Newsgroup: it.lavoro.informatica
Titolo: Carmen Russeau :D

State seguendo il disastro dei 5Stelle, che dopo essersi fatti bucare la 
piattaforma di voto hanno denunciato il white hat che l'ha fatto, per 
poi lanciarsi in una serie di dichiarazioni capolavoro tra cui il 
meraviglioso Di Maio: 
https://video.repubblica.it/edizione/palermo/di-maio-su-rousseau-nessun-problema-ma-preoccupati-per-cybersecurity-del-paese/282342/282944
 
Figura di merda e di corsa davanti alle telecamere a parlare di 
saibersechiuriti! :D
 
   ngw

 meraviglioso Di Maio: 
 
Sono dei ragazzi meravigliosi. Meravigliosi coglioni.


strano non abbia liquidato con il classico "e allora il pd?" :-D
 
fra l'altro, leggevo stamani in treno c'è l'evidenza che sia stato bucato 
anche il blog:
 
https://www.davidpuente.it/blog/2017/08/06/solo-rousseau-r0gue_0-ha-
 
bucato-anche-beppegrillo-it/
 
 
 


Grandi!
Pirla, ma grandi!
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 ha scritto nel messaggio 
news:om9sjd$7ki$1...@gioia.aioe.org...

Ma sara' vero che la vulnerabilità era per una SQL injection?
 
Roba che neanche all'asilo ... :-)
 
ciao
fm 
 
 


Verissimo. Segnalato il problema hanno millantato fix.
 
   ngw
 


Politici scarsi.
Io lo avrei millantato come cosa voluta
Fare una cosa del genere non e' da tutti.
Ma saltera' qualche testa.
Io voglio quella di DiBattista!
 
-- 
ac (x=y-1)
Aborro il Killfile
(La violenza e' l'ultimo rifugio degli incapaci -Salvor Hardin-)


Anche tu sei meraviglioso.


 denuncia vs chi fa attacchi, fatto salvo che tu abbia altre informazioni.
 
No, guarda, il pistolotto di Dimaio era solo teso a dirottare le 
responsabilita' della piattaforma rousseau sul governo. Come se il 
governo fosse responsabile delle policy dei siti che ospitano dati 
sensibili: della serie 'piove, governo ladro'. Ovviamente in questa 
banale mistificazione ci puo' cascare solo chi vuol dare ragione per 
forza a quella banda di inetti.
 
La legge attuale sanziona chi non protegge i dati sensibili, come il 
titolare dei dati lo faccia, sono cazzacci suoi. Il M5S non l'ha fatto? 
Cazzacci suoi.


e non è tutto.
pare che una volta recuperate le password ne abbia craccate più di cento 
in pochi minuti. 


 
Password in chiaro in uno dei siti e crittate DES nel "rousseau" dove trovi i 
dati completi degli utenti. Tempo esatto di decrittazione della prima password: 
12 secondi. Davvero eh non per dire un numero.
 
Sempre W a John the Ripper :-D
 


Come si fa a blindare un sito web esposto al pubblico?
Nel senso, qual'e' il livello minimo di protezione per dire "..ho 
protetto i dati sensibili dei miei server.." ?
Voglio dire, esiste una soglia limite oltre la quale si e' 
sufficientemente protetti oppure e' bene adottare tutte le misure 
possibili e 'speriamo che me la cavo' ?

 protetto i dati sensibili dei miei server.." ?
 
Il mio mestiere non e' quello di assicurare gli accessi, ma mi vien da 
dire che se un livello minimo esiste, sia ben oltre la liberta' di 
SQL-injection.

 possibili e 'speriamo che me la cavo' ?
 
