Newsgroup: it.comp.sicurezza.varie
Titolo: Come denunciare hacker.

Ciao a tutti,
ho la necessità di intraprendere un azione legale, per un "hacker" di cui ho
IP address (una connessione adsl di un operatore conosciuto).
cosa dovrei fare?
Grazie
Saluti

cosa dovrei fare?
Devi rivolgerti alla polizia postale (
www.poliziadistato.it
)
-- 
Lapalissiano
Icq 57269703

 wrote in message
news:3q5ltt8l9d14jjpmc...@4ax.com...


 
e con che prove? Un log che alla fine è un file di testo che chiunque può
modificare?

Ma dove stà un link che mi dia indicazioni, sul sito della polizia di stato?
www.poliziadistato.it/live/internet/index_internet.html
-- 
Lapalissiano
Icq 57269703

:

Se e' qualcuno che ti ha fatto un portscan, lascia perdere, dato che il
portscan non e' di per se' illegale (non si fanno processi alle
intenzioni), e quindi non caveresti un ragno dal buco (al massimo fai
ridere la gente a cui sporgi denuncia).
Vuoi un vero consiglio? Disabilita gli alert di ZA o del "firewall" che
usi e vivi felice.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.7 - WMaker 0.70.0

Non è cosi !
Il provider è penalmente responsabile della veridicità del log.
Comunque in questo caso è ancora più semplice, si tratta di un ADSL con IP
fisso !
A guidicare il numero di condanne pronunciate nel 2001 (la 507 prevede da 1
a 3 anni di reclusione + risarcimento in sede civile) direi che invece la
legge funziona.
Auguri a chi di dovere.

 wrote in message
news:hu6er9...@stargate.delymyth.net...

Dipende.. da cosa ha fatto questo fantomatico "hacker"....
Ha ragione che dice che il provider e' responsabile legale dei log...
Cmq avere un ip .... non significa nulla... BIsogna vedere cosa ha combinato
realmente e provare che e' stato lui a fare le azioni incriminate..
bye bye
bismark
www.bismark.it

 wrote in message
news:9rf08v$ckq$1...@news.panservice.it...


 Auguri a chi di dovere.
Al personale dei CIM?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ponte 2 volte lo stesso IP?
saro' tardo ma non vedo il reato...
PS: cosa intendi x "studiare il sito"?
PPS: non penso che "trasferire pagine web" sia reato!
--
Ciao by Allanon

 wrote in message
news:9rf2hk$t5b8u$1...@ID-50303.news.dfncis.de...


 
<megacut>
1) imparate a quotare
2) continua a non essere un reato
cya..
-- 
-= Nick1 =-
Key fingerprint = 4F 9D 08 91 F9 D1 D6 EA  8B FE 4A 0F 58 2B 89 86

 Cosě ti č piů chiaro?
no, saro' rincoglionito io.
scrivi: "Questo ha eseguito un upload di alcune pagine asp"...
volevi scrivere download dal tuo sito al suo pc, giusto?
spero di si.
con che strumento ha fatto questo download?
insomma: cosa e come ha scaricato le tue pagine?
cmq da quello che si capisce (poco) secondo me e' negligenza vostra.
se uno si scarica un asp (non vedo la cosa illegale) e scarica poi un file
"non scaricabile"
(dove stava scritto poi che non era scaricabile?)
non vedo dolo da parte del tipo e vedo, come detto, negligenza vostra.
sorry, cmq e' solo la mia opinione, di diritto informatico non ne so molto.
PS: in un altro post dici di sapere numero di telefono ecc.... sara' ma io
non ci vedo chiaro!
--
Ciao by Allanon

 wrote in message
news:9rf6ah$sm8mn$1...@ID-50303.news.dfncis.de...


quando uno non sa cosa dire dice:
- imparare a quotare
- 1° cosa che gli passa per la mente...
Grazie per i consigli

 legale?
ovvio che no, cmq penso che abbiate dei colabrodo al posto dei vari
firewall/server & company!!
al posto tuo prima di denunciare chichessia mi guarderei la legge sul "buon
padre di famiglia" (il num non lo ricordo) di un sistema informatico!!!
l'hai mai letta? cavolo ti hanno bucato come un panetto di burro! :-(
--
Ciao by Allanon

 normale navigazione.
Per eseguire l'upload ha forzato qualche password?
Oppure ha usato front page come avrebbe potuto fare chiunque?
Come ho gia' scritto, se non era protetto il tuo server, denunciare non
serve a nulla.
E' compito degli amministratori proteggere i server, se hai dimenticato
di impedire l'upload tramite FP non puoi denunciare.


 
a essere sincero la prima cosa che mi era passata per la testa era un'altra 
ma pensavo che questa fosse piu' gentile


> un'altro sistema.
Rocco, stai dando i numeri: prelevare pagine web non e' un reato: si
pressuppone che se qualcuno mette online un sito web e' per permettere a
qualcuno di poterle visionare ed anche prelevare se lo gradisce.
Discorso diverso e' se ha uploadato qualcosa senza essere autorizzato a
farlo. Sii chiaro se vuoi che ti si dia una mano.


 >> Si è collegato nel primo pomeriggio con un determinato IP, per studiare


 Ma l'hosting e' Aruba?
Povero lui, in quel caso.


esatto!
Ci ha prelevato il codice asp di un nostro programma.
Il web server è nostro e lo gestisco personalmente.
Purtroppo ho commesso un errore nell'assegnare delle permission ad una
directory, ma rimane sempre il fatto che se uno lascia la porta di casa
aperta, non significa che gli estranei sono autorizzati ad entrare.
Il pollo che ha fatto la cosa, come ho già detto ha lasciato troppe tracce,
tra cui un ip statico.
"Fasullo" <non...@NOSPAMhotmail.com> wrote in message
news:22QC7.18739$Qj6.1...@news.infostrada.it...


 non significa che gli estranei sono autorizzati ad entrare.
Come ti ho gia' scritto, la responsabilita' e' tua, se avevi lasciato
aperto in scrittura, nessuno gli ha vietato di scrivere.
La tua e' incuria, e mi sa che denunciando non risolvi nulla.
Inutile continuare il discorso, impara ad amministrare meglio i tuoi
sistemi o rivolgiti a dei professionisti per evitare che capiti
nuovamente.


 aperta, non significa che gli estranei sono autorizzati ad entrare.
biiiiip... errore!
"casa tua" e' per default aperta a chiunque, e possono prendere qualunque
cosa tu conceda loro
(senza usare cracking). tu hai concesso permission errate, e il tipo ha
detto: "toh, qui ci posso entrare"!
che ne sapeva lui? c'era scritto "anche se puoi entrare non devi prendere
nulla"? non credo.
ribadisco (e concludo): errore tuo
--
Ciao by Allanon

 2) continua a non essere un reato
Non sono d'accordo.
Ha detto che ha prima uploadato alcuni asp per poter accedere alla parte
protetta del sito.
In questo caso, l'intrusione e' lampante.
E' altrettanto lampante che il sysadmin, o il server, non sono all'altezza
di proteggere un sito di e-commerce, ma questo e' un dettaglio.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

La tua e' incuria, e mi sa che denunciando non risolvi nulla.
Qui sono d'accordo. ;-)
-- 
Lapalissiano
Icq 57269703

 cosa dovrei fare?
1° verificare che il fatto costituisca reato;
2° conservare e stampare quanto atto a comprovare la validità della
denuncia\querela;
3° presentare una denuncia\querela dettagliata ed indicare solo particolare
comprovabili;
4° se si intende denunciare una personba precisa assiucurarsi di avere
ottime prove, in caso contrario presentarla contro ignoti;
5° se si tratta di una querela chiedere la notifica in caso di istanza di
archiviazione e riservarsi la costituzione di parte civile;
6° non presentare denuncia contro 127.0.0.1, ha già parecchi guai, poverino!
Se ti serve una mano fammi sapere.
--
Parsifal
www.geocities.com/florindi1975
www.telediritto.it


Ma secondo voi un hacker (o presunto tale) usa un ip fisso?
Si scarica le pagine...
e allora?
Mi sa che stiamo sclerando tutti.
Su una dir con permessi di questo tipo è un reato denunciare una persona 
che è entrata e ha fatto cio che TU gli hai permesso.
E' come denunciare uno perchè entra in un bar...
Rilassati e non sprecare tempo.
Saluti,
 Al     
--                     
LinuxUser:#238790
WinUser:#Boh!
mailto:
algr...@alground.com
--

 wrote in message
news:9rgv2m$trf4i$1...@ID-81972.news.dfncis.de...


