Newsgroup: it.lavoro.informatica
Titolo: sicurezza informatica ?


Ciao,
Marco.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Mah... personalmente questo mi lascia molto perplesso:
Quasi in parallelo, leggi il thread su Stuxnet.
--
ale
http://ale.riolo.co.uk

 questo articolo e` stato inviato via web dal servizio gratuitohttp://
www.newsland.it/newssegnala
 gli abusi ad 
ab...@newsland.it
e' vero che la sicurezza informatica viene sistematicamente
trascurata. In italia credo sia praticamente inesistente, e credo che
i veri esperti di sicurezza siano una minuscola elite, se esistono..
pero' bisogna anche tener presente che intervistare un venditore di
sicurezza informatica sulla necessita' di investire maggiormente sulla
sicurezza informatica e come intervistare un contadini con ettari di
uliveti sui benefici dell'olio d'oliva..

 uliveti sui benefici dell'olio d'oliva..
A me in realta' lascia perplesso per quello che vedo qui.
Dove lavoro io, l' "ente" aziendale che la fa da padrone e' quello
denominato "sicurezza", dove "sicurezza" significa:
a) sigillare le porte per non far entrare quelli che non hanno il "secondo
badge", salvo che per il 90% del tempo le porte sono rotte e lasciano
entrare tutti (il "secondo badge, in quanto c'e' un badge per entrare nel
palazzo [dove pero' non ha sede solo questa azienda ma anche un ministero
e probabilmente anche altre aziende], poi arrivati al piano, serve un
secondo badge per entrare nelle stanze [tra l'altro solo le stanze di
questa azienda. Le stanze della "controllante" non sono "securizzate" da
"secondo badge"])
b) impedirti di lavorare ad esempio da remoto (prima, entrando in vpn si
poteva lavorare da remoto, ora le "poilcy" di sicurezza non lo consentono
piu')
c) impedirti di fare alcuni tipi di intervento (tipo una query in sola
lettura in certi DB) riservati solo ai DBA aziendali (2 in un'azienda di
250 persone tra interni ed esterni)
d) imporre vari livelli di "certificazione interna" del processo di
produzione, abbastanza inutili e costosi (proprio oggi ho assistito ad una
riunione in cui con nonchalance un tizio [anche se non della sicurezza
aziendale] ha preteso lo spostamento di circa 2 mesi della data di rilascio
perche' altrimenti il sistema non sarebbe conforme al "processo aziendale"
[non certificato]: un ottimo metodo per raccattare soldi senza fare una
mazza).
e) effettivamente ci hanno anche informato della necessita' di un test di
vulnerabilita' di un software svilupppato a giugno/luglio (e quindi sara'
necessario allocare soldi per quelli che faranno il test), solo che 
d.1) tale necessita' e' relativa, in quanto il sistema non e' aperto al
pubblico, ma e' esposto solo verso due altre macchine: una gestita
dall'azienda stessa che eseguira' il test di vulnerabilita' e un' altra
gestita dall'azienda "controllante" l'azienda precedente.
d.2) lo sviluppatore che ha scritto il software non e' piu' qui (e mi ha
scritto per email che ha iniziato a inviare cv all'estero)
d.3) l'informazione che dovesse essere eseguito un test di vulnerabilita'
e' arrivata a settembre, quando il sistema e' stato messo in produzione a
fine giugno (e si e' continuato a sviluppare alcune modifiche fino a fine
luglio)
In altre parole, a me la "sicurezza" pare uno dei soliti argomenti
all'italiana creato "ad hoc" per mantenere i soliti che spillano quattrini
senza muovere un dito.
Ciao,
Marco.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 


Il giorno Fri, 24 Sep 2010 17:40:54 +0200
aritop...@web.de
 (Marcoxxx) ha scritto:

Mega-Quotone.
Il problema, in due parole, è il seguente:
i requisiti della sicurezza sono 4 (mo' non me li ricordo).
Uno tra questi requisiti, la accessibilità del dato, non viene MAI
tenuto nella giusta considerazione. 
Gli altri tre, provo a ricordare:
- integrità (il dato non deve essere corrotto)
- riservatezza (non accessibile a tutti)
- l'altro non lo ricordo.
Ovviamente l'integrità non ha vie di mezzo, ma gli altri requisiti
dovrebbero essere bilanciati.
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 - l'altro non lo ricordo.
boh, in realtà pare che i requisiti siano solo tre:
http://www.sata-hts.com/certificazione-iso27001.php
e quella che io ho chiamato Accessibilità si chiama Disponibilità.


 i veri esperti di sicurezza siano una minuscola elite, se esistono..
tipo aranzulla?
http://dailymotion.virgilio.it/video/x4oxiu_come-proteggere-il-pc_tech
LOL

"4r4g0rn At Work" ha scritto nel messaggio 
news:i7ih8g$pio$1...@news.eternal-september.org...

