Newsgroup: it.comp.sicurezza.varie
Titolo: [OT 90%] l'orologio del sysadmin

Un saluto a tutto il NG,
non so se l'argomento è "vecchio", e per questo
vi chiedo un po' di pazienza (anche per il semi-OT).
Mi capita spesso di trovare la linea del provider occupata,
e di riuscire a collegarmi solo dopo una raffica di tentativi,
perciò devo supporre che la linea sia stata appena liberata
da un altro utente.
Credo che la cosa funzioni, in maniera analoga, per gli IP.
Supponiamo che l'utente del mio nuovo IP era un cracker
(di quelli veramente salati in superficie :), magari pure con 
'la flat') che si è divertito a fare dei blitz (ovvero 
_sveltina-crack_) ad alcuni server con l'orologio "spostato" 
di qualche minuto (in questo caso, in avanti) rispetto a quello 
del provider.
[sto arrivando al punto...]
Supponiamo ancora che il sysadmin della società del server
si accorga dell'intrusione e denunci il fatto (magari mostrando
i log come pretesto); a questo punto, in Teoria, la prima persona
che dovrebbe essere sospettata è quella che possedeva quell'IP 
a quell'ora (sto ancora supponendo), cioè io (un pidocchioso newbie),
che ho pure l'HD pieno di doc, crack-info & exploit !
A questo punto mi chiedo:
L'IP è veramente così importante ?
Come fanno a sapere che ora era in realtà ? (magari è il cracker
che l'ha ri-spostata, dopo)
Come faccio a dire che non c'entro niente ?
Come fanno a dire che io c'entri qualcosa ?
Anche se i log non sono stati toccati, chi garantisce per l'ora ?
Esiste una specie di *time-and-log-security-certification* per un server ?
Ed infine, chi è così gentile da spiegarmi come funziona in realtà ?
Grazie,
e scusate se sono partito... dalla pascalina.
Teòria
-- 
o dovrei firmare Prolixx ?

che ho pure l'HD pieno di doc, crack-info & exploit !
Beh, se sei tanto newbie, a che ti servono gli exploit? ^_^
Ok, sul serio: il akher ;-) e' stato connesso da una certa ora e *per
un certo tempo*.
Il che significa che se fai due conticini ti accorgi che qualcuno ha
spostato le lancette _prima_ che arrivassi tu. ^___^

Ed infine, chi è così gentile da spiegarmi come funziona in realtà ?
Semplice: mentre tu sei appioppato con la tua ragazza nel boschetto, il
caro amico rompipalle si connette col tuo account e fa portscan ovunque.
Tu non c'entri niente, ma al tuo provider risulta che tu ti sei connesso
e hai eseguito una azione illegale. 
Tutte le azioni di sicurezza come cambiare la psw ogni tanto e non dirla
a nessuno (soprattutto) servono per evitare questi inconvenienti.
Ciao!
Davide
----------<kra...@libero.it.NOSPAM.invalid>----------
Davide Casero             |     evotec s.r.l.
Responsabile Servizi Web  |     
www.evotec.it
-----------------------------------------------------


Occorre sapere come vengono costruiti i log del service provider (Magari
dai router).
Se nei log del service provider compare l'ora reale associata al
transito dei pacchetti fanno presto ad accorgersi che gli orari non
combaciano e i log del Sysadmin cracckato sono fasulli e prenderanno per
buoni quelli del router.
Ma non è così che sfuggono gli acker ai controlli , usano cavalli di
troia in catena molto lontani perché se la connessione venisse tracciata
interamente non avrebbero scampo , ma  chi gestisce i siti web lo sa
bene quindi deve fare in modo che gli hacker non possano entrare. Per
ora non c'è altra soluzione.
Hai mai provato a vedere chi tenta di accedere alla tua porta 137 ?
Turchia Cina Iran Ecc..
E chi li va cercare questi ?!

