Newsgroup: it.lavoro.informatica
Titolo: Security!

Ho un' ADSL Fastweb e un email address di fastweb che uso anche per lavoro.
A quanto pare il server di email di fastweb e' finito in piu' di una Black
List.
In questo modo non so mai se le email che spedisco arrivano o meno...
E in alcuni casi mi tocca mandare email con l'indirizzo che uso anche qui
sopra, presentandomi al cliente come "aritopogigio"
Per la serie: le aziende ci fanno crescere (aritopogigio2 invece no).
Vorrei fondare un comitato per l'abolizione di tutti quelli che si
occupano di security :-) 
Mi pare che i danni derivanti dall'eccesso di security siano attualmente
piu' fastidiosi di quelli derivanti dall'infrangimento di essa
(sicuramente maggiori di quelli derivanti dagli spammer del viagra).
Altro esempio:
ultimamente pare che quando ci si collega ai server aziendali, i
cosiddetti "consulenti" non possano piu' navigare su internet (per
collegarsi ai server bisogna andare in vpn e nelle ultime settimane pare
che abbiano cambiato la policy aziendale in modo che quando e' attiva la
vpn non puoi fare una mazza. Fino a 2-3 settimane fa si riusciva ad andare
su internet anche quando era attiva la VPN). Poiche' chi e' esterno non
puo' avere un'email aziendale del cliente finale, quando uno e' collegato
in vpn non puo' leggere la propria email, nemmeno se ne ha una della
propria azienda.
Risultato:
"Gigi il programmatore" arriva la mattina alle 9.00. 
Alle 9.10 legge le email (prima di andare in vpn) ed eventualmente
risponde.
Alle 9.30 e' pronto per andare sui server (ha attivato la vpn)
alle 13.00 stacca la VPN per rileggere le email.
Legge una email spedita alle 10.15: e' una email del PM che diceva:
"stamattina alle 11.30 abbiamo una riunione perche' hanno cambiato i wsdl
dei WS da chiamare"
alle 13.30 capisci che ttutto il lavoro fatto dalle 9.30 alle 13.00 (sui
vecchi wsdl) e' da buttare
Risultato: "'ntu u culu alla security!"  (se si scrive cosi')
Ciao,
Marco.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Marco.
Ciao
M.
-- 
Nessun Bit e' stato maltrattato o ucciso
per scrivere questo messaggio
http://www.qtp.it/Gallery/profile.php?uid=2311

 (sicuramente maggiori di quelli derivanti dagli spammer del viagra).
[CUT]
Non sai di cosa parli, evidentemente.
Ti invito a leggere it.news.net-abuse per imparare chi sono i criminali 
organizzati dietro lo spam "farmaceutico", vedrai che poi cambi idea al volo!
ciao
Gabriele

 sopra, presentandomi al cliente come "aritopogigio"
questo workaround non l'ho capito. comunque anche google offre
aggratis un server di posta più affidabile, se deve essere una
questione di soldi (anche se io, da informatico pro, un dominiuccio me
lo farei eh...)

 Quanto mi costa una mancata comunicazione come quella di cui sopra?
Ma tu non sei mica della sicurezza. Loro ne sanno piu' di te!


 organizzati dietro lo spam "farmaceutico", vedrai che poi cambi idea al volo!
Leggero'. Pubblicita' del viagra me ne arriva parecchia, specialmente
all'email che uso qui "senza precauzioni" (eh.. lo so. L'attivita'
sessuale richiederebbe "precauzioni"). Al momento non mmi ha creato tutti
questi danni.
Ciao,
Marco


 lo farei eh...)
Sai com'e'... fino ad ora un'email per la quale pagavo, pensavo che fosse
sufficiente. 
Poi il dominio non mi e' mai interessato piu' di tanto perche' per la
tipologia di clienti con cui ho a che fare fastweb e' un fornitore
affidabile (che sia infestato da spam o meno), io invece non sono ne'
potro' mai essere un fornitore affidabile (con o senza dominio) per cui mi
devo sempre presentare con l'intermediario (che anche lui come
affidabilita'...).
Ultimamente poi le prospettive di lavoro hanno visibilita' circa nulla e
questo invoglia poco. Piu' avanti vedremo...


 questi danni.
Intendo dire che purtroppo le persone pensano che lo spam sia solo un 
leggero fastidio. Ma se conoscessero i numeri in ballo e sapessero che 
dietro le botnet e quindi i furti di credenziali e le pilloline ci sono 
bande criminali dedite al riciclaggio di denaro sporco...
OK detto ciò, fammi sapere se per caso Fastweb si degnerà di sistemare il 
problema dei suoi server.
ciao
Gabriele

