Newsgroup: it.comp.sicurezza.varie
Titolo: niubbissima: dove cerco?

Avrei una serie di quesiti di ordine elementare circa argomenti di sicurezza
sulla circolazione di posta elettronica relativi a:
- Ip dei computer sugli header delle e-mails e loro attendibilità (ossia
loro manipolabilità, come dati, o meno)
- dubbi sull'accessibilità di indirizzi e-mail se posti nel campo "Ccn"
E' corretto porre tali questioni qui o in quale newsgroup dovrei andare?
Se non sono "offtopic" ringrazierei moltissimo chi volesse rispondermi
(anche solo indicandomi dove andare a leggere)
1) La prima domanda relativa agli ip è la più elementare (credo) ossia:
negli header di una mail questo dato è manipolabile?  In pratica: è
possibile che negli header di una mail ricevuta il messaggio risulti spedito
da un certo computer, quando in realtà non è così?
2) E' mai possibile che si possa risalire ad indirizzi e-mail che
risulterebbero non in chiaro, posti nel campo Ccn? (Per quel poco che so
credo sia proprio impossibile...).
Ringrazio moltissimo chi avrà la buona volotà di rispondermi.
Rossella

 - dubbi sull'accessibilità di indirizzi e-mail se posti nel campo
Comincia da qui: 
http://www.collinelli.net/antispam/
poi magari ne riparliamo :-)
Bye, G.

 credo sia proprio impossibile...).
per quanto ne so e' il tuo prog di posta che si preoccupa di inviare le
copie ai destinatari, quindi il problema si puo' ridurre a: "uso un
programma di posta scritto decentemente?". non saprei dirti se ci sono
programmi con un problema di questo tipo.
alek
-- 
XXXXXfirma in costruzioneXXXXX

Il Wed, 18 May 2005 22:44:29 +0200, Paperino ha scritto:
rotfl.


 credo sia proprio impossibile...).
Solo se si ha accesso ai log del mailserver su cui i CCN (o BCC) sono
transitati. Altrimenti, salvo implementazioni balorde del protocollo,
no, non è possibile.
Questi sono forse quesiti abbastanza "di basso profilo", ma un gruppo
più specifico per questi temi è it.news.net-abuse. L'argomento IMHO è
comunque IT anche qui.
Saluti...
-- 
Здрасти!
cat: .signature: No such file or directory

 Bye, G.
Okay Paperino, questo ce l'ho già salvato sul pc da almeno 3 anni... però
forse hai ragione tu: dovrei rileggerlo, forse non ricordo bene che c'era
scritto.
Per adesso avevo cercato con google sui gruppi .it ma non ho trovato
molto...forse sono effettivamente argomenti troppo di "base"... :-)
Ciao


Ok, allora avevo interpretato giusto il manifesto del gruppo
grazie e ciao
Rossella

 stessi, direi.
grazie, darò un'occhiata. anche se mi sembra che Skull mi abbia già tolto
uno dei principali dubbi che avevo.
Ciao

 tutti i campi o solo in alcuni.
Per inviare queste mail è stato usato un server "privato" (aziendale, 
casalingo, ecc.) o un server "pubblico" (internet provider)?
Nel primo caso è più possibile un'alterazione degli header, ma ci vuole 
ovviamente un accesso amministrativo al server di posta. Se ci sono di 
questi dubbi consiglierei di far fare un'audit di sicurezza ad una parte 
terza sul server in questione.
Nel secondo caso è veramente molto difficile che gli header siano stati 
falsificati (a parte il caso in cui siano stati falsificati A POSTERIORI 
sulla copia della e-mail già scaricata in locale, ma mi pare di capire 
che di questa mail ce ne sono copie multiple, quindi...)
A pelle, mi pare più che evidente che il soggetto in questione si stia 
arrampicando sugli specchi...
-- 
Fabrizio "Hermooz" Ermini

 arrampicando sugli specchi...
Tu mi confermi nelle mie convinzioni...
Solo un ultimo dubbio che mi è venuto facendo un giro (da incompetente) su
alcuni messaggi usenet: non è dunque possibile, ad esempio, che io, da casa
mia, dal mio pc, possa cambiare i dati identificativi del mio computer,
cosicchè quando mando un messaggio di posta il server lo legge e lo riporta
coi dati modificati...?
Da alcuni post che ho letto mi è sembrato di capire che questa fosse una
cosa fattibile, ma forse non relativamente ai dati specifici dell' Ip... ci
ho azzeccato?
Ciao e grazie comunque per le risposte
Rossella

 ho azzeccato?
esatto.
-- 
Fabrizio "Hermooz" Ermini

 coi dati modificati...?
Oh, possibile si, probabile *zero*, imho...
da tutto quello che hai descritto, il tipo è (poco) furbetto e l'avete preso
con le mani nella marmellata. :)

