Newsgroup: it.comp.os.dibattiti
Titolo: Un bugghetto da nulla....

30/05/00 - News - Web - Un advisory ufficiale è arrivato nelle scorse ore
dagli uomini del CERT, l'organismo dedicato alla sicurezza della Carnegie
Mellon University già consulente per il governo degli Stati Uniti: tutte le
versioni del browser Netscape soffrono di un grave bug di sicurezza.
Secondo il CERT, il bug consiste nell'errata gestione delle certificazioni
con cui possono essere avviate con Netscape procedure "sicure" su server
SSL, procedure spesso utilizzate per le transazioni economiche online e per
una serie di altre situazioni. Secondo Kevin FU, scienziato del MIT e
scopritore del bug "se si è vittima di questo attacco, senza saperlo ci si
può trovare a fornire dati personali, carte di credito, password per servizi
finanziari online a qualcuno che finge di essere un server SSL sicuro".
In sintesi, dunque, dicono al CERT, il bug può consentire ad un sito "ben
fatto" di "ingannare" l'utente e di farsi inviare da questi dati riservati
facendosi passare come "sito sicuro". In pratica, se un utente visita un
sito nel quale il nome del certificato non è quello del sito e procede
comunque alla connessione nonostante l'avvertimento di Netscape, qualsiasi
successiva connessione a qualsiasi sito con lo stesso certificato impedirà
al browser di avvertire l'utente. La procedura di avvertimento ("warning")
viene disattivata.
--
Bye
Gianluca Zanelotto
Ducati ST2 "Red Devil"

 30/05/00 - News - Web - Un advisory ufficiale è arrivato nelle scorse ore
Evvabbe' che vuoi che sia, Un buggheto,
Saluti bacati.

 viene disattivata.
la connessione e' sicura comunque... l'uso che poi faranno dei tuoi dati
magari no...
ma l'uso che si fa dei tuoi dati, chi te lo garantisce, il certificato?
no vero!
unz
Cristiano

 wrote in message
-> news:8h0ihg$tfl$1...@diesel.cu.mi.it...
-> > 30/05/00 - News - Web - Un advisory ufficiale è arrivato nelle scorse ore
-> 
-> Evvabbe' che vuoi che sia, Un buggheto,
Del tipo di quello di win2000 che se imposti di usare solo il 3DES, sotto sotto
usa il DES e non ti dice nulla ? [*] 
In effetti nulla...
[*] E' solo un estratto della storia.
bye
Gianluca
-- 
Home Page                	Contro i brevetti sw     Boicotta Microsoft
www.infinito.it/utenti/chewbe
 
no-patents.prosa.it/
 
www.boycott-ms.org/
 
"If we have to file a thousand lawsuits a day, we'll do it.
It's less expensive than losing CONTROL of YOUR creative works."
---Jack Valenti, President and CEO, Motion Picture Association of America

 In effetti nulla...
Gia letto, ci sono anche chiare motivazioni ed e' comunque modificabile con
un banalissimo aggiornamento in rete. Non e' colpa mia se le leggi americane
sono un rebus per quanto riguarda l'esportazione di sistemi di
crittografia....


facendosi passare come "sito sicuro".
Mentre invece, se ci fosse il certificato, io avrei la garanzia che quei
dati non fossero messi su una macchina pluribuggata con shares aperte al
mondo e senza password?
IMHO il costo necessario per creare un sito non certificato che *sembri*
certificato, e' superiore al costo per certificarlo. Punto primo. A quel
punto, il bug... cui prodest?
Non dico che non ci sia e non dico che sia irrilevante. Pero' aiuta, NEL
MONDO REALE, il signor X, a me sconosciuto, a carpirmi il numero di CC?
+++
Se io mando il numero di carta di credito al sito PippoWeb, e mi fottono
quattrini, io deduco che il numero lo hanno puppato da PippoWeb. Come si
discolperebbero costoro?
"Potrebbe essere stato chiunque, perche' usiamo una connessione che pare
sicura ma e' stata astvtamente progettata per non esserlo!".
+++
Leonardo
Microsoft Outlook: R: Re: R: Re: R: Re: R: cosa vuoi replicare oggi?

