Newsgroup: it.lavoro.informatica
Titolo: [Storia di Sicurezza] e voi che fareste?

Salve a tutti,
vi racconto in breve la storia di uno studente (ancora per poco :p) di 24 
anni [nella speranza che vi piaccia la storia :]
[PREMESSA]
C'è una azienda che svolge il 99% del proprio lavoro con internet, e ho 
sentito dire (un parente che ci lavora) che cercavano qualcuno che potesse 
lavoricchiare sul sito di tanto in tanto mantenendolo.
Tale sito è un semplice sito per un cliente loggato, ma diventa un 
gestionale se ci si logga come amministratore. Tale sito è stato fatto in 
ASP 6 anni fa circa da delle persone che, diciamo, non esistono più. Il 
titolare dell'azienza riesce a fare al più piccole modifiche. L'azienda 
guadagna molto con questo sito e sta bene economicamente
[STORIA]
A questo punto io decido di dare un'occhiata al sito, e preso dalla 
curiosità, provo a violarlo. Mi accorgo che c'è una falla (non viene fatta 
la gestione degli apici o virgolette in fase di login e qualche altra cosa 
grave) e riesco a loggarmi come semplice cliente. Faccio pervenire la 
notizia al capo tramite il mio parente e il capo mi snobba un po': non gli 
interessa molto questo piccolo problema di sicurezza, per lui i veri 
problemi sono che il calendario non si visualizza bene, ecc....
Sentendomi snobbato provo a vedere se tale sito ha altri problemi di 
sicurezza, e dopo 2 giorni di tentativi quasi riusciti, poco fa finalmente 
riesco a loggarmi come amministratore grazie ad un'altro problema di 
sicurezza e mi trovo davanti un vero e proprio gestionale: gestione 
clienti/fornitori, archivi a mai finire, stampa fatture ecc....
In particolare riesco ad ottenere tutte le password degli 
amministratori/clienti/fornitori e inoltre, dei 3000 clienti registrati, 
sono in possesso delle coordinate bancarie (abi/cab), indirizzi civici e 
numeri di telefono.
[DOMANDA FINALE]
Adesso che si fa? Il mio parente è incazzato nero, perchè ha ancora 1 
settimana di prova prima della firma del contratto. La mia impressione è che 
il capo mi contui a snobbare.
Io sinceramente non voglio fare lo strozzino (perchè sono troppo una brava 
persona), pero' vorrei sistemargli il sito e guadagnarci se possibile, 
perchè il problema è serio.
Penso di riuscire a sistemarglielo in 1 oretta, ma penso che chiedere il 
compenso di 1 ora (20 euro) sia troppo poco. Tecnicamente (e solo 
tecnicamente perchè non ne sarei capace) potrei metterlo in una situazione 
cancellando tutti i clienti/fornitori, archivi e tutti i dati del 
gestionale. Oggi l'ho scoperto io ma domani potrebbe subire un vero e 
proprio danno.
Per concludere vi chiedo: voi che fareste?
Ciao a tutti e vi ringrazio per le risposte.
Purtroppo Anonimo 


Io lo lascerei nel suo orto,tu l'hai avvisato che ci sono problemi
e lui praticamente ti ha detto in modo diplomatico di farti i azzi tuoi
Il prossimo che se ne accorgerà
(perchè prima o poi qualcuno da fuori ci arriverà con una scansione,
la rete è perennemente scansionata)
si divertirà un pò e il furbo signore poi piangerà...il giusto destino di 
chi non ha orecchie per sentire
e crede di aver tutto sotto controllo

>  Il prossimo che se ne accorgerà...
Il problema è che poi la colpa a chi la danno?
Piero

> Per concludere vi chiedo: voi che fareste?
Cerca un avvocato perché hai violato un sistema
informatico e se lo fai incazzare ti trovi la Polizia
Postale a casa.
Fra


Non facciamone un dramma. Se tu lasci la porta aperta di casa e io entro 
ma non tocco nulla, non sono io perseguibile, sei tu che sei scemo. 
Altro se io entro e rubo. Ma non mi sembra questo il caso.
-- 
Ciao!
Luca

Se cancelli dei dati potresti trovarti nei casini stai bene attento..
Tu avvisalo dei problemi, fagli una proposta di sistemazione ( non
svenderti.. è un peccato..) e se non accetta corre lui il rischio. Tu
a quel punto hai finito il tuo lavoro. Dopo quel che succede succede..

 ma non tocco nulla, non sono io perseguibile, sei tu che sei scemo.
Stai scherzando, vero?
Se tu entri in casa mia e non rubi niente č violazione di domicilio.
Fra

