UE: open science entro il 2020

Re: La backdoor hardware è invisibile
Per me è scontato per te non so.

Re: La backdoor hardware è invisibile
Allora non hai capito nulla.

Re: La backdoor hardware è invisibile
Adesso mi spieghi tutto!?

Re: La backdoor hardware è invisibile
Dove avrei affermato tale eresia?

Re: La backdoor hardware è invisibile
Conosci la differenza tra input e outup vero? Nei corsi di alfabetizzazione informatica è una delle prime cose che si spiega...

Re: La backdoor hardware è invisibile
- Scritto da: Grande Scoperta
- Scritto da: bitbit

Conosci la differenza tra input e outup
vero?
Nei

corsi di alfabetizzazione informatica è una
delle

prime cose che si

spiega...
Beh vedi il problema è appunto che se tracci le
comunicazioni le tracci TUTTE non solo quelle di
input e non solo quelle di
output.
Peccato!
;)Ma con cosa le tracci le comunicazioni? Carta e penna?

Re: La backdoor hardware è invisibile
- Scritto da: nome e cognome
Ripeto: con cosa la fai la packet inspection?
Carta e
penna?Ci sono tonnelate di tools per fare inspectcion da TCPDUMP a Wireshark solo per dire i più conosciuti.E non funzionano con carta e penna.Il fatto che tu parli di carta e penna credendo di essere spiritoso dice già quanto non conosci l'argomento e probabilmente non ci hai mai neppure provato.

Re: La backdoor hardware è invisibile
- Scritto da: nome e cognome
Scusa ma queste tonnellate di tool non devono
mica girare su una
CPU?Si ma non quella del PC che testi e non necessariamente neppure dello stesso tipo!(rotfl)(rotfl)

PS: Proprio non ci arrivi, eh?Qua chi non ci arriva sei tu! 8)

Re: La backdoor hardware è invisibile

Beh vedi per "attivare" hai solo 2 possibilità :
1) far passare comandi (e quindi dati)
2) La magia e la meditazione trascendentale e i
miracoli.Se è solo per farla partire, c'è anche l'avvio temporizzato: la backdoor è già presente in stand by e si attiva ad una certa data/ora prefissata. Oppure dopo un certo tempo di utilizzo.

Re: La backdoor hardware è invisibile
La questione è un po' più complessa, soprattutto quando di mezzo ci sono anche sistemi analogici come in questo caso, un evento lo puoi scatenare anche da una causa fisica, tipo temperatura, frequenza, voltaggio e altro ancora.Ad esempio un pc viene attivato a partire da un semplicissimo e banalissimo interruttore on/off, senza bisogno di nessun software.

Re: La backdoor hardware è invisibile
while attack_succes==0 do

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
while attack_succes==0 doBello! e riesci a comunicarlo al proXXXXXre senza passare dati?(rotfl)(rotfl)(rotfl)Cioè basta pensarlo o basta scriverlo qui sul forum?(rotfl)(rotfl)Giusto per sapere eh?

Re: La backdoor hardware è invisibile
la attivi INVIANDO dati e poi aspetti che ESCANO FUORI, solo allora hai qualche possibilità di rilevare la backdor...

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
..e devi avere due palle tanto così per
riuscirci...Le due palle si chiamano "network monitoring" basta che ti metti sulla rete tra il route e il PC e vedi TUTTO quello che passa lo può fare anche un "utonto medio"!(rotfl)(rotfl)Certo che se il tuo problema massimo è la paghetta per domani... beh è ovvio che ci vogliono "due palle" che non sono alla tua portata! 8)

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
certamente, e quando tu hai visto i comandi che
sono passati dal router al pc la backdoor ha già
eseguito il 99,9999% delle istruzioni che gli ho
detto di
eseguire.....
sei proprio ingenuo..Guarda che i comandi passano appunto PRIMA dal router e sono io che decido se farli proseguire fino al PC!Capisci la parola PRIMA?o devo farti un disegnino? 8)

Re: La backdoor hardware è invisibile
..e ovviamente tu che sei mago Merlino sai già che quei comandi che stò inviando attiveranno una backdoor della quale non hai la minima vaga idea che esista o possa esistere.....ma certo la tua difesa si basa sulla mia skill che tu sai già a che livello è, ti rendi conto che pretendi di proteggerti dall'ignoto?

