Newsgroup: it.comp.os.linux.software
Titolo: Compromissione avvenuta...(insomma: mi hanno bucato)

Ciao ragazzi,
ero indeciso se mandare questo messaggio qui o su un altro newsgroup, ma 
ho pensato che, visto le domande che faro', questo vada bene. Se non 
siete d'accordo suggeritemi dove andare a chiedere.
Mi sa che mi hanno "bucato": qualche giorno fa mi sono trovato, al posto 
   di alcuni dispositivi in /dev che dovevano essere dei semplici block 
special dei file binari zippati con bzip2.
Ci sono rimasto particolarmente male visto che:
1) e' il computer di casa, con una connessione di quelle sfigatissime
2) non tengo nessun servizio aperto...
Ho trovato anche altre modifiche da altre parti e ho deciso di 
formattare tutto: non si sa mai...
Premettendo che uso una Slackware 8.1, avrei bisogno di un 
consiglio/parere/aiuto:
a) in realta' un servizio aperto c'e': lanciando un nmap  vedo aperta 
una porta tcp(non ricordo il numero della porta e non ho il mio computer 
sotto mano) relativa al server X. La stessa porta rimane aperta su una 
RedHat 7.3. Questa porta e' pero' chiusa sulla debian da cui vi scrivo 
ora. Secondo voi possono essere passati da li'?  Come si chiude questa 
porta? non l'ho capito.
b) se non sono passati da li', possono essersi introdotti nel mio 
computer attraverso i programmi che uso per la navigazione, mentre 
navigavo? immagino di si. A tal proposito ho una perplessita'(da 
ignorante, non prendetevela) sulla gestione degli update di sicurezza 
della slackware(e di ogni sistema operativo in generale): i security 
team della varie distribuzioni si occupano di trovare le falle di 
sicurezza solo in alcuni software rilasciati con la distro(e di 
consigliarne gli updates) o controllano tutti i software che 
distribuiscono con la distro? Immagino che dipenda dalla politica della 
distribuzione. Mi sembra, guardando i changelog sulla pagina ftp della 
slackware, che la Slackware non analizzi tutte le falle di quello che 
distribuisce, ma solo di alcuni "principali" software. Sbaglio? Per 
esempio ho sentito che vengono spesso trovate diverse falle in Mozilla e 
gli updates fra una versione e l'altra servono anche per chiudere 
queste. Sul changelog di cui sopra non c'e' segnalato niente.
La RedHat o la Mandrake mi sembra facciano anche loro un controllo a 
tappeto. E la Debian?
Naturalmente non pensate che io navighi da root. Uso un utente generico, 
che pero' ha il permesso di diventare root con su... :-( Forse avevo 
pero' permessi troppo "larghi" per quei dispositivi: 666. D'altronde era 
l'unico modo perche' non dovessi diventare root ogni volta che li dovevo 
usare. in realta' un modo ci sarebbe: esistono i gruppi, creiamone 
appositi...ma se prendono il possesso del mio computer mentre navigo da 
utente appartenente ai gruppi creati appositamente per la sicurezza di 
quei dispositivi comunque forse possono farci quello che vogliono. 
Dovrei creare un utente "sfigatissimo" per navigare? A volte mentre 
navigo faccio tante altre cose e ho bisogno, per dire, di avere un po' 
di permessi larghi: per esempio vorrei ascoltare un po' di musica mentre 
navigo  o usare il /dev/fd0 per salvarmi file che scarico, o altro...
penso che mi creero' un'altro utente per navigare.
Qualche consiglio? Ho bisogno di un firewall anche se chiudo tutte le 
porte(se mi aiutate a chiudere la tcp di X)?
Come avrete capito, in fatto di sicurezza informatica sono una ciofeca e 
dunque saro' grato a chiunque mi dara' qualche consiglio.
ciao e grazie
slacky

 distribuisce, ma solo di alcuni "principali" software. Sbaglio? Per 
Pensa a quanti programmi sono compresi in slack (che è una delle distro
più snelle): come è possibile controllarli tutti? Ci vorrebbe un grosso
sforzo, considera poi che slack non è una distro come redhat, ma è molto
più "artigianale", non ha alle spalle decine di programmatori.
-- 
|f(x)-f(y)|<=L|x-y|
Per le risposte in mail, occhio all'antispam!

 
difatti e' la risposta che un po' mi aspettavo. Comunque ho imparato 
qualcosa: e' importante cercare di stare dietro agli aggiornamenti della 
sicurezza anche da soli, per quanto si riesca visto che per vivere si 
deve fare altro, e d'ora in poi staro' anche io piu' attento.
Non hai nessuna idea sulla porta aperta in tcp per X? cioe' come si chiude?
ciao e grazie
slacky

 Non hai nessuna idea sulla porta aperta in tcp per X? cioe' come si chiude?
No, sorry.


 chiude?
Porta 6000?
Fai partire X con "--nolisten tcp"

Ciao,

Grazie! provero'.
Ciao
slacky

 No, è giusto, ma la posta come la spedisci?
la posta la spedisco dal programma di posta di mozilla che ho impostato 
configurato con i dati de server pop della Tin, 
box.tin.it
, e in uscita 
il serversmtp 
mail.tin.it
.
Purtroppo sono ignorante e non conosco in realta' il meccanismo che sta 
dietro a queste impostazioni. Dunque spero di aver risposto alla domanda 
e/o di non aver detto cose insensate. Ogni commento e/o spiegazione e' 
chiaramente gradito. Comunque queste sono le uniche cose che ho dovuto 
fare per poter inviare e ricevere posta.
ciao e grazie
slacky