Newsgroup: it.comp.os.linux.sys
Titolo: novita' sull'attacco ai server debian?

Non si e' piu' saputo nulla.

> Non si e' piu' saputo nulla.
Io in questi giorni ho usato apt-get update / upgrade, e mi si e' sputtanato
Samba... Che la cosa sia da imputare a questi problema?
Porc&%$£$@@#!!!
Riccardo

 sputtanato Samba... Che la cosa sia da imputare a questi problema?
Avevano consigliato di non scaricare nulla in questi giorni.

 Avevano consigliato di non scaricare nulla in questi giorni.
Infatti, lo sosopettavo : mea maxima culpa :-(((
Come potro' risolvere? Formattone galattico (...della serie "non si sa
mai"...)?
Riccardo

Rightrik wrote:

Spero di no :-( anch'io ho effettuato degli aggiornamenti.
Notizie sugli sviluppi non se ne hanno pero' sul sito debian dicono che
gli archivi non sono stati interessanti.
Probabilmente il tuo problema non centra nulla con la compromissione dei
server debian.

 server debian.
Speriamo in bene...
Grazie,
Riccardo

 Samba... Che la cosa sia da imputare a questi problema?
No.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Sheep are not a substitute for caffeine.

 
Come fai ad esserne sicuro?

 Come fai ad esserne sicuro?
http://www.debian.org/News/2003/20031121
Dice espressamente cosa e come e` successo.
I pacchetti non sono stati toccati. Verosimilmente, la compromissione e`
avvenuta con pochi privilegi.
In un eventuale aggiornamento pacchetti fatto in questi giorni, non c'e`
samba:
http://www.debian.org/News/2003/20031121a
Se non relativo ai vecchi update di security relativi al DSA 262 e 280.
Se non li avesse ancora installati (il piu` recente e` di aprile),
signfica che quella macchina potrebbe avere ben altri problemi. E cmq,
non li ha aggiornati ora, visto che security e` stata down per
verificare cmq i pacchetti.
Quindi, rimangono i seguenti casi:
- la macchina non e` "stable", e samba e backported. Su i pacchetti
  backported, rispondera` chi fa i pacchetti, no?
- la macchina e` testing/unstable. In questo caso, si tratta di un
  _eventuale_ pacchetto con dei problemi, nelle release debian dove e`
  "normale" che questo succeda e non ha legame con l'incidente di security
  come prospettava chi ponesse la domanda.
Ergo (matrix docet), sono sicuro.
:)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Illiterate?  Write for help!

 Dice espressamente cosa e come e` successo.
Come e' successo non lo dice.

 Come e' successo non lo dice.
Pare evidente che stanno verificando esattamente come. Hanno trovato
tracce di compromissione, hanno staccato le macchine e stanno
investigando. Ma sopratutto, i pacchetti sono integri.
Detto questo, non ho capito il tuo punto:
Sospetti che sia successo qualcosa di diverso? E come convive con il
fatto che l'autodenuncia provenga da Debian stessa? Se loro avessero
semplicemente detto: "abbiamo problemi di connettivita`", nessuno,
avrebbe saputo nulla, visto che non c'e` stato nessun defacement. Ma non
e` nella politica di Debian.
Sai qualcosa che noi non sappiamo?
Vorrei capire il tuo punto di vista.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
I've had a perfectly wonderful evening.  But this wasn't it.

 signfica che quella macchina potrebbe avere ben altri problemi.
Ciao, ho regolarmente aggiornato la mia distro Debian (stable!) con apt
praticamente ogni giorno.
Ho fatto altrettanto l'altro giorno quando (poi ho saputo) e' accaduto "il
problema", ed ho avuto problemi con i famosi aggiornamenti.
Purtroppo per mia leggerezza non ho "beccato" di preciso la magagna; fatto
sta che non avevo avuto problemi da tempo, ed ora mi ritrovo con Samba che
non rende disponibile alla macchina Win la quota di disco che prima usavo
come storage remoto...
Ho provato a rimuovere il pacchetto samba ed a reinstallarlo, ma nisba...
Non saprei dire che cosa e' successo, con precisione : per me, nulla di
positivo (anche se non e' grave, la macchina e' solo "sperimentale" ,e non
di produzione!!!)
Se puo' interessare, il problema  e' questo:
dalla macchina Win vedo comunque il server linux, ma quando provo ad
accedere alla quota di HD di Samba, ricevo una finestra di errore che dice:
Impossibile accedere a \\linuxserver
Impossibile trovare il percorso di rete.
In pratica vedo la macchina Samba, ma non posso entrarci dentro per usare
spazio e printer...
Riccardo :-(


Venerdi' una macchina mi ha scaricato diversi aggiornamenti (mi pare ci
fossero le libc e roba simile) spero vivamente che facessero parte
dell'aggiornamento a 3.02, domani controllero' (adesso quella macchina e'
spenta :-)
Alessandro.