Re: La backdoor hardware è invisibile
...un altro che pensa basta iptables per salvare il mondo....

Re: La backdoor hardware è invisibile
Non esiste un modo o un metodo o un prodotto sicuro al 100%, lo sai bene anche tu credo, quindi non puoi avere la certezza di poterti difendere da qualsiasi attacco, anche quando pensi di avere la situazione sotto controllo, sei sempre in relazione con ciò che conosci e quello che non ti aspetti quando arriva devi poi rincorrerlo, e non sempre lo raggiungi per tempo.Lo studio che hanno fatto riguardo alla backdoor hardware è solo un esempio di ciò che non è prevedibile, e ciò che non puoi prevedere non lo puoi controllare prima che avvenga.

Re: La backdoor hardware è invisibile
Vabbè...chiudo qui, l'arroganza è una brutta bestia, e tu con questo tuo ultimo post ti dimostri veramente brutto.Ciao

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
..dopo puoi anche tentare di trovarla la
backdoor....però levati prima il
paraocchi...Dopo cosa?I dati passano PRIMA non DOPO se vuoi attivare! 8)Con cosa "attivi" con la bacchetta magica?(rotfl)(rotfl)

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
rileggi il primo messaggio del thread (sai cosa è
vero?) e poi ricomincia a
rispondermi....Forse non ti è chiaro quello che hai scritto!I dati passano prima (ripeti con me PRIMA) che la back dor esegua qualunque istruzione dato che qualcuno deve dirgli di farlo!SVEGLIA!

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
..rileggi anche il secondo...ti aiuterà
ulteriormente a
capire...Si ho capito che non sai che dire...

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
io ti avevo detto di rileggere il primo messaggio
e tu mi hai riportato il secondo....comunque
utile come poi ho
puntualizzatoIl primo messaggio non è tuo!Il secondo si!E è a quello che ti ho chiesto risposta!è inutile che ci giri attorno se non hai risposta non ce la hai. 8)

Re: La backdoor hardware è invisibile
- Scritto da: bitbit
infatti io ho risposto al primo messaggio non a
te....sei tu che ti sei intromesso ed hai
iniziato a vaneggiare di maghi fate e
incantesimi..No affatto io ti ho chiesto una cosa facile facile...Ovvero come fai a attivare la tua "non scopribile" back door...ma purtroppo quello che si dimostra è che ti fai scoprire subito perchè per "attivare" ti tocca di comunicare... e li ti aspetto io. :D

Re: info
- Scritto da: bitbit
- Scritto da: Grande Scoperta


AMT non funziona senza software.

Festa finita!

8)
Hai scoperto l'acqua calda.....Non la ho scoperta io è proprio scritto dalla Intel! :D

Re: info
- Scritto da: bitbit
Poteva scrivere qualcosa di diverso la Intel?
Esiste un chip che funziona senza software?
funziona=elaboraErgo siamo arrivati ad un altra patata lessa?Ovvero che non esiste alcuna Back door possibile senza un sofware apposito?(rotfl)(rotfl)(rotfl)Caspita!Oggi è giornata grassa!Va a finire che tutta sta cosa della back door "hardware" è "hardware" fino ad un certo punto?(rotfl)(rotfl)(rotfl)

Re: info
- Scritto da: bingo bongo

- Scritto da: Grande Scoperta

- Scritto da: bingo bongo




Male, molto male.

Concordo.

Meno male, da qui in avanti hai discordato su
tutto buttandola in
caciara.










