Newsgroup: it.lavoro.informatica
Titolo: Nelle sale server dei gestori di telefonia

Salve a tutti
volevo chiedere a chi ha lavorato nelle server room dei provider di 
telefonia mobile (non è il mio settore)
premesso che dentro i server "girano i clienti", premesso che solitamente il 
personale IT è in buona parte preso da aziende esterne, che lo prendono a 
loro volta da altre fino alla pincopallo srl, e a volte sono dei veri porti 
di mare..
Secondo voi (non sto ora a tediarvi coi perché) è possibile che qualche 
ragazzotto dba o sistemista junior, in vena di quache guadagno extra, possa 
scaricarsi numeri,  nominativi e indirizzi di qualche migliaio di clienti, 
portandoseli via senza essere loggato o sgamato ?

 sgamato ?
Se ti dicessi che passano in chiaro numeri di tel e di carte di credito? ;-)
-- 
Ester Memoli - Office System MVP
***********************************
My blog: 
http://blogs.dotnethell.it/ester
Join me on Linkedin: 
http://www.linkedin.com/in/estermemoli
https://mvp.support.microsoft.com/default.aspx/profile/ester.memoli
 

 ;-)
merda...ok ho già capito    :(

 Se ti dicessi che passano in chiaro numeri di tel e di carte di credito? ;-)
Se te lo confermassi anche io?
P

 portandoseli via senza essere loggato o sgamato ?
Se l'azienda fosse dlgs 196/2003 compiant... ASSOLUTAMENTE NO.
Nella pratica dei fatti.... non dico altro.

 Se ti dicessi che passano in chiaro numeri di tel e di carte di credito?
;-)
veramente ci sarebbe la obfuscation,
pero' non saprei a che livello venga de-obufuscata :)
ma soprattutto tenendo conto di quanto detto sopra,
che corrisponde al vero, non mi stupirebbe che la
obfuscation fosse solo nelle analisi, magari, dei PM :(
felice_pago
la mia br e' indifferente
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ;-)
devi specificare meglio: passano in chiaro da *dove* a *dove*?
se metto in piedi una trusted network isolata dal resto del mondo e con 
dei precisi requisiti di sicurezza logica/fisica posso anche lasciare i 
dati in chiaro...
quindi per valutare il livello di rischio di quanto da te esposto bisogna 
capire di quale path stai parlando e di chi ha accesso a quel path e con 
quali modalità.

 clienti, portandoseli via senza essere loggato o sgamato ?
chi pagherebbe per un elenco di questo tipo?

 quali modalità.
Non ne ho idea perché non ho mai lavorato lì dentro, ma un mio ex collega si 
e mi ha detto che poteva reperire facilmente i numeri succitati.
Come facesse non è affar mio...(nè affar mio erano i numeri, ovviamente)
-- 
Ester Memoli
Office System MVP
http://blogs.dotnethell.it/ester
 


Se ti dicessi che per "sicurezza" sono in chiaro anche le password
email, prima di replicare in active directory?

 email, prima di replicare in active directory?
Questa mi mancava :-D


 succitati.
ammetterai che di banfoni il nostro settore è pieno...

 ammetterai che di banfoni il nostro settore è pieno...
Ammetterò che era un sistemista in gambissima.
Opinione condivisa da ex e nuovi colleghi.
Penso che gli altri post in questo thread li abbia letti, no?


Il 07 Set 2007, 10:30, linuzzz <lin...@abcdefghilmno.com.invalid> ha
scritto:

ah io ne ho 23 milioni, anche ad un euro l'uno :)
felice_pago


 Come facesse non è affar mio...(nè affar mio erano i numeri, ovviamente)
Solo un esempio: una volta lavorai su un sistema che prelevava un
semplice file *txt (via sftp) carico di numeri di telefono/nominativi
per avviare una procedura batch di invio di sms/mms promozionali.
Nei primi gg di messa in produzione ci chiamarono per alcuni problemi
e ovviamente dall'analisi dei log comparivano le informazioni vere,
che io avrei potuto tranquillamente prelevare. Nei requisiti non ci si
poneva neppure il problema dei dati in chiaro, ti ho detto tutto.
Ciao

 Penso che gli altri post in questo thread li abbia letti, no?
l'analisi del rischio è una cosa ben più complessa di quella che potrebbe 
sembrarti e di banfoni ce ne sono tanti
2 input:
- tu rischieresti la galera per usare delle carte di credito che hai 
trafugato? è una domanda importante ai fini della valutazione del rischio
- come mai non si registrano incidenti continui?

