Newsgroup: it.comp.reti.ip-admin
Titolo: per far danni NON serve la password di "root"

Basta semplicemente essere creativi
 
http://www.wired.com/gadgetlab/2012/08/apple-amazon-mat-honan-hacking/all/
 
 
:P
 


 
Il mio pensiero l'ho espresso sul NG it.comp.macintosh
IMHO è Amazon che ha la colpa più grave, è assurdo poter aggiungere
una carta di credito ad un account senza alcuna verifica e poi perfino
far cambiare email di riferimento sfruttando la stessa carta farlocca!
 
ciao
Gabriele

 far cambiare email di riferimento sfruttando la stessa carta farlocca!
 
 
Il vero nocciolo del problema, per come la vedo io, � che le varie
"entit�" (amazon, apple...) non concordano su quali dati vadano
protetti (e come) e quali invece siano "rivelabili" (anche in parte)
e questo permette di far giochini di quel genere; in pratica il tipo
non ha fatto altro che ricavare "frammenti" di informazioni da varie
fonti (amazon, apple... ma anche whois etc..) e combinarle in
modo da permettergli di montare l'hack ed il tutto, da questo
punto di vista, non coinvolge solo amazon ed apple ma anche
(potenzialmente) un grosso numero di servizi online che usano
approcci simili per l'autenticazione o il recupero password
 
 

 Il vero nocciolo del problema, per come la vedo io, ï¿œ che le varie
 
Non ï¿œ scorretto quel che dite entrambi, ma state guardando il dito, non
la luna.
 
Come dice giustamente Mat il vero nocciolo del problema non ï¿œ la colpa
di amazon o di apple o di google, la colpa ï¿œ che non aveva abilitato
l'autenticazione a doppio fattore dove era disponibile e soprattutto,
cosa piï¿œ importante di tutto, ï¿œ che lui non avesse il BACKUP dei propri
dati.
 
Il resto ï¿œ solo discussione accademica, perchï¿œ anche se non ci fossero
state quelle "leggerezze" da parte di Apple o Amazon sappiamo tutti che
molte informazioni possono essere raccolte ugualmente in molti altri
modi e quindi la sua situazione era comunque a rischio. E visto che il
rischio non lo possiamo annullare dobbiamo imparare a gestirlo.
 
Come mi piace sempre ricordare ai miei clienti, il mondo si divide in
due: chi ha perso i propri dati e chi li perderï¿œ.
I primi normalmente si son fatti furbi, i secondi lo si faranno.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 I primi normalmente si son fatti furbi, i secondi lo si faranno.
 
Comprendo il tuo punto di vista e lo condivido.
 
C'è da aggiungere, a parziale discolpa degli utilizzatori, che questi 
servizi di cloud vengono propagandati come la cosa che risolve qualsiasi 
problema di backup, condivisione, sicurezza ed anche mal di denti. 
Quindi se le persone non skillate commettono delle leggerezze certamente 
è colpa loro, ma alla base c'è una informazione ingannevole e parziale 
da parte di chi fornisce le soluzioni e dei media che si occupano 
dell'argomento. La possibilià poi che un malintenzionato possa spianarti 
il cell o il tablet è frutto solo di un ragionamento inverso, certamente 
non alla portata di chi non ha una mentalità informatica ed una reale 
coscenza del problema.
 
Possiamo discutere del fatto che si dovrebbe fare prima un corso, sapere 
cosa si sta facendo e che è tutto responsabilità del'utilizzatore ma, ad 
esempio, negli USA la prima causa di furto di auto sono le persone che 
lasciano le chiavi nel cruscotto e la prima di furti nelle case è che le 
porte sono lasciate aperte. Sembra impossibile ma è un fatto culturale: 
il rispetto della proprietà è fondamentale in quella cultura e l'aspetto 
formale (ho una password) ha il sopravvento su quello pratico (la mia 
password è abbastanza robusta da impedire l'accesso?).
 