 tracce, tra cui un ip statico.
Perchè devi fare il figo e continui a chiamarlo pollo? Intanto il pollo
ha i tuoi sorgenti, in secondo luogo sei tu quello che ha cannato i
permessi. Intendiamoci, non c'è nulla di male a sbagliare, tutti
sbagliano e continueranno a sbagliare, tu stesso hai ammesso un tuo
errore, però chi è senza peccato scagli la prima pietra, evita di
prendere per il culo uno che ti ha fatto fesso.

avere il Vostro numero di telefono per una consulenza
E cosa ti fa pensare che ti offrirei una consulenza?
ROTFL :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 Parsifal
e tu ringrazi solo chi e' "dalla tua parte"? bah. ho sprecato tempo....
mi sembri uno di quelli che viene qui sui NG e vuole solo sentirsi dire "hai
ragioooooone!"
e appena c'e' un' *opinione* diversa si inca**a... no comment
PS:
1-non ho la coscienza sporca, non mi sento infallibile, non navigo in un
mare di scienza,non faccio a gara, non ti do il mio numero di telefono xche'
non ti servirebbe a nulla.
conclusione: ti potevi risparmiare questo post.
cia'

 nuovamente.
Anzi, rischia addirittura una denuncia per negligenza se il sito ospita
dati personali e/o sensibili...
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

 IP address (una connessione adsl di un operatore conosciuto).
La mia risposta fa riferimento anche ad altre sparse per tutto il thread:
posto a questo livello per semplicità.
Solo qualche considerazione:
1) se il server non era adeguatamente protetto il fatto non sussiste: sentenza
Tribunale di Roma 21-04-2000 (il caso "McCrack" contro RAI-GR1 , per chi si
ricorda); la giurisprudenza si è arricchita di alrte sentenze, a volte anche
in contrtasto, ma questa è esemplare;
2) se mancavao le misure minime di sicurezza previste dalla Legge 675 e
regolamenti relativi e sul server erano presenti dati personali la polizia che
voi stessi avete chiamato potrebbe agire di ufficio contro di voi (... come
tirarsi la zappa sui piedi:));
3) un acher poco più intelligente di un pollo non usa un'indirizzo fisso per
compiere nefandezze dal suo PC di casa/ufficio: in questi casi bisogna sempre
prendere in considerazione che il proprietario dell'ip di provenienza del
traffico sospetto o ostile potrebbe essere inconsapevole e a sua volta vittima
dell'acher (che chiamerei cracker visto il ng su cui scriviamo); questo non
vuol dire che l'indagine non possa proseguire da quel punto alla ricerca di
altre tracce ma semplicemente di non dare per scontato che l'assegnatario
dell'ip sia anche il mariuolo;
4) le azioni giudiziarie hanno un costo: in termini di tempo, immagine e,
quando alla fine non si ha ragione o la si ha solo parzialmente, anche di
denaro; è seccante vedere qualcuno che entra sul proprio server ma a volte può
essere più conveniente fare buon viso a cattivo gioco e imparare dagli errori
commessi;
5) il proprio server non è paragonabile ad una abitazione dal punto di vista
legale e quindi fare paralleli potrebbe essere fuorviante;
6) è una cosa su cui non ho mai acuto una risposta definitiva ma i propri log
non sono proprio una prova schiacciante, se non sono stati registrati sotto la
supervisione degli organi competenti nell'ambito delle indagini.
Se vuoi comunque sporegere denuncia un possibile riferimento è la polizia
postale di cui forse ti hanno già dato l'indirizzo.
Se vuoi avere qualche anche altri pareri puoi provare a postare su
it.diritto.internet.
Fabio

 Chi lavora avvelena anche te, digli di smettere - DElyMyth@work
Completamente d'accordo.
b.

 tra cui un ip statico.
Ma sei sicuro che poi volesse davvero commettere un reato? esistono un
sacco di server con pagine accessibili "solo" tramite registrazione, e
poi tali pagine sono segnalate dai motori di ricerca...
Ho tanta paura che se sporgete denuncia fate una gran figura da
chiodi...


avere il Vostro numero di telefono per una consulenza
<cut>
Ci mancherebbe. saresti sicuramente stato segnalato.
Quello che ti è stato detto è: "a nostro parere non ne vale la pena,
ma comunque non siamo noi quelli che devi convincere"
Chiaro?
--
Ciao!
Davide

 Uffa, non si capisce una mazza, cerca di essere chiaro! :)
Il mio trollometro inizia ad agitarsi.. che sia un indizio da prendere
in considerazione per rimuovere un thread oramai inutile?


in considerazione per rimuovere un thread oramai inutile?
Di sicuro c'e' che chi ha iniziato il thread non si e' spiegato come
dovrebbe.
E' anche sicuro che il server "bucato" non era protetto a dovere
(nemmeno i minimi requisiti).
IMHO non sussiste nemmeno reato, o almeno non cosi' grave come si vuol
fare credere...
Poi e' chiaro, se non ci si spiega, io la sfera di cristallo non me la
porto in ufficio e anche a casa ne faccio un uso molto parsimonioso :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


dati personali e/o sensibili...
Infatti, da quello che so io e' il sysadm che e' responsabile della
sicurezza.
Il reato di cui si parla che IO sappia (sottolineo io, potrei anche
sbagliare o avere testi di riferimento arretrati) sussisterebbe solo
in caso di sniffing e hacking vero e proprio, oppure si fosse
sfruttato un exploit non noto.
Qui, trattandosi di "directory aperte in scrittura al mondo", la colpa
e' solo dell'amministratore della macchina, e' chiaro che la gente ci
prova (la natura umana e' complessa, e nessuno si fa mai i fattacci
propri), e se ci riesce e' per colpa di chi ha lasciato la
possibilita' di effettuare determinate "mosse".
Si potrebbe dire che il "furto" avvenuto tramite le asp pubblicate sul
sito dall'"hacker" sia reato, ma non sarebbe successo se l'admin
avesse fatto il suo dovere (cosa semplicissima, bastava non dare
permessi a chicchessia in scrittura).
A questo punto sarebbe da passare la palla ad un avvocato, dato che la
"colpa" e' di entrambe le parti, benche' sia senza dubbio maggiore la
colpa di chi non ha fatto il suo lavoro.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


solo un'opinione.
Il primo upload non e' reato, era possibile per configurazione del
server.
Poi le pagine erano li', quindi sono state usate.
Insisto sul "parere dell'avvocato", se passa da ste parti.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


utente specifico farei giustizia da me!! :-)
Ottenendo: reclusione fino a tre anni e multa fino a venti milioni. Credo
che non ne valga la pena.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

navigazione.
Ahhhh. Be', questo cambia TUTTO. Adesso e' LUI che rischia multa e galera.
BTW, il fatto che ti chieda la password NON significa che quella dir esista
(o che sia mai esistita).


2) continua a non essere un reato
Nein. Al massimo, c'e' l'attenuante che FrontPage aveva una password
banale. Ma rimane reato eccome.


 di proteggere un sito di e-commerce, ma questo e' un dettaglio.
Su questo sono d'accordo anche io
dov'e' che si parla di e-commerce? (non ho visto ma almeno posso segnarmi 
un server da mettere nella shit list)
-- 
-= Nick1 =-
Key fingerprint = 4F 9D 08 91 F9 D1 D6 EA  8B FE 4A 0F 58 2B 89 86

 
Se tu mi lasci il permesso in scrittura non è reato se io scrivo...
casomai inetttituide tua.


 colpa di chi non ha fatto il suo lavoro.
Secondo me non c'e' colpa da parte dell'Hacker, ma solo da parte del
system manager. almeno, da quel che ha scritto Rocco, dato che non e'
stato troppo chiaro nella dinamica del fatto...
Ciao


 porto in ufficio e anche a casa ne faccio un uso molto parsimonioso :)
Con tutti i punti MANA che costa, oltrettutto... :)


 utente specifico farei giustizia da me!! :-)
Bravo, proprio una bella idea! Complimenti.


