Newsgroup: it.comp.sicurezza.varie
Titolo: Tempo congruo prima di divulgare un buco

Poniamo che si noti un buco nella sicurezza di un sito istituzionale e 
lo si segnali ai responsabili.
Poniamo, per ipotesi, che i responsabili non facciano nulla.
Qual � un tempo appropriato da attendere prima di rendere pubblica la 
questione, sapendoo per� che la pubblicizzazione del  problema potrebbe 
eventualmente far nascere "cattive idee", quindi � l'estrema ratio...?

eventualmente far nascere "cattive idee", quindi è l'estrema ratio...?
 
Dipende dal sito.
 
Se i gestori sono persone ragionevoli e intelligenti ti ringrazierebbero, ma
d'altra parte, in questa ipotesi, avrebbero anche tappato il buco.
 
Quindi credo sia ora supponibile che NON ci troviamo di fronte a persone ne'
intelligenti, ne' ragionevoli.
 
Ora: cosa POTREBBE fare uno stupido irragionevole, trovandosi il sito bucato
da terzi? Prendersela con se stessi e' segno d'intelligenza, non prendersela
con nessuno sintomo di ragionevolezza.
 
E non abbiamo prove ne' dell'una ne' dell'altra.
 
Quindi possiamo temere che, alle strette, cerchino un capro espiatorio.
 
Questo specie se i gestori si trovano in una situazione di quadro intermedio
e devono coprirsi il budel gentile dai rigori dell'inverno e de' superiori.
 
Ora: prendersela con un ignoto cracker ha una certa difficolta', "X", mentre
prendersela con te che magari hai lasciato email od indirizzo ha difficolta'
"Y". Converrai che Y e' con molta probabilita' stimabile inferiore ad X. Che
prendersela con te sia inutile e' ovvio... per una persona intelligente.
 
===
 
Ecco quindi scientificamente dimostrato come, di fronte a un bischero, debba
usarsi grandissima prudenza: e se mai dirigere le segnalazioni in privato ai
superiori del tizio, o a un giornalista di fiducia che sapra' come muoversi.
 
Scrivere la cosa su un blog o un post o un tweet o altro sistema che lasci a
un idiota l'illusione di poter ottenere qualcosa colpendo il messaggero, non
e' una buona idea quando e' possibile che tu abbia a che fare con un idiota.
 
Anche avvertire, "fra trenta giorni riveliamo il buco", otterrebbe soltanto,
a mio avviso, la replica "Vi riterremo personalmente responsabili per ogni e
qualsiasi noia vagamente attinente all'informatica a partire dal mese scorso
fino al dicembre duemilatrecento".
 
Leonardo
 
-- 
 
Questi non hanno speranza di morte; e la lor cieca vita e' tanto bassa,
Che 'nvidiosi son d'ogne altra sorte. Fama di loro il mondo esser non lassa;
Misericordia e Giustizia li sdegna; non ragioniam di lor, ma guarda e passa.

 fino al dicembre duemilatrecento".
 
Le tue mi paiono riflessioni sagge! :)

edevils wrote, On 12/07/14 12.32:

Condordo con Leonardo (che purtroppo ha ragione), ti consiglio di scrivere a 
qualche rivista online / blog del settore.
Anni fa era stato fatto così per una nota banca italiana, tramite 
punto-informatico.it
 
 
Gabriele

informazioni che hanno agevolato il cracking.
 
Peggio. In teoria il giochetto e' penale. Articolo 614 quater.
 
	...codici, parole chiave o altri mezzi idonei all'accesso ad un
	sistema informatico o telematico...
 
	...o comunque fornisce indicazioni o istruzioni idonee al predetto
	scopo, è punito...
 
e non c'e' dubbio, che pubblicare un bug costituisca "indicazione"; basta,
di sicuro, a dover pagare un avvocato che sostenga che non e' cosi'.


di cui all'art 614 quater?
 
No, mi sbagliavo. Mi sono confuso: e' il 615 quater, non il 614.
 