Alla fine se un servizio chiede di accedere con id e pw e ti propone di 
usare quella di facebUk o tuitter è ovvio scegliere la via più facile, 
salvo poi trovarsi bucato anche il firmware del microonde. Questo forse 
noi addetti ai lavori lo capiamo, ma un utilizzatore che viene 
infastidito millemila volte al giorno da richieste di credenziali di 
accesso cosa deve fare? Alla fine sceglie la via più semplice, senza 
rendersi conto di usare una sola chiave per l'auto, per la casa, per la 
cassaforte, per il collare del cane.
 
Ed anche perché non sa, o non riesce a capire, quanto sia rischioso 
affidare la funzionalità dei propri sistemi e l'integrità dei propri 
dati ad un servizio remoto, ancorché rinomato ed a pagamento. Divertente 
è considerare che Apple nel caso in oggetto non ha responsabilità in 
quanto il tutto è avvenuto utilizzando id e pw dell'utilizzatore.
 
-- 
-> G.Chiappori
www.chiappori.it
 
www.chiappori.com
 
 
 

 la luna.
 
scusami ma non concordo; vedi, hai perfettamente ragione sul fatto che
abilitando l'autenticazione a due fattori si sarebbe posto rimedio a quel
problema, il fatto è ... QUANTI degli utenti di tali servizi fanno una cosa
del genere ? Ammetto che dire "ok, io te lo metto a disposizione, se tu
non lo usi sono affari tuoi" è una giustificazione valida, ma come per
qualsiasi altra cosa, bisogna valutare cosa esiste "sulla carta" e come
invece IN EFFETTI un qualcosa venga generalmente utilizzato, per cui,
secondo me il problema resta ed è ben più esteso di quello che si
possa pensare; come ho detto, non si tratta solo di apple o amazon,
ma del fatto che manca un "meccanismo comune" che eviti che i dati
rivelati da una certa entità possano essere utilizzati per accedere ad
un'altra entità; non so se sono stato chiaro, ma credo che il nocciolo
del problema sia proprio questo.
 
 

 del problema sia proprio questo.
 
Non concordo perchï¿œ quello non ï¿œ un problema risolvibile. D'accordo,
amazon fa vedere le ultime 4 cifre e apple le accetta come forma di
identificazione e questo ï¿œ male, ma lo stesso identico problema lo si
sarebbe avuto se la domanda di sicurezza fosse stata il nome della madre
da nubile e sul profilo facebook pubblico ci fosse stato il link al
profilo della madre con la relazione di parentela o il nome del cane e
sul profilo la foto taggata.
 
Non possiamo accampar scuse a giustificazione delle carenze educative.
Cosa avrebbe dovuto fare per esempio una apple? Richiedere una foto? Una
copia di un documento di identitï¿œ? Una domanda di sicurezza? Un addebito
che va a buon fine su una carta? Accettare solo chi si presenta di
persona in un apple store?
 
Concordi che qualunque dei metodi sopra ï¿œ vulnerabile tanto quanto il
richiedere le ultime 4 cifre della CC? Quante volte hai dato la copia
del tuo documento in giro per dare seguito a contratti? O per
registrarti in albergo? E accetteresti che apple ti richiedesse di
recarti in un apple store, magari mentre sei in ferie alle Maldive, solo
per resettare una password? No, non lo accetteresti.
 
Il problema lo ha detto proprio Mat come lo si risolve: con l'EDUCAZIONE
Non c'ï¿œ altro modo. Qualsiasi cosa facciano Apple, Amazon, Google, mia
sorella, ecc. non si potrï¿œ mai nulla contro l'incompetenza e/o la
superficialitï¿œ e/o la stupiditï¿œ delle persone che usano i servizi.
 
Cosa dispiace a Mat? Che gli abbiano bucato twitter o l'aver perso le
foto della figlia? Se gli si fosse rotto il disco, ai fini pratici, che
differenza ci sarebbe stata nei risultati? NESSUNA. Sempre le medesime
foto avrebbe perso e sempre nel medesimo sconforto sarebbe caduto.
E sempre lo stesso problema ci sarebbe stato: la mancanza di un backup.
 
Quello che mi piace dell'articolo ï¿œ proprio questo: mette in evidenza
senza ipocrisie i propri errori.