 - come mai non si registrano incidenti continui?
E chi lo dice? Magari tutte quelle telefonate anonime che arrivano magari 
scaturiscono da questo ;-)


scaturiscono da questo ;-)
Quello è Luc, che ha visto la tua foto sul tuo blog.
:-)
G

 scaturiscono da questo ;-)
no :)
guarda caso sono appena stato contatto da TLC,
e mi hanno chiesto se fossi favorevole o meno
a comparire in elenco, e se fossi interessato
a ricevere offerte commerciali :)
penso che esista un ufficio al quale "attingere"
per fars idare i nominativi a cui rompere per
offerte e promozioni :(
o peggio ci sono societa' che fanno fare data entry,
a partire dall'elenco del telfono :)
felice_pago


 :-)
Seh :-D


 a ricevere offerte commerciali :)
Ehehhe no io intendevo i numeri di cell.
Le telefonate misteriose....
Sui fissi conosco il problema, infatti il mio numero non appare da nessuna 
parte e dormo tranquilla :-D
(finquando qualcuno non andrà a cercarlo nei db delle TLC :-D)


 (finquando qualcuno non andrà a cercarlo nei db delle TLC :-D)
eh eh eh
felice_pago
le mie ricerche sono indifferenti


 le mie ricerche sono indifferenti
Al primo squillo anonimo vengo a mazzuolarti :-D


 Al primo squillo anonimo vengo a mazzuolarti :-D
tranquilla, non mi permetterei mai :)
felice_pago
indifferente



[CUT]
Siccome si tocca di struscio il mio mestiere mi permetto sommessamente
di intervenire...
In aziende di sviluppo e di telco degne di tale nome, chi accede a
quei dati dovrebbe firmare quanto meno la designazione a incaricato
per il trattamento dei dati secondo quanto disposto dal dlgs
196/2003... non dico che questo toglie i problemi, ma ti
responsabilizza dal lato penale. Se poi i responsabili dei dati non
implementano contromisure idonee ed non esercitano funzioni di
controllo l'authority in genere dovrebbe intervenire.
Che poi i controlli latitano,
i responsabili dello sviluppo,
e quelli dell'esercizio se ne fregano altamente,
è perchè non c'è una percezione reale del rischio di business e di
immagine derivante da comportamenti di tale tipo.
Avendo lavorato quasi sempre nelle telco, dico a conforto di tutti
quelli che giustamente si preoccupano, che una cosa del genere è
possibile, ma molto più tracciata e tracciabile di quanto possa
esserlo stata solo tre o quattro anni fa.
Quindi non voglio sfatare il mito dell'"insider" DBA e Sistemista: in
ambienti di sviluppo odierni, i test si fanno in collaudo, in collaudo
si usano dati mascherati o alterati, e in esercizio (sempre controlli
permettendo) dovresti entrare con un permesso, e usare sempre di più
metodi di autenticazione forte per entrare sui sistemi. E dopo i
recenti fatti di cronaca inerenti Pirelli e Co., almeno in una telco
c'è un controllo (legale stavolta) abbastanza forte pure delle forze
dell'ordine.

dell'ordine.
mi sembra di ricordare una puntata di report dello scorso anno in cui
un tecnico telecom (opportunamente anonimizzato) mostrava come fosse
possibile inserirsi nei vari sistemi e raccoglierne le informazioni
senza lasciare tracce rilevanti o cmq che rendessero chiaramente
possibile rintracciare l'operatore. Ma cmq spero che abbiano
rinforzato le misure precauzionali.

 rinforzato le misure precauzionali.
Hai detto bene Suarez, l'anno scorso. Le cose sono un po' cambiate.
La puntata di report l'ho vista anche io e conosco la sede romana dove
è stato intervistato il tizio. Ovviamente, a buoi scappati, le misure
sono state un po' rafforzate... per quello che vale.

 magari scaturiscono da questo ;-)
sii seria :-P

 Al primo squillo anonimo vengo a mazzuolarti :-D
Non c'è nulla da fare...oramai parli pure nordico...
Ciao,
            Ugo.
-- 
Per scrivermi in privato cambia squadra 

 Non c'è nulla da fare...oramai parli pure nordico...
A breve il sito di Hoshi con la stella alpina nel verde padano.
:-D
Ciao
Jarod

