Newsgroup: it.comp.sicurezza.varie
Titolo: [OT] - Circa l'etica...

E' da molto che non scrivo qualcosa qui (per fortuna, diranno alcuni :D).,
però oggi mi sento di chiedervi:
eticamente, secondo voi, è giusto fornire a chiunque le conoscenze - o i
mezzi per raggiungerele - sufficenti per mettere a repentaglio la sicurezza
di un sistema informatico?
Attendo vostre risposte, che spero numerose.
Saluti.
-- 
Jenny ti voglio bene e ti amerò per sempre

 sicurezza di un sistema informatico?
it.cultura.cybersocietà mi pare più adeguato.
Tolto il tag, x-post e f/up.
Bye, G.

 di un sistema informatico?
Mah, che dire... fai un po' te.
Tu troveresti eticamente piů giusto che qualcuno con delle conoscenze 
sufficienti per mettere a repentaglio la sicurezza del tuo bancomat 
fornisse queste informazioni a chiunque o alla banca?

di un sistema informatico?
Senza sfida non c'e' progresso: e' triste ma e' cosi'. Se "chiunque" puo'
mettere a repentaglio la sicurezza di un sistema informatico, allora quel
sistema informatico non e' affatto "sicuro".
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 eticamente, secondo voi,
?
....................
IMHO sono luoghi comuni....
E' giusto insegnare a pilotare gli aerei....?
...ogni tanto se ne schianta qualcuno su delle torri...
La cronaca nera dei giornali ...andrebbe abolità .....si insegna a c hiunque
ad effettuare una rapina ....ecc. ecc. di questo passo....
-- 
Walter

 fornisse queste informazioni a chiunque o alla banca?
praticamente quel che succede ogni giorno su bugtraq?

 fornisse queste informazioni a chiunque o alla banca?
A tutti. In modo che quando vado a vedere l'estratto conto e mi ritrovo 
con 5kEUR in meno ho la possibilità di coprirli di insolenze, invece di 
sentirmi dire "beh, qui ci risulta che lei li ha ritirati..."

Ma qualcuno non aveva messo il f/up su un altro ng?
Cmq il mio discorso era questo: vedo a volte tipi che chiedono sui ng come
fare per 
ad.es
. entrare in un piccì, tracciare un ippì e via dicendo... e
fin qua nulla di male, visto che perlopiù si tratta di ragazzi/ni senza le
dovute conoscenze di base. La cosa si fa più pericolosa quando si parla,
appunto, di debolezze che coinvolgono sistemi informatici critici come
quelli che gestiscono le transazioni bancarie, e/o il traffico telefonico e
via dicendo.
Mettendovi nei panni di un esperto di sicurezza, voi come vi comportereste
di fronte alla scoperta di una grave falla nel sistema di un ente pubblico,
qualora questi non volesse divulgare l'informazione e/o non volesse - per
scelta o impedimento - porre rimedio a ciò?
E nel caso di falle 
ad.es
 nei protocolli di comunicazione, nell'IOS dei
router, negli algoritmi di crittografia?
E' una domanda che a voi può sembrare banale, ma a me no.
Sinceramente.


 Sinceramente.
Se la memoria mi sostiene, questa fu una delle tante strategie di molte
software house sulla sicurezza. Ci fu una aspra polemica se appunto liste
come BugTraq fossero in effetti piu' utili agli utenti o a crackers senza
scrupoli per violare a piacimento. Era anche un argomento portato a favore
e contemporaneamente a sfavore del closed source. Poi ci fu il caso di
quel DBMS che aveva una backdoor dettagli qui:
http://ilpettegolo.altervista.org/Linux-firewall-when-why.html#ss4.2
alla voce backdoor
e mi pare che gli argomenti portati a favore del closed source e della non
disclosure abbiano perso parecchia forza.
Hai ragione, l'argomento e' molto delicato, quando si ha a che fare con
enti pubblici, per cui la segnalazione potrebbe essere scambiata come
"intrusione", e magari essere trattati come criminali. 
Parlo con una certa cognizione di causa, quando dico che manca
l'educazione alla sicurezza, intesa come protezione dei sistemi, e
paradossalmente sono proprio i preposti ad essere meno coscienti del
pericolo, trincerandosi dietro un "ma chi vuoi che si interessi del nostro
sistema?".
-- 
Mario "Reliant" Pascucci
http://ilpettegolo.altervista.org/