Posto da una distro composta esclusivamente

da


software libero, con kernel deblobbato,

niente


account, sempre proxato, dns ricorsivo

minimale


in locale, firewall brutale anche in
uscita,


niete P2P, niente SSH, JS selettivo e solo
da


macchina virtuale, dischi cifrati (FDE),

software


solo se indispensabili, sempre patchato,

ecc...


ecc...



Ecco errore n. 1

Io invece posto da una distro Live su chiavetta
e

nulla di

scrivibile

:D

Capirai, sono gli stessi protocolli, software e
implementazioni bucate della mia distro, la
maggior parte degli attacchi mirano a carpire
dati in USCITA (p.e. con attacchi MITM)
approfittando degli errori di programmazione,
direi che ti scomodi tanto per poco anche
tu.


Un netto miglioramento e con molta poca fatica

rispetto al tuo

setup.

;)

Capirai, la ram resta scrivibilissima e chissà
quanti altri heartbleed sono ancora in
circolazione.

Gira e rigira fai lo stesso errore che fanno in
tanti, prese quelle poche precauzioni che sei
capace di mettere in atto ci casci e cominci a
fidarti, nel tuo caso specifico della tua distro
su chiavetta e tutta la monnezza che c'é
dentro.

Adesso io capisco che anche tu, come la maggior
parte delle persone d'altronde, non hai granché
da
nascondere.






Fiducia zero eppure sono certo che un

conoscitore


nemmeno troppo bravo saprebbe sfilarmi
tutto

nel


caso decidesse di farmi un attacco mirato,
il


punto é che non gli conviene, ma questa é
un'


altra


storia.



Errore n. 2!

Sapere se quello che stai facendo "vale la pena"

per uno "skillato" di un attacco è una parte

essenziale del "risk asessment" e quindi della

sicurezza.

Eppure mi sono spiegato molto bene: NON ci metto
dati sensibili su questi cessi, più chiaro di
così non si
può.


Le misure da prendere devono essere
proporzionate

alla "motivazione e skill" di un attaccante

perchè quelle aggiuntive e non necessarie

rischiano di compromettere ulteriormente lo

scenario e la superficie di

attacco.

:D

Fosse così semplice...

E di nuovo! Commetti lo stesso errore dell' amico
sopra: ti fidi. La verità é che NESSUNO ha
realmente un' idea precisa di quanto sia
realmente grande la supericie di attacco.
Dimostra il contrario se ci
riesci.

Altra precisazione, si parla sempre di supericie
di attacco considerando ciò che viene presentato
alla rete, ma quasi mai si considera la
superficie di attacco considerando verso QUALE
rete vengono esposti i dati, spiegato papale
papale un host connesso ad una intranet chiusa é
diversi ordini di grandezza più sicuro di un host
connesso ad Internet, ma questo i venditori a
vario titolo non vogliono farlo sapere, per loro
va connesso ad I. anche il tuo spazzolino da
denti quindi superficie di attacco sempre MASSIMA
in termini di potenziali attaccanti. In nome del
dio
"soldo".

Puoi far finta di non capire, prometto che non mi
offendo.

In ambiti che vanno oltre il semplice
cazzeggio , in uno scenario corporativo ad
esempio, non sempre la responsabilità dopo un
disastro é direttamente attribuibile all'
amministratore, in quei casi ache l' inettitudine
dell' utente gioca un ruolo
importante.

Per esempio vedi cosa sta succedendo con i
ransomware: per quale cazz* di motivo i computer
con i dati sensibili dei pazienti sono connessi
ad I. insieme al PC della receptionist?


Soldi, non ci sono altre spiegazioni, licenze da
vendere, connettività da vendere e così
via.






Hanno incu**to HT (ed é solo un esempio dei


tanti) perché non dovrevve succedere lo

stesso


con un pinco pallino qualsiasi come me... o

come


te? Dove sei stato negli ultimi


anni?

Beh sai HT può solo dire "chi è causa del suo

mal...." dato che erano stati pure avvertiti ora

hanno ascoltato (troppo tardi) i consigli che
gli

furono a suo tempo

dati...