 Insisto sul "parere dell'avvocato", se passa da ste parti.
A me e' capitato, veramente per caso, di diventare root su una macchina
non mia e sulla quale non avevo neanche accesso come utente (stavo
smacchinando come un pazzo con ssh e port forwarding sbagliando un ip).
Ovviamente telefonai subito all'amministratore (che tra l'altro non
trovai) e poi gli lasciai un messaggio.
Ora certamente tale macchina sara' stata poco protetta, non so dirti (lo
saprei se avessi capito che baco ho sfruttato :-)), ma mi stupirei molto
del fatto che se mi fossi messo a seminare script suid e backdoors varie
di qua e di la', non sarei stato perseguibile penalmente. Magari non ho
capito molto bene, ma mi pare il succo della questione, anche se la cosa
e' stata certamente piu' blanda, fosse questo.
Stammi bene,
b.

 casomai inetttituide tua.
Oddio, se scrivi al fine di exploitare, allora si *dovrebbe* essere
reato. pero' il fatto che sia al fine di provocare danno o illecito deve
essere incontrovertibile.


 porto in ufficio e anche a casa ne faccio un uso molto parsimonioso :)
Poco ma sicuro.. :-)


 di qua e di la', non sarei stato perseguibile penalmente. Magari non ho
Tu no ma per il discorso gia' fatto probabilmente l'amministratore di
quella macchina si perche' e' per sua incuria che la macchina era
vulnerabile. Ora, non so a cosa servisse quella macchina ma di certo
posso dirti che quella persona era perseguibile per la sua incuria.
Rovesciando il tuo discorso sarebbe troppo comodo per un amministratore
incapace riversare le colpe sull'hacker perche' lui non ha svolto come
avrebbe dovuto i compiti a cui era tenuto e che e' pagato (ribadisco)
per eseguire.


 Insisto sul "parere dell'avvocato", se passa da ste parti.
Ok se ti accontenti di un quasi (esame a dicembre) intervengo io.
La questione non è semplice ed è evidente che ci si trova in presenza di un
chiaro concorso di colpa da parte dell'Admin, che nel caso di dati sensibili
potrebbe aprire le porte ad un processo civile e penale ai sensi della legge
675\96.
Detto questo, assunte le vesti del legale di Rocco in un'eventuale querela
possiamo sostenere che:
Il primo accesso non configura reato, anche se potrebbe essere identificato
come atto preparatorio questo non è punibile dalla legge.
A stretto giro di codice non rappresenta reato neppure l'upload di pagine
asp, purchè non contenenti codice malizioso.
Mi spiego: se queste pagine avevano come scopo principale quello dibypassare
le difese del sito ci troviamo di fronte al reato p.e p. dall'articolo
615-ter e 615-quater. A nulla varrebbe obiettare che i permessi di scrittura
erano abilitati (può valere come concorso di colpa, ma personalmente
punterei anche sull'aggravante di aver approfittato di circostanze di tempo,
di luogo o di persona idonee a favorire il reato). Si segnala come la
giuruisprudenza non dia una grande importanza alla robostuzza delle difese
del sistema informatico, privilegiando lo ius excludendi alios tipico del
proprietario.
Se in fase di download le pagine sono state alterate o rimosse, con
conseguente perdita dei dati potremmo ravvisare un danneggiamento
informatico ex 635-bis.
Se le pagine non erano liberamente accessibili potremmo ravvisare l'ipotesi
di furto, con l'aggravante dello scasso e delle cose affidate alla pubblica
fede.
Se si trattava di dati ottenibili a pagamento potremmo aggiungere la truffa,
insomma come avvocato di parte, ma più ancora come PM (OT/ FATE USCIRE IL
CONCORSO!!!!!!! OT\) ci sarebbe da divertirsi.
Pensiamo alla difesa di Rocco.
La 675 non lascia scampo, se si trattava di dati personali sensibile è nel
guano e dovrà essere chiamato a risarcire tutti i danni cagionati
dall'incura con cui ha gestito il server. Una linea di difesa potrebbe
essere abbozzato conoscendo meglio i fatti, ma allo stato degli atti IMHO le
premesse non sono buone.
Ciao.
--
Parsifal

 supervisione degli organi competenti nell'ambito delle indagini.
Questa è una bella questione.
IMHO i log possono costituire prova e non semplice indizio quando siano
forniti da un terzo privo di qualsivoglia interesse nella controversia I.e.
provider.
Negli altri casi devono essere valutati prudentemente dal giudice in quanto
facilmente manipolabili.
Inconfutabile è invece il valore accusario dei log provenienti dal computer
dell'indagato se a questi sfavorevoli.
Ciao
--
Parsifal

 
Ma io non riverso affatto sull'hacker. Io riverso sul datore di lavoro.
Per quanto ne so io l'hacker puo' essere un security expert pagato dalla
concorrenza che non fa altro nella vita. Sei il direttore di una ditta
che fa e-commerce? Le tue macchine contengono dati sensibili? Paghi una
persona, o una ditta esterna, per occuparsi di sicurezza e solo di
quella. Un firewall umano insomma. 
Stammi bene,
b.

Con tutti i punti MANA che costa, oltrettutto... :)
Mana ne ho e anche abbastanza da usare la sfera di cristallo due o
anche tre volte al giorno :)
Solo che i suddetti punti mana mi servono per "preveggenza",
"multitasking" eccetera, che "costano" decisamente dippiu'... :|


Se ti interessa posso ritrovare gli estremi.
Manda (possibilmente link) che mi servira' :)
E grazie :)
Per il resto, d'accordo con te :)
PS:
Perche' mollasti la ML? :(


 quella. Un firewall umano insomma. 
Mi pare tu stia viaggiando un po' troppo di fantasia: ripeto, fra i
compiti del sysadm rientra anche la sicurezza quindi se io datore di
lavoro assumo una persona per questo compito (il sysadm) non dovrei aver
bisogno di assumerne un'altra che debba occuparsi solo della sicurezza.
E' come dire che per le pulizie assumo uno staff che pulisce i water, un
altro che svuota i cestini, un altro che lava per terra.. ma scherziamo?


 altro che svuota i cestini, un altro che lava per terra.. ma scherziamo?
E' come dire che se ho una ricchezza da proteggere pago una o piu'
persone per non fare una mazza se non star li' a proteggere quella
ricchezza. Cosa comunissima nell'ambito della sicurezza non informatica
mi pare.
Stammi bene,
b.

 per farlo e' tenuto a farlo bene.
E vabbe'...ma se ti bucano con un exploit fresco di giornata?
-- 

Inviato il lun 29 ott 2001 16:42:35 CET da 212.177.57.193
[212.177.57.193]

http://www.neuromante.net/

 mi pare.
Non mi pare stia molto in piedi per il motivo che ti ho elencato sopra:
avere personale in piu' dedicato solo alla sicurezza e' un lusso che
pochi possono permettersi.


E vabbe'...ma se ti bucano con un exploit fresco di giornata?
Lasciare una dir. aperta in scrittura al mondo non mi pare rientri
nella categoria pero' :)


 Perche' mollasti la ML? :(
Troppo traffico. Mi e' dispiaciuto molto, mi pareva di essere in un
salottino riservato in cui la gente conversa amabilmente... pero' la mia
mailbox si stava saturando in maniera paurosa! 250 messaggi in due
giorni... :(
Mai pensato di mettere un news server? :)
(ma se organizzate la prossima pizzata, ditemelo!!!)
Bye


 E vabbe'...ma se ti bucano con un exploit fresco di giornata?
Ovvio che in quel caso non puoi farci niente ma come punto di partenza
la macchina *deve* essere ben protetta.


 prossima pizzata, ditemelo!!!)
Server news insieme al nuovo server per la ML :)
Finanze permettendo un mesetto :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.7 - WMaker 0.70.0

 pochi possono permettersi.
Mi pare che si voglia invece la moglie ubriaca e la botte piena: si pretende
una sicurezza di alto livello (quanto alto poi? Mica e' chiaro come definirlo.
Se vengo hackerato con un exploit scoperto da una settimana sono negligente o
no? E se e' di due settimane, o due giorni?) ma senza pagarne il prezzo.
Secondo me, la responsabilita' del sysadm va valutata caso per caso ed
ovvimente da una persona competente che valuti la situazione non in base a
regole astratte. E' innegabile che di "default" la responsabilita' della
sicurezza e' sua, ma da qui a dargli del coglione o mandarlo addirittura in
galera, perche'  "era pagato" ce ne corre.
Ovviamente la mia e' solo un'opinione,
stammi bene,
b.

 Palese...vedi risposta a Dely...;)
E comunque come diceva lei, lasciare una dir aperta a tutti in scrittura
non ricade certo in questa categoria, questa e' pura negligenza ;-)


 regole astratte. E' innegabile che di "default" la responsabilita' della
Cio' non toglie che ha delle responsabilita' e che e' tenuto a svolgere
il proprio compito e giustificazioni come quella addotta da te "non ho
il tempo per studiare" sono ridicole.


