Newsgroup: it.news.net-abuse
Titolo: dare l'URL del BO e' un abuso? (was: Chiudere il mailgate, magari basta chiedere)

dei pericoli che ci sono dietro certe azioni.
una volta premesso che dare a qualcuno l'URL del Back Orifice (o di 
altri programmi "malfamati", chi ricorda il Satan di buona memoria?) 
non e' un reato -- che e' la cosa piu' importante da chiarire dal mio 
punto di vista e che spiega l'*apparente* nonchalance con cui ho dato 
quell'informazione -- dal punto di vista della responsabilita' etica e 
della scelta "politica" il problema e' ponderoso.
non lo affrontero' qui nella sua interezza, su questo e' in atto da 
tempo una discussione collettiva a tutti i livelli e in tutti gli 
ambiti della telematica "underground & alternativa", e probabilmente, 
se le mie proposte verranno accolte, una riflessione sugli aspetti 
etici e politici dell'hacking sara' uno dei nodi centrali intorno a cui 
ruotera' hack-it 2000.
qui mi limito a chiarire alcuni miei punti di vista personali:
1) io non credo che la sicurezza possa essere basata sull'ignoranza o 
sul tenere "segrete" delle informazioni tecniche. credo al contrario 
che la conoscenza diffusa sia la miglior garanzia per un utilizzo 
attivo delle nuove tecnologie e per la consapevolezza dei loro limiti e 
dei loro rischi. 
il CDC nel rilasciare Back Orifice -- ricordo che questo avvenne due 
anni fa nel corso di un'affollatissima conferenza stampa, in piena luce 
del sole, e che questo programma viene ora diffuso come un normale 
shareware e recensito su riviste specializzate -- sottolineo' che si 
trattava innanzitutto di un tool per la gestione da remoto di win 9x 
che veniva messo a disposizione *gratis* e che dimostrava come un 
*piccolo* eseguibile mettesse a disposizione delle funzionalita' per 
avere le quali solitamente si pagano fior di quattrini per programmi 
inutilmente mastodontici. 
da notare inoltre che questo programma non utilizza exploit etc, ma 
utilizza esclusivamente funzioni "legali" di sistema. cioe' ha messo a 
nudo una realta' di windows 9x che Microsoft ha fatto di tutto per 
tenere nascosta a livello di massa. (spero che qualcuno ricordera' le 
esilaranti dichiarazioni di M$ prima del rilascio di BO sul fatto che 
era solo un "bluff" del CDC)
2) malgrado cio', e malgrado il fatto che il mio uso personale del BO 
si sia limitato a una lunga serie di prove sulla mia LAN casalinga, che 
sono servite molto a migliorare la mia padronanza del sistema, non mi 
nascondo certo che il 90% delle persone che chiedono un'informazione 
del genere lo fanno all'unico e preciso scopo di rompere le scatole al 
prossimo. 
(anche se vorrei sottolineare che io non uso AVP, firewall etc e che 
bazzico in rete ambienti che a tanta gente fanno "paura", e che 
malgrado cio' l'unico virus che mi son beccato in vita mia fu     
diversi anni fa, quando feci girare un floppy dato da una *rivista* che 
promuoveva un database. da notare che il successivo numero della 
rivista promuoveva un antivirus).
d'altra parte io credo fortemente nel concetto e nel metodo della 
responsabilita' personale e diffido profondamente (e meditatamente) di 
autorita' e forme di controllo di ogni genere. di conseguenza quel che 
fo quando uno mi chiede un'informazione del genere e' dirgli dove la 
puo' trovare, mettendo *bene* in chiaro che l'utilizzo abusivo di BO e' 
un reato punibile con tre anni di galera -- cosa di cui per inciso il 
90% dei ragazzini che ci giocherella in IRC non ha le benche' minima 
idea -- il che a mio avviso rappresenta un deterrente assai piu' 
efficace che non il negare l'informazione. 
anche perche' sono convinto che se si nega l'informazione e si crea 
un'aura di mistero intorno a una cazzatina come il BO, il ragazzino si 
convince ancor di piu' che chi lo usa a kazzo e' un vero cowboy da 
console come nei romanzi di FS, peggiorando ancora di piu' la 
situazione. 
 