HT é l' esempio di chi si fida e mette i sorgenti
su PC connessi a Internet. Questo é stato il loro
grande errore, si sono fatti XXXXXXX i sorgenti.
Non ci sono santi che
tengono.







Solo ora? Solo ora????? Mah, fossi in te mi


documenterei un po' di


più.

Beh il "tutto" è sicuramente "troppo" le

contromisure devono essere misurate in funzione

dell'analisi dei rischi altrimenti come detto
non

funzionano.

:D

Questi sono i blabla del business della sicurezza
che vogliono farti rischiare il c**o per
fatturare.






Ti consiglio la lettura di una RFC, é del
'99


nonostante tutto resta straordinariamente


attuale:





http://www.faqs.org/rfcs/rfc2504.html

Cominciamo a dare i link in modo corretto

Motore di ricerca primo link utile e via.
Funziona? Si! Cià ciccio e tanti
saluti.


IETF è

la fonte e i documenti si caricano da

li:

https://tools.ietf.org/html/rfc2504

:D

Dopo di che consiglio di leggerlo con attenzione

invece di limitarsi a

linkarlo.

8)

Commenta a modo e lascia perdere le trollate
adolescenziali. Nel tuo commento siamo a zero in
quanto a contenuti, un paio di marchette copia
incolla e niente di
più.Si ma non dirglielo in modo cosi brutale, lui pensa di essere un maestro, dell' insegnamento.

Re: info
- Scritto da: bingo bongo


software libero, con kernel deblobbato,

nienteChe vuol dire deblobbato?Sai che cappero scrivi?Non devi "deblobbare" un tubo basta che non usi driver closed!
Capirai, sono gli stessi protocolli, software e
implementazioni bucate della mia distro, la
maggior parte degli attacchi mirano a carpire
dati in USCITA (p.e. con attacchi MITM)MITM? sui dati in uscita oltretutto?(rotfl)(rotfl)Mi spieghi l'utilità?Giusto per sapere eh!Perchè vedi sui "dati in uscita" ci sono 2 possibilità o non sono cifrati (il che significa che non me ne frega un tubo) o sono cifrati il che significa che vanno verso un mio server o un server trusted quindi niente MTIM dato che è cifrato end to end.(rotfl)(rotfl)
Capirai, la ram resta scrivibilissima e chissà
quanti altri heartbleed sono ancora in
circolazione.1) che mi frega di "quanti heartbleed" ci sono in circolazione? Secondo te passo dati sensibili a server che non conosco?(rotfl)(rotfl)2) Scrivibilissima da chi?(rotfl)(rotfl)hai mai sentito parlare di NX bit?No vero?

Gira e rigira fai lo stesso errore che fanno in
tanti, prese quelle poche precauzioni che sei
capace di mettere in atto ci casci e cominci a
fidarti, nel tuo caso specifico della tua distro
su chiavetta e tutta la monnezza che c'é
dentro.Cioè secondo te l'unico modo di usare una "distro live" su chiavetta è prenderla "as is"?(rotfl)(rotfl) Certo che sei uno che se ne intende davvero!(rotfl)(rotfl)
Eppure mi sono spiegato molto bene: NON ci metto
dati sensibili su questi cessi, più chiaro di
così non si
può.Non hai ovviamente capito un tubo!Sapere quale è lo skill di "chi" cerca "quali dati" è un elemento fondamentale nell'assessment di sicurezza non hai il benchè minimo rudimento di risk management vero?(rotfl)(rotfl)

Fosse così semplice...è così semplice!Una porta blindata basta e avanza per il ladro da 2 soldi e non serve a nulla per un professionista!Pensare che siano tutti uguali e soggetti alle stesse misure è il modo migliore per avere brutte sorprese! :D

Dimostra il contrario se ci
riesci.La superfice d'attacco dipende dall'attacco stesso e sopratutto dipende (come ho appena finito di dirti) da chi conduce l'attacco! e da quali conoscenze tecniche utilizza ne più e ne meno!Per esempio se utilizzi il browser la "superficie di attacco" è predeterminata non ha nulla di "vago".Se utilizzi SSH è completamente diversa e così via.Se proteggi un repository (server) hai una superficie di attacco che non ha nulla in comune con quella di un client SSH o di un Browser...Ogni SINGOLO oggetto che "proteggi" va classificato e valutato in questi termini ciccio bello!

