Newsgroup: it.comp.sicurezza.varie
Titolo: Domanda !

 Non so se è logico postare qui o su it-tlc.provider - ditemi voi !
NetTime adotta una politica particolare per quanto riguarda la posta.
Si può controllare la casella postale solo da un IP della rete di NetTime.
Questo implica che pure con il semplice Telnet sulla porta 110 - non si può
vedere la posta se non ha una connessione nettime attiva - e se il telnet
non parte proprio di li.
Hanno giustificato questa affermazione con il motivo di estrema sicurezza
che necessita un grande gruppo bancario come quello da cui dipendono
 sappiamo tutti qual è )
Domanda - perchè anche gli altri providers non hanno adottato la stessa
procedura ??
E' effettivamente così sicura ?
A me non sembra molto !! Considerando che la pwd è di 8 lettere e il
demonietto ne controlla solo 6 !!
Inoltre è possibile cambiare la casella di posta dal web indicando la
propria pwd.
Premetto che se tutti i providers adottassero una soluzione di questo tipo
io non ne sarei entusiasta !!
Mi è attualemente impossibile controllare la posta delle BadLAnds da altre
connessioni che non siano NetTime.
Quello che mi piacerebbe sapere è l'effettiva efficacia di una tale
soluzione !!!
Un saluto a tutti quelli che ci aiutano per il problema di Kyoko !! ( Sig.
D'Itri, Sig. Aranar, Sig. Matteo PIC )
PhoenYx QuetzaCoatl - webmaster dell'Orda delle BadLAnds

joyio...@the.Linux.world.W.RedHat wrote:
 >Domanda - perchč anche gli altri providers non hanno adottato la stessa
 >procedura ??
Per permettere a chi si collega da altri posti di controllare la propria
mailbox.
 >E' effettivamente cosě sicura ?
E` sicura nel senso che se uno non si connette da nettime non puo` accedere
in nessun modo al pop server e quindi non puo` cercare di fregare la posta.
-- 
ciao,			[To reply remove "+nospam" from my address.        ]
Marco			[Per rispondere togli "+nospam" dal mio indirizzo. ]
              * The Internet is full. Go away.  -- Joel Furr *

igo...@freenet.hut.fi.NOSPAM wrote:
 >se uno vuole cacelare la posta puo' sempre alterare il suo ip con
 >qualche tecnica di sproofing e mandare tutti i comandi che vuole alla
 >porta 110 ...
Come se fosse cosi` facile farlo, e come se fosse cosi` facile farlo e
usarlo in questo modo...


 Marco d'Itri,
md+N...@linux.it
 writes:
.
. >se uno vuole cacelare la posta puo' sempre alterare il suo ip con
. >qualche tecnica di sproofing e mandare tutti i comandi che vuole alla
. >porta 110 ...
.Come se fosse cosi` facile farlo, e come se fosse cosi` facile farlo e
.usarlo in questo modo...
Come "quasi esperto di spoofing" (nel senso che su Undernet gli 
"spoffatori" ci hanno rotto gli zibidei non poco ed abbiamo dovuto 
trovare delle soluzioni al problema ....) confermo quanto dice
Marco, non e' afatto facile e se non sono cretini e' di fatto
impossibile.
Nel caso specifico se il provider in questione non accetta come 
autenticazione su POP3 la "plain password" ma pretende (come 
molti, per fortuna) una autenticazione APOP o Kerberos 
considererei tecnicamente _impossibile_ riuscire a fare scherzi
strani sugli account del mailserver in questione dall'esterno
della loro rete, e cio' _anche_ conoscendo la password.
Per i teorici della computer security ecco la spiegazione:
- I pacchetti di risposta alla connessione, che sono "indirizzati" 
  dal server ad un IP interno alla rete del provider, vengono 
  sicuramente "routed" completamente all'interno di tale 
  rete, quindi in nessun modo "passano" per una sottorete 
  visibile da chi sta attaccando il sistema. 
  Non e' quindi attuabile una tecnica di "spoofing+sniffing" 
  (come quella di quel giocattolo per bimbi noto agli 
  hacker-wannabe come spoofit.c .. per capirci) ma bisogna 
  rassegnarsi a un vero e proprio "blind spoofing".
 