Dal punto di vista "tecnico/tecnologico" se ti vogliono bucare, hanno 
tempo ed hanno soldi, prima o poi ti bucano.
Dal punto di vista della responsabilità di legge, se ottemperi al 
suddetto GDPR non ti becchi sanzioni (che possono essere anche belle 
legnate).
Ovviamente, come sempre quando si legifera in questioni tecniche, c'e' 
un margine di interpretazione (secondo me anche "abbondante"), per cui 
prenderei per buono il tuo "adottare tutte le misure possibili e 
"speriamo che me la cavo".  :)
 
Ciao


Il computer sicuro è quello spento. 
Il punto critico è proprio nel capire quale è il livello di sicurezza accettabile in base alle informazioni che devi proteggere. Mi spiego meglio: il sito della Sagra dello Gnocco Fritto di Campodoro non ha bisogno di particolari protezioni, al massimo rischia un defacement (con tutti i rischi che ne potrebbero comportare). 
Discorso diverso per un sito che dovrebbe servire per le discussioni e il comportamento di un partito politico che si candida a governare l'Italia. Una SQL injection nel 2017 è abbastanza da peracottai, sarebbe bastato un audit per identificare il problema in anticipo oppure un WAF per mitigare il problema a posteriori. 


Sicuramente la domanda "come mettere in sicurezza" se la saranno posta, 
ed avranno adottato delle misure cautelative
Il mio interesse era capire quando tali misure vengono giudicate 
"sufficienti", se esiste normativa/giurisprudenza in proposito che possa 
dirimere la questione

 M.
 
Ahh, gia' che ci sia 'sto GDPR e' di grande utilita'
Resta il fatto che, tempo e soldi permettendo, qualsiasi ambiente 
informatico e' violabile a meno che non sia completamente isolato 
dall'esterno, condizione oramai impossibile praticamente
Se lo sono i sistemi di banche e circuiti carte di credito, che per 
definizione devono essere 'credibili', tanto piu' lo sara' un sistema 
come il Rousseau, che credo non possa disporre di risorse importanti al 
pari di banche&co.


E' la seconda volta che leggo, a proposito dell'hackeraggio Rousseau, 
dell'sql injection
Dov'e' che l'hai vista 'sta cosa?
E' stato documentato il problema?
 

 possibili e 'speriamo che me la cavo' ?
 
esistono delle professionalità e competenze specifiche per questo, nonché 
delle procedure di audit, vulnerability assessment, penetration test.
quello che ha fatto il white hat è in sostanza ciò che avrebbero dovuto 
fare di loro iniziativa.
 

 E' stato documentato il problema?
 
http://hack5stelle.byethost17.com/analisiI.html
 

 dall'esterno, condizione oramai impossibile praticamente 
 
ma anche no.
 

 tempo ed hanno soldi, prima o poi ti bucano.
 
mah insomma, parliamone.
io questo fatalismo mica lo condivido. se una vulnerabilità non c'è, hai 
voglia di avere tempo e soldi, non la sfrutti.

 ed avranno adottato delle misure cautelative
 
Per esempio? Misure cautelative come registrare le password in chiaro su 
un db accesibile con banale SQL-injection?
Questa ma metterei tra quelle insufficienti. Magari sono io ad essere 
ipercritico ma questa resta la mia opinione.

 Dov'e' che l'hai vista 'sta cosa?
Io l'ho letta su entrambi i quotidiani che leggo, Il fatto quotidiano e 
la Repubblica, che spesso sono in disaccordo, ma in accordo su 'sta cosa.
 

 nessuna utilità.
 
Ni, adesso, almeno adesso le patch sono praticamente obbligati tutti a 
distribuirle ...



Il discorso di John è verissimo: qualunque sistema è vulnerabile, alle brutte da un attacco fisico allo stesso.
 
Il trucco sta nel renderlo talmente costoso o lungo a non essere fattibile.
 
Ciao
  Francesco


Scindi la "sicurezza informatica" dalla "sicurezza" in generale.
Se tu hai dei dati che interessano a qualcuno con abbastanza soldi e 
pochi scrupoli hai gia' perso, a meno che tu ed i tuoi affetti non siate 
a prova di proietttile.
La vulnerabilita' puo' non essere nel sistema informatico, ma essere 
nell'insieme del flusso produttivo.
 
