Newsgroup: it.lavoro.informatica
Titolo: [Storia di sicurezza] storia a lieto fine

[ANTEFATTO]
Ciň si riferisce al messaggio "[Storia di Sicurezza] e voi che fareste?" del 
30/11
[END]
Innanzitutto il capo non si era accorto di nulla. Oggi mi ha chiamato per 
sistemargli qualcosa e io ho deciso di proporgli un controllo gratuito sulla 
sicurezza. Dopo un paio d'ore gli ho detto che il sito aveva problemi di 
sicurezza e ci siamo messi d'accordo che gli dovrň risolvere il problema. 
Fortunatamente non mi ha visto come lo scassinatore ma semplicemente come 
chi gli ha fatto un favore.
Prima perň tocca ai problemi grafici del sito :) dopodichč sistemerň la 
sicurezza. Non ancora abbiamo pattuito la cifra. Speriamo non sia un 
problema.
Grazie a tutti coloro che mi hanno dato dei consigli.
Ciao
Purtroppo Anonimo 

Grazie a tutti coloro che mi hanno dato dei consigli.
Visto che gli devi "risolvere il problema", fatti firmare una
liberatoria secondo la quale casomai accadesse qualcosa dopo il tuo
intervento, sono tutti cazzetti loro.
Questo per evitare che se un giorno gli dovessero brasare comunque il
DB clienti per motivi legati alle problematiche che hai evidenziato o
per l'ultima vulnerabilita' in voga al momento, poi non possano dire
che non hai fatto bene il lavoro e che il danno e' potuto succedere
per colpa tua.
Saluti.
-- 
Rimetta  a posto  la  candela...

 per colpa tua.
Scusa, ma allora quanto dici dovrebbe valere per chiunque realizzi 
qualsiasi sito web potenzialmente soggetto ad attacchi. Come se io ti 
facessi un sito, e poi ti facessi firmare una liberatoria che dice "se 
te lo crackano non e' colpa mia, io il lavoro l'ho fatto bene".
Ho interpretato bene il tuo post?
Se si', allora non sono d'accordo. Dato che il nostro amico Purtroppo 
Anonimo si e' incaricato di risolvere le falle di sicurezza del sito, da 
questo momento in poi la responsabilita' di tale sicurezza diventa sua.
Tutto questo pero' lo dico senza alcuna base legale, ma solo imho.
-- 
Salvatore Iovene
http://talesfromfinland.blogspot.com

 Freddy Krueger wrote:
[CUT]
A dire la verità avevo pensato di non firmare niente. Stiamo facendo tutto 
in modo amichevole (in nero) e non spunta da nessuna parte che sto 
sistemando il sito. Ma avendo capito come è il tipo non penso di doverlo 
temere per il futuro. Secondo questo ragionamento avrebbe dovuto cazziare 
chi gli ha fatto il sito, ma se ne frega. E' un po lunatico a dire il vero. 
Bohhhh
Ciao
Purtroppo Anonimo 


Ricordati una cosa:
le parole non contano un cazzo,la carta canta...
se tu fai tutto sulla parola e a lui gli girano le palle vi scannate
ribaltando la fritatta su "è colpa mia,è colpa tua,io avevo detto,tu non mi 
avevi detto" etc...
Il fatto che sia lunatico non gioca a tuo favore...
Con un pezzo di carta in mano firmato da lui dove ci son scritte le 
questioni chiare
in caso di problemi  sarebbe ben diverso.
Io non muoverei un granello di polvere senza un'autorizzazione/accordo 
scritto
I tribunali sono pieni di questioni irrisolte basate sulla parola,
il mondo è pieno di gente che ribalta le questioni a piacimento

 sicurezza e ci siamo messi d'accordo che gli dovrò risolvere il problema. 
Bene, vedo che da questo punto di vista hai seguito il mio consiglio
che, oggettivamente, era anche logico.

