Newsgroup: it.tlc.provider
Titolo: Tin, Hacker e cortesia.

E' risaputo che il desiderio di utilizzare login/password
altrui e' irrefrenabile.
E' capitato su un nostro server di ricever una visita 
"sgradita" da parte di un utente TIN.
Ho pensato di contattarli perche' convincessero il loro
utente ad adottare comportamenti piu' corretti.
Per brevita' vi allego il messaggio che ho spedito..
  Si e' verificato un tentativo di intrusione (ripetuto) da parte di 
  un utente TIN a carico di alcune utenze di un server
  dell'universita' di Parma.
  Il primo contatto "favorevole" dell'impostore e' avvenuto
  alle ore 19.10 del 20 giugno dalla macchina 
xxx11-28.tin.it
.
  Il 21 giugno ho cercato di mettermi in contatto con voi via fax
  (secondo le indicazioni datemi da una persona che rispondeva al
  vostro numero verde) dandovi alcuni dati essenziali e pregandovi
  Non ho ricevuto alcuna risposta, in compenso, a carico della login
  violata, e' stato fatto un ulteriore tentativo il 27 giugno alle ore
  22.25 da 
xxx8-44.tin.it
.
  Vi chiedo nuovamente a contattare il vostro utente ed invitarlo
  ad un uso piu' responsabile dei servizi che la rete Internet mette
  a disposizione.
  N.B. Il messaggio e' stato mandato per conoscenza anche a:
 
ro...@mail.tin.it
 
 
postm...@tin.it
A distanza di due giorni, non solo non ho ricevuto alcuna risposta
dalla TIN, (in questo istante sono in attesa sul loro numero verde
da circa 20 minuti), in compenso questo utente tin continua a visitare
il nostro server (1 luglio ore 03.00).
E' chiaro che i sistemi di sicurezza devono essere implementati sul
server, (anche se con migliaia di utenti e' concretamente impossibile
avere le spalle coperte), pero' contavo molto anche sulla COLLABORAZIONE
FRA I VARI GESTORI AL FINE DI LIMITARE GLI EVENTUALI DANNI.
E' possibile impegnare i fornitori ad offrire questo tipo di
collaborazione?
Ci sono delle clausole che "invoglino" gli utenti a comportamenti
regolari?
Sono fatte rispettare?
-- 
 
mas...@bossolo.cce.unipr.it

Sono fatte rispettare?
Salve Massimo,
tocchi un argomento davvero interessante ed importante.
La netiquette e la buona educazione spingono l' amministratore di sistema
ad offrire sempre la MASSIMA collaborazione agli amministratori dei
sistemi "colpiti" dalla propria utenza. 
Oltre a cio'.... come si dice.... "chi la fa' l' aspetti". 
Quanto sara' disposto Massimo a collaborare con un amministratore di
un altro sistema qualora un avventato studente dell' Uni di Parma decidesse
di fare qualche giretto da qualche parte un po' particolare?
Insomma.... se non ci si aiuta tra di noi....
Un aspetto importante, soprattutto tenendo conto delle ultime normative
sulla privacy (legge 675), e' relativo al campo di intervento del system
administrator che non sempre gode dello "ius primae noctis" sulla 
propria utenza :))
E' chiaro che mai e per nessun motivo (se non alle autorita' competenti)
l' amministratore e' tenuto a comunicare dati personali relativi (leggi
anagrafici) all' utente a cui tanto difficilmente si e' potuti risalire 
grazie ai LOG spesso assolutamente disordinati che gli vengono
comunicati. Bisogna sempre sincerarsi della corretta identita' di chi
e' che comunica gli estremi dell' azione non lecita o del tentativo di
hacking.... insomma.... e' necessario giustamente prestare una 
grandissima attenzione alla parte legale, ma e' altrettanto giusto
farsi in 8 per aiutare il proprio collega (spesso coopetitor) a risolvere
il problema magari forwardandogli bollettini del CERT relativi al probabile
bug che e' stato utilizzato o comunque consigliando metodi efficaci
(qualora si sia tecnicamente in grado) a combattere il fenomeno.
Nel caso di ISP di grandi dimensioni ( > 10.000 utenti) le comunicazioni
relative a tentativi di hacking provenienti dalla propria utenza sono nell'
ordine di una a settimana, ma non voglio immaginare quanti di questi la
facciano franca o perche' sono particolarmente "bravi" o perche' l'
amministratore locale non si accorge dell' intruso. D' altra parte.... l'
unico modo per essere certi della propria immunita' e' "staccare il
bocchettone" :))   Passatemi la battuta.... 
Dobbiamo inoltre considerare che su 10 utenti uno avra' la password 
"pippo" un altro che si chiama Andrea come password avra'
"Andrea" ed un terzo la avra' scritta in chiari caratteri a corpo 40
sul proprio monitor dell' ufficio. Anche se spesso gli ISP comunicano
una password piuttosto complessa all' utente, questo la cambia
per il timore di scordarla, anche se altrettanto spesso gli ISP fanno
tecnicamente in modo da obbligare l' utente ad inserire una password
piuttosto complessa. Capisci pero' come ragionare sui grandi numeri
porti ad un bacino d' utenza "scoperto" davvero vastissimo.    
Di norma l' ISP quando risale agli estremi dell' abbonamento 
incriminato cambia la password di accesso e la comunica a mezzo
telefono all' utente avvertendolo (a volte ammonendolo) su quanto
e' avvenuto. Se l' addetto all' helpdesk e' in gamba e' in grado
di azzardare ipotesi sulla colpevolezza dell' utente... ma ipotesi
dovranno necessariamente rimanere. Naturalmente l' ISP si
comporta cosi' nei casi "leggeri" in cui le comunicazioni restano
a stretto giro di e-mails tra gli amministratori e noi in quei casi in
cui entrino in ballo le autorita' (chiaramente).
E' comunque nell' interesse dell' ISP cercare di rendere la propria
utenza istruita su questo tipo di problematiche. Ma non devi confondere
"interesse" con "obbligo".
Nel caso tuo puoi comunque denunciare regolarmente l' accaduto.
Le autorita' competenti (in questi casi Polizia e Carabinieri) hanno
attivato (piuttosto recentemente) degli organismi finalmente 
efficienti e "colti" su questo tipo di problematiche. Per "colti"
intendo.... in grado di capire dove si fermano le responsabilita' di
uno ed entrano in gioco quelle di una terza parte. Pare inoltre che
il loro lavoro lo seguano con grande attenzione e veemenza.
E' chiaro che la denuncia conviene farla partire solo in casi che
l' amministratore reputi sufficientemente gravi da poterla
giustificare.... se dovessero indagare su ogni password "rimediata"
poveri loro! Anche se nella stragrande maggioranza dei casi la 
denuncia non parte (soprattutto se consideri enti a rischio) proprio 
per paura di darsi la zappa sui piedi ammettendo la propria
vulnerabilita' (esistono decine di testi e di tesi di laurea interessanti
sull' argomento).
Spero che questo ti possa essere di qualche aiuto.
Cordiali saluti.
                                                              Michele Trotta
                                                              Flashnet S.p.A.