Tornando un po' di piu' nel mondo reale, un paio di mesi fa ero a Torino 
per parlare di "sicurezza" con un tipo, che di mestiere fa il 
responsabile della "Sicurezza IT" nel dipartimento IT dell'$Azienda, uno 
certificato e bollinato.
Uno che ogni tanto sale anche in cattedra al politecnico di Torino per 
"diffondere il verbo" della sicurezza IT.
Mi tiene una mezz'oretta buona a dirmi quanto sono fighi, che i dati 
"succosi" sono su mainframe (roba che Delta11 si masturberebbe a 
sangue), backuppato cosi', perimetrato cosi' e cosa', che la rete bla e 
bla e che gli accessi fisici al locale sono protetti da draghi 
sputafiamme e fossati coi coccodrilli.
Quindi quei dati sono "inespugnabili" ...
Ah, ovviamente tutto quello che mi ha detto era inconfutabilmente vero, 
fino all'ultimo bit.
Frequentatori di ILI tipo Wolferine potranno confermare la preparazione 
e la serietà di chi si occupa della parte di rete (il buon "Giuseppe", 
che tra l'altro e' stato anche meritatamente promosso) e do per scontata 
altrettanta professionalita' a chi sviluppa le applicazioni ed ai 
sistemisti.
 
Io che mi occupo di "Sicurezza" piu' a largo spettro, so che a quel 
mainframe sono connessi Nmigliaia di terminali (comuni pc), di cui molti 
in sedi "sfigate", senza un servizio di sicurezza degno di tale nome 
(almeno un portiere), usati da personale non skillato in ambito di 
Sicurezza Informatica e su cui l'azienda investe molto poco in 
formazione (hai presente quelli prossimi alla pensione che si scrivono 
la pw sul monitor?), poco presidiati (alcune sedi sono addirittura in 
abitazioni private senza un controllo accessi serio, solo il lettore di 
badge attaccato alla parete vicino all'ingresso) e, dulcis in fundo, con 
qualche centinaio di postazioni con su Windows XP connesse 
permanentemente ad internet ...
 
Dovendo giocarsi una birra, te come risponderesti?
 
Il "sistema" e' sicuro?
[SI]  [NO]
 
:)
 
Scusa la prolissita', ma sono gia' in cazzeggio prefestivo.



Ma che ipercritico, se tieni le password in chiaro e non sanitizzi le 
fottute querystring e' meglio che cambi lavoro, siamo alla parte 
precedente l'ABC.
 
   ngw

 brutte da un attacco fisico allo stesso.
 
ma per l'attacco fisico esistono comunque le protezioni fisiche. il 
sistema sarà vulnerabile qualora queste protezioni siano inadeguate e/o 
vulnerabili. 


Io ad esempio non mi ci metto neanche a "sanitizzare" nessuna query, uso 
un ORM che mi sembra faccia bene il suo mestiere. O almeno finora non ho 
trovato problemi. Tantomenno memorizzo password.

 vulnerabili.
 
Una protezione fisica è sempre superabile se si utilizzano risorse superiori.
Se io pongo 10 guardie giurate a difendere una sala server e  l'attacco è composto da un singolo ladro esse basteranno, se l'attacco è composto da un commando di 15 SWAT esse saranno inutili.
 
E' sempre e solo una questione di risorse impiegate dalle due parti.
 
Ciao
  Francesco

 se esiste normativa/giurisprudenza in proposito che possa dirimere la questione
 
Di certo tenere le password in chiaro, oppure protette con DES nel 2017 per un 
sito del genere è da pazzi.
 

Il 10/08/2017 11:28, rootkit ha scritto:

Quale potrebbe essere un sistema, collegato in rete, che sia 'ma anche no' ?


Sta cosa delle password in chiaro e della sql injection, ma e' 
un'ipotesi o e' stato documentato il problema reale?


Ah beh, se l'hanno detto i quotidiani, allora semo in te 'na botte de fero'

Il 10/08/2017 11:50, rootkit ha scritto:

E se una vulnerabilita' c'e' e non la conosci?
Vedi apparati di rete et affini?
O credi che appena si trova qualcosa ti avvertono immediatamente via 
raccomandata?
 


Ovviamente il sistema non puo' essere unico.
Ad esempio, se non ho la necessita' di proteggere un db-sql, sara' 
inutile includere una protezione contro l'SQL-injection.
Se ad esempio devo proteggere informazioni che hanno una scadenza, il 
fatto che chi tenta di violare abbia tempo e soldi e' ininfluente, se il 
tempo prevedibile per un attacco e' maggiore della scadenza delle 
informazioni protette.