 quattro soldi.
Nessuno si è andato a cercare niente. E' stato puramente occasionale la 
cosa. Il capo si lamentava con il mio parente che alcune cose non andavano e 
il mio parente ha detto: "sai c'è un mio parente che fa informatica...". 
Quello che voglio dire è che non ha messo annunci "cercasi studente per 
lavoretti in nero."
Al più avevo pensato alla classica dichiarazione di lavoro occasionale dove 
lui paga la ritenuta d'acconto.
Ciao
Purtroppo Anonimo 

 il mondo č pieno di gente che ribalta le questioni a piacimento
Intanto vorrei vedere come procede per il primo lavoro, se la cosa dovesse 
prolungarsi magari potrei fare come mi consigli.
Mi č stato chiesta inizialmente una cosa del tipo: "non funzionano bene il 
menu e la registrazione con firefox", una cosa che ho risolto in 2 ore. Non 
mi sembrava il caso di fargli firmare dichiarazioni, contratti o altra roba. 
Forse sarň troppo ingenuo, ma non ci vedo alcun problema. Forse se non mi 
scotterň per bene non imparerň, ma giuro che non ci vedo nessun problema nel 
non far un piccolo contratto, visto che la questione č cosi piccola.
Io comunque gli ho detto esplicitamente che accetterň solo piccoli lavori 
(qualche ora) di volta in volta per evitare di imbattermi in grossi progetti 
che non ho intenzione di affrontare.
Ciao
Purtroppo Anonimo 

lo sforzo di tutti noi dovrebbe essere di dare sempre più credibilità
e professionalità al nostro lavoro per arrivare a quel giorno in cui
ciò che dice Hanger Freisen sià la normalità in cui avvengono le
cose ;-)

 che, oggettivamente, era anche logico.
Esattamente :)  Penso che se avessi parlato di avvocati lo avrei impaurito. 
E' stato tranquillo e sopratutto mi ha ringraziato per quanto ho fatto (ho 
anche delle email che mi parano il culo).
Forse, come detto in altri posto, sono molto ingenuo in quanto alla mia 
prima/prime esperienze. Ma la formalità va da caso a caso. Questo è solo un 
mio parere e non vorrei scatenare un thread infinito.
Comunque devo dire che ho passato un gran giorno di merda quando ho sentito 
parlare di penale, carcere o altro. Stavo davvero chiamando l'avvocato. 
Forse è stata ingigantita un po troppo la questione.
Fortunatamente sono qui col culo sulla poltrona in un ambiente caldo e 
confortevole :)
Ciao ;)
Purtroppo Anonimo 

 ha scritto nel messaggio 
news:1133598475....@f14g2000cwb.googlegroups.com...

Assolutamente d'accordo. Ma il rapporto instaurato è stato del tipo 
amichevole (tramite il mio parente). Come se hai un amico parrucchiere che 
ti dice: "mi si è piantato windows, c'è da formattare, me lo puoi 
sistemare?" e ti presenti col malloppo di carte da firmare.
Semplicemente questo non mi è sembrato il caso.
Ciao :)
Purtroppo Anonimo 

 problema.
Secondo me lo č: pattuisci, e per iscritto!
-- 
Capoccetta

 Bohhhh
Precisiamo: se ne frega, perchè finora glie lo dici te che quel sito è
insicuro. Il giorno che qualcuno gli farà un danno voglio vedere come
reagisce.
E' chiaro che questa persona non percepisce il problema, altrimenti non
ti diceva di risolvere prima i problemi grafici.
Se ti prendi la briga di intervenire sulla sicurezza di quel sito entri
nel giro di schiaffi che si verrebbe a creare qualora la sicurezza
andasse male. Anzi, visto che ti proponi come solutore saresti il primo
se non l'unico a prenderli. Non sono d'accordo sulla "liberatoria"
proposta dall'amico Krueger perchè IMHO non avrebbe alcuna validità: si
possono declinare le responsabilità derivanti dal proprio operato, ma
non dirette del proprio operato. In altre parole se ti offri di
risolvere problemi di sicurezza non puoi dire "non sono responsabile di
eventuali problemi di ricurezza", anche se il tizio la sottoscrive
verrebbe considerata nulla perchè ogni persona capace di intendere e di
volere è considerata responsabile di quello che fa (altrimenti è facile,
non lo fa). Ciò che ti deve preoccupare è di non prenderti un lavoro che
non sei capace e sicuro di fare, perchè se sei capace in materia non ci
saranno dubbi che quel sito sarà blindato (la sicurezza è una scienza
inesatta solo per chi non la conosce).