 Non c'č nulla da fare...oramai parli pure nordico...
AH perchč č nordico? :D
Io l'avevo detto solo in memoria di "o'mazzuolatore", il prof di filosofia 
del liceo che ci prendeva a bacchettate dietro le ginocchia :-D
-- 
Ester Memoli - Office System MVP
***********************************
My blog: 
http://blogs.dotnethell.it/ester
Join me on Linkedin: 
http://www.linkedin.com/in/estermemoli
https://mvp.support.microsoft.com/default.aspx/profile/ester.memoli
 


wrote:

Un operatore TLC di cui non posso fare il nome per questioni di
privacy ("yeah eh oh ah, sì e' un numero magico oh yeah") all'inizio
per fare troubleshooting aveva bisogno che qualcuno seguisse
manualmente il flusso dati da un sistama all'altro.
Se avesse offuscato i dati (penso gia' al solo MSISDN), le povere
scimmiette di accidentur poi come facevano a raccapezzarsi tra i vari
files di log sparsi su N machine diverse?
C'era un periodo durante il quale se passava il numero
dell'amministratore delegato si faceva in modo che le sue transazioni
funzionassero "forzatamente".
Saluti.
-- 
Living in Barbaropoli
http://gensuke.blogspot.com

 ragazzotto dba o sistemista junior, in vena di quache guadagno extra
So per certo che c'e' (stata?) gente che faceva gli UPDATE sul conto
telefonico prepagato.
-- 
Per rispondermi, togli il nome del poeta

 Se l'azienda fosse dlgs 196/2003 compiant... ASSOLUTAMENTE NO.
Casomai, se l'azienda fosse certificata ISO 27000 e dintorni, perche' il
decreto legislativo non stabilisce niente di sostanziale, sopratutto quando
per essere "compliant" come dici tu e' sufficiente una comunicazione al
garante. 


 garante.
Chiarisco Zefram, sempre solo perchè si tocca di striscio il mio
lavoro.
L'ISO 27001 per legge in Italia non è un obbligo.
Il dlgs.  196/2003 da' degli indirizzi di misure minime. Come li
implementi sono affari tuoi, conviene per molte aziende implementare
la ISO 27001 con degli auditor per semplificare le cose è un modo.
Ce ne sono molteplici, come saprai.
La comunicazione al garante non ti esime però dal compilare il DPsS
con le misure minime (che devi ANCHE implementare, magari applicando
ISO27001 non solo scriverle su carta... per quello sono buoni tutti) e
dall'indicare le persone responsabili e incaricate per il trattamento
dei dati.
Quello che tu dici era magari vero per la 675/96, per superare i
limiti della quale è stato introdotto il nuovo decreto legislativo.
Dove vengono sciorinati i requirements MINIMI: se dovessero scrivere
l'implementazione  nel dettaglio penso che non basterebbe un tomo del
Codice Civile.... La mancata applicazione delle misure minime ti
espone a sanzioni civili e penali che vanno fino alla reclusione.
Questo per chiarirti, senza alcuno spirito di polemica, che qualcosa
di sostanziale c'è, eccome!
L'ISO 27001 è un di cui, puoi benissimo non essere certificato o anche
applicare le checklist previste negli USA dalla SOX: l'importante è
l'implementazione (per davvero!) delle misure.
Fattelo dire da un semplice incaricato al trattamento dei dati, il
problema vero è che tutta la gente che va a curiosare nei DB e nei
file di LOG non sa, o finge volutamente di ignorare, il rischio che
corre...
Quando dico "dlgs. 196/2003" compliant intendo l'applicazione delle
misure minime, non certo la mera comunicazione al garante, che come
hai giustamente notato tu, non serve a una beneamata fava.
Che la 196/2003 non stabilisca nulla di sostanziale inoltre vallo a
dire a chi ha preso la multa l'anno scorso...
Siamo d'accordo che la sanzione sono poche migliaia di euro. Il
problema è se ti beccano "scoperto" alla verifica delle misure minime:
http://www.privacy.it/garantes20060609.html
Leggo testualmente la penultima frase in fondo: "Telecom avrà 120
giorni per adottare tali misure. La mancata adozione di tali misure
comporterà il divieto di consultare e comunicare i dati."
Mi pare qualcosa di più che sostanziale. E ti assicuro che le persone
del garante ci vanno a controllare...
Significa che
- Telecom chiude (perchè senza quei dati come lavora?)
oppure
- Telecom lavora coi carabinieri nel CED (e già ce ne sono...)
E penso anche che sia uno dei rari casi in Italia di applicazione di
leggi a tutela del cittadino. Non per fare il plauso al garante, ma
qualcosa di buono non sempre ma ogni tanto la fa...
Ciao e buona domenica!

 telefonico prepagato.
Fino al 2002/2003 la risposta è tristemente : sì.

