Newsgroup: it.comp.sicurezza.windows
Titolo: IE 5 Spione?

Ho letto molti commenti entusiasti a riguardo di IE5
sulle riviste di settore ma mi sono mantenuto scettico...
Oggi 20 aprile, dopo circa un mese dalla sua uscita,
aprendo il "Tirreno" pag.21 sez.Multimedia leggo a
caratteri cubitali: "Microsoft nella bufera Explorer 5
e' uno spione" seguito da un articolo che si mantiene 
un po'sul vago ma alla fine dice che il problema sta nella 
estrema facilita'con la quale verrebbero resi pubblici
i propri "preferiti" (i bookmarks) Altro che Pentium 3 !!
Contemporaneamente mi sono ricordato di un altro articolo
comparso su "Punto Informatico" che parlava dello stesso problema
riferendolopero' a Netscape Navigator (Il file bookmark.html poteva
essereuplodato)
Partendo dal presupposto di non avere trojan e schifezzuole nel
sistema (Win o Linux), questi privacy bugs abbastanza inquietanti
possono essere aggirati solo eliminando java e javascript e i vari
files a corredo (nel caso  di navigator netscape.hst e similia che
vengono cmq ricreati ad ogni  conessione) oppure c'e di piu'?
Anche Opera (il mio preferito) usa un database "in chiaro" (sic.) :-( 
Bye, Eric.

vengono cmq ricreati ad ogni  conessione) oppure c'e di piu'?
i buchi di netscape sono relativi a javascript.
(Java e' proprio meglio che non lo usi mai)
La versione 4.51 ha risolto alcuni problemi ma ne ha lasciati
irrisolti altri.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

vengono cmq ricreati ad ogni  conessione) oppure c'e di piu'?
There's more, not available in stores.
Quando fai l'update, l'amico Fritz invia le informazioni relative al
software che HAI, e domanda se ci sono updates disponibili... il che
e' logico, dopotutto. Se non sa cos'hai, come fa a sapere se ti puo'
servire una upgrade?
"Buongiorno, inclito vtente, in cosa posso servirLa?"
"Ha qualcosa per Office 97?"
"Che tipo, lingua, versione, numero di serie?"
"97PRO ITA 1.00.1283 1-2-3-C-R-A-C-K"
"Uhmmm... No, nel database non ho niente. Ritorni presto."
Per facilitare il lavoro ed evitare che programmi per errore (questi
programmi, sempre pieni di bug!) cambino i dati in trasmissione, per
caso naturalmente, no apposta, il servizio lo fa un plug-in speciale
non disattivabile.
Leonardo
".signature": bad command or file name

quindi parti dal presupposto di non usare Explorer :)
Hai visto giusto, non sono andato piu' in la' del 3.02
perche' mi ero gia' rotto di scaricare patch su patch
ma cmq bisogna essere sempre curiosi....
grazie x le info, sei sempre puntuale.
Bye, Eric.


Mi sembra piu' che normale.
Non vedo perche' dovrebbero dare via gli aggiornamenti senza controllare
che gli utenti siano registrati con numeri di serie validi.
Ciao,
            gws

 wrote:



Si', se fosse il male del numero di serie e non dei miei dati, io ci
starei anche. E' il dubbio che prenda anche informazioni personali o
che non convalidi nominativi assenti dal database che mi rode.
Infatti - e' si' vero che tutto il software che ho e' acquistato con
regolare fattura (o prodotto in proprio), ma e' anche vero che TUTTE
le cartoline di registrazione giacciono intonse in un cassetto. Dato
che una cartolina con i miei dati a una azienda di software, e ancor
piu' a Microsoft, non la mando neanche pagato :-)
E inoltre cosa viene mandato? Tutta la chiave SOFTWARE del registry,
come e' probabile? Comprese le entry relative a Laila, la girlfriend
virtuale (sarebbe Eliza, in versione soft-porn)? E se no, io come lo
posso sapere?
+++
Per una serie di motivi preferirei che o alla registrazione mi fosse
data una password con cui accedere al sito degli updates in FTP e da
li' scaricare IO quello che voglio IO, oppure che ci fosse un sito a
disposizione con FTP anonymous.
Avere un "agent" che fa cose che io ignoro mi infastidisce :-)


 (Java e' proprio meglio che non lo usi mai)
Ciao Buttha,
perché consigli di non attivare java (a parte l'appesantimento 
dovuto allo scaricamento delle classi e all'esecuzione della
virtual machine) ?
Che io sappia java è stato progettato tenendo d'occhio anche 
la sicurezza, ad esempio un applet non puo' (in teoria ed a meno
che non sia stato abilitato a farlo dall'utente) leggere o scrivere
sul file system locale o aprire socket tcp e udp con altre macchine
diverse da quella di provenienza.
Notizia di qualche bug ? Problemi nelle implementazioni di Netscape
e/o Microsoft ?
Ciao,
Andrea (che java di solito ce l'ha disattivato, ma per le prestazioni).