bhà...a me sembra che tu non abbia capito che sulle questioni di sicurezza 
non
c'è margine per fare il "lavoretto".
Fin che mi parli di pagine web o il foglio in excel con 544 formule e 
tabelle vabbè...
la sicurezza informatica ha molte implicazioni legali,
documentati sull'argomento e forse ci arriverai a capire
bene quello che tutti nel news ti stanno dicendo.
Inoltre il capo è amico del tuo parente,non tuo...oppure fai presto a 
considerare "amico" qualcuno,
beata ingenuità..... :) 

 beata ingenuità..... :)
Forse non hai capito il significato di "rapporto amichevole" e mi saro' 
espresso male. Avrei voluto dire "confidenziale" e non formale.
Purtroppo Anonimo

 inesatta solo per chi non la conosce).
Penso di essere capace. Percio' mi sono proposto.
Grazie e ciao
Purtroppo Anonimo 

 inesatta solo per chi non la conosce).
un'affermazione un po' troppo 
impegnativa e - perdonami - 
anche abbastanza avventata, 
non credi?
Questo e' esattamente il
(pericolosissimo) assunto 
sul quale si basa la legge
italiana e la sua inversione
dell'onere della prova.
Se vivessimo in un mondo
perfetto come quello che tu
dipingi non ci sarebbe 
nemmeno bisogno - ad esempio -
del CERT e financo della NSA,
non trovi?
Purtroppo l'unica blindatura
*esatta* e' distaccare il
cavo di rete e mettere il 
server in cassaforte.
In ogni altra situazione la
sicurezza e' una scienza
inesatta (come *tutte* le
scienze, del resto; fisica
del novecento docet).

 l'importante è il supporto per altri browser :P
e, man mano che lo farai, ti
renderai conto che il gioco
non vale la candela perche'
- tanto per fare un esempio -
non esistono polizze
assicurative in grado di 
coprirti (al contrario di
quanto avviene per un ing.
*civile*, ad esempio).
Perche' sino ad ora la 
legge e' stata *sempre*
disapplicata nei confronti
di palesi violazioni di chi ne
era soggetto fin dalla 675/96
e dal suo DPR attuativo 318/99
(ad esempio poste, ministeri,
istituti di credito...). Ma
si tratta e trattava di
controparti potenti.
Poi, quando vedremo i primi
piccoli professionisti e 
imprenditori rimetterci le penne
(e, con loro, i sicuramente 
bravissimi e titolatissimi
consulenti, ma non in grado di
reggere l'insopportabile, ossia
l'inversione dell'onere
della prova), ci renderemo 
finalmente conto che guardare
il business senza guardare la
legge e le sue implicazioni
(nonche' chi deve applicarla,
come i giudici che non possono
generalmente contare su CTU 
decenti perche' i periti 
informatici sono pagati a 
vacazione, ossia una miseria,
in quanto la voce "informatica"
none esiste nelle tabelle dei
tribunali nonostante l'Italia
si pavoneggi fin dalla scorsa
legislatura per le sue leggi
sul "computer crime") e' 
inaccettabile.

 [CUT]
Beh, forse il tuo č un attacco al sistema. Ma se mi dici che ho studiato 
tutti questi anni, sto per entrare nel mondo del lavoro, scopro una falla in 
un sistema e non mi conviene risolverla .... allora che ci sto a fare in 
questo newsgroup? Vado a postare su it.lavoro.statali.sicuro :P
ciao ;)
Purtroppo Anonimo

 tutti questi anni, sto per entrare nel mondo del lavoro,
tutti questi anni e scopri che per
cambiare un differenziale o la
lampada alogena della tua auto occorre
l'abilitazione mentre per assumersi
responsabilita' illimitate con
inversione dell'onere della prova
non occorre nulla... soltanto (IMHO)
una buona dose di incoscienza...
(e se ti fidi della legge consulta
le *motivazioni* di una manciata di
sentenze *di primo grado* riguardanti
cause di contenuto prettamente
tecnico-informatico, roba da brividi
dietro la schiena...).
BTW ritengo che farsi pagare in
black non sia propriamente entrare
nel mondo del lavoro.
Esiste la collaborazione occasionale.
La (sempre IMHO) pessima legge c.d.
Biagi l'ha fortemente penalizzata, ma
esiste ancora... e te la consiglio :-)

 esiste ancora... e te la consiglio :-)
Infatti l'ho già fatta in un'altra occasione.
Ciao
Purtroppo Anonimo

 esiste ancora... e te la consiglio :-)
Infatti l'ho già fatta in un'altra occasione.
Ciao
Purtroppo Anonimo

