Pakistan, web senza filtro?

Re: non mi è chiaro...
- Scritto da: FDG
- Scritto da: si ma


in conclusione: una non falla!

Ma perché questa polemica? Ok, è MeX, ma ha fatto
un'osservazione sensata. No, non è sensata.Se questa cosa fosse stata su Windows mi sarebbe piaciuto sentire le vostre razzate.
Aggiungo pure che, per
quanto sia una falla, è comunque qualcosa che
incide relativamente, visto che la gente casca
nel fishing senza che l'URL venga
nascosta.Se permetti, basta anche un link su di un sito per creare questo problema.

Il problema è sempre quello: la persona che sta
usando il browser. La maggior parte degli
"utonti" manco sa cosa c'è scritto sulla barra
degli indirizzi e non lo va a
guardare.Sicuramente, ma quello che stai dimenticando (e spero non sia per le sottili fettine di mela sugli occhi) è COME si può usare questo exploit.

Re: non mi è chiaro...

E come lo puoi usare. Discutiamo di questo, PER
FAVORE!Lo utilizzi come utilizzi qualunque exploit di questo tipo, mirato a siti dove sai che ci sono $$$ dietro.Vediamo le ipotesi di base:- se non ci fosse questo exploit: creo un link / induco un utente a cliccare su di un link ma nella barra del browser vedo il sito internet malizioso. L'utente o "mangia la foglia" o comunque va "con i piedi di piombo" su richieste strane.- con questo exploit: uguale a prima ma vedo il sito internet originale, quello che mi aspetto. Risultato: abbassamento dell'attenzione dell'utente. Da quel momento l'utente si sente sicuro.Hai anche chiesto "dove metto il link". La mia risposta è: dove vuoi. Anche su PI. Poi fai perdere la calma a gente che si innervosisce (sai, quelli che si ROMPONO) e li fai fare un po' quello che vuoi. Se non capisci la differenza ti invito a rileggere i due punti sopra.Torniamo al discorso di Mex:1. Devi arrivare sul sito "malevolo" tramite phishing o similariQuesta è la frase più assurda dell'universo, perchè ci sono così tanti modi per XXXXXXX le persone in questo modo SENZA problemi reali, FIGURIAMOCI quando l'exploit è serio.2. Non c'è modo di alterare il sito "originale" solo di "aggiungere" eventuali bottoni etcQualcuno qui conosce HTML / CSS ? Sembrerebbe di no.FONTE: ho lavorato per quasi 10 anni su questi argomenti, e per altri 6 su cose ancora peggiori.

Perché di certi atteggiamenti del razzo mi sono
sinceramente
ROTTO!Io mi sono rotto di sentire voi menti semplici battere i piedini perchè i giocattolini con la mela si sono rotti.Come la mettiamo?

Re: non mi è chiaro...
- Scritto da: FDG
- Scritto da: HermanHesse Quello TOSTO!


Io mi sono rotto di sentire voi menti
semplici

battere i piedini perchè i giocattolini con
la

mela si sono

rotti.

Come la mettiamo?

Forse non ti sei reso conto che stiamo dicendo le
stesse
cose.No, io sto dicendo che questo è un exploit grave, se usato nella maniera "corretta". Voi state tirando in ballo mitigating factors in stile Microsoft.

Adesso se ti togli dalla testa quel razzo di
pregiudizio, TI fai un
favore.Quale pregiudizio? Quello che nemmeno se una cosa con la Mela vi esplodesse in mano ammettereste un problema? Suvvia....

p.s.: aggiungo un'informazione utile, spero anche
a far tornare la discussione nel giusto binario.Spara.....
Quando entri via https in una pagina che ha un
certificato valido, ad esempio una pagina
d'autenticazione, sopra la barra del titolo
comprare il proprietario del sito. Non credo che
il buco riguardi questa
cosa.Basta fare una prova, creare una pagina maliziosa e provare ad "incapsulare" un sito che usi secure http... "Non credo" non è che sia sufficiente: dipende molto da come è scritto il codice.Ad ogni modo c'è stato anche di peggio su Safari (tipo http://t.co/3Gb3Oe1I ).
--------------------------------------------------
Modificato dall' autore il 22 marzo 2012 16.04
--------------------------------------------------

Re: non mi è chiaro...

I fishing si scovano facilmente, non a caso in
Mail, il programma di posta elettronica di OS X,
quando si pone il puntatore su un link, si legge
l'URL reale. Lo stesso per Mail di iOS: tenendo
premuto il link (testo o immagine che sia),
appare il vero URL.l'utente medio sfortunatamente non lo fa....e il dns cache poisoning? pensa sei al parco con l'ipad vai sulla banca e pam! incannato.