 Ergo (matrix docet), sono sicuro.
mitico Mizio!

 Sospetti che sia successo qualcosa di diverso? 
No no, tu hai detto che quella news spiegava cosa e COME e' successo.
Pensavo quindi avessero gia' capito come e' avvenuto l'escursus che ha
portato al defacement ed ero curioso di leggerlo.
Tutto qui.
La sola cosa che mi preoccupa molto ora e' sapere se effettivamente
posso stare tranquillo in base alla notizia che gli archivi non sono
stati toccati, o se, per eliminare ogni incertezza, e' il caso di
riinstallare tutti i sistemi, e in questo caso sarebbe un lavoraccio
non da poco :-(
Certo, loro dicono che gli archivi non sono stati toccati, avranno fatto
le verifiche del caso ma resta il fatto che le macchine sono state
compromesse.
Possiamo veramente a questo punto avere la completa certezza che gli
archivi siano integri e che che, di conseguenza, lo siano le nostre
macchine dove sono stati fatti degli aggiornamenti?
Per la macchina che uso a casa non c'e' problema ma per i server
aziendali il problema e' grosso.
Ciao.

 Ciao.
Una dose di sana paranoia non, e ribadisco NON fà mai male. ;-)
-- 
Signature automatica inserita a mano.
Unv nccran qrpbqvsvpngb yn zvn svezn.
In God we trust, all others we monitor 
(National Security Agency)

 
Lo so ma sarebbe veramente un grosso casino dover reinstallare tutto
quanto.

 Una dose di sana paranoia non, e ribadisco NON fà mai male. ;-)
Tutto sta a stabilire fino a che punto si puo' considerare *sana*.
Alessandro.

test wrote:

Ripeto, quelli di debian dicono che gli archivi non sono stati
interessati quindi in teoria non ci dovrebbero essere problemi di
sorta.

 test wrote:

Controllare non fà mai male, ed in Debian lo sanno, 
specialmente dopo una "compromissione".
Loro come me sono un "pochino" paranoici[1] e controllano tutto.
[1] Paranoici o paranoidi?? ;-)


 Loro come me sono un "pochino" paranoici[1] e controllano tutto.
Infatti, controllare, se e' tutto a posto e' inutile riinstallare.
Ma..........controllare come?
Su 
http://www.wiggy.net/debian/developer-securing/
 sono consigliati
alcuni tools da usare, ma sono sufficienti? 
 

 mitico Mizio!
Sapevo che qualcuno avrebbe apprezzato. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
char *p="char *p=%c%s%c;main(){printf(p,34,p,34);}";main(){printf(p,34,p,34);}

 spenta :-)
Gli aggiornamenti di r2 sono tutti scritti nell'altro articolo che ho
postato (cmq nelle news sul sito debian).
E le libc non ci sono.
Rivederei le tue fonti.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 macchine dove sono stati fatti degli aggiornamenti?
Si. L'unica macchina incerta e` stata staccata dalla rete (quella che
conteneva security).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 alcuni tools da usare, ma sono sufficienti? 
Usando debsums, ad esempio.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
"SPARC" is "CRAPS" backwards --Rob Pike

 Usando debsums, ad esempio.
Si infatti.
Tu usi debian? come ti stai comportando in proposito? 


La mia fonte e' la mia labile memoria che probabilmente ricorda male.
Ho provato a cercare se esiste un log delle installazioni effettuate ma 
sembra che non sia precvisto.
Di sicuro ho visto scaricare piu' pacchetti di quelli che avevo selezionato
da dselect, ma probabilmente erano gli aggiornamenti alla 3r2 visto che ora
quella macchina risulta gia' aggiornata.
Alessandro.

