Newsgroup: it.lavoro.professioni.webmaster
Titolo: sicurezza per il mio portale..come?? please...

Buongiorno a tutti,
mi scuso in anticipo con tutti quelli che troveranno la mia domanda
troppo "elementare"... da qualche parte bisogna però cominciare...
Dunque..ho intenzione di aprire un piccolo portale contenente:
- qualche documento scaricabile in formado pdf
- un forum (previa registrazione)
- form oppure email per ricevere  richieste da parte di utenti (anche
non registrati)
- testo e fotografie
- link interni al portale e/o collegati ad altri siti
- banner pubblicitari (click for view o altre forme del genere)
- programmazione in html con elemeti di flash
Vorrei "immaganizzare" il portale su un server di cui io sarei
amministratore unico.
Non essendo molto pratico in ambito di sicurezza avrei bisogno di
qualche suggerimento:
- secondo voi è più sicuro un server windows o un server linux?
- quali altre precauzioni dovrei adottare per rendere il server
"difficilmente" attaccabile?
- dimentico qualcosa di cui dovrei assolutamente tener conto?
Grazie
Raffaello

 - dimentico qualcosa di cui dovrei assolutamente tener conto?
Che in nessun lavoro ci si improvvisa esperti, se non si vuole sbattere 
il naso.
Non voglio sembrarti polemico ma se hai esigenze concrete ti servono 
esperienze concrete, non suggerimenti in un ng.
Ciao,
Paolo

 Dunque..ho intenzione di aprire un piccolo portale contenente:
Il solo fatto che tu non sia esperto né di sistemi né di applicativi 
rende insicuro l'ambiente in cui lavorerai, e l'insicurezza non è data 
dalla tecnologia ma dalla tua inesperienza.
In mano di un inesperto anche il sistema più sicuro diventa bucato, 
dunque ti conviene affidare queste attività a:
Un sistemista serio lato server
Un programmatore serio lato script
In questo momento la tecnologia è l'ultimo dei tuoi problemi, 
l'approccio al lavoro che hai è il primo
Cla
-- 
http://www.docebo.com
 [Docebo - The open source e-learning company]
http://claudioerba.blogspot.com
 [My Blog]
Molto sulle mie, quadrato, incazzoso, tremendo, insopportabile (Non sono 
eterno, prendete appunti)

capisco...ma volendo fare una cosa a livello amatoriale e non a scopo
di lucro non posso rivogermi ad un consulente...
grazie comunque!


 - dimentico qualcosa di cui dovrei assolutamente tener conto?
Con queste premesse non puoi assolutamente essere tu ad occuparti della 
sicurezza del server, ma non intendo solo a livello pratico, ma anche 
decisionale. Quindi affidati a qualcuno che ne risponda in toto.
Non avendo però le basi con cui giudicare se ciò che ti viene 
prospettato è valido o no, non ti resta che affidarti a qualcuno di 
comprovata esperienza e reputazione.
-- 
-------------------------------------------
Paolo De Dionigi
www.atfriends.net
Responsabile Tecnico Zen Cart Italia

 di lucro non posso rivogermi ad un consulente...
Ma se ti serve una cosa amatoriale perché vuoi gestirti il server in 
toto e non affidarti a una società?
Se non sono indiscreto...
Ciao,
Paolo

 --
http://www.docebo.com
[Docebo - The open source e-learning company]
http://claudioerba.blogspot.com
[My Blog]


 Non posso mica assumere un tecnico informatico per un hobbie..quindi??
Quindi compra uno spazio di hosting a 9 euro che sicuramente sarà più 
affidabile di quanto possa fare tu da solo.
Idem per l'applicativo
Cla
-- 


ops...non avevo aggiornato, ho risposto 2 volte la stessa cosa..
Una società? Tipo?
On 7 Dic, 15:06, Pablo Xon <pablo....@NIENTESPAMconcavi.net> wrote:


 Una società? Tipo?
Un hosting provider, ce ne sono a migliaia.
Ciao,
Paolo

Ok.. grazie!!!
qualche consiglio su hostingparticolarmente "sicuro"?
Meglio hosting basati su windows o linux?


