Xbox cracca Xbox. Crunch crunch!

Il progetto di calcolo distribuito per il cracking della chiave crittografica di Xbox, appena ripartito dopo una breve sosta, ha rilasciato una versione del software capace di girare anche su Linux, incluso... Xbox Linux


Roma – Con il rilancio di Operation Project X , quel gruppo di patiti del computing distribuito appartenenti al team Neo Project ha ridato ufficialmente il via ad una sfida davvero ambiziosa: riuscire a craccare, attraverso la potenza di calcolo inutilizzata di migliaia di PC, la chiave crittografica necessaria per far girare su Xbox qualsiasi software, incluso l’ormai noto Xbox Linux.

Per dar vita alla rete peer-to-peer di calcolo distribuito il progetto ha sviluppato un software (scaricabile qui ) che, similmente a quanto avviene con SETI@home, può essere utilizzato da un utente per condividere, attraverso Internet, parte delle risorse di calcolo del proprio PC. La novità è che ora questo piccolo client è disponibile, oltre che per Windows, anche per Linux, così da ampliare ulteriormente il potenziale numero dei partecipanti alla “sfida”.

Neo Project fa notare come, per ironia del destino, “Xbox può ora craccare se stessa”: chi dispone di una console “chippata” e di Xbox Linux può infatti partecipare a Project X installando su Xbox la nuova versione del client.

Nelle ultime settimane Neo Project sostiene di aver valutato con attenzione tutte le possibili conseguenze legali derivanti dal proprio progetto ed essere arrivato alla conclusione che non esistono rischi. Ma il problema, secondo alcuni, non è tanto di carattere legale, quanto di carattere tecnico: craccare una chiave da 2.048 bit – tale è infatti la lunghezza della chiave crittografica utilizzata da Xbox – appare ai più un’impresa molto ardua o addirittura impossibile da portare a termine in tempo utile, ossia entro qualche anno. I ragazzi di Neo Project, tuttavia, sembrano volersi affidare più alla fortuna che alla statistica.

La posta in palio, per gli utenti di Xbox, è però molto allettante: trovare la chiave, infatti, significherebbe dire finalmente addio ai mod-chip che, oltre che costosi, hanno lo sgradevole effetto di invalidare la garanzia della console.

Trovare un modo per fare girare su Xbox software non certificato senza ricorrere a metodi illegali è anche uno degli obiettivi dell’Xbox Linux Project, il cui team, proprio di recente, si è persino appellato a Microsoft affinché questa gli rilasci la firma digitale necessaria per far girare Linux su Xbox senza modifiche hardware. Da Redmond, per il momento, solo silenzio.