Altra precisazione, si parla sempre di supericie
di attacco considerando ciò che viene presentato
alla rete, ma quasi mai si considera la
superficie di attacco considerando verso QUALE
rete vengono esposti i dati, spiegato papale
papale un host connesso ad una intranet chiusa é
diversi ordini di grandezza più sicuro di un host
connesso ad Internet, ma questo i venditori a
vario titolo non vogliono farlo sapere, per loro
va connesso ad I. anche il tuo spazzolino da
denti quindi superficie di attacco sempre MASSIMA
in termini di potenziali attaccanti. In nome del
dio
"soldo".Ma cosa diavolo dici?Evidentemente non hai la più pallida idea se vado verso un server "pubblico" accessibile a cani e porci secondo te gli passo dati sensibili?(rotfl)(rotfl)(rotfl)Ma in che mondo vivi?Se vado verso un server trusted (chee significa che è stato valutato in termini di rischio) invece stai ben sicuro che la connessione è verificata su entrambi i lati (tutti e due gli endpoint).Ad esempio verso il <b
MIO </b
server di E-Mail ti puoi connettere come client solo in modo cifrato e presentando il tuo certificato (oltre che il viceversa) e non hai proprio modo di connetterti con nessuna altra opzione e il certificato deve essere della <b
MIA </b
CA.

Puoi far finta di non capire, prometto che non mi
offendo.Direi che qui chi sta dimostrando di non capire sei proprio tu.
Per esempio vedi cosa sta succedendo con i
ransomware: per quale cazz* di motivo i computer
con i dati sensibili dei pazienti sono connessi
ad I. insieme al PC della receptionist?Ma che cavolo dici?Quale Receptionist?(rotfl)(rotfl)Perchè spari idiozie a vanvera di cui non sai nulla?Pensi di fare bella figura? 8)

HT é l' esempio di chi si fida e mette i sorgenti
su PC connessi a Internet. Questo é stato il loro
grande errore, si sono fatti XXXXXXX i sorgenti.
Non ci sono santi che
tengono.Ecco appunto. :DNon hai capito nulla di nuovo!(rotfl)(rotfl)I "sorgenti" sono un problema se sono "segreti" se non lo sono invece no!È una questione di uso e classificazione (tua soggettiva) delle risorse che proteggi e come le proteggi.È una questione di "risk assessment" in cui vanno classificati i dati in ordine di riservatezza e di rischio se un dato è riservato va ovviamente protetto in rapporto al rischio (questo determina la suuperficie di attacco non le bubbole!) e se non lo è no!Quello che a loro mancava è la stessa cosa che evidentemente manca a te la minima cognizione di analisi del rischio.E (ripeto) erano pure stati avvertiti e hanno pure pagato uno studio che poi non hanno applicato... o meglio lo hanno applicato solo dopo che i buoi erano scappati dalla stalla! :D
Questi sono i blabla del business della sicurezza
che vogliono farti rischiare il c**o per
fatturare.Si si.. come no chiedi appunto a HT(rotfl)(rotfl)
Motore di ricerca primo link utile e via.
Funziona? Si! Cià ciccio e tanti
saluti.certo appunto e nessuna garanzia che la fonte sia corretta!(rotfl)(rotfl)La sicurezza è fatta anche di questi particolari!Hai motivo di fidarti che di leggere i documenti di IETF di "seconda mano"?E se si quali? 8)

Re: info
- Scritto da: bitbit
Scusa....ma quale incantesimo usi per capire la
skill di chi ti stà attaccando? E quale magia fai
che mago Merlino non conosce per
proteggerti?Magari verificando che tipo di skill occorre per abbattere la difesa che hai predisposto?Guarda che ci sono tanto di metodologie e manueli per farlo.Certo pretendere che tu li conosca pare difficile.