 INN? ;)
Io !
# for i in inn.conf newsfeeds; do man $i; done
comincia da qui che gia' cosi' ne hai per parecchio ;-)


 E' come denunciare uno perchè entra in un bar...
Esatto, prova ad entrare dalla porta sul retro, dopo aver aperto la porta 
infilando una mano in una finestrella di fianco alla porta stessa.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 Cosě ti č piů chiaro?
Un upload ?
Intendi dire che e' riuscito a copiarti delle pagine asp sul TUO sito ?
Danny

 
Ragazzo mio (so che fa girar le balle ma ci sta), si vede che ci hai il
posto fisso e ne sono contento per te. Ma non tutti hanno questa
fortuna. Se hai un contratto di collaborazione continuativa di tre o sei
mesi rinnovabile forse che si' forse che no, non puoi dire al tuo boss
"questo non si puo' fare perche' crea un buco nella sicurezza", non puoi
dirgli "non ho tempo per programmare in Visual Basic perche' devo
trovare la patch al sendmail", qualunque cagata ti chieda gli dici di
si' perche' se no tre mesi dopo, se va bene, sei a piedi. E cio' non e'
bello. 
Comunque la cosa e' semplice, se vuoi prendertela col sysadm fai pure,
cio' non cambiera' una mazza, licenziato un capro espiatorio se ne trova
subito un altro. Se te la prendi con chi lo assume e fai cadere su di
lui le reponsabilita' delle vaccate del system, vedrai che le cose
cambiano. 
Stammi bene,
b.

 tribunale.
Il tipo ha gran parte del torto perche' ha lasciato una directory
pubblica con permessi in scrittura. E chi ci perderebbe per primo da una
denuncia e' lui. Da qui a dargli dell'incompetente ce ne corre, errori
banali li fanno anche alpinisti con esperienze decennali che rischiano
la pelle e non il posto. 
Il punto non e' se il buon Rocco ha ragione o torto, ma se il sysadm sia
sempre l'unico responsabile o meno. Mi pare proprio nell'ultimo
"Building Internet Firewalls" sia scritto piu' volte questo concetto:
"Ragazzo mio, puoi configurare firewall come un Dio, ma se dall'interno
non e' condivisa la tua politica di sicurezza da parte degli utenti, ce
l'hai in quel posto".  
Stammi bene,
b.

 si' perche' se no tre mesi dopo, se va bene, sei a piedi. E cio' non e'
Questo succede nel tuo mondo, inizio a rendermi conto..


l'hai in quel posto".  
E quindi il sysadm cosa fa?
Sta zitto e prega che tutto vada bene lo stesso anche se la politica
interna e' password nulle???
Tanto per citare libri, che ti piace tanto, leggi "Linux System
Administration" della New Riders, dove tra le PRIME cose che un admin
deve fare c'e' scritto di fare in modo che venga attuata una sana
politica *ANCHE* per la sicurezza.
Invece da "Hackers" (apogeo, "Hacking Exposed"): il sysadm deve
DIMOSTRARE che una politica del genere e' a perdere, facendo LUI
STESSO quello che un "hacker" farebbe.
Ovvero, la politica aziendale fa schifo? L'admin DEVE cercare di
cambiarla, senno' non PUO' fare il proprio lavoro.
L'azienda non vuole cambiare politica? Cerchi un altro posto o cambi
lavoro del tutto.
Se non sei in grado (per un qualunque motivo anche non di tua
responsabilita') di fare un lavoro, non lo fai punto e basta, oppure
cerchi di essere messo in grado di farlo.
E poi ci si lamenta se Fineco ha le pagine di login a sito SSL NON in
SSL e quindi login e pass viaggiano in chiaro.
E' decisamente troppo facile dire "il mio capo vuole le password in
chiaro, quindi me ne fotto."
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


zio, vero, per dire di queste cazzate, o no?
Ehm...
Spezzo l'andazzo del thread :)
Ma tanto per dimostrare anche a Birraio (che potrebbe bere meno birra)
che molto spesso le cose non si fanno per pigrizia.
Io di giorno programmo in VB e la sera (dato che sto per cambiare
lavoro) mi passo il tempo leggendo advisory, studiando manuali di
amministrazione eccetera.
Ho gia' detto al nuovo capo che le questioni di sicurezza dei server
devono essere azzacci miei e vanno implementate come dico io (senno'
non gli firmavo il contratto), la cosa e' stata accettata.
Ho dei BEI filtri prima che gli utenti (clienti) arrivino a dover
interagire con la sottoscritta e la configurazione del firewall la
detto IO.
Piu' che mero tempo si chiama VOGLIA.
certo, se fai il sysadm come gente che conosco perche' fa figo forzare
lo shutdown dei client della gente, allora puoi comprarti un altro pc
e invitare gli amici a casa e far loro vedere la potenza di un cacchio
di programmino microbico del NTRK, ma certo non dovresti essere ad
amministrare una rete o dei server.
L'azienda non ti lascia fare il tuo lavoro?
Metti in chiaro le cose e ci riprovi ad oltranza e proprio male che
vada se trovi un altro posto te ne vai.
PS:
Che io sappia al sysadm dovrebbe anche piacere il proprio lavoro, il
che esclude che il sysadm in questione possa tralasciare banalita' del
calibro di una directory pubblica aperta in scrittura, sono cose che
in fondo ormai insegnano alle elementari.


 Questo succede nel tuo mondo, inizio a rendermi conto..
Si chiama Nord-Est, e la piccola dittarella e' qui estremamente diffusa. 
Non so cosa ti faccia incazzare tanto ma tant'e' sono tranquillissimo e
sono disposto ad interrompere il thread quando ti pare lasciandoti
l'ultima la penultima e la terz'ultima parola,
stammi bene,
b.

l'ultima la penultima e la terz'ultima parola,
Peccato non avere il figlet...
ROTFL :)


 
Ci sono campioni del mondo di scacchi che hanno fatto vaccate grandi
come case, non significa che non fossero preparati. Anzi piu' grosso e'
l'errore e piu', secondo me, si configura come "svista" e non come
errore di concetto. Ben diverso sarebbe, per esempio, far girare un
server come root quando non e' necessario. Questa e' ovviamente solo una
mia interpretazione.
Stammi bene,
b.

 l'ultima la penultima e la terz'ultima parola,
Non ci tengo minimamente, tanto sono abituato a chi mi risponde pure
dopo esser stato killato, la figura del sysadmin delle patatine la stai
facendo tu.. e con questo buon viaggio, f/u follows..


 No, abbassati i calzoni perche' stai per fare un viaggio..
E da quando in qua avverti? ;)
--
Parsifal

I fighetti coglioni ci sono ovunque, in ogni campo.
Pensa a me che sta scena l'ho vista dal vivo (lo shutdown remoto con
"eh, io sono sistemista, e so fare queste cose" detto da strafigo) due
mesi fa :(


 E da quando in qua avverti? ;)
Oggi mi sento buono, una volta tanto, sai.. ;-)


 mesi fa :(
Dalle mie parti si dice: "Metti na' merda in scagno e o a fa' spussa o a
fa danno"
Stammi bene,
b.

 Oggi mi sento buono, una volta tanto, sai.. ;-)
Ah ecco, iniziavo a preroccuparmi, temevo che il buonismo ti avesse
contagiato.
OT/ anzi manco tanto!!!
che ne pensi della RH 7,2. Vale la pena o è bucata come la 7?
Al momento ho piallato l'hard disk dopo un'esperienza deludente con MK8 e
8.1, molto belline e facili da gestire, ma la loro facilità mi metteva in
crisi :(
Preferisco tornare a bestemmiare con la RH 6,2 che almeno (ogni tanto e per
sbaglio!!!) riesco a controllare.
\OT
--
Parsifal

\OT
Fermi tutti!!! La voglio io una release di linux facile...
:-)))
Io *non* preferisco bestemmiare con la RH6.2 (che ho e che mi sta
facendo veramente cristare), quindi mi consigliate la Mandrake 8? 
Compatibilità? Se sulla mia macchina ci facevo girare la RH ci gira
per forza anche la MK, no? (ma che ragionamenti sto facendo?)
--
Ciao!
Davide

 Al momento ho piallato l'hard disk dopo un'esperienza deludente con MK8 e
Mah che dirti, io non mi ci metterei con la RH perche' oramai hanno
intrapreso una strada in discesa sempre piu' ripida verso il peggio. Se
proprio sei intenzionato a smanettare mettici una bella Debian e non
pensarci piu' !!!