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Anonimo scrive:
    Come si costruisce uno Zero Day Attack .
    **Note ad una discussione su CRYPTO-GRAM **(traduzione di un messaggio comparso sulla lista Bugtraq il 15/03/2003)Ne' Microsoft Baseline Security Analyzer (MBSA) ne' la versione Microsoft di HFNetChk riescono ad individuare la presenza della ormai famosa vulnerabilita' di SQL Server sfruttata dal "verme" chiamato Sapphire o SQL Slammer; questa e' una delle ragioni per le quali cosi' tanti amministratori di sistema (sia dentro che fuori dalla Microsoft) non hanno installato gli indispensabili hotfix.MBSA e HFNetChk sono gli strumenti ufficiali Microsoft per la verifica dello stato delle patch, quelli che andrebbero usati da tutti i proprietari di macchine Windows.Tutti e due i programmi usano un file XML distribuito, sia cometesto XML puro (mssecure.xml) sia come archivio CAB firmatodigitalmente (mssecure.cab), da punti di distribuzione il cui indirizzo e' cablato nei programmi. Il file mssecure.xml e' assemblato manualmente partendo da una arbitraria selezione manuale di tutti gli hotfix, i service pack e i bollettini di sicurezza emessi da Microsoft. I due principali punti di distribuzione sono la Shavlik Technologies (l'azienda cheha creato sotto contratto il programmi per conto di Microsoft) ela Microsoft stessa. Fino a poco tempo fa, HFNetChk era stato progettato per scaricare la versione di Microsoft per default. Le ultime versioni invece prelevano per default la versione di Shavlik, perche' Microsoft ha smesso di aggiornare con regolarita' il file, mettendoci l'attenzione ai dettagli necessaria per far si' che questo sistema di verifica delle patch funzioni regolarmente.[...]La versione di mssecure.xml di Shavlik Technologies conteneva le informazioni necessarie ad identificare la DLL vulnerabile di SQL Server (ssnetlib.dll), cosicche' tutti gli utilizzatori di HFNetChk che avessero usato l'XML di Shavlik sarebbero stati avvisati con mesi di anticipo che il file andava aggiornato con una hotfix.Sfortunatamente, le versioni di HFNetChk distribuite da Microsoft (versione 3.32) si basavano sul file XML di Microsoft per default: per tutto il 2002 solo gli amministratori che avevano scaricato il programma HFNetChk aggiornato (versione 3.86) direttamente dalla Shavlik Technologies avevano uno strumento basato sul file XML della Shavlik, ed erano quindi in grado di sapere che la DLL ssnetlib.dll era vulnerabile e che era necessario un hotfix.Dal 25 gennaio 2003, quando il virus ha colpito, il file mssecure.xml di Microsoft era stato aggiornato includendo le informazioni relative alla vulnerabilita', cosicche' gli amministratori avrebbero avuto una possibilita' di essere avvisati con qualche settimana di anticipo, se avessero utilizzato la versione 3.32 di HFNetChk di Microsoft; il problema e' che Microsoft aveva nel frattempo smesso di consigliare HFNetChk ed ora indicava a chiunque il programma MBSA.MBSA e' configurato per funzionare, per default, in modalita' discansione "least-secure". Esiste un pressoche' sconosciuto programma, fornito insieme a MBSA, che si chiama MBSA Command Line Interface (mbsacli.exe) e nelle cui istruzioni d'uso mostra le limitazioni nei controlli effettuati dalla versione grafica di MBSA: "The MBSA V1.1 graphical interface default scan parameters are: /s 2 /nosum /baseline"Le opzioni "/s 2 /nosum /baseline" hanno il seguente effetto:/s 2Non visualizza note e avvertimenti relativi a verifiche sugli aggiornamenti di sicurezza (security update)/baselineVerifica solo gli aggiornamenti di sicurezza principali/nosumIl controllo sugli aggiornamenti di sicurezza non verifica i checksum dei file.Oltre ad aver progettato MBSA per evitare la verifica delle vulnerabilita' di SQL Server, ad aver omesso di aggiornare il file mssecure.xml in modo corretto e tempestivo, aver deprecato HFNetChk spingendo la GUI MBSA come suo sostituto preferito, ed aver nascosto i dettagli delle limitazionitecniche e delle assunzioni interne sulla sicurezza fatte nel progettare i propri strumenti di analisi delle patch, Microsoft adesso pubblicizza Windows Update (windowsupdate.com) come strada sicura ed affidabile per mantenere aggiornate le macchine Windows.Come si puo' sospettare, Windows Update non e' in grado ne' di verificare la presenza di hotfix per SQL Server, ne' di fornirli.Nessuno dei software di verifica delle hotfix e delle patch che la stessa Microsoft aveva progettato per verificare la "sicurezza principale" era in grado di aiutare gli amministratore ad evitare il worm Sapphire.Questo intero scenario, questa commedia degli errori, illustra i rischi causati da qualunque organizzazione che rimpalla il problema sicurezza da un dipartimento all'altro, passando la patata bollente e confidando che qualcun altro sapra' trattare il problema. Il risultato e' un sistema cosi' mal congegnato da rasentare l'assurdo.Sincerely,Jason Coombsjasonc@science.org
    • Anonimo scrive:
      Re: Come si costruisce uno Zero Day Atta
      non ho parole
    • Anonimo scrive:
      Re: Come non si capisce un Zero Day
      di niente.uno) cosa centra l'intervento con un Zero Day Attack .due) la patch per sql era presente da mesitre) se ti fidi dei tools clicca (o lancia da riga dei comandi) avrai vita breve come adminquattro) ti ricordo slapper poco diffuso perche l'open e poco diffuso e se ricordo bene la vulnerabilita che diede origine a questo worm venne ben tenuta nascosta dalla comunita open tanto che l'uscita della patch fu quasi identica all'apparsa del worm (il worm sql venne mesi dopo l'uscita della patch)cinque) non si ha il codice sorgente e si riescono ha fare queste cose figurati avendo il codice sorgente probabilmente qualche hacker ha scoperto una vulnerabilità per *nix e ora la sta sfruttando per copiarvi tutti i dati sensibili, come affermava un noto programmatore l'unico modo per evitare problemi di sicurezza e evitare che un hacker possa studiare il codice del tuo programma, voi openari avete già perso in partenza non riuscirete mai ad essere sicuri
      • Anonimo scrive:
        Re: Come non si capisce un Zero Day
        hahahaha che montagna di fesserie...Chissa' perche' _tutti_ i piu' grandi esperti di sicurezza sono concordi nel dire che "security by obscurity" non funziona...Chissa'Forse non ti e' chiara la differenza tra sicurezza e segretezzaj
        • Anonimo scrive:
          Re: Come non si capisce un Zero Day
          - Scritto da: Anonimo
          hahahaha che montagna di fesserie...in primis le fesserie le dici tu e questa è una verita assoluta, direi quasi un postulato
          Chissa' perche' _tutti_ i piu' grandi
          esperti di sicurezza sono concordi nel dire
          che "security by obscurity" non funziona...

          Chissa'

          Forse non ti e' chiara la differenza tra
          sicurezza e segretezza

          jenumerami chi afferma ciò.in genere gli esperti di sicurezza consigliano per essere più al sicuro possibile, 1) di usare prodotti non di massa, cioe prodotti che pochi usano, infatti l'hacker o il virus writer cerchera di colpire i sistemi che gli danno maggior possibilià di notorietà e impatto sociale, un conto e svilupparo un virus che usa outlook per propagarsi altro e scrivere un virus per un altro cliente di posta (ovviamente casi particolari)2) non avere il codice sorgente, un conto è un hacker che scopre che mandando una stringa lunga a dovere manda in GP il sistema e quindi prova a mandare un codice di shell nella stringa, altro e avere il codice del punto incriminato e con strumenti di debug fare delle prove mirate e molto più distruttive.
          • Anonimo scrive:
            Re: Come non si capisce un Zero Day