 Meglio hosting basati su windows o linux?
Vale la risposta di prima, dipende tutto dalle competenze.
A parità di competenze direi sicuramente linux, se non altro per due motivi:
- compartimentazione degli utenti;
- possibilità di installare solo il minimo indispensabile (es. kernel + 
utilità di base + web server, e la semplicità è quasi sempre sinonimo di 
sicurezza).
Poi se la sicurezza è una priorità molto alta meglio puntare su sistemi 
dedicati, come OpenBSD (anche se recentemente è un po' in crisi con i 
fondi).
Ciao,
Paolo

In base ai vostri suggerimenti ho dato un'occhiata in giro...
Risulta che se sono disposto a spendere 50/100 euro mensili oltre ad
un hosting condiviso posso anche optare per  un un server dedicato
"virtuale" o un server dedicato.
Sono soluzioni più sicure rispetto ad un hosting condiviso?
Posso gestirle anche senza particolari conoscenze nella sicurezza di
un server? O meglio...la sicurezza è gestita dal fornitore del
servizio oppure è qualcosa di cui mi devo occupare personalmente?
Grazie ancora!!
Raffaello


 servizio oppure è qualcosa di cui mi devo occupare personalmente?
Scusa la curiosità ma mi spieghi come mai questa "ossessione" per la 
sicurezza?

affidabile di quanto possa fare tu da solo.
concordo...vale anche per un server dedicato "virtuale" o un server
dedicato?

 pochino....
No, ma un consulente lo contatti per fare un lavoro di un paio di giorni 
e poi sei a posto per anni.
A livello teorico e ipotetico...
Ciao,
Paolo

 fondi).
e su quali basi, puoi argomentare??
Senza entrare in polemica il livello di sicurezza lato macchina lo si risolve 
con un installazione e relativa configurazione a regola d'arte, ma i grossi 
buchi di sicurezza stanno principalmente nell'applicativo usato e alla sua 
architettura e pertanto che sia win o linux poco importa 
Problemi come sql injection sono una piaga sia per win che per linux e quindi 
affermare che uno o l'altro sia più sicuro è assolutamente inutile e fuorviante.
--
Christian Paparelli
[Microsoft MVP Windows Server - IIS]
http://mvp.support.microsoft.com
http://italy.mvps.org
My blog: 
http://blogs.aspitalia.com/cp

 inutile e fuorviante.
Secondo me è fuorviante mescolare problemi applicativi con difetti 
architetturali. E' come dire che siccome l'autista può ubriacarsi, tutte 
le auto sono ugualmente pericolose.
Faccio poi notare che l'affermazione che mi attribuisci è diversa da 
quella che ho fatto io.
In ogni caso, visto che le chiacchiere lasciano il tempo che trovano, mi 
permetto di citare un paio di link con qualche riferimento (alcuni un 
po' vecchiotti) di articoli sulla sicurezza:
http://csc.colstate.edu/summers/e-library/OS.html
http://www.linux.com/articles/36273
http://www.boran.com/security/detail_toc.html
Per chi fosse interessato ad approfondire ci sono comunque migliaia di 
siti e parecchi ng sull'argomento. Interessante confrontare la lista 
delle vulnerabilità scoperte, la loro gravità e il tempo per risolverle.
Solo una nota personale: in 10 anni non ho mai visto "bucare" un server 
linux mentre l'ho visto accadere con più di un server windows (seppur 
configurati da professionisti con solidi certificati), e non parlo solo 
di NT.
Ciao,
Paolo

 parlo solo di NT.
se è una barzelletta l'apprezzo vista l'ora
dai un occhiata qui 
http://www.zone-h.org
Ma se davvero ci credi mi spiace ma forse è ora che aggiorni un po' i link 
e soprattutto i riferimenti su iis
Senza farne una guerra di religione, ma parlando di server web non confondere 
windows con iis in quanto iis è solo un servizio se poi ti interessa dai 
un occhiata a iis 7 su windows 2008 core 


