Newsgroup: it.comp.sicurezza.varie
Titolo: Tre curiosita`

Ciao, esco temporaneamente dal lurk (a proposito, ottimo NG! Non scrivo
semplicemente perche` di sicurezza non so nulla che non sappia anche qualcun
altro :-)) per fare tre domande piuttosto diverse fra loro:
a) E` vero che il semplice ping di un server, se fatto in maniera piuttosto
"molesta" (anche se non necessariamente per motivi ostili), viola delle leggi?
Faccio un esempio volutamente estremo: se io con un port scanner (che si limiti
ad aprire 5-10 porte per volta e le chiuda subito senza spedire nulla) mi metto
a esplorare il server della NSA, qualcuno se ne puo` avere a male? :)
b) Potreste indicarmi il miglior firewall free per NT? Il livello di sicurezza
ottenibile e` paragonabile a quello ottenibile con un sistema Linux, e/o
comunque e` accettabile in situazioni normali? Con "normali" mi riferisco a un
server in rete 24/24 e con IP fisso che non contiene dati particolarmente
"ghiotti" per qualcuno.
c) Mi sono giunte all'orecchio voci e insinuazioni inquietanti su PGP[i]. Quali
sono le probabilita` teoriche e pratiche che la Network Associates abbia
inserito qualche interessante modifica all'algoritmo che renda piu` facile a
"qualcuno" la decodifica senza chiave privata dei messaggi?
--
Bye! Lorenzo Lutti
http://www.geocities.com/SiliconValley/Peaks/6258/

"qualcuno" la decodifica senza chiave privata dei messaggi?
Boh?
Leonardo pro OTP
".signature": bad command or file name

 "qualcuno" la decodifica senza chiave privata dei messaggi?
Non ho sentito queste voci.
-- 
Vincent

Non mi risulta. Comunque:
Sono versioni "internazionali" di pgp di cui e' consentito l' export, a
differenza delle versioni originali, di cui l' export e' vietato, perche'
implementa un algoritmo molto tosto.
....se due piu' due fa quattro...
---------------------------------------------------------------------
remove z by my address to contact me

implementa un algoritmo molto tosto.
Naaaaa.... PGPi e' stato esportato in forma *cartacea* (consentito dalla
legge americana) e poi OCR-scannato e ricompilato, pertanto non e' vero che
e' "alleggerito".
Sul sito (FAQ) dicono: "se pensate ci siano backdoor, pigliate il sorgente
ed analizzatelo! Finora non ne e' saltata fuori nemmeno una!"
Ora, gente come me ci deve credere sulla parola (possono scrivermi "sei un
somaro" in C e farmelo passare sotto il naso), ma il mondo ha numerosa gente
che invece "sa di latino". :-)
Sarebbe saltata fuori qualche magagna, se ci fosse stata, che diavolo...
Fabrizio

 >"qualcuno" la decodifica senza chiave privata dei messaggi?
la versione 5.5.x consente ad un eventuale admin di decrittare i file
crittati dei non admin. queesto e' stato creato nell'eventualita' che un
superiore volgia vedere cosa fanno di dipendenti (pur decrittandogli i
messaggi... poiche' trattandosi di dati girati durante l'orario di lavoro,
rimangono di suo interesse, e in questo caso diritti tipo privacy non
dovrebbero aver influenza).
di discussioni riguardo la sicurezza del 5.5 che ne sono state parecchie,
non e' un caso se la 2.6.3i e' ancora cosi' in voga.
Ciao.

 statistica, anche se utilizzato con "-f" o facendo pacchetti da 65K.
L'uso del ping non è proprio di statistica. Ma a prescindere da questo,
è lapalissiano che il ping in se per se non è reato. Neanche il flooding
è esplicitamente contemplato come reato. Il problema nasce quando
arrechi un danno a qualcuno, nella fattispece i tuoi ping interrompono o
riducono l'efficienza di un servizio. Tanto per essere chiari; tu puoi
anche innondare un host di ping e questo in se non è reato, se però
quest'host a causa dei tuoi ping cade, diventa inutilizzabile per un
periodo più o meno lungo, esso subisce un danno più o meno grosso e ha
(molto probabilmente) diritto ad un risarcimento.
Anche suonare il campanello di una casa non è reato, se però "abusi" di
questo mezzo e incolli i campanelli con la gomma da masticare alle 3 di
notte ovviamente sei passibile di denuncia (lo scopo "statistico" tipo
valutare il tempo medio prima che il cittadino si incazza non è proprio
una giustificazione valida :-))
Questo potrebbe non essere l'unico esempio, non sono un esperto in
materia e non saprei farne altri.
-- 
Vincent
ICQ #34602650

 crittati dei non admin.
ARGH! Ma in che modo? Non mi sembra che ce ne siano altri a parte uno o piu`
dei seguenti:
a. C'e` una backdoor nell'algoritmo di cifratura del secret ring (a proposito,
che algoritmo usano di solito?);
b. Quando cripti un messaggio, PGP senza dirti niente usa oltre alla chiave
pubblica del destinatario, anche la chiave pubblica del presidente della
Network Associates; :)
c. C'e` modo di "modificare" leddjermente l'algoritmo di cifratura e/o hash,
tipo inserire una finestrella di linearita`, senza che nessuno se ne accorga.


 che algoritmo usano di solito?);
considerando i miei problemi mentali, dico IDEA senza mettere la mano sul
fuoco.

statistica, anche se utilizzato con "-f" o facendo pacchetti da 65K.
Anche dire "buongiorno" e' buona educazione. Telefonare a tutte le
ore del giorno e della notte per augurare buon giorno configura il
reato di molestie :-)
Percio', appunto, uno domanda: "Scusi, lei, quel flood di ping, me
lo ha fatto... per quale ragione?"
"Volevo vedere se la banda ICMP tapioca come fosse antani sul ping
di protocollo della supercazzola e poiche' il router..."
"Ah, allora va bene."
Leonardo


non e' un caso se la 2.6.3i e' ancora cosi' in voga.
io uso la 2.6.4  vers.  americana,  le porcatine addomesticate tipo questa 5.5
sono delle leggere prese in giro 


sono delle leggere prese in giro 
vorresti cortesemente spiegarmi *con precisione* in che modo pgp 5 e 6
sarebbero addomesticati? grazie.
-- 
to e-mail me, remove the SIN from my address
bYeZ
T.H.E. Walrus
Key fingerprint = 82 90 B8 CB CD 47 10 56  36 58 0B 69 61 23 FD F2
PGP key available on keyservers