Newsgroup: it.comp.sicurezza.varie
Titolo: e mail

 
              Buon giorno a tutti,
vorrei sapere se mi potete aiutare riguardo un problema che penso di
avere...
E' possibile per un estraneo venire a sapere a quale gestore di posta
elettronica si appoggia un indirizzo e-mail?
Ho la sensazione che la mia posta , aziendale, sia ... sbirciata da
qualcuno...
Qualcuno mi da una mano?
Grazie in anticipo
Alberto
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 elettronica si appoggia un indirizzo e-mail?
Dovresti chiarire il concetto.
Se vuoi sapere se si puo' sapere chi e' il gestore del server mail cui
fa capo un indirizzo di posta, e' non solo possibile, ma e' palese, il
dominio di posta e' pubblico, e si puo' sapere chi lo gestisce.
Se vuoi sapere altro, specifica meglio.
PS: Per poter "sbirciare" la posta della tua azienda il curiosone
deve avere una di queste opportunita':
-Avere un accesso ad uno dei server/nodi di transito.
-Avere un accesso ad uno dei server destinatario.
-Avere un accesso ad uno dei server mittente.
-Essere il sysadmin aziendale, che ha tra i suoi compiti quello di
controllare la mail. ;-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
questo e' indipendente dal sapere tutto quello di cui sopra...
-- 
AB


Eh no! Il sysadmin ha il compito di controllare "il servizio di email", non
la email (cioe' il contenuto). C'e' una bella differenza!
-- 
AB


Due precisazioni:
1) Lo smiley lo avevo messo.
2) Il sysadmin, se parliamo di mail aziendali, puo' essere anche
incaricato di alcuni tipi di controllo sul contenuto della posta
aziendale, in alcuni casi.


 controllare la mail. ;-)
- deviare ed intercettare il traffico, mediante banali tecniche mim
  (vedi: potenzialmente qualsiasi altro dipendente con accesso alla
  rete aziendale);
- essere a conoscenza delle credenziali di accesso ad una eventuale
  webmail o, comunque, al server di posta (vedi anche sopra);
- avere accesso alle cartelle in cui sono archiviate le mail, sull'
  host stesso;
- aver guadagnato un accesso privilegiato alla macchina mediante un
  programma di controllo remoto;
- accedere alla console della macchina durante la pausa caffe' dell'
  utente legittimo;
- ... altro a piacere...
In ogni caso, chiarire da quali evidenze derivino questi dubbi sulla
possibile violazione della propria corrispondenza potrebbe aiutare.
Fabio

 aziendale, in alcuni casi.
e quando il dipendente sia al corrente che ciň possa avvenire, se non 
erro. 
-- 
Un giorno senza un sorriso, e' un giorno perso (C. Chaplin)

 possibile violazione della propria corrispondenza potrebbe aiutare.
Paranoia, semplice paranoia, da quando gli ho detto di quante virgole
avrebbe potuto fare a meno durante tutto l'anno scorso, ha cominciato
a sospettare qualcosa. mah!. ;-P


 
Sto parlando di mail aziendale.
Per essere mail aziendale, deve essere stata affidata in uso al
dipendente con un documento scritto con certe caratteristiche ben
precise, tra cui anche che il traffico aziendale, non essendo privato,
e' verificabile, per fini di sicurezza.


 essendo privato, e' verificabile, per fini di sicurezza.
si lo so, ma se questo documento non č mai stato consegnato?


 E io che avevo detto? :-)
Quasi :-) Questione di termini usati senza specificare l'accezione in
cui sono stati pensati.
Fabio


in effetti... il dipendente deve esserne stato messo al corrente in modo  
chiaro ed inequivocabile oppure deve essere una voce esplicitamente  
contenuta nelle policy aziendali.
-- 
# linux counter
# 387461

 si lo so, ma se questo documento non è mai stato consegnato?
Beh, possono nascere dei problemi, a prescindere.
Poi, dipende se la mail si chiama robertopoggi at nome del dominio
oppure servizio IT at nome del dominio.
Nel primo caso c'e' da discutere, servono delle motivazioni molto
pesanti, e di cui ci sia traccia in qualche documento aziendale,
verbali del cda o simili, ad esempio riscontri di fuga di documenti
riservati, segreti industriali e simili, e non e' detto che l'esito
di una eventuale azione di ricorso/denuncia da parte del dipendente
sia a favore o contro.
Nel secondo, c'e' comunque da discutere, ma molto meno.
Pero' ricorda: IANAL.


