Newsgroup: it.comp.sicurezza.varie
Titolo: Cookies for the masses

Ciao!
Sono in corrispondenza e-mail con un tipo ( niente nome, per ora ;-) ), che mi
ha detto che alcuni siti, in pariticolar modo quelli diciamo... a luce rossa,
ti mandano un cookie contenente un programma eseguibile che viene
automaticamente ( o, in questo caso e` meglio dire automagicamente ) eseguito
**senza che l'utente si accorga di nulla**.
Quindi, praticamente, mentre navigo posso trovarmi con il disco rigido
riformattato, con la linea sconnessa e riconnessa ad uno 005-xxx, ... *in
maniera #totalmente# trasparente*.
Secondo me, detta cosi` in poche parole, questo tipo di "flaw" di sicurezza
NON ESISTE (anche perche' conosco ed uso i cookies). 
Tuttavia, se qualcuno sa o vuole aggiungere qualcosa... vi prego, fatevi
avanti. ;-)
	Later, Mic.
-- 
Michele Beltrame
Italpro - Power Web Services
m...@italpro.com
http://www.italpro.com/mb

 limite... ;-)
Sono fratelli gemelli delle OLE con le quali puoi fare tutto...
o   oooooo	Gian Uberto Lauri        "So, are you working on finding
      o    o	
sa...@maya.dei.unipd.it
   that bug *now* or leaving it until
     o o				  later?" - "Yes!" 

 **senza che l'utente si accorga di nulla**.
Credo che si riferisca o a cavolate javascript (non java!) di Netscape
o  (peggiori)  agli ActiveX di  Microsoft  e del  suo explorer. Veri e
poropri eseguibili che hanno (a differenza di Java) il pieno controllo
sulla macchina.
o   oooooo	Gian Uberto Lauri        "So, are you working on finding
      o    o	
sa...@maya.dei.unipd.it
   that bug *now* or leaving it until
     o o				  later?" - "Yes!" 
========================================================
WARNING: Payment is required for use of the above Email
address for unsolicited commercial Email or as part of a
mailing list for any purpose. 
As for US Federal and/or Italian Laws, by sending commercial
E-mail you agree to pay US$500.00 for storage fees.
========================================================
"By US Code Title 47, Sec.227(a)(2)(B), a computer/modem/printer meets
the definition of a telephone fax machine.  By Sec.227(b)(1)(C), it is
unlawful to send any unsolicited advertisement to such equipment.  By
Sec.227(b)(3)(C), a violation of the aforementioned Section is
punishable by action to recover actual monetary loss, or $500, whichever
is greater, for each violation."

sulla macchina.
Un momento... con JavaScript non hai alcun controllo totale sulla macchina.
Per quanto riguarda ActiveX, mi informero` quanto prima, anche se mi pare
strano che, in maniera completamente trasparente all'utente, si "impossessi"
della macchina dell'utente... ok che e` roba Micr*s*ft, ma a tutto c'e` un 
limite... ;-)
	Later, Mic.


Sono fratelli gemelli delle OLE con le quali puoi fare tutto...
Seguira` indagine... ;-)


 Netscape 2 ?
Mi AUGURO che lo abbiano risolto con la 3.
Gli ActiveX hanno un difettaccio : Non funzionano se il mbrowser non
gira sotto windows direi..


ita...@caladan.italpro.com
 (Michele Beltrame) writes:
   [...] un tipo [...] mi ha detto che alcuni siti [...] a luce rossa,
   ti mandano un cookie contenente un programma eseguibile che viene
   automaticamente [...] eseguito [per cui] posso trovarmi con il
   disco rigido riformattato, con la linea sconnessa e riconnessa ad
   uno 005-xxx, ... *in maniera #totalmente# trasparente*.
   Secondo me, detta cosi` in poche parole, questo tipo di "flaw" di
   sicurezza NON ESISTE (anche perche' conosco ed uso i cookies).
Infatti.  Credo che si riferisca a questo (che ho preso da Edupage, 30
January 1997):
SURFING FOR PORN, PAYING IN PHONE BILLS
A scam on the Internet has cost some Canadian victims up to $1,200 to
download pornography from certain Web sites.  In the scam, surfers are told
that looking at nude pictures is free but that a "special image viewer" must
be clicked on and downloaded to your computer.  The viewer is actually a
virus that disconnects your modem from the regular local Internet service
provider and surreptitiously reconnects the call to a number in Moldavia, in
the former Soviet Union, generating long-distance charges.  Canadian federal
police have ordered that all calls from Canada to the number in Moldavia not
be connected.  (Toronto Star 29 Jan 97)

be connected.  (Toronto Star 29 Jan 97)
Io ho visto un sito di questi (ci sono andato apposta, incuriosito). Tuttavia
il viewer speciale te lo devi scaricare ed eseguirlo (da dentro Explorer),
quindi... quando esegui software prelevato da internet ( da quei siti, poi! )
e` chiaro che puoi andare incontro a qualsiasi cosa.
	Later, Mic.


ita...@caladan.italpro.com
 (Michele Beltrame) writes:
   Io ho visto un sito di questi (ci sono andato apposta,
   incuriosito). Tuttavia il viewer speciale te lo devi scaricare ed
   eseguirlo (da dentro Explorer), quindi... quando esegui software
   prelevato da internet ( da quei siti, poi! ) e` chiaro che puoi
   andare incontro a qualsiasi cosa.
Beh, e` quello che ho scritto (o meglio citato) io :-)
Quando si leggono resoconti di disastri avvenuti via rete, bisogna
sempre ricordare che spesso si confondono tutte le brutte parole che
si leggono sulla stampa specializzata e non: virus, Internet, cavallo
di Troia, Java, vermi, applet, hacker, cookie, security, sniffer,
cracker, password, PGP e tutte quelle altre cose orribili che possono
far male al vostro PC.