Newsgroup: it.tlc.gestori.fastweb
Titolo: Fastweb [ancora]

Ricordate quando chiedevo se Fastweb è tecnicamente in grado di
risalire ad una persona conoscendone l'IP? Ne era nata una lunga
discussione, con diverse opinioni.
Ecco la risposta ufficiale di Fastweb:
*** 
L'offerta Fastweb riservata alle famiglie, prevede l'assegnazione di
indirizzi IP privati.
Durante la connessione ad internet si aprono delle sessioni tra i vari
apparati presenti sulla rete Fastweb, in modo tale da consentire il
collegamento tra client residenti sulla rete Fastweb, e gli apparati
di rete collocati in un punto qualsiasi della rete Internet. In
sostanza, l'utente ha un indirizzo IP privato e per riuscire ad
accedere alla rete Internet deve disporre di un indirizzo IP pubblico
valido, che è quello fornito dalle piattaforme di frontiera tra la
rete Fastweb e la rete Internet. Se questo indirizzo pubblico
garantisce la connessione, allo stesso modo "maschera" più utenti
Fastweb sotto la sua facciata, il che, congiunto all'assenza di
meccaniche di jogging, rendeva virtualmente anonima, all'epoca, la
connessione del cliente. Nello specifico, l'IP xxx.xxx.xxx.xxx, ai
tempi, apparteneva all'interfaccia della piattaforma denominata
xx-xxxxx MSFCA, il frontend utilizzato dagli utenti, in quel momento
storico, per accedere alla rete Internet che consentiva e mascherava
la vera identità degli utenti nel periodo richiesto.
****
se l'italiano non m'inganna, sostengono che "all'epoca" (non dieci
anni fa, ma un paio) non erano in grado di risalire all'identità
dall'IP. Chi ci assicura che adesso sia possibile?
mk

E' la stessa domanda, posta in maniera diversa, che pongo piů sotto,
qualcuno ne conosce la risposta?

 dall'IP. Chi ci assicura che adesso sia possibile?
Non solo adesso e' possibile (come d'altronde anche agli inizi) ma e'
peraltro piu' semplice sebbene sia diminuito il numero delle interfacce
MSFC pubbliche per le utenze MAN. 
Infatti, con l'introduzione del gestore delle policy di rete (ved.pag.21
cap.1.4.1 delle FAQ citate in firma) e' possibile avere un'ulteriore
traccia delle sessioni MAN/Internet di un'utenza, che avvengono per
autenticazione automatica per indirizzo IP o manuale tramite pannello
web (ved. utenze residenziali con traffico a consumo).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://www.gofastweb.cjb.net
  <|
|>Togli/Remove .INVALID<|> * SITO: 
http://plany.fasthosting.it
 __<|


Tu prova a inviare una richiesta di riscatto per un rapimento
da un ip nattato dietro fastweb e vedi come comunicano in fretta
ed efficacemente i vari reparti e anche come lo skill dell'abuse desk
diventa di colpo qualificatissimo, grazie a capacissime risorse
umane e tecniche perfettamente efficienti :)

"Macs" <maxs...@despammed.com.INVALID> ha scritto nel messaggio
news:4021529B...@despammed.com.INVALID...
Come può fare un povero mortale, che gestisce magari uno shard di ultima on
line, verificare che piu utenti da uno stesso ip siano realmente persone
diverse o che siano la stessa persona?

Commento tecnico = "balle" -> 
notare che non è stata detta a me, ma è una dichiarazione che andrà
agli atti di un processo..
mk

 agli atti di un processo..
Complimenti quindi a FastWeb e all'ufficio legale che ha partorito una
tale dichiarazione, dove peraltro parla di assenze di meccaniche di
jogging.. potrei pure credere che agli inizi (quando la MAN era una sola
su RFC-1918 10/8 e i clienti pochi...) non avessero ancora implementato
procedure intelligenti di memory-jogging, ma escludo che fossero del
tutto privi anche di procedure non-intelligenti.
Qualora FastWeb continuasse a sostenere questa "balla", equivarrebbe ad
affermare che agli inizi avrebbe fornito connettivita' ad Internet (pur
indiretta) senza essere in grado di effettuare la rintracciabilita'
neanche di autori di attacchi/DoS...
Evito commenti su questa "balla" pubblicitaria (negativa) autoprodotta,
che peraltro non mi fa nemmeno sorridere (ma forse si qualcuno che
lavora in un ISP) -> a voi la scelta di definire un tale atteggiamento
con gli aggettivi a piacere che vi possano venire in mente.
Per quanto riguarda l'aspetto della rintracciabilita', se non erro vale
quanto disposto dalla LEGGE 8 aprile 2002, n.59 - Disciplina relativa
alla fornitura di servizi di accesso ad Internet (G.U. N. 86 del 12
Aprile 2002) articolo 7/13 valido sia per gli ISP (connettivita' diretta
ad Internet) che per gli ASP (come FastWeb): 
************************************************************************
Le prestazioni effettuate a fronte di richieste di intercettazioni e di
informazioni da parte delle competenti autorita' giudiziarie sono
obbligatorie, non appena tecnicamente possibile da parte dell'organismo
di telecomunicazioni nei tempi e nei modi che questo concordera' con le
predette Autorita'. Le prestazioni relative alle richieste di
intercettazioni vengono remunerate secondo un listino, redatto per
tipologie e fasce quantitative di servizi, proposto dall'organismo di
telecomunicazioni ed approvato dal Ministero delle comunicazioni di
concerto con il Ministero di grazia e giustizia".
************************************************************************
Articolo che riprende comunque la norma in tema di obbligatorieta' delle
prestazioni, che e' indicata nell'art.7/13 del D.P.R.318/97 . 
Ebbene, siamo nel 2004... nel 2000 FastWeb forniva gia' servizi non
sperimentali di accesso indiretto ad Internet a ben piu' di un utente
residenziale... fai 4 conti, considerando l'intervallo di tempo tra 
quando e' avvenuto l'abuso/attacco e quando effettivamente FastWeb ha
avuto la licenza come operatore di telecomunicazioni.


