Newsgroup: it.news.net-abuse
Titolo: Re: Ma X-Privat ce l'ha ancora un abuse degno di questo nome?

 mettessero un tappo lì dove non batte il sole?
ce l'ha, Pierluigi, ce l'ha. 
Alle segnalazioni rispondo di solito entro le 24 ore lavorative, 
chiunque può confermarlo.
Prima di sparare sentenze a casaccio perciò, scrivi al solito 
indirizzo e ti verrà risposto, come sempre.
Finora infatti non mi risulta nulla in inbox riguardo questo nick.
-- 
http://www.bairo.info/
http://inpoesia.splinder.com/
http://it.pg.photos.yahoo.com/brixina

 header tipo questo?
Gli headers che mi hai postato non sono sufficienti, ma in ogni caso 
se vuoi segnalarmi l'abuso mandami tutto il materiale necessario 
sull'indirizzo di Abuse: analizzerò il caso e provvederò 
tempestivamente se ci sono gli estremi per intervenire. 
D'altra parte quella mail di servizio serve proprio a questo.
Ben lieta di fermare un abuso quando c'è, ma la sede per gestire le 
segnalazioni non è questa.


 Vediamo cosa ne esce fuori??
Ti anticipo la risposta... nulla.
Purtroppo usa qualche cavolo di proxy per postare come P4, quindi gli IP
dei fake risultano differenti da quello comunemente usato (almeno questo
è quanto dettomi/confermatomi dall'abuse di 
aioe.org
, l'altro servizio
che utilizza per morphare).
Un elenco non esaustivo di quelli che risultano essere fake dell'utente
P4 è questo allegato.
************************************
Da 
x-privat.org
************************************
* Marmotta
http://groups.google.it/group/it.comp.os.win.xp/msg/aac8b4670b64a53f?dmode=source
* Carogna
http://groups.google.it/group/it.comp.os.win.xp/msg/06b1f91b27f5d3c1?dmode=source
* magilvia
http://groups.google.it/group/it.comp.os.win.xp/msg/82442cee16b6674e?dmode=source
* Ra
http://groups.google.it/group/it.comp.os.win.xp/msg/628954aa1757b210?dmode=source
* Renzo
http://groups.google.com/group/it.comp.os.win.xp/msg/ffb6a18ff70e4ecd?dmode=source
* eNTr
http://groups.google.com/group/it.comp.os.win.xp/msg/bde453fb08c99bc7?dmode=source
* Goby
http://groups.google.it/group/it.comp.os.win.xp/msg/62b297364d356600?dmode=source
* Rana
http://groups.google.com/group/it.comp.os.win.xp/msg/04a59f0a98da7a8e?dmode=source
* Marco
http://groups.google.com/group/it.comp.os.win.xp/msg/b7d18cf1546d99f7?dmode=source
* Marte
http://groups.google.com/group/it.comp.os.win.xp/msg/a0d5ea8301eabc91?dmode=source
* Marco Palbo
http://groups.google.com/group/it.comp.os.win.xp/msg/334eebab6896f23d?dmode=source
* Marco
http://groups.google.com/group/it.comp.os.linux.sys/msg/75ffce44cfbb8b28?dmode=source
* dlfjk dlfkjl3jkl3jljdslds
http://groups.google.com/group/it.comp.os.win.xp/msg/735162869a05d021?dmode=source
************************************
Da 
aioe.org
************************************
* Marchetto
http://groups.google.it/group/it.comp.sicurezza.virus/msg/2a2b21fbe9d654ef?dmode=source
* Pandoro
http://groups.google.it/group/it.comp.os.win.xp/msg/5e7ba7334e864699?dmode=source
* Albano
http://groups.google.it/group/it.comp.os.win.xp/msg/0d90fce99398fae3?dmode=source
* Megatroll
http://groups.google.it/group/it.comp.os.win.xp/msg/794329e246aeb6fb?dmode=source
* lant
http://groups.google.it/group/it.comp.os.win.xp/msg/56ae54d523a62031?dmode=source
* Marco
http://groups.google.com/group/it.comp.sicurezza.virus/msg/c005654288a2a4d3?dmode=source
* Paolo
http://groups.google.com/group/it.comp.os.win.xp/msg/e662dc15d690cc43?dmode=source
* Ariax
http://groups.google.com/group/it.comp.os.win.xp/msg/7f7a5e6e2ce1170f?dmode=source
* Rais
http://groups.google.com/group/it.comp.os.linux.sys/msg/20c6c0a2c8b67c39?dmode=source
* Jack
http://groups.google.com/group/it.comp.os.win.xp/msg/7c057d8287b65e86?dmode=source
* Lucignolo2
http://groups.google.com/group/it.comp.sicurezza.virus/msg/e6ece65bac9197a1?dmode=source