Tu dici che se i quotidiani avessero pubblicato una bufala, dimaio non 
si sarebbe affrettato a smentire, invece di ridicolizzare se stesso ed 
il m5s con giustificazioni anacronistiche?
Cfr. 
https://video.repubblica.it/edizione/palermo/di-maio-su-rousseau-nessun-problema-ma-preoccupati-per-cybersecurity-del-paese/282342/282944
 
che non e' una bufala: puoi vedere e sentire, se hai occhi ed orecchie 
per intendere.
 
 


ti ho linkato l'articolo scritto dal white hat che ha rivelato i 
problemi. perché lo hai ignorato?


E' un po' curiosa una risposta del tipo 'se non ho la necessita..'
Ma se ne avessi la necessita', come lo proteggi il db-sql di un sistema 
collegato con l'esterno?
Chiedo questo perche' bisognerebbe 'ripassare' i sistemi operativi, gli 
apparati di rete, e tutto quello che c'e' tra db e connessione con
l'esterno, questo per quanto riguarda la parte facile
Poi viene la parte difficile che riguarda le persone che hanno accesso, 
dall'interno, a quel sistema, e li non c'e' protezione che tenga
Se non riesci di social engineering, puoi andare giu' di corruzione, mal 
che vada di costrizione (famiglia, affetti vari,...)
Personalmente penso che per ogni cassaforte esista almeno un ladro che 
la possa aprire
E quindi ritorniamo nell'ipotesi di fare tutto il possibile "..e 
speriamo che me la cavo.."
E si ripresenta la domanda: cosa vuol dire fare 'tutto il possibile' ?
Parlo dal punto di vista tecnico, non formale
 
 
 
 
 


il "ma anche no" è riferito al "qualsiasi ambiente informatico è 
violabile".


Dico che, quando si parla di problematiche specialistiche, non e' raro 
che anche pubblicazioni autorevoli prendano degli abbagli
Vivono sull'onda della notizia, mica devono scrivere i 10 comandamenti


Ringrazio per il link
Non l'ho ignorato
Perche' lo pensi?

 E' un po' curiosa una risposta del tipo 'se non ho la necessita..'
Curiosa un cazzo. Quello e' un esempio, non una risposta. La risposta e' 
quella sopra, ovvero dovrai utilizzare tutti i sistemi necessari ev 
evitare quelli non necessari.
 


il "sistema" e' usato come temine per indicare "qualsiasi ambiente 
informatico"
In sostanza stavo contestando la tua affermazione che non tutti gli 
ambienti informatici sono violabili


Ah bene
E quali sono i sistemi necessari?
 

 ambienti informatici sono violabili
 
ci stai provando? no, non sono io ad aver fatto l'affermazione e tu a 
contestarla, ma viceversa.
l'onere della prova spetta a te.

 E se una vulnerabilita' c'e' e non la conosci?
 
shit happens. in che modo smentisce ciò che sto dicendo?


In nessun modo
Non sto cercando di smentire quello che hai detto
Sto cercando di capire quando si dice "..avrebbero potuto proteggere 
meglio il sistema.." se sia un'affermazione che abbia significato oppure no
In sostanza, quand'e' che un sistema di quel tipo e' "sufficientemente" 
protetto per erogare quel servizio?
 
 


Forse ho sbagliato interlocutore
Molte scuse


se stai cercando di far dimostrare a qualcuno la non-esistenza della 
teiera di russell, sì, hai sbagliato certamente interlocutore.

 protetto per erogare quel servizio?
 
La domanda da porsi, per inquadrare il sistema, è la seguente: qual'è il valore delle informazioni gestite dal sistema?
 
La risposta è il valore è piuttosto elevato: chi sia in grado di violarlo viene a conoscere informazioni personali importanti sull'affiliazione politica ed ha la possibilità di influenzare il comportamento di una delle tre più importanti forze politiche del paese.
 
Direi che a fronte di questo dire che la ISO/IEC 27001, con particolare riferimento alla lista dei controlli, è il minimo del buon senso.
 
 
 
Ciao
  Francesco


Oh la', dopo tanti post a vuoto, finalmente una lista di 'robe da fare' 
che non sia il solito parlare di aria fritta
E' gia' un bel passo avanti
Ma chi e' che lo stabilisce se la ISO/IEC 27001 e' SUFFICIENTE per 
proteggere un sistema di quel tipo?

 proteggere un sistema di quel tipo?
 