 realmente persone diverse o che siano la stessa persona?
Se il tuo server fosse su una connessione FastWeb con indirizzo IP
pubblico (IPPD o Opzione Address) non avresti problemi = nei log avresti
in corrispondenza di connessioni da utenze FastWeb l'indicazione di IP
riservati MAN -> pertanto potresti individuare univocamente le utenze ed
impostare filtri d'accesso e/o sul numero di connessioni ammesse per IP.
Nel caso invece di server su IP pubblico non appartenente alla rete FW
non potresti farlo basandoti solo sull'IP di provenienza connessione,
dato che avresti l'IP pubblico di NAT condiviso. A meno di usare sistemi
di autenticazione della connessione, potresti optare per una soluzione
VPN. Puoi trovare info sulle soluzioni VPN client compatibili NAT FW 
nelle FAQ indicate sotto in firma.


avuto la licenza come operatore di telecomunicazioni.
appunto :-)
anche perchèp, con precisione, si parla di fatti avvenuti a novembre
2001.
mk

 2001.
Allora, nel periodo novembre/dicembre 2001 FastWeb non era sicuramente
in grado di consentire allacciamenti delle autorita' giudiziaria per
mettere sotto controllo e registrare le telefonate di suoi utenti su
VoIP -> per quanto riguarda l'attivita' Internet, e' vero che non 
esisteva l'abuse-desk ma e' altresi' vero che i responsabili di NMC/IT
potevano gia' allora identificare il traffico di un'utenza MAN verso
Internet in modo univoco. Avendo pero' allora solo procedure di jogging
non-intelligenti, l'intervento umano nelle 24/48 ore avveniva solo in
casi particolari legati a problemi di funzionamento della rete MAN, e.g.
sovraccarico CPU router o anomalie su switch/catena-di-switch.  


Internet in modo univoco. 
alla fine della fiera, è vero o falso che chi ha commesso l'abuso è
anonimo a tutti gli effetti perchè fastweb non può rintracciarlo?
mk

 anonimo a tutti gli effetti perchč fastweb non puň rintracciarlo?
La risposta completa te la do domani ;) = prima mi serve una conferma
dall'Agcom sulle condizioni di rilascio della licenza FastWeb (valida
sino al mese di Dicembre 2019, in seguito alla proroga di 5 anni sulla
precedente scadenza di Dicembre 2014).
Per ora ti posso solo ripetere che tecnicamente nel Novembre/Dicembre
2001 possedevano comunque mezzi tecnici (seppur minimi) per identificare
un'utenza entro un lasso di 48 ore dall'abuso/attacco -> quello che
serve capire e' se, in seguito alla concessione della licenza, FastWeb
fosse ancora nel limite dei tempi concordati secondo l'articolo 7/13 (e
quindi comunque non soggetta a sanzioni in caso di inadempienza).


un'utenza entro un lasso di 48 ore dall'abuso/attacco ->
il fatto è che la richiesta del pm è di un annetto dopo...non di 48
ore :-)
mk

 ore :-)
Comunque sia, mi sto spulciando un po' di decreti/delibere/etc. ed in
questo momento sto consultando 
p.es
. la delibera 467/00/CONS sulle
disposiziono in materia di autorizzazioni generali, in particolare
l'articolo 5/comma 1/punto k con i relativi riferimenti alla risoluzione
del consiglio dell'Unione Europea 17/01/1995.
Lascio il x-post su it.diritto.internet, impostando il follow-up su
it.tlc.gestori.fastweb , sperando che qualcuno piu' esperto in materia
di licenze/autorizzazioni porti il suo contributo alla discussione.