 Infatti l'ho già fatta in un'altra occasione.
e allora rifalla in questo caso,
specificando chiaramente *quale*
problema di sicurezza risolvi
e guardandoti bene dallo scrivere
frasi generiche del tipo "check
della sicurezza del sito"...

 news:439180d6$0$27598$4faf...@reader1.news.tin.it...
[CUT]
Forse non ho reso l'idea di quello che volevo dire nel post precedente. Con 
i tempi che corrono, se mi si presenta un lavoro e mi dovrei tirare indietro 
perchè il gioco non ne vale la candela non mi sembra la scelta opportuna per 
2 motivi: Primo perchè è il mio (futuro) lavoro e quindi lo devo fare, 
secondo perchè per mangiare bisogna lavorare.
Ciao
Purtroppo Anonimo 

 della sicurezza del sito"...
Grazie del consiglio ;)
Purtroppo Anonimo 

 perchè il gioco non ne vale la candela non mi sembra la scelta opportuna per 
lavorare significa anche
soppesare attentamente i
rapporti costi/benefici.
IMHO il dumping che impera
nel settore informatico 
deriva da una stima non 
attenta o non corretta di
questi rapporti


Forse sei tu che non hai capito che con casi di questo tipo non c'è
da giocherellare dato che una questione portata avanti "all'acqua di rose"
potrebbe infilarti un un oceano di rogne inaspettate.
Poi se a te piace prendere accordi sulla parola è una tua scelta,
qui mi pare che ci sia gente con una certa esperienza
che ti sta dicendo che è cosa da pazzi...poi vedi tu
se a te pice stuzzicare la fortuna è un problema tuo

 Tu sei il prototitpo di quello (...)
aggiungici anche il committente,
pero'...
E aggiungici una legislazione 
bipartisan del tutto stupida
e anacronistica 

Tutto questo pero' lo dico senza alcuna base legale, ma solo imho.
Fare un sito web e' una cosa, risolvere le falle di sicurezza di un
server un altra.
Il problema e che tu puoi effettivamente risolvere un problema oggi, e
vederti il sito devatato domani per motivi quali:
- Nuovi exploit di cui ancora non c'e' la patch
- Server non patchato
- Vari ed eventuali
Il problema e' il "ti risolvo il problema", in questo campo di solito
si argina, non si risolve mai definitivamente.
Saluti.
-- 
Rimetta  a posto  la  candela...


Se ho capito bene non si parlava di mettere mano al server (tipo 
patchare apache etc), ma di sistemare falle di sicurezza tipo debolezze 
da sql-injection. Quindi questo ricade nel mio discorso.
-- 
Salvatore Iovene
http://talesfromfinland.blogspot.com

 non credi?
No.
Leggila nel contesto: io non sto dicendo che esiste la sicurezza
assoluta. Dico che esiste una "regola d'arte" che va seguita ed è nella
conoscenza della problematica.
Voglio semplicemente chiarire che esiste un modo di occuparsi seriamente
della sicurezza di un sito web (o meglio di una web application) e non è
fatto di regole astratte. Nella fattispece si parlava di sql injection e
sappiamo bene che chi lo conosce lo evita.

 ha scritto nel messaggio 
news:dmsa8v$mm$1...@epityr.hut.fi...


esattamente!
Purtroppo Anonimo 

 Purtroppo Anonimo, purtroppo lo sarà.
Se sarà un problema, ovvero se mi rendo conto che non mi conviene posso 
sempre lasciar perdere. Non ho ancora messo mano alla sicurezza ma solo 
qualche cosetta!
Purtroppo Anonimo 