 STESSO quello che un "hacker" farebbe.
Tu pensa che io al mio sysadmin gli sto un po' sul ca@@o, anche
se non osa dirmelo, perche' certe cose gliele segnalavo e lo pressavo
affinche' rimediasse.
Infatti, ora come ora, visto che non lo incrocio mai lavorando da ormai
innumerevoli mesi molto lontano dalla mia sede, mi limito a mandargli, per
mero senso del dovere, gli advisories.
Aspettando il giorno in cui qualcuno utilizzera' sul *serio* il server
IIS *ancora* buggato che lui *ritiene* di aver patchato.
(eh, crede di essere un genio, lui: ha inibito l'utilizzo del client
tftp, lui)
(peccato che gli sia sfuggito, come io ho invece potuto constatare, che
in giro per il filesystem ci sono varie copie di loschi eseguibili, tra i 
quali spicca un certo "netcat")
-- 

Inviato il mar 30 ott 2001 17:08:51 CET da 212.177.57.193
[212.177.57.193]

http://www.neuromante.net/

 chiaro concorso di colpa da parte dell'Admin, che nel caso di dati sensibili
Ciao Parsifal, potresti  spiegare cosa intendi per  concorso di colpa?
Io vedo solo due ipotesi:
A) Tizio ha usato il server  di Caio mediante normali servizi aperti a
tutti (http e  ftp) ed ha compiuto  operazioni perfettamente legittime
(servizi non protetti da restrizione di accesso). Non esiste reato.
B) Tizio  ha violato o  aggirato i  sistemi di protezione  (espressi o
taciti) del sistema  di Caio. Tizio risponde dei  reati commessi. Caio
non ha nessun nesso di causalita' con  i reati commessi da Tizio e non
risponde a titolo di concorso per quei reati.
Qualora la  condotta di Caio nella  tutela del sistema e  dei dati sia
penalmente  sanzionabile,  Caio  rispondera'  solo  di  queste  ultime
violazioni.
Ciao Francesco.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

casomai inetttituide tua.
La legge prevede quattro casi:
a) Volonta' esplicita di negare: non puoi entrare, e farlo e' reato.
b) Volonta' esplicita di consentire: puoi entrare.
c) Volonta' tacita di consentire: puoi entrare.
   Questo caso per esempio e' quello di un server HTTP sulla porta 80,
   SE NON RIENTRA NEL CASO (d) - poiche' e' "comune conoscenza" che la
   porta 80 e' usata per servire pagine web.
d) Volonta' tacita di negare: non puoi entrare, e farlo e' reato - non
   appena ti accorgi che sei nel caso (d), devi uscire per la via piu'
   breve.
   Questo caso e' per es. quello di un tizio che abbia la share aperta
   sulla 139 - benche' sia POSSIBILE che voglia divulgare tutti i suoi
   piu' sordidi segreti al mondo intero, una NORMALE DILIGENZA ti deve
   far pensare che non sia cosi'.
 
   Lo stesso discorso si applica a:
	- directory prive di indice e con DirectoryListing
	- funzioni NON NORMALMENTE CONSENTITE, come amministrazione di
          un sito da pannello di controllo, upload di ASP, eccetera.
	- pagine con password individuabile dallo script HTML.
Per quanto sopra, tu e io abbiamo le nostre opinioni, ma cosi' pure le
ha la Corte di Cassazione.
Ora, dissentire da me e' permesso, legittimo e innocuo. Io infatti non
presiedo tribunali. Dico solo che dissentire dalla Cassazione ti porta
sfiga.
Leonardo superstizioso
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

mestiere"? 
Presenta una relazione dove dice:
   - il server richiede una manutenzione giornaliera di un'ora.
     (NON "mediamente un'ora", altrimenti diranno "OGGI passa e
      tanto DOMANI fai due ore"... e lo diranno OGNI GIORNO).
   - di conseguenza, voglio sapere se questa ora giornaliera e'
     PIU' IMPORTANTE, o MENO IMPORTANTE dei miei altri compiti,
     e lo voglio sapere per iscritto, talche':
	- se qualcheduno si prende la responsabilita', civile e
	  penale, di dirmi "NON FARCI MANUTENZIONE", allora non
	  faro' manutenzione, e quando verranno gli inquirenti,
	  mostrero' loro il foglio firmato.
	- se mi dite "fai manutenzione", benissimo.
	- in tutti gli altri casi, io *NON POSSO GARANTIRE* una
	  funzionalita' qualsivoglia del server.
Nel caso tre, ovviamente,
	*/2 * * * *    root  /sbin/halt
Leonardo


liberatoria te la firma, e pochi mesi dopo sei a piedi.
"Vede, signore, il mio dovere morale e' fare tutto il possibile perche'
le vostre macchine siano sicure. Io non sono ancora di la' dalla porta,
e quindi il mio dovere rimane questo. Lei mi ha licenziato e dunque ora
il mio dovere e' convincerla ad assumere un altro che possa svolgere la
medesima funzione, poiche' io non posso piu' svolgerla.
Mi dia retta. Assuma un sysadmin esperto.
Le vorrei fare presente che quando io saro' uscito da quella porta, lei
si ritrovera' con una macchina INSICURA, della quale almeno una persona
AL DI FUORI DELLA SUA DITTA conosce _TUTTO_: passwords, falle, patches,
faccia lei. E inoltre, valuti se questa persona abbia motivi di nutrire
risentimento nei confronti Suoi o della Sua azienda.
Infine, non confonda la competenza per cosi' dire di relazioni umane di
questa persona, sicuramente scarsa (e' per questo che l'ha licenziata),
con la competenza informatica necessaria al fare danni in modo talmente
sottile da rendere assolutamente ridicola la sola idea di una denuncia.
Mi dia retta. Assuma un sysadmin esperto."


risponde a titolo di concorso per quei reati.
Come no. Se per esempio ho una pistola "insufficientemente custodita" e
un bimbetto ci gioca e si spara, io mi becco un omicidio colposo sicuro
come vederlo.


 per forza anche la MK, no? (ma che ragionamenti sto facendo?)
Guarda se la MK l'ho installata io senza penare e l'ho anche usata senza
problemi è a prova di niubbo. ;)
La cosa che non mi piace è che con RH sai che puoi fare tutto, non sai come
ma  hai la sensazione di poterlo scoprire, con MK non hai questa sensazione
ti senti più utente windows che utente linux, anzi mi sentivo ancora
piùlimitato che con windows (che almo so dove andare a smanettare ;)).
Soprattutto per quanto riguarda la sicurezza, troppi automatismi non
configurabili, troppe caselle si\no senza vie di mezzo. Oh prima che mi si
salti alla gola IMHO da niubbino implume.
Non lo so mi sentivo a disagio, molto più che con RH.
La debian non so, mi fa un pò paura. Non credo di avere le basi per gestirla
in maniera seria. Insomma linux mi dovrebbe servire per i "lavori sporchi"
per quelli dove occorre una maggiore sicurezza. Non mi va di usare linux
xchè fa fico. Non so se mi spiego ;)
Insomma ho bisogno di un sistema con cui studiare la sicurezza e non con cui
fare da cavia per facili espireminte altrui.
--
Parsifal
www.geocities.com/florindi1975
www.telediritto.it

 pensarci piu' !!!
Vabbhè ma mettiti nei panni di un niubbino che vuole farsi le ossa senbza
rompersele o farsi bucare come un puntaspilli.
A me interessa che sia una relase stabile, ben documentata che mi permetta
di studiare linux e di testare la sicurezza della mia macchina (sia sotto
linux che sotto windows).
A ciò aggiungi che mi serve studiare ed approfondire linux per attività che
pur essendo legali non posso riferire qui (credo che tu le possa immaginare
;)).
Che dici? Mi posso accontentare della RH?
--
Parsifal

 xchè fa fico. Non so se mi spiego ;)
Appunto per questo ti conviene Debian, fidati ;-) All'inizio e' un po'
ostica ma poi ti assicuro che non tornerai piu' indietro.


 un server da mettere nella shit list)
Uh, solo tra i miei due neuroni stanchi.
Devo avere mixato insieme due thread, moooooolto pericoloso. Scusa il 
disguido.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 colpa di chi non ha fatto il suo lavoro.
Sono due cose diverse, entrambe perseguibili.
Almeno, il furto di codice e' perseguibile sicuramente, la mancata o scarsa
protezione, solo se ci sono dati sensibili, su quel server.


