Newsgroup: it.comp.sicurezza.varie
Titolo: Etica ed liber informazione

Ciao a tutti.
Ieri sera stavo leggendo la bugtraq, e riflettevo a proposito di un
fatto. 
Ogni giorno escono nuovi bachi, e coloro che testano li trovano spesso
pubblicano sulla bugtraq tanto di spiegazione ed esempio di exploit.
Mi chiedevo: e' eticamente corretto secondo voi pubblicare informazioni
che possono essere utilizzate per commettere atti illeciti? Certo, molto
spesso tali notizie vengono prima inviate ai produttori dei software
specifici, e poi pubblicate, ma...
Inoltre, supponiamo che abbia scoperto una nuova tecnica di hacking o
che volessi pubblicare alcuni approfondimenti su certi tecniche, sarebbe
moralmente ed eticamente accettabile? e legalmente? 
Quanto il nostro bisogno di "sicurezza" puo' strangolare la liberta' di
espressione, di ricerca? In pratica, l'hacker che per scopi di pura
ricerca o puro divertimento diffonde le proprie ricerche alla comunita',
e' perseguibile, commette un reato, o, comunque, secondo voi, e'
moralmente deprecabile?
Cordiali saluti
un HappyCactus riflessivo (mumble mumble!)
-- 
Ciao!
HappyCactus

 moralmente deprecabile?
....non è perseguibile, non commette reato ed è utile nella misura in cui
mette a disposizione le sue scoperte a tutta la comunita, tempestivamente e
senza secondi fini.
Ciao da ciccio

un HappyCactus riflessivo (mumble mumble!)
...un Froze che dopo quanto sopra e' diffidato dall'utilizzare usenet
a meno di assunzione di sedativi...
-- 
Francesco

 moralmente deprecabile?
Questa e' una questione piu' da diritto che forse andrebbe discussa
altrove.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 sarebbero ben piu' pericolose.
I cosiddetti 0days?
Ciao
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

 altrove.
Gia', penso faro' un f/up in un luogo piu' adatto...
ciao e grazie


 articoli davvero costruttivi... gente che vi scriveva, come aleph1, oggi
Io non penso possano essere usate perche' nel momento che vengono
segnalate, a meno di gente particolarmente disattenta o menefreghista,
il buco viene chiuso ed il problema non dovrebbe sussistere piu'.


overflows, oppure la pubblicazione delle shellcodes, etc.
IMHO sono due discorsi diversi e come tali vanno trattati.
Un bug di un programma e' un qualcosa di "finito": date certe condizioni,
fai certe operazioni e succede x invece del previsto y.
Una volta che esiste una patch, il problema se pubblicare o no non sussiste.
Se qualcuno non applica le patch, sono problemi suoi.
Qui la full disclosure deve essere responsabile (per la dissertazione
completa c'e' un altro post, sempre in questo thread).
Una tecnica, in se' e per se', non e' dannosa: e' conoscenza allo stato
puro, un'espressione della mente, e' astratta, "infinita".
Pertanto, come tale, va diffusa senza riserve: da che mondo e' mondo, il
progresso nasce dallo scambio delle conoscenze.
Certo, non e' escluso che di questa tecnica si possa fare cattivo uso, ma
non e' sicuramente un problema della tecnica in se'.
Ne', del resto, e' limitato all'informatica: sappiamo bene tutti quanti che
uso si puo' fare del nucleare, che e' una "tecnica" anch'esso.
Ed e' solo uno dei possibili esempi.
Forse non sono stato molto chiaro, ma spero ugualmente di essermi
spiegato...
-- 
BlueRaven
"Information anarchy basically means that
Microsoft cannot charge you for it..."

 spiegato...
Ti sei spiegato perfettamente.
Sono io che non ho ancora una idea mia. E mi piacerebbe che
intervenissero con il loro parere anche coloro che sono direttamente
coinvolti (leo, marcolfa, etc...)
Ciao!


 SI, ma che ne dici dei buffer overflows, ad esempio? la tecnica per
Mi rispondo da solo.
Una risposta completa e definitiva in questo senso la da il codice
penale:
Art. 615-quater (Detenzione e diffusione abusiva di codici di accesso a
sistemi informatici o telematici).
Chiunque, al fine di procurare a se' o ad altri un profitto o di
arrecare ad altri un danno, abusivamente si procura,
riproduce, diffonde, comunica o consegna codici, parole chiave o altri
mezzi idonei all'accesso ad un sistema
informatico o telematico, protetto da misure di sicurezza, o comunque
fornisce indicazioni o istruzioni idonee al
predetto scopo, e' punito con la reclusione sino ad un anno e con la
multa sino a lire dieci milioni.
La pena e' della reclusione da uno a due anni e della multa da lire
dieci milioni a venti milioni se ricorre taluna delle
circostanze di cui ai numer 1) e 2) del quarto comma dell'articolo
617-quater.
Art. 615-quinquies (Diffusione di programmi diretti a danneggiare o
interrompere un sistema informatico).
Chiunque diffonde, comunica o consegna un programma informatico da lui
stesso o da altri redatto, avente per scopo o
per effetto il danneggiamento di un sistema informatico o telematico,
dei dati o dei programmi in esso contenuti o ad
esso pertinenti, ovvero l'interruzione, totale o parziale, o
l'alterazione del suo funzionamento, e' punito con la
reclusione sino a due anni e con la multa sino a lire venti milioni".
La diffusione di una tecnica di utilizzo dei B.O. si configura in questo
reato.
http://www.areacom.it/area/homepage/omega/comp/lex.htm
Grazie a Civediamo per aver suggerito questo link in altro post
Ciao