 che pizza! ma perchè mischiamo server web con il resto??
Perché *io* parlavo di sicurezza di linux (e altri sistemi *NIX) 
confrontata con quella di sistemi windows (quindi si SO), *tu* ti sei 
messo a parlare di IIS (quindi di un web server) e usarlo come metro di 
paragone.
Spero questo risponda anche alle domande precedenti e a buona parte 
delle seguenti.
Se credi (o ti fa comodo dire) che un SO e un web server siano la stessa 
cosa, che posso aggiungere?
 > ?? spero tu stia scherzando vero?? non è che l'installazione la fai
 > con 4 click e premendo 2 volte ok
Forse tu la fai ricompilando quello che ti serve, come ti serve...
 > anche qui come sempre.... :(
Queste ripetute battutine sarcastiche del piffero puoi anche 
risparmiartele: rispondi e documenta o taci, mr MVP!
 > Correggiamo il termine bucato con il termine hash table e attualmente
 > non complete, comunque dall'interno ovviamente non hai accesso ai file
 > e quindi che te ne fai?
Metti in esecuzione programmi che non dovrebbero essere eseguiti?
Metti offline un sistema? Ci saranno 20mila virus che lo facevano (e 
continuano a farlo).
 > dai un occhiata qui 
http://www.zone-h.org
E cosa dovrei "scoprire" di nuovo?
Che linux ha più defacements di windows?
Peccato che avessimo esordito il discorso con "il sistema più sicuro è 
quello che si conosce e si configura meglio".
Ma questo è un dettaglio, il fatto è che se non citi anche la 
*diffusione* (basta farsi un giro su Netcraft) dei sistemi operativi il 
resto conta zero.
Hai presente cosa usano praticamente *tutti* i più grossi fornitori di 
servizi web, da google a IBM a youtube a flick (tanto per fare pochi 
esempi a caso e di diverso tipo)? Ricordi che fino a pochi anni fa 
persino microsoft stessa usava server FreeBSD per il suo "network" e per 
hotmail?
 > Senza farne una guerra di religione, ma parlando di server web non
 > confondere windows con iis in quanto iis è solo un servizio se poi ti
 > interessa dai un occhiata a iis 7 su windows 2008 core
Ci mancherebbe, non è questione di religioni: uso windows dal '92 (anche 
se solo fino al 2000 come sistemista) e linux dal '97 e continuerò a 
usarli e proporli entrambi ai miei clienti, in funzione delle loro esigenze.
Lavoro con gente che ha _vere_ certificazioni microsoft e uno ha pure 
lavorato in microsost italia per 5 anni: sono i primi a riconoscere i 
limiti del sistema.
IIS c'entra come i cavoli a merenda e l'ho già detto n volte (non 
capisco perché hai spostato la discussione su quello, forse perché siamo 
su un ng di webmaster?).
Parli più volte di windows 2008. Windows 2050 probabilmente mi farà 
anche il caffé, ma sinora ho sentito solo tante chiacchiere (non mi 
riferisco alle tue, o almeno non solo: parlo di microsoft) e pochi 
risultati. Adesso abbiamo "Aero", fondamentale, e ancora tocca ancora 
fare i defrag dei dischi. Suvvia...
Ciao,
Paolo

 fare i defrag dei dischi. Suvvia...
vabbe e poi le battutine non te le cerchi??
Ma che c'entra Aero, che è l'interfaccia grafica di Vista con un server hosting 
windows? Non penserai mica di voler usare Vista come server web?? 


 parliamo di server web o sbaglio io??
Sbagli, rileggiti il titolo del thread.

