varie // eventuali // sicurezza informatica

Questo blog � stato trasferito a un altro indirizzo

2010-03-26T22:57:00.001+01:00

Questo blog � stato spostato alla pagina http://securityblog.misitano.com/.
Verrai reindirizzato automaticamente tra 30 secondi. Oppure fai clic qui qui.

Per gli iscritti al feed: aggiornare l'iscrizione al feed a
http://securityblog.misitano.com/feeds/posts/default.

Lettere al direttore.

2009-05-05T11:14:00.005+02:00

Subject: RE:04.05.09..
Date: Mon, 4 May 2009 15:41:43 -0700
From: MR. PAUL SINCLAIR
To: undisclosed-recipients:;

DEAR FRIEND,

I KNOW THIS WILL COME TO YOU AS A SURPRISE BECAUSE YOU DO NOT KNOW ME.
I AM MR.PAUL SINCLAIR, I WORK IN THE CENTRAL BANK OF NIGERIA,PACKAGING
AND COURIER DEPT.
DURING THE AIR-LIFT OF SOME PRESIDENTIAL LUGGAGES TO EUROPE, I IN THE ABOVE DEPARTMENT DECIDED TO INCLUDE ADDITIONAL LUGGAGES CONTAINING $10M (TEN MILLION US DOLLARS) ONLY FOR MY OWN BENEFIT AND WHO EVER WILL ASSIST ME IN THIS THOUGH IT WAS LABELLED "PHOTOGRAPHIC EQUIPMENT" FOR SECURITY REASONS.
I AM OBLIGED TO CONTACT YOU TO ASSIST ME IN GETTING THIS LUGGAGE CLEARED AND DELIVERED TO YOU FROM THE AGENT AS I DECIDED ON THE FOLLOWING TERMS.

(1) ALL RELEVANT DOCUMENTS TO CLAIM THIS LUGGAGE WILL BE PROCURED IN YOUR NAME TO ENABLE THE AGENT CLEAR AND DELIVER SAME TO YOUR MAILING ADDRESS.
(2) THAT YOU WILL BE ENTITLED TO A SHARE OF 25% OF THE TOTAL MONEY.
(3) THAT 5% OF THE TOTAL MONEY WILL BE SET ASIDE FOR SUNDRY EXPENSES.
(4) THAT 70% OF THE TOTAL MONEY WILL BE FOR ME.

IF THIS BUSINESS TRANSACTION / TERMS IS OK BY YOU, YOU CAN EMAIL ME AT paulsin1112@gmail.com ALSO, FURNISH ME WITH YOUR FULL NAMES, MAILING ADDRESS, YOUR PERSONAL TELEPHONE / FAX NUMBERS FOR EASIER COMMUNICATION AND ONWARD TRANSFER TO THE AGENT IN EUROPE.
NOTE THAT THIS BUSINESS TRANSACTION IS 100% RISK FREE AS ALL RELEVANT DOCUMENTS TO BACK UP THE CLAIM OF THE LUGGAGE WILL BE PROVIDED FOR YOU HENCE I ADVICE YOU TO KEEP THE ENTIRE TRANSACTION CLOSE TO YOURSELF UNTIL YOU MUST HAVE RECEIVED THE LUGGAGE. FOR SECURITY REASONS OTHER MODALITIES WILL BE DISCUSSED AS SOON AS YOU GET BACK TO ME.

YOURS FAITHFULLY,

MR. PAUL SINCLAIR
COURIER DEPARTMENT (CBN).

Stimatissimo Paul. La storia � assolutamente credibile. Il fatto di essere assicurato che la mia transazione sar� 100% risk free mi fa star sereno. La mia domanda �: Lei � mica parente di quel Clive Sinclair che negli anni ottanta faceva la fortunata serie ZX 80/81/Spectrum ?

Video del Security Summit

2009-04-17T18:56:00.000+02:00

Sono online i Video del Security Summit. Sono le sessioni piu importanti ed in teressanti, ed in alcune ci sono anche io ;)

La posta del cuore

2009-04-15T23:43:00.006+02:00

Ricevo:

Salve.
In tempi di grave crisi, vi offriamo i nuovi posti di lavoro. � ancora
possibile Iavorare con noi a distanza con uno stipendi0 di 940.-.2030 euro.
Si pu� lavorare a casa una media di 3...5 ore al giorno. Sar� necessario
effettuare una serie di funzioni che utilizzano PC (-consultare i nostri
clienti secondo le istruzioni!). Se siete interessati nella nostra offerta
hai bisogno di scrivere il vostro nome e citt� di residenza in questo Email:
Gianmario.Dragotti.58@gmail.com (proprio questa scatola, e non qualcuno con
il quale ave te ricevuto questa lettera).
Risponderemo in 1.5-5.5 ore.
Buon guadagno.

