Newsgroup: it.lavoro.informatica
Titolo: [Link] La sicurezza e' ...

Dire a tutti marca e modello della tua cassaforte!!!  :)
 
https://goo.gl/wHTgCy
 
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 Dire a tutti marca e modello della tua cassaforte!!!  :)Se gli dai la combinazione e' anche meglio!
Io nella mia cassaforte ho un preservativo usato
-- 
ac (x=y-1)
Aborro il Killfile
(La violenza e' l'ultimo rifugio degli incapaci -Salvor Hardin-)

 Io nella mia cassaforte ho un preservativo usato
 
Ricordo della migliore scopata della tua vita?!
 
 

 Dire a tutti marca e modello della tua cassaforte!!!  :)
 
https://it.wikipedia.org/wiki/Principio_di_Kerckhoffs
 


non della  migliore. Dell'unica!



In questo caso stiamo parlando di oggetti che possono avere delle 
vulnerabilità nel firmware, da cui accedere alla "chiave", o la 
possibilità di bypassarla.
Dichiarare marca e modello, per come la vedo io (IMHO) e' un passo verso 
il "dare la chiave".


 il "dare la chiave".
 
ma anche no.

 il "dare la chiave".
 
se ci fosse una vulnerabilità nel fw è plausibile sia in una versione, 
non nel modello. sennò si starebbe freschi: quelle sono appliance che ha 
mezzo mondo (e non è certo un segreto).
 
fa sorridere che si giogineggino, questo sì.
 

 
 
"John Smith"  ha scritto nel messaggio news:opg9sk$ums$1...@gioia.aioe.org...
<Dichiarare marca e modello, per come la vedo io (IMHO) e' un passo verso
<il "dare la chiave".
 
 
nel link si legge:
 
È piuttosto comune tra le aziende mantenere il sistema interno segreto. Il 
fulcro del dibattito consiste nel fatto che questa segretezza renda 
veramente il prodotto più sicuro e meno vulnerabile agli attacchi, oppure si 
tratti esclusivamente di una sicurezza a breve termine e nel lungo periodo 
saranno i sistemi che sono stati pubblicati ed analizzati ad essere i più 
sicuri ed affidabili. 
 

 fa sorridere che si giogineggino, questo sì.
 
Esimio dottore, lei che "ne capisce", cosa ne pensa del fatto che sul 
sito "pubblico" sia disponibile (e liberamente scaricabile, 
consultabile, etc.) oltre la richiesta oggetto del bando, anche la 
descrizione dello scenario attuale in cui si deve inserire questa nuova 
fornitura?
 
Basta andare sui bandi attivi, trovare quello per la fornitura in 
oggetto e sfogliare l'elenco degli allegati.
Il doc che mi perplime e' l'Allegato 2 - Capitolato tecnico
 
https://www.portaleacquisti.rai.it/web/bandi_avvisi/home.shtml
 
 
Io, che sono paranoico di mio, avrei fatto il bando pubblico generico, e 
dato le informazioni tecniche alla "dichiarazione di interesse", previa 
sottoscrizione di un "patto di riservatezza".
 
Dici che sono troppo paranoico?
Poi ho risposto a te, ma ovviamente accetto le risposte di tutti.
Ci fosse anche uno strizzacervelli sarebbe perfetto.  :D
 
Ciao.


 fornitura?
 
guarda, io sono citato al capitolo "SB.01 - Infezioni e tipi di attacco 
rilevati" quindi sono dall'altra parte della barricata :P
 
scherzi a parte, è una azienda pubblica quindi il bando è pubblico e 
anche il capitolato deve esserlo per ovvie ragioni. gli ho dato una 
scorsa e può darsi mi sia sfuggito qualcosa, puoi essere più preciso su 
cosa ti perplime?

 il "dare la chiave".
 
Il che vorrebbe dire fare un NDA con tutti coloro che lavorano in RAI perche` non rivelino marca e modello del sistema usato. E` da folli. Se la falla e` nel firmware, la trovano comunque. Non serve rivelare marca e modello.

 È piuttosto comune tra le aziende mantenere il sistema interno segreto. 
 
