Newsgroup: it.comp.sicurezza.varie
Titolo: un semplice quesito....si fa per dire...

Salve a tutti,
Se qualcuno dovesse darvi carta bianca per costruire un secure
infrastructure, pensate che la cosa potrebbe essere possibile usando un
sistema puramente open source. Oppure, visto che vi hanno messo a
disposizione un buon budget, lo spendereste per comprare OSs e applicazioni
(firewalls, IDS, etc...) commerciali? Oppure lo investireste in maniera
diversa (a parte l'aumento del vostro stipendio)...
Il punto e' verificare se la gente/compagnie usano open souce perche e' piu'
cheap, perche e' piu' sicuro...o entrambi.
Il motivo per cui faccio questa domanda a questo NG e' perche ho notato che
in Italia si utilizzano soluzioni opensource piu' che in altri paesi che in
teoria dovrebbero essere piu' progrediti nel settore.
E'chiaro che la risposta e' relativa al tipo di compagnia/business e budget.
In altre parole, proteggereste una banca o un CA con soluzioni open source?
E' tale ambiente maturo abbastanza per provvedere un punto di sicurezza per
i system administrators che li gestiscono? Voi vi fidereste?
Si mi rendo conto che si tratta di una domanda piu' amletica che tecnica.
Open source or Close source...questo e' il dilemma...o forse la risposta e'
piu' taoista...la via del centro...
Feedbacks are highly appreciated...
Grazie
AMS67
--
We aim to please. Ourselves, mostly, but we do aim to please.

 comprare OSs e applicazioni (firewalls, IDS, etc...) commerciali? 
La questione da te sollevata č quanto mai attuale....IMHO io 
personalmete ho testato parecchi software OS ed alcuni sono davvero 
ben fatti....secondo me il problema non č tanto meglio questo di 
quello.....il problema vero č sapere utilizzare correttamente quello
che si ha sottomano....Ho visto spesso macchine Linux piů vulnerabili
di macchine win2k solo per errori di configurazione (spesso dovuti 
alle installazioni di default...). Secondo me l'Open Source va spinto
...se non altro per contrastare il predominio di M$ che appiattiste
qualsiasi nuovo proliferare di idee....
questo č tutto....:)
ciao
-- 
Caccia Carlo - webmaster of 
www.x-planet.org
 
PGP FP :  8363 0f97 ED73 F418 3859 94B9 94A6 FA47 899E 8D5D 
PGP Key:  
http://www.x-planet.org/pgpkey/WebMaster.asc

 Voi vi fidereste?
Ti rifaccio la stessa domanda con altre parole.
Ti fideresti di più di un sistema di cui hai i sorgenti e che puoi
modificare anche da solo se si scopre un bug, e il cui codice
è in mano a innumerevoli altre persone, o di uno i cui sorgenti
sono in mano solo di chi li ha scritti, di cui puoi solo fidarti
ciecamente, e puoi solo sperare che i bug (che esistono
SEMPRE, e sfido chiunque a negarlo) vengano risolti al più
presto appena scoperti ?
Ora rispondi tu :-))
Tanto per NON cambiare argomento: se vuoi pubblicare un
articolo su Nature o su Scientific American, se non è stato
peer-reviewed non te lo guardano neanche.
Ci sarà un motivo, no ?
Alla domanda successiva, cioè se i programmi OS siano
allo stesso livello tecnico di quelli CS, beh... IMVVVVVVHO
direi di sì (e magari migliori), ma non sono la persona
più qualificata per rispondere.
Bye, G.

 di macchine win2k solo per errori di configurazione (spesso dovuti
Io ho visto anche il contrario . . . !
Perchč fai questa affermazione come se fosse normale che Win2k sia piů
vulnerabile di Linux ?
Saluti.

 presto appena scoperti ?
I bug esistono anche dal lato OS, o sbaglio.
Mi fido di piu' di una Enterprise che, su un SO, ha investito svariati
Milioni di Dollari piuttosto che di un gruppo di ottimi sviluppatori che,
pero', non hanno investito molto e quindi non hanno molto da perdere. . .
IMHO
Ciao.

 pi— vulnerabile di Linux ?
Per sfatare um mito...