            Chissa' perche' _tutti_ i piu' grandi esperti di sicurezza sono concordi nel

            dire che "security by obscurity" non funziona...

            in genere gli esperti di sicurezza consigliano per essere più al sicuro
            possibile, 1) di usare prodotti non di massa, cioe prodotti che pochi usano,... sono gli esperti che consulti tu, immagino.Gli esperti che conosco io se ne fregano della notorieta' che puo' acquisire l'hacker; si preoccupano di piu' dei soldi che possono costare alla mia societa' ...
            infatti l'hacker o il virus writer cerchera di colpire i sistemi che gli danno maggior
            possibilià di notorietà e impatto sociale, un conto e svilupparo un virus che usa
            outlook per propagarsi altro e scrivere un virus per un altro cliente di posta
            (ovviamente casi particolari)Quindi e' meglio sviluppare un tool che permette l'intrusione nei PC di casa con OutlookExpress piuttosto che entrare in un server che contiene numeri di carte di credito?Aspetta che lo vado a dire alla mia banca, di non preoccuparsi delle intrusioni tanto loro usano sistemi legacy (e nel mondo ce ne sono almeno 10.000 volte meno che PC) ... :-)(Mi dispiace di darti una brutta notizia: l'impatto sociale e' importante solo per gente come te; i cracker seri guardano molto di piu' al portafogli, ed entrare nei sistemi governativi USA *SENZA FARSI SCOPRIRE* vale molti piu' soldi di un articolo su P.I. ...)
            2) non avere il codice sorgente, un conto è un hacker che scopre che mandando una
            stringa lunga a dovere manda in GP il sistema e quindi prova a mandare un codice
            di shell nella stringa, altro e avere il codice del punto incriminato e con strumenti
            di debug fare delle prove mirate e molto più distruttive.Mai sentito parlare di debugger? di disassembler? O hai trovato il modo di fare un programma che non contiene neppure un byte di codice macchina?Il sorgente serve di solito a trovare le soluzioni, non i problemi.Facciamo cosi': tu continua le tue dissertazioni sulla sicurezza in it.humor.barzellette, e lascia a noi i discorsi da adulti ...
          • Anonimo scrive:
            Re: Come non si capisce un Zero Day
            Sei spettacolare, mai pensato di andare a zelig?Da quello che hai scritto si capisce che tutto quello che sai sulla sicurezza l'hai trovato nell'ovetto kinder.Guarda, lascia perdere, fai piu' bella figura.j
      • Anonimo scrive:
        Re: Come non si capisce un Zero Day
        cito quello che hai scritto:"e evitare che un hacker possa studiare il codice del tuo programma, voi openari avete già perso in partenza non riuscirete mai ad essere sicuri"...allora mi fidero' di te che non sai nemmeno ESATTAMENTE cos'e' un hacker!!
  • Anonimo scrive:
    per una volta considerando che su *nix s
    ono tutti attacchi a livello zero, visto che sono gli stessi hacker che scovano e sfruttano i buchi, grazie al codice sorgente liberamente consultabile.infatti un noto hacker e sviluppatore di firewall avvertiva della grande pericolosita di avere il codice sorgente di un SO, inutile per un utente normale, ma fonte di grande conoscenza per un craccatore. (ricordiamo le back door messe in vari programmi open eheheheheheh)
    • Anonimo scrive:
      Re: per una volta considerando che su *nix s
      personalmente, *non* credo che si possa seriamente fare "security by obscurity" -- e' molto meglio avere i sorgenti a disposizione e magari contribuire a migliorarli (v. Linux), piuttosto che cadere vittima del prossimo bug "casuale", introdotto dagli sviluppatori "esperti" di MS ...
    • Anonimo scrive:
      Re: per una volta considerando che su *nix s

      sono tutti attacchi a livello zero, visto che sono gli stessi hacker che scovano e
      sfruttano i buchi, grazie al codice sorgente liberamente consultabile.??? Sei sicuro di quello che scrivi? Stai affermando che il bug appena scoperto e' stato fatto da gente che aveva a disposizione i sorgenti di IIS? :-)
      infatti un noto hacker e sviluppatore di firewall avvertiva della grande pericolosita di avere il codice sorgente di un SO,
      inutile per un utente normale, ma fonte di grande conoscenza per un craccatore. e infatti mio cuggino mi ha detto che una volta e' morto ...(chi sarebbe questo "hacker sviluppatore di firewall"? tuo cuggino, immagino)
      (ricordiamo le back door messe in vari programmi open eheheheheheh)Ricordiamole. E ricordiamo anche che probabilmente ci sono molte altre backdoor sui programmi closed source, che nessuno scoprira' mai - perche' mettersi a revisionare codice che funziona non e' utile ad un'azienda ...E in quanto a back door, ti riferisci a cose come la frase "Netscape Engineers are weenies!" al contrario messa come backdoor nelle DLL Microsoft, vero?
      • Anonimo scrive:
        Re: per una volta considerando che su *n