 Fino al 2002/2003 la risposta è tristemente : sì.
Figata, già mi immagino il consulente di turno che si fa figo con gli 
amici facendo ascoltare in vivavoce: "Il suo credito è, un 
milionecinquecentoventisettemiladuecentotrentasei euro"
-- 
LombaX (MI, 22, 150, 70, 22pti) - 
www.lombax.it
Powered by 147 2.0 TS & SV 650

 milionecinquecentoventisettemiladuecentotrentasei euro"
Beh, se io lavorassi in una banca lo farei, così potrei sentire, almeno 
per un attimo, che il mio conto dispone delle cifre che non avrò in 
tutta la mia vita, ma farebbe comunque piacere sentirlo.
Peccato che poi dovrei ripristinare la cifra iniziale. :-(
Basta vado a falle il politico. Anche due solo legislature mi 
basterebbero e poi vaffanculo (tm). Tanto la pensione me la sarei 
guadagnato.
P.S:
Se non si è capito, tutti i riferimenti al V-Day di ieri sono puramente 
intenzionali...

 milionecinquecentoventisettemiladuecentotrentasei euro"
Se non sono dei pirla (ma lo sono visto che permettevano queste cose in 
produzione) quelli di Telecom avranno messo qualche controllo che 
inviava una notifica (email, sms, ecc..) di anomalia ad un controller 
aziendale superata una certa soglia massima di ricarica (che spero per 
loro fosse ben al di sotto dei 100.000 euro).
Bye
Jarod

 intenzionali...
O a fare il comico....

 loro fosse ben al di sotto dei 100.000 euro).
Appunto _sono stati_ dei pirla fino alla data che ti avevo detto.
Per il GSM, almeno quando mi occupavo di billing, "cartellini" del
genere facevano COMUNQUE suonare un campanello. Per intenderci, come
succede con le carte di credito (almeno con la Diners) se vai a
comprarti un gioiello di un importo elevato...
Ciao, buona domenica.


beh su una cosa ero contento col premier precedente: la battuta
quotidiana.

 Peccato che poi dovrei ripristinare la cifra iniziale. :-(
Se tu lavorassi in una banca recentemente salita agli onori della
cronaca (...), la riga di audit log generata dalla tua improvvida
operazione sarebbe causa di giusto licenziamento... a prescindere dal
ripristino della cifra inziale.
Poi... come scrive qualcuno nella sua signature
può essere che la tua banca sia differente :-)
[CUT]

 intenzionali...
Altra gran bella cazzata...
ivan
-- 
By 1977 or so, PLATO was featuring real-time multiplayer dungeon games,
not to mention real-time spacewar, IM, chat, email, netnews, and a host of
other things we now take for granted. All this on high-resolution plasma
panel terminals connected at 1200 baud to twin Cyber 6600 supercomputer.
Now you understand why I was kicked out of Cornell for a year; PLATO was
crack for computer nerds. (Robert Woodhead, co-creator of Wizardry)

 ivan
Appunto. A quello mi riferivo. Intendiamoci, io quei coglioni dei 
politici li mando affanculo qui in diretta, e sono d'accordo a tenere i 
pregiudicati, indagati e prescritti fuori dal parlamento. Ma qui si è 
persa di vista una cosa fondamentale: Ogni - al massimo - dieci anni 
(due legislature) avremmo una nuova generazione di pensionati da 
mantenere. Era prioritario, secondo me, chiedere che venga abolità 
quella cazzata di legge che i parlamentari abbiano dopo pochi mesi che 
hanno scaldato la sedia al parlamento, una pensione garantita. Poi si 
può parlare anche dell'altro.

 [CUT]
Beh..il fatto è che per me la banca è indifferente. Che mi freghi i 
soldi una o altra o un'altra ancora, per me è indifferente. :-)


ma LOL
lo potrsti anche fare,
però entro 24 ore devi trasferire il "guadagno" verso un conto asiatico o 
caraibico
prendere il primo aereo ancor piu velocemente
corrompere un funzionario della destinazione per cambiarti le generalità
e possibilmente un chirurgo plastico per rifarti i connotati...sempre che 
non riesca a farteli la banca.