Newsgroup: it.comp.sicurezza.varie
Titolo: se cercate codici e pensate di essere anonimi... no! anche per raffaele vigliotti - lello

 lumi a loro.
che è oltretutto luogo più opportuno.
ciao
qu

 che è oltretutto luogo più opportuno.
Secondo me e' come dice lui.
HappyCactus che magari sarebbe il caso di illustrare il tema, che dite? 
:)
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 :)
http://groups.google.it/groups?hl=it&threadm=8f08du4kgvd2h6stgv34kgj4fjm7q3ml1c%404ax
.com&rnum=1&prev=/groups%3Fas_umsgid%3D8f08du4kgvd2h6stgv34kgj4fjm7q3ml1c%
404ax.com
%2
6hl%3Dit
--
Dany Keisler

 6hl%3Dit
Concordo in tutto quel che ha scritto qu tranne che sul fatto che "sia 
relativamente semplice". 
| La ricerca è più difficile, m non troppo. In ogni caso quanto già detto
| l'uso di mezzi basati financo sul famosissimo ''social engineering'' 
| possono
| bastare. Ad oggi è possibile trovare informazioni su chiunque 
| utilizzando il
| suoi ip e altr mezzi appositi, a disposizione di tutti, fra l'altro, ma 
| la
| cosa è reato.
Queste imho sono solo leggende metropolitane. L'unica cosa vera di queste 
frasi e' la validita' del social engineering.
Mi piacerebbe tanto che qualcuno mi dimostrasse tale tecnica. Il mio IP 
e' desumibile dal post e il mio indirizzo email e' valido.
L'unico modo per correlare IP, data e ora di collegamento a nome di 
persona (intestataria della linea telefonica) e' la consultazione dei log 
di collegamento del provider _E_ la consultazione del database clienti 
del provider. per OVVI motivi di privacy i dua dati sono custoditi in 
posti separati e in modo molto, molto geloso.
| Esiste, poi, una procedura precisa financo per accedere all'email del
| soggetto noto, e ottenerne i dati di registazione, ma siamo nel campo 
| del
| black hacking, anche se a portata ''semplice''...
Questa e' una cazzata
| Esattamente. Ma non dalle sole forze dell'ordine. Diciamo che in
| *molti*possono ma NON devono, e che *pochi* sono specificatamente
| autorizzati.
Questo e' vero: sicuramente i dipendenti (solo alcuni) possono accedere a 
tali dati previa autorizzazione del responsabile del trattamento dei dati 
personali, il quale, se il provider e' serio, la rilascia solo ed 
esclusivamente su precisi e ben fondati motivi (operazioni illecite - 
abuse desk -, richieste scritte da parte del cliente)
Chi non rispetta tali regole rischia sanzioni amministrative e penali 
salatissime, nonche' la distruzione della propria reputazione come 
azienda.
IMHO dunque, per spiegare il fenomeno, la cosa piu' semplice e' il 
cyberstalking: cercare sugli archivi quante piu' informazioni riuscirai 
mai a trovare sulla vittima, collezionarle, collegarle.... basta anche un 
post del 1994 su google incui dici "mi presento, sono tizio".... su una 
email magari vecchia, con un nick differente..... E' un lavoro snervante, 
ma si puo' fare (e c'e' gente che lo fa).
In ogni caso, credo ci siano tutti gli estremi per una denuncia ad abuse 
(minimo)


Questo e' vero: 
....mmm.... su questo chiedo ulteriori lumi......
Tu dici "vero" in quanto i dipendenti del provider possono avere
fisicamente accesso ai dati, o perchè è facile risalire agli stessi da
parte di un utente medio/esperto?
Dalla tua risposta si direbbe la prima, però chiedo per conferma.
Saluti a tutti.
--
Icarus
"L'uomo felice non è colui che ha ciò che desidera, 
ma colui che non desidera ciò che non ha." (Confucio)

 Dalla tua risposta si direbbe la prima, però chiedo per conferma.
E'satto :)
Intendevo dire che comunque ci sono delle persone che hanno fisicamente 
accesso ai database dei dati personali dei clienti. Inoltre ci sono altre 
persone che hanno accesso ai log. Normalmente per accedere agli uni o 
agli altri e' necessaria una autorizzazione da parte del responsabile al 
trattamento. Ancor piu' se vuoi avere accesso ad entrambi. 
Se una delle persone che hanno accesso volesse utilizzare i dati per 
scopi personali, potrebbe ma l'accesso senza dubbio verrebbe registrato, 
si spera in modo da non poter essere distrutto (su supporto non 
riscrivibile, ad esempio), sotto diretta responsabilita' di qualcun 
altro. 
Insomma, le possibilita' ci sono: se poi attualmente c'e' qualcuno che lo 
fa (almeno tra i grandi proviuder) questo e' da dimostrare.
Sicuramente pero' non puo' farlo un utente medio o esperto senza 
incorrere in grossi problemi legali, senza cioe' introdursi 
fraudolentemente nel sistema. Che poi la cosa sia facile o ci siano t00lZ 
disponibili a chiunque, questa e' una gran cazzata. 
Certo, esistono anche provider deficienti che continuano ad utilizzare 
IIS 4.0 per i loro server (ahem... ne so qualche cosa) da cui non mi 
aspetterei gran che'...


E'satto :)
 
[cut]
Thanks.     ;o)