 siamo.
Sì, ma a quel punto gli sganci 3+ testoni al mese e la musica allora sì
che cambia...
Per il resto del thread sono perfettamente d'accordo con Birraio.
Saluti dalla Maison Ikkoku.

 come vederlo.
Secondo me  l'esempio non  calza per  due motivi:  il primo  di natura
giuridica (ed  e' quello  che mi interessava  approfondire) e'  che il
concorso  di colpa  nei delitti  *colposi* esiste  ed e'  previsto dal
nostro cp (cooperazione nel delitto  colpo e concorso di cause colpose
indipendenti), ma non credo esista  un concorso *colposo* in delittoso
*doloso*.
Nel caso  da te  riportato la  tua condotta ha  causato un  evento non
doloso,  ovvero manca  la volonta'  dell'agente di  compiere il  fatto
reato (la bimba non voleva morire  ne ammazzare lo sfigato che passava
per strada in quel momento [se il fato ci aiuta e' il sysad pds/cdc]).
Ma   se  la   tua  pistola   l'avessi  presa   io  e   avessi  sparato
volontariamente al sysad  che setta a pds/cdc i  servers (qualcuno dei
soliti FBI  applaudira') tu risponderesti  di omessa custodia  di armi
(20-bis L.110/75) non di concorso *colposo* in omicidio *doloso*.
Parimenti, nel caso  di dati sensibili (675/96 e/o  affini) ove esiste
un obbligo giuridico di protezione, risponderai di violazione a quella
norma ma  non di concorso "colposo"  in accesso abusivo ad  un sistema
informatico o telematico.
Il secondo e'  che tu hai l'obbligo giuridico di  custodire le armi ma
non hai nessun  obbligo giuridico di proteggere  un server "generico",
per  la legge  (vds sentenze  citate  da Parsifal)  basta la  volonta'
tacita o espressa di non concedere l'accesso indiscriminatamente.
Quindi, in teoria, e' sufficiente un semplice banner che dica "accesso
riservato alle ornitorinche ignude" e  tu, non essendo un esemplare di
siffatta belta'  e ignudita',  se entri commetti  reato indipendemente
dalle misure adottate da chi amministra quel server.
Per poterlo definire concorso ci devono essere alcuni requisiti quali:
pluralita'  di agenti,  chiaramente  la  realizzazione degli  elementi
oggettivi  del  reato,  il  contributo di  ciascun  concorrente  e  la
consapevolezza di concorrere alla commissione del reato.
In definitiva nei reati dolosi si concorre solo a titolo di dolo e non
per colpa. Questo e' quello che mi interessa chiarire e spero che tu o
Parsifal abbiate qualche info piu' specifica in merito.
Per  assurdo,  supponendo valido  il  concorso  *colposo* nei  delitti
*dolosi* chiunque chiudesse solo  le finestre potrebbe essere chiamato
a  rispondere di  concorso colposo  in  furto con  scasso qualora  gli
svaligiassero la  casa rompendo il  vetro della finestra. E'  un fatto
arcinoto che un vetro non e' sufficiente a proteggere un'abitazione.
Ciao Francesco.
PS.  Il tutto  IMHO e  senza il  conforto dei  sacri testi  che domani
verranno rispolverati e letti.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

 
ok. colpito e affondato.
cya..
-- 
-= Nick1 =-
Key fingerprint = 4F 9D 08 91 F9 D1 D6 EA  8B FE 4A 0F 58 2B 89 86

 
Si ma tu sei fetente pero'
e cmq. se mandi una lettera del genere puo venire presentata come prova
in caso di denuncia....


 Che dici? Mi posso accontentare della RH?
No. Ripensaci.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Finanze permettendo un mesetto :)
goood! :)
Fatemi sapere
:)
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

fare da cavia per facili espireminte altrui.
sottoscrivo in pieno.
--
Ciao!
Davide

 protezione, solo se ci sono dati sensibili, su quel server.
Non facciamo confusione tra dati sensibili e dati personali, sono cose
diversissime.
Cioe' tra i dati sensibili vi sono la religione, l'orientamento sessuale
e lo stato di salute. Tra i dati personali, i numeri di telefono, gli
indirizzi, etc. Se sul server i dati sono "sensibili" la faccenda e'
ancor piu' grave, ma e' sufficiente che vi siano dati personali
affinche' il sysman si trovi nei guai...
Ciao


 Canarie. Mah.
Non credo proprio che sia cosi'.
Se il sysadm ha la qualifica formale di responsabile al trattamento dei
dati personali, allora e' lui che ci va di mezzo (non mi pare che pero'
sia previsto il carcere, neppure l'arresto), ma con un contratto a tempo
DETERMINATO proprio non credo che cio' sia possibile. In ogni caso
esiste anche la responsabilita' del datore di lavoro, per cui il boss ne
paghera' comunque (anche perche' non credo che venga richiesto
direttamente al sysadm di pagare di tasca propria del danno!)


Fatemi sapere
Quando so qualcosa di piu' (ovvero, quando ho adsl e macchina) senza
dubbio :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 messaggi d'errore m'intimorisce ;-)
# tail -f /var/log/messages
o se ti piace il rischio
# cat /var/log/*
e sei accontentato ;-)


 come incompetente) ?
Quando ci sono tribunali il proprietario se la ride comunque gran poco.
Se poi gli porti dei testimoni (e dato che ce l'hai in quel posto senza
via di scampo cerchi ovvimente di fare piu' danno possibile) che lavori
piu' di 42 ore settimanali, cosa normalissima, rischia multe non da
poco, e di chiudere baracca e burattini anche per qualche settimana.
Stiamo sempre parlando della piccola realta' (in espansione, sono sempre
in espansione) ovviamente. Che se tu come syadm fai le tue vaccate, sta'
pur tranquillo che anche lui come datore di lavoro non e' che sia una
mago della correttezza e  della professionalita', gli scheletri
nell'armadio ce li hanno tutti.
Stammi benissimo,
b.


:-))))
e della serie "operazione simpatia", magari con un at piazza pure un
regalino in background al suo successore, il famoso nipote del padrone,
--------
until who | grep login_nipotino_o_anche_root
do sleep 5
done
/sbin/shutdown -r now
--------
Stammi bene,
b.

Dopo aver letto gli attuali 126 messiaggi ho capito che il 50% dice che gli
hacker non esistono ma che esisteste il sysadmin PIRLA.
Buono a sapersi!
Inoltre sembra di capire che il sysadmin e l'esperto della sicurezza siano
la stessa cosa, un pò come dire che il carrozziere ed il meccanico sono la
stessa figura.
E' quindi evidente che chi dice di essere un sysadmin che si occupa di
sicurezza perchè è pagato, non ne altro che uno che fa un pò di tutto.
Ah dimenticavo poi nel tempo libero è anche programmatore.
Chissà come mai le società di consulenza di un certo livello usano delle
tariffe differenti per sistemista e per esperto della sicurezza, etc...
E' anche chiaro che c'è qualcuno tra di voi che ha scritto molti libri sulla
sicurezza, che non gli sfugge l'ultima patch ed è in contatto diretto con
Microsoft e Torvald per avere tutte le news su bachi dei sistemi operativi,
poi non dimentichiamo che ci sono i bachi anche per i firewall stessi, per
gli apparati di rete come router, dispositivi vpn e etc..
Inoltre ci sono anche i bachi applicativi come Resin e Jrun o altri motori
java, php, asp etc..
Una volta mi hanno bucato, da emerito deficiente che sono, sysadmin del
cavolo, sfruttando un baco di Resin, ma voi sicuramente lo sapevate siete
pagati per leggervi milioni di informazioni che viaggiano ogni giorno.
Ovviamente gli ultimi virus Nimda, red code...., non gli avete presi perchè
avete avuto la soffiata dai Cinesi, mentre gli altri milioni di sysadmin
sulla faccia della terra che si sono ritrovati i server caput sono degli
emeriti...!
Mi piacerebbe sapere da tutti quelli che sono sysadmin edicono che si
occupano anche della sicurezza, che cosa gestiscono e quante persone
lavorano nel loro IT, poi ne riparliamo.
Rocco

lavorano nel loro IT, poi ne riparliamo.
Al momento non faccio il sysadmin, quindi passo.


