I sette peccati mortali per Linux (e non solo)

-
L'articolo sarà anche datato, ma i suggerimenti proposti sono sempre validi (e non solo per Linux). Se solo si tenessero in considerazione poche e semplici regole, l'information security sarebbe sicuramente  ad un miglior livello. Questo il link su ACM queue: http://queue.acm.org/detail.cfm?id=1255423.


Ecco, in breve, i "peccati" con qualche spiegazione "easy":

  • Password deboli: e basta! cercate di implementare un qualche filtro minimale...
  • Porte di rete aperte: nmap a campione? non è difficile dai, non serve il mega-tool;
  • Software non aggiornato: apt-get, windows-update,..., ma il rischio è introdurre DoS per malfunzionamenti o incompatibilità introdotte dalle nuove versioni...questo è un vero osso duro;
  • Software insicuro e/o malconfigurato: richiede conoscenze ancora fuori dalla "security da strada",  troppa network e system security, poca software security. Tosto.
  • Risorse insufficienti e cattiva pianificazione delle priorità: vi prego segnalatemi qualcuno che non ha questo problema!
  • Account non più utilizzati o non necessari: basterebbe tenere sotto controllo il parco utenti attivo...
  • Rinviare: qui vale il vecchio proverbio romanesco: "non fare oggi quello che potresti fare domani!"


Fate un breve e semplice esercizio. Commettete qualcuno di questi peccati? Sicuri? Allora siete l'NSA...per quanto anche loro...

Sono poche e semplici regole che magari, appese al muro in un cartoncino plastificato, possono fungere da memento per ogni sysadmin o consulente in ogni momento del proprio lavoro. 


[POLEMIC MODE ON]

E invece no. Troppo semplice.


Spesso ci sono i policy-man. Li riconoscete perché scrivono tonnellate di regole, best practice, guideline, spesso scopiazzate da questa o quella metodologia (e si vede pure) o da wikipedia, con il solito ciclo di Deming, oramai abusatissimo e per il quale ho sviluppato un'allergia fortissima :)

E invece di ricordare i precetti delle care e vecchie maestre di scuola, dove la bontà di un tema non si misurava affatto dalla lunghezza, si sfornano questi ammassi di carta inutili.  

Ma non si potrebbero mutuare dalla sicurezza del trasporto aereo i fantastici foglietti plastificati che   trovate dietro i sedili (quelli a fumetti per intenderci) e applicarli anche all'information security? Del resto rimediare ai "peccati" sopra visti, non è "alta" sicurezza ma solo ordinarie pratiche.

No, troppo difficile. La vanità (e l'incompetenza) la fa purtroppo ancora da padrona.

[POLEMIC MODE OFF]

Commenti

Posta un commento

Post popolari in questo blog

Exploit: icsploit o espluà?

-
Immagine
Non ce la faccio più! Continuo a sentir pronunciare " exploit ", nel senso di " sfruttamento di una vulnerabilità informatica ", in francese: espluà ! E' quasi un pugno nello stomaco! Sebbene il termine inglese derivi dal francese, quando si usa nel contesto della sicurezza informatica, la pronuncia è in inglese, ovvero " ecsploit "o " icsploit " (a seconda che sia un sostantivo o un verbo). E poi visto che la consuetudine è quella di usare termini inglesi nel contesto informatico, e per amore di un unico e non ambiguo vocabolario, usiamo i termini inglesi quando ci riferiamo a cose ben specifiche  e relative all'informatica. Per essere estremamente chiari, se dobbiamo parlare di "SQL Injection" non è che possiamo tradurla come "inoculazione di sequenze maliziose in una istruzione del linguaggio SQL". Non si capisce nulla! Altrimenti torniamo al caro professore che insisteva nel tradurre "Computer" in "...
Continua a leggere

TrueCrypt 5.0: nuova release

-
E' uscita la nuova versione di TrueCrypt 5.0 (ricordo che è Free e Open Source). Importanti le novità: Features : permette di cifrare una intera partizione del disco con un'autenticazione pre-boot; inserita una pipeline per le operazioni di read/write che migliorano le prestazioni fino al 100% su Windows; nuova versione per Mac OS X; GUI per TrueCrypt su Linux; utilizzo di XTS - approvato recentemente come standard IEEE 1619 - per la protezione crittografica di device per lo storage a blocchi; sostituzione dello SHA1 con il più sicuro SHA-512. Bug fix : versione su Linux completamente ridisegnata per sopperire ai problemi dovuti all'aggiornamento del kernel; correzioni di bug e falle di sicurezza. Ho provato la nuova versione sia su Windows XP che su Vista Home Premium. Su XP Professional o Home nessun problema. Potete addirittura non disinstallare la vecchia versione, reinstallando tutto sopra. In Vista consiglio di disinstallare la vecchia versione, riavviare e poi ins...
Continua a leggere

ING Direct: ancora con il PAD numerico rotante!

-
Immagine
Quanti anni saranno che ING Direct ci propina il suo sistema di autenticazione? Avete presente il PAD numerico in cui ogni volta che si accede vengono cambiate le posizioni dei numeri sul tastierino? Negli anni avranno sicuramente cambiato la tecnologia sottostante e le tecniche di sicurezza, tanto è vero che alcuni script client-side inclusi nella pagina, con un breve giro con Firebug, sono generati server-side con URL randomiche (solo nell'ultima parte) e Firebug non riesce a mostrarli. Ma a parte la loro bravura nell'offuscare il codice, perché di offuscamento si tratta, quando si decideranno ad utilizzare un meccanismo di autenticazione a 2 fattori? Una cosa che tu sai + Una cosa che tu hai Potrei suggerire uno degli innumerevoli Token OTP che ormai molte banche danno ai loro correntisti e che li tranquillizzano non poco nell'accesso ai propri conti on-line. Provate a chiedere ad un utente se è più o meno tranquillo con un Token fisico che solo lui detiene e che ogni 30...
Continua a leggere