Newsgroup: it.comp.sicurezza.varie
Titolo: acquisti sicuri on line: bonaaa

Stavo pensando... [1]
...prima o poi qualche furbacchiotto pensera' a monetizzare la propria
bravura nello scriver porcherie per IIS, prima che lo mettano ai ferri
e lo mandino a schiantare di scorbuto in una miniera di guano [2].
Per esempio, scrivera' una versione di Code Red modificata, che invece
di assorbire tutte le risorse della CPU controllera' chi si connette e
che PC ha, e solo in quel caso gli impestera' il client per poi andare
in giro per il mondo. Non dando fastidio ai web-masters dormienti, non
sara' scoperto (o non arrivera' in prima pagina, e con figure grosse a
sufficienza da svegliare il resto dei web-masters in sonno profondo).
E se ne rimarra' zitto zitto finche' non trovera' un server e-commerce
con HTTPS, che si riconoscono bene, e a quel punto infettera' le forms
dove viene letto il numero di carta di credito che VIENE CRITTOGRAFATO
IN TRASMISSIONE, e come no?, ma SUL SERVER INFETTO ARRIVA IN CHIARO, e
nel 99% dei casi in un campo riconoscibile, che magari si chiama "CC",
ma se anche non fosse e' un campo contenente un numero che segue delle
regole precise e *CONOSCIUTE*.
A quel punto, il worm si limitera' a mandare una e-mail ad un array di
indirizzi - tutti falsi, of course - oppure a pubblicare le info in un
form <!-- nascosto -->, cosi' che solo "chi sa" possa pupparsele, e in
modo assolutamente anonimo e sicuro.
**********************************************************************
* Correte ai ripari: *ESIGETE* che i fornitori dei vostri servizi on *
* line montino servers non vulnerabili. Senza tale garanzia, data da *
* terze parti affidabili o dal fatto che il software e' una versione *
* che, come minimo, non e' famosissima per esser bucata, INFORMATELI *
* che non userete il loro sito.                                      *
**********************************************************************
M'e' venuto di pensarci, perche' mezz'ora fa ho comprato un programma,
via Web, gli ho dato il numero di carta di credito, ed ho visto che il
server andava piano e pareva impestato (ma me ne sono accorto DOPO). E
difatti.
La risposta delle tre scimmiette che amministrano quel server e' stata
- testuali parole - che il loro server e' sicuro e certificato e segue
tutti gli standards di sicurezza. Cosi' non solo HANNO root.exe, ma, a
quanto pare, neanche faranno niente per levarlo! E' una fortuna che l'
autore dell'exploit non abbia fantasia, o bisogno di soldi... O almeno
lo spero.
Dato che su quel sito hanno i miei dati, mi scuserete se non vi do' l'
URL. Oltretutto e' in America, sicche' mi serve a una pippa anche fare
una denuncia (anzi adesso scrivo all'FBI: vediamo se rispondono a LORO
con la stessa faccina da schiaffi che hanno usato con me, eh...)
Leonardo irritatissimo
[1] lo so, nel caso mio e' una cosa che fa notizia
[2] o lo assumano come consulente pagatissimo, secondo i casi
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

Io non ho mai fatto un acquisto online..... vedi tu.... Preferisco la
vecchia abitudine di uscire e comprare cio' che mi server :)...tanto + o
meno si trova tutto.....
Ah ho mirrorato iplogd da sourceforge..come mai l'ultima versione non
funziona?...
bye bye
--
bismark
www.bismark.it
(ISP. Italian Security Project)

funziona?...
Oh, la 3.0 ha avuto un arresto dello sviluppo :-)
Ci *dovevo* lavorare, poi sai com'e'...
Leonardo


 Oh, la 3.0 ha avuto un arresto dello sviluppo :-)
vitamina D
e lo porti al mare quel benedetto figliolo!

 [1] lo so, nel caso mio e' una cosa che fa notizia
Incredibilmente ti ho preceduto nel tuo pensare (forse frequentare
questo ennegì mi fa bene). Ti ho talmente preceduto che, da quando
frequento i NG sulla sicurezza, mi è passata la poca voglia che avevo di
comprare qualcosa in rete. Il problema non è IIS, fatta la legge trovato
l'inganno. Cioè, ci sarà SEMPRE quanche bricconcello più bravo
dell'amministratore del server (o almeno della maggior parte dei
server), e per questo credo che il commercio elettronico non sarà MAI
sicuro, posto in questi termini. Stanno incominciando infatti a spuntare
nuove forme di pagamento per acquisti fatti in rete, e mi sembra anche
giusto. Fino ad allora, prima di comprare anche solo uno spillo mi
rosicchio le nocche.
Saluti
Lella che va al supermercato. :-)

 rosicchio le nocche.
Io per fare compere su 
i.net
 uso i codici usa e getta della mia carta di
credito, come sicurezza non e' male.

 ha scritto nel messaggio
news:slrn9qk877.17...@poldo.andry.home...


 server andava piano e pareva impestato (ma me ne sono accorto DOPO).
http://www.monetaonline.it

 Leonardo irritatissimo
www.omnipay.it
(Per MonetaOnLine devi avere il conto nelle banche che lo supportano)
Ciao
Uranox
-- 
Inviato il ven 21 set 2001 10:48:03 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 (Per MonetaOnLine devi avere il conto nelle banche che lo supportano)
No.