volte anche in contrtasto, ma questa è esemplare;
Mah. Ho letto anche la risposta di Parsifal e mi ha convinto di piu'.
Nel caso McCrack-RAI/GR1, bisognerebbe vedere esattamente COSA e' successo.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

in caso di denuncia....
"Prova"? Prova di cosa? Che avevo il modo, i motivi e l'occasione? Ma
questo e' ovvio. Talmente ovvio che non serve neanche la lettera (che
per altro non e' una lettera, ma verbum volans).
In caso di denuncia io sono l'indiziato numero uno.
Che bello! Perche', SENZA quella lettera, pensi tu che NON lo sarei?
Abbiamo una PMI con le pezze al culo, un amministratore novizio e, in
tutta probabilita', sovra-sovraccarico di lavoro e pagato un niente.
E' un po' troppo comodo dire che "sono stato io". Ci vorrebbero, come
minimo, delle prove.
Mi rendo conto che per il nostro Baldo Imprenditore questo e', forse,
un ragionamento troppo complesso (anzi, e' un ragionamento - e QUINDI
e' troppo complesso).
La legge puo' avere obiezioni se io NON avverto di un pericolo; quale
esempio scelgo per farlo, e quanto ci godo ad avvertire, sono cose di
attinenza esclusivamente personale.


dove tale comportamento è lecito.
Supponiamo, ovviamente, che lo sia [1].
A questo punto, tu lo sai o non lo sai.
Se lo sai, a fortiori ho ragione io :-)
Se non lo sai, il tuo dovere e' di avvertire in primo luogo la tizia, ed in
secondo luogo la polizia. Lo stupro non e' contemplato; ho di nuovo ragione
io :-)
Leonardo
[1] altrimenti potremmo anche supporre di essere, che so - al Polo, ed ecco
    che la nostra ipotetica tizia e' morta da quel di', congelata.


 accusato pure tu, secondo me fai autogol.
Soprattutto ex 675\96 (legge privacy).
Ciao
--
Parsifal

 volte anche in contrtasto, ma questa è esemplare;
Si ne abbiamo parlato con Fabio. Il problema è che la Corte di Cassazione
si è espressa in maniera difforme privilegiando lo ius excludendi piuttosto
che le difese approntate.
Ciao
--
Parsifal

 cartellino in uscita ha tutto il diritto di farsi i cazzi suoi....
Peccato che se bucano il sistema e si scaricano dati sensibili il Garante
della Privacy chiede di calarsi i palantaloni al SA e fa di lui la sua
donna, fregandosene della paga che riceve e delle sue motivazioni personali.
Una volta nei tribunali c'era la scritta "dura lex, sed lex". Bhè spesso è
ancora vero, soprattutto in caso di perdita di dati *MOLTO* sensibili.
Ciao
--
Parsifal

 Si si, immagino <g>
<EG>
--
Parsifal

 ostica ma poi ti assicuro che non tornerai piu' indietro.
Quasi quasi ... ci provo.
Che Dio me la mandi buona ;).
--
Parsifal

 anzi...).
Mi piacerebbe fosse vero.... :(
HappyCactus che sono le 21.26 e sono in ufficio :(


 nell'armadio ce li hanno tutti.
Se ha un commercialista con un  minimo di OO ti ha fatto firmare un bel
contratto CoCoCo (Collaborazione Coordinata e Continuativa)in cui si
sottolinea che non hai vincvoli di orario e che i tuoi compiti sono
*genericamente* "gestione e sicurezza della rete aziendale" e con questo
l'uccello padulo trova finalmente il suo nido (non c'è bisogno che ti dica
quale vero?
Considera ex lex 675\96, articolo 15:
"1.I dati personali oggetto di trattamento devono essere custoditi e
controllati, *anche in relazione alle conoscenze acquisite in base al
progresso tecnico*, alla natura dei dati e alle specifiche caratteristiche
del trattamento, in modo da ridurre al minimo, *mediante l'adozione di
idonee e preventive misure di sicurezza*, i rischi di distruzione o perdita,
anche accidentale, dei dati stessi, *di accesso non autorizzato* o di
trattamento non consentito o non conforme alle finalità della raccolta.
2. Le misure minime di sicurezza da adottare in via preventiva sono
individuate con regolamento emanato con decreto del Presidente della
Repubblica, ai sensi dell'articolo 17, comma 1, lettera a), della legge 23
agosto 1988, n. 400, entro centottanta giorni dalla data di entrata in
vigore della presente legge, su proposta del Ministro di grazia e giustizia,
sentiti l'Autorità per l'informatica nella pubblica amministrazione e il
Garante.
3 Le misure di sicurezza di cui al comma 2 sono adeguate, entro due anni
dalla data di entrata in vigore della presente legge e successivamente con
cadenza almeno biennale, con successivi regolamenti emanati con le modalità
di cui al medesimo comma 2, in relazione all'evoluzione tecnica del settore
e all'esperienza maturata.
4. Le misure di sicurezza relative ai dati trattati dagli organismi di cui
all'articolo 4, comma 1, lettera b), sono stabilite con decreto del
Presidente del Consiglio dei ministri con l'osservanza delle norme che
regolano la materia."
Il regolamento di cui al II comma (DECRETO DEL PRESIDENTE DELLA REPUBBLICA
28 luglio 1999, n.318) prevede poi una serie di misure minime per l'accesso
alle informazioni.
Ciao
--
Parsifal

risponde a titolo di concorso per quei reati.
Attenzione qui stai confondendo concorso materiale o morale (artt.110 ss.)
con il cdconcorso di colpa previsto dall'art.62 numero 5.
Un esempio per chiarire: tizio lascia aperto il server per permettere
l'accesso ad esso da parte di Caio (Tizio è imputabile per concorso ex 110);
Tizio lascia aperto il server per negligenza o incuria consapevole della
possibilità di accesso da parte altrui e accettandone l'eventualità (cd dolo
eventuale) (Caio ha l'attenuante del cd concorso di colpa ex 62 n°5, Tizio
potrebbe essere imputato per altri reati);
Tizio è un imbecille, completamente digiuno di nozioni di informatica ed
allestisce un sistema gruviera (Caio non può giovarsi dell'attenuante di cui
sopra; Tizio potrebbe avere rogne legali).
ASPero di essere statro più chiaro.
Ciao
--
Parsifal

     che la nostra ipotetica tizia e' morta da quel di', congelata.
e quindi sessualmente poco appetibile!!!;)
--
Parsifal

 Che Dio me la mandi buona ;).
Se hai bisogno sai dove trovarmi.. in Tibet ! ;-)


 
ok.. ma puo' anche tornare controproducente avvisare il Ns. Baldo 
imprenditore perche' in quanto cale non capendo quel piccolo ragionamento 
potrebbe capire che lo stai poco velatamente minacciando e basta. (che e' 
poi lo scopo principale se non erro... )


 sono degli emeriti...!
Non uso IIS quindi non mi tocca mimnimamente quel problema...


 sopra; Tizio potrebbe avere rogne legali).
Sorry ma qui dissento, se Tizio  (che imbelle) non viola nessuna norma
penale non ha nessuna rogna tranne quella di rispondere civilmente dei
danni eventuali a lui imputabili. Se per rogne legali intendi "civile"
siamo d'accordo.
Questo, per dare  a Cesare quel che e' di  Cesare (23 pugnalate), cari
sysad pds/cdc (cresciuti  a clic e clac aprendo  e chiudendo finestre)
non vuol  dire che potete impestare  la rete di server  aperti come il
colosseo.
Se in  penale ve la  potreste cavare  con un buon  patteggiamento, non
menzione  ecc,  nel civile  dovete  pagare  di  tasca vostra  (che  e'
peggio).
Ciao Francesco.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

E' come avere la porta di casa con una serratura debole.
Piu' che altro come lasciare la porta chiusa ma senza
chiudere a chiave; e il codice e' nel cassetto della scrivania.
IMHO:
Uno entra, evabbe', colpa mia: se si fa male scivolando sul virus
o se legge dati personali i Echelon che ho lasciato sparsi sul
pavimento (oh, la natura umana e' curiosita') sono responsabile io,
per incuria. 
Se lui e' onesto chiede se c'e' qualcuno e poi esce, o al limite
aspetta in anticamera, o lascia un biglietto "ho trovato aperto,
la prossima volta chiudi a chiave. Ci si sente" e se ne va.
Ma se si mette a frugare nei cassetti, usando un grimaldello per
aprirli...
-- 
Filippo "Kirone" Zamengo 
Quanto scritto deve ritenersi IMHO e indipendente dal datore di lavoro
e-mail modificata: togliere DESPAM e .invalid

peggio).
Anche perchè la cd prova liberatoria richiesta dal 2050 cc è dura da fornire
;)