Gianmario: non ci siamo. Se mi avesse detto che ho vinto un miglione di dollari americani alla lotteria del Santo Patrono protettore di Abeokuta, ci avrei creduto sicuramente. E' la storia della scatola ed il fatto che mi risponder� in un tempo compreso fra le 1.5 e le 5.5 ore, ad insospettirmi. Anzi, sono cos� insospettito che rinuncer� ai pur ghiotti novecentoquaranta-duemilatrenta euro.

Traffico e Legge

2009-04-05T16:05:00.002+02:00

Legge antipirateria taglia il traffico Internet

In Svezia il traffico internet � calato del 33% dall'entrata in vigore di una legge che permette ai titolari di copyright di ottenere dai service provider i dettagli degl'utenti che condividono i file.

In italia non funzionerebbe.

2009-02-05T17:51:00.003+01:00

SANS ISC // Malware infection that began with windshield fliers

In pratica, ti mettono un volantino sul parabrezza, che riporta un sito dove controllare l'evidenza dell'infrazione. Vai sul sito e per vedere le foto devi scaricare un exe. E toh! L'EXE in questione � un virus. Da noi non funzionerebbe (non certo perch� siamo sgamati e non scaricheremmo mai un EXE da un sito che non conosciamo, *vero* ?)

void

2009-01-01T00:00:00.002+01:00

this blog intentionally left blank

(banali) Intercettazioni

2008-09-05T15:28:00.005+02:00

ABC News: Ex-Dem Chair Apologizes for Hurricane Remark

Scena: su un aereo Don Fowler (gi� presidente della convention del partito democratico) dice, a proposito dell'uragano che si sta dirigendo verso new orleans e far� cancellare la convention repubblicana:

"The hurricane�s going to hit New Orleans about the time they start. The timing is -- at least it appears now that it�ll be there Monday. That just demonstrates that God�s on our side. [..Risate..] Everything�s cool."

Ma qualcuno lo registra e lo mette su youtube. A Fowler non resta che chiedere scusa...

"If this offended anybody, I personally apologize. It was a mistake, and it was a satirical statement made in jest. And one that I clearly don't believe."

E constatare che pu� succedere che qualcuno ti registri, mentre parli.

"One doesn't anticipate that one's private conversation will be surreptitiously taped"

Ecco perch� io, da bravo paranoico, non accendo il telefono immediatamente appena aprono le porte in aereo, ma aspetto di sbarcare; non parlo di cose confidenziali se non sottovoce se sono in una zona molto affollata e faccio le contorsioni del polso se scrivo SMS o email sul palmare per non farli leggere. Cosa c'entra su questo blog ? Semplice, si tratta di confidenzialit� delle informazioni e del fattore umano. Anzi l'esempio di Fowler � fin troppo banale.

Un anno di blog!

2008-09-03T11:57:00.002+02:00

Questo blog oggi fa un anno. Questa sera in realt�, perche il primo post � stato scritto lo scorso tre settembre di sera. C'e' stata una media di un post ogni due giorni, un pubblico crescente, un numero di sottoscrizioni del feed crescente, una mia soddisfazione ed abitudine a bloggare anche qui...crescente. All'inizio facevo fatica e pensavo ad ogni cosa che avrei dovuto o potuto scrivere, domandandomi se era rilevante o meno scriverla. Un anno dopo sono molto piu sciolto nella pubblicazione e si sono delineati alcuni filoni di post; quello umoristico, quello cisco, quello di informazione e di commento, e quello "ipse dixit" che mi diverte particolarmente. il layout � stato cambiato con uno piu personalizzato e consolidato rispetto ai vari widget che ho provato durante l'anno, ed anche le pagine accessorie, sono sopravvissute solo quelle che hanno ragione di esistere (e di essere mantenute). Ovviamente si acettano idee, spunti, suggerimenti e commenti.
Bentornati tutti (gli amici blogger che leggono, i colleghi che sbirciano, quelli che leggono e non conosco, quelli che ogni tanto lasciano un commento, e cos� via...) dalla pausa estiva e buona nuova stagione!

Sicurezza e Datacenter

2008-09-03T11:51:00.002+02:00

Per cultura personale stavo cercando sulla (mostruosa) intranet Cisco delle risorse su datecenter e sicurezza. Non solo ho trovato una miniera di risorse, ma ne ho anche trovata una pubblica, che i tengo a segnalare: Cisco Datacenter Security

Privay, please.. la serie continua.

2008-08-31T11:55:00.003+02:00

Questa volta, per proteggere la nostra privacy, abbiamo una versione estiva grazie all'uso di un telo mare:

(grazie a Mara e/o Oreste)

Per la vostra privacy, restano sempre valide la versione da piscina, quella invernale e quella da campeggio, senza dimenticarsi la versione fru-fru.

