Newsgroup: it.comp.www.server
Titolo: Housing e sicurezza

Finalmente sono riuscito a realizzare il mio progetto: registrare un dominio
e gestirlo localmente ( nel mio studio) su un web server Apache. Era molto
più semplice di quanto pensassi. Ora, vorrei studiare il problema della
sicurezza. Premetto che il mio sito è sperimentale, e pertanto lo sto
implementando sia in Apache su Linux che in Apache su Windows. Quali sono i
problemi da affrontare sui due sistemi operativi per ridurre al minimo gli
eventuali attacchi esterni?  Cosa posso leggere?
Grazie,
Franz

 eventuali attacchi esterni?  Cosa posso leggere?
su linux non ti saprei dire.
su windows, visto che usi apache, innanzitutto usa *almeno* una licenza 
di win2000 o, se proprio devi farla tutta casalinga, win xp (pro).
i dischi devono essere partizionati con NTFS, se hai fat32 rinuncia o 
riformatta o converti in NTFS.
molte cose devi tener di conto sulla sicurezza, imho sempre meglio esser 
piu' paranoici su queste cose anziche' affidarsi alla sorte.
innanzitutto comincia dal sito di apache ;)
http://httpd.apache.org/docs/windows.html
http://httpd.apache.org/security_report.html
tempo fa' ho inquinato il ng con una serie di prove apache/win/ntfs che 
forse possono esserti utili (e forse anche divertenti) :
http://tinyurl.com/39dez
puoi consultare 
securityfocus.com
 :
http://www.securityfocus.com/bid/9930
http://www.securityfocus.com/bid/9921
http://www.securityfocus.com/bid/9826
http://www.securityfocus.com/bid/vendor
in piu' devi avere un buon firewall davanti (meglio evitare soluzioni 
"home" come zonealarm ecc..).
se non hai un fw hardware, puoi optare per questo:
http://www.idrci.com/idrci_products.htm
con tanto di forum:
http://forum.idrci.it
buona lettura
sp-

 sicurezza. Premetto che il mio sito è sperimentale, e pertanto lo sto
questi post mi fanno sempre stare un po' male....
ma perche prima non studiate e poi le provate in casa e poi, moooolto poi le
mettete in rete ?
poi salgono le statistiche dei server  linux  "bucati" .. per forza......
baaah sono sempre piu stufo di vedere ste cose approssimative in giro in
italia...
Federico

 italia...
A dire il vero, io ho letto tantissimo su newsgroup e siti in lingua
inglese, ed ho trovato che la creazione di web server casalinghi è moto
frequente. In italiano ho letto pochissimo, in verità, ed anzi, a tutte le
mie richieste su come creare un web server casalingo ho trovato poche
risposte, in italiano. O è un segreto conservato meglio del segreto di
Fatima. Poi, scusa, come faccio a sperimentare il problema della sicurezza,
se non creo prima il web server ?
Grazie
Franz

 se non creo prima il web server ?
come fan tutti: prima ci si documenta, poi ci si documenta di nuovo, poi 
si fanno delle prove su un server IN LOCALE (staccato dalla rete), si 
cercano strumentini vari per testare le porte ed i servizi 
attivi/aperti(/vulnerabili), si fanno ancora prove, ci si munisce di un 
firewall, lo si studia, si rifanno delle prove IN LOCALE, ancora prove e 
prove ecc
a quel punto puoi iniziare a pensare di mettere in rete (leggi: 
pubblicare) il server, consapevole che non sara' probabilmente da subito 
la config. ottimale.
rifai quindi tutte le prove, i test, le verifiche, cerchi siti che 
offrono test sulla sicurezza e volendo fai fare un po' di ethical 
hacking a qualche amico esperto.
imho, naturalmente.
sp-

 wrote in message
news:Y0sgc.96050$rM4.3...@news4.tin.it...
Spin, vedo che  su certe cose ci capiamo bene....ma posssibile che "loro"
non capiscano invece ?
che poi vedi arrivare 2000.000 di spam-mails /giorno  da un ip che ti vai a
controllare e scopri essere un dialup con una povera  rh9 presa e installata
con una serie di >>>ok>>>>ok>>>ok>>>ok >>>fatto.   :-(
e quindi hackerata in 24 secondi netti da uno script-kiddie qualsiasi. A
quel punto, cosa bisogna fare ? tirargliela giu del tutto onde evitare chi
continui lo spamming ? che magari quando non gli riparte piu almeno capisce
che c'e' qualche problema...perche altrimenti i files di log....non si
leggono mai....vero ?
Basta con sto pressapochismo porco *** !!!!!
Ciao, buona domenica
Federico