3) a questo proposito mi conforta l'esperienza concreta dell'hacklab di 
Firenze. quando facemmo un'iniziativa sulla sicurezza lato server, dove 
vennero spiegati e volgarizzati una serie di concetti base sulla 
sicurezza -- e per converso sulla possibilita' di bypassarla -- il 
solito giornalista di turno ci accuso' di incentivare vandalismo & 
pirateria. ne venne fuori una grossa bega, con tanto di 
lettere di avvocati, conclusasi con un bell'articolo di autocorrezione 
da parte del giornale in questione, che rappresento' un ottimo 
risultato di educazione dei media. 
ma soprattutto, con quell'iniziativa, una serie di ragazzini che sono 
approdati da noi convinti che imparavano a bucare le macchine in 
quattro e quattr'otto, ne sono usciti con una consapevolezza molto 
maggiore. diversi sono diventati una presenza stabile e hanno capito 
che fare danni a kazzo *NON E'* "hacking". io considero questo un 
ottimo risultato, e penso che se avessimo avuto un approccio diverso 
alla questione non l'avremmo ottenuto.
4) *molto* personalmente (il punto di vista medio anche nell' 
"underground" e' diverso) mi lascia piuttosto perplesso il concetto, 
cui anche tu fai riferimento, che se uno e' tecnicamente bravo e' anche 
responsabile di default. concetto che nell' "underground" si traduce ad 
esempio nel fatto che se rilasci software di un certo tipo o diffondi 
info su un exploit, inserisci volutamente errori nel codice, cosi' solo 
chi sa programmare puo' usare quelle informazioni. a me questa sembra 
una visione infantile ed ottimistica. 
l'abilita' tecnica non porta necessariamente a consapevolezza e a senso 
di responsabilita', e penso che questa visione discenda paro paro da 
quella specie di elitarismo tecnologico che caratterizza molta della 
cultura di rete (non solo "underground") e che mi infastidisce molto.
riconosco pero' che il fatto che io di linguaggi non ne capisco una 
mazza (e' per questo che mi autodefinisco "lamer", io non produco ne' 
innovo strumenti tecnici, ma sono costretto a camapare su cio' che 
fanno altri) ma mi sento politicamente ed eticamente responsabile molto 
piu' di tanti "hacker", c'entra per qualcosa e forse influenza il mio 
giudizio su questo punto.
5) piu' in generale vedo che ad esempio qui in Usenet it. e a livello 
di opinione di massa, la gente e' solitamente molto piu' terrorizzata 
dagli "hacker" che non dal controllo governativo, statale e delle 
grandi multinazionali sulla rete e sulla propria vita privata (vissuto 
come "normale") e che reagisce a questo autocensurandosi in misura 
assolutamente insopportabile ed invocando od accettando forme di 
controllo governativo ecc. che nella realta' con la sicurezza *reale* 
non hanno niente a che fare, e che mettono a rischio il carattere 
orizzontale e accessibile a tutti della comunicazione in rete. 
la mia scelta rispetto a questo stato di cose e' innanzitutto 
riaffermare una pratica di segno opposto, senza mediazioni. 
poi casomai se questo suscita casini, ben venga, ci si chiarira'. 
il mio ricorso alla "provocazione" -- come nel caso dell'URL del BO -- 
puo' essere discutibile, e non e' l'unico approccio possibile, ma in 
questo caso e' una mia scelta meditata, politica ed espressiva. 
io sono in guerra contro la macchina globale che produce consenso al 
pensiero unico, e le sole armi che ho sono questa tastiera ed un 
accesso Internet. forse a volte strillo troppo, ma e' un modo per farmi 
sentire sopra le litanie omologate. in altre occasioni, ad esempio nei 
corsi "a prezzo popolare" di primo accesso ad Internet che stiamo 
facendo per autofinanziare Isole Nella Rete, dico le stesse cose in 
maniera molto piu' pacata.
-- 
bYeZ
T.H.E. Walrus
Key fingerprint = 82 90 B8 CB CD 47 10 56  36 58 0B 69 61 23 FD F2
PGP key available on keyservers

 [snip un sacco di cose giuste] <
-- 
The Hitman - 
http://members.xoom.it/hitman/
e-posta: 
rsal...@studenti.unina.it
 - Fan #2 di Mexico '86 
Anima gemellata di Arianna aka Jordie / Druido della BUBBLE
Linux-preacher vagante in it.*