Re: info
...
Che vuol dire deblobbato?
Sai che cappero scrivi?Il problema é che tu non sai cosa leggi.
Non devi "deblobbare" un tubo basta che non usi
driver
closed!Sei messo male.


Capirai, sono gli stessi protocolli,
software
e...
MITM? sui dati in uscita oltretutto?...
Mi spieghi l'utilità?Non lo capiresti dato che non hai niente da nascondere....
end.SSL e TLS sono bucati peggio di un colapasta per questo sono possibili attacchi MITM, lo scopo é proprio quello di far credere ai fessacchiotti che le connessioni https siano sicure:https://drownattack.com/E te lo dico di nuovo: tu ti fidi e fai male.

1) che mi frega di "quanti heartbleed" ci sono in
circolazione?Di menefreghisti superficiali come te é pieno il mondo basta vedere quanti server sono ancora vulnerabili ad heartbleed.

Secondo te passo dati sensibili a server che non
conosco?Passi dati sensibili a server BUCATI che conosci.

2) Scrivibilissima da chi?Dal primo che pinco pallino che vuol farti il c*lo.
hai mai sentito parlare di NX bit?
No vero?E chi ti dice che sia stato implementato correttamente? Anche Openssl era na pacchia e poi...
secondo te l'unico modo di usare una "distro
live" su chiavetta è prenderla "as
is"?Se ci metti le mani tu peggiora....

Eppure mi sono spiegato molto bene: NON ci...
di risk management
vero?Quelle sono discorsi da markettari, i rudimenti di come sfilare soldi a quelli come te che si fidano.



Fosse così semplice...
è così semplice!Vallo a dire a chi gestisce dati militari a vari gradi di classificazione e ti sputa in faccia!
Una porta blindata basta e avanza per il ladro da
2 soldi e non serve a nulla per un
professionista!Senza porta ciccio, capisci adesso?
Pensare che siano tutti uguali e soggetti alle
stesse misure è il modo migliore per avere brutte
sorprese!
:DIl primo sei tu. Comunque parli sempre di dati spazzatura....
La superfice d'attacco dipende ... ne più e ne
meno!Dipende anche verso cosa ti esponi, ma sei de coccio e pronto.

Per esempio se utilizzi il browser...
Se utilizzi SSH è completamente diversa e così
via
...
Ogni SINGOLO oggetto che "proteggi" va
classificato e valutato in questi termini ciccio
bello!Poi hai un remote code execution in uno degli elementi del SO é sei XXXXXXX a prescindere dal giocattolo che hai installato... ciccio.Ti fidi, male.
...

in termini di potenziali attaccanti. In nome
del

dio

"soldo".
Ma cosa diavolo dici?Eccolo là....
Evidentemente non hai la più pallida idea se vado
verso un server "pubblico" accessibile a cani e
porci secondo te gli passo dati
sensibili?A questo punto ho la certezza di un tuo piccolo problemino con la comprensione.
Ma in che mondo vivi?Di certo non in quello dei faciloni come te.
Se vado verso un server trustedNON ESISTE TRUSTED.
(chee significa
che è stato valutato in termini di rischio)NON ESISTE TRUSTED.
invece stai ben sicuro che la connessione è
verificata su entrambi i lati (tutti e due gli
endpoint).Stai fresco.

Ad esempio verso il <b
MIO </b

server di E-Mail ti puoi connettere come client
solo in modo cifrato e presentando il tuo
certificato (oltre che il viceversa) e non hai
proprio modo di connetterti con nessuna altra
opzione e il certificato deve essere della
<b
MIA </b

CA.E ti fidi di nuovo, di una CA poi...




Puoi far finta di non capire, prometto che
non
mi

offendo.
Direi che qui chi sta dimostrando di non capire
sei proprio
tu.Direi che tu la prendi troppo alla leggera come fanno i markettari che ti hanno indottrinato.