 Se tu entri in casa mia e non rubi niente č violazione di domicilio.
Ricorda il piccolo particolare che mi hai lasciato la porta aperta...
-- 
Ciao!
Luca

 Ricorda il piccolo particolare che mi hai lasciato la porta aperta...
Ah ok.
Quindi qualsiasi voyeur può entrare in tutte le case di cui
trova la porta aperta..................... interessante teoria
(fortunatamente smentita dal codice penale)
Fra

Fra ha scritto:


Comunque il paragone č il seguente: lasci la porta di casa aperta, io
entro per avvertirti che l'hai lasciata aperta. Immagino che come minimo
tu debba ringraziarmi, altro che avvocati. Inoltre come minimo una
ricompensa per il buon lavoro dovresti pure darmela :P
Ho capito che devo farmi gli affari miei.
Grazie delle risposte
Purtroppo Anonimo
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

Massimo ha scritto:

Questa risposta mi piace molto. Mi sono un po cagato sotto con la storia
degli avvocati. Cavolo sono un programmatore, se non ci guadagno con ste
cose posso cambiare mestiere. Come se un fabbro non cambi una toppa
difettosa :=)
Grazie mille :=)


Piero
certo tu hai ragione,ma dall'altra parte abbiamo qualcuno che mi pare non 
sia abbastanza
intelligente per comprendere come stanno le cose...allora che fare,perdere 
tempo ancora ?
Probabilmente l'autore del post ha comesso un piccolo errore,quello di non 
avere l'incarico scritto (mi sembra di capire) e fare ulteriori test ...
una volta spiegata la situazione stop..se il "capo" non la vuole sistemare è 
un problema suo 

 un problema suo
si infatti aspetto che il mio parente firmi il contratto. Dopodichè gli
dico le cose come stanno e amen.
Grazie tante anche a te per le risposte
ciao ciao



lui non sapeva di avere il problema tu hai fatto qualche verifica e l'hai 
scoperto..
qui intendo stop.
Capisco il tuo ragionamento,credo sia tipico di chi ha la tua età,ci rivedo
"l'ingenuità" (in senso buono) dei miei 20anni.
Con gli amici x cazzeggio è una faccenda,sul terreno di lavoro è ben diverso
...anche con gli amici stessi,se poi non sono amici...quindi occhio :)

 il capo mi contui a snobbare.
Se non avevi il PERMESSO ESPLICITO del proprietario del server, hai commesso
un gravissimo errore a tentare di violarlo, e adesso che il proprietario lo
sa potrebbe tranquillamente denunciarti e a tue spese far fare il lavoro a
qualcun altro.
Io avrei evitato di fare queste cose senza la supervisione del proprietario,
adesso, consiglio mio, lascia perdere tutto a meno che non ti chiedano di
porvi rimedio. Se dovesse succedere che qualcun altro trovasse il baco e
facessero danni, saresti soltanto tu l'indiziato su cui scenderebbe la
mannaia...
Forse, sottolineo forse, una dichiarazione scritta di cosa hai trovato e il
tuo formale impegno a non divulgare a terzi questa informazione, potrebbe
almeno metterti al riparo se qualcosa di male dovesse succedere a quel sito,
ma qui ci vorrebbe un legale e non un informatico...
ciao
Michele

 gestionale.
Altrettanto tecnicamente lui può mandarti in galera (già con quello che 
hai fatto ora, anche se non procedi con questo genere di minacce). Fai 
te se ti sembra il caso di insistere...
-- 
Fabrizio "Hermooz" Ermini


Se io lascio la porta a perta e tu vieni a casa mia io ti svatto in galera
Se poi mi cancelli pure i file ti ci faccio restare per un bel po
O almeno ti scaglio contro il mio avvocato civile che ti rovina di danni
civili
N
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ma non tocco nulla, non sono io perseguibile, 
Falso.
-- 
Fabrizio "Hermooz" Ermini