Leonardo
Questo e' vangelo anche per me: io preferisco sapere per cio' che e'
possibile, cosa fa un programma dall'inizio alla fine, cosa mi
installa e perche' lo fa etc....
Gen. non mi fanno buona impressione i programmi che appena installati
tentano in ogni modo di entrare in rete anche se non hai il modem
oppure  se fai  tanto di  aprire  il pannello  di controllo ti
bombardano con velati minacce  tipo: 
 
"Attenzione gentile  utonto pigiapippoli,  ti stai precludendo la
fantastica opportunita' di aggiornare il tuo indispensabile  prodotto
pieno zibibbo di bugs nascosti  con altri nuovissimi bugs che ti
tappano i precedenti e te ne creano magicamente di nuovi e tutto
questo senza che tu te ne possa accorgere! pensa che culo!" 
Gli upgrades e le patchs sono certamente utili in alcun casi ma
scaricarsene 4/5 la domenica per ogni relase rilasciata il sabato 
ti fa venire qualche dubbio sulla validita' del programma !
Tutta questa smania di aggiornamenti e' relativamente recente:
da quando il computer e' diventata una macchina col cambio automatico 
"pigi un pippolo e sei su internet !" - "ti faccio io il numero e ti
collego io quando dormi,  te pensa solo a pagare la bolletta!" i
programmi sono  -user friendly- ma durano 2 giorni e c'e gente che
manco sa che cosa e' un batch o una dll e ti fa du palle cosi' perche'
ha scaricato il nuovisssssimo client per chattare in swahili con 20
persone contemporaneamente  e il pc non gli si accende piu'... 
(se questo e' l'utonto/standard x le software house, stiamo freschi!)
Scusate la lunghezza del mex e grazie  a tutti per le risposte date in
precedenza.
Bye Eric.
 
 
 

Notizia di qualche bug ?
notizia di applet maliziose che possono fare il cattivo tempo sul tuo
pc ;)
Java e' molto pericoloso, nonostante se ne sia curata la sicurezza.
Eccoti un messaggio comparso un po' di tempo fa su questo stesso ng:
***********************
mah...
ho visto degli applets java che fanno cose pazzesche, tipo spedire i
tuoi dati a un indirizzo, cancellare file sul tuo pc, chiavi del
registry ecc....
Btw: While you are reading this we could have mailed out (or by
HTTP/put if you run behind a firewall/Proxy) data/files from your
computer.
By using this information within i.e. server based scripts, an attack
can be undertaken by replacing certain components of your installed
applications with Trojan horse programs.
Attacks can also be dedicated to your operating system, your file
system or other details of your computer.
Not to speak about protecting your privacy on the Internet!!!
http://www.acrmain.com/HostileDrive/overview.htm
************************************
non ho verificato di persona, ma non e' la prima volta che leggo
notizie di applet cattivelli.


diverse da quella di provenienza.
Ho letto le faq di Sun riguardo alla sicurezza e loro dicono che queste
cose non sono possibili.
Ma quello che so per certo  e' che alcuni applet possono
mandare in crash il sistema o spegnere la macchina da remoto.
Inoltre ho qui un applet che legge un file di testo da un qualsiasi
server remoto.
Quindi possono tranquillamente aprire connessioni con altri server.
Poi il fatto che non possono aprire socket con altri server non
vieta a un  gestore di un server di usarli maliziosamente.
Ciao Alessandro
http://sandro.home.dhs.org
aless...@starmail.com
icq uin: 21411293 - PGP key available

vieta a un  gestore di un server di usarli maliziosamente.
ma in applet java mica non si poteva aprire socket con server diversi
da quello dal quale sono state scaricate le applet ?????
Sicuramente mi sbaglio pero' credevo che era cosi' ciaociaociao


 virtuale (sarebbe Eliza, in versione soft-porn)?
Laila ???  Eliza ???
Ho il sospetto che mi sto perdendo qualcosa di molto piu' interessante delle
informazioni contenute nel mio registro... :-)
Mi puoi gentilmente erudire su queste graziose signorine ?
Ciao,
            gws


Hmmm, tanto graziose non so... Sono programmi che simulano una parvenza di
intelligenza elaborando risposte alle domande che gli fai. L'elaborazione non
ha nulla di "intelligente", ma consiste nella manipolazione sintattica di
spezzoni delle frasi in input, secondo schemi ben determinati. Non e'
difficile far fallire un programma del genere, dandogli una frase che non
rientra nei pattern da lui conosciuti. E' un argomento trattato nei testi di
Intelligenza Artificiale, e qualche anno fa ci fu qualche articolo pure su un
volume monografico di Le Scienze.
Ciao, Max.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

Mi puoi gentilmente erudire su queste graziose signorine ?
Sono programmi di intelligenza artificiale... Simulano delle signorine
appunto, che dovrebbero, almeno in teoria, apparire umane ;-)
Bye Krmel


E dove posso contattare queste simpatiche signorine ? :-)
Ciao,
            gws

 scrisse:


al ministero della sanita'. Chiedi di Rosi.


Mi puoi gentilmente erudire su queste graziose signorine ?
Ricordi d'antan :-) ... Eliza e' un programma di psicanalisi :-), un sistema
di intelligenza artificiale che cerca di conversare con te.
Laila (o Sally? Boh) fa la stessa cosa, su altri argomenti.



Non capisco, sono andato al ministero della sanita', ho chiesto di Rosi
e.....ma non doveva essere anche intelligente ?  :-)
Ciao,
            gws

 appunto, che dovrebbero, almeno in teoria, apparire umane
ciao