 Esiste una specie di *time-and-log-security-certification* per un server ?
hum ogni switch, router, server ben configurato tiene i log in UTC, in
millisecondi, sincronizzati con un orologio ntp (network time protocol)
affidabile.
gli strumenti per non farlo alterare ci sono (keys, access-list, evvia
discorrendo). chiaro che se ti hanno bucato possono avere modificato tutto,
ma altrettanto chiaro che hanno cancellato parte dei log, cmq un bravo
sysadmin dovrebbe essere in grado di capire *circa* quel che e' successo.
un mayhem che i log vanno su /dev/lp0 per conto mio :)
--
Three things are certain: Death, taxes and lost data. Guess which has
occurred.
(remove ME to reply)

 Turchia Cina Iran Ecc..
canada...

 spostato le lancette _prima_ che arrivassi tu. ^___^
mmmh, troppo facile... e se non le ha spostate perché l'orologio andava già
male ? (non vorrei dire cavolate, ma mi pare che i server web scrivono l'ora
pure sulle risposte HTTP)
Teòria
-- 
no mail, no mail, panic !

 e hai eseguito una azione illegale. 
Beh, questa è una situazione che dimostra ancora di più che tutto ciò è
una gran farsa: IP, ora, account... non dimostrano niente, quindi un reato
informatico non è più facilmente controllabile di qualsiasi altro, nemmeno
nei tempi !
Teòria
-- 
booh ?

 E chi li va cercare questi ?!
Hai ragione, e poi, se non rubano qualcosa, non gliene frega niente a
nessuno.
Teòria
-- 
Virus found: 
win.com
, remove [Y] ? y

 un mayhem che i log vanno su /dev/lp0 per conto mio :)
Mi hai tolto "il pensiero dalla testa" (lp0, come nei vecchi film...),
ma poi ho visto che si può loggare in remoto...
Teòria
-- 
what's the time ?

 ma poi ho visto che si può loggare in remoto...
e se hai il syslogd remoto bacato e ti sventrano pure la macchina che logga
da remoto? punto e a capo. che vengano a scolorinare i fogli della mia
lexmark ;P
un mayhem che un giorno riusciro' a dormire come gli umani...


 Usi i rotoli di carta igenica o di carta assorbente da cucina?
loggando su lp0 l'indispensabile ed usando gli scatoloni di modulo a 132
colonne che alcuni vorrebbero buttare al macero che altri comprano e che
usano (ed una o due scatole in meno mica gli fa la differenza) risolvi :D
un mayhem che pensa all'archiviazione ottica :DDDD


 un mayhem che un giorno riusciro' a dormire come gli umani...
Beh, in "piedi/e", con almeno uno dei tanti occhi "aperto", 
tenendo fermi i tentacoli, gli umanoidi possono provare a dormire.
	(Se non sanno che sei in zona ;-))
Sempre che ne frattempo non ti OBBLIGHINO ad installarTi un server W2K
;-)
-- 
Odio le catene, tutte ma specialmente quelle
legate ai santi. SPAM.... No, grazie, P.L.F.

nei tempi !
RE:
hai mai provato a connetterti a internet da un'altro pc diverso dal tuo?
Il server cosa vede di diverso da quando sei a casa? Solo il numero
telefonico del chiamante, perchè l'IP è dinamico (e quindi te lo assegna
lui) e i dati utente-società sono legati all'account che apri con
user-ID e password. 
Quindi, per poter effettuare dei seri controlli, il provider dovrebbe
risalire al nome del chiamante utilizzando il riferimento al numero
telefonico. Non tutti lo fanno (questione di privacy)... chissà quanti
utenti vengono segnalati giornalmente...
La gravità della situazione determina la serietà dei controlli e dei
provvedimenti: un portscan è un conto, una intrusione è un altro...
E comunque se un giorno qualche sbirro bussa alla porta di casa tua,
ricorda che se hai programmini "strani" sul pc (tipo monitor di rete,
trojan, e giochini per lamerozzi) avrai meno probabilità di fargli
capire che eri nel boschetto con la tua ragazza... :-)
Ciao