 wrote in message
-> > -> news:8h0ihg$tfl$1...@diesel.cu.mi.it...
-> > -> > 30/05/00 - News - Web - Un advisory ufficiale è arrivato nelle scorse
-> ore
-> > ->
-> > -> Evvabbe' che vuoi che sia, Un buggheto,
-> >
-> > Del tipo di quello di win2000 che se imposti di usare solo il 3DES, sotto
-> sotto
-> > usa il DES e non ti dice nulla ? [*]
-> > In effetti nulla...
-> Gia letto, ci sono anche chiare motivazioni ed e' comunque modificabile con
-> un banalissimo aggiornamento in rete. Non e' colpa mia se le leggi americane
-> sono un rebus per quanto riguarda l'esportazione di sistemi di
-> crittografia....
Infatti la cosa grave non e' questa. La cosa grave e' che NON ti dice che lo
fa. 
-----------------------------
    Their beef: If two Windows 2000 computers without triple-DES are
    talking and the system administrator has configured triple-DES-only
    links, only single-DES gets used. The only error shown is an invisible
    one -- in an audit log file -- so users may have a false sense of
    security.
----------------------------
Ad ogni modo, per fare un esempio banale, chi ti garantisce che 
la persona che ti sta scrivendo questo messaggio sono io o sia uno che
mi e' entrato in ufficio, mi ha legato alla sedia e poi usato il mio PC per
rispondere come me a te ?


     one -- in an audit log file --
In Linux non e' in uso guardare i log ?


In Linux non e' in uso guardare i log ?
In Linux? Si', certo. In un caso del genere l'applicazione _NON PARTE_ e
il relativo avviso viene immagazzinato come warning, o peggio.
Tanto per stare sul sicuro ci son pure programmi che danno messaggi tipo
questi:
Wed May 31 22:25:20 2000:3:main:warnings issued but J_WARNING disabled
Wed May 31 22:25:20 2000:2:main:turn up log level for more information
Wed May 31 22:25:20 2000:1:main:program terminating normally (SIGTERM)
...dove ti avverte che ti *dovrebbe* avvertire - ma gli hai detto di non
farlo 8-)


 wrote in message
-> news:slrn8jah9r....@goldrake.gianluca.org...
-> >
-> > Infatti la cosa grave non e' questa. La cosa grave e' che NON ti dice che
-> lo
-> > fa.
-> >     links, only single-DES gets used. The only error shown is an invisible
-> >     one -- in an audit log file --
-> In Linux non e' in uso guardare i log ?
Si, si guardano i log. Solo che li puo' guardare solo root
----------
[Gianluca][~] => tail -f /var/log/syslog
tail: /var/log/syslog: Permesso negato
tail: no files remaining
[Gianluca][~] =>
----------
E se ti connetti ti dice che sistema di crittografia sta utilizzando
----------
[Gianluca][~] => telnet localhost
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
Generating temp (512 bit) RSA key ...
Generation of temp (512 bit) RSA key done
[SSL - attempting to switch on SSL]
Assigned temp (512 bit) RSA key
[SSL - handshake starting]
[SSL - OK]
[SSL cipher=DES-CBC3-SHA]
[SSL subject=/O=
ginluca.org/OU=goldrake/CN=telnetd/Email=ro...@goldrake.ginluca.org
]
[SSL issuer=/O=
ginluca.org/OU=goldrake/CN=telnetd/Email=ro...@goldrake.ginluca.org
]
-----------
Dalla tua risposta suppongo che tu passi tutto il giorno a guardare i log
di sistema...


In Linux non e' in uso guardare i log ?
No, abbiamo dei programmi che lo fanno per noi.
Ma questo genere di problemi non si permette che accada in primo luogo,
visto che la gente normale guarda i report al massimo una o due volte al
giorno e quindi ci sarebbe una finestra in cui il sistema non e` sicuro.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | "You're one of those condescending Unix computer users!"
      | "Here's a nickel, kid. Get yourself a better computer"  -- Dilbert
      | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it

No, abbiamo dei programmi che lo fanno per noi.
logcheck docet...
-- 
*** Hi! I'm a .signature Virus ! Copy me
    to your signature to help me spreading! ***