        E in quanto a back door, ti riferisci a cose
        come la frase "Netscape Engineers are
        weenies!" al contrario messa come backdoor
        nelle DLL Microsoft, vero?Mi spieghi di cosa si tratta?Ciao e grazie
        • Anonimo scrive:
          Cos'e' "Netscape Engineers are weenies!"
          http://linux.dp.ua/maillists/lug/200004/msg00031.html (copia dell'advisory che segnala la presenza di una backdoor su sw Microsoft, ripresa da bugtraq; non ho trovato l'originale, perche' e' stato citato da tutti i gruppi di discussione del mondo; qui c'e' una citazione integrale in una mailing list ucraina ...)http://www.s0ftpj.org/bfi/online/bfi10/BFi10-02.html (un articolo che ne parla diffusamente IN ITALIANO, apparso sul n.10 di BFi - settembre 2002 ...)In pratica si tratta di una backdoor che consentiva disuperare i sistemi di sicurezza di alcuni prodotti Microsoftper far si' che altri prodotti Microsoft potessero eseguireoperazioni potenzialmente dannose senza che l'utentefosse disturbato da messaggi di errore o richieste diautorizzazione ... :-)Il passo successivo poteva essere che Windows potevaspedire a Microsoft i numeri delle tue carte di credito perevitarti la scocciatura di pagare volontariamente i loroprodotti ... :-)
          • cico scrive:
            Re: Cos'e' "Netscape Engineers are weenies!"
            ROTFL
          • Anonimo scrive:
            Re: Cos'e' "Netscape Engineers are weeni

            Il passo successivo poteva essere che
            Windows poteva
            spedire a Microsoft i numeri delle tue carte
            di credito per
            evitarti la scocciatura di pagare
            volontariamente i loro
            prodotti ... :-)certo..... tutto il mondo tiene il proprio numero di carta di credito sul pc e lo comunica poi a MrGatesma quando finira' sta leggenda metropolitana delle CC prese ravanando a casaccio fra i file di un utente... il massimo del rischio e' trovarci le foto con l'amante
          • Anonimo scrive:
            Re: Cos'e' "Netscape Engineers are weeni
            credo che la frase sulle cc intendesse essere umoristica...
            certo.....
            tutto il mondo tiene il proprio numero di
            carta di credito sul pc e lo comunica poi a
            MrGates
            ma quando finira' sta leggenda metropolitana
            delle CC prese ravanando a casaccio fra i
            file di un utente... il massimo del rischio
            e' trovarci le foto con l'amante
    • Anonimo scrive:
      Per i sostenitori del Close Source
      - Scritto da: Anonimo
      ono tutti attacchi a livello zero, visto che
      sono gli stessi hacker che scovano e
      sfruttano i buchi, grazie al codice sorgente
      liberamente consultabile.Mangiato pesante?Adesso devi spiegare a tutti da quando il codice sorgente di Windows e' liberamente consultabile.E' invece proprio la chiara dimostrazione dell' esatto contrario di quello che scrivi:la chiusura del codice sorgente non e' e non e' mai stata una reale garanzia di sicurezza.Ma qualcuno ccontinua a crederci nonostante i FATTI lo smentiscano.
      • Anonimo scrive:
        Re: Per i sostenitori del Close Source
        - Scritto da: Anonimo

        - Scritto da: Anonimo

        ono tutti attacchi a livello zero, visto
        che

        sono gli stessi hacker che scovano e

        sfruttano i buchi, grazie al codice
        sorgente

        liberamente consultabile.

        Mangiato pesante?

        Adesso devi spiegare a tutti da quando il
        codice sorgente di Windows e' liberamente
        consultabile.

        E' invece proprio la chiara dimostrazione
        dell' esatto contrario di quello che scrivi:
        la chiusura del codice sorgente non e' e non
        e' mai stata una reale garanzia di
        sicurezza.

        Ma qualcuno ccontinua a crederci nonostante
        i FATTI lo smentiscano.smentiamo le tue lameratein genere gli esperti di sicurezza consigliano per essere più al sicuro possibile, 1) di usare prodotti non di massa, cioe prodotti che pochi usano, infatti l'hacker o il virus writer cerchera di colpire i sistemi che gli danno maggior possibilià di notorietà e impatto sociale, un conto e svilupparo un virus che usa outlook per propagarsi altro e scrivere un virus per un altro cliente di posta (ovviamente esclusi casi particolari e di renticondo personale per l'hacker) 2) non avere il codice sorgente, un conto è un hacker che scopre che mandando una stringa lunga a dovere manda in GP il sistema e quindi prova a mandare un codice di shell nella stringa per eseguire codice arbitrario e ti posso garantire che se non funzionano le due o tre tecniche standard il lavoro con debug a livello di codice macchina e veramente ingrato, altro e avere il codice del punto incriminato e con strumenti di debug simbolico fare delle prove mirate e molto più distruttive.
        • Skaven scrive:
          Re: Per i sostenitori del Close Source
          - Scritto da: Anonimo
          in genere gli esperti di sicurezza
          consigliano per essere più al sicuro
          possibile, 1) di usare prodotti non di
          massa, cioe prodotti che pochi usano,
          infatti l'hacker o il virus writer cerchera
          di colpire i sistemi che gli danno maggior
          possibilià di notorietà e impatto sociale,
          un conto e svilupparo un virus che usa
          outlook per propagarsi altro e scrivere un
          virus per un altro cliente di posta
          (ovviamente esclusi casi particolari e di
          renticondo personale per l'hacker)
          2) non avere il codice sorgente, un conto è
          un hacker che scopre che mandando una
          stringa lunga a dovere manda in GP il
          sistema e quindi prova a mandare un codice
          di shell nella stringa per eseguire codice
          arbitrario e ti posso garantire che se non
          funzionano le due o tre tecniche standard il
          lavoro con debug a livello di codice
          macchina e veramente ingrato, altro e avere
          il codice del punto incriminato e con
          strumenti di debug simbolico fare delle
          prove mirate e molto più distruttive.Che fai le risposte col copia e incolla? sei cosi pigro? ah.. gia.. un winzozzaro.. guai a usare la tastiera...
        • Alessandrox scrive:
          Re: Per i sostenitori del Close Source
          - Scritto da: Anonimo

