Newsgroup: it.arti.musica.strumenti.chitarra
Titolo: Hacker e sito poste.it

Hanno hackerato il sito delle poste, e i responsabili (della violazione) 
hanno lasciato questo comunicato :|
ci hanno scritto questo:
Le Poste italiane sono state oscurate ?!
Perchï¿œ questo atto di forza?
Per dimostrare a milioni di Italiani
che i loro dati sensibili non sono al sicuro!
Sembra pazzesco eppure tutta la sicurezza garantita
nei servizi on-line di e-commerce ï¿œ solamente apparente.
Per vostra fortuna noi siamo persone non malintenzionate,
perciï¿œ i vostri dati ed i vostri accounts non sono stati toccati;
Ma cosa succederebbe se un giorno arrivasse qualcuno
con intenzioni ben peggiori delle nostre?
Con questo gesto quindi, invitiamo i responsabili ad occuparsi
della grave mancanza di sicurezza nei servizi on-line delle Poste s.p.a
.
Mr.Hipo and StutM
Andiamo bene...io ho il conto e la postepay alla posta...
Tom

 Tom
Fantastico proprio ieri che ho fatto un account su sto sito per inviare
un telegramma!!! questo si chiama culo!!!
-- 
http://www.matteopaiato.com
Il mio Blog, qui trovi basi gratuite da scaricare per improvvisare

 hanno lasciato questo comunicato :|
Che da due tizi capaci di defacing possano arrivare ad intercettare 
transazioni bancarie � tutto da dimostrare, IMHO.


Non serve intercettare transazioni. Essendo arrivati al defacing, quindi 
avendo assunto diritti di lettura dal server (oltre che di scrittura, 
ovviamente) possono benissimo leggere il linguaggio server-side, e quindi i 
riferimenti ai database. Il punto � proprio questo: copiare i database e 
decriptarli, sarebbe stato, a questo punto, semplicissimo... 

 database e decriptarli, sarebbe stato, a questo punto, semplicissimo...
Copiare un database ï¿œ una cosa (e copiarlo partendo solo dalle view del 
sito non ï¿œ comunque banale), decrittarlo ï¿œ un problema completamente 
diverso. Inoltre, se il sito ï¿œ fatto in maniera minimamente seria (ok, 
potrebbero venire dei dubbi in questo caso), il sito su cui si entra non ï¿œ 
necessariamente quello su cui vengono eseguite le transazioni; per fare un 
esempio, quando si compra un biglietto del treno la transazione non 
avviene sul sito di Trenitalia ma su quello della banca.
Insomma, quello che ï¿œ successo ï¿œ grave, ma dire che renda "semplicissimo" 
qualsiasi altro intervento ï¿œ forse ï¿œ un po' affrettato.
See you,
        Silver Drake
-- 
Paperblog: l'irriverente blog della famiglia pinguina
http://www.silverdrakenet.it/blog/blog.html
Quello che scrive il Drake ï¿œ la veritï¿œ (gg)
RADIO HELL: 
http://www.myspace.com/rh666

 affrettato.
Scusa, stiamo parlando del database utenti del sito delle poste, a cui 
ovviamente si accede dal sito delle poste...
Ora, se hai accesso al server (ovvio, se puoi modificare la pagina Home per 
il defacing...) puoi analizzare il contenuto dell'intero sito (scritto in 
ASP) direttamente sul server, quindi vedendo tutti i contenuti nascosti ai 
client (essendo le pagine aspx interpretate dal server e invisibili ai 
client). Non ci vuole niente a vedere le connessioni al database (ad esempio 
dalla prima istruzione SQL che trovi nella pagina di login), copiarne il 
nome e affidare ad un qualsiasi gestore di download la copia locale sul tuo 
PC.
In definitiva, stiamo parlando di transazioni postali fatte sul sito di chi 
gestisce le transazioni, quindi le Poste, non un servizio intermediario. 
L'ho fatta semplice, e non � detto che lo sia per un comune hacker-wannabe, 
ma il principio � questo...
Insomma, io ho solo una PostePay (e pure vuota finch� non mi serve), ma 
immagino chi ha un conto: un p� di paura viene. Il fatto che non sia 
giustificata mette comunque a rischio la credibilit� del sistema di 
sicurezza delle Poste. 

 sicurezza delle Poste.
Temo tu l'abbia fatto veramente semplice e rischi di alimentare un 
ingiustificato timore negli utenti meno esperti. Non conosco l'ambiente 
poste ma dubito che siano dei pivelli. Il fatto che ci sia un buco di 
sicurezza non vuol dire niente. Magari era un 0-day.
Ciao
-- 
                      ^   ^
************** (.)_(.) *******************
 Un amico � uno che sa tutto di te e,
 nonostante questo, gli piaci
(E. Hobbard) 

 al sistema con le credenziali del servizio iis.
Hai nominato asp e IIS. E' solo un esempio o sei convinto che siano queste 
le tecnologie in uso? Secondo netcraft il sito delle poste � su server Sun.

 Sun.
Le ho nominate perche' Fulcro ha parlato di ASP e sebbene possa girare anche 
su altre piattaforme e la piu' tipica e' iis. Il concetto che ho espresso 
non cambia se si trova iPlanet, apache o altro. L'architettura a 3 livelli, 
tipica dei siti di eCommerce e non solo, si estrae dal software con cui la 
implementi.