End Summer Camp 2k8

2008-08-31T11:33:00.000+02:00

Volentieri segnalo:

SM4X

presenta

END SUMMER CAMP 2K08

19-21 settembre 2008
ART2 LOUNGE
Parco della Scultura in Architettura
via Vittorio Veneto
San Dona' di Piave (VENEZIA)

[COSA] ESC e' un incontro di persone interessate al Software Libero e alla Conoscenza Libera, a Entrata Libera :) Il contenuto dell'evento e' in continua evoluzione e viene creato dai suoi partecipanti.

[COME] Secondo la formula MUD (Miscere Utile Dulci). Sono previsti
Seminari e Talk su vari argomenti/livelli, e momenti decisamente piu' "ludici": Campeggio, Grigliata, LAN Party, etc.

[DOVE] ESC si svolge a San Dona' di Piave, in provincia di Venezia,
presso ART2 Lounge, struttura adiacente al Parco della Scultura in
Architettura: Planet Earth, 45�38'11''N - 12�32'48''E :)

[PERCHE'] Per creare un momento di aggregazione, uno scambio di
conoscenze ed esperienze tra persone che vivono il Software Libero nelle sue diverse forme, e festeggiare insieme il Software Freedom Day.

MAGGIORI INFO e SITO WEB: http://www.endsummercamp.org
"Everything's Happening under the KEY..." ;)

Buone ferie...

2008-07-24T18:59:00.002+02:00

Mi assenter� per qualche tempo per il meritato riposo estivo. Non dico il blog sar� "chiuso per ferie", ma certamente dar� pi� segni di vita su twitter che qui. Un saluto ai lettori, ai colleghi, agli amici, agli amici blogger, agli amici che leggono perche � il mio blog anche e non s'interessano di sicurezza, ai commentatori anonimi e quelli col nome. Come al solito, non metto l'out of office autoreply alle email quindi saluti anche quelli che stanno leggendo qui perche non ho risposto a qualche email e si chiedono se sono vivo.

Ipse Dixit

2008-07-21T21:16:00.003+02:00

Mi � capitato nell'aggregatore questo articolo parla dei rischi del software open source
Networkworld / Open source software a security risk, study claims

"You've got to go into this with your eyes wide open"
Howard Schmidt, former White House cybersecurity czar

"Bisogna andarci con gl'occhi bene aperti", dice Howard Shmidt "gi� zar della cybersicurezza della casabianca" lo definisce NW. Al di la di Zar ed altri titoli pseudonobiliari ho avuto il piacere di conoscere e fare quattro chiacchiere diverse volte con Howard e lo stimo molto. Sul fatto che open source sia pi� o meno sicuro non ho una forte opinione. Dipende da talmente tante cose che si potrebbero trarre le conclusioni che si vogliono. Quelli che usano software open source perch� "posso guardare il codice e rendermi conto di com'� fatto e quanto � sicuro" e poi non hanno (o non hanno in azienda) le competenze per effettivamente valutare il codice mi fanno sorridere. Come anche altri che usano closed source per altrettanto futili motivi, del resto.

Foto del Giorno.

2008-07-10T18:59:00.002+02:00

Dopo la versione da piscina e quella invernale, non poteva mancare la versione da campeggio (grazie Alessio). Se avete segnalazioni/testimonianze sar� lieto di continuare la serie.

Sulla sicurezza fisica, invece, ecco un impianto antincendio a regola d'arte (grazie Davide):

Truecrypt 6.0

2008-07-10T18:05:00.000+02:00

E' stato rilasciato Truecrypt 6.0. La lista delle novit� � qui.

Nuove identit� sul web ?

2008-07-09T09:29:00.002+02:00

Ancora con questa storia del cappello per non farsi riprendere in aree videosorvegliate ?

Oltre il cappello, questo articolo suggerisce anche di non mangiare in locali pubblici e di non usare bagni pubblici. In altre parole: se la trattieni e non mangi non ti trova nessuno.

Infosecurity � finita.

2008-07-08T15:20:00.002+02:00

Nel 2001 sono stato per la prima volta ad Infosecurity e mi � piaciuta molto la fiera. Da allora � stato un leggero, lento ed inesorabile declino. Come manifestazione ha cercato di espandersi su Roma e Verona oltre che a Milano, ma forse questo � stato proprio questo che ha generato una diluizione che � stata letale.

