Newsgroup: it.lavoro.informatica
Titolo: rete e privacy (DPS)

Secondo me per ottemperare agli obblighi del DPS  occorre per forza avere un
dominio e non un semplice workgroup , perchè devi avere ana gestione
centralizzata degli utenti e delle pwd , sennò è un casino con le scadenze e
i cambi delle pwd , devi girare su tutti i pc perchè gli utenti sono
disseminati e moltiplicati su tutti i pc per permettere l'accesso reciproco
alle vari e risorse condivise presenti sui vari pc .
Anche se uno stesso utente risulta essere ADMIN sul pc locale e solo USER
sul pc server , non riesci ad ottenere una buona sicurezza .
Voi che ne dite ?
ciao


Niente dati personali sui client. Solo sul server.
Accesso al client anche senza accredito.
Accesso al server solo con login (login al server).
Security centralizzata. Fine del problema.
Ovviamente dipende da che forma hanno i dati e da quali programmi usi 
per gestirli. Quanto detto potrebbe non essere applicabile.
Se usi uno unix, invece, è praticamente sempre applicabile!


Io ti posso raccontare cosa mi è successo oggi:
Stamattina, in edicola, ho deciso di riacquistare, dopo mesi che non 
comperavo niente di simile, una rivista su linux giusto per essere 
aggiornato su alcune ultime distribuzioni che mi interessavano (la 
rivista allegava infatti un dvd doppio pieno di roba).
Tornato a casa ho inserito il dvd (lato b) nel mio laptop ed è partita 
una simpaticissima Puppy Linux in modalità live cd che, oltre a 
permettermi la navigazione su internet (con un minimo di configurazione) 
e l'ascolto di mp3, mi monta anche tutte le partizioni presenti sul 
disco (ntfs comprese) e me le fa candidamente sfogliare.
Sottolineo che l'unica abilità informatica necessaria per svolgere le 
operazioni che ho fatto è stata quella di eseguire il boot da cd. 
Inoltre qualunque distro live cd  si comporta alla stessa maniera.
Ora chiedo:
come risolvono questo problema coloro che vogliono ottemperare gli 
obblighi del DPS?
Secondo me tale problema è ignorato anche perchè l'unica soluzione 
sarebbe impedire l'accesso fisico a TUTTE le macchine che si vogliono 
tenere in sicurezza, cosa praticamente inattuabile.

 operazioni che ho fatto è stata quella di eseguire il boot da cd.
ma per fare questo boot non ti eri dovuto prima autenticare alla login del 
sistema operativo del tuo pc ? 


no sennò che boot è ;-)
la domanda poteva essere: se metto una password da bios?
benissimo, ma se su quel pc ci devi lavorare la password da bios la 
conosci quindi vedi sopra.

obblighi del DPS?
I dati devono stare sul server e non sui clients, e il server deve
stare sotto chiave.
Inoltre nelle macchine clients è bene disabilitare boot da periferiche
rimovibili e mettere la password al BIOS (tra l'altro nei portatili è
anche difficoltosa da scavalvare se non si hanno documenti di
acquisto).
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.


wrote:

No, basta potere entrare nel BIOS e abilitare l'avvio da CD (spesso è
già presente come impostazione di default).



Alt: i BIOS [1] hanno la possibilità di impostare due password: una
che serve per l'avvio della macchina (User Password), e una per
entrare nel setup (Administrator Password).
Bisogna settare la seconda e lasciare vuota la prima: la macchina si
avvierà senza problemi ma alla pressione di CANC/F2/F1/etc chiederà la
password. Io utilizzo sempre questo sistema.
[1] L'unica eccezione che mi viene in mente è una versione di BIOS su
un modello dell'Acer (bug segnalato e corretto nella versione
successiva [2]).
[2] Ma li testano i BIOS prima di rilasciarli???


 conosci quindi vedi sopra.
ma un estraneo non la conosce , quindi il pc è protetto ! 


... dagli estranei. Ma dai non estranei non autorizzati??

 acquisto).
Mi hai convinto!!!
Quanta gente pensi avrà usato questa accortezza?

Quanta gente pensi avrà usato questa accortezza?
Poca, mi sa.
Ah, se non è un portatile e si vogliono fare le cose ancora meglio ci
vuole anche il lucchetto sul case.