Mi sa che non conosci il funzionamento di quella normativa.
Ti consiglio di darci una letta per capire che la tua domanda non ha molto senso.
 
Ciao
   Francesci

RobertoA wrote on 11/08/17 08:13:

Documentato. E anche quelle "protette" (con l'obsoleto DES) sono state decifrate 
in 12 secondi, basta usare John the Ripper.


Ho dato una letta, mooolto rapidamente
Perche' dici che la domanda "chi e' che stabilisce se la ISO 27001:2013 
e' SUFFICIENTE per quel tipo di servizio? "  non ha molto senso?
 

RobertoA wrote on 11/08/17 09:12:

Perdonami, ma se vuoi parlare di questi argomenti e parti da zero, almeno cerca 
qualche articolo invece di fare commenti poco utili.
 
Questo è il punto di partenza di chi ha messo online il materiale, dopo che un 
altro (Evariste Gal0is *inascoltato*) li aveva già avvertiti in precedenza: 
https://twitter.com/r0gue_0
 
 
Poi un paio di analisi:
http://blog.intothesymmetry.com/2017/08/analisi-dei-dump-di-rousseau-movimento.html
 
 
https://www.davidpuente.it/blog/2017/08/10/domande-risposte-sullhackeraggio-di-rousseau-tra-voti-certificati-reati/
 
 
 
Ecco ora puoi avere un quadro chiaro, tutto molto facilmente trovabile.
Inoltre il Garante Privacy vuole vederci chiaro. Speriamo.
 
Gabriele

 e' SUFFICIENTE per quel tipo di servizio? "  non ha molto senso?
 
Perché quella normativa ti fornisce gli strumenti per determinare:
1) qual'è il livello di rischio a cui sei soggetto e 
2) quali siano le contromisure adatte da adottare
3) rendere noto in modo sicuro il tuo livello di sicurezza
 
Esiste anche il framework di NIST per fare la stessa cosa ma io preferisco lo standard ISO, probabilmente per una questione di forma mentis acquisita.
 
Ciao
  Francesco
 
Ciao
  Francesco


Certamente, ma se un giornalista inesperto parla di SQL-injection, e' 
difficile che se lo sia inventato. Trattandosi di un fatto penalmente 
rilevante, e' altrettanto difficile che non abbia verificato le fonti. 
Se poi i giornalisti sono due, su due distinti quotidiani autorevoli, e' 
improbabile che abbiano pestato insieme la stessa merda. Si puo' solo 
dedurre che abbiano attinto e verificato la stessa fonte.
 
Si aggiunga il fatto che oggi repubblica ha anche diffuso la notizia che 
il garante per la privacy ha iniziato un'indagine a carico di Casaleggio 
e Associati. Segno che potenzialmente, in merito al trattamento dei 
dati, ci deve aver visto un reato.

 
Sei fuso?
Lo sapra' chi ha progettato la piattaforma Rousseau, come faccio a 
saperlo io? Io so di casa mia.


forse perché insisti a chiedere la fonte?

 E' sempre e solo una questione di risorse impiegate dalle due parti.
 
non sono mica d'accordo. neanche sull'esempio.
 
intanto mi riferivo prima di tutto alle barriere fisiche. se devo 
proteggere la sala server la allestirò in una struttura adeguata, come ad 
esempio un bunker con accessi blindati. capisco che sia sempre una 
questione di risorse impiegate, ma a quel punto ho facoltà anche alzare 
l'asticella oltre quello che un eventuale malintenzionato è disposto a 
rischiare. 
 
 
 

 rischiare.
 
Esattamente: è una gara di risorse.
Il punto è che non esiste una sicurezza assoluta ma solo relativa al valore delle informazioni protette.
 
Esiste anche il principio della negazione all'accesso mediante distruzione ma è un altro film
 
Ciao
 


E allora pensi male
Non avevo visto la tua risposta

 no' ?
 
Guarda, intanto "normalmente" chiunque sia titolare della "custodia
dei dati" (non so se questo e' il termine tecnico) dei propri clienti
dovrebbe cifrare questi dati sul db (tutti i dati, non solo le 
password). Per quanto ne so io c'erano delle disposizioni in tal
senso anche prima che entrasse in vigore il famigerato decreto.
 