          - Scritto da: Anonimo



          - Scritto da: Anonimo


          ono tutti attacchi a livello zero,
          visto

          che


          sono gli stessi hacker che scovano e


          sfruttano i buchi, grazie al codice

          sorgente


          liberamente consultabile.



          Mangiato pesante?



          Adesso devi spiegare a tutti da quando il

          codice sorgente di Windows e' liberamente

          consultabile.



          E' invece proprio la chiara dimostrazione

          dell' esatto contrario di quello che
          scrivi:

          la chiusura del codice sorgente non e' e
          non

          e' mai stata una reale garanzia di

          sicurezza.



          Ma qualcuno ccontinua a crederci
          nonostante

          i FATTI lo smentiscano.
          smentiamo le tue lamerate
          in genere gli esperti di sicurezza
          consigliano per essere più al sicuro
          possibile, 1) di usare prodotti non di
          massa, cioe prodotti che pochi usano,
          infatti l'hacker o il virus writer cerchera
          di colpire i sistemi che gli danno maggior
          possibilià di notorietà e impatto sociale,
          un conto e svilupparo un virus che usa
          outlook per propagarsi altro e scrivere un
          virus per un altro cliente di posta
          (ovviamente esclusi casi particolari e di
          renticondo personale per l'hacker)
          2) non avere il codice sorgente, un conto è
          un hacker che scopre che mandando una
          stringa lunga a dovere manda in GP il
          sistema e quindi prova a mandare un codice
          di shell nella stringa per eseguire codice
          arbitrario e ti posso garantire che se non
          funzionano le due o tre tecniche standard il
          lavoro con debug a livello di codice
          macchina e veramente ingrato, altro e avere
          il codice del punto incriminato e con
          strumenti di debug simbolico fare delle
          prove mirate e molto più distruttive.Un mucchio di discorsi per non dire sostanzialmente NULLA, almeno nula che possa smentire le "lamerate":Windows ha i sorgenti chiusi o aperti?ChiusiQuesto ha sempre impedito di scoprire e sfruttare (da sempre e con profitto) numerose falle del sistema ?NOBastacos'altro vuoi argomentare?negare l' evidenza?
          • Anonimo scrive:
            Re: Per i sostenitori del Close Source
            - Scritto da: Alessandrox
            Un mucchio di discorsi per non dire
            sostanzialmente NULLA, almeno nula che
            possa smentire le "lamerate":Perché, te credi di avere scritto qualcosa ? Le tue argomentazioni puerili si possono rivoltare come un calzino per dimostrare la tesi diametralmente opposta. Un po' come Hofstadter e Penrose, ma a livello di pollaio.
            Windows ha i sorgenti chiusi o aperti?
            ChiusiLinux ha sorgenti chiusi o aperti ?Aperti
            Questo ha sempre impedito di scoprire e
            sfruttare (da sempre e con profitto)
            numerose falle del sistema ?
            NOI sorgenti aperti hanno impedito il proliferare di attacchi che sfruttavano falle enormi di openssh, bind, sendmail, apache e dello stesso kernel ? NO E non solo, ma hanno messo comodamente in mano agli attacker tutto il codice sorgente, con la massima comodità.
            cos'altro vuoi argomentare?Appunto, che cacchio vuoi argomentare in modo qualitativo e cialtronesco ? A proposito, parafrasando il grande finanziere Cuccia, le azioni (gli advisories) si pesano, non si contano.La questione del security by obfuscation è ancora apertissima ai massimi livelli accademici, con eccellenti sostenitori dei due approcci opposti, figuriamoci se puoi dimostrare qualcosa di "definitivo" in questa sede, per di più ragionando a spanne contro argomentazioni tecniche ben fondate come quelle del post sopra.La sicurezza del singolo software deriva dal modo in cui è scritto, non certo dalla politica di diffusione o meno dei sorgenti, che semmai nel caso dell'open favorisce gli attacchi spingendo un esercito di nullafacenti a spulciare i sorgenti alla ricerca di "vulnerabilità". Fattore bilanciato solo in parte dall'animosità di altri personaggi verso microsoft, che li spinge a lavori ancora più ingrati per confezionare exploit invece di dedicarsi ad attività costruttive e proficue.
    • Anonimo scrive:
      Re: per una volta considerando che su *n
      'gnurante....su windows sono tutti di livello 0su *nix sono quasi tutti di utente nobody....
  • Anonimo scrive:
    impara microsoft...
    anche se volete far tacere la difusione dei dettagli sulle vulnerabilità, pagando fior di quattrini chi le scopre non serve a niente. Quando un software è bucato è bucato e basta e il non difondere le informazioni tecniche ritarda solamente la costruzione delle patches. Tutto questo porta solamente a rendere i sistemi ancora meno sicuri di quello che sono. Magari sono più sicuri dai lammer ma non da chi è capace...Open source - Microsoft 1-0
    • pippero scrive:
      Re: impara microsoft...
      Io sono filo linux, come si può notare nei thread di ieri su XPDE, ma non possiamo dire che anche l'open source e' esente da bachi.. Di recente è stato scoperto più di un baco su prodotti Open, su strumenti tipo SSH o MySql. Non mi paiono di poco conto. Ritorno a dirlo, c'e' chi investe di più sulla sicurezza e chi di più sulla bella grafica, interoperabilità e altro, tralasciando aspetti di security. Un bel mix tra le 2 cose porterebbe solo che vantaggi.
      • godzilla scrive:
        Re: impara microsoft...
        - Scritto da: pippero
        Io sono filo linux, come si può notare nei
        thread di ieri su XPDE, ma non possiamo dire
        che anche l'open source e' esente da bachi..e chi ha detto che è esente da bachi? bisogna vedere quanto (e per quanto tempo) questi bachi sono sfruttabili...ciaogodzilla
        • pippero scrive:
          Re: impara microsoft...
          Beh il thread precedente sembrava una celebrazione all'O.S. Rimango della mia idea, c'e' chi investe a fare ogni tanto un piano nuovo, senza curare i muri portanti e la stabilità, e chi invece tiene d'occhio entrambi gli aspetti.
      • Anonimo scrive:
        Re: impara microsoft...
        - Scritto da: pippero
        Io sono filo linux, come si può notare nei
        thread di ieri su XPDE, ma non possiamo dire
        che anche l'open source e' esente da bachi..
        Di recente è stato scoperto più di un baco
        su prodotti Open, su strumenti tipo SSH o
        MySql. Non mi paiono di poco conto. Non stava parlando di bacato / non bacato ma di possibilità di risoluzione + o - veloce.Un software aperto nel codice (anche se bacato) è più controllato e anche più facilmente patchabile. Alla lunga questa scelta lo rende *anche* ( *anche* inteso come eventualità ) più sicuro.Mai sentito dire che 4 occhi vedono meglio di due? Ecco, diciamolo anche a MS.ciao
        • pippero scrive:
          Re: impara microsoft...
          Hai mai notato che (spesso) appena trovato il problema esce subito il pacco regalo? Forse perchè già sanno? Solo che se ne infischiano.. Ecco il punto.. E' una battaglia persa con MS sperare che nei loro piani di sviluppo ci sia anche una buona dose di security o analisi di problemi legati alla sicurezza.
          • cico scrive:
            Re: impara microsoft...