 Basta con sto pressapochismo porco *** !!!!!
:-(
ciao
sp-

personalmente ti consiglio Mdk rispetto a rh per un desktop ..(btw,
sinceramente io sono del parere che a livello dsktp linux non sia una scelta
giusta..è un ottimo server e quello deve restare, io lavoro su servers linux
da quasi un 10 ormai ma desk uso ancora Win, (anche xche purtroppo , c'e
poco di "serio" in ambiente di editing audio )
non conosco siti per newbs , credo che la cosa migliore sia quella di fare
un paio di installazioni e prenderci confidenza ;-)
Soprattutto, elimina tutti i servizi inutili tipo MTA, Bind, nfs
,portmap,eventuali altri servers ..
Ciao
Fede

 ,portmap,eventuali altri servers ..
gia', e soprattutto cerchero' di toglierle tutte quelle ca**ate che ho 
visto al momento installate, tipo i giochini, quattromila sfondi 
desktop, milleeottocento ambienti grafici e amenita' varie "subentrate" 
con l'install che sta pazza provo' qualche sett. fa'
:-/
li' per li' mi e' sembrato di vedere winxp in versione linux, ho quasi 
vomitato :-/
sp-

 imho, naturalmente.
Ora m metto a studiare
Franz

 forza......
Invece se crasha un windows XP di un utonto che installa un programma e per
disinstallarlo cancella cartelle e files a caso, la colpa è di windows..
mi pare anche ovvio..
linuxari..

 Federico wrote:
vedi il problema è che non tutti hanno un win2003 server per cazzeggiare,
visti i costi della licenza..molto piu comuni gli smanettatori con linux...
semplice legge dei numeri...
ciao
Federico
btw, stai parlando con uno dei beta-tester ufficiali di win95/winnt4 nonche
preview program di advanced2003server...sbagli proprio tutto Massi....

 sbagli proprio tutto Massi....
Cosa sbaglio scusa?
Ti pare una cosa normale sto discorso del "i server linux bucati sono colpa
degli admin, i server windows bucati sono colpa di windows"?
PS: Ammazza, beta tester di win 95.. chissà che calvario..

ripeto perche mi sembra ti sia sfuggito...
-----
non tutti hanno un win2003 server per cazzeggiare,visti i costi della
licenza..
sono molto piu comuni gli smanettatori con linux...
semplice legge dei numeri...
-----
riguardo 95 si, e' stato un discreto calvario specialmente perche all'epoca
usavo prevalentemente Os/2 (avendo una rete geografica tra 3 negozi
collegati con una linea telefonica dedicata tramite modem ) e quindi
testare  un Os che si mangiava regolarmente una Fat ogni 200 /250 ore di
vita...sai com'e.....giusto 2-3 bestemmie ogni tanto ;-)
ripeto , non è un discorso di prevenzione ma di oggettiva analisi : in
ambito server c'e' ben poco da discutere  nel 75 % dei casi ; in ambito
desktop, sono il primo ,come puoi vedere dagli headers , ad utilizzare Xp in
quanto sono molto piu comodo per altre cose.
Resta valido che la maggioranza dei "wannabe" installa Linux non 2003Server
per "smanettare" e quindi  farsi bucare....
ciao
Fede