 List.
eh eh eh... Da oggi la rinomineranno in Fastspam ;-)

 conto di Tizio come sviluppatore o funzionale esterno in time&buy?
Per non dover cambiare e-mail quando cambia connettività, ad esempio.
Per presentarsi in modo considerato più professionale?
Bastano 12 euro all'anno con Tophost eh!
ciao
Gabriele

 Bastano 12 euro all'anno con Tophost eh!
Se avessi pensato che potesse servire a qualcosa lo avrei fatto anche se
costava 300 invece che 12. Non considerandolo utile non l'avrei fatto
nemmeno se me lo regalavano.
Ciao,
Marco


 Per farci cosa
niente, niente. fai come se non avessi scritto nulla.

 problema dei suoi server.
vedremo.
Al momento non sono molto ottimista.


 Loro ne sanno piu' di te!
Avranno studiato a Lugano!   :)


 affidabile (che sia infestato da spam o meno),
"infestante", non "infestato", e' questo che lo porta a popolare le 
blacklists ...


 eh eh eh... Da oggi la rinomineranno in Fastspam ;-)
"fessweb"
Gia' da tempo.
L'altra e' "Telecomica"...


 Da chi ?
la mia era una valutazione personale, lungi da me turbare il
nichilismo di qualcuno.

 Esiste GMail...
la posta di dominio di google fino a (mi pare) 15 caselle postali con
quasi tutti gli strumenti di gmail è gratis.

 
sono d'accordo. I provider si cambiano, ma la mail del cuore resta
sempre la stessa.
Meglio usare gmail, yahoo, libero, msn, ma in versione free.
Io ho usato yahoo per anni, e nello stesso periodo ho cambiato una
infinità di provider, da cesky telekom, a T-Mobile Repubblica Ceca, a
orange spagna, tiscali italia, infostrada, di tutto e di più, ma la mia
mail è stata sempre la stessa.
Successivamente ho scoperto che gmail offriva il supporto imap, e
quindi ho abbandonato yahoo all'istante. Mo' yahoo la leggo pure in
imap tramite un accrocchio in java, però non è più la mia mail
principale. E comunque, con Anroid la mail di google purtroppo è
d'obbligo.
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 come se utilizzasse il campo "reply to"
quello che non ho capito è cosa c'azzecca l'indirizzo mittente con il 
server da cui invia la posta. persino dalla webmail di gmail si possono 
inviare messaggi con qualsivoglia mittente (basta sia reale e confermato).

 nichilismo di qualcuno.
A parte che nel caso specifico la risposta non era a te, ma visto che
anche tu avevi scritto qualcosa di simile rispondo anche a te.
Io semplicemente mi attengo alla realta'. Se dovessi vendere qualcosa a
qualcuno (compreso me stesso) avresti ragione, ma visto che, come dice
John Smith, in questo mondo non mi e' consentito...


 John Smith, in questo mondo non mi e' consentito...
su questo presunto pragmatismo ci sarebbe da discutere. tu la pensi
così, secondo la mia logica inverti causa e effetto. l'avversione a
darsi una adeguata identità in rete è una delle cause per cui non ti
vendi come informatico, certamente non l'unica però è una causa.

 Meglio usare gmail, yahoo, libero, msn, ma in versione free.
io uso 
web.de
 e 
freenet.de
 :-) (ma anche quest'ultimo mi ha dato dei
problemi [quando sono venuto a lavorare qui avevo scelto 
freenet.de
 per
ricevere/inviare email di lavoro], ma i problemi in genere erano inversi:
quando vedono una email che proviene da 
posteitaliane.it
 o 
poste.it
 o
simili la dichiarano immediatamente spam e quindi non mi arriva! Almeno
questo accadeva un paio di anni fa. Poi hanno anche modificato il loro
server [ora pare fatto con qualche CMS o simili], dal mio punto di vista
"peggiorandolo" non poco rispetto a come era prima[subito dopo che avevano
apportato le modifiche era praticamente inutilizzabile], per cui passai a
usare fastweb (che comunque avevo anche prima, ma non la usavo in modo
"pesante")senza tanti rimpianti [finche' funzionava])