 che non e' un "server destinatario".
Hai ragione da qui in avanti, ma solo perche' prima avevo messo il 
doppio delle voci, poi per diminuire le righe ho unificato server/nodo
ma non l'ho riportato in tutte, come ho invece fatto nel primo caso.
Sia l'host mittente che il server destinatario sono nodi.


 di quelli esistenti.
Lo escludo. Conosci perfettamente anche che tu come si esegue un
mim e sai altrettanto bene che non e' necessario avere l'accesso
ad alcun nodo intermedio gia' esistente. A meno di non provare a
sostenere che inserire, da remoto, un'entry in una tabella arp o
nella cache di un dns sia definibile come "accedere" :-)
Fabio

 nella cache di un dns sia definibile come "accedere" :-)
Sostenere che per fare arp poisonong devi in qualche modo accedere
ad un nodo intermedio (comprendendo i due estremi) mi sembra
possibile. (anche un router/switch e' un nodo di rete da attraversare)
Per il Dns, beh, troppo alla lontana per sostenere che sia un nodo
intermedio della comunicazione. :-)


 qualcuno...
Questo è un'altro problema.
Come saprai, la casella postale è protetta con la password, non con il
segreto (di pulcinella) di dove si trova il server.
Inoltre per la casella aziendale devi mettere in conto che è aziendale.
 Insomma, tanti segreti è meglio che non ce li tieni.

 possibile. (anche un router/switch e' un nodo di rete da attraversare)
Switch? Si parlava di arp poisoning, non di port stealing.
 
Fabio

 Switch? Si parlava di arp poisoning, non di port stealing.
Ho aggiunto un ulteriore punto di ingresso, del resto il poster
originario non ha specificato chi era il sospettato, e se si pensa
all'utente finale che teme l'intromissione del sysadmin, anche
quello e' un punto piuttosto sensibile.
Insomma, il punto mi sembra abbastanza chiaro nella sua complessita'.
In qualsiasi punto in cui transita _in chiaro_ la posta, ci si
puo' sbizzarrire ad inventarsi un modo per catturare i dati in
transito.
Ovvio che i punti piu' facilmente usabili sono i due estremi del
tragitto: il pc da cui parte, che puo' essere troianizzato o in
qualche modo sotto osservazione, e quello di arrivo.
Per le intrusioni in tutti i punti intermedi ci si puo' salvare
criptando la comunicazione tra il client e il server, cosa che
ad oggi fanno troppo in pochi (in realta' lo faccio raramente
anch'io), anche se cio' non salva da intrusioni sul server di
arrivo.


 ...
http://www.tgcom.mediaset.it/tgtech/articoli/articolo296573.shtml
sbaglio o l'authority ci ha appena smentiti tutti al riguardo ??

markus von telemark ha scritto:

Io ho letto l'articolo su PI e si legge che non c'era nessuna policy 
aziendale circa il monitoraggio della navigazione
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ho scoperto qualcosa che fa il lavoro di dieci uomini.  Dieci donne!
		-- Tony Randall

 
e in effetti non c'era ma se l'azienda ne faceva esplicito riferimento 
nel proprio documento allora 'avrebbe' potuto indagare... l'authority ha 
fugato ogni dubbio

markus von telemark ha scritto:

Qui le cose si complicano un attimino. Quando si trattano dati sensibili 
( e il garante ha detto che il controllo della navigazione rientra nei 
dati sensibili), non solo bisogna fare la comunicazione al/ai 
dipendenti, ma bisogna farla anche al garante e in qualità di soggetto 
che tratta dati sensibili, si è obbligati alla compilazione del DPS e al 
rispetto oltre che delle misure minime anche delle regole (password 
nuova ogni 30gg, backup, cassette di sicurezza....) legate al tipo di 
dati trattati.
Ciao Sybill