	Chiunque, al fine di procurare a sé o ad altri un profitto o di
	arrecare ad altri un danno, abusivamente si procura, riproduce,
	diffonde, comunica o consegna codici, parole chiave o altri mezzi
	idonei all’accesso ad un sistema informatico o telematico, protetto da
	misure di sicurezza, o comunque fornisce indicazioni o istruzioni
	idonee al predetto scopo, è punito...
 
Ora, bisogna dimostrare che questa fornitura di indicazioni e' avvenuta "col
fine di procurare a se' o ad altri un profitto"... dove "profitto" e' una di
quelle parole che ai nemici si applicano e per gli amici si interpretano, se
vuoi sapere la mia opinione. "Profitto" puo' essere anche la pubblicita' che
uno si fa rivelando un bug: se esiste il "lucro da mancato acquisto", tutto,
o quasi, e' possibile.
 
Nel mondo reale succede questo: che se uno e' grosso e "stabilito", come per
esempio appunto il CERT, sostanzialmente va bene. Non si vede il profitto, e
poi comunque bisogna commisurare il danno fatto rivelando (e consentendo per
cio' stesso di tappare il buco) con quello fatto, per omissione, tacendo, et
cetera et cetera.
 
Se la stessa cosa identica del CERT, ovviamente con un advisory solo perche'
non c'ho i mezzi, la facessi io - diciamo se pubblicassi una ricerca, uguale
precisa, due ore prima che lo facesse il CERT (per cui non lo fa piu'), beh,
A ME fanno un culo tanto, ma tanto, ma tanto, ma tanto, che mi passano tutte
le ruzze per il resto dei miei giorni, vai vai.
 
Del resto io ho visto programmi Microsoft fare cose che - se le avesse fatte
un MIO programma - avrei avuto il cliente al telefono a dire brutte cose sul
conto della mi' mamma, esigendo danni ed intervento illic et immediate; mica
"Nooo, cazzo, ho perso tutto il lavoro! Che programma di merda, via, andiamo
avanti, ricominciamo da capo, del resto che ci vuoi fare? E' la vita".
 
Questo, sempre nell'ipotesi che il mio advisory ABBIA colpito qualcuno su un
callo; se rivelo un buco disastroso nei sistemi dell'ambasciata di Tehran e'
possibile che non mi facciano niente; anzi, mi chiamino EROE e mi portino un
fiore sulla tomba, "martire della liberta' telematica".
 
Ma se faccio la stessa cosa, che so, a una grossa banca, che magari non fixa
niente perche' io sono il signor nessuno, e un mese piu' tardi la bucano...
 
Intendiamoci: dopo un dieci anni di processo, dopo avermi rovinato la vita e
l'ipotetica carriera, e aver venduto la casa per pagare avvocati in grado di
reggere l'urto con quelli che si puo' permettere una banca, non escludo mica
di poter essere assolto con formula piena.
 
Ma somiglia parecchio al test dell'acqua che facevano alle streghe: chiudevi
la strega nel sacco e la buttavi nel fiume. Se galleggiava e si salvava, era
la prova dell'aiuto del Demonio, e la bruciavi in quanto strega.
 
Se moriva affogata nel sacco, era innocente. Chissa' che contentezza! :-D
 
===
 
Ecco: la mia ponderata opinione e' che - sfortunatamente - NON sussistano le
premesse, ad oggi, per una informazione piena e responsabile.
 
Come proposta, la neonata Agenzia per l'Italia Digitale (che gia' l'acronimo
e' un ottimo inizio), oltre che l'obbligo di fattura elettronica, *potrebbe*
introdurre l'obbligo di aggiornamento dei @$%&"#! di siti che possono essere
usati, péddire, per commettere reati e altro. Potrebbe emettere innanzitutto
degli "avvisi bonari" ("AVETE IL SITO BUCABILE, PROVVEDETE -- f.t. AGID"), e
poi anche provvedere proprio a chiudere i siti pericolanti, cosi' come viene
transennato un cornicione che puo' causare pericolo a terzi. Chiudono i siti
di gioco perche' l'AAMS ci perde du' lire, vorrete chiudere un sito di phish
perche' chi sa quanti cittadini ci possono perdere il conto corrente? No?
 