 Marco.
Ciao


 "Capitto mi hai!"  (cit.)
Mica tanto.
Se io so che il mio provider è probabilmente finito in una black list che
i suoi sistemi aziendali potrebbero leggere (nel senso di bloccare quelli
che sono il lista) che senso  ha andare a vedere i server ?
In ogni caso le due black list dove fastweb era (e probabilmente e'
ancora) andato a finire sono quella consultabile all'indirizzo
http://www.uceprotect.net
prima
e quella consultabili all'indirizzo
http://www.spamcop.net/
poi.
Mi dicono che nella prima ci fosse finito anche Eutelia
Aggiornamento sui risultati dell'azione di bloccaggio intrapresa:
Inizialmente, quando avevo segnalato che le mail che avevo spedito erano
"arimbarzate" e dopo aver verificato che nemmeno il loro commercialista
li poteva piu' contattare per email (essendo Fastweb anche il
commercialista), le aziende con cui ho a che fare (o almeno una di esse)
avevano detto che non avrebbero piu' letto le suddette black list (o
meglio, solo la prima, perche' ancora non ero finito nella seconda).
Poi ho segnalato di essere finito anche nella seconda e ora mi dicono di
avermi rimesso in white list (non so se ignorando tutto o se piu'
semplicemente, avendomi messo in white list pur comparendo nella black).
In ogni caso mi dicevano anche quelli di queste aziende che secondo loro
non ha molto senso bloccare uno o piu' provider interi per un problema di
eventuale spam.
E personalmente concordo al 100% (anzi, se questi che mettono in black
list spacciano il loro servizio come "affidabile" e magari si fanno anche
pagare per questo, personalmente sarei per far pagare a loro l'eventuale
lavoro di estrazione dei singoli dalle black list oltre che eventuali
danni derivanti da "mancata comunicazione").
Ciao,
Marco


 danni derivanti da "mancata comunicazione").
Perché prima di sentenziare non ti informi? SpamCop non si fa pagare 
affatto, se tu avessi cliccato sui link che ti avevo fornito, avresti letto 
chiaramente le motivazioni del blocco e pure le spiegazione per la rimozione.
Se quei cazzoni di Fastweb se ne fregano è con loro che ti devi lamentare, 
non con chi cerca di limitare lo spam proveniente da reti piene di spammer e 
clienti bucati.
Su internet ci sono delle regole e paradossalmente nel contratto che tu 
firmi col provider queste sono previste, ma il primo a non rispettarle è il 
provider stesso!
ciao
Gabriele

 provider stesso!
Questa non e' una novita' in nessun tipo di contratto, almeno in Italia.
Ciao,
Marco.


 nulla).
Ormai qualunque gestore bancario Italiano impone l'uso di password
complesse, cosa che è un obbligo di legge.
Ciao
  Francesco

 complesse, cosa che è un obbligo di legge.
Luogo Roma:
Data qualche giorno non meglio precisato dell'estate del 2008 (giugno o
luglio)
Riunione che coinvolge  gente che si occupa di sistemi bancari come core
business (nel senso che questa gente scrive prevalentemente software che
poi sara' utilizzato per l'home banking o simili)
pinco propone: per le operazioni dispositive facciamo autenticare gli
utenti con il loro telefono cellulare usato piu' o meno come se fosse una
smartcard in modo tale che si assume che chi si autentica e'
effetticamente 
quello che ha in mano il cellulare (un po' come se si ammettono operazioni
dispositive con il bancomat si assume che chi accede abbia il bancomat in
mano. Poi se il bancomat non e' il suo, amen)
pallino risponde:
eh.. ma se tu dai la possibilita' all'utente di inserire i propri dati
(tra cui il numero di cellulare) via web e gli dai la possibilita' di
cambiare il numero di cellulare associato al conto sempre via web, poi
accade che se l'utente "pippesio" mette come password "pippo", io posso
sempre craccare la password di "pippesio" e mettere il mio cellulare
associato al suo conto, in modo tale che poi io faccio l'autenticazione
con il mio cellulare e per il sistema risulto essere lui (in quanto io ho
in mano il cellulare che risulta associato al conto).
Risultato: le operazioni dispositive on line su quei sistemi sono
consentite solo ed esclusivamente tramite l'uso di smart card prelevate
allo sportello che ti devi portare dietro se vuoi poter fare tali
operazioni.
Puo' darsi che negli ultimi due anni sia cambiato qualcosa.


 Marco


 E' totalmente assurdo.
Mai quanto non fornire un servizio ai tuoi clienti (paganti) perche' le 
caselle di posta sono piene di spam!!!!
A proposito di "security", DOS vuol dire anche Denial Of Service.
Io ti sollecito un sistema finche' quello non sfrutta tante risorse da 
diventare non piu' fruibile per te.
Nello scenario che ipotizzi semplicemente non potremmo usare piu' le 
caselle di posta perche' sarebbero "floodate".


