Newsgroup: it.comp.sicurezza.varie
Titolo: Ma che diavolo è successo ?

Oggi, come al solito, mi metto a scaricare la posta del giorno dal server
della TIN al che Eudora (light) mi manda un messaggio stranissimo (almeno
per me) con il seguente errore:
I said " Don't tell everyone my password "
Wrong password for paoemari (nota: è un campo del mio indirizzo e-mail)
A questo punto ho provato a chiudere il collegamento PPP con TIN per poi
ripetere tutto da capo e ricevere lo stesso messaggio d'errore. Allora mi
sono detto qualcuno che ha scoperto la mia password la usata in qualche
modo per cambiare quella esistente (la mia!) o semplicemente stava
scaricando la posta nel mio stesso istante... boh?
Con tutte le intenzioni di chiamare il servizio di assistenza di TIN per
chiedere spiegazioni ho comunque atteso circa 3 ore e ho riprovato a
scaricare la posta e per giunta stavolta ci sono riuscito senza alcun
messaggio di errore.
Gentilmente ora vi chiedo
 
1)Che razza di errore ha dato Eudora
2)Il possibile "furto" della mia password (sottolineo che la conosco solo
io, non l'ho mai scritta e non è facile da indovinare- è composta di 6
caratteri tra cui lettere, numeri e altri simboli) come è avvenuto?
3)Perchè dopo circa 3 ore è tornato tutto apparentemente normale
Ringrazio tantissimo chi potrà chiarirmi tutto ciò
 
						Paolo
--
Automatic posted from 
mail.tin.it
 [194.243.154.49]
via Mailgate Server - 
http://www.mailgate.org

 caratteri tra cui lettere, numeri e altri simboli) come è avvenuto?
il problema di avere una password del tipo "ciccio" "pluto" "pippo"
o "jgfga23" o "kfg34" e' del tutto indifferente 
visto che quando viaggia in rete la password 
1)viaggia in chiaro 
2) basta che qualcuno "sniffi" il tratto di rete tra te e
il server dove hai la posta per leggersi allegramente la tua password
visto che comunque questo problema interessa anche me 
mi piacerebbe sapere se esistono metodi , o server o client 
per rendere sicure le connessioni effettuate tramite POP
secondo me comunque potresti chiedere chiarimenti a TIN
visto che tutto sommato sei un loro utente
ciao 

 per rendere sicure le connessioni effettuate tramite POP
bisognerre utilizzare una linea sicura (SSL) ma è una cosa da pezzi MOLTO
grossi
ciao,
    Marcello


Non è necessario essere pezzi molto grossi: basta avere Apache (per linux) con le librerie SSL, leggersi la documentazione e quindi definire delle
procedure da far seguire all'utente per cambiare la password via WEB.
Saluti

 procedure da far seguire all'utente per cambiare la password via WEB.
Neanche quello: basta avere ssh installato sia sulla macchina dell'utente
(che sia unix oppure no, esistono delle implementazioni ssh anche per altre
piattaforme) che sul server.
Poi si puo' "chiudere" la porta di qualsiasi "servizio" (ad esempio,
ma non solo, con TCP wrappers) e configrare l'ip tunneling di ssh per 
bene per un "qualsiasi" servizio su TCP in modo che "de imperio"
l'utente debba passare da un tunel SSH per accedere a quel servizio.
Fatto cio' si puo' usare il proprio normale client mail eccetera.
Regards,
-- 
Andrea

Chiedo venia (e si che giusto ieri ci hanno consegnato SSH in ufficio!)
comunque sia ho dato per scontato che l'utente medio non sia ne in grado di
acquistare tale software ne tanto meno di installarsi LINUX (magari sbaglio,
non ci ho ancora provato).
Probabilmente però chi ha fatto la domanda non era il tipico utente medio...
Marcello

 non ci ho ancora provato).
"L'utente medio" puo' installare ssh, magari in una versione
commerciale con i vari "frills & chills" anche su macOS e 
Windows.
Ciao,
-- 
Andrea

nu...@tin.it
 wrote:
 >Poi si puo' "chiudere" la porta di qualsiasi "servizio" (ad esempio,
 >ma non solo, con TCP wrappers) e configrare l'ip tunneling di ssh per 
 >bene per un "qualsiasi" servizio su TCP in modo che "de imperio"
 >l'utente debba passare da un tunel SSH per accedere a quel servizio.
Sono io ad essere particolarmente tonto oppure per usare il tunneling di
ssh bisogna dare all'utente accesso alla shell?
Proponi di usare una restricted shell?
[Ma non eri andato dall'altra parte del globo? :-)]
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 [Ma non eri andato dall'altra parte del globo? :-)]
Ho temporaneamente slittato la partenza a causa di un piccolo
"problema tecnico", sono attualmente in ferie fino all'8
gennaio 1999, un anno esatto. Dopo decidero' cosa fare da 
grande.
Ciao,
-- 
Andrea

nu...@tin.it
 wrote:
 >Non so in dettaglio come il proprietario della macchina, Udo,
 >abbia configurato sshd ma credo non si tratti di nulla di
 >eccezionale, se servono chiarimenti posso chiederglielo.
Grazie, mi sarebbe utile.
 >Per "standard" sshd supporta il port forwarding a livello di 
 >daemon, significa che io da "una shell unix sulla mia macchina" 
Lo so, io infatti a ogni connessione lancio da ip-up:
TERM=linux open -- ssh -v -L 540:
1.2.3.4:540
 1.2.3.4 -l md
per scaricare la posta UUCP sfruttando la compressione di ssh, pero` mi
viene aperta una shell su 1.2.3.4.
 >Mai, mai. Restricted shell == Full shell, quasi sempre .
Infatti, e` per questo che non mi convince.
 >(a meno che l'admin non sia tanto tanto tanto piu' bravo 
 >dei suoi utenti). Propongo no-shell.
Uhm. Si potrebbe usare come shell dell'utente un programma di una riga che
si addormenta per qualche ora.


 si addormenta per qualche ora.
No, un programma di cinque righe che aspetta una linea da stdin
e appena l'utente preme un "acapo" esce :)
Vediamo se te lo butto giu' al volo.... C rulez ;)
------------------------------------------------
tweety% cat > noshell.c
#include <stdio.h>
#include <stdlib.h>
int main()
{
        int c;
        printf("Spiacente, lei non ha accesso shell su questo sistema,\n");
        printf("prema a capo per terminare la sessione.\n");
        for (c=' '; (c!='\n') && (c!=EOF); c = getchar()) {};
        printf("La sessione e' terminata, cordiali saluti.\n");
        return EXIT_SUCCESS;
}
tweety% 
tweety% gcc noshell.c
tweety% mv a.out noshell
tweety% ls -l noshell
-r-xr-xr-x  1 blackye  users  17037 Apr  8 19:36 noshell
tweety% ./noshell
Spiacente, lei non ha accesso shell su questo sistema,
prema a capo per terminare la sessione.
La sessione e' terminata, cordiali saluti.
tweety% 
------------------------------------------------
Credo sia talmente semplice da potersi considerare exploit-free,
murphy permettendo :)
Messo in /bin/noshell con un bel "chown bin /bin/noshell"
e un "chgroup bin /bin/noshell" credo possa considerarsi safe
da mettere come "shell" degli utenti che non devono entrare.
Regards,
-- 
Andrea

 > Grazie, mi sarebbe utile.
A pensarci bene... e' piu' "elegante" patchare sshd in tale
direzione, quasi quasi do una occhiata ai sorgenti, ma non
oggi: next week quando torno da Amsterdam :)
Byebye,
-- 
Andrea