Inoltre ci sono livelli diversi di sicurezza nell'accesso
ai sistemi in rete. Ad esempio credo che un certo numero di banche 
ritengano sufficiente, come  sistema di protezione dei  dati dei propri 
clienti che agiscono tramite home banking, un sistema basato su OTP che 
ti viene spedita sul telefono cellulare. In pratica tu devi solo 
dimostrare che nel momento in cui fai un'operazione dispositiva tramite 
home banking hai in mano il tuo telefono cellulare (che magari devi aver 
registrato sul loro sito
quando hai chiesto di usare l'home banking).
 
Altre banche, per quanto ne so io, hanno dotato tutti i loro clienti
di appositi dispositivi hardware per implementare meccanismi per 
l'autenticazione in cui praticamente ogni volta che devi effetturare 
un'operazione dispositiva il server riconosce se tu hai in mano non il 
tuo telefono cellulare, ma il dispositivo elettronico che la banca ti ha 
fornito [dovrebbe funzionare in modo analogo a quello 
dell'autenticazione delle SIM dei cellulari quando si accede alla rete.
telefonica. Di seguito ti descrivo il funzionamento dell'autenticazione
(che è generale sia per GSM che UMTS e credo anche per i sistemi 
successivi, cambia solo il numero dei randomici e forse il tipo di 
cifratura). Se sostituisci al "telefono" il "software del client sul PC 
del cliente" e alla SIM del cellulare sostituisci il dispositivo 
elettronico fornito dalla banca, dovrebbe essere esattamente lo stesso
principio di funzionamento.
 
  Il telefono all'accensione invia l'IMSI (identificatore della SIM) al 
server, il server contatta gli opportuni nodi di rete (l'HLR su cui la 
SIM e' attestata) e restituisce dei numeri randomici al telefono il 
quale fa girare un algoritmo sulla SIM, il quale algoritmo ha come 
ingresso i randomici ricevuti dal server e una "secret", che e' una 
chiave che sta sulla SIM *e non può essere letta*. Il risultato
dell'algoritmo viene restituito al server il quale fa girare lo stesso 
algoritmo (o meglio, probabilmente chiede all'HLR di far girare lo 
stesso algoritmo) che era girato sul telefono. Il server (o meglio 
l'HLR) conosce la "secret" relativa all'IMSI che ha ricevuto in 
precedenza (quindi la secret non viaggia in rete ma e' contenuta
sia sul lato client che sul lato server. Non viaggiando in rete e'
difficile risalire ad essa anche se si intercettasse la comunicazione
tra client e server). Quindi il server riceve dal telefono il risultato
dell'algoritmo che il telefono ha fatto girare sulla SIM,
ha anche il risultato dell'algoritmo fatto girare in locale
(o meglio, il risultato dell'algoritmo che probabilmente l'HLR
ha fatto girare, con gli stessi randomici e la stessa "secret" che erano 
in ingresso all'algoritmo che ha girato sulla SIM). Se i risultati
sono uguali allora consente alla SIM di accedere
alla rete, altrimenti rifiuta il tentativo di connessione.
 
Da quando e' in vigore questo meccanismo (probabilmente gia' fine anni 
'90 o al massimo primi anni 2000) e' diventato piuttosto diffile
clonare le SIM (mentre in precedentza era relativamente semplice).
 
Se tu implementi un meccanismo di autenticazione simile ad esempio
per l'accesso ai dati bancari tramite home banking accessibile
solo mediante dispositivo hardware fornito
dalla banca ai propri clienti, probabilmente hai
uno dei sistemi "ma anche no".
 
Quando lavoravo in Ericsson, principalmente mi occupavo di sistemi
di autenticazione che replicavano via software, sistemi
di questo tipo (cioe' il client non era il telefono, ma un software 
scritto da noi e anche il server che contattava l'HLR era scritto da 
noi, anche se io mi occupavo piu' del lato client). All'epoca le SIM 
erano prevalentemente GSM, ma il principio funziona esattamente allo 
stesso modo anche nel caso UMTS (solo che nel caso GSM i randomici che 
andavano in ingresso all'algoritmo da far girare sulle SIM erano 2, 
mentre nel caso UMTS erano 5, se non ricordo male. Per quello che e' 
venuto dopo UMTS non so,perche' poi me ne sono andato da Ericsson e 
comunque avevamo
smesso di occuparci di questi sistemi anche prima che me ne andassi).
Ovviamente tutte le trasmissioni da client
a server e viceversa dovrebbero essere cifrate
(noi usavamo cifratura asimmetrica RSA con chiave pubblica
per la spedizione dell'IMSI e
cifrature simmetriche TDES per le altre spedizioni, pero' immagino che 
ora ci saranno sistemi piu' evoluti).
 