 "pubblico" e che quindi devono pagare tutti.
Hai dimenticato l'inondazione e le cavallette.
Se invece di farti tutte queste pippe mentali cambiassi fornitore 
avresti gia' risolto il problema...


 partono almeno 2 di spam. Ricevere spam costa.
Se è per questo, anche spedire spam costa. E la soluzione più economica
ed efficace è quando ti affidi a una botnet di computer zombificati.
Avevo letto anche (non mi va di cercare le fonti ora, ma mi fido, fino
alla prova contraria) che quella sia la fonte della più grossa
percentuale di spam che gira.
Secondo me i provider dovrebbero "segare" quelli che usano il computer a
cazzo di cane ("Dici che sul mio PC ci sono virus? E chissenefrega,
tanto non mi danno fatidio io ci posso scaricare la musica e guardare i
miei pornazzi"). Per il tuo computer viene scoperto che è infettato e
che sta sparando spam? OK, fuori dalle palle e dalla rete finché non lo
avrai sistemato e portato dal tuo fornitore di connettività che lo
controlla (a tue spese).

 pagamenti e' un danno che coinvolge
[CUT]
E che fai se il commercialista che deve inviare le comunicazioni telematiche 
non lo può fare perché  c'è un guasto alla centrale Telecom di zona?
Il tuo non è un esempio calzante.
Il principio di base è che le email non sono un servizio garantito, che i 
server sono beni privati e di conseguenza ognuno sul proprio server fa 
quello che vuole.
Con la precisazione però che ci sono delle best practice da seguire e per 
combattere lo spam è noto che ci sono delle blacklist basate su IP. Se gli 
ISP spendessero più soldi per il personale tecnico e gli abuse-desk e meno 
per le pubblicità televisive, tu non avresti di che lamentarti.
Quindi ripeto: incazzati con Fastweb e non con chi è stufo di ricevere merda 
dalle loro reti !
ciao
Gabriele

 Gabriele
Ciao.


 lavora):
Marco il problema è semplice: tu saresti già fuori come consulente da
noi. Punto.
Il resto scusa ma sono solo cavolate.
Ciao
  Francesco

 dalle loro reti !
A parte che io non ce l'ho con questi (e nemmeno con spamcop finche' e'
gratuito) ce l'ho "preventivamente" (sai com'e', ci sono anche le guerre
preventive) con l'ipotesi che si sviluppi un business di gente che
potrebbe farsi pagare per fornire un servizio di blocco dello spam basato
sul blocco dell'ip server utilizzato da spammer e non.
Per il momento quelli che conosco io e che sono stufi di ricevere merda
dalle reti dei server che spammano, hanno semplicemente deciso che e'
meglio ricevere merda da quelle reti piuttosto che non ricevere niente
(e personalmente concordo al 100%).
ciao
Marco


 avresti gia' risolto il problema...
Guarda che a me personalmente, bloccare o non bloccare, non crei nessun
danno.
Ciao,
Marco


 noi. Punto.
Punto un par di ciufoli.
Non e' mica che quello che ho scritto qui l'ho scritto per farmi assumere
da qualcuno (per altro dal mio punto di vista totalmente digiuno dei
benche' minimo concetti, informatici e non, almeno da quello che posso
leggere)
Ciao
Marco


 leggere)
Marco tu stai semplicemente dimostrando, a mio parere per l'ennesima
volta, di non conoscere cose che per un informatico sono la base, non
volendo minimamente ascoltare le spiegazioni di chi il problema lo
conosce.
Pace chi ne paga le conseguenze alla fine sei tu, non noi.
Ciao
  Francesco

 conosce.
Infatti ho deciso che non cerco più di spiegargli come stanno le cose, non 
c'è peggior sordo...
Molto grave però che un informatico non capisca la dimensione del problema!
ciao
Gabriele

 Molto grave però che un informatico non capisca la dimensione del problema!
"Killfile is your friend" (cit.)
Io già da tempo ho messo li una decina dei top poster onniscenti di
questo gruppo e così evito di perdere tempo. L'unico inconveniente è
seguire il flusi di alcuni thread, ma penso che sia un picolissimo
sacrificio rispetto al beneficio. ;-)