 Ora m metto a studiare
;) good
ah, naturalmente su google troverai di tutto e di piu' su firewall etc.
buona lettura :)
sp-

 buona lettura :)
Grazie
Franz

 libro.
perche' no :)
tempo fa' lessi (ammetto con un po' di insoddisfazione) un libricino:
FIREWALLS di M.Strebe e C.Perkins - edizioni Jackson Libri, quasi 500 
pagine, 35 fottutissimi luridi euro.
:-/
non mi e' piaciuto proprio tantissimo, ma se cominci da zero mi e' 
sembrato un libro di facile apprendimento e abbastanza completo.
cito qualche argomento:
- scegliere il fw + adatto alle proprie esigenze
- il TCP/IP e i socket dal punto di vista della sicurezza
- tecniche avanzate di crittografia
- filtrare i pacchetti
- i fw e le VPN
- NAT, codifica, autenticazione, tunneling
- conoscere i tipi di rischi che minacciano la rete, diverse tecniche di 
attacco e modi migliori per difendersi
- nascondere i difetti TCP/IP, http, ftp, rpc, BootIp e SNMP
- sicurezza con linux IPChains, drawbridge e tripwire
- i fw per nt, unix e netware
- sicurezza sotto win2k
- altri strumenti di sicurezza
- scoprire le intrusioni
- risorse online dedicate a fw e sicurezza
sp-


questo è ancora uno dei migliori, x vedere lo stato della scuola in
Italia, dai un'occhiata al mio blog!
 
ciAO
Sorcerer
------------------------------------------------------
Now playing:
BS - Iceman
------------------------------------------------------
my Blog:
http://giovanesistemista.splinder.it
------------------------------------------------------

 Italia, dai un'occhiata al mio blog!
spero che almeno il 75 % sia "esagerato" per esigenze "artistiche" perche
altrimenti e' da mettersi a piangere....
Ma davvero i tuoi prof sono cosi' ?
dimmi di no ti prego..
Ciao
Federico triste e sconsolato

 sp-
Stai parlando del contenuto del libro, o degli argomenti che dovrei
approfondire?
Franz

 Stai parlando del contenuto del libro,
si
sp-

Leggi questa notizia su repubblica
http://www.repubblica.it/2004/d/sezioni/scienza_e_tecnologia/telecomhack/tel
ecomhack/telecomhack.html
Franz

gia letto !! :-P
quindi ?
explain more pls..
Ciao
Federico
-- 
il networking e' come il sesso, puoi studiare a memoria 10.000 libri
ma e' solo continuando a infilare lo spinotto che impari davvero ... ;-)

ahhhhhhh la telecom...... eternamente, estremamente, enormemente deficienti.
 >:(
//
"La compagnia di telecomunicazioni ha precisato che gli attacchi non 
hanno provocato danni al sistema e che non si segnalano problemi da 
parte degli utenti."
//
no, infatti, sono stati "solamente" visti i dati sensibili degli 
abbonati, una "piccolissima" violazione della privacy per la quale in 
italia si sta molto attenti.
ma "niente di che", dice mamma telecom.
bbahhhh!!!
ma la stronzata piu' grossa e' questa:
//
"Quando un cliente Telecom acquista un prodotto o un servizio", spiegano 
ad Ants, "viene dotato di un codice d'ordine e di una password che gli 
consentono di seguire online lo stato della pratica". Un difetto nel 
sistema di controllo permetteva di forzare la password. Per entrare in 
possesso dei dati di un cliente era necessario conoscere il suo numero 
d'ordine.
_"Ma questi codici vengono assegnati in maniera sequenziale, partendo da 
uno è possibile ottenere tutti gli altri"_
//
che bel sistema informatico :-/
[quote]
La vulnerabilità che affliggeva il sistema di Telecom, tecnicamente nota 
come "Sql Injection", è un tipo di falla molto comune.
[/quote]
infatti, proprio perche' la considerano una falla comune, hanno ben 
pensato di occuparsene preventivamente.
BBBBBBBAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHH !!!!!!!!!!!
si vergognino.
sp-

 italia...
abituati finchè non arriveranno sanzioni maggiori per gli
incompententi.................
-- 
ITHost (your host company)
Technical Manager
C. Paparelli (MCSE,MCSD,MCDBA)
http://www.ithost.ch

 preview program di advanced2003server...sbagli proprio tutto Massi....
mmh sorry ma guarda che la versione advanced in 2003 non esiste c'era
unicamente per win2000 forse ti riferisci alla enterprise


 e gestirlo localmente ( nel mio studio) su un web server Apache.
allora se mi contatti a cpaparelli(*-at-*)ithost(*-dot-*)ch ti spiego cosa
c'è che non va sul tuo server
Apache 2.0.49 con php 4.3.5 :-)