 e lo mandino a schiantare di scorbuto in una miniera di guano [2].
<cut>
Sono d'accordo che acquistare on line non e' una delle cose piu' sicure da
fare, anche se le tecnologie per renderlo sicuro ci sarebbero, quello che
manca e' l'educazione nel settore sicurezza sia da parte dei webmaster che
da parte degli utenti.
Un altro elemento da considerare e' che la frode sulle carte di credito
generata da siti crackati e' solo una frazione del problema.
In Inghilterra, come in molti altri paesi, l'uso della carta di credito e'
molto diffusa. Basti pensare che puoi usare la carta di credito per comprare
un pacchetto di sigarette e che il 95% degli automobilisti paga la benzina
appunto con la CC. A proposito di benzinai: qualche tempo le news
riportarono che Scotland Yard aveva intercettato una banda specializzata in
clonazione delle CC. Per clonare una CC hai bisogno di avere per lo meno i
dati della carta che vuoi clonare. La parte interessante e' per ottenere
tali dati, non si affidarono ad un cracker per accedere alla banca dati di
qualche website sprovveduto. Invece si affidono ad un gruppo di minorenni
che rovistavano il bidone della spazzatura di tutte le petrol station.
Infatti avevano scoperto che l'automobilista medio inglese, butta
'diligentemente' la ricevuta nel cestino. Cosi' senza fare un grande sforzo
tecnologico, erano riusciti ad ottenere gli stessi risultati. Per non
parlare poi dei commercianti disonesti che registrano il numero di carta dei
clienti per poi vendere la lista a tali 'organizzazioni'.
Come in molte cose, la paura e' spesso generata 'dall'ignoranza'. Si teme
quello che non si conosce. In Italia l'uso della carta di credito e' ancora
alla fase 1. Questa estate in Italia sono rimasto sorpreso per la totale
diffidenza da parte dei commercianti quando volevo pagare con la CC. Quelli
che l'accettavano, non verificavano nemmeno la mia firma.
Ecco perche', visto che devo rischiare comunque, preferisco la grande
comodita' di acquistare on line...e' chiaro, dopo aver effettuato un scan
per verificare se ci sono bugs, sul server sul quale sto effettuando
l'acquisto. Purtroppo non posso fare lo stesso su di un ipotetico
commerciante disonesto on live.....
Tony H

 clonazione delle CC.
xche' andare distante:
Milano, tangenziale est direzione Ve, stazione di servizio Cascina Gobba
blindati

Con Omnipay sei perň obbligato a comprare nei negozi
convenzionati .O no ?


 blindati
perche' nel mio caso Scotland Yard e' piu' vicina....

Quelli che l'accettavano, non verificavano nemmeno la mia firma.
Diverse persone che conosco non hanno mai fatto la firma dietro la
carta e non gli e' mai stata richiesta/controllata da nessun
commerciante!
-- 
Lapalissiano
Icq 57269703

 (Per MonetaOnLine devi avere il conto nelle banche che lo supportano)
Scusate se intervengo... sulla sicurezza sono una pippa
(e infatti lurko per cogliere ogni possibile suggerimento per
migliorare), ma in banca ci lavoro:
per MonetaOnLine chiunque (anche chi non ha conto) puo' farsi
la prepagata e spenderla on-line...
con il sistema del numero di carta nuovo ad ogni connessione e
con una prepagata caricata ad hoc, la sicurezza dovrebbe essere
sufficiente credo.
Saluti
Luigi

 grazie
E' molto semplice, io ho una carta di credito visa di banca intesa,
quando devo fare una spesa su internet, mi connetto ad un sito della
banca in ssl a 128 bit, metto il mio numero di carta, decido se il nuovo
codice puo' essere usato piu' di una volta, qual'e' il tetto massimo di
spesa e la banca mi rilascia un nuovo numero di carta collegato
all'originale, quando compro qualcosa, uso il codice usa e getta, cosi',
anche se mi sniffano il numero, non lo possono utilizzare, se vuoi +
info vai a vedere su 
www.monetaonline.com
 o .it, ora non ricordo.

 sufficiente credo.
io la uso ormai da piu' di un anno e devo dire che mi trovo veramente
bene.
 

    <-- 2 scelta
->NON ABUSARE gli "abuse desk", segnala solo lo spam e il vero netabuse<-      

 ha scritto nel messaggio
news:9ofdgg$cm7bp$1...@ID-65620.news.dfncis.de...

argh. ora capisco quell'addebito per un tanga piumato che avevo sulla cc lo
scorso mese ...
un mayhem che secondo lui le piume fanno solletico.
--
"Se una cosa e' segreta e riservata ad un'elite non puo' essere buona."
The Skulls - 
http://www.gnu.org/

 non potrebbe far nulla perche` privo del numero vero, o sbaglio?
mi sono sbagliato io, non mando il numero della carta, ma faccio una
normale identificazione UID+PWD.
 

 la prepagata e spenderla on-line...
Ooops ... a me avevano detto che non era possibile senza un conto aperto.
Tenkz per la info.
Ciao
U.
-- 
Inviato il sab 22 set 2001 17:06:52 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 cc lo scorso mese ...
May...
Proprio proprio sicuro di non averlo comprato tu? :PPP
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.5 - WindowMaker

 via Web, gli ho dato il numero di carta di credito, ed ho visto che il
[CUTTONE]
Appropo', questo mi ricorda qualcosa.
Leonardo, hai mai ricevuto una mia mail ?
Sģ, ho gią letto 
65d9eto8em09n9ilp...@4ax.com
 ,
ma non "mi lamento", chiedo soltanto :-))).
Bye, G.

Leonardo, hai mai ricevuto una mia mail ?
No, non mi pare. Ho avuto due giorni di blackout una ventina di giorni fa,
non so se ci puoi essere incappato (anzi no: ti rimbalzava).
Leonardo


 scorso mese ...
uhmmm ma quello serve sempre!!!!!

 commerciante!
Beh, se e' per questo capita pure che la carta di un uomo sia usata da
una donna (e il negoziante non batte ciglio)
Luigi