* Jerry
http://groups.google.com/group/it.comp.sicurezza.virus/msg/c241ed5a187abfda?dmode=source
* Sai
http://groups.google.com/group/it.comp.os.linux.sys/msg/20b65949f36c6a09?dmode=source
* HaiRottoIlCazzo
http://groups.google.com/group/it.comp.os.win.xp/msg/572bf6624925ac7a?dmode=source
* Mauro
http://groups.google.it/group/it.comp.os.win.xp/msg/cc9fe380c2fe700c?dmode=source
* Maur
http://groups.google.com/group/it.comp.sicurezza.virus/msg/3d65eb1f161c7771?dmode=source
* Jessica
http://groups.google.com/group/it.comp.os.win.xp/msg/c417f7f54d43f313?dmode=source
* Rabbit
http://groups.google.com/group/it.comp.os.win.xp/msg/afae3e58ae90cf04?dmode=source
* []
http://groups.google.com/group/free.it.enkey/msg/6684202f0de8cc33?dmode=source
* Marco
http://groups.google.com/group/it.comp.os.win.xp/msg/c9a79761d960536e?dmode=source
* Look
http://groups.google.com/group/it.comp.os.win.xp/msg/2be392e7c4d4efa1?dmode=source
* Alex
http://groups.google.com/group/it.comp.os.linux.sys/msg/2a1eb097f92c564a?dmode=source
* CarroArmato
http://groups.google.com/group/it.comp.os.win.xp/msg/9769ae12b5efabcc?dmode=source
* Paolo
http://groups.google.com/group/it.comp.os.win.xp/msg/17f8deeeedad8623?dmode=source
* Ran
http://groups.google.com/group/it.comp.os.win.xp/msg/4eb2fbbbbb5caaa1?dmode=source
* Gerry
http://groups.google.com/group/it.comp.os.win.xp/msg/af8de3b16ae94077?dmode=source
* Manolo
http://groups.google.com/group/it.comp.os.win.xp/msg/664ec727abbae87f?dmode=source
* Mirko
http://groups.google.it/group/it.comp.macintosh/msg/a4297861b40799c0?dmode=source
* Rodrigo
http://groups.google.com/group/it.comp.os.win.xp/msg/28f1513d3a3a6bd7?dmode=source
* Salvo
http://groups.google.com/group/it.comp.os.win.xp/msg/adb97826517c9390?dmode=source
* Man
http://groups.google.com/group/it.comp.os.linux.sys/msg/397ac34fdbcf887b?dmode=source
* Jatts
http://groups.google.com/group/it.comp.os.win.xp/msg/f5a3d731f8699135?dmode=source
* martin
http://groups.google.com/group/it.comp.os.win.xp/msg/e67746bd342e50de?dmode=source
* Nakato
http://groups.google.com/group/it.comp.os.win.xp/msg/333a03bcc6cd66f3?dmode=source
* Luca
http://groups.google.com/group/it.comp.os.win.xp/msg/1c3084eef83bb11e?dmode=source
* Verro
http://groups.google.it/group/it.comp.os.win.xp/msg/2fa3895973f07c0e?dmode=source
* Enrico
http://groups.google.com/group/it.comp.os.win.xp/msg/f511c72c2332b5be?dmode=source
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 3c1?dmode=source 
fyi ti ho risposto da abuse, ma la mail mi è tornata indietro.


 
[snip & snap]
Ecchecavolo.. Ma non ha niente da fare dalla mattina alla sera?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Gli intellettuali sono i primi ad abbandonare una nave che affonda,
subito dopo i topi, ma molto prima delle puttane.
		-- Majakovsky

 Scirio non vi sia stato nessun seguito.. sbaglio?
Stai spostando l'argomento. Comunque sia ci tengo a precisare che 
Scirio non morphava, il suo non era net-abuse e ad ogni modo gli 
abbiamo chiesto gentilmente la sua collaborazione e da utente educato 
e disciplinato quale è, si è dimostrato disponibile in tal senso.
Per me anche questo significa essere un buon utente.
Per il resto, per il caso per il quale era stato aperto il 3d, sono 
disponibile all'indirizzo di servizio per Abuse.
ciao


 affrontare l'argomento? 
Pensa quello che vuoi, non mi importa a questo punto.
Io so che il mio dovere lo faccio e che Abuse viene gestito con 
coscienza e buon senso.
Chiudo la conversazione, non ho altro da dirti.


 fyi ti ho risposto da abuse, ma la mail mi è tornata indietro.
Strano che ti sia tornata indietro, perché l'ho ricevuta....
Comunque grazie a te della collaborazione :-)


 Comunque grazie a te della collaborazione :-)
dovere! 