 (un esempio con iptables)" , in particolare? :-)
Certo che puoi, devi! 
Ma cosa in particolare? 


 evidenti.
Se la poni come questione etica, si tratta di decidere se prediligere di 
informare il danneggiato o il danneggiante. Certo è bene che lo sappiano 
tutti, ma nel dovuto ordine.

 tutti, ma nel dovuto ordine.
Non è etico che qualcuno giudichi a priori chi sarà il danneggiato
e chi sara' il danneggiante.
IMHO
-- 
Walter


....con le dighe costruite dai Castori ecc. ecc.  ? eh eh ;-)))
-- 
W

 IMHO
IMHO senza offesa ma il cervello andrebbe usato e non masturbato.
C'è una falla di sicurezza in un sistema, secondo te è così eticamente 
complicato capire chi potrebbe essere il danneggiato?

 ha scritto nel messaggio
news:leMZc.190106$OR2.8...@news3.tin.it...

Il mio non era un caso "specifico" ma visto in un'ottica "storica" olto piu'
ampia e che non riguardava solo il lato "tecnico"
Nel caso "specifico" non ho nessuna difficolta a *CAPIRE*
e difficile invece far capire certi concetti universali
come la libertà di informazione (che ALLA LUNGA premia...!)
 e condensarli in poche frasi,
sopratutto quando si viene insultati...
Lasciamo perdere....:-(
-- 
Walter

  e condensarli in poche frasi,
Lol.
Non era più semplice scrivere "ebbene si, ho detto una sciocchezza!"?

 
Riformuliamo il quesito senza far riferimento all'informatica:
Se tu scoprissi che i vagoni delle ferrovie dello stato hanno un 
problema meccanico per cui, in determinate situazioni, si potrebbero 
verificare incidenti e, una volta segnalato il problema alle ferrovie, 
queste decidono di non sistemare i loro vagoni percè la modifica costa 
troppo, tu divulgheresti la notizia ai media?
Se la risposta in questo caso è affermativa, dovresti spiegarmi perchè, 
passando all'ambito informatico, è opportuno tenere il segreto.
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 Non era piů semplice scrivere "ebbene si, ho detto una sciocchezza!"?
Io difficilmente dico sciocchezze ma se tu ti esimi da offendere quando *TU*
ritieni che lo sia ...
lo faccio.....?
Contento cosi'?
-- 
Walter

