Newsgroup: it.comp.sicurezza.varie
Titolo: Microsoft: le RFC non servono!

Sembra che in microsoft siano passati dal considerare le RFC una opzione
al considerarle propriamente dannose.
Pare infatti[1] che le ultime patch per IE non permettano l'uso della
completa sintassi delle url http, nella forma
	scheme://username:password@host/location
questo, affermano, perche' questa sintassi permette di confondere
l'utente facendogli credere di aprire un sito piuttosto che un altro:
	http://www.miab...@www.fintabanca.tld/login.php
Certo la soluzione e' originale: piuttosto che tappare i buchi del
proprio pessimo software, meglio non seguire gli standard. Tanto gli
utenti sono dei pecoroni.
HappyCactus disgustato
[1] 
http://support.microsoft.com/default.aspx?scid=kb;en-us;834489
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *


D'altra parte:
http://www.apogeonline.com/webzine/2003/12/24/01/200312240101

 ha inavvertitamente
calpestato i tasti, producendo siffatto scritto:

Mi intrometto un attimo con una domanda da niubbissimo:
perche' AvantBrowser (AB), che si basa -almeno, cosi' so- sullo stesso
_motore_ di IE non mostra lo stesso comportamento?
BTW, ho notato che da un po' di tempo l'aggiornamento di AB crea un
eseguibile (il principale, quello per lanciare il browser) che si
chiama, ironia della sorte, iexplore.exe.....
Giovanni Cesaretti
-- 
"Non prenderei mai la tessera di un club
che mi accettasse tra i suoi soci"
Groucho Marx

 _motore_ di IE non mostra lo stesso comportamento?
[CUT]
Perché MS IE è un eseguibile minuscolo (91k) che utilizza un certo (grande)
numero di componenti esterni (dll e/o ActiveX). Ad esempio, il parser html è
realizzano in shdocwv.dll, mentre i menu che compaiono col click destro
sulle pagine web (visualizzate da shdowv.dll) è in shdoclc.dll.
La gestione degli indirizzi viene effettuata dall'eseguibile di MS IE, e non
nei componenti più a basso livello.
AvantBrowser (come CrazyBrowser peraltro) utilizzano solo i componenti a
basso livello, non l'eseguibile vero e proprio di MS IE. Da qui il
comportamento diverso.
Di fatto in Windows sono presenti dei componenti per il parsing del codice
html, che MS IE utilizza. Ovviamente anche altri browsers possono usarle, se
scritti in modo adeguato.
Piuttosto...
Oramai sono un Mozilla FireBird dipendente, e IE l'ho disinstallato.
Hola :)
-> GbC|
www.gbcweb.com
PS: sulle RFC non posso neanche pensare che MS l'abbia fatto. L'utilizzo da
parte di MS IE di standard proprietari in antitesi alle RFC è una delle cose
più bastarde che si potesse immaginare.
A quando i siti che potranno essere aperti 'solo' con IE?
Hola :)


Pensa un po':
Metti che gli proibiscano di fornire IE assieme a Windows.
Metti che in giro proliferinino i siti costruiti con Active X & C
Metti che Mozilla ed altri browser non si parlino con gli Active X
La gente sara' "costretta" a COMPRARSI IE :-)

 A quando i siti che potranno essere aperti 'solo' con IE?
A "ieri", esistono già da un bel pezzo ..
ma dove sei stato negli ultimi anni ...
su marte :-) ?
Ciao


---snip---
Grazie per le info.
Avevo avuto il dubbio (le dimensioni in effetti sono molto differenti:
l'iexplore di AB e' circa 8 volte piu' grosso di quello MS), ma adesso
e' chiaro.
Ciao,


 ...
non è fuori standard
-- 
cogito cogito...

utenti sono dei pecoroni.
   Ero notevolmente indietro con la lettura di BugTraq, comunque,
anche li` se ne e` discusso, ed e` venuto fuori quanto segue:
   L'RFC 1738, alla sezione 3.3 dice:
"[...]
   An HTTP URL takes the form:
      http://<host>:<port>/<path>?<searchpart>
   where <host> and <port> are as described in Section 3.1. If :<port>
   is omitted, the port defaults to 80.  No user name or password is
   allowed. [...]"
-- 
S.L.