Per esempio vedi cosa sta succedendo con i

ransomware: per quale cazz* di motivo i...
Quale Receptionist?Ma sei analfabeta?
Perchè spari idiozie a vanvera di cui non sai
nulla?
Pensi di fare bella figura?E' l'esatta XXXXXXX che fanno quelli come te: mischiare dati sensibili alle XXXXXXX pensando di aver tutto sotto controllo perché tanto i rischi son stati "valutati".



HT é l' esempio di chi si fida e mette i...
Non hai capito nulla di nuovo!
I "sorgenti" sono un problema se sono "segreti"
se non lo sono invece
no!Tu sei rintronato o cosa? I sorgenti nel caso di HT cos' erano di dominio pubblico? Sveglia ciccio bimbo.
È una questione di uso e classificazione
(tua soggettiva) delle risorse che proteggi e
come le
proteggi.Così pensava anche il loro sysadmin da strapazzo e stiamo ancora ridendo di loro.

È una questione di "risk assessment" in cui
vanno classificati i dati in ordine di
riservatezza e di rischio se un dato è riservato
va ovviamente protetto in rapporto al rischioEh, peccato che siano in pochissimi a farlo e tu non sei fra quelli.
(questo determina la suuperficie di attacco non
le bubbole!) e se non lo è
no!Dipende anche a cosa ti connetti, una connessione punto a punto via cavo nello stesso ...hanno applicato solo
dopo che i buoi erano scappati dalla
stalla!
:DNo ciccio quella mer*a non doveva essere connessa ad Internet, solo un bimboXXXXXXX farebbe una simile scemenza.

Si si.. come no chiedi appunto a HTInfatti loro hanno ascoltato le palle che racconti tu ed hanno esposto i sorgenti verso Internet, ovviamente dopo un' attenta "valutazione" del rischio LoL.

certo appunto e nessuna garanzia che la fonte sia
corretta!E' una RFC se vuoi te la leggi dove meglio credi, io do l' input poi spetta all' interlocutore decidere se, come, quando leggere.
Hai motivo di fidarti che di leggere i documenti
di IETF di "seconda
mano"?Dipende: vedi quei polli di Mint, le uniche iso tarocche erano quelle di "prima mano". Ripeto: tu ti fidi e fai male.

Re: info
- Scritto da: Grande Scoperta
Se li conosco non sono bucati perchè li ho
verificati,
:DInteressante, che procedure attui per verificare un server?

Re: info
Non intendevo verificare solo eventuali bug su ssl, volevo sapere come verifichi la sicurezza di un server nel suo insieme.Ad esempio nel caso di una backdoor a livello hardware come la verifichi?Oppure un rootkit nel kernel o qualche driver o servizio?Insomma come ti garantisci la fiducia del server che utilizzi o al quale ti connetti?

Re: info
- Scritto da: Qubit
Non intendevo verificare solo eventuali bug su
ssl, volevo sapere come verifichi la sicurezza di
un server nel suo
insieme.Dunque ci sono solo 2 possibilità o il server lo ho installato io di persona o lo ha installato qualcuno conosciute e competente che io conosco bene.In nessuna altra circostanza transitano dati riservati.Del resto quale motivo avrei di scmbiare dati riservati con chi non conosco?Il problema quindi non si pone proprio ripeto tu faresti comunicazioni riservate con uno sconosciuto?E se si per misterioso quale motivo?Alla fine della festa il mio problema non è mica cosa fa google o amazon o chicchessia.I dati che transitano verso quei signori sono tutto fuorchè riservati!Del resto non c'è motivo che sappiano altro.I dati riservati servono per parlare con i tuoi servizi o con quelli di chi conosci è tutto molto semplice.Ad esempio quando lavoro (per fare un esempio) a una offerta commerciale o a una gara col mio socio (stiamo in 2 città diverse) ovviamente nessuno dei due sarebbe contento che il resto del mondo sapesse importi e quanto altro.Alla fine appunto è solo questione di "classificazione" i dati non sono tutti uguali alcuni sono riservati altri non lo sono e lo stesso i tuoi corrispondenti alcuni sono fidati altri non lo sono.Altri ancora sono addirittura critici...Non c'è nulla di trascendentale si tratta alla fine semplicemente di distinguere questo oltre a funzionare riduce enormemente la "superficie di attacco" e le possibilità di un eventuale attaccante anche molto motivato.Ma se non fai prima questa analisi su cosa è importante cosa è importantissimo e cosa invece non vale la pena (ne la spesa) sei sempre in balia delle circostanze ovviamente.

