Newsgroup: it.comp.sicurezza.varie
Titolo: aggirare blocco da firewall per connettersi ad Internet

Ciao a tutti, ragazzi!
Lavoro in un posto dove fino a qualche tempo fa ci avevano lasciato la
possibilità di collegarsi ad Internet... adesso, visto che c'è sempre
da ringraziare qualche grullo che esagera, ci è stato tolto questo
privilegio bloccandoci -credo- la porta 80 tramite il firewall
aziendale...
So dell'esistenza della tecnica del "reindirizzamento delle porte", ma
non saprei come metterla in pratica e se possa funzionare un'altra
porta al posto dell'80 per il WWW... in pratica, esiste un modo per
aggirare il blocco e connettersi cmq ad internet tramite browser? Sul
mio pc gira Windows2000.
Grazie a tutti, ciao!

 mio pc gira Windows2000.
Come sempre si dice in questi casi, il tuo IT admin sara' lieto di 
accontentarti :-)
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security

 aziendale...
Hai sbagliato posto dove chiedere, qui ci sono SOLO sysadmin ... :-P


Beh, dai non solo.
E non e' vero che tutti i sysadmin sono bastardi dentro.
Ce ne sono anche di ancora piu' bastardi dentro.
E comunque, rispondendo al bandolero stanco (che mi puzza di troll
da tre km di distanza), la redirezine delle porte, (in realta' a
lui servirebbe un tunnel) funzionerebbe solo se tu avessi qualcuno
di fuori che accetta la tua connessione verso una sua porta diversa
dalla 80, che la gira al sito di cui chiedi le pagine, e ti restituisce
il risultato.
E comunque non funzionerebbe, se il sysadmin ha chiuso le porte, le ha
chiuse tutte.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 le ha chiuse tutte.
Non è detto :) potrebbe averle lasciate aperte ed usare la "payload
inspection" in questo caso un eventuale tentativo di bypassare il
firewall potrebbe avere dei risvolti... interessanti :)

 Ce ne sono anche di ancora piu' bastardi dentro.
Era solo una battuta, ovviamente... :-)

> Era solo una battuta, ovviamente... :-)
si va a curvatura 8 ?

 
Salta su...


Scotty, ci porti su.
I fondamentali, comandante, i fondamentali!


 I fondamentali, comandante, i fondamentali!
Gia', ma meglio fermarci qui, entriamo spudorati nell'OT
Beam my up, Scotty.

> Beam my up, Scotty.
Beam me up, Scotty. There's no intelligent life down here.
:)

 Scotty, ci porti su.
O "Sulu, ci porti fuori"...

 non ho visto UNA risposta competente
Appunto, tu che dici?
PS: servita su un piatto d'argento, eh! :-) 

> Da come ti sei presentato
parli della "posizione" :) ?

 non ho visto UNA risposta competente
Strano, a me lo sembravano tutte...
bye!

After Eight ha scritto:

art. 615-ter. -(accesso abusivo a un sistema informatico o telematico).- 
Chiunque abusivamente si introduce in un sistema informatico o 
telematico protetto da misure di sicurezza ovvero vi si mantiene contro 
la volontà espressa o tacita di chi ha diritto di escluderlo, è punito 
con la reclusione fino a tre anni
varrà anche per il superamento di misure di sicurezza al fine di 
"uscire" e non "entrare" ? (domanda seria :) )

 "uscire" e non "entrare" ? (domanda seria :) )
Beh, anche il lato esterno della rete locale e' un sistema telematico o
informatico, credo. (risposta seria)
Pertanto chi cerca di uscire in realta' cerca di entrare nel resto della
rete, e ricade nel 615-ter.
O forse, nel
"Art. 640-ter. - (Frode informatica). - Chiunque, alterando in qualsiasi
modo il funzionamento di un sistema informatico o telematico o
intervenendo senza diritto con qualsiasi modalità sui dati, informazioni
o programmi contenuti in un sistema informatico o telematico o ad esso
pertinenti, procura a sé o ad altri un ingiusto profitto con altrui
danno, è punito con la reclusione da sei mesi a tre anni e con la multa
da lire 100 mila a 2 milioni. ...
Forse su it.diritto potrebbero saperne di piu'.


 al fine di "uscire" e non "entrare" ? (domanda seria :) )
direi di si; basta googlare per "reverse telnet" per rendersi
conto di come anche il solo "uscire" significhi poter "fare
entrare .. qualcun altro"

 
vabbè, questo è un altro aspetto che però vedo poco realistico. "basta 
utilizzare un pc per prendere un trojan" "basta utilizzare un'automobile 
per prendere sotto una persona" etc... un conto è la volontà esplicita 
di violare un sistema informatico, un conto è l'azione ad insaputa 
dell'utente.


Ci sarebbe da provare l'ingiusto profitto e l'altrui danno... Ma se naviga 
otto ore al giorno basta presentare dei log decenti: lo stipendio recita 
entrambe i ruoli.
Bello.
Ciaotutti,
* 

 "uscire" e non "entrare" ? (domanda seria :) )
dipende come lo fai. Se per poter bypassare il proxy ti procuri un
account sul server proxy in questione sfruttando un exploit o che
altro, hai ovviamente violato quel sistema e quindi si potrebbe
applicare anche quell'articolo. Se invece è un proxy cretino che
riesci a fregare con dei get hack, tecnicamente non hai violato nessun
sistema. Ma tenete presente che per i giudici i tecnicalismi voglion
dire poco, a finire nelle peste basta anche meno...
bye!