Meglioo questa:
http://dailymotion.virgilio.it/video/x7lygg_sicurezza-pc-privati-parte-2_tech
che sta a legge senza capire na mazza... carina la fine dove parla delle 
porte che sarebbero un numero a 16 bit compreso tra 0 e 216 (si vede che 
sarà miope oppure non sa dire elevato bho.... :-)))  ossia 65535.
AIUTO! Però è carina, almeno.

 
aritopogig...@web.de
 (Marcoxxx) ha scritto:

non ripudio

 AIUTO! Però è carina, almeno.
Discreta manza :-)

 Mah... personalmente questo mi lascia molto perplesso:
sinceramente,cosa cazzo vuoi che ne capisca un russo di informatica?
Il governo russo negli anni dal 70 al 2000 ha speso come gli USA in ricerca 
informatica , e non ha ottenuto assolutamente nulla con i suoi cervelletti 
russi.
Poi su repubblica.....è solo uno spot occulto a quel programmetto che il suo 
antivirus 

 il suo antivirus 
va buo, repubblica sugli articoli che trattano di tecnologia a volte è
poco precisa.



A leggere wikipedia par piů vera la seconda...

 
sembrerebbe proprio di si. Non è il classico manager, ma uno che mangia
pane e tecnologia. Pare che si sia scritto l'antivirus da solo.
Dubito che esistano un signor macafee o un signor symantec che abbiano
scritto una sola riga di codice.... magari ai tempi c'era peter norton.



Infatti, chissà che fa ora...

 A 22 anni... sti cazzi.
Alt!
Nel resto del mondo si laureano tutti a 21 o 22 anni. La RI è un'eccezione.
-- 
ale
http://ale.riolo.co.uk
 

 A 22 anni... sti cazzi.
a parte che era un corso sponsirizzato dall'intelligence sovietica 
(questo per rispondere al simpatico adalgiso che dice "cosa vuoi che ne 
capisca un russo di informatica?", immagino che in merito alla 
crittografia a lui il kgb facesse un baffo) ma in urss l'universitŕ 
funzionava cosě: se c'avevi le palle potevi bruciare le tappe e fare il 
servizio militare da laureato negli ufficiali, se non c'avevi le palle 
ti buttavano fuori e facevi il militare nella truppa in qualche 
repubblica dove un fronte di guerra di repressione si trovava sempre. 
anzi, mi risulta che per i maschi le cose siano ancora piů o meno cosě.
diciamo che gli "stimoli" per finire i corsi universitari prima 
possibile non mancavano.

<Ma si! Infatti non è vero che nginx è stato scritto da un russo e non è
<vero che la maggior parte dei server web del pianeta terra si
<presentano come "powered by nginx".
puoi capire , la montagna che ha partorito il topolino!
Ed è gratis , quindi un unico prodotto che non ha neppure generato alcun 
utile!
Sai perchè è diffuso ? Perchè la russia ospita i siti dei terroristi e dei 
pedofili , senza controlli , basta che paghi .

 pedofili , senza controlli , basta che paghi .
hai una spiegazione per tutto, altro che informatico sei proprio un oracolo!


Scusa, ma il diploma lo prendi a 19 anni, metti che ti iscrivi subito subito 
all'uni, quella da 5 anni ovviamente, mi pare che facciano 24 anni no?

 anni no?
*massimo* cinque anni.


Cioč? Gli anni di uni non sono per l'appunto anni accademici, compresa la 
suddivisione del programma e la tabella degli esami?
Chiedo, eh, non avendola fatta...
In ogni caso ho qualche serio dubbio che per quel tipo di corsi il resto del 
mondo si laurea a 21 o 22 anni...