 E la nostra proefessione.
Si, forse sto mandando in declino il paese!
Chiedo scusa a tutto il newsgroup!
Purtroppo Anonimo 

 se a te pice stuzzicare la fortuna è un problema tuo
no non mi piace, e faro' tutto cio' che è giusto che si faccia.
Grazie per i consigli
Purtroppo Anonimo 

 sappiamo bene che chi lo conosce lo evita.
la tua affermazione andava ben
al di la' di una banale SQL
injection.
Se scrivi infatti:
"se sei capace in materia non ci
saranno dubbi che quel sito sarà
blindato (la sicurezza è una scienza
inesatta solo per chi non la conosce)"
permettimi di tornare a dissentire
mille e mille volte. 
Magari fosse sufficiente filtrare
qualche stringa per blindare un
sito...
E - anche seguendo la "regola d'arte",
ovviamente non solo per quanto riguarda
le queries - le vulnerabilita' sono li'
che ti aspettano nel presente e nel
futuro...

 futuro...
Sicuramente, sono un programmatore e sono consapevole che ci sarà sempre
il bug.
Ma questo concetto non va assunto come un destino inesorabile.
D'altronde se parliamo del lavoro di addetti alla sicurezza informatica
(a tutti i livelli) quando si dice "a regola d'arte" si intende prestare
la massima attenzione anche a questi aspetti.



E cosa succede se le falle sono 10, ma ne vengono sistemate 8, oppure
se una falla viene solo apparentemente sistemata?



Succede la stessa cosa che accade se porti la macchina dal meccanico
prima di un lungo viaggio, per un controllo generale, ed il giorno dopo
il meccanico ti fa: "Sono 1000 euro... eh si', l'impianto frenante stava
per morire e poi c'era questo rotto e quest'altro mezzo andato e bla bla
bla".
Tu paghi e poi in viaggio ti si rompe una delle cose non menzionate dal
meccanico.
Non resta responsabilita' sua? Lui, facendoti un controllo di sicurezza
dell'auto, doveva metterti in condizione di viaggiare tranquillo. Quindi
l'errore e' stato dettato dalla sua incompetenza.
Ovviamente nel caso del nostro amico, la situazione ha un certo limite.
Se lui risolve tutti i problemi di sql-injection, per dire, ma poi un
cracker entra per un problema di sicurezza proprio di IIS, allora e'
ovvio che la responsabilita' non e' sua, ma di chi hosta il sito.


 Cosi' tutto risolvendosi senza esserci sorte di equivoci.
Ahhh...adesso è tutto più chiaro e cristallino...
Ciao 

 ops ... cognizione
Ecco perchè non avevo capito una mazza...ora si che la matassa si dipana.... 


:)




C'e' un aspetto che non stai considerando: l'uomo medio sa distinguere
lo sterzo dai freni, tornando alla questione, trattandosi di
informatica, dubito che il proprietario dell'azienda sappia
distinguere un problema da un altro, ecco perche' temo che il nostro
Anonimo sara' comunque sempre in sua balia.
Saluti.


 se una falla viene solo apparentemente sistemata?
Io avevo intenzione di scrivere 2 parole a riguardo. Ovvero che sistemavo 
"questo tipo di problema" con tanto di spiegazione. E questo e solo questo 
problema verrà risolto. Quello che succede successivamente a me non 
interessa.
Non ho capito una cosa, rivolgendomi a tutti: ma quello che mi consigliate è 
di lasciare perdere? In tanti post molti mi fanno capire che il gioco non ne 
vale la candela. Ma si parla tanto che non c'è lavoro... il lavoro me lo 
sono trovato io.. e adesso? lascio perdere? non lo faccio? E' troppo 
rischioso? Io non vedo alcun rischio se sistemo esattamente quel problema 
con tanto di carte scritte.
Ciao
Purtroppo Anonimo 

 Ecco perchè non avevo capito una mazza...ora si che la matassa si dipana.... 
STRAROTFL!
Per questioni geografiche spero
che non mi capitera' mai di
leggere CTU di Hanger :-)))

 distinguere un problema da un altro, (...)
nemmeno un giudice, ed il problema
vero e' proprio questo.
Nel caso dell'informatica il
pericolo e' ancora piu' subdolo
perche' quasi tutti *credono* di
sapere - se non molto - abbastanza
per pontificare :-(

 sicurezza.
Meglio tardi che mai :-)