 
Secondo questo articolo anche chi ha un server con nimda puņ essere 
"ingattabuiato"? 
In fondo diffonde (non intenzionalmente, ma in seguito a negligenza) un 
programma da altri redatto etc...etc...
Sarebbe una buona soluzione per il 90% dei problemi di sicurezza  
(quelli causati da sysadmin incompetenti) e per il deficit dello stato 
(visti i milioni di multa) :)
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 programma da altri redatto etc...etc...
Allora anche chi e' infetto da qualunque virus...
No, credo proprio di no.
BTW, ho erroneamente attribuito a civediamo, anziche' al vero autore,
sempreio, il post del link. Sorry! :)


 stesso o da altri redatto, avente per scopo o
Leggi bene: diffonda... se i virus me li tengo ben stretti, non commetto
nessun reato, nemmeno se li scrivo.
Lo so, la legge e' fatta leggermente alla pene di segugio, non colpisce 
chi scrive i virus, e alla lettera impedirebbe di passare il virus nuovo 
ai ricercatori antivirus.
Dovevano mettere il periodo del quater nel quinquies (al fine di...)
e la cosa funzionava gia' meglio, in effetti.
Cosi', se tu mi chiedi un buffer overflow per studiarlo, e io te lo 
comunico, io non commetto nessun reato(*), mancando il fine di danneggiare, 
se tu lo usi, il reato lo commetti tu.
Al contrario, se tu mi chiedi un virus da studiare, non posso mandartelo a 
prescindere dal fine.
(*) resta da cavillare se un buffer overflow non possa ricadere anche nel 
quinquies, in quanto modifica la funzionalita' del programma "ospite", anche
se da solo non danneggia nulla, ma si rientrerebbe nell'eterna discussione
sul fatto che anche un antivirus modifica il comportamento.
Se ci rientra, il diffonderlo e' reato.
Prevedo tempi duri per bugtraq e per la KB di microsoft.:-))
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net


....mai sentito parlare di "reato colposo", la legge intende punire anche
quelli che per "negligenza, incuria, imperizia" (ovvero l'uso di password
tipo pippo o pluto ecc... o il non uso di antivirus aggiornati a meno di 6
mesi), permettono che estranei, penetrando nel proprio pc privo di difese,
lo costringano alle azioni di cui all'art. 615/quinqueis.

 reato.
Allora sono reato anche le Securfaq.
C'e' un avvocato non troppo esoso da queste parti?
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

coinvolti (leo, marcolfa, etc...)
Piacerebbe anche a me, per cui... ehi, c'e' nessuno la' fuori?
Vi aspettiamoooooo!!! :-)


"ingattabuiato"? 
No. PERO' e' responsabile verso terzi in sede civile per non aver impiegato
la "necessaria diligenza"... e visto che:
* e' "conoscenza comune" l'esistenza di virus del computer;
* e' risaputo come tali virus si propaghino su Internet;
* e' facilissimo procurarsi tutte le info relative al Nimda e compagnia, ed
  i necessari strumenti per mettersi al riparo;
...il nostro amministratore non ha molte possibilita' di scampare una magna
richiesta di risarcimento per aver subito un ingiusto danno, _specie_ se il
danneggiato era autorizzato a "ragionevole convincimento" che il sito fosse
esente da virus e cose simili, ad es. perche' e' il sito di una banca, o di
un e-commerce, o tratta di sicurezza, bla bla.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