 del mondo si laurea a 21 o 22 anni...
nella gerontocratica scuola italiana è inconcepibile, ma in realtà se 
una mente è geniale è normale che sia superiore a quella dei suoi 
insegnanti, anche a 21 o 22 anni e specie in una materia scientifica 
come quella.
ti faccio poi un altro esempio pratico: mia moglie era già laureata 
all'estero, non essendo riconosciuto il titolo in italia ha intrapreso 
il percorso universitario per lauerarsi anche nel nostro paese; il fatto 
di avere una laurea straniera le ha permesso di avere convalidati circa 
metà degli esami e quasi tutti quelli del primo anno, quindi ha perso 
almeno un anno col freno a mano tirato perché non poteva mettersi 
avanti. in altre parole era tranquillamente in grado di ottenere lo 
stesso risultato (il massimo dei voti) molto prima dei tre anni formali 
del corso universitario.

 oracolo!
ma mi conosci????
io sono infatti un DBA ORACLE ! 

 ma mi conosci????
guarda, come averti davanti.

rootkit ha scritto:

Però di spalle  :D
G.

 A 22 anni... sti cazzi.
Niente di anormale, laurearsi a 22 anni. In molti Paesi si esce dalle 
superiori a 18 anni invece che a 19, e ad esempio in America ci si 
laurea in 4 anni.
Ciao,
Enrico il Pentolaio.

i requisiti della sicurezza sono 4 (mo' non me li ricordo).
A me veramente risultva che fossero almeno 6, ma quello che ho letto io in
proposito, magari e' un po' datato 
(
< 
http://www.cs.auckland.ac.nz/~pgut001/tutorial/
 >
< 
http://www.cypherpunks.to/~peter/T0_Intro.pdf
 >
):
Confidentiality: Protection from disclosure to unauthorised persons
Integrity: Maintaining data consistency
Authentication:Assurance of identity of person or originator of data
Non-repudiation: Originator of communications can’t deny it later
Availability: Legitimate users have access when they need it
Access control: Unauthorised users are kept out


 *massimo* cinque anni.
In Italia, quando mi sono iscritto io, era "minimo" 5 anni. 
Visto che anche se tu avessi voluto fare esami prima (tipo gli esami del
2. anno quando ancora eri iscritto al primo) non te li avrebbero fatti
fare (forse si sarebbe potuta chiedere qualche deroga ai regolamenti, non
so. Ma i "normali" regolamenti prevedevano che uno non potesse metterci
meno di 5 anni. All'epoca non c'era la triennale).


 del corso universitario.
Questo lo puoi fare anche in Italia, se prendi una seconda laurea e ti
convalidano gli esami della prima (ma in questo caso il tempo per la
laurea e' pari alla somma dei tempi per dare gli esami convalidati piu'
quello per dare gli esami "nuovi"). Ma se prendi la prima laurea non puoi
fare gli esami degli anni successivi quando sei ancora iscritto a quelli
precedenti (almeno ai miei tempi era cosi', anche se non sono sicuro che
in qualche modo non si potesse derogare [pero' non ho mai conosciuto
nessuno che abbia "derogato"]).


 meno di 5 anni. All'epoca non c'era la triennale).
è esattamente quello che sto dicendo io anche nell'altro messaggio. mia 
moglie aveva una buona metà di esami riconosciuti, avrebbe avuto tutti i 
mezzi per mettersi avanti ma non poteva. in russia/urss non è così.

 > meno di 5 anni. All'epoca non c'era la triennale).
Premesso che all'epoca non c'era la triennale è che se ci riuscivi a
farli (almeno a S.d.I. presso l'uni di Salerno) prima eri un genio
perchè era un complicato incastro tra
- propedeuticità
- distribuzione STOCA...stica degli appelli
- abilità a concordare gli orali subito dopo lo scritto perchè persino
a me che ero 3zo fuori corso è capitato di dover fare di fretta alcuni
orali di certi esami (chiamiamoli le "scartine") per poter iniziare
serenamente lo scritto di altri, avendo ben  presente la media finale.
Risultato: il massimo che potevi spiccicare per non pagare più tasse
era la tesi subito dopo l'ultimo esame prima della scadenza del 4°
anno. Non ho visto nessuno, pur bravissimo, che si è laureato prima
dei 4 canonici: anzi qualche perfezionista ha volentieri sforato di
più di un anno per avere la lode.

 no?
A parte il fatto che ci sono paesi dove la scuola superiore finisce prima 
(i.e. qui nel RU a 16 anni si può tranquillamente aver finito, anche se è 
raro che le università accettino 17enni, si aspettano che passino un anno in 
giro per il mondo, il cosiddetto gap year), in buona parte delle terre 
emerse buona parte dei corsi universitari dura 3 o 4 anni.
-- 
ale
http://ale.riolo.co.uk
 

 del mondo si laurea a 21 o 22 anni...
Ma infatti: è l'n-esima stupidaggine, che proviene dal solito personaggio.
Buona serata. Ciao.
---
none


È ovvio che se là le superiori finiscono a 16 anni e l'università dura 
tre anni, a 22 anni sono in dirittura d'arrivo.
Va be', grazie...
Se le elementari durassero 1,5 anni, e le medie inferiori durassero 3 
settimane, anche noi ci laureeremmo prima.
Ciao.
---
none

<Però di spalle  :D
ti vedo GAYo ! 

