Newsgroup: it.comp.sicurezza.varie
Titolo: Condotta scandalosa di Aruba

Scrivo per chiedervi un parere su una vicenda che a mio modo di vedere le
cose ha un che di kafkiano, e` cosi` surreale da sembrare finzione
letteraria. D'accordo, scrivo anche per depositare un po' di guano sui suoi
protagonisti; ma questo tutto sommato e` secondario, prima il dovere e poi
il piacere. Magari in seguito - anche in base ai vostri pareri, magari io
sto sopravvalutando la cosa! - daro` ulteriore respiro a questa denuncia.
Dovete sapere che Aruba hosta tutti i suoi siti su macchine Windows NT o
Windows 2000. Ovviamente il tutto gira sotto a IIS e si puo` utilizzare ASP
(fra l'altro presumo che questi siano i motivi per i quali almeno una o due
volte alla settimana trovo il sito down). Cosi`, dato che dovevo mettere su
un sito hostato da Aruba e non conoscevo ASP, ne ho approfittato per
comprarmi un bel librone sull'argomento e ho iniziato a fare i giochini. La
prima pagina ASP in assoluto che ho scritto conteneva una ventina di righe e
usava l'oggetto FileSystemObject della runtime scripting library, che
permette di accedere ai file sul server. Immagino che generalmente cio`
avvenga entro determinate regole e privilegi.
Con Aruba no. Con quello script potevo tranquillamente vedere le directory
di tutti gli altri siti hostati sul mio stesso server, tutti i file di
configurazione e log dei vari servizi, il drive e le directory di sistema.
In un drive a parte comparivano persino tutti i dati di registrazione dei
clienti di Aruba degli ultimi mesi (!), un file per ogni giorno. Non ho
verificato se avessi o meno permessi in scrittura, ma niente mi fa supporre
il contrario. Insomma, si trattava di una voragine di sicurezza enorme; e
quel che e` peggio, se ci sono arrivato io dopo aver letto un paio di
capitoli di un libro su ASP, quanti lamma si saranno divertiti a rubare dati
sensibili a centinaia di persone (o forse a migliaia, se il problema non era
solo su quel server) per MESI?
Gia` a questo punto trovavo la cosa quasi incredibile. Ma non era finita. Il
giorno successivo alla mia scoperta (giovedi` scorso, se non erro) tento per
la prima volta di contattare Aruba in via privata per comunicargli la
situazione. Ovviamente ho tentato la via privata perche` in quel momento,
finche` il buco era ancora aperto, non volevo dare troppo risalto alla cosa.
Sul sito principale non compaiono e-mail o form per contattarli (evviva la
serieta`), sembra che loro vogliano che passi tutto attraverso il loro forum
http://forum.aruba.it
 . Cosi` ho tentato di spedire dei messaggi privati
allo staff tecnico di Aruba attraverso questo forum. Il primo tizio che ho
provato a contattare aveva la mailbox privata piena (!); in seguito sono
riuscito a spedire il messaggio a un altro componente dello staff. Poi ho
aspettato.
Fino a lunedi` nessun segnale di vita (ma ehi, era giovedi` sera ed eravamo
a ridosso del week end. Sono soltanto esseri umani, giusto?). Poi lunedi`
sera lo script del forum mi informa che il membro dello staff ha letto il
mio messaggio, peraltro senza rispondermi. E il buco sul server era ancora
aperto.
Un filino incazzato, decido di spedire un altro messaggio sul forum, pero`
questa volta in un'area pubblica e un po' meno garbato. Questo succede alle
19 di lunedi`. Alle 20 mi ricollego e noto che il mio messaggio e` stato
rimosso, senza che peraltro qualcuno mi abbia dato qualche tipo di risposta
o spiegazione in privato. Da notare che, oltre a poter usare il forum per
contattarmi, dispongono anche del mio indirizzo e-mail.
Martedi` sera noto che il buco e` stato chiuso, ora finalmente vedo access
denied dappertutto [*]. Ma ancora nessun segno di vita da parte di Aruba.
Scrivo un altro messaggio privato _leggermente_ piu` irritato al tizio dello
staff.
Mercoledi` sera (ieri) il forum mi informa che anche il mio secondo
messaggio e` stato letto, e ancora una volta non ho ottenuto risposta. Idem
oggi. Per la precisione, dall'inizio di tutta la vicenda Aruba non mi ha
*mai* contattato. Chissa`, magari stanno cercando di farlo attraverso la
casella di posta 
lorenz...@aruba.it
 che ho registrato a meta` maggio, ha
funzionato per due giorni e poi mai piu`. ROFL.
La cosa scandalosa non e` tanto il fatto in se` che non mi rispondano;
questo e` soltanto buffo o ridicolo, a seconda dei punti di vista. Cio` che
e` davvero grave e` che sembra che abbiano scelto una linea di condotta
ufficiale ben precisa, cioe` quella di far finta di niente con *tutti* i
loro clienti. Neanche un e-mail, una comunicazione del tipo: "attenzione, i
vostri dati degli ultimi mesi potrebbero essere compromessi, prendete le
opportune precauzioni. Ci cospargiamo il capo di cenere". Niente.
Di primo acchito si potrebbe pensare: "ma dai, e` un servizio a basso
prezzo, di certo su quei siti non ci saranno delle informazioni cruciali. E`
stato un peccatucolo veniale, percio` non vogliono diffondere inutili
allarmismi". Non sono d'accordo almeno per due motivi:
1. Anche se il servizio e` a basso prezzo, molti di quei siti sono
commerciali e, su un totale di piu` di 1400 siti presenti su quel server
(millequattrocento!), diverse decine di essi supporteranno qualche forma di
e-commerce. Anche se - almeno me lo auguro - a nessuno sara` venuto in mente
di gestire dei codici delle carte di credito su un dominio in hosting da
cinquantamila all'anno, sicuramente i database di molti siti potrebbero
contenere diversi dati PIUTTOSTO sensibili.
2. Resto dell'idea che se un provider e` clueless per le cose piccole, lo
sara` a maggior ragione anche per quelle piu` grosse.
[*] Non e` del tutto vero: pur non essendo piu` possibile il browsing delle
directory superiori, disponendo del path assoluto dei siti degli altri
utenti (ed e` banale costruirlo, perche` usano un nome standard a partire
dal nome di dominio) si vedono ancora tutti.
---
Bye! Lorenzo Lutti
http://antani.virtualave.net/