E potrebbero avere una squadretta di esperti che verificano - e magari anche
un "albo" di consulenti, segnalatori e "antenne" che gli trasmettono notizie
di pericolo. Miii, io dico che un sacco di gente farebbe la fila. Se poi sul
sito pubblicassero una graduatoria, un sacco di regazzetti si metterebbero a
fare a gara a chi fa piu' punti, tipo Stack Overflow :-D (del resto, sarebbe
un bel nastrino sul curriculum, dimmi di no?).
 
Scopri una vulnerabilita' ==> la mandi all'AGID, loro verificano, segnalano,
agiscono nel rispetto di leggi e regolamenti e ti scrivono "bravo" sulla tua
pagina di consulente AGID. Non rischi niente, ti diverti e lavori gratis per
lo Stato, che e' sempre una cosa che acquista meriti in Paradiso.
 
Col tempo si potrebbero fare anche cose piuttosto ganze.
 
Per esempio, gia' ora per legge sulla pagina c'ha da essere la P. IVA della
ditta committente. Mettiamo l'obbligo per legge del file "site.nfo" ;-) con
quei dati li', e anche i dati di chi ha realizzato il sito. Obbligare - per
esempio - ad avere un contratto di assistenza, come c'e' l'obbligo di avere
un antivirus. Sono anche queste misure minime di sicurezza.
 
Uno spider spidera i vari siti, e segnala le situazioni scomode. Quali siti
sono stati fatti con quali software, dopo un po' l'AGID puo' saperlo. Parte
lo spam degli advisories come nulla :-)
 
Con un po' di statistica i vari "webmaster" possono scoprire di avere anche
loro un punteggio AGID. Chi fa siti col culo - e ce ne sono - si vede.
 
Col tempo, mettere su un software o un sito diventera' una faccenda seria -
del resto, ormai lo e'; sarebbe l'ora di prenderne atto - e, nel frattempo,
si fa girare un po' anche l'economia <g>.


 di cui all'art 614 quater?
 
Certo che no, il CERT pubblica la vulnerabilitï¿œ solo dopo che ï¿œ stata
resa disponibile la patch relativa. Cosï¿œ MITRE, tant'ï¿œ che si riesce a
correlare le vulnerabilitï¿œ tramite CVE solo se piuttosto vecchie. :)
 
path di saluti
-- 
Pane al pane!
http://dottormistero.blogspot.it/2014/05/pane-al-pane.html
 

 correlare le vulnerabilità tramite CVE solo se piuttosto vecchie. :)
 
CERT si, ma non c'è mica solo il CERT; giusto per fare un esempio ...
 
http://permalink.gmane.org/gmane.comp.security.fulldisclosure/589
 
 
 
 

 CERT si, ma non c'ï¿œ mica solo il CERT; giusto per fare un esempio ...
 
Vedo, interessante. E' che ce n'ï¿œ un miliardo. :(
 
E comunque magari ci trovi qualche zero day, ma per esempio:
 Vulnerability Lab | 18 Jul 11:12 2014
[FD] Microsoft MSN HBE - Blind SQL Injection Vulnerability
 
Vulnerability Disclosure Timeline:
==================================
2014-01-27:	Researcher Notification & Coordination (Ateeq ur Rehman Khan)
2014-01-28:	Vendor Notification (Microsoft Security Response Center)
2014-03-13:	Vendor Response/Feedback (Microsoft Security Response Center)
2014-07-16:	Vendor Fix/Patch  (by Vulnerability Laboratory Check)
2014-07-17:	Public Disclosure (Vulnerability Laboratory)
 
Siamo lï¿œ. :)
 
disclosure di saluti


  Vulnerability Lab | 18 Jul 11:12 2014
 
si, ci sono anche le vuln già corrette; il fatto è che la lista "full
disclosure" è (quasi) abbandonata o comunque non ha più il traffico che
aveva tempo addietro (quando praticamente ci trovavi solo 0-day *senza*
patches :D) in compenso, esistono altre "liste" ;)
 

 in compenso, esistono altre "liste" ;)
 
Immagino, dipende da chi fa la scoperta. Certe firme di attacco
"fresche" mi arrivano da X-force, altre da McAfee, altre ancora da
entrambi ma solo quando ï¿œ nota la patch. E' un mondo difficile. :)
 
lista di saluti