 ciao
Ciao e grazie


Purtroppo Anonimo wrote:
[cut]
Sei in posizione di svantaggio perché hai ingenuamente approfittato della tua curiosità tecnica e 
della tua sicurezza e conoscenza del campo di cui ti occupi per agire senza riflettere, come succede 
spesso nel settore tecnico soprattutto nella sicurezza.
Sei nel torto e sei perseguibile, hai violato un sistema e fino a qui, a parte chi è convinto che 
non sia reato perché il sistema ha delle falle, non ci piove, sei venuto a conoscenza di dati che 
anche se non usi (password, nomi di clienti, coordinate bancarie ecc...) non dovevi conoscere e si 
va in penale come niente per queste cose se all'imprenditore girano le balle.
Io ti consiglio di non fargli girare le balle, prova a dirgli che il sistema ha dei problemi molto 
seri e che puoi sistemarglieli a prezzo ridicolo, che ne so 100€.
Se non avevi violato il sistema potevi chiedergli anche 1000€ se ci metti davvero 1 ora a sistemare 
tutto, ma se lui non è interessato è liberissimo (ci mancherebbe) di risparmiare i suoi soldi. 
Ognuno è libero di decidere che condotta dare alla propria impresa e se uno vuole risparmiare sulla 
sicurezza, cavoli suoi e delle conseguenze inimmaginabili cui può incorrere!
Una buona mossa sarebbe, se rifiuta di pagarti anche solo 100€, di chiedergli dopo qualche giorno di 
fargli il lavoro gratis, dicendogli che hai trovato un modo velocissimo, fai il lavoro magari 
davanti a lui in un'oretta e gli dici che ora è a posto per i problemi più grossi, firmi un foglio 
dove dici che hai sistemato esattamente quelle cose e non ti assumi alcuna responsabilità sulla 
sicurezza del sistema ma che quei problemi li hai corretti.
Almeno eviti che qualcuno violi il sistema e poi venga indagato anche tu!

 difettosa :=)
si però non deve aprire la porta per far vedere che era rotta..
Potresti mettere qualche riferimento alle implicazioni penali della 
mancata messa in sicurezza dei dati sensibili contenuti nel sistema 
informativo. Vedrai come si muove e sgancia il dinero.

Dire la verità no e'!!!!!!
Digli di fare un copia di backup xchè il sito è a rischio x questo e 
quell'altro motivo.....
Ne esci a testa altra....e probabilmente ti darà un'altra occasione!! 

Altro se io entro e rubo. Ma non mi sembra questo il caso.
Guarda che recenti interpretazioni del CP vietano anche un semplice
portscan (equiparandolo a tentata effrazione del domicilio
informatico).
Saluti.
-- 
Rimetta  a posto  la  candela...


In caso di sistema informatico Luca non ha tutti i torti, si veda il 
post di Hanger Freisen e link relativo alla sentenza:
http://www.penale.it/giuris/meri_047.htm
Anche se come dice giustamente Hanger, il finire sotto processo (per poi 
essere assolto "perche' il fatto non sussiste") non e' il massimo della 
vita :)

 Se tu entri in casa mia e non rubi niente è violazione di domicilio.
Certo, è violazione di domicilio.
Ma se lasci la porta aperta, io entro in casa tua, faccio una bella
cagata nel bagno e tu non ti accorgi di nulla, poi vengo da te a dirti
"Guarda Fra, tu lasci la porta aperta ma io ho cagato nel tuo cesso, ti
conviene chiudere perchè qualcun'altro potrebbe rubare", nessuno mette
in dubbio che sia violazione di domicilio; ma se tu invece di chiudere
la porta mi denunci sulla base del fatto che te l'ho detto io, allora
sei anche allocco. Io te l'ho detto, ma mica lo ripeto...

 Per concludere vi chiedo: voi che fareste?
Fossi in te, mi offrirei gratis in maniera moderatamente insistente per
farti autorizzare a fare una analisi di sicurezza del sito (di cui
conosci già i risultati, ma questo resti fra te e te).

 conosci già i risultati, ma questo resti fra te e te).
mi sa che farò proprio cosi'. Ma lui, che avrebbe dovuto chiamarmi per 
sistemare il sito, se ne sta un po fregando. Ha la testa un po' per aria e 
per lui il discorso sicurezza credo sia all'ultimo posto. Forse non ha 
capito la gravità della situazione. Comunque sia credo che mi offrirò 
gratuitamente per un'analisi di sicurezza del sito.
Non appena ci sarà una svolta nella vicenda (o me in galera o alle Mauritius 
a godermi il bottino :p ) vi faro' sapere.
Grazie a te, e grazie a tutti.
A presto
Purtroppo Anonimo 

 proprio danno.
Fagli notare la gravità dei problemi (forse lo hai già fatto, non ho capito 
bene). Se continua a ignorarti lascia perdere, come hai detto tu prima o poi 
qualcuno di meno onesto scopre la magagna e saranno cavoli loro. Ma in ogni 
caso non è un problema tuo.

 loro. Ma in ogni caso non è un problema tuo.
Ci sto provando, ma solo perchè mi interessa essere pagato per risolvere il 
problema. Ma sembra che lui se ne freghi un po. Vediamo che succede ...
Grazie e ciao :)
Sandro 

 
semmai appunto suggerisco di mettere al corrente della cosa la polpost