Ciao,
Marco.
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 
 

Si può sempre trovare una vulnerabilità nei comportamenti umani (phising, social engineering, etc.). 
Oppure, se hai tanti tanti soldi, inserire una backdoor nell'hardware come faceva la NSA


il responsabile ed eventualmente l'ente certificatore stabiliscono se 
l'attività rientra nel campo di applicazione della norma. se rientra, è 
sufficiente.


La certificazione fornisce una conferma del fatto che le procedure 
adottate sono conformi ai dettami della 27001:2013
Ritornando all'esempio del sistema Rousseau, supponiamo fosse stato 
certificato ISO 27001:2013
Bon, chi lo dice che tali procedure sono 'sufficienti' a proteggere il 
sistema destinato a fare quelle operazioni?
In sostanza, chi e' che decide che 'basta' seguire quella normativa?
(oppure una qualsiasi altra, il ragionamento e' lo stesso)
 

 proteggere il sistema destinato a fare quelle operazioni?
 
forse sei distratto ma a questa domanda ho già risposto. quella norma 
(oppure una  qualsiasi altra, il ragionamento è lo stesso) definisce il 
suo campo di applicazione.
 
detto questo: il sistema rousseau è stato bucato grazie ad una stupida 
vulnerabilità applicativa che anche il più superficiale degli assesment 
avrebbe evidenziato, inoltre al suo interno sono state trovate password 
criptate con un algoritmo (des) non conforme agli standard odierni. 
quindi di che stiamo parlando? è come se uno si rompesse il grugno contro 
il parabrezza perché non porta le cinture, e alla banale constatazione 
che il danno è dovuto all'assenza di cinture rispondesse: "chi lo dice 
che le cinture sono sufficienti a proteggere il mio grugno?". 


Il codice della strada IMPONE l'uso delle cinture di sicurezza
Che siano sufficienti a proteggere il grugno, non lo dice nessuno
Il paragone col sistema Rousseau pero' e' calzante
Nel caso della guida auto e' il codice della strada che impone l'uso 
delle cinture di sicurezza e quindi stabilisce un limite minimo alle 
procedure/dispositivi da adottare per guidare un'auto
Nel caso di Rousseau, chi e' che impone le misure minime di sicurezza e 
quali sono queste misure minime?
Nel senso, esiste una qualche autorita' che IMPONE delle misure minime 
oppure ognuno fa da se' e quindi si rientra nel "..io speriamo che me la 
cavo.." ?

 Marco.
 
Ciao
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 (oppure una qualsiasi altra, il ragionamento e' lo stesso)
 
Seguire la normativa ti rende "compliant", per come la vedo io la 
sicurezza e' altro (e di piu').
Purtroppo vedo diverse $Aziende che stanno puntando ad essere 
"Compliant" con il GDPR, piuttosto che ragionare seriamente di 
"Security", ma almeno per essere compatibili tutta una serie di "buone 
norme" le dovranno adottare, come ad esempio la distribuzione delle 
patch che avrebbe impedito la diffusione su cosi' larga scala di 
WannaCry, o come una definizione chiara ed univoca dei ruoli e delle 
responsabilità nel trattamento dei dati ...
 
Sia chiaro, non vedo il GDPR come "la Soluzione", ma come un passo nella 
giusta direzione.
Anche il maNnaGger piu' "de coccio" (e ne ho visti) che considera le 
spese per la security inutili perche' "non e' mai successo finora" 
dovra' muoversi.  :)


 di sicurezza e quali sono queste misure minime?
 
qui interviene per adesso il garante della privacy, mentre dal prossimo 
anno entrerà in vigore il regolamento europeo in materia di protezione 
dei dati personali.

