Newsgroup: it.cultura.cybersocieta.lamer
Titolo: Condotta scandalosa di Aruba

Da it.comp.sicurezza.varie.
Che Aruba fosse in mano a lamer si sapeva, ma questa le batte tutte:
"Lorenzo Lutti" <lorenz...@DOHxxx.it> ha scritto nel messaggio
news:Pqfa7.5541$te7.2...@news.infostrada.it...
Scrivo per chiedervi un parere su una vicenda che a mio modo di vedere le
cose ha un che di kafkiano, e` cosi` surreale da sembrare finzione
letteraria. D'accordo, scrivo anche per depositare un po' di guano sui suoi
protagonisti; ma questo tutto sommato e` secondario, prima il dovere e poi
il piacere. Magari in seguito - anche in base ai vostri pareri, magari io
sto sopravvalutando la cosa! - daro` ulteriore respiro a questa denuncia.
Dovete sapere che Aruba hosta tutti i suoi siti su macchine Windows NT o
Windows 2000. Ovviamente il tutto gira sotto a IIS e si puo` utilizzare ASP
(fra l'altro presumo che questi siano i motivi per i quali almeno una o due
volte alla settimana trovo il sito down). Cosi`, dato che dovevo mettere su
un sito hostato da Aruba e non conoscevo ASP, ne ho approfittato per
comprarmi un bel librone sull'argomento e ho iniziato a fare i giochini. La
prima pagina ASP in assoluto che ho scritto conteneva una ventina di righe e
usava l'oggetto FileSystemObject della runtime scripting library, che
permette di accedere ai file sul server. Immagino che generalmente cio`
avvenga entro determinate regole e privilegi.
Con Aruba no. Con quello script potevo tranquillamente vedere le directory
di tutti gli altri siti hostati sul mio stesso server, tutti i file di
configurazione e log dei vari servizi, il drive e le directory di sistema.
In un drive a parte comparivano persino tutti i dati di registrazione dei
clienti di Aruba degli ultimi mesi (!), un file per ogni giorno. Non ho
verificato se avessi o meno permessi in scrittura, ma niente mi fa supporre
il contrario. Insomma, si trattava di una voragine di sicurezza enorme; e
quel che e` peggio, se ci sono arrivato io dopo aver letto un paio di
capitoli di un libro su ASP, quanti lamma si saranno divertiti a rubare dati
sensibili a centinaia di persone (o forse a migliaia, se il problema non era
solo su quel server) per MESI?
Gia` a questo punto trovavo la cosa quasi incredibile. Ma non era finita. Il
giorno successivo alla mia scoperta (giovedi` scorso, se non erro) tento per
la prima volta di contattare Aruba in via privata per comunicargli la
situazione. Ovviamente ho tentato la via privata perche` in quel momento,
finche` il buco era ancora aperto, non volevo dare troppo risalto alla cosa.
Sul sito principale non compaiono e-mail o form per contattarli (evviva la
serieta`), sembra che loro vogliano che passi tutto attraverso il loro forum
http://forum.aruba.it
 . Cosi` ho tentato di spedire dei messaggi privati
allo staff tecnico di Aruba attraverso questo forum. Il primo tizio che ho
provato a contattare aveva la mailbox privata piena (!); in seguito sono
riuscito a spedire il messaggio a un altro componente dello staff. Poi ho
aspettato.
Fino a lunedi` nessun segnale di vita (ma ehi, era giovedi` sera ed eravamo
a ridosso del week end. Sono soltanto esseri umani, giusto?). Poi lunedi`
sera lo script del forum mi informa che il membro dello staff ha letto il
mio messaggio, peraltro senza rispondermi. E il buco sul server era ancora
aperto.
Un filino incazzato, decido di spedire un altro messaggio sul forum, pero`
questa volta in un'area pubblica e un po' meno garbato. Questo succede alle
19 di lunedi`. Alle 20 mi ricollego e noto che il mio messaggio e` stato
rimosso, senza che peraltro qualcuno mi abbia dato qualche tipo di risposta
o spiegazione in privato. Da notare che, oltre a poter usare il forum per
contattarmi, dispongono anche del mio indirizzo e-mail.
Martedi` sera noto che il buco e` stato chiuso, ora finalmente vedo access
denied dappertutto [*]. Ma ancora nessun segno di vita da parte di Aruba.
Scrivo un altro messaggio privato _leggermente_ piu` irritato al tizio dello
staff.
Mercoledi` sera (ieri) il forum mi informa che anche il mio secondo
messaggio e` stato letto, e ancora una volta non ho ottenuto risposta. Idem
oggi. Per la precisione, dall'inizio di tutta la vicenda Aruba non mi ha
*mai* contattato. Chissa`, magari stanno cercando di farlo attraverso la
casella di posta 
lorenz...@aruba.it
 che ho registrato a meta` maggio, ha
funzionato per due giorni e poi mai piu`. ROFL.
La cosa scandalosa non e` tanto il fatto in se` che non mi rispondano;
questo e` soltanto buffo o ridicolo, a seconda dei punti di vista. Cio` che
e` davvero grave e` che sembra che abbiano scelto una linea di condotta
ufficiale ben precisa, cioe` quella di far finta di niente con *tutti* i
loro clienti. Neanche un e-mail, una comunicazione del tipo: "attenzione, i
vostri dati degli ultimi mesi potrebbero essere compromessi, prendete le
opportune precauzioni. Ci cospargiamo il capo di cenere". Niente.
Di primo acchito si potrebbe pensare: "ma dai, e` un servizio a basso
prezzo, di certo su quei siti non ci saranno delle informazioni cruciali. E`
stato un peccatucolo veniale, percio` non vogliono diffondere inutili
allarmismi". Non sono d'accordo almeno per due motivi:
1. Anche se il servizio e` a basso prezzo, molti di quei siti sono
commerciali e, su un totale di piu` di 1400 siti presenti su quel server
(millequattrocento!), diverse decine di essi supporteranno qualche forma di
e-commerce. Anche se - almeno me lo auguro - a nessuno sara` venuto in mente
di gestire dei codici delle carte di credito su un dominio in hosting da
cinquantamila all'anno, sicuramente i database di molti siti potrebbero
contenere diversi dati PIUTTOSTO sensibili.
2. Resto dell'idea che se un provider e` clueless per le cose piccole, lo
sara` a maggior ragione anche per quelle piu` grosse.
[*] Non e` del tutto vero: pur non essendo piu` possibile il browsing delle
directory superiori, disponendo del path assoluto dei siti degli altri
utenti (ed e` banale costruirlo, perche` usano un nome standard a partire
dal nome di dominio) si vedono ancora tutti.

 clienti di Aruba degli ultimi mesi (!), un file per ogni giorno.
ROTFL!!!
Anche io avevo trovato quel piccolo buggettino ma ero entrato attraverso il
browser di getright :D
Quello non dava accesso in scrittura ma solo in lettura e quindi non ho
potuto provare.
Credo si tratti del famoso baco dela porta 80 di Win 2k.....
Il bello che io l'ho sperimentato del tutto involontariamente, ma circa 4
mesi fa!!!