specifici, e poi pubblicate, ma...
Ciao, il thread e' abbastanza vecchio - e il tempo per leggere Usenet come
Dio comanda e' sempre meno :-( - ma mi ha colpito molto come tu abbia
anticipato i temi affrontati, in un articolo che sicuramente tutti avrete
letto, da Scott Culp, security manager di Microsoft.
In alcuni punti, nella migliore tradizione di Redmond, e' un delirio vero e
proprio, pero' lui si e' fatto la stessa domanda che ti sei fatto tu: full
disclosure, si' o no?
E se si', qual e' il confine tra responsabilita' e incoscienza?
In tutta onesta', credo che su questo punto Culp non abbia tutti i torti:
togliendo l'alone di advocacy, in sostanza, dice che le informazioni sulla
sicurezza dovrebbero essere diffuse in modo responsabile, cosa che non
sempre avviene.
Al di la' delle facili battute, tipo quella nella mia signature, non si puo'
negare che la diffusione indiscriminata di informazioni tanto delicate come
quelle sui security problems possa, potenzialmente, essere dannosa.
Fermo restando che la strada della full disclosure e' sicuramente quella
giusta - e ci sono Guninski e soci a dimostrare che il modello opposto non
vale un fico secco (su questo punto il ragionamento di Culp non fila) - io
credo che si dovrebbe cercare di renderla anche sana e responsabile.
Pubblicare i minimi dettagli di una vulnerabilita' e' corretto e importante,
si tratta pur sempre di conoscenza e non sarebbe giusto tenerli nascosti.
A patto, pero', che, prima di sbandierare ai quattro venti il buco, al vendor
sia data almeno la possibilita' di lavorare per tappare il medesimo,
altrimenti diventa un gioco al massacro che, IMHO, non fa bene a nessuno.
Se non sbaglio, la politica di Bugtraq e' proprio questa: prima si contatta
il vendor e gli si da' il tempo di risolvere il problema, quando lo ha
risolto *o ha mostrato di non volerlo risolvere* si pubblica (correggetemi
se sbaglio).
In entrambi i casi, e' full disclosure sana: nel primo caso, si rende
possibile aumentare le conoscenze senza dannosi effetti collaterali
(eccettuata l'incompetenza di chi non applica le patch, ma e' un altro
discorso e il vendor non ci puo' fare molto), nel secondo, si denuncia la
scarsa attenzione del vendor a una questione delicata come la sicurezza, e si
da' modo a chi puo' e vuole di metterci una pezza per conto suo o, al limite,
di sapere che puo' aspettarsi attacchi.
Il problema e' che non esiste solo Bugtraq, c'e' anche gente con meno
scrupoli e qui il problema diventa reale: e' come mettere in mano una
pistola sapendo che nessuno puo' comprarsi un giubbotto antiproiettile.
Quindi, <kinder bueno mode on> full disclosure si', ma nel modo giusto! :-)
<mode off>
Scusate la logorrea, ma il tema e' interessante e secondo me merita un
bell'approfondimento.


medesimo,...
I produttori di software devono testare e controllare i loro prodotti
prima di venderli, e non trasformarci tutti in beta-tester coi nostri
soldi. L'unico deterrente che noi clienti abbiamo per impedirlo  e'  la
pubblicazione immediata e a tamburo battente degli effetti della
trascuratezza con cui producono i loro programmi.
:-)
Ciao a tutti e buon lavoro
Giam...@libero.it

 pubblicato su Pluto-Journal 
www.pluto.it
  di dicembre 98.
Il link e'    
http://www.pluto.linux.it/
Scusate.
giam...@libero.it

 <mode off>
Cio' che mi preme pero' capire e' (in ambito MOOLTO piu' largo) cosa ne
pensate della diffusione delle tecniche di exploiting: e un passo OLTRE
la full disclosure...
HappyCactus


la full disclosure...
IMHO non e' un problema: la tecnica di exploiting si basa sulla
vulnerabilita'. Quindi, se seguiamo il discorso fatto fin qui, se esiste
gia' una patch la tecnica dovrebbe ridursi anch'essa a mero esercizio
didattico, non in un pericolo vero e proprio.
Cio', ovviamente, dando per scontato che le patch vengano applicate
regolarmente e chi amministra un sistema sia competente.
Non e' la situazione reale, ma e' un altro discorso.


trascuratezza con cui producono i loro programmi.
Giampiero, il tuo discorso e' sacrosanto, ma il punto e' un altro: si
parlava di comportamento responsabile.
Per quanto accurato possa essere un testing, e' _impossibile_ individuare e
correggere *tutti* i bug (evidenti e non) che un qualunque software puo'
avere.
E questo vale per il software commerciale come per quello open source,
quindi non e' questione di essere sfruttati come beta tester e di potere
contrattuale, bensi' di capire fino a che punto ci si puo' spingere con la
pubblicazione dei dettagli delle vulnerabilita' senza che cio' si trasformi
in un boomerang.


 didattico, non in un pericolo vero e proprio.
Beh, dipende. Il buffer overflowding e' una tecnica generale. Non sempre
e' legata alla particolare vulnerabilita'...


e' legata alla particolare vulnerabilita'...
Pero' nel momento in cui scovi un ben determinato buffer overflow, ricadi
sempre in un caso _specifico_ di vulnerabilita'.
Potrei sbagliarmi, ma non ricordo di aver mai visto passare su Bugtraq un
buffer overflow "decontestualizzato", ovvero senza riferimenti specifici e
precisi alle condizioni che lo rendono possibile.
IMHO, quel che tu dici e' ad un livello piu' astratto - quello che nel mio
post originario chiamavo, impropriamente, "tecnica" - e per quello vale il
discorso della full-disclosure senza riserve.
Questa discussione si fa sempre piu' interessante!
