Newsgroup: it.comp.sicurezza.varie
Titolo: [OT?] providers e sicurezza.. :-(

Salve a tutti, non so se il post è OT, nel caso lo fosse mi scuso in
anticipo. :-)
veniamo al dunque..
Io mi occupo di sviluppo di applicazioni web sia per il cliente finale che
per conto terzi.. mi capita quindi di lavorare con numerosi providers, dai
più piccoli (ma non per questo scadenti) ai più grandi (e quando dico grandi
intendo a livello nazionale)..
Ultimamente ho lavorato spesso con.. ma si, facciamo nomi e cognomi,
sperando che nessuno si offenda.. con Infostrada (ora Itnet) e con I.net
Lavorando io in asp ho bisogno di account con uso di db che non siano
access.. ed ecco le soprese in merito alla sicurezza:
- Itnet non fa alcun problema, mi da login e password e tramite quelli mi
autentico e posso gestire il db tramite l'enterprise manager di sql server
dal mio computer senza problemi (db MsSqlServer)
- I.net (db MySql) mi ha chiesto un ip statico perchè per farmi lavorare sul
db deve aprire il firewall solo per il mio ip... =:-O
l'interlocutore I.net (con il quale io non ho parlato direttamente, ma le
mail viaggiano per interposta persona) si giustifica dicendo che
"..non lo sto' facendo apposta credimi ma non metto a repentaglio tutti gli
altri clienti.
Non hai idea dei continui tentativi che ci sono in giro di hackeraggio.."
Ora, I.net non è esattamente un provider piccolo (ricordo la presentazione
della loro server farm sul loro sito.. impressionante), ma se sono a questo
livello.. o sbaglio?
Se non ricordo male MySql risponde  sulla porta 3306 (o qualcosa del
genere).. nel momento in cui:
- c'è una attenta gestione delle password
- viene loggato tutto
- mi restringono il campo di azione sul db solo ed esclusivamente a quelle 4
pu....ate che devo fare
che rischi corrono? chi dei due sbaglia? o è mysql ad essere meno sicuro
(pare strano..)
Grazie per l'attenzione
Saluti
--
Stefano Zamboni 
sz...@libero.it
Legge di Biondi:
Se il tuo progetto non funziona, controlla la parte che non ti pareva
importante.

 - mi restringono il campo di azione sul db solo ed esclusivamente a quelle
4
    pu....ate che devo fare
Queste sono cose da fare comunque. Ma la gestione delle password, ad
esempio,
puo' essere fatta male dal cliente e / o dal suo consulente e restringere
gli
accessi puo' aiutare. I log ti dicono cosa e' successo _prima_, ma intanto
e'
successo e non saprai mai tutto quello che e' successo. Il campo di azione a
volte puo' essere... uhmmm... allargato :) Se metti insieme tutto (tizio che
ti fotte la password e dal suo computer di casa si collega e sfrutta qualche
porcheria per innalzare i propri privilegi, magari sull'intero sistema e non
solo nell'rdbms)... insomma: quando ero in housing da inet non mi dispiaceva
affatto che telnet, ftp e msql fossero filtrati sul nostro ip fisso.
Pensa anche alle vulnerabilita' dell'ultimo minuto: tra la scoperta e
l'uscta
della patch passano delle ore, magari dei giorni, e intanto...
Fabio


Saluti
--
Stefano Zamboni 
sz...@libero.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.

 Io mi occupo di sviluppo di applicazioni web sia per il cliente finale
e forse e' meglio che continui ad occuparti di applicazioni web e la
sicurezza la lasci ai sistemisti. ;-)
Scusa la polemica ma non vedo cosa ci sia di male ad essere un attimino
piu' paranoici.
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *

 piu' paranoici.
nema problema.. la paranoia fa bene.. anche come programmatore, se non hai
un minimo di paranoia.. :-)
Ciao
--
Stefano Zamboni 
sz...@libero.it
Legge di Ruckert:
Non c'è problema tanto piccolo che non possa essere ingigantito.

 provider che rompe.." non li capisce..
... oppure ti prendi un ip fisso e vivi felice :) Se lo fai per lavoro
i costi non dovrebbero essere un problema: immagino che li scaricherai.
Altrimenti: nessuno dei tuoi clienti ha una macchina con ip fisso e che
possa metterti a disposizione una shell ? La puoi usare come intermediario
per i trasferimenti e se lui e' d'accordo il gioco e' fatto: forse non e'
comodo come avere un ip fisso ma ci si avvicina.
Fabio