            Hai mai notato che (spesso) appena trovato
            il problema esce subito il pacco regalo?
            Forse perchè già sanno? Solo che se ne
            infischiano.. Ecco il punto.. E' una
            battaglia persa con MS sperare che nei loro
            piani di sviluppo ci sia anche una buona
            dose di security o analisi di problemi
            legati alla sicurezza.A parte il fatto che l'anno scorso hannoaddirittura bloccato lo sviluppo di moltiprodotti per spedire tutti quanti sui banchiper settimane ad imparare le tecniche perevitare in toto di fare errori di quel tipo.A parte il fatto che hanno fatto una code-reviewmassiva per tutti i prodotti.Bene! avanti con le dicerie ed i luoghicomuni, siori e siori si accomodino....
          • pippero scrive:
            Re: impara microsoft...
            A parte il fatto che ogni 2 o 3 giorni si scopre un problema di sicurezza... Realta o luogo comune?
          • cico scrive:
            Re: impara microsoft...

            A parte il fatto che ogni 2 o 3 giorni si
            scopre un problema di sicurezza... Realta o
            luogo comune?E possiamo girarci intorno quanto daivoloti pare, ma se ti dico che hanno fatto deglisforzi enormi non puoi rispondermi conun rapporto di causa/effetto che non esiste.Il fatto che si scoprano di continuo buchi in unsoftware di questa complessita' (che nonsignifica necessariamente qualita') implicache a MS importi poco della sicurezza ?Altrimenti lasciamo perdere la discussionee ti rispondo cone le solite stupidate(tra le quali molte sono pure vere)- non si trovano buchi ogni 2 o 3 giorni- ultimamente ce ne sono molto meno- linuzzo & co fino all'autunno dell'anno scorso era un super-colabrodo- non ti ricordi chi era in cima alla lista poco tempo fa ?- i prodotti winari sono piu' attaccati di quelli openari- non e' vero che i tabelani-linari leggono veramente il codice openaro quindi sono tutte storie quelle della maggiore sicurezzaecc ecc
        • Zeross scrive:
          Re: impara microsoft...
          - Scritto da: Anonimo