 sto sopravvalutando la cosa! - daro` ulteriore respiro a questa denuncia.
Se i tizi di aruba non si degnano di dare una spiegazione a questa cosa, che
mi pare piu' che scandalosa, ti consiglio di scrivere prima a technorail
(che fa capo ad aruba, cercati i contatti con un whois 
aruba.it
), poi
alle principali riviste d'informatica, e per finire pure all'unione dei
consumatori.
Vedrai che si daranno una mossa..comunque non sei il primo che sento
lamentarsi della qualita' della loro assistenza clienti.
--
Saluti
Leonardo
	    ***togli NOSPAM- per rispondermi in privato*** 

E soprattutto, noi non siamo *mai* stati qui.

 il piacere.
Carinissmi. Perchè non posti anche sui NG che trattano di disservizi? Mi
sembra che un tot. di gente stia affilando i coltelli, per aruba. Magari
ti viene qualche buona idea! ;-)
Saluti
Lella cos'e pazzi!

il contrario. Insomma, si trattava di una voragine di sicurezza enorme; e
Avete presente la pena per l'alto tradimento nell'Inghilterra medievale?
Andrebbe ripristinata per gentaglia di questa risma... bah... :-(
La cosa piu' grave non e' tanto il buco in se', ma l'evidente atteggiamento
menefreghista nei confronti degli utenti e la cieca fiducia nella security
through obscurity che Aruba sembra dimostrare.
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

e-commerce. Anche se - almeno me lo auguro - a nessuno sara` venuto in
mente
Permettimi di dire che questa è la dimostrazione lampante che è da "poco
accorti"
(non voglio essere offensivo) usare un servizio del genere per un sito
commerciale
è anche la dimostrazione di poca serietà in chi "consiglia" servizi di
questo tipo ai
propri clienti, è sopratutto dimostrazione di superficialità o meglio di
politica da
straccioni da parte di un'azienda affidare la propria immagine ad un
servizio di
questo tipo!
Un servizio hosting serio non dovrebbe costare meno di 250 Euro /anno se
flat per
essere almeno decente.
Ah! Ah! ...1400 domini su una sola macchina ...e-commerce a queste
condizioni :-DDDD
Clod.

Sono un utente ARUBA e concordo pienamente.....tuttavia il comportamento di
ARUBA non č molto diverso
da quello di provider di dimensioni ben maggiori........
Altra cosa....nessuno di voi ha mai pensato a come funzioni invece un server
di chat....tra i piů blasonati C6
della TIN.....beh.....anche li sono custodite informazioni vitali alla
portata di tutti.......occorre fiducia :))
ciao ciao
"Lorenzo Lutti" <lorenz...@DOHtiscalinet.it> ha scritto nel messaggio
news:Pqfa7.5541$te7.2...@news.infostrada.it...


 portata di tutti.......occorre fiducia :))
Potresti spiegati meglio, per favore? credo che qui piu' di qualcuno
abbia installato server IRC... 
-- 
HappyCactus - Registered Linux User #209744
Keyboard not present or keyboard error - Press F1 to resume