 costa troppo, tu divulgheresti la notizia ai media?
Ecco un altro punto: non c'è davvero una via di mezzo, tra tacere
o sp...ubblicare /coram populo/ tutti i dettagli del problema ?
Nel caso delle ferrovie, forse basterebbe la minaccia, purché
documentata, di esporre il caso pubblicamente, per spingere
chi di dovere ad agire.
Non c'è bisogno che la cosa arrivi ai media, e soprattutto, non c'è
bisogno di scendere in particolari tecnici: tanto per fare un esempio
minimo, si potrebbe agire per vie politiche. Immagino che non siano
pochi i parlamentari, che _dopo_, vorrebbero vantarsi di aver risolto
senza troppo rumore un potenziale pericolo che blablabla blablabla...
E non credo glie ne freghi niente a nessuno di _quale_ sia il
particolare spinotto da staccare.
Nel caso della sicurezza informatica, queste vie di mezzo non ci
sono, o meglio, non ci sono ancora e dove ci sono non sono ben
conosciute. Ricordiamoci che siamo ai primi dieci, venti, ma non
di più, anni di diffusione del mezzo: la realtà è che l'informatica è
tutt'ora nel pieno periodo "far west" della sua storia (occhio che non
parlo a vanvera: per me l'informatica non è "internètte", ma parlo
dal punto di vista della maggioranza, dei milioni di profani che non
hanno mai sentito nominare la pascalina, Babbage, Boole o l'Eniac).
Prima o poi, che noi lo vogliamo o no, potranno esserci delle regole
precise, burocratiche, pesanti e negative da un lato, ma decise e
precise dall'altro. La cosa potrà piacere o meno: io per esempio
so benissimo che _non_ mi piacerà... ma è qualcosa a cui temo
dovremo rassegnarci.
D'altro canto, la velocissima evoluzione del campo (mi) fa ben sperare:
ogni legge, legaccio, impedimento alla libertà d'uso (e, non dimentichiamo,
di abuso) finora è stato aggirato o semplicemente ignorato, e in
maggior parte si è rivelato obsoleto dopo pochi mesi o anni.
Questo vale sia che si parli di impedimenti legali (legge urbani... vi
risulta che qualcuno degli scaricatori folli se ne sia veramente
preoccupato ?) sia di quelli tecnici (proteROTFLzioni da copia e simili).
Questi erano i miei 2 (facciamo 4, ho scritto molto...) eurocent.
E magari spiegano anche perché avevo tentato il f/up su ICCY :-)
Bye, G.

 Io difficilmente dico sciocchezze 
Allora che faccio, lo segno sul calendario? <grin>

 
Mi sembra di capire che nessuno dei due è per l'obscurity totale. Io 
forse sono più per la luce al neon e tu per il lume di candela :)
Scherzi a parte, credo che in questi casi molto sta nella maturità e 
nella serietà di chi scopre i problemi e di chi è deputato a 
risolverli.  Credo che nessuna legge possa imporre la serietà e 
l'onestà delle persone. Solo il tempo dovrebbe consentire di veder 
sparire o perdere credibilità chi, da tutte e due le parti della 
"barricata" (sviluppatori e sistemisti) non è serio o credibile.


 ha scritto nel messaggio
news:1KZZc.74658$1V3.1...@twister2.libero.it...

No...! Fai una "tacca" alla pistola....
< . ;-> . >
-- 
Walter


Era un tipo di discorso non specifico come questo....
in particolare ** mi associo...
Chi vuole intendere ...intende!
 se poi qualcuno ha il solo scopo
di segnare il calendario o di intaccare la superfice della colt ...azzacci
suoi....
Ciao,
;-)
-- 
Walter

Non so neanche io perchč rispondo...perň...
Non č che sapendo costruire una bomba bisogna per forza far saltare
per aria qualcosa... ma č importante che chi si deve difendere sappia
di come č fatta questa bomba, e magari di come si innesca per poterla
disinnescare a sua volta.
Ovvero: non č detto che se 9 volte su 10 riesco a corrompere la
sicurezza di un sistema debba per forza farlo o (peggio ancora
sicuramente, e a parer mia grossa differenza)debba ottenere acceso
commettendo danni ai dati presenti.
Ma non bisogna credere secondo me che informando solo mamma Microsoft
(una a caso, lo giuro... famosa perň per i ritardi con le quali
rilascia patch anche gravi) si possano risolvere problemi che invece
informando tutti (se solo tutti volessero restare informati...sigh!)
si possono largamente prevenire.
Full Disclosure e educazione degli utenti (e anche i miei amici
sysadmin che il piů delle volte dormono credendo che un firewall,
peraltro mal configurato, possa valere di piů di un sano e costante
"aggiornamento" delle loro conoscenze in ambito di sicurezza).
Tra l'altro... ma la sicurezza in Italia esiste?
Ciao a tutti.
.:HaMM3r0nth3n3t:.