 Ci sarebbe da provare l'ingiusto profitto e l'altrui danno... Ma se naviga 
Chi evita di pagarla, la connessione? --------> profitto
Chi la paga, la connessione?          --------> danno
Chi paga lo stipendio?                --------> danno
Chi non si guadagna lo stipendio?     --------> profitto



Insaputa?
L'utente viola una clausola delle policy aziendali, e facendo cio'
provoca danni.
Non ci vuole perry mason a capire che l'utente puo' anche non essere
a conoscenza dei rischi cui sottopone le attrezzature aziendali, che
sono stati, appunto, analizzati da chi ha messo in atto le misure di
sicurezza, ma ha una responsabilita' oggettiva sui danni provocati.
Violando queste misure consapevolmente, ogni danno provocato, anche
se non raffigura il dolo, raffigura sicuramente la colpa, forse la
colpa grave.
E' lo stesso concetto dell'omicidio colposo nel caso di incidente:
non l'hai fatto apposta, ma non hai rispettato qualche norma del
codice della strada, e facendo cio' hai provocato l'incidente.
Ah, il tutto, IMHO e IANAL.


 sistema.
Eh, ho paura di no:
"Art. 640-ter. - (Frode informatica). - Chiunque, alterando in qualsiasi 
modo il funzionamento di un sistema informatico o telematico o ...
Hai alterato il funzionamento, e cio' e' sufficiente, in qualsiasi modo
tu lo faccia.
Dovresti dimostrare che lo hai fatto per caso, e che non te ne sei poi
accorto fino a che non te lo hanno detto.


 tu lo faccia.
con un get hack non si alterà alcunchè, e lo ribadisco. Comunque, io
mi riferivo al 615, il 640 entra in ballo solo se c'e' profitto, e qui
non se ne vede manco l'ombra, evitiamo di evocare scenari
melodrammatici, su...
bye!


Profitto non e' lucro, occhio, e' la stessa distinzione che entra in
ballo, da un po' di tempo a questa parte, per lo scarico di materiale
protetto da copyright.
Con il lucro ci guadagni, mentre il profitto e' anche non spendere.
Navighi a spese altrui, pertanto il profitto ce l'hai.
Che poi di solito basti una letterina di licenziamento per giusta
causa, beh, e' altrettanto vero.


 causa, beh, e' altrettanto vero.
in realtà non è così banale neanche così... ma è già più calzante alla
situazione che non un'azione penale, direi... :^)
bye!

ha diritto di escluderlo...
No, se bypassi il *TUO* firewall, e' quella la funzione che puo'
escluderti; e il diritto ce l'hai tu. Nessun reato.
Stesso discorso per il sito web: e' supponibile che il webmaster
consenta l'accesso, se www.* e' pubblicato sul DNS e se non c'e'
un accesso ristretto.
Il che vuol dire che finche' ci navighi "normalmente", hai tutte
le ragioni di pensare che il webmaster ti approvi (e nessuna per
pensare il contrario, fatta salva la prova contraria - a carico,
pero', del webmaster).
Qualora tu cominciassi a provare query GET/POST addomesticate il
problema si complica.
Leonardo
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.

non se ne vede manco l'ombra
Profitto si' (al limite, il risparmio della connessione). Quel che non
c'e' e' il lucro, ma non ti aiuta. Gia' il poter fare qualcosa che non
avresti potuto fare altrimenti e' "utilita' non patrimoniale".
L'"alterazione del funzionamento" e' un gioco piu' sottile perche' con
un "get hack" il sistema fa quello che l'amministratore gli ha *DETTO*
di fare anziche' quello che *PENSA DI AVERGLI DETTO* di fare. Non c'e'
quindi, come dici giustamente, alterazione di funzionamento.
Ma e' un po' come il caso della serratura 'double face' - il legittimo
proprietario CREDE di averla chiusa (si vede perche' lo scrocco e' su)
ma in realta' e' aperta - basta alzare la maniglia e riabbassarla e la
porta si apre. E pero' commetti lo stesso un illecito, perche', usando
l'ordinaria diligenza, avresti dovuto capire che l'_intenzione_ era di
tenerti fuori.
Lo stesso discorso si applica per es. a chi chiude la porta, ma non la
finestra, o ai recinti dove per incuria manca un pezzo, consentendo un
facile ingresso: in tutti questi casi vale la "volonta' (anche tacita)
dell'avente diritto".
In pratica ricade su di te il dimostrare che, operando normalmente sul
tuo sistema, hai violato senza avvedertene il sistema altrui. Se ce la
fai, diventano cazzi di chi quel sistema ha configurato/progettato (ma
non so come funziona con eventuali danni e rimborsi - ci sta che prima
tu debba cacciare il lesso te, rivalendoti poi a monte. Neanch'io sono
avvocato... ho solo la disgrazia di averne visti parecchi in azione in
circostanze simili :-)


 tenerti fuori.
D'accordissimo, ma concetti come l'"ordinaria diligenza" sono
soggettivi...
bye!

> con un get hack non si alterà alcunchè, e lo ribadisco.
a prescindere dal metodo usato; nel caso particolare si parla
di un sistema aziendale, posto dietro un firewall aziendale,
connesso ad una rete aziendale e con una connessione wan
(internet) pagata dall'azienda (come tutto il resto)
ti viene in mente nulla ?


Dicevo "proprio" nel senso "della propria azienda", non il suo personale :)
E li' sono volatili per diabetici...
Ciaotutti,
* 

E li' sono volatili per diabetici...
Senza dubbio.


 ti viene in mente nulla ?
Mi vengono in mente tante cose, ma non la violazione di un articolo
del codice penale, questo intendevo ;^)
bye!

 Hai alterato il funzionamento
Uhm...in che senso?
Se il proxy accetta GET e CONNECT non credo di aver alterato alcunchè
usando, appunto, uno dei suddetti metodi HTTP...