Newsgroup: it.tlc.gestori.fastweb
Titolo: Attentato !

Scusate il il titolo 'fediano', ma la cosa è clamorosa !
Gestisco un piccolo sito amatoriale con annessa una mailing list.
Settimanalmente invio agli isciritti una mail con le novità e i link alle
rispettive pagine: lunedì scorso, subito dopo l'invio vado a consultare un
mio pannellino amministrativo che riporta gli ultimi 30 accessi con
rispettivo referred. Uno di questi era relativo al servizio di consultazione
posta di fastweb tramite pagine web (non l'avevo capito subito: era la prima
volta che notavo un tale referred ed ero curioso di vedere di che motore di
ricerca si trattasse): per mia somma sorpresa sono riuscito ad accedervi
(era la posta di un destinatario della mia mailing list che aveva appena
consultato la sua posta e aveva cliccato su uno dei miei link) e addirittura
a mandare una mail (regolarmentre arrivata). Se sono riuscito io senza
volerlo, senza particolari conoscenze di web e senza secondi fini non oso
immaginare cosa possa fare un malintenzionato !
... meditate gente, meditate ...

 immaginare cosa possa fare un malintenzionato !
Non ho capito: gli hai mandato una mail o hai mandato una mail come se tu
fossi lui?

 se tu fossi lui?
Mi sono mandato una email dal suo account di posta !

 se tu fossi lui?
Penso comunque che il problema possa essere evidenziato in questo modo:
1 - aprite il pannello di posta web di fastweb
2 - accedete ad un messaggio qualunque di posta
3 - copiate il link di questa pagina e speditelo per posta a un vostro amico
4 - se l'amico riceverà la posta e utilizzerà il link entro breve potrà
navigare nella vostra posta (e mandare messaggi per conto vostro !)
sarei curioso di sapere se effettivamente funziona, in questo caso il buco
nella sicurezza di fastweb sarebbe enorme, buco al quale si sarebbe potuto
porre rimedio con estrema facilità (immagino sarebbe bastato non includere
l'identificativo di sessione nel link, ma utilizzando per esempio un cookie,
oppure controllare l'ip ....).

 amico
Purtroppo il problema era gia' stato segnalato anche in passato sul
newsgroup -> questo avviene finche' la sessione viene considerata 
attiva e non scade. Una volta che la sessione e' scaduta (per logout o
intervallo di inattivita') questo infatti non avviene piu'.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.4 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * NEWS: free.it.ingegneria.meccanica _<|

 intervallo di inattivita') questo infatti non avviene piu'.
Questo è scontato, ma questo non significa che il problema non andasse
risolto, in quanto è perfettamente risolvibile !
Ho appena disdetto Tiscali ADSL perchè dalle mie parti è arrivata Fastweb e
avevo in mente di sottoscrivere un abbonamento con loro, ma questo fatto mi
lascia un po' perplesso :-(
Un problema risolvibilissimo che potrebbe causare gravi conseguenze non è
stato assolutamente preso in considerazione, mah ...
Solo la fantasia può porre limiti a quello che si potrebbe fare: per esempio
mandando una email HTML con una immagine non incapsulata nel messaggio, ma
caricata da un link esterno, link che in realtà corrispondene a uno script
(per esempio in PHP posto su uno dei tanti server che garantiscono
l'anonimato di fatto), potrei leggere la vostra posta, forse cambiarvi la
password, mandare posta dal vostro account, leggere la rubrica degli
indirizzi e tutto questo in un attimo, in maniera automatica e senza che voi
vi accorgiate di niente, ma solo per il semplice fatto che avete letto
l'email !

 fastweb, denota ignoranza dal parte del programmatore 
La FastMail (a parer mio) serve solo per le prime configurazioni :
==
- Variazione password
- Opzioni servizi antispam/antivirus
- Impostazioni stilistiche dei messaggi
==
viste poi le possibilita' d'accesso come POP3 o IMAP4, utilizzando cosi'
client email o un semplice telnet -> cio' ovviamente non toglie che, se
uno vuole proprio accedere via web-browser alla sua posta, possa farlo 
in piena sicurezza ;).


> La FastMail (a parer mio) serve solo per le prime configurazioni :
Oppure in vacanza da un internet point o simili ...