Re: info
- Scritto da: Qubit
Non hai risposto....
La cpu che monta il tuo server, il firmware dei
dischi, le rom dei chip lan, per esempio, come li
verifichi? Cosa fai per garantirti che non sono
stati
manomessi?Facile uso solo driver open source.Sai le schede di rete non fanno nulla se il driver non glielo dice e inoltre lo ripeto per la milionesima volta i pacchetti che entrano e escono li vedi bastta che ti metti tra il router e il server.Se poi non sai o non vuoi farlo è un altro paio di maniche. :D
Ti basta aver installato il sistema? Te lo
compili da te e non ti tiri giù millemila
pacchetti precompilati, o prepari da te anche i
server con i repository? O magari conosci tutti
gli admin dei server con i sorgenti del software
che
utilizzi?Guarda che un sistema certficato CCEAL4+ è verificato anche livello sorgente in funzione degli obiettivi assegnati al profilo di sicurezza. ;)https://it.wikipedia.org/wiki/Evaluation_assurance_levelhttps://www.commoncriteriaportal.org/Non lo sapevi vero?Leggi va e poi scaricati i manuali quando avrai fatto e capito (in pratica fra qualche annetto) torna pure che ne riparliamo. 8)

Re: info
- Scritto da: nome e cognome
Non sei un buon paranoide ... le schede di rete
fanno quello per cui sono state progettate,
driver o meno; e a meno che non ti metti con
carta e penna tra router e computer, il
dispositivo che analizza i pacchetti conterrà dei
circuiti integrati che possono essere programmati
per fare qualsiasi cosa.1) Continui non capire i "circuiti" escono su una rete che ha un solo tipo di trasporto (IP) e se vogliono essere trasportati gli tocca di essere IP chiaro?Sul percorso invece che "carta e penna" trovano il packet analizer che li aspetta (coi suoi "circuiti").2) I circuiti non fanno nulla che il sofware non gli chieda di fare.Non so più come dirtelo!
Anche qui non sei un buon paranoide, chi
certifica il sistema?
Tutte le facilities (laboratori) che sono abilitati a farlo E comunque
windows xp è
certificato
eal4+Windoze è certificato ma tu non conosci cosa fa (a differenza di Linux) ne Microsoft è tenuta a spiegartelo se leggi il certificato di Windoze e quello di Suse o red hat ti rendi conto della differenza (security target) e di cosa è adatto a proteggere o no (N.B. il certificato è pubblico proprio per questo motivo).Ovviamente se hai i sorgenti puoi liberamente verificare se quanto è scritto nel certificato è vero in caso contrario.... lo hanno letto solo i certificatori... ;)In pratica Windoze non ha features di protezione strong delle chiavi di crittografia (è fuori dagli obiettivi del target dichiarato) e ovviamente la versione "certificata" non è quella che usi tu la devi appositamente richiedere e pagare profumatamente.N.B. la legge americana tra le altre cose considera la crittografia strong "non esportabile" ad esempio attualmente un prodotto commerciale non può generare chiavi RSA più lunghe di 512 o 1024 bit (solo per dirne una) a meno che il prodotto non sia di "pubblico dominio" o di universale conoscenza (cioè open source in parole povere).https://en.wikipedia.org/wiki/Export_of_cryptography_from_the_United_StatesRassegnati va! :D