- Un blind spoofing per definizione non "vede" cosa dice il 
  server (alla macchina di chi lo fa _fisicamente_ non arrivano
  i pacchetti di "risposta")
 
- Sia kerberos che APOP usano un sistema di autenticazione 
  bidirezionale: il server genera una chiave "casuale", la passa
  al client, esso applica un algoritmo di trasformazione 
  all'insieme chiave+password e manda indietro il risultato
  al server il quale lo controlla. Per generare la "risposta
  giusta" e' necessario avere _sia_ la password che la "chiave"
  mandata dal server... chiave che un blind spoofer, per 
  definizione, non "vede".
 
L'unico sistema sarebbe "indovinare" o "prevedere" la chiave che
viene generata dal server, cosa quasi impossibile se l'algoritmo
e' quantomeno decente (su Undernet utilizziamo sedici generatori
di sequenze random con 128 bit di chiave interna, ogni generatore
utilizza un algoritmo diverso e a "tratti" essi vengono disturbati
da del "rumore" generato con dei checksum MD5 dei messaggi che 
passano nel server... sarebbe carino vedere qualcuno che "indovina"
la chiave che ne viene fuori :-).
Il "quasi impossibile" diventa del tutto impossibile anche essendo
molto bravi e conoscendo esattamente l'algoritmo utilizzato 
all'interno del server e dove esso sia "debole" se non si ha
la possibilita' di:
1) Studiare delle sequenze continue di chiavi generate dal server
   APOP/Kerberos (cosa impossibile per definizione visto che 
   dall'esterno della rete del provider NON si possono vedere)
 
2) Avere la certezza che la connessione che si tenta di stabilire
   sia immediatamente consecutiva alla sequenza di chiavi 
   monitorate, cosa che richiede tempismo, fortuna e potenze di
   calcolo immani (bisogna risolvere il prolema "al volo" e 
   collegarsi prima che ci provi qualcun altro... senno' la chiave
   nel frattempo cambia).
 
Quindi la conclusione e': SI, il sistema E' sicuro, a meno che
non siano stati cosi' stolti da architettare sta cosa e poi 
accettare l'autenticazione POP3 con "plain password".
Ritornando on-topic (scusa Marco):
Non so quanto sia "giusto" che un provider "vieti" ai propri utenti
di scaricarsi la posta da un IP esterno... chi come me ha una dozzina
di providers, ognuno con la sua casella postale, si incazzerebbe non
poco.
Quantomeno si dovrebbe lasciare la scelta all'utente, "se vuole le
offriamo questa sicurezza aggiuntiva, con lo svantaggio pero' che.."
Tra l'altro immagino che (come quasi tutti i provider) useranno la 
stessa password e userID per l'accesso al POP via modem e per l'accesso
alla mailbox, per cui tutta la "sicurezza teorica" derivante dal
discorso fatto sopra va a p....allino :-).. indovinata la password
si telefona a un loro POP ed il problema e' risolto.
Se proprio vogliono dare un sistema sicuro agli utenti che accettino 
connessioni su un tunnel shh verso il mailserver ;)
Ciao,
Andrea

 Joy the Joyious,
joyio...@the.Linux.world.W.RedHat writes:
.Altrove non c'è possibilita' o io non l'ho trovata, di modificare il
.datagram.
Dice il saggio: la possibilita' c'e', per definizione.
Se al mondo c'e' qualcuno che ha convinto un computer a fare
qualcosa, allora chiunque altro potra' convincere qualsiasi
altro computer a fare la stessa cosa. E' solo questione di
valutare il tempo e le energie che si e' disposti a impiegare.
Ciao,
Andrea
[Traduzione: su MacOS/OpenTransport in "teoria" non si puo' fare
 IP spoofing, in _pratica_ si; Su Winsozz non ho mai provato anche
 perche' un Winsozz non sono capace manco di accenderlo, ma non 
 credo proprio che "non ci sia la possibilita'".]

 Qualche anima buona mi farebbe un quoting di che dice Blackie - gli avro'
scritto 200 volte che non riesco a vedere i suoi msg ma nisba.
Se non vi va il quoting speditemi il msg a 
quetzacoa...@usa.net
Grazie infinite !!!