E' di pochi giorni fa la notizia: ASCA / Addio Infosecurity Italia

Reed Exhibition ha deciso di sospendere Infosecurity Italia, la pi� importante manifestazione in Italia nel settore della sicurezza informatica. La scelta, si legge in un comunicato, deriva dalla considerazione che il mercato dell'information technology nel nostro paese si sta orientando verso altri strumenti di promozione diversi dagli eventi fieristici di taglio tradizionale. Gli operatori del settore, infatti, hanno dimostrato di voler sempre pi� indirizzare i loro investimenti su eventi specialistici personalizzati sulle caratteristiche e le richieste di singoli mercati verticali di riferimento.

Personalmente la cosa mi lascia abbastanza indifferente. A febbraio sono passato alla manifestazione solo un paio d'ore - forse quelle sbagliate - ma l'impressione � stata di respirare aria vecchia.

Oggi leggo sul blog del CLUSIT che sulle ceneri della vecchia manifestazione ne nascer� una nuova e innovativa che si chiamer� Security Summit.

La nuova manifestazione, che vedr� un considerevole coinvolgimento dei soci, si chiamer� "Security Summit" e la prima edizione si terr� gi� nella primavera del 2009 prima a Milano e poi a Roma.

Da quello che leggo la cosa � interessante. Per pi� di un motivo; il primo:

Intendiamo superare il format ormai logoro di eventi dalla spiccata fisionomia fieristica per concentrarci invece su un format innovativo, caratterizzato da contenuti culturali di alto livello, key note speaker di profilo internazionale e in generale una forte attenzione alla qualit�. Per far questo stiamo mettendo a punto un programma convegnistico che vedr� sessioni plenarie, seminari di approfondimento, tavole rotonde, sessioni verticali ecc. in una variet� e articolazione di offerta culturale che permetta al partecipante di costruirsi un percorso professionale di approfondimento su misura.

Quindi meno "vetrina" e pi� convegni. Bene, perche convegni significa contenuti, condivisione, conoscenza, conoscersi e confrontarsi, specie se il convegno � tavola rotonda. La vetrina ormai non serve pi�, � stata sostituita da internet.

Il secondo:

Fortemente basato sulla possibilit� di interazione dei partecipanti, il "Security Summit", oltre alle tematiche tipiche del mondo business, svilupper� anche una attenzione particolare a quelle della sicurezza in rete per i cittadini: i risparmiatori, le famiglie, i pi� giovani e gli anziani.

Se i partecipanti girano fra le "bancarelle�, non portano a casa niente (se non un sacchetto di carta che butteranno alla prima occasione). Se ci sono convegni portano a casa conoscenza, se c'e' possibilit� d�interazione portano a casa conoscenza e confronto.

Terzo:

Per realizzare questo ambizioso progetto avremo bisogno dell' aiuto e dei suggerimenti di tutti i soci, per costruire assieme un evento veramente innovativo: originale, accattivante e di gran qualit�.

Questo � quello che mi piace di pi�. Il fatto di poter interagire e dare suggerimenti evitando quindi la manifestazione "imposta" con contenuti fatti da comitati sconosciuti. possibilit� quindi di fare noi tutti da comitato. A me l'idea piace molto. Sto pensando gi� di proporre qualcosa.

NIST: Due nuove pubblicazioni

2008-07-08T12:46:00.002+02:00

Sono due le pubblicazioni appena rilasciate dal NIST, e sono entrambe molto interessanti.

La prima, "Guide to SSL VPNs" parla delle tecnologie che stanno alla base delle SSL VPN, ambito che sta guadagnando sempre pi� popolarit� rispetto alle "tradizionali" IPsec VPN. Si passa poi a scenari d�implementazione e raccomandazioni d'uso. Ovviamente non ho ancora avuto il tempo di leggere la pubblicazione, ma da una prima occhiata � fatta molto bene (come tradizione del NIST).

link - NIST: Guide to SSL VPNs (pdf)

La seconda � una pubblicazione ancora in draft, e quindi pu� essere commentata prima della chiusura e pubblicazione. Quanto mai attuale anche quest�argomento: "Guidelines on Cell Phone and PDA Security". Con l'utilizzo sempre pi� massiccio di dispositivi mobili, palmari e telefoni intelligenti che allargano il loro ambito d'azione dal semplice calendario o telefono a dispositivo multifunzionale che integra calendario, email, contatti, telefono e spesso accesso alle risorse aziendali, diventa imperativo porsi l'interrogativo sull'effettivo livello di sicurezza di questi dispositivi e su quali possono essere le linee guida da applicare per un utilizzo sicuro. Ben venga quindi una pubblicazione come questa!

link - NIST: Guidelines on Cell Phone and PDA Security (Draft, pdf)

VoIP Exploit Research toolkit

2008-07-07T14:03:00.001+02:00

http://sourceforge.net/projects/voiper/

VoIPER is a VoIP security testing toolkit incorporating several VoIP fuzzers and auxilliary tools to assist the auditor. It can currently generate over 200,000 SIP tests and H.323/IAX modules are in development