          Un software aperto nel codice (anche se
          bacato) è più controllato e anche più
          facilmente patchabile.Eh sì... proprio vero... bisogna "solo" aspettare che qualcuno lo controlli...19/03/2003Security hole found in Linux
  • Anonimo scrive:
    si ma windows update che fa? dorme?
    cavolo ... io non posso stare a leggere tutti i bollettini dei buggari ... che win update funzioni!!!!!!! :-/
    • Anonimo scrive:
      Re: si ma windows update che fa? dorme?
      Eh??????'Traduci!
      • pippero scrive:
        Re: si ma windows update che fa? dorme?
        Ci sono stati parecchi articoli anche qui su P.I. su questa utility MS. Si scarica e si aggiorna da Download di MS. Questa utility non fa altro che analizzare il sistema ed eventuali applicativi server (sempre che siano MS) e ti dice quali patch e/o correttivi di sicurezza, per vulnerabilità conosciute devi applicare. Se hai un po' di pazienza e costantemente ti aggiorni piano piano puoi avere un po' la situazione sotto controllo.
  • Anonimo scrive:
    Re: Come al solito...
    No guardaqui di "solito" non c'e' nulla
  • Anonimo scrive:
    AHAH.... mmmUHAUAUA
    L'attacco si è verificato - evento molto raro - prima che Microsoft rilasciasse una patch.mmmmmmuahuahauhauahauhauah
    • pippero scrive:
      Re: AHAH.... mmmUHAUAUA
      - Scritto da: Anonimo
      L'attacco si è verificato - evento molto
      raro - prima che Microsoft rilasciasse una
      patch.
      mmmmmmuahuahauhauahauhauahQuando detto in precedenza... Fin quando alcune case sw (e ce le metto tutte non solo MS) svilupperanno pensando esclusivamente alle performance e alla interoperabilità, e tralascieranno aspetti di sicurezza anche basilari, ci sarà sempre ben poco da aspettarsi e da essere tranquilli come sysadmin.
  • Anonimo scrive:
    Zero Day Attack... tsk
    Allora... un tempo usciva l'exploit e anche mio nonno a colpi di copia e incolla attaccava l'esercito USA.Oggi s'è cambiata tattica: uno scopre il buchetto. Zitto zitto lo dice a M$, la quale zitta zitta rilascia la patch. Appaiono le patch e non si sa perchè.Grande strategia.Che fanno i cracker oggi? Banalmente, installano la patch e applicano un confronto ai binari, capiscono dov'è il buffer overflow e scrivono l'exploit.Cioè, a dirla breve, s'è solo rivoltato il calzino. Qualcuno pensava che, rovescio, puzzasse di più e la gente stesse alla larga.Evidentemente questo qualcuno s'è dimenticato che basta, banalmente, tapparsi il naso....Fede_
    • Anonimo scrive:
      Re: Zero Day Attack... tsk
      haaaaaaaaaaaaaaaaaaa! grande!blackdog- Scritto da: Anonimo
      Allora... un tempo usciva l'exploit e anche
      mio nonno a colpi di copia e incolla
      attaccava l'esercito USA.

      Oggi s'è cambiata tattica: uno scopre il
      buchetto. Zitto zitto lo dice a M$, la quale
      zitta zitta rilascia la patch. Appaiono le
      patch e non si sa perchè.

      Grande strategia.

      Che fanno i cracker oggi? Banalmente,
      installano la patch e applicano un confronto
      ai binari, capiscono dov'è il buffer
      overflow e scrivono l'exploit.

      Cioè, a dirla breve, s'è solo rivoltato il
      calzino. Qualcuno pensava che, rovescio,
      puzzasse di più e la gente stesse alla
      larga.
      Evidentemente questo qualcuno s'è
      dimenticato che basta, banalmente, tapparsi
      il naso....

      Fede_
  • Anonimo scrive:
    E che palle...
    "Ora il pericolo - secondo Luigi Pugnetti, CTO di Symbolic - è che nelle prossime settimane si assista alla nascita di un nuovo worm in grado di sfruttare questa vulnerabilità e di diffondersi tramite le piattaforme IIS 5.0".L'importante e' che non si arrivi ai livelli di nimda e code red... Mb e mb di log inutili nei miei server apache.. alla fine, anche se non fanno niente di dannoso, questi worm hanno reso la vita piu' dura anche a chi non amministra IIS rendendo i log una schifezza in cui e' difficile estrapolare le informazioni importanti.j
    • Anonimo scrive:
      Re: E che palle...
      - Scritto da: Anonimo
      L'importante e' che non si arrivi ai livelli
      di nimda e code red... Mb e mb di log
      inutili nei miei server apache.. alla fine,
      anche se non fanno niente di dannoso, questi
      worm hanno reso la vita piu' dura anche a
      chi non amministra IIS rendendo i log una
      schifezza in cui e' difficile estrapolare le
      informazioni importanti.Concordo pienamente con quello che dici, ho i tuoi soliti problemi.La soluzione migliore sarebbe che la gente smettesse di usare/pagare per un prodotto come IIS
      • Anonimo scrive:
        Re: E che palle...
        - Scritto da: Anonimo
        Concordo pienamente con quello che dici, ho
        i tuoi soliti problemi.
        La soluzione migliore sarebbe che la gente
        smettesse di usare/pagare per un prodotto
        come IISMi intrometto nel discorso aggiungendo anche che la scusa della bassa diffusione di software Open Source nel campo dei server HTTP non regge minimamente, visto che è statisticamente il contrario (fonte netcraft Febbraio 2003: Apache 62.72% mentre IIS: 27.01%) e considerato quello appena esposto, ti faccio sapere che il 97% degli error log dei vari server Apache che amministro contengono tentativi di exploit like cmd.exe, nimda, code red etc...Statisticamente parlando sarebbe sano per i vari amministratori di quel 27% passare ad altre architetture, magari Open.
        • Skaven scrive:
          Re: E che palle...
          - Scritto da: Anonimo
          - Scritto da: Anonimo
          Statisticamente parlando sarebbe sano per i
          vari amministratori di quel 27% passare ad
          altre architetture, magari Open.Purtroppo a questo mondo esistono anche sysadmin improvvisati "punta e clikka".
          • Anonimo scrive:
            Re: E che palle...
            - Scritto da: Skaven
            Purtroppo a questo mondo esistono anche
            sysadmin improvvisati "punta e clikka".LOL! C'hai ragione, ecco spiegato quel 27% heheh :-)
          • Anonimo scrive:
            Re: E che palle...
            Magari i sysadmin "punta e klicca" fossero solo il 27% ... Mi sa che sei più ottimista di quella stordita della Troni ... :)
    • Anonimo scrive:
      Re: E che palle...
      - Scritto da: Anonimo
      L'importante e' che non si arrivi ai livelli
      di nimda e code red... Mb e mb di log
      inutili nei miei server apache.. alla fine,
      anche se non fanno niente di dannoso, questi
      worm hanno reso la vita piu' dura anche a
      chi non amministra IIS rendendo i log una
      schifezza in cui e' difficile estrapolare le
      informazioni importanti.niente di nuovo: in internet l'invasione di quegli "ultracorpi" che sono i sistemi microsoft (client e server) sono ormai una allegra presenza ad alto rischio di infettività implicita. Prepariamoci all'ennesimo sciame di neutrini
      j
      • Anonimo scrive:
        Re: E che palle...
        con che gioco io ?che 2 maroniapache in win ha una cosa bella si installa in 5 minutied e' prontoIIS invece ci vuole un rebootpero iisdxcondividi cartella webe vaicosa che non fa apache
        • godzilla scrive:
          Re: E che palle...
          sì infatti nessuno dice niente da questo punto di vista... come server web casalingo IIS può anche andare bene se lo patchi costantemente...salutigodzilla
    • Anonimo scrive:
      Re: E che palle...