; Wed, 18 May 2005 22:10:38 +0200 (CEST)
Il primo header (quello sotto) è quello del "primo hop", ovvero quello
nel quale il mio client ha consegnato la mail al server smtp d'uscita.
L'header successivo viene inserito in un secondo tempo, e quindi nella
fattispecie non ci interessa...
L'header viene inserito non dal client ma dal server, che documenta di
aver ricevuto una e-mail a quell'ora lì, durante una sessione SMTP che
ha visto proveniente dall'IP 147.123.72.2, che risolve in zona inversa
come 
baggins.skullkrusher.net
, da una macchina che si è presentata con
il nome (nell'helo string) 
zarathustra.skullkrusher.net
.
Di queste tre informazioni, l'helo string è falsificabile, dato che un
utente malizioso può scriverci dentro quello che più gli aggrada; però
l'IP da cui il server SMTP ha visto arrivare la sessione è in linea di
massima lo stesso della macchina che effettivamente stava eseguendo la
spedizione.
Affermo in linea di massima perchè è, in linea di principio, possibile
portare attacchi al protocollo TCP, presentandosi con l'IP di un altro
ma è difficile ipotizzare attacchi di spoofing (ormai effettuare blind
spoofing contro gli stack moderni è come trovare per terra per caso la
schedina vincente dell'enalotto) in ambienti diversi dalla rete locale
e che non richiedano la complicità (volontaria o no) degli apparati in
gestione all'ISP su cui avviene il gioco.


 ho azzeccato?
Un altra cosa che si puo' fare e' aggiungere degli header copiandoli
da una precedente email leggitimamente mandata da questa persona. Un
tarocco che balzerebbe all'occhio, comunque.
Fabio

 spedizione.
Aggiungo: ciò non dimostra *comunque* che la spedizione sia stata fatta
dalla stessa *persona*. A parte l'ovvio caso dell'IP dinamico che possa
esser passato in uso ad altri, c'è ovviamente il caso che l'invio abbia
luogo sfruttando trojan o altro che permetta di abusare la macchina del
mittente, piuttosto che il suo router, ecc.
Bye...


 come IP tutti i dati del computer "casalingo" della persona
Beh, diciamo che è abbastanza evidente che è stata quella persona.
Solo un'analisi forense, con richiesta da parte della magistratura 
di vari log su cui fare controlli incrociati potrebbe dare la certezza,
in senso giuridico.
-- 
Il 12 giugno scegli se vuoi uno stato liberale
od uno stato (pseudo)etico: vota sì ai referendum.

 schedina vincente dell'enalotto) 
Eh, ma succedono cose che uno nel 2005 non si aspetterebbe mai...
root@3[~]# hping -S -p 25 -V xxx.xxx.xxx.xxx
using eth0, addr: 192.168.3.3, MTU: 1500
HPING xxx.xxx.xxx.xxx (eth0 xxx.xxx.xxx.xxx): S set, 40 headers + 0 data
bytes len=46 ip=xxx.xxx.xxx.xxx ttl=35 DF id=1620 tos=0
iplen=44 sport=25 flags=SA seq=0 win=32768 rtt=44.3 ms seq=1078080000
ack=90943017 sum=7142 urp=0
len=46 ip=xxx.xxx.xxx.xxx ttl=35 DF id=1633 tos=0 iplen=44
sport=25 flags=SA seq=1 win=32768 rtt=41.1 ms
seq=1078272000 ack=770059492 sum=37ad urp=0
len=46 ip=xxx.xxx.xxx.xxx ttl=35 DF id=1669 tos=0 iplen=44
sport=25 flags=SA seq=2 win=32768 rtt=44.1 ms
seq=1078336000 ack=1905994832 sum=1470 urp=0
len=46 ip=xxx.xxx.xxx.xxx ttl=35 DF id=1676 tos=0 iplen=44
sport=25 flags=SA seq=3 win=32768 rtt=44.8 ms
seq=1078528000 ack=879377527 sum=1aaf urp=0
Da non credersi, ma questa è una macchina esposta su internet.
Chiunque la identificasse ed avesse un minimo di competenze
riuscirebbe a fare dei magnifici spam run in blind spoofing...


 Da non credersi, ma questa è una macchina esposta su internet.
O_o


 
Idee sul s.o. utilizzato?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Da bambino ero in grado, bendato, di giocare quattro partite a scacchi
contemporaneamente.  Le perdevo tutte.
		-- A. Drake e F. Marion

 Idee sul s.o. utilizzato?
Un SO piuttosto vetusto, non MS, comunque.


 Idee sul s.o. utilizzato?
MacOS? AmigaOS? Ma piu' probabilmente SunOS, un vecchio HP-UX o
AIX o, piu' in genere, uno UNIX dei bei tempi andati.
Fabio

 AIX o, piu' in genere, uno UNIX dei bei tempi andati.
Lo sai già che ti stimo tantissimo, eh? :-)


 Lo sai già che ti stimo tantissimo, eh? :-)
Ma piantala, che poi mi fai piangere :-) Tolti gli improbabili MacOS
(che avrebbe pure diverso TTL) ed AmigaOS, nella "banda dei 64k" [1]
rimanevano una manciata di UNIXsauri, come probabili candidati. Dopo
una breve ricerchina, parrebbe evidente che si tratti di HP-UX (vedi 
tcp window), come mi confermano anche per mail.
Fabio

> (che avrebbe pure diverso TTL) ed AmigaOS, nella "banda dei 64k" [1]
Dimenticata la nota. Meglio, va', che ce ne metto soltanto una parte
(l'altra in privato). Quindi:
[1] nmap ha addirittura una metrica specifica per assegnare gli host
    di questo tipo ad una classe che viene definita "64K".
Fabio