 Sbagli, rileggiti il titolo del thread.
"sicurezza per il mio portale" adesso senza prenderci in giro, dove gira 
un portale??


 un portale??
Vedi mia risposta precedente: le vulnerabilitą delle altre applicazioni 
non contano?
Quello che continui a voler ignorare č che su un sistema fatto su misura 
puoi escludere tutti i servizi non essenziali, su un sistema "chiuso" 
no. Sasser te lo ricordi?
Come gią ti dicevo se pensi che la sicurezza di un server equivalga a 
quella del web server /forse/ dovresti rifletterci un attimo sopra...
Ciao,
Paolo

 quella del web server /forse/ dovresti rifletterci un attimo sopra...
Caro Paolo, faccio questo mestiere da alcuni anni, se vuoi darmi consigli 
sono sempre pronto ad imparare qualcosa di nuovo, pertanto illuminami e ti 
ripeto dimmi come bucare un server web dall'esterno, ovviamente come ho già 
detto nel mio post iniziale il grosso del problema security sta lato applicativo 
e non lato server pertanto giro e rigira dai post che mi stai inviando stai 
arrivando alla mia conclusione e quindi tirando le somme
puoi canticchiare con me dire e che linux sia più sicuro di windows è una 
grande ca**ata in quanto come sempre DIPENDE


 una grande ca**ata in quanto come sempre DIPENDE
Post da cui è partita tutta questa discussione (ricordo che si parlava 
di sicurezza):
OP >> Meglio hosting basati su windows o linux?
PX> Vale la risposta di prima, dipende tutto dalle competenze.
Attribuire ad altri affermazioni che non hanno fatto solo perché si è 
convinti che le pensino è tipico comportamento fondamentalista.
Quasi quanto mettere "MVP" una riga sì e l'altra pure... :P
Poi, ripeto, possiamo fare tutte le chiacchiere che vogliamo ma non 
siamo noi, sono i fatti che "cantano": come mai tra i "big" pochissimi 
usano windows nei server critici?
Te ne ho già citati alcuni, mi vengono anche in mente SAP, la NASA, il 
sistema bancario centrale americano ed europeo, wall street.
Da dire poi che pochi di questi usano linux, usano sistemi meno 
raffazzonati (linux è sempre stato orientato alle funzionalità più che 
alla qualità degli algoritmi).
Ciao,
Paolo

 usano windows nei server critici?
veramente ci sono pareri contrastanti online
http://www.search-this.com/2007/06/27/microsoft-iis-vs-apache-who-serves-more/
E comunque non mi interessa sapere cosa è più usato o meno ma unicamente 
evitare che ci siano persone che dichiarino che linux è più sicuro di windows 
senza poi argomentare nulla e dopo un giro di post arrivare con queste conclusioni 
ovvero con fuffa
Io la chiudo qui se vuoi continuare ti prego argomenta o postami almeno un 
link altrimenti qui andiamo all'infinito, non è mia intenzione o obiettivo 
farti cambiare idea ma unicamente non accetto la tua dichiarazione soprattutto 
se non argomentata e documentata