 Ora rispondi tu :-))
...il problema non e' che io non mi fido di utilizzare una infrastructure
basata su open source. Al contrario, sono un fervido sostenitore. Il
problema sono i top managers, i burocrati e compagnia bella che inquinano
l'ambiente tecnico. Loro hanno sempre bisogno di un "escape goat" su cui
puntare il dito se qualcosa va male. Durante la fase di risk management, una
sezione e' dedicata a chi inchiodare se qualcosa non funge come dovrebbe.
Immagina che Checkpoint FW-1 ha un baco (umm...avrei dovuto usare il
plurale). Qualcuno, attraverso questo baco, riesce a mandare in tilt il web
server di una e-bank dove ogni minuto ci sono migliaia di transazioni. La
banca ha perso milioni di Euro. Secondo te quale sara' la prossima mossa
della banca?...la risposta mi sembra ovvia...e quindi prevedo una bella
sfida legale tra la e-bank e Checkpoint...
Quando dicevo "vi fidereste" mi riferivo non ai limiti tecnici...ma quelli
legali. Sfortunatamente questi cavilli legali devono essere inclusi durante
la progettazione di una infrastruttura sicura.
Come vedi, la questione e' complessa. Fortunatamente qualcosa sta cambiando.
Molte case produttrici di software basato su open source mette a
disposizione anche una versione commerciale. Ma attenzione, solo il 10% di
loro (se leggete le varie postille del contratto) si assume la
responsabilita' su eventuali malfunzionamenti.
Open Source e' un movimento 'rivoluzionario'...e' la rivoluzione francese
dell'informatica. Purtoppo, prima di vedere la testa del Re Sole (Bill Gate)
saltare, molte altre battaglie si dovranno combattere...da qui nasce la mia
amletica o taoista domanda.
A presto
AMS67
--
Computer games don't affect kids; I mean if Pac-Man affected us as kids,
we'd all be running around in darkened rooms, munching magic pills and
listening to repetitive electronic music.

In un messaggio del Tue, 12 Feb 2002 10:08:15 +0100 Antonino scriveva:

Perche'.. non lo e' mica? Non so tu ma io di un OS che dovrebbe farmi da
server e che nel kernel si porta dietro la grafica e qualche altra
chilata di roba inutile in modo che se scoppia uno stupido driver di
qualsiasi cosa si porta dietro l'OS non mi fido certamente. Premesso
questo, un Linux puo' anche essere configurato male ma sicuramente da'
molte meno opportunita' di fare cazzate come accade per 2miglia e
parenti precedenti ed a seguire.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 investito molto e quindi non hanno molto da perdere. . . IMHO
Auguri, di cuore.
BTW, giusto per la cronaca, IBM ha investito qualcosa come 5 miliardi
di dollari nell'Open Source, lo scorso anno.
La prossima release di Solaris avra' la compatibilita' binaria
con Linux.
La stessa Sun e' mebro attivo del progetto Gnome.
Rifletti un attimo su questi dati.
-- 
Di risate alle mie spalle ne ho viste poche.
(Serg1)

 "escape goat" su cui puntare il dito se qualcosa va male.
You got the whole point.
Altro che manager...scaricatori di barili, sono.
E c'e' poco da fare: o trovi degli *illuminati* che capiscono
quali possano essere i vantaggi (ed a me e' capitato, per fortuna)
o nisba.


 (Serg1)
Anche qui Serg1 ? Che palle ;P
Ave!
-- 
Black Shark - ICQ# 5301833
Togli OE per rispondermi
IAMM - it.arti.musica.metal - 
www.iammol.com

 di dollari nell'Open Source, lo scorso anno.
In che senso ? ha pubblicato i sorgenti di AIX ?  :)

 Per sfatare um mito...
Vero, poi si sa che MS è una compagnia seria, basta vedere qui:
http://barzellette.supereva.it/cgibin/dl_dsp.cgi?obj=2270&t=V&c=vip&sc=&s=1

 Vero, poi si sa che MS Š una compagnia seria, basta vedere qui:
Mai detto che M$ sia seria.....chi mi conosce bene sa che la penso 
esattamente all'opposto....ma non amo neppure chi si riempe la bocca
di Linux.stronzate solo perchč fa tanto di moda....
ciao


 di Linux.stronzate solo perchč fa tanto di moda....
Approvo, a ognuno il suo.
Cmq il mio era solo un modo per postare il link di quel simpatico video su
MS....
...cosě, per ridere, non per politicheggiare.
Saluti & Ghiande,
Kiko.


http://barzellette.supereva.it/cgibin/dl_dsp.cgi?obj=2270&t=V&c=vip&sc=&s=1
noi storciamo il naso dicendo americanate, ma a Roma si fa alla romana, no?
"I love this company" e la platea applaude.

 Anche qui Serg1 ? Che palle ;P
Beh dato il varie nel nome del NG c'era bisogno di un pagliaccio..