 Si è andato a far compatire anche su Bugtraq fai te. :-D
&body=Sei fottuto!
ROTFL

 Thirdmillenium2001 e Scirio
ciccio, cambiare nick non è net-abuse
l'email è la stessa
e poi cinniubbo, third posta da anni
già che ci sei perchè non tiri in ballo pure peppino? ;)
-- 
http://tinyurl.com/4y7aa
 - 
http://www.x-privat.org
Indovina il film:
Dallo spazio arrivano delle misteriose creature.
Sono delle piccole palle di pelo con una bocca enorme e dei denti
affilatissimi, che usano per azzannare la gente.
Questi pericolosissimi alieni semineranno il panico tra i terrestri, ma
sulle loro tracce si metteranno due cacciattori di taglie interspaziali...
Soluzione: 
http://scisland.6te.net/?id=5130

 a quanto pare, non vuole vedere cose fin troppo evidenti.
Io non sarei così critico. icowx è pieno di gente che vede fake di P4 in
ogni luogo o in ogni post che contenga qualche cazzata, ma a volte
effettivamente si tratta di pirla diversi.
Non penso rientri nei compiti dell'abuse quello di leggersi tutti i post
di tutti i NG alla ricerca di un coglione che spara cazzate e morpha per
darsi ragione o farsi i complimenti.
Il compito dell'abuse è quello di reagire con prontezza e con
accuratezza alle segnalazioni degli utenti, verificandole ed
inchiappettando il malandrino.
In questo caso non posso lamentarmi né di 
x-privat.org
, né di 
aioe.org
,
anche se personalmente dubito che il rimedio possa essere di lungo
termine dato che il pirla si creerà un nuovo account appena si
presenterà l'occasione..


 memorie, i processori.

 Sebbene ne riconosca l'enorme utilità in determinati contesti,
<snip>
Il problema NON è l'anonimato, ma l'efficienza dell'abuse ed
anche l'implementazione di alcuni banali regole; mi spiego,
il non pubblicare NNTP-Posting-Host mi può ancora star bene
a patto però che l'abusedesk si attivi nel caso di segnalazioni
e provveda a prendere le misure del caso; inoltre, e per quanto
riguarda l'uso di "proxies" per connettersi al newsserver; esistono
diverse RBL che permettono di filtrare la maggioranza dei proxies
inclusi i nodi TOR, JAP e diversi altri, ed implementare una cosa
simile, ossia NEGARE l'accesso tramite proxy non è troppo difficile
a questo punto beh.. il lavoro dell'abuse sarebbe semplificato ma,
al contempo, sarebbe possibile permettere l'anonimato agli utenti
come vedi è solo una questione di buona volontà
Ciao

> inclusi i nodi TOR, JAP e diversi altri
giusto come riferimento
http://www.ahbl.org/notices/tor.php
http://anon.inf.tu-dresden.de/fragen/betrieb_en.html#B41

 te' capì la siura in pelliccia... ha chiuso l'uscio in faccia! :(((
Beh, visto che, a quanto mi e' dato di leggere, il "soggetto" non e'
capace nemmeno di fare un report valido... com'e' che dice MdI, in
questi casi?
Fabrizio

 questi casi?
di chi parli?
/me che: mmmh, un po' sciapo, mettine un altro pizzico.


 l'identificazione. Dai, gerby, rodi così che vai forte !
 
ma per caso, lui e' il gerbillo dell'ultimo libro di harry potter?


 
toh, due cretini at work
-- 
bggnagnfrggr.hab.pragbdhvaqvpv.pragbiragvabir

 toh, due cretini at work
io almeno non sto su internet a sparare cazzate tutto il giorno


 salta fuori. doh..
 
purtroppo tocca tenesselo, e' 'no stronzo autoctono.


 Al massimo lo si rimanda nel killfile..
 
naa, il killfile si usa per gente rompicoglioni, lui e' solo fastidioso


 *gratuiti* che consentano di restare anonimi.
Anonimi?
Il gestore del news server sa benissimo da dove vengono inviati i post.