      worm hanno reso la vita piu' dura anche a
      chi non amministra IIS rendendo i log una
      schifezza in cui e' difficile estrapolare le
      informazioni importanti.perche' sei una pippacode red, nimda e tutti gli worm apparsi finora fanno attacchi su ip, non su dominiobasta non avere NESSUN sito configurato sul singolo ip senza relativo host header cosi' tutte le schifezze vanno a finire in un log a partesono ben pochi i motivi per avere un sito raggiungibile anche col solo ip in stile http 1.0
      • X-CASH scrive:
        Re: E che palle...

        sono ben pochi i motivi per avere un sito
        raggiungibile anche col solo ip in stile
        http 1.0Allora sei tu una pippa con queste affermazioni.Ci sono browser che non mandano l'header al server nel modo corretto. Alcuni ne mandano una parte... atri non mandano tutte le chiavi.Se vuoi un esempio sono i browser inclusi in alcuni palmari o cellulari gprs.In questi casi e' essenziale configurare il server anche sull'IP. Una cosa che non fa perdere tempo di configurazione in httpd.conf ma che aiuta a pararsi il culo da problemi di raggiungibilita' :)Anche quando e' down un dns.. o non c'e' ragione per creare una entry in un dns per motivi di riservatezza.
        • Anonimo scrive:
          Re: E che palle...


          sono ben pochi i motivi per avere un sito

          raggiungibile anche col solo ip in stile

          http 1.0

          Allora sei tu una pippa con queste
          affermazioni.
          Ci sono browser che non mandano l'header al
          server nel modo corretto. Alcuni ne mandano
          una parte... atri non mandano tutte le
          chiavi.cazzi loroa meno che sui server web si tiene un solo sito, caso assai raro, con quei browser vedrai solo il primo della lista....
          Se vuoi un esempio sono i browser inclusi in
          alcuni palmari o cellulari gprs.
          allora mi devo preoccupare sul serio....
          Anche quando e' down un dns.. o non c'e'
          ragione per creare una entry in un dns per
          motivi di riservatezza.ripeto, va bene _solo_ se hai un housing e un solo sito da ospitaregia' che fai un virtuale tipo webmail.quellochetipare sullo stesso ip in quel modo non lo vedi piu'...
    • ilnox scrive:
      Windows 2000 problema
      Da oggi non riesco più ad inviare attachment ne da server yahoo/hotmail tramite explorer, nè da outlook. Nel momento in cui l'attachment viene uploadato, dopo qualche secondo il sistema va in crash, tutto diventa maledettamente lento, instabile, e nemmeno il task manager può più nulla. Spero che non sia causato da questa nuova falla... voi ne sapete qualcosa? Non è stato individuato alcun virus nel mio sistema
      • Anonimo scrive:
        Re: Windows 2000 problema
        - Scritto da: ilnox
        Da oggi non riesco più ad inviare attachment
        ne da server yahoo/hotmail tramite explorer,
        nè da outlook. Nel momento in cui
        l'attachment viene uploadato, dopo qualche
        secondo il sistema va in crash, tutto
        diventa maledettamente lento, instabile, e
        nemmeno il task manager può più nulla. Spero
        che non sia causato da questa nuova falla...
        voi ne sapete qualcosa? Non è stato
        individuato alcun virus nel mio sistemaForse è arrivato il momento di cambiare Sistema Operativo?
Chiudi i commenti