Io ripeto che è il caso di usare la password di amministratore del
BIOS, non quella di utente. Questo al solo scopo di evitare boot da
live CD or similia.
Una volta avviata la macchina si possono utilizzare le protezioni
integrate del sistema operativo (utenti, gruppi e diritti sul
filesystem).


 tenere in sicurezza, cosa praticamente inattuabile.
Praticamente inattuabile? E' l'UNICA cosa che garantisce un minimo di 
tutela. Ovviamente, parlando di estranei. Se il timore invece è quello 
di un incaricato che cerca di abusare del sistema e effettuare 
un'excalation, di nuovo, non ci si può affidare solo a soluzioni 
tecniche. Servono politiche chiare e documentate e controlli continui.
Tutelare la sicurezza non dev'essere una gara a chi è più "smart" tra 
responsabile e incaricati, eh...
-- 
Fabrizio "Hermooz" Ermini

Hermooz ha scritto:

scusate ma svitare l'harddisk direttamente è un altro tipo di reato e 
quindi non riguarda la privacy?
no perchè tutte queste regole sulla privacy, non ti tutelano certo da un 
furto di dati dei più banali. e però anche i documenti sotto chiave 
allora a cosa servono?
mi seguite? se mi obbligano a tenere i documenti a chiave, perchè tra i 
vari obblighi nel caso di pc non c'è anche quello di chiodare il case a 
terra e sigillare le viti?
-- 
Massimiliano Balestrieri
in...@maxb.net
http://www.maxb.net

 terra e sigillare le viti?
Perchè si suppone comunque che un PC sia una cosa un po' più 
difficilmente asportabile che non un foglio A4.
Tant'e' che infatti per supporti rimuovibili contenenti dati sensibili 
(cartucce, nastri, dischetti, ecc.) si applicano le stesse norme di 
custodia che per altri supporti: sotto chiave se incustoditi, ecc. ecc.
Quel che dici è comunque vero in sè, ed è ovvio che tra le misure di 
sicurezza che qualunque giudice potrebbe ritenere idonee c'e' quella di 
NON farsi fregare facilmente i PC!
-- 
Fabrizio "Hermooz" Ermini

 responsabile e incaricati, eh...
Stiamo qualunqueggiando eh?


ti rispondo copiaincollando dal post di AnalogFile:
Niente dati personali sui client. Solo sul server.
Accesso al client anche senza accredito.
Accesso al server solo con login (login al server).
Security centralizzata. Fine del problema.
che ne dici ?
Diego

 
Quanto dici è corretto ma si riferisce ad una situazione nuova da creare 
da zero o quando ci sono solo pochi utenti e i dati risiedono su 
semplici file e non su database.
Prendi per esempio una situazione classica, 20 utenti che fino ad ora 
hanno salvato tutto sul loro desktop, che gestiscono le copie di 
sicurezza personalmente e qualcuno ha magari dei programmi fatti in 
visual basic o simili che hanno la connessione ad un db access scritta 
nel codice (eh si c'è anche questo!!!)
Mettersi in regola significa investire in un server che gestisca 20 
connessioni contemporanee quindi almeno un windows server 2000/2003 che 
se si blocca ferma 20 persone quindi deve essere almeno ridondato con un 
raid di qualche tipo e un backup decente.
Fatto il server bisogna gestire la migrazione e non è sempre semplice e 
nel caso dei programmini in visual basic a volte diventa proprio 
impossibile.
Ci sono anche altre casistiche ma spero di aver reso il messaggio che 
mettersi in regola al 100 puo non essere ne semplice ne economico.

 mettersi in regola al 100 puo non essere ne semplice ne economico.
che non sia semplice d'accordo. che non sia economico lo decidi quando
scegli l'os che ti fa da server.


> in debian non conosco questa limitazione.
Infatti nemmeno su IIS esistono limitazioni di questo tipo.
Hai inteso male il messaggio.
-- 
Hi, I'm a .signature virus! Copy me to your .signature file and
help me propagate, thanks!

 
Spiega per bene questa affermazione.

 
IIS? Dove parlava di webserver?

> IIS? Dove parlava di webserver?
Da nessuna parte.


 
E allora che significa il tuo post?

> E allora che significa il tuo post?
Niente.


 
ahh

 
scusa?
bella questa


debha...@gmail.com
 ha scritto:

che il lavoro spesso è difficile ... perfortuna
che soluzioni "economiche" esistono... e almeno quando siamo noi
(informatici) a proporre la soluzione dovremmo essere preparati a
proporle.poi se il super manager vuole win2010 server enterprize
superjet.... fatti suoi.


 
grande. almeno la simpatia di dirlo. +1



Il lavoro puo' essere difficile anche con win2010 server enterprize
superjet.
Hai pensto al fatto che magari non hanno una persona in grado di
lavorare
decentemente con linux?
Risparmiano sulla licenza ma spendono per altro.
Sono i post come i tuoi che mi fanno girare le palle.
Mi costringono a difendere microsoft :D
Fra windows e linux non esiste quello piu' facile.