 A 22 anni... sti cazzi.
guarda che in russia a 21  anni sono tutti ingegneri!  Entrano a 18 e dura 
solo 3 anni , ed č semplice, come un istituto tecnico in europa.
Infatti anche la soubrette NATASCHA STEFANENKO  č ingegnere elettrotecnico, 
pensa un po'. 

 elettrotecnico, pensa un po'.
motivo per cui l'italia non riconosce il titolo russo di INGEGNERE in italia 
!
Hahahahaah!
Non lo sapevi , eh? 

 elettrotecnico, pensa un po'. 
Cos'è questo? Sessismo da due soldi? 
Pure Pompimara Carfagna è laureata. Pensa te. E anche Berlusconi
(nonostante la faccia di cretino che si porta appresso) è laureato in
giurisprudenza.


<Cos'è questo? Sessismo da due soldi?
<Pure Pompimara Carfagna è laureata.
infatti fa la ministra e usa la laurea.
la stefanenko fa l'ingegnere?
No!

 No!
si è allineata a quello che vuole il sistema dalle donne: che siano 
stupide e non necessarie
S.

 stupide e non necessarie
no, perchč il titolo di ingegnere russo non č riconosciuto da nessuno , qui 
al massimo sarebbero dei periti industriali . 

 qui al massimo sarebbero dei periti industriali .
Che sei la nuova fiamma del Trota?

 qui al massimo sarebbero dei periti industriali .
po' esse, ma la carfagna alla stefanenko manco le scarpe potrebbe 
allacciare.
se non erro fa parte di quel partito dove un esponente ha affermato che 
diventare un pezzo grosso facendo pompini non è esecrabile..
tu, come donna (ammettendo che tu lo sia), sei contenta? sei felice che 
le donne contino nel sistema solo in base a quanto la danno?
S. e non c'è limite al ridicolo

 infatti fa la ministra e usa la laurea.
Noi si pensava che avesse usato altro al posto della laurea. 


 nessuno , qui al massimo sarebbero dei periti industriali . 
Così come un titolo italiano probabilmente non è riconosciuto in Russia.
- C'e stata una riforma dei sistemi scolastici, nell'anno non mi
  ricordo quale, tra i vari paesi europei. La riunione si è svolta a
  Bologna, obiettivo dell'inconto era stabilire dei percorsi comuni tra
  le università europee, in modo da favorire riconoscimenti reciproci
  dei titoli.
- nella Russia/Ucraina DI OGGI, si pone un altro problema, che è quello
  dei titoli comprati. Avevo un collega Ucraino che comprò la laurea.
  Non me lo disse mai, ma io lo capì. Lui, mentre lavorava con me, a 23
  anni, all'improvviso si ritrovò con una laurea. Successivamente andò
  a lavorare a Monaco di Baviera, dove gli avevano detto: torna quando
  finisci gli studi.


 al massimo sarebbero dei periti industriali .
Burocratismi italici: il mondo e` grande e di cosa sia riconosciuto o
non riconosciuto in Italia se ne sbatte per lo piu`.

 non riconosciuto in Italia se ne sbatte per lo piu`.
Sono retaggi feudali, tu o io o chiunque altro dovremmo essere liberi
di fondare e/o gestire un'università, e chiunque dovrebbe poter
vendere diplomi di laurea se ci sono polli disponibili a comprarseli,
dovrebbe essere il mercato a stabilire il valore delle nostre
università e dei diplomi ottenutivi, non qualche burocrate statale.
--
ale
http://ale.riolo.co.uk