 Tu usi debian? come ti stai comportando in proposito? 
Dappertutto. E per dappertutto intendo produzione, personale e
associativo.
Personalmente, il comunicato ufficiale non mi ha fatto allarmare, anche
se ovviamente, come tutti, sono curioso di sapere, a fine
investigazione, cosa e` successo di preciso.
Per il resto, e per scrupolo (alcune macchine in produzione sono molto
delicate) ho preso una macchina da combattimento, ed ho aggiornato.
Quindi ho verificato il verificabile.
Per quello che si puo` sapere, e` tutto a posto, del resto se Debian
avesse avuto dubbi in proposito, avrebbe fatto in modo che non fosse
possibile aggiornare (con avvisi ecc) come ha fatto con security (che ha
staccato dalla rete).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
i aM eLiTe!!!! gIvE mE wArEz D00dZ!!!!!!!

 quella macchina risulta gia' aggiornata.
I pacchetti presenti in r2 sono facilmente verificabili dalla news sul
sito (e libc non c'e`).
Il primo aggiornamento utile di libc e` questo
http://www.debian.org/security/2003/dsa-282
Che pero` e` aprile. Se non l'avevi installato significa che la tua
macchina non e` aggiornata da aprile, che parrebbe curioso.
Al che` ribadisco: e` woody, o e` woody + backported?
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------



Su quella macchina solo woody (i deb-src di testing sono li' solo in caso
servano, ma non ho installato nulla da li').
Grazie per i suggerimenti.
Alessandro.

 Non e` che loro "dicono". Loro hanno  verificato .
D'altronde non è che ci guadagnano o ci perdono economicamente, già il
motivo per cui esiste Debian dovrebbe tranquillizzare sul come, sul
quanto e sul perché verrà ripristinato ogni servizio e verranno
controllati scrupolosamente tutti i possibili problemi legati a questa
compromissione.
Questo rende inutile, IMHO, qualsiasi dose di "sana paranoia".
Ciao.
P.S. Ma qualcosa è ancora down? Non riesco a fare ricerche sui pacchetti
dal loro sito...
-- 
Antonio

 dal loro sito...
gluck e` stata reinstallata, ma ha ancora i servizi staccati (glick e`
quella che contiene people e packages almeno).
maggiori dettagli:
http://www.wiggy.net/debian/status/
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 
Ho lanciato debsums e, sia sulla unstable che sulle varie stable
installate, mi tira fuori una miriade di pacchetti dove dice:
 debsums: no md5sums for nomepacchetto
Non e' molto utile quindi.
Ciao.

 conteneva security).
Pero' durante l'inconveniente security era in linea e puo' darsi che
abbia scaricato dei pacchetti, ora non ricordo.
Io lancio dselect praticamente ogni giorno anche sulle stable.

 Non e' molto utile quindi.
Se prima lo aveva, e il pacchetto "in teoria" non e` cambiato, anche
questa e` un info utile.
cmq, tagliando la testa al toro:
- nel periodo della "compromissione", security non ha "emesso"
  pacchetti. L'ultimo e` del 17 novembre (minimalist e hylafax).
- security e` stata staccata a titolo _precauzionale_.
- nel periodo della compromissione, i mirror principali hanno fornito i
  pacchetti nuovi di r2, verificabili nella apposita news.
- debian dice che gli archivi non sono compromessi. Trovo stupido dire
  "mi hanno compromesso la macchina" e tacere su i pacchetti. Tanto
  valeva tacere e basta. Oltre che, visto che non ci sono stati altri
  elementi, Sei venuto a sapere della compromissione solo perche` loro te
  lo hanno detto.
- Se non hai fiducia, puoi: non aggiornare r2. De-installare eventuali
  pacchetti gia` aggiornati. Verificare l'integrita` e la sicurezza
  della tua macchina.
Puoi fare un sacco di cose, e molte dipendono da cosa fai _prima_ per
garantire l'integrita` della tua macchina, compreso un "imaging" di
un'installazione da fonte sicura (in situazioni critiche, si fa, come
hai potuto notare dai log dei maintainer debian, su come hanno proceduto
con le _loro_ macchine).
Ma le pratiche di "preservazione" del tuo sistema non hanno nulla a che
vedere con il sistema operativo. Eventualmente, un sistema operativo, o
una distribuzione, possono semplificarti parte del lavoro, non farlo al
posto tuo.
Nell'ottica della fanta-paranoia, e del "what if", tutto e possibile,
non mi sembra un terreno di discussione utile.
Se pero` hai alternative migliori, sono lieto di ascoltarle. Per quello
che e` il mio utilizzo, che e` prevalentemente professionale, non ho
nulla da recriminare. E ancora una volta resto favorevolmente
impressionato da come si possa fare un cosi` dannato buon lavoro, e
rimanere fedeli ai propri principi, ivi compresa la disclosure, che
genera poi queste discussioni e queste insicurezze.
Altro, non saprei cosa dire: cosa fai con le tue macchine, in definitiva
e` affare tuo.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
The only thing that interferes with my learning is my education.