 Ignaro dei loops scriveva cento volte la stessa riga LOL
Questa è mia, eh...:-P

 Il gestore del news server sa benissimo da dove vengono inviati i post.
Sì, ma gli altri utenti del NG non hanno queste info e quindi hanno
quindi maggiori difficoltà a correlare le informazioni.
Per esempio è impossibile correlare i post fatti da 
aioe.org
 con quelli
fatti da 
x-privat.org
, cosa che rende problematica e spesso inefficace
la segnalazione ai rispettivi abuse (che per trovare qualcosa dovrebbero
coordinarsi).
Dato che poi chi fa morph (come quello segnalato) si crea decine di
nuovi utenti, è pressoché impossibile riuscire a tracciare qualcosa se
non investendo tempo e risorse eccessivi per il problema.
Si eviterebbe in larga parte questo problema se l'NNTP-Posting-Host
fosse in chiaro per gli account gratuiti e mascherato solo per gli
account a pagamento. Nessuno pagherebbe decine di abbonamenti per trollare.


 Il gestore del news server sa benissimo da dove vengono inviati i post.
Non esattamente :-) il gestore del newsserver può sapere da quale
ACCOUNT e da quale IP vengano inviati i posts, però, per quanto
riguarda l'IP, se il newsserver accetta connessioni da "proxies" tipo
(come ho già scritto) TOR o JAP (o altri) l'indirizzo IP non farà fede
e l'unico dato valido sarà l'account, ed è per questo che (di nuovo
come ho già scritto) se si vuole evitare di pubblicare il dato relativo
al "posting host" sarebbe però opportuno NON accettare connessioni
da proxies, la cosa non è così difficile e quantomeno permetterebbe
di salvare capra e cavoli, l'utente avrebbe comunque il suo "anonimato"
ma al contempo l'abuse, non accettando connessioni da proxies avrebbe
i dati necessari per una eventuale rivalsa verso gli utenti "in torto"
Ciao

 (come ho già scritto) TOR o JAP
Credo che aioe rifiuti i post da un bel po' di "punti
di uscita" della rete tor...

 di uscita" della rete tor...
Uhm .. "un bel pò" è una quantità piuttosto aleatoria,
tieni presente che la directory *completa* degli exit
nodes TOR ufficiali è disponibile e che, anzi, esistono
diverse RBL che permettono di filtrare tali nodi, oltre a
ciò, e come ho già scritto, altre note "proxy networks"
come ad es. JAP permettono (su richiesta di un
admin) di escludere i propri servers; in entrambi i casi
il risultato sarebbe quello di vedere gli IP "in chiaro"
E tornando agli IP in chiaro; se è vero quello che scrivi,
ossia che aioe rifiuta posts dai nodi TOR, mi chiedo come
mai alle richieste (vedi posts precedenti) venga risposto
che i posts provengono da "proxies"; oltretutto, se ciò fosse
vero, significherebbe che l'admin sa PERFETTAMENTE
che un determinato IP è un "proxy" ed a questo punto mi
chiedo ... perchè sapendo ciò non FILTRI quell'IP
/me che "a pensar male si fa peccato però..." :-)
Ciao

 toh, due cretini at work 
Ah, allora non sembrano "speculari" soltanto a me.
Fabrizio

 /me che "a pensar male si fa peccato però..." :-)
Ehmm.. forse mi ero espresso male.
Io avevo chiesto conferma all'abuse di 
aioe.org
 se un utente che postava
tramite i loro server era un fake di un altro utente. L'IP che proveniva
da un proxy però non era quello del presunto fake (che scriveva tramite
aioe.org
) ma quello dell'utente originale.


 [Cip]
Ora arriva CiopAtWork
-- 
bggnagnfrggr.hab.pragbdhvaqvpv.pragbiragvabir

 scriveva tramite 
aioe.org
) ma quello dell'utente originale.
Fammi capire.. tu hai due posts dei quali uno proveniente da aioe
e l'altro proveniente da.. DOVE ? Ossia.. l'altro post, quello che dici
provenisse dall'IP di un "proxy" su quale server era stato inviato ?
Ciao

 provenisse dall'IP di un "proxy" su quale server era stato inviato ?
Io avevo 2 post, uno proveniente da aioe e l'altro proveniente da
google, spedito via web attraverso un proxy.
Purtroppo non vi è modo di sapere se sono la stessa persona, a meno che
non si possa avere accesso ai log dei proxy. Si può risalire all'IP che
posta da 
aioe.org
, all'account che posta da google, ma non si riesce a
capire se è lo stesso IP che posta tramite google e tramite aioe.
Purtroppo il tipo, nella sua coglionaggine, è abbastanza furbo.


