tutto
senza timori, loro sanno, capiscono, e se e` il caso ti dicono cosa 
fare.


 apposta, e non potrebbero accusarti di aver fatto danni.
"Scolta el vecio" Prima la polizia postale e dopo tutto quello che vuoi.


 li apposta, e non potrebbero accusarti di aver fatto danni.
E se invece ti dicono "Grazie siamo apposto?"
Te ne freghi?
Etica, nulla?
--
http://www.depquest.net

 Se hanno dei weblog, pero' io a questo punto procederei...
Ciao, ben ritrovato :)
innanzi tutto chiarisco un po' la situazione; l'entita' governativa di cui
parlo e' straniera. Mi sono informato un pochino e sono arrivato alla
conclusione che sia una cosa troppo "grossa" per lasciarla passare
inosservata.
Vada come vada, ho comunque deciso di contattare la Polizia postale, come
suggerito da te e dal buon vecchio Zio Ciano.... che vedo sempre
operativissimo come ai bei tempi :)
a presto, vi faro' sapere......ormai sono veramente curioso di vedere come
andra' a finire....
Fx

> "Scolta el vecio" Prima la polizia postale e dopo tutto quello che vuoi.
Faro' proprio cosi', ho gia preso i primi contatti, staremo a vedere
Tnx 4 all
Fx

 Etica, nulla?
Bah, io operero' in questo modo:
1) Polizia Postale: mi paro le natiche e chiedo consigli
2) Segnalo: compatibilmente con il punto 1, segnalo la voragine nella
sicurezza
3) Mi propongo: Compatibilmente con i punti 1 e 2 mi proporro' come
consulente.
Se mi dicono "ah grazie ma non ci servi", beh, pace.... io almeno ho la
coscienza  a posto.... oltretutto non e' che ci speri piu' di tanto visto la
dimensione dell'entita' governativa.... se va male faccio una buona azione,
se va bene vinco alla lotteria :)
ciau
Fx


Farei lo stesso! Facci sape'
--
http://www.depquest.net


senz'altro.... a cose fatte vi scrivo anche il modo pazzesco in cui mi sono
imbattuto in questa storia
ciao
Fx

Vi aggiorno.... ho contattato la polizia postale seguendo la procedura
hotline come da sito... ovvero mandare una mail ad 1 dei distaccamenti
regionali:
Spedita ieri una mail a Bologna con richiesta di un numero telefonico per
contattarli direttamente..... per ora nisba
Spedita stamattina una mail a Milano (la situazione e' un po' anomala...
sono meta' in Emilia e meta' in Lombardia.... nel dubbio...) con la
descrizione del "problema" .... per ora nisba uguale
Magari non ve ne frega nulla, ma ho pensato che se a qualcuno dovesse
capitare, qualche info non fa male.
ciao
Fx

oooops....
Scusate, usato pc con account di prova del kaiser, comunque sono sempre io
:P
ciao
Felix


Capito avemmo.
Bene tu facesti ad informare gli amicici.
Ciao!
--
http://www.depquest.net