agli atti di un processo..
Allora speriamo che non le facciano troppo male, che a me Fastweb per
il momento mi serve :)
--
Federico Spano`

non-intelligenti
Scusa se mi metto a fare lo spiritoso, ma non e' che avevano anche un
top management non-intelligente?
Voglio dire, tu ti fai operatore di telefonia e garantisci l'anonimato
dei tuoi utenti?
--
Federico Spano`

 dei tuoi utenti?
Mettiamola cosi' = il quadro normativo attuale, ossia quello presente a
partire da Settembre 2003, e' regolato da :
==
1. Legge n.59 8 Aprile 2002 - Art.7/Comma 13
2. DLGS 259 1 Agosto 2003 - Art.96
3. Allegato 1 al DLGS 259 - Parte A punto 11
==
che impongono all'operatore l'esecuzione delle prestazioni obbligatorie
nei confronti dell'Autorita' Giudiziaria gia' sin dall'inizio della sua
attivita'. A queste indicazioni dovresti aggiungerci poi quelle del
Decreto legislativo n.156  del 30 Giugno 2003 - Codice in materia di
protezione dei dati personali - Art.132 che impone la conservazione dei
dati di connessione per 30 mesi. In realta' ci sarebbe l'Art.3 del
Degreto Legge n.354 del 24 Dicembre 2003 che aggiungerebbe delle
modifiche all'Art.132, tra cui l'aggiunta di un ulteriore periodo di 30
mesi, e' ancora sotto dibattito parlamentare.
Tuttavia nel Novembre 2001 le cose non erano altrettanto chiare = ai
tempi dell'abuso erano valide le indicazioni sulla collaborazione con
l'Autorita' Giudiziaria previste da :
==
1. DPR 318/97 - Art.7/Comma 13
2. Delibera 467/00/CONS - Art.5/Comma 1/Punto k
==
che pero' non fornivano indicazioni cosi' accurate come ora sul tempo di
conservazione a lungo periodo dei dati di connessione, soprattutto
perche' era un argomento che si scontrava con questioni di privacy e del
trattamento dei dati personali -> sto pero' aspettando in merito la
risposta ufficiale dell'Ufficio legislativo del Ministero delle
Comunicazioni, che chiarisca gli eventuali obblighi temporali previsti a
Gennaio 2000, ossia il periodo in cui FastWeb alla licenza di operatore
nazionale di telecomunicazioni vi ha affiancato quella per i servizi
Internet.


nazionale di telecomunicazioni
Forse ho letto distrattamente, ma non s'era detto che non potevano
tracciare nemmeno le telefonate?
--
Federico Spano`

 tracciare nemmeno le telefonate?
Intanto che aspetto la risposta dall'Ufficio Legislativo del Ministero
delle Comunicazioni, posso solo dirti che nel Novembre 2001 valevano per
gli operatori di telecomunicazioni le indicazioni previste da :
==
1. Delibera 467/00/CONS - Art.5/Comma 1/Punto k
2. DPR 318/97 - Art.7/Comma 13
3. DLGS n.171 del 13/05/1998 Art.4
==
per cui, se da un lato era dovuta la collaborazione dell'operatore di
telecomunicazioni con l'Autorita' Giudiziaria dall'altro non vi sono
indicazioni sulla conservazione dei dati di traffico/connessione per un
lungo periodo.
Infatti in tale periodo un ISP/ASP poteva conservare i dati delle
connessioni per il periodo utile agli scopi previsti dal contratto (e.g.
fatturazione), e quindi cancellarli o renderli anonimi qualora non
servissero poi per eventuali contestazioni sui pagamenti. Questo e'
infatti quanto previsto dal DLGS n.171 del 13/05/1998 Art.4, che
aggiorna la 675/96 in merito al settore delle telecomunicazioni.
Pertanto, sebbene possa sembrare assurdo, ai tempi ISP/ASP non erano
tenuti a conservare dati di connessione per un periodo superiore a
quello di fatturazione, a meno che servissero per eventuali ricorsi e/o
contestazioni. Visto quindi il regime di fatturazione bimestrale di FW,
a meno che l'utente che avesse commesso un abuso/attacco fosse stato
moroso tali dati non esisterebbero piu'.   
In sintesi (aspettando sempre una risposta ufficiale in tema legale),
qualora fosse confermata la situazione sopra descritta la non-risposta
di FastWeb non sarebbe sanzionabile. Resterebbe ovviamente da appurare
se in tal caso FastWeb fosse imputabile di corresponsabilita' nei danni
subiti in seguito all/abuso/attacco partito da una sua interfaccia MSFC.
Mi chiedo soltanto perche', potendo citare la normativa allora vigente
nel 2001, l'ufficio legale abbia preferito tirar fuori giustificazioni
tecniche (NAT e meccaniche di jogging... delle quali non credo conosca
la definizione) piuttosto che limitarsi a confermare di aver operato
secondo quanto (parrebbe) indicato dalle leggi di allora...