Sono fatte rispettare?
Nel documento prodotto dal gruppo di coordinamento sulla Posta Elettronica
in Italia del GARR che si chiama Regole di Naming e che chiunque registri un
dominio deve prendere visione e sottoscrivere, nel punto D.2 dice:
...
...
   D.2 Revoca d'ufficio della assegnazione di un nome a domini
   E'  revocata  l'assegnazione  di  un nome  a domini  da parte della  RA
   Italiana nei seguenti casi:
   - attivita'  illegali (compresi 'attacchi' e 'danneggiamenti' via rete)
     da parte delle entita' assegnataria del nome a domini;
      NOTA1: in questo caso si richiede al gestore del dominio da cui sono
      partiti gli "attacchi" la massima disponibilita' per  la   soluzione
      del problema e per l'identificazione del responsabile.
      NOTA2: nel caso le attivita' illegali riscontrate siano operate  non
      dalla  entita' assegnataria  del nome a  domini stesso,  ma da terze
      parti, l'entita' assegnataria non e' ritenuta responsabile oggettiva
      di tali azioni.  Tuttavia esse deve collaborare alla identificazione
      dei responsabili e prendere i relativi provvedimenti del caso.
....
....
Quindi non ti possono per lo meno ignorare altrimenti addio dominio 
tin.it
GA

 Gianni Arru, 
ar...@comi.it
writes:
.
.Quindi non ti possono per lo meno ignorare altrimenti addio dominio
tin.it
.
Ho avuto lo stesso problema in almeno tre casi, guardacaso tutti con TIN
(un tentativo di hack-in su un server undernet, nuke con pacchetti ICMP
spoofed su una connessione server-server ed una mailbomb su un mio
server).
In tutti i casi sono state inviate segnalazioni dai root/admin dei server
attaccati e dai C-admin dei domini interessati, inutile dire che TIN non
si e' nemmeno degnata di rispondere.
Personalmente sono stato fortemente tentato di "restituire il favore", 
(un UDP flood o un SYNflood da una rete connessa con T3 multiple fa sedere
ANCHE una dorsale come quella di TIN, o almeno un buon numero di server,
e a quel punto sarei curioso di vedere se non rispondono alle email....) 
tuttavia ho finito per riflettere che non si puo' combattere ignoranza 
saccenza e scorrettezza con altra scorrettezza.
Poiche' il problema e' sentito da diversi provider europei ed italiani
e poiche' gli abusi in merito da parte di TIN sono ben piu' che
"settimanali"
ritengo che la soluzione corretta sia:
1) Radunare un gruppo di persone danneggiate
2) Denunciare la cosa all'autorita' giudiziaria (tirando in ballo
direttamente
   il provider in questione, tecnicamente se un illecito parte da un mio
IP 
   _IO_ ne sono responsabile in prima istanza, salvo poi che io non
dimostri
   che non sono stato io ma un mio cliente).
3) Effettuare una azione di gruppo nei confronti del GARR per ottenere la
   deregistrazione del dominio 
tin.it
 ai sensi delle regole di naming 
   da te giustamente citate.
 
Ritengo che solo una azione di gruppo di tutti i danneggiati posa smuovere
le leve di un gigante di incompetenza e presunzione come TIN, ed e'
davvero
ora di farla finita con questa storia.
Comunque credo che l'argomento sia OT qui' e riguardi piuttosto 
it.comp.net-abuse e quindi invito tutti a spostare li il proseguimento 
del dibattito.
Ciao,
Andrea