Newsgroup: it.comp.www.php
Titolo: Come bucare un server senza conoscenze informatiche

Ovvero hacking sociale.
Preso spunto dall'esperienza di uno sconosciuto, stamattina ho preso la
cornetta per fare un esperimento.
Ho chiamato l'azienda presso la quale ho un server per richiedere
assistenza tecnica.
IO: "Buon giorno, ho smarrito le credenziali per accedere al mio
server, potete aiutarmi?"
OP: "Non c'è problema. Nome e cognome?"
OP: "L'indirizzo IP o il nome del suo server?"
OP: "Benissimo, il suo nome utente è... e la sua password è...".
Penso di aver detto tutto.
Ovviamente io mi sono fatto dare i miei dati, volevo fare solo una
prova. Non credo, comunque, siano necessarie abilità per andare su
www.nic.it
 per conoscere i dati del proprietario di un sito e poi fare
un whois (o un ping o quello che volete) per ottenere l'ip di un
server. Credo bastino sì e no 14 anni.
Ora io mi chiedo: quanto valgono le nostre fatiche a evitare bug nei
nostri script, bot, sql injection, register_global, sessioni sicure,
transazioni monetarie sicure e così via, quando chi mi offre un
servizio, caro e certificato, si comporta così?
E badate che non stiamo parlando del sito di un negozio di mobili
usati, bensì di un server serio che contiene dati sensibili. E meno
male che sono un privato e ci stanno le mie cose, non voglio immaginare
cosa potrebbe succede ad un'azienda...
Dico... come minimo inviarli all'email fornita durante l'acquisto (che
è comunque un meto oinsicuro, ma in confronto a questo!!!).
Ditemi voi.

 Ditemi voi.
ti sei affidato a degli incompetenti, dal mio spacciatore di banda per poter
_parlare_ devi farti riconoscere attraverso una password. 
se non la sai ritenta.
c'è un libro molto bello che forse hai già letto:
http://www.feltrinelli.it/SchedaLibro?id_volume=5000127
 
L'arte dell'inganno
I consigli dell'hacker più famoso del mondo
Kevin D.  Mitnick
Traduzione: Giancarlo  Carlotti
Contributi: Raoul  Chiesa
                 Steve  Wozniak
Collana: Serie Bianca
Pagine: 328
Prezzo: Euro 15
-- 
di lesa in lesa mi dileggio

 
Beh, credo che valgano tanto dal tuo punto di vista. Puoi dire al 
cliente la classica frase "non è colpa mia, il mio lavoro l'ho svolto 
bene" con una certa sicurezza.
Il problema poi è quando il cliente, che di web non ne capisce, magari 
non ti crede perchè per qualche motivo si fida di più dell'host che di 
te. Hai voglia a convincerlo che il suo "fidato amico host di sempre con 
cui va a pesca la domenica" non è il massimo.
Insomma, agli occhi di altri competenti programmatori magari il tuo 
lavoro ha una certa valenza, mentre agli occhi del cliente finale 
valgono più aspetti come la grafica, la navigabilità ecc... dipende 
sempre dai casi.
Se poi il servizio di hosting lo fornisci tu è un altro paio di maniche :o)

 Ditemi voi.
No, dimmi tu il nome dell'azienda, piuttosto! ;-)
Scherzi a parte, la variabile "uomo" si conferma sempre quella meno
sicura. Tempo fa leggevo di un azienda di pen-testing che aveva lasciato
incustodite delle normalissime penne USB in giro in un'azienda.
Praticamente, diceva, tutti i dipendenti che le avevano trovate le
avevano poi subito inserite nei propri pc, facendo cosě avviare il
relativo programma impostato per bootarsi dalla penna. Io una cosa del
genere la feci tempo fa, lasciando un cd a casa di un amico e facendogli
uno scherzo: sopra c'era scritto "xxx" e all'inserimento partiva il noto
filmato flash "You are an idiot". :-)
Ciao.
Tristan