 applicazioni esattamente come in altri os
Probabilmente è per questo che non ci capiamo: io nego (e confuto) 
questa tua affermazione che è contraria all'evidenza dei fatti.
Un sistema linux (per continuare a usarlo come esempio) è modulare, puoi 
compilare e installare solo il sottoinsieme minimo che ti serve (penso 
tu abbia letto di server web linux che stanno su un singolo chip o 
schedine da 8Mb, comunque su sistemi "minimali", tipo, per citare 
l'ultimo che mi è passato sotto gli occhi, questo: 
www.aleutia.com/products/e1specs.html
).
Siamo nell'ordine di _poche decine di mega_, volendo anche meno.
Windows è un pacchetto chiuso, non modulare (le componenti 
dell'architettura, come gui, file system, sistema di gestione dell'hw, 
sono *fuse assieme*, non puoi escludere quello che non ti serve); certo 
puoi configurarlo, abilitare o meno certi servizi, ma comunque le tue 
belle centinaia (o siamo arrivati ai giga?) di mega le installi, volente 
o nolente.
Linux (la *stessa versione*) si può installare su centinaia di 
piattaforme hw diverse, dai pc desktop ai vari server ai cellulari (per 
non parlare di NetBSD, guarda in quante piattaforme gira: 
www.netbsd.org/ports/
).
Quindi la mia affermazione è semplice e, credo, difficile da negare: a 
parità di competenze di installatore/utilizzatore e di qualità del 
codice (e già qui ci sarebbe qualcosina da dire...) un sistema "piccolo" 
ha una minor probabilità di presentare vulnerabilità rispetto a uno 
(molto) più grande.
Se ti interessa trovo i riferimenti di quanto scrivo (comunque basta 
cercare, non dovresti avere difficoltà a trovarli), ci sono matematici 
che lavorano e pubblicano su questi argomenti.
Trascurando l'aspetto teorico lo si può verificare nella pratica quando 
si vuole, confrontando l'nmap su un sito windows e uno linux.
Sorvolo su tutte le altre chiacchiere, compreso il link sui web server 
(ancora? quanto volte l'abbiamo detto che si parla di SO, non di web 
server?) che non parla della loro diffusione generale, ma di quella 
nelle "top 100" di Fortune (che, casualmente, sono tutte americane e con 
legami commerciali con microsoft).
Già se scendi nella pagina che hai linkato (controllando le web 
companies, ma l'hai letla?) vedi che le proporzioni si ribaltano.
Ciao,
Paolo

 vulnerabilità rispetto a uno (molto) più grande.
Eh certo, perché espone meno servizi.

 Eh certo, perché espone meno servizi.
Esatto, proprio quello che stavo cercando ripetutamente di spiegare.
Unitamente al fatto che con windows non lo puoi fare.
Ciao,
Paolo

 grande ca**ata in quanto come sempre DIPENDE
Dipende mica tanto, in Unix puoi installare solo e unicamente quello che 
serve. Che poi l'approccio di Windows non sia *genericamente* sbagliato è 
un'altro par di palle, anche i BSD hanno un core applicativo che puoi 
eventualmente disabilitare dalla compilazione durante il world, e non un 
accrocchio di kernel + quello che ti pare, ma in ambito server avere la 
flessibilita' di esporre solo quello che vuoi e in caso eliminare il 
superfluo e' un grossissimo vantaggio, senza ricorrere a barbatrucchi per 
parare il culo a chi l'ha pestata. Poi chiaro, dal sistemista incompetente 
non c'e' difesa, e dal programmatore pirla men che meno, ma l'ultima volta 
che ho controllato la sicurezza a "strati di cipolla" era ancora la miglior 
cosa disponibile, e con il merdaio che ti installa Windows devi cipollare un 
bel po'.
  ngw
-- 
"ma gavte la nata." -- Jacopo Belbo
http://www.tochunky.org

non volevo causare tutto questo marasma... ;-)
Tornando a questioni più "terra terra"... ho fatto qualche ricerca; in
base alle  mie esigenze..cito precedente messaggio..
- qualche documento scaricabile in formado pdf
- un forum (previa registrazione)
- form oppure email per ricevere  richieste da parte di utenti (anche
non registrati)
- testo e fotografie
- link interni al portale e/o collegati ad altri siti
- banner pubblicitari (click for view o altre forme del genere)
- programmazione in html con elemeti di flash
- particolare attenzione per la sicurezza
..cosa ne pensate di questo servizio?
http://we.register.it/hosting/hosting_business_linux.html
Posso considerarlo valido, rapporto prezzo/qualità?
Il servizio di backup orari/giornalieri/settimanali mi protegge
secondo voi da eventuali attacchi?...non vorrei passare il mio tempo a
risolvere problemi.. (ex attacco al mio forum..)
Grazie
Raffaello

 My blog:
http://blogs.aspitalia.com/cp

 secondo voi da eventuali attacchi?
Ragionevolmente sì.
Considera solo che devi accorgerti del problema: se i dati vengono 
danneggiati e tu (o chi per te) non te ne accorgi in tempo (ossia prima 
che il backup venga sovrascritto, e lo storico di backup mantenuti 
dipende da loro), li perdi.
Ciao,
Paolo