 Beh dato il varie nel nome del NG c'era bisogno di un pagliaccio..
E' solo la mia signature, tranquillo...;)
-- 


 ...cosě, per ridere, non per politicheggiare.
si certo figurati :)


 E' solo la mia signature, tranquillo...;)
Ah io sono tranquillo.. ho una regexp che lo filtra sempre e comunque:
fossi in voi mi preoccuperei piu' per i fessi che continuano a
rispondergli altrove ;-)


 i system administrators che li gestiscono? Voi vi fidereste?
Si', a patto di avere un sysad che segua le pratiche di cui sopra
(informazione costante specicalmente tramite siti, newsgroup e mailing
list specifiche).
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 rispondergli altrove ;-)
I niubbi sono ovunque purtroppo..ah whiplash, potresti nn cross-postare su 
IAMM visto che al momento ci sono un po' di IDLer (di serie B) che 
scassano? Thx :)
OK, chiudo l'OT qua, e scusatemi.
AVe!


 h whiplash, potresti nn cross-postare su IAMM
Non mi pare di averlo fatto, se non in un'occasione
ed assolutamente in topic (commento su un album dei 
Death Angel), con follow up.
O mi e' scappato un xpost?
BTW, per simili richieste, il mio indirizzo e' *assolutamente* valido.


 parenti precedenti ed a seguire.
no ne da di piu'. ma sono cmq errori tuoi, non di un altro.
un mayhem ed il sistema non deve proteggermi da me ;P
--
Without sacrifice, without death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org

 wrote in message
news:a4b6ov$1dtle5$1...@ID-109207.news.dfncis.de...

quelli del fs di sicuro :)
un mayhem ed ibm che vuole followappare ms su ifc


 wrote in message
news:3c67c...@mk-nntp-1.news.uk.worldonline.com...

ho letto tutto il 3ad quindi mi permetto di partire anche da
considerazioni espresse piu' giu'.
la prima domanda che devi farti e' : chi segue la cosa?
se avete nessun interno esperto di nulla, quindi da formare va bene
tutto.
se avete 10 esperti /veri, non pretesi) *nix ... magari uno unix
riuscite anche a tenerlo meglio in piedi che non un pix che appena vi
guarda storto dovete chiamare consulenti esterni.
altro problema le performance/affidabilita'. se mi fai una e-bank da
migliaia di transazioni al minuto ...
che fai metti delle sun10000 con debian in clustering? non so se
conviene ...
forse 2 pix che lavorano in hw e possono processare in cut-through (se
si scive cosi' attraverso ...) e fanno pure staeful-failover (uno si
romper parte lk'altro, nessuno si accorge di nulla .. e le connessioni
restano up. se non fosse stateful, allora ogni connessione dovrebbe
essere ristabilita) . potrebbero andare meglio.
non da ultimo, a firewall configurato nel migliore dei modi possibili,
il tuo prb diventano le applicazioni.
avere uno *unix che permette connessioni alla 25, sa che sono smtp
serve.
avere un pix che permette le connessioni alla 25 sa che sono smtp, e
lascia arrivare al server solo i comandi che sono conformi ad rfc non
ricordo il numero potrebbe servire di piu'. es: ti dimentichi di
disabilitare il vrfy, ma il pix non lo lascia fare.
per l'ids io userei snort senza problema alcuno. piu' macchine in piu'
punti. ed una di gestione. (copio il disegno di un ids commerciale come
quello cisco, ma lo faccio con gli strumenti che voglio).
anche qui il problema potrebbero essere le performance.
ma in quel caso ti serve come switch un catalyst 6500 con il routing
processor ed il modulo ids integrato. (che non sniffa, legge dal
backplane!!! utilizza la sua cpu e non lo switching engine)
un mayhem e dipende sempre da che devi fare.


 un mayhem ed il sistema non deve proteggermi da me ;P
Mah, ritengo che fra un Linux che da' tanta documentazione e permette
di capire come funziona qualcosa ed un NT/2miglia che clicca clacca
permette di mettere su un server ci siano piu' probabilita' che le
stronzate si facciano con i secondi, posto sempre che il concetto per
cui si deve conoscere la teoria e' sacrosanto ma tu quoque, che dici di
essere per la full disclosure non mi sembri coerente vista la aderenza
di m$ alla security by obscurity.