 Hola :)
Come l'hai disinstallato? Usi Win9x?
K


Qualcuno su BugTraq si è spinto ad affermare che la patch consente a IE
di adeguarsi alla RFC, piuttosto che il contrario.
Letta la sezione sopracitata, forse lo sdegno iniziale dei più è
ingiustificato.
Toki

 non è fuori standard
ah no? Sono le RFC che sono fuori standard?


 L'RFC 1738, alla sezione 3.3 dice:
Veramente e' stata aggiornata dalle
 RFC1808, RFC2368, RFC2396 
tanto per citarne una presa a caso:
[...]
RFC 2396    URI Generic Syntax    August 1998
3.2.2. Server-based Naming Authority
   URL schemes that involve the direct use of an IP-based protocol to a
   specified server on the Internet use a common syntax for the server
   component of the URI's scheme-specific data:
      <userinfo>@<host>:<port>
   where <userinfo> may consist of a user name and, optionally, scheme-
   specific information about how to gain authorization to access the
   server.  The parts "<userinfo>@" and ":<port>" may be omitted.
      server        = [ [ userinfo "@" ] hostport ]
   The user information, if present, is followed by a commercial at-sign
   "@".
      userinfo      = *( unreserved | escaped |
                         ";" | ":" | "&" | "=" | "+" | "$" | "," )
   Some URL schemes use the format "user:password" in the userinfo
   field. This practice is NOT RECOMMENDED, because the passing of
   authentication information in clear text (such as URI) has proven to
   be a security risk in almost every case where it has been used.
[...]
Che non sia raccomandato, e' un altro paio di maniche, la motivazione
e' completamente differente da quella portata da microsoft. Faccio anche
presente che tenere in considerazione questo punto significherebbe anche
eliminare tutte le forme di autenticazione che inseriscano gli estremi
in qualunque parte della richiesta http, ad esempio negli header o nel
corpo del POST.
Se si dovesse seguire questo suggerimento, bisognerebbe eliminare anche
tutte le altre forme di autenticazione su http che non siano criptate (e
mi pare che cosi' non sia).


 e' completamente differente da quella portata da microsoft. Faccio anche
guarda, mi fa abbastanza schifo anche a me questa gestione, pero'
l'affermazione che con questa patch M$ "non rispetta le RFC" mi pare un
pelino forte.
NOT RECOMMENDED mi sembra scritto bello forte, e l'unica vera violazione per
me è tornare come errore
"syntax error", perche' non e' un errore di sintassi.

 "syntax error", perche' non e' un errore di sintassi.
Siccome la sintassi lo prevede, essi devono rispettarla. Il fatto che
sia "Not reccommended" non significa che possa non essere implementato.
Del resto, bastava inserire una dialog box che avvertisse l'utente dei
pericoli, e correggere quel baco. No. Piu' semplice fottersene degli
standard.


 
http://www...@fiat.com/home/New.asp
 non funziona più, fossi la Fiat gli farei 
causa ;-)

 causa ;-)
Beh, per rimanere in tema sicurezza, 
www.@stake.com
 ...

   field. This practice is NOT RECOMMENDED, because the passing of
   {Alcuni schemi di URL usano il formato "utente:password" nel campo
"userinfo" [dell'URI]}. Questo passo dell'RFC sconsiglia il formato
"utente:password", ovvero consiglia di sostituirlo (poco sotto) con
meccanismi di autenticazione piu` sofisticati.
   Quanto detto nel passo citato vale per gli schemi URL che prevedono
un campo "userinfo" del tipo "utente:password". Non vale per lo schema
URL HTTP, che non prevede alcun campo "userinfo", come specificato in
RFC 1738.
   D'altronde, RFC 2396, dichiara esplicitamente di non voler entrare
nello specifico degli schemi URL definiti da RFC 1738, e che,
eventuali aggiornamenti a quegli schemi verranno presentati come
documenti separati:
|   This document updates and merges "Uniform Resource Locators"
|   [RFC1738] and "Relative Uniform Resource Locators" [RFC1808] in order
|   to define a single, generic syntax for all URI.  It excludes those
|   portions of RFC 1738 that defined the specific syntax of individual
|   URL schemes; those portions will be updated as separate documents
   In sostanza: basta, vi prego, che difendere la Microsoft mi urta
non poco! :/
-- 
S.L.