Certo, perche` e` un falso senso di sicurezza. I segreti non esistono. Basta sussurrare all'orecchio di qualcuno "te lo dico, ma tu non lo sai" perche` il segreto scompaia di botto. E cosi` per i sistemi informatici. Se ci si lavora in due, gia` il segreto non c'e` piu`.

 cosa ti perplime?
 
Il capitolato, quando ci siano di mezzo questioni di sicurezza, puo' non 
essere "pubblico" piu' di tanto.  ;)
Io sono anni che non scrivo piu' i capitolati a lorsignori, con quello 
che limitava il subappalto gli devo essere diventato antipatico, ma sono 
comunque ancora operativo su quel fronte.  :P
 
Ciancio alle bande, dal punto di vista formale si rendono pubbliche 
poche informazioni, in quel caso che si cerca una tecnologia che faccia 
la funzione X, come ad esempio i prodotti Y, Z e W, alla dichiarazione 
di interesse gli si risponde facendogli firmare l'obbligo alla 
riservatezza e gli si danno tutti i dati.
Da altre parti si e' fatto, quindi ne confermo la fattibilita' dal punto 
di vista "legale".
 
Quello che mi lascia perplesso, sopratutto a fronte dell'alternativa 
sopra esposta, e' che lo vedo come dire a tutti che tipo di antifurto 
hai montato a casa, ma forse sono io ad essere particolarmente paranoico.
 
Che poi non ci siano la formula della Coca Cola, i dati delle carte di 
credito di nmila abbonati o gli stipendi dei giornalisti siamo 
d'accordo, ma comunque mi sembra una "leggerezza" non da poco.


 paranoico.
 
beh sì, rivelare il tipo di antifurto decisamente non è una falla di 
sicurezza. lo è eventualmente installare male l'antifurto (ad esempio): 
ma in tal caso se uno fa installare l'antifurto da un incompetente e poi 
si preoccupa del segreto sul tipo di antifurto installato, più che 
particolarmente paranoico direi che si tratta di paranoia indirizzata 
male :-) magari uno paranoico (sano) ogni tanto fa un test di 
funzionamento, fa verificare periodicamente le batterie, etc... 
 
mi viene in mente un aneddoto: una volta ero nel laboratorio di un amico 
e collegandomi alla sua wifi mi accorsi che aveva l'autenticazione wep. 
lui disse che lo sapeva, era così perché aveva un dispositivo che non 
riusciva ad autenticarsi wpa, e che era per questo che teneva nascosta la 
rete...

 forse sono io ad essere particolarmente paranoico.
 
Diciamo che hai una concezione bizzarra della sicurezza.


Probabile.  :D
Secondo te in cosa discosto dalla norma?


 Secondo te in cosa discosto dalla norma?
 
Ti e` stato detto qualche messaggio fa, quando e` stato menzionato il principio di Kerckhoffs.
 


il principio di kerckhoffs si applica alla crittografia non alla 
sicurezza informatica tout court: alcune informazioni è raccomandato 
nasconderle, vedi ad esempio la versione del web server. 
va da se che fra queste informazioni non rientrano i dettagli progettuali 
del sistema informatico. su quelli si applica un altro principio, quello 
di shannon: un sistema deve essere progettato assumendo che chi lo 
attacca ne abbia piena confidenza.

 il principio di kerckhoffs si applica alla crittografia [...]
 
Ma lo so benissimo. Il punto e` un altro: se pensi di essere al sicuro perche` non riveli la versione del tuo web server o la marca/modello del tuo firewall, stai fresco. Certe informazioni possono trapelare in un microsecondo da un'azienda e la segretezza puo` scoraggiare forse gli hacker piu` scalcagnati, di certo non i piu` esperti. Imporre a tutti i dipendenti un NDA non risolve il problema. Shannon ha semplicemente riformulato il principio di Kerckhoffs in chiave piu` generale, ma e` fondamentalmente lo stesso concetto.


Credevo riuscissi a dirlo anche con parole tue.   :D


 tuo firewall, stai fresco.
 
nascondere la versione del web server è requisito necessario, non 
sufficiente. in altre parole: non penso di essere al sicuro nascondendo 
l'informazione però so di non esserlo se non lo faccio.
 
la versione del web server è un esempio di informazione che, una volta 
esposta, fornisce ad un malintenzionato notizia di eventuali 
vulnerabilità del sistema. per questo deve essere nascosta.