 di m$ alla security by obscurity.
attenzione sto dicendo una cosa diversa.
linux mi da piu' possibilita' di fare cazzate come mi da piu'
possibilita' di fare cose corrette.
il sistema e' mio, funziona come voglio io. se funziona male lo ho
configurato male.
se io voglio mettere un meccanismo di autodistruzione software sul mio
server con linux lo posso fare.
w2k invece mi reputa un utante, sempre e comunque. se io voglio, ad
esempio, piallare la partizione di sistema, come administrator, cio' che
dopo un ccie piu' si avvicina a dio, non posso farlo.
il mio sistema non deve proteggersi da me.
se sotto linux qualcs non funziona bene, spesso, e ripeto spesso,
dipende da una mia cattiva configurazione.
sotto w2k molto meno spesso. il sistema mi impedisce certi accorgimenti,
ad esempio escludere la grafica su un server sul quale non serve.
di conseguenza il mio sistema unix, attribuendo, giustamente, il ruolo
di dio al suo root, gli da potere di vita e di morte sul sistema.
se tu sei un dio poco accorto, beh, hai inutilmente sacrificato una tua
creatura.
la documenatzione e' un'altra cosa. il distribuire i sorgenti, i
dettagli sulle vulnerabilita', un'altra.
un mayhem che il sistema e' mio e lo gestisco io!


 creatura.
uhmm ma questo e' Populus! ;)

 IAMM visto che al momento ci sono un po' di IDLer (di serie B) che 
  ^^^^
  'ncoppa iamm ia' funiculi' funicula' ?
ok, mi mando da solo su i.f.c. :)


 IMHO
Sempre... :-)
Bye, G.

 responsabilita' su eventuali malfunzionamenti.
IMVVVVVHO penso sia la stessa percentuale delle ditte che
hanno closed-source. Tanto per _non_ fare nomi, c'è chi nelle
licenze non  si assume neanche la responsabilità che il
dischetto che ti ha mandato sia leggibile... senza parlare di
"suitability AND/OR effectiveness for the task". E parlo di
un prodotto che costa svariate migliaia di euro.
Oh, ma se un mio programmillo in VB fa una ca##ata, anche
minima, mi levano la pelle, eh ?
Un Paperino certe volte un po' scoraggiato.

 wrote in message
news:a4e10v$1e65gj$5...@ID-127011.news.dfncis.de...
<super cut>
Grazie per il feedback!!
Un AMS67 sotto molta pressione...

 responsabilita' su eventuali malfunzionamenti.
Leggi la schermata con la tipica licenza d'uso di un qualunque prodotto
Microsoft. Applicando il tipo di analisi semantica esemplificata dal
grande Asimov in Cronache della Galassia, quella licenza d'uso in sostanza
dice:
"Io ti do il diritto di usare il mio prodotto. Da questo momento sono
affari tuoi, non ti garantisco che funzioni, non ti garantisco che potrai
usarlo per qualunque cosa, non ti garantisco niente. Se l'uso di questo
prodotto ti arreca danni, non venire da me a piangere o a protestare, io
non ne voglio sapere niente."
Oltre alla raccomandazione di "Non usare questo prodotto per il controllo
di impianti chimici, centrali nucleari, navigazione aerea e sistemi
d'arma"...
*****
...hmmmmmm mi sa che si potrebbe togliere all'Iraq l'embargo sui prodotti
Microsoft... <eg>


 me a piangere o a protestare, io non ne voglio sapere niente."
Questa mi pare che vale più o meno per il 99 % dei PRG anche non di M$.
MI sbaglio?


 Microsoft... <eg>
ROFL !


MI sbaglio?
Per quello che ricordo no, non ti sbagli.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
      BlackHole: PIII 1Ghz - 256MB Ram - WindowsXP Professional

parole tirando fuori le inutilita' non ne rimane nulla :)
Ti confondi con le assicurazioni di Lord Dorwin al Sindaco Salvor Hardin.
(L'altro riferimento alle analisi fatte da, se ricordo bene, Muller Holk,
e' circa il trattato fra Anacreon e l'Impero: "Obblighi di Anacreon verso
l'impero: nessuno. Obblighi dell'Impero verso Anacreon: nessuno.").
Leonardo PMP
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 l'impero: nessuno. Obblighi dell'Impero verso Anacreon: nessuno.").
Yep, illo e'..


 Per quello che ricordo no, non ti sbagli.
percui...


 l'impero: nessuno. Obblighi dell'Impero verso Anacreon: nessuno.").
s/Impero/Microsoft/g
s/Anacreon/Utente/g
s/nessuno/tutti


 MI sbaglio?
Assolutamente esatto.