> grande. almeno la simpatia di dirlo. +1
Hai cmq capito male il messaggio, perche' in quel mex non si parlava
di limitazioni di connessioni di windows.


> Fra windows e linux non esiste quello piu' facile.
Linux e' sicuramente piu' facile, perche' meno contorto e piu'
semplice. Per riuscire a padroneggiare completamente un
sistema Microsoft, occorrono molte ore di volo sulle spalle.


 
ripeto non c'entra il facile (si parlava di economico)
fra windows e linux le differenze non si misurano sulla difficoltà IMHO
si misurano sulla bontà.
senno non avrei postato.


 
ho puntualizzato un aspetto allucinante di win. posso?


 
sono d'accordo.
posso usare il termine tricks per questo volo di cui tu parli?


> ho puntualizzato un aspetto allucinante di win. 
Quale allucinante.


 
che hai un sistema che ad esempio in lan ti limita nelle connessioni.
mai provato in docenza a passare file agli allievi.
"ragazzi 5 alla volta, senno si incarta".


 mettersi in regola al 100 puo non essere ne semplice ne economico.
mai detto il contrario, anzi ho sempre sostenuto che fosse una bella idea 
per ricominciare, un po', a far girare il settore
Diego 

 scegli l'os che ti fa da server.
quanto mi chiedi se ti commissiono l'installazione e la configurazione 
di un server con debian che faccia: autenticazione degli utenti (samba), 
file server, raid 1, backup?
Ho escluso l'acquisto dell'hardware e la migrazione dei dati utenti.
Poi se vuoi parliamo anche del resto.

 Poi se vuoi parliamo anche del resto.
la migrazione degli utenti se sai scriptare non penso sia un problema
(active directory esporterà in qualche formato i dati utente?), visto
che un utente si aggiunge da bash, a meno che non si voglia poi fare una
web application tipo in perl o in php per automatizzare.


 soddisfacentemente)
Appunto: da qui la mia impressione che il tuo modo di affrontare il
problema sicurezza è incompleto (non uso il termine "ingenuo" perchè
evidentemente ti ha irritato, e me ne scuso, non volevo offendere
nessuno).
Se ti trovi a dover dimostrare qualcosa in tribunale, è molto, ma
molto più utile un foglio controfirmato da tutti i dipendenti in cui
c'e' scritto "sui server ci devono mettere mano solo gli autorizzati"
rispetto a password di BIOS, lucchetti sui CD, e quant'altro. In
tribunale contano gli atti, non le configurazioni di BIOS. Portare in
tribunale una policy controfirmata è un atto non contestabile:
dimostrare che qualora si sia verificata una effrazione in quel momento
fosse effettivamente in vigore una misura tecnica comporta perizie,
controperizie, cazzi e mazzi, che possono venire sì considerate in
giudizio, ma alla pari di qualunque altro documento o testimonianza.
Ciao
Fabrizio

 dominio e non un semplice workgroup ,
No.
Dipende da caso a caso. Nelle situazioni più complesse puoi anche avere 
ragione, ma in situazioni più modeste non è affatto necessario.

 giudizio, ma alla pari di qualunque altro documento o testimonianza.
questo č un altro discorso che non ha, al fine della nostra discussione, 
nessun interesse pratico. Si discuteva su cos'č necessario fare per 
mettersi in regola, a prescindere o meno dal fatto che poi uno lo faccia 
davvero.

 puo venire imputato un mancato rispetto dei requisiti minimi di sicurezza.
No. La misura minima di sicurezza, a norma di legge, stabilisce solo che 
l'accesso ai PC deve essere protetto da un sistema di autenticazione. La 
password di BIOS non può tra l'altro essere ritenuta tale, perchè basata 
solo su una componente riservata non legata in maniera univoca ad un 
interessato.
Prendere precauzioni aggiuntive, oltre a configurare i PC in modo da 
essere protetti da un tale sistema, può essere giustificato se ci si 
trova in ambiente in cui, stando all'analisi di rischio presumibilmente 
fatta nell'ambito del DPS, affidarsi solo al normale sistema di 
autenticazione non sia sufficiente. Ad esempio perchè i PC sono spesso 
non sorvegliati anche in presenza di estranei, se ci sono sopra dati 
particolarmente sensibili e c'e' un rischio concreto di infedeltà da 
parte dei dipendenti, e così via. In tal caso potrebbe essere opportuno 
prendere provvedimenti per limitare il boot, ecc.
Ma tutto ciò riguarda le cosiddette misure *idonee* ai sensi del T.U. 
196, e non quelle *minime*. La differenza sta tutta là.
Bye

 e non quelle *minime*. La differenza sta tutta là.
Già.