"Il codice della strada IMPONE l'uso delle cinture di sicurezza. Che siano sufficienti a proteggere il grugno, non lo dice nessuno"
 
Dipende che intendi per "sufficienti". Se per sufficienti intendi che rispettano certi parametri di costruzione alfine di ridurre significativamente  (e.g. secondo i cari studi/statistiche fatti da 50 anni a questa parte), le cinture di sicurezza sono "sufficienti" eccome. Ovvio che non ti proteggono da un bazooka. D'altronde a tutti piacerebbe avere un sistema di sicurezza con efficacia al 100%: una bolla attorno al veicolo che lo protegga da TUTTO. Non lo hanno ancora inventato.
 

 cavo.." ?
 
No, esiste il garante che sanziona chi non protegge i dati in relazione 
al rischio esistente.
Il gestore della piattaforma rousseau, in base ai suoi criteri di 
valutazione, dodra' adottare le misure necessarie.
Esiste una pletora di Security Advisory che aiutano a scovare le 
vulnerabilita', ma la responsabilita' dell'implementazione e' comunque a 
carico del gestore. Chiaro che se non sa fare il suo mestiere, ovvero 
prevenire le vulnerabilita', sara' soggetto alle sanzioni del garante.
 
Il garante fornisce una serie di linee guida orientate alla protezione 
dei dati in base alla loro qualita' e rischio esistente, ma non fornisce 
elementi per pararsi il culo: i cosiddetti alibi.
 
In conclusione, se il gestore della piattaforma rousseau valuta che, 
date le sue conoscenze ed i soldi che ci vuole investire, non riuscira' 
a proteggere i dati dalle possibili violazioni, dovra' semplicemente 
esimersi dal compito di trattare i dati.
 
 

 [SI]  [NO]
 
direi di no, ma non ho capito cosa ha a che fare con il discorso.

 
 
"ngw"  ha scritto nel messaggio news:om9sjd$7ki$1...@gioia.aioe.org...
 
<State seguendo il disastro dei 5Stelle, che dopo essersi fatti bucare la
 
hanno bucato anche il sito del pentagono e della nasa se è per questo.
E anche lì terroristi cinesi, cioè comunisti, come quelli del PD che hanno 
commissionato e pagato l'hackeraggio. 
 


Comunisti nel PD non ce ne sono piu', ci sono rimasti solo i democristiani.

 commissionato e pagato l'hackeraggio.
 
"Quelli del PD"... sempre loro.

 suo campo di applicazione.
 
Perdonami ma credo che tu conosca poco l'ambito in questione: la normativa tecnica di cui stiamo parlando permette di evidenziare i rischi e valutare le contromisure adatte in base agli stessi.
 
Inoltre ti costringe a rendere pubblico il tuo livello di security: una cosa del genere è ampiamente sufficiente per qualunque sistema civile.
 
Ciao
  Francesco


Verissimo.
Fatto sta'che se chiami un ente certificatore, non e' che si mette a 
smanettare per rendere il tuo sistema conforme alla normativa, ben che 
vada ti rilascia il certificato oppure, una volta rilevate le 
vulnerabilita' se ci sono, ti dice come afforntare il problema.
Poi ci sara' anche l'ente che ti fornisce la consulenza necessaria per 
l'implementazione, ovvero fa al posto tuo cio' che serve per rendere il 
sistema sicuro e conforme.
 

 esimersi dal compito di trattare i dati.
 
Premesso che reputo la tua opzione la migliore, vedo altre opzioni:
 
- affidare il lavoro a chi lo sappia fare (o che se ne accolli il 
rischio), in pratica una "fase 2" della tua opzione
 
- farlo lo stesso a rischio di (meritate) legnate in caso di violazioni


 - farlo lo stesso a rischio di (meritate) legnate in caso di violazioni
 
Credo che questa sia l'opzione scelta, anche se si son viste le 
violazioni ma non ancora le doverose legnate.
 

 violazioni ma non ancora le doverose legnate.
 
Ancora non e' in vigore, dall'atmosfera che respiro "in certi ambienti" 
credo che qualche legnata esemplare, almeno agli inizi, ci sara'.
Io mi auguro che ci sia un certo "rigore" anche dopo, ma chi lo sa?
Scommettiamo una birra?


 Scommettiamo una birra?
 
Non scommetto per indole, ma se verranno impartite le meritate legnate, 
una birra te la offro volentieri, unilateralmente.