CyberSecurity 1337

Stavo leggendo un post dell'amico Feliciano Intini e vedo un insolito commento al suo post, pieno di puntini di sospensione e frasi in un italiano sgrammaticato. Sicuramente non sarò il primo ma a questo punto provo a coniare un nuovo acronimo: SBAM lo SPAM per Blog. Ecco il commento Spammoso al post di Feliciano : io ho comprato vista premium spendendo ...questo normale sapete da quando ho avuto il notebook con vista e stato un inferno ...si è non si puo dire che cio non si sa che vista non sia proprio un sistema che ci si impazzisce ...no non arriviamo a li ma nel senso di chi sta alle prime armi diventa ossesso chiedere leggere siti in inglese ma non solo la tecnica di fare su pc software e via descritta in inglese è un po piu difficile aggiungiamo anche le varie difficolta che dovrebbero aver carico chi te lo da ma si fa subito se è di una marca si inizia software microsoft hardware dell altra marca qui non dipende da....quindi si rimane come.... e si deve anche lavorarci magar...

Vi segnalo delle slide molto interessanti di Stefan Esser , Guru della PHP Security. Stefan illustra le vulnerabilità meno conosciute di PHP. Per chi usa questo linguaggio forse è il caso di dargli un'occhiata. E non provate a dire che PHP non si deve usare perché è insicuro, perché dovreste buttar giù tutti i portali del Web 2.0 :-) Se invece volete una buona introduzione sulla PHP Security, vi segnalo questo ottimo libricino della O'Reilly: " Essential PHP Securit y".

Ma com'è che ogni 6 mesi (a esser buoni) esce una vulnerabilità TERRIBILE che dovrebbe far finire Internet e quindi il mondo? Ci risiamo, e stavolta sembra che tutte le implementazioni del TCP/IP siano vulnerabili a questo attacco DoS. E bisogna riavviare per forza il server....dicono. Ma se tutte le implementazioni dello stack TCP/IP sono vulnerabili, mi viene il dubbio che il protocollo stesso lo sia! Sembra che sia possibile, abbassando di volta in volta la velocità con cui si inviano pacchetti TCP ad un server, arrivare ad un tempo infinito di risposta da parte del server che a questo punto non rilascerebbe le risorse (la connessione a quanto pare viene chiusa ma le risorse kernel rimarrebbero allocate). Descrizione vaga? Per il momento sono solo "rumors" ma i due ricercatori, che ovviamente hanno tratto beneficio di pubblicità per la loro azienda e per i loro prodotti, promettono di descrivere più in dettaglio la vulnerabilità verso la metà di ottobre. Fantasia, rea...

Vi giro una notizia uscita su Punto-Informatico che ha destato la mia curiosità, non tanto per il tipo di attacco, un CSRF , ma per l'obiettivo attaccato: ING Direct e Youtube (e altri...).  Nell'articolo vengono descritti con dovizia di particolari i passi e le modalità di attacco ai diversi siti tra cui ING Direct e Youtube! Il paper PDF è da leggere perché estremamente utile per capire fino in fondo cosa sia e come si porti un attacco di tipo CSRF, oltre alle contromisure da intreprendere.  Ovviamente l'articolo è stato pubblicato solo dopo che gli autori hanno notificato le vulnerabilità ai diversi siti sotto osservazione e dopo che queste sono state risolte.

Il poliedrico Matteo Flora ha messo su un'altra delle sue imprese:  FoolDNS . E' un DNS che sostanzialmente black-lista tutte le URL di Banner e agenzie pubblicitarie su Internet. Quindi, utilizzando questo DNS, il vostro client Web si scaricherà solo la URL interessata, mentre tutti i puntamenti nella pagina a siti nella loro black-list non funzioneranno. Matteo afferma che dai loro Log il vostro IP scomparirà dopo circa un'ora o 1 Mbyte di traffico e che (l'impresa commerciale e tecnica) adotta un codice etico. Insomma niente più banner! Matteo è bravo e la "vende" come una soluzione che tutela la Privacy degli utenti. Ma a me sembra che vi eviti solo di essere profilati commercialmente (comunque non è da poco). FoolDNS sa chi siete e quali siti tentate di risolvere, anche se poi "anonimizzano i loro log". Altrimenti basta scaricarsi Tor e allora sì che sarete veramente anonimi (attenzione comunque ai plug-in o alla google toolbar) e la vostra pr...

Sono in corso più di 40 ispezioni in tutta Italia a sistemi di video sorveglianza. La Guardia di Finanza (GdF), su incarico del Garante della Privacy, sta effettuando i controlli accertandosi che tutte le misure a tutela della privacy dei cittadini sia garantita. I controlli mirano a stabilire se sono state poste in essere tutte le misure tecniche per la conservazione dei filmati e se nei pressi delle telecamere sono poste delle informative ai cittadini per informarli delle videoriprese. Certo che in Italia siamo strani, mandiamo la GdF a fare controlli sulle telecamere invece di fargli fare controlli sull'evasione fiscale e/o sugli scontrini che non vengono mai rilasciati. Tempo fa sono stato a Cattolica: pranzo, cena e colazione senza nemmeno uno scontrino. E poi dicono che solo al Sud succedono queste cose! Vorrei suggerire al Garante di mandare in giro la GdF per Ospedali per stabilire se la privacy su dati SENSIBILI come quelli sanitari è preservata, o anche nei normali uffi...