 Ciao Sybill
diciamo che qui l'azienda ha fatto 2 cappelle:
la prima è che non ha informato i dipendenti dei possibili controlli
la seconda è che ha controllato più del lecito
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Il segreto di un candidato politico e' di sembrare stupido come chi lo
ascolta, cosi' che gli ascoltatori si sentano intelligenti come lui.
		-- Fred Barnes

 la seconda è che ha controllato più del lecito
Certo sono daccordo con te.
Anche se ripeto non basta avvisare i dipendenti per essere in regola con 
i controlli.
In realtà a questo punto mi nasce un dubbio amletico, anche mettendo 
l'ipotesi che l'amministratore della rete non vada a sbirciare dove non 
deve, resta il fatto che i dati di navigazione e non solo, restano nei 
vari log e backup, già solo questo basterebbe teoricamente per ricadere 
nella fascia di attività che trattano dati sensibili (secondo il 
garante) e quindi gli impegni e i doveri aumentano e si complicano.
Uno per tutti è la comunicazione al garante!!
Mahh, sono perplesso.
Ciao Sybill

 Ciao Sybill
Molto perplesso... quindi tutti (e dico tutti) i log dei mailserver sono 
dati sensibili perchè io potrei inviare una email alla cgil?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Cosa non darei per fuggire a ovest di me stesso.
		-- Altan

 dati sensibili perchè io potrei inviare una email alla cgil?
alla cgil ??? comunista !!!! :-))

markus von telemark ha scritto:

E me ne vanto :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Era cosi' affollato da Macy's che, quando ho appoggiato il gomito al
bancone, qualcuno lo ha venduto per 1,98 dollari!
		-- Henry Youngman

 
:-)


Cosa ne sai tu, e il garante, se la mail contiene apprezzamenti
o offese?
Come sempre, a legiferare sul buon senso si fanno dei pasticci
mostruosi.


 mostruosi.
sbagliato reply ??

 sbagliato reply ??
Non mi sembra, avevo quotato te, e ho risposto al tuo post.
Sempre che il mio news reader non imbrogli.
L'unica cosa sbagliata e' stata la carenza di faccine da parte
mia, ma credevo si capisse che se ne potevano inserire a piacere.


 mostruosi.
Ok, ho capito il senso..
Ma vista la legge (fatta con i piedi) io non posso sapere se mando un email 
alla cgil per salutare un amico o per dargli i dati dell'iscrizione, quindi 
mi sa che sarebbero comunque dati sensibili (e qui mi sparo direttamente 
negli attributi)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Io credo che un artista non si debba mai prostituire, se non per denaro.
		-- Beppe Grillo

 qui mi sparo direttamente negli attributi)
Beh, dipende, come al solito.
Il problema, secondo me, e' che non c'e' certezza che la navigazione
possa rivelare dati sensibili, a questo punto, tutto e' un dato
sensibile, se ti chiami aaron goldberg, con lo stesso criterio,
posso dire che il tuo nome e' un dato sensibile di appartenenza
alla religione ebraica, e allora come si fa?
Come non puoi sapere se a me la carne di maiale fa schifo, senza
nessun riferimento ad esigenze di salute o di religione.
Insomma, dai soli log posso solo supporre una appartenenza ad
un partito politico, religione o sindacato.
Dall'analisi del contenuto della mail, invece, si'.
Percio' si aprono scenari inenarrabili: tutti i server mail
sono contenitori di dati sensibili, ogni mail in transito deve
girare criptata, di ogni mail si deve fare il backup, di ogni
server mail che si impianta si deve dare comunicazione al garante,
etc.etc.
Per me, citando la corazzata potiemkin, questa interpretazione
restrittiva e' una cagata pazzesca.
E se lo dico io, paranoico conclamato ... :-P
Si prega di cancellare l'ultima riga, in quanto riguardante il mio
stato di salute, e pertanto nella fattispecie dato sensibile.


 ...
comunista e pure permaloso...


Uh?
Saranno le macchie solari, ma non ci arrivo.
Devo ricordarmi di spandere smileys a piene mani, altrimenti
arriva qualcuno che mi da' del permaloso.