 più di un anno per avere la lode.
Io ho sforato di molto piu' di un anno, e la lode non l'ho comunque presa
(penso di essere uno dei pochi ad aver preso 110/110 ma senza lode), ma
personalmente non cercavo la lode. Avrei anche preso tutti 18 se me li
avessero dati... solo che spesso prima di darti 18 ti facevano tornare.
Allora dopo i primi anni ho smesso di "provare" a dare un esame e andavo
agli appelli solo quando ero piu' che sicuro di passare (e per la verita'
c'e' stato  comunque un esame che ho rischiato di non passare lo stesso,
anche se pensavo di avere studiato bene [Teoria dei Sistemi]. Per mia
fortuna sono accadute 2 cose positive per me: 
1)allo scritto ha considerato un mio errore come una distrazione [invece
avevo scritto una immane ca**ata, convinto di aver scritto una cosa giusta]
2) all'orale mi ha fatto una domanda piuttosto assurda a cui non ho saputo
un gra che' rispondere, ma poi quando gli ho chiesto quale fosse la
risposta si e' imbranato totalmente anche lui [in pratica non ha saputo
rispondere nemmeno lui] per cui mi ha cambiato la domanda, facendomene
un'altra forse ancora piu' assurda, ma alla quale sapevo rispodere bene
[anche perche' avevo visto che l'aveva fatta ad altri studenti in appelli
precedenti, a differenza della prima domanda]).
In ogni caso, quello che la gente pareva (e pare) non capire e' che per
studiare serve tempo. E se uno "studia di piu'" sicuramente impiega piu'
tempo di uno che studia poco. Per studiare poco non serve molto tempo.


 (cut)
Mah, guarda...se parliamo di sicurezza informatica, ho un po' di acidità
nel sistema digestivo che vorrei scaricare (scusatemi!). Personalmente
sono un programmatore paranoico per professione, e la cosa si propaga
anche nell'uso che faccio di computer a casa.
Questi giorni, però, mi è capitata una cosa così assurda che non ho mai
visto in quasi due decenni della mia vita professionale.
In pratica, un bodirentallaro mi manda da un cliente per fare il porting
di un'applicazione web scritta in Perl dai vecchi sistemi HP-UX a Linux.
Il codice - come al solito - aveva la documentazione pari a 2,5 nanobit
di testo, era scritto col fondoschiena, ecc, ecc, e fin qui nulla di nuovo.
Il fatto è che mi hanno chiesto di lavorare sul sistema remoto, via FTP
(attenzione: NON sftp), autenticarsi tramite n reverse proxy, inserendo
le solite credenziali d'accesso pià un codice numerico preso da una
chiavetta (tipo quelle che le banche danno per accesso ai conti
correnti). Non mi volevano dare l'account sul server remoto per testare
e debuggare via SSH, ma - secondo loro - avrei dovuto scaricare in
locale il codice, modificarlo (nel frattempo è caduta la connessione
FTP), riautenticarmi, spedire il codice, scaricare il file di log in
locale (se nel frattempo è caduta la connessione, dovrei anche
riautenticarmi), e avanti così, ad oltranza. Cigliegia sulla torta,
questi giorni avevano dei problemi di rete, e la velocità si avvicinava
ai mitici 30k dei modem analogici di 15 anni fa.
Ho cercato di riprodurre l'ambiente di deployment su una macchina
installata ad-hoc (mi hanno messo a disposizione un vecchio pentium 4
con ben 512M di RAM), ma senza le informazioni sulla configurazione e
con la rete che era quello che era era un compito difficile da fare in
breve tempo. Nel frattempo il "project manager" (lo dico in veneto:
MONAger) mostrava segni di impazienza e voleva che io tornasi a
"lavorare" (ma si può definere lavoro, quello?)) via FTP. Ho richiesto
un account SSH che non mi volevano dare e a quel punto ho spedito una
mail al bodirentallaro chiedendo l'interruzione consensuale del
contratto, ho raccolto le mie cose e me ne sono andato.
Ho retto ben 2.5 giornate lì, e già dopo 1.5 la mia pazienza era agli
sgoccioli.
Posso capire il discorso della sicurezza (vabbe', proviamo a lasciar
stare il discorso di FTP invece di SFTP), posso capire la paranoia ma
esiste un limite a tutto, porca p****na. :-(

 stare il discorso di FTP invece di SFTP), posso capire la paranoia ma
Se avevi SFTP potevano abilitarti anche SSH. Ma probabilmente i
sistemisti erano dei mentecatti e non avevano mai messo le mani su HP-
UX. O vedi ipotesi B sopra: non VOLEVANO farlo...


 Se avevi SFTP potevano abilitarti anche SSH. Ma probabilmente i
ftp, NON sftp...Per questo la cosa sulla "sicurezza" era ancora più
assurda...