 
Ok, allora purtroppo avevo capito tutta un'altra cosa.
Mah!
Purtroppo mi manca il tempo di rileggere tutti i post (tanti)
In ogni caso sarà servito a Rocco per imparare a stare attento. 
I sysadmin come gli addetti alla sicurezza nel lavoro devono avere cento 
occhi. (anche per leggere decine di news).
Saluti
Al

 CUT
Ciao  8-) vabbe'  sul penale  non  siamo d'accordo  (se vuoi  possiamo
continuare in email, Thorin ha la  mia) perche' credo che il dibattito
diventi noioso  per gli  altri e  un zinzino  OT. Sul  civile possiamo
massacrarlo di comune  accordo ;-) Dal 2043 c.c. a  salire qualcosa lo
troviamo  per fargli  pagare  la nostra  pensione  e l'universita'  ai
figli.
Un attimo c'e' la pubblicita'..
... ed ora consigli per gli acquisti ...
<Pub Prog>
      Il servizio sanitario nazionale ha bisogno di te!
             Diventa *sysadmin* della mutua. 
Installa con pochi  click a pds/cdc il server che preferisci.
Spalanca  le finestre  e clicca  fiducioso,  segui anche  tu il  nuovo
processo. Un'esperienza  indimenticabile, sicuramente  impagabile, che
potrebbe aprirti nuove porte.
Scegli  una  professione  sociale, contribuisci  allo  sviluppo  della
patria ed alla crescita dei suoi figli.
</Pub Prog>
 ... con la partecipazione dello studio legale "patria & figli"[*]
Piu'  seriamente, chi  si trova  nelle  peste con  problemi di  questo
genere e  vuole una  risposta *seria*  e' meglio  che si  rivolga alla
polizia  postale  *dopo*  aver  consultato  un  legale  con  specifica
competenza nella materia.
Il NG puo' andar bene per  farsi un'idea, avere un quadro d'insieme ma
di fronte al  giudice ci vanno le persone interessate,  non dei pareri
dati da nickname anonimi o quasi.
Umanamente e'  comprensibile che uno  si arrangi  a fare il  sysad per
portare a  casa la  pagnotta, ma  quando si tratta  di subire  reati o
della propria  eventuale responsabilita' civile  e/o penale non  ci si
puo' comportare da peracottari.
Si tira fuori il taccuino e  si sganciano i soldini ai professionisti.
Quei denari  era meglio spenderli *prima*  per avere un sysad  con gli
attributi.
Ma forse  e' meglio cosi',  altrimenti il  buon Parsifal come  fara' a
portare a casa la sua pagnotta?
Ciao Francesco.
[*] Ogni riferimento a persone realmente esistenti e' da
considerarsi puramente casuale.


 sottolinea che non hai vincvoli di orario
Esattissimo. Allora sarebbe interessante sapere quanti di coloro che
regolarmente leggono o addirittura scrivono su questo ng campano con un
contratto di questo genere.
Personalmente considero quei contratti una forma di schiavismo puro e chiunque
si trovi in tale situazione anche se piazza permessi 777 in tutto file system
avra' la mia simpatia ed il mio rispetto, certo per quel che valgono.
Stammi benissimo,
b.

 portare a casa la sua pagnotta?
ROTFL
Ed il buon Francesco a pagare l'università ai suoi bambini ;-)
--
Parsifal

 Che Dio me la mandi buona ;).
www.debian.org
 Is Your Friend. Le mailing list debian-user per i problemi
di normale amministrazione, debian-announce (o debian-security-announce?)
per - indovina? - gli aggiornamenti dei pacchetti. Se non vuoi rischi
installati stable. Inoltre 
www.debianhelp.org
 per ulteriori info/help.
Max testing/unstable.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 ROTFL :)
  ___  _      _                   _
 / __|( )___ ( )  __ _  _ _   __ | |_   ___   _ __  ___  _ _
| (__ |// -_)|/  / _` || ' \ / _|| ' \ / -_) | '_ \/ -_)| '_|
 \___|  \___|    \__,_||_||_|\__||_||_|\___| | .__/\___||_|
__      __ _           _                     |_|         _  ___
\ \    / /(_) _ _   __| | ___ __ __ __ ___     ___ __ _ (_)|__ \
 \ \/\/ / | || ' \ / _` |/ _ \\ V  V /(_-< _  (_-</ _` || |  /_/
  \_/\_/  |_||_||_|\__,_|\___/ \_/\_/ /__/( ) /__/\__,_||_| (_)
                                          |/


> ROTFL :)
[snip]
Me lo dovrei scaricare, e con la linea dell'ufficio mi pare un incubo
la sola idea di farlo...
Quindi per un mese mi sopportate cosi' , poi vabbe', tutto cambia... :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.7 - WMaker 0.70.0

 avra' la mia simpatia ed il mio rispetto, certo per quel che valgono.
Qui non sono d'accordo. Il CoCoCo, non è una forma di schiavismo, e sempre
più spesso sostituirà il cd posto fisso.
Dipende dalla forza contrattuale del SA spintare buone condizoni (ed un buon
SA può farlo).
Certo se mipresentassi io x fare il SA probabilmente dovrei firmare un
contratto capestro, ma credi che gente con [] [] abbia problemi a porre aut
aut al proprio datore di lavoro?
Non parliamo di gente che pulisce i monitor e controlla che i cavi siano
inseriti, ma gente capace di gestire e configurare un rete aziendale, dei
professionisti seri, insomma.
Ti faccio un esempio: devo fare un lavoro in muratura, teoricamente chiunque
è in grado di mettere un mattone sopra l'altro e tirar su un muro, quindi se
chiamo il primo disperato che passa posso fare la voce grossa e offrirgli
una miseria dicendo son capaci tutti, ma se voglio una cosa fatta bene
allora chiamo un muratore vero e ti sfido a dirgli: ok lavori a 10.000
l'ora. Se mi va bene mi sputa in un occhio e se va, se mi va male mi
presenta il conto x avergli fatto perdere tempo.
SI chiama professionalità e chi la possiede se la fa pagare,
indipendentemente dal tipo di contratto.
Ciao

 occhi. (anche per leggere decine di news).
Infatti, questo ramo di usenet lo seguo in orario di lavoro.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

poi lo scopo principale se non erro... )
Erri. Lo scopo principale e' farlo preoccupare, in modo che prenda una
qualche iniziativa difensiva. Che poi io a vederlo preoccupato ci goda
e' vero, ma e' un altro discorso.
Leonardo


Dopo aver letto gli attuali 126 messiaggi ho capito che
Okay. Io, invece avrei capito - se sbalio non corigetemi, che tanto e'
inutile, vedrete poi perche' - che, (a), tte rode, e (b) il contributo
che potevi dare l'hai gia' dato, e ora sei sul lagnoso.
Per il primo fatto non so che fare se non offrirti comprensione, anche
se dubito che ci creda qualcuno (ma non si sa mai).
Per il secondo, fortunatamente, so cosa fare. Uno su due, e' una buona
media.
Leo^Knardo


 de factu politiche in un ng di sicurezza.
Diciamo che si parlava della difficoltà di avere la *sicurezza* del posto
fisso ;-)
Scherzi a parte non posso seguire un altro Ng. cmq potremmo continuare in
privato, che ne dici?
_-
--
Parsifal

 Però anche istruttivo ;-) cmq se vuoi scrivimi pure, la mia è autentica ;)
Concordo esimio,  come diceva  Dino Durante  "L'istrussion xe  la base
dell'istrussion" ;-) Mi  faccio vivo in email anche  perche' avrei una
mezza ideuzza che potrebbe tornare utile a tutto il ng.
Ciao Francesco.


e quindi sessualmente poco appetibile!!!;)
Come disse un amico: esiste sempre il microonde.
- Un microonde cosi' grande?!?
- No, un microonde normalissimo: basta scaldare i pezzi che servono...
(e si era in pizzeria ^_^;;;)


 cosa dovrei fare?
imparare il significato dei termini...
p.s. no, il fatto che sia tra virgolette non basta....
--
    /"\
    \ /     ASCII RIBBON CAMPAIGN
     X        AGAINST HTML MAIL
    / \
                 Ste  -- UTENTE INWIND: INSODDISFATTO!
        Linux User Registered #208536 at 
http://counter.li.org/