 Purtroppo il tipo, nella sua coglionaggine, è abbastanza furbo.
hmm

 di aioe
Nel senso che dato un IP posso chiedere conferma all'abuse di aioe se
l'IP è uguale a quello in chiaro (cosa che ho fatto).
Peraltro il sistema di oscuramento degli ip di aioe consente almeno di
verificare se due utenti aioe postano dallo stesso IP, essendo
l'NNTP-Posting-Host un MD5 calcolato, all'interno dello stesso NG, in
funzione del solo indirizzo IP. Penso che senza troppo sforzo sarebbe
inoltre possibile generare delle rainbow table per il cracking
dell'NNTP-Posting-Host, anche se ciuò richiederebbe tempo che IO non
voglio perdere.
Questo comunque mi ha permesso per esempio di stabilire con certezza che
due dei fake del coglione postavano dallo stesso IP.
Purtroppo ciò non è sufficiente per fargli segare l'account di google
(non essendo lo stesso IP che posta), e comunque l'idiota può sempre
crearsi nuovi utenti sui vari servizi anonimi con cui rompere le scatole.


 voglio perdere.
c'è anche un salt per evitare questo
per rendere l'idea:
NNTP-Posting-Host: md5( $ip . $salt ) . ".
user.aioe.org
"

 che non sappiamo oppure...
continuo a farlo
non posso filtrarli *tutti*

 google, spedito via web attraverso un proxy.
Scusa, eh, ma anche se avessi il campo nntp-posting-host, con uno
abbastanza determinato che usa tor e proxy...

 facile e poi nessuno pretende che qualcuno si metta a leggere tutti i NG
E dov'č il tuo?
-- 
The steady state of disks is full.  - Ken Thompson
News 2002 [v 2.07] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 E dov'è il tuo?
Nella firma di.........
Fabrizio (ed un vecchio thread)

 c'è anche un salt per evitare questo
Le opzioni sono due:
a) il salt cambia ad intervalli molto lunghi, sicuramente superiore ai 3
giorni.
b) il salt è fisso, il che mi consente di usare le rainbow table.
Ho fatto le prove e sembrerebbe che l'opzione valida sia la seconda,
come confermano i messaggi e5fta6$72g$
1...@nntp.aioe.org
 e
dv76qe$noa$
1...@emma.aioe.org
.
L'unica informazione che manca è la rappresentazione dell'IP per il
calcolo dell'md5, ma non penso che sia molto più complessa di una
classica ad ottetti o esadecimale o binaria.
Dato che ho il messaggio di cui calcolare l'hash (IP), ho l'MD5
risultante, la ricerca del salt si riduce ad un brute force abbastanza
banale e con tempi di calcolo inferiori al giorno (64^8 round).
In queste condizioni è possibile la generazione della rainbow table per
quel salt, che peraltro risulta anche abbastanza piccola essendo
limitata allo spazio degli indirizzi IP assegnati, e sarebbe quindi
decifrabile l'NNTP-Posting-Host in pochi secondi.
IO non ho tempo di farlo, ma sono certo che non ci si metterebbe più di
un paio di giorni. Preferisco lasciare l'incombenza a te :-)
Per ovviare questo tipo di attacco dovresti o modificare il salt ad
intervalli brevi (possibilmente ad ogni messaggio) oppure legarlo ad
altri parametri come 
p.es
. il msgid.
Allo stato attuale l'implementazione dell'oscuramento
dell'NNTP-Posting-Host è totalmente inutile ed inefficace.


> NNTP-Posting-Host: md5( $ip . $salt ) . ".
user.aioe.org
"
ok.. ma a questo punto; se consideriamo il discorso "proxy"
ed il fatto che in ogni caso l'indirizzo IP di provenienza non
venga rivelato; non vedo perchè non fare una cosa del genere
con l'indirizzo IP diretto e senza utilizzare il salt; si, si potrebbe
obiettare che una cosa del genere potrebbe permettere una
decodifica dell'indirizzo IP del poster, ma, sebbene una cosa
simile sia possibile se il server utilizzasse MD5 (o SHA-1) lo
stesso NON sarebbe possibile utilizzando un algoritmo che
a quanto ne so potrebbe diventare l'erede di MD5, ossia tiger
http://www.cs.technion.ac.il/~biham/Reports/Tiger/
a questo punto, sarebbe possibile utilizzare un algoritmo del
genere per creare un "X-header" contenente l'hash dell'IP di
provenienza del messagio; hash che, senza inserire un "salt"
permetterebbe al contempo di evitare che l'IP venga rivelato
ma ANCHE di confrontare la provenienza di posts diversi e di
determinare se siano stati inviati dallo stesso IP cosa che senza
violare la privacy (visto che in ogni caso l'IP origine NON verrà
rivelato) permetterebbe comunque di avere un indizio nel caso
si sospetti il morphing; non credo che l'idea sia così "ballerina"
Ciao