 Marco


 sacrificio rispetto al beneficio. ;-)
Ma cosi' facendo ti perderai il post in cui si trova la soluzione a 
tutti i problemi dell'informatica, la cura del cancro, i misteri di 
Fatima e, sopratutto, la cura per la calvizie!!!!
Si evince il tono umoristico o devo mettere la faccina  :)
Scheri a parte, io qui' ho tolto il 90% di rumore con un KF composto di 
2 entry.   :)


 2 entry.   :)
Scommettiamo che i tuoi plonkati siano un sottoinsieme dei miei? :-D
Però, impegnati, si può fare di più. :-D

 Però, impegnati, si può fare di più. :-D
Vinci di sicuro, dimmi dove ti devo spedire la birra.  :)


 coinvolgevano anche il pagamento delle tasse!!!!!
Ma non sono danni che toccano me, se non in misura minima!
Se una mia email non arriva io prima o poi me ne accorgo e in qualche modo
rimedio, in genere in tempo utile. Sai com'e'... sono del settore, anche
se non della security. Il commercialista non so se rimedia in tempo utile,
ammesso che si accorga del problema.
Scusa se fai esplodere una bomba atomica a Hiroshima che devo dire che non
hai fatto nessun danno perche' gli effetti dell'esplosione non mi toccano ?
Sempre un danno rimane.


 List.
Per chi volesse saperne di piu', it.news.net-abuse, il 3d si chiama 
"fastweb & spamcop"


 fatto alla carlona".
Ma si torna al fatto che non hai minimamente la qualifica per poter 
definire questo lavoro.
Ti aggiungo solo che in FW non controllino quello che esce dai loro 
server, pero' si permettono di filtrare quello che entra.
Bella prova di professionalita' questa eh?


 Bella prova di professionalita' questa eh?
Questo mi pare un po' come quello che mi dicono quelli che votano
Berlusconi: "gli altri sono peggio!"
Io non lo metto in dubbio (e non ho dubbi a credere che la
professionalita' di quelli che lasciano uscire spam dai loro server sia
bassa, molto bassa). Ma a quanto pare c'e' qualcuno (compreso forse chi
approva le norme legali) che ha difficolta' a credere che bloccare tutto
il provider indica una mancanza di professionalita' quasi pari a quella. 
Anche se non sono qualificato, sinceramente mi sento di dire che bloccare
tutto il provider e' una soluzione che avrei potuto trovare anch'io.
Figurati quanto sono professionali quelli che hanno trovato una soluzione
uguale a quella che poteva essere pensata da uno che non ne sa nulla.
 
Ciao


 Proprio di questi giorni e' il 3d "fastweb & spamcop".
Letto.
Mi pare che la risposta sia stata "whitlistare" perche' "non e' un bot".
Che direi che e' quello che penso anch'io.
Nel thread poi si son messi a parlare dei venditori al telefono.


 Ciao


 Che direi che e' quello che penso anch'io.
Assolutamente diverso da quello che hai detto sinora.
Ti sei scagliato *contro* le blacklist e adesso approvi una withelist 
che di fatto conferma la validita' dell'uso delle blacklist.
Se non blocchi nulla e' inutile una whitelist...


 Se non blocchi nulla e' inutile una whitelist...
Io ce l'ho con il "bloccare tutto", soprattutto se dovesse avvenire a
pagamento (che abbiamo detto che non e', almeno per ora) e che la
soluzione era bloccare solo gli spammer effettivi, poi che il bloccare
solo qualcuno lo realizzi con blacklist+whitelist o con altri mezzi mi
interessa ben poco.
Tra l'altro fino ad ora sia tu che anche altri avete detto che e' l'utente
che deve cambiare provider perche' altrimenti e' complice di riciclaggio
di denaro mafioso, mentre ora invece mettere in whitelist l'utente che
esce da un dato ip va bene, purche' si mantenga il resto in blacklist
(come se quell'utente che prima era un mafioso se non cambiava provider e
ora non lo e' piu' e puo' essere messo in whitelist)? 
Mah... 
Evidentemente spiegarmi non deve essere il mio forte.
Ciao,
Marco.


 Marco.


 Idem per i sottaceti.
si', ma se poi lo metti in whitelist (come secondo me e' giusto) togli
questa necessita' di cambiare provider.
Ciao,
Marco


 Marco


 Il contesto normativo dice che devi/puoi bloccare i server ?
Nessun contesto normativo, solo la buona e nota Netiquette che perfino i 
provider italiani fanno sottoscrivere ai propri clienti.
Oltre al diritto degli altri utilizzatori di Internet di rifiutare messaggi 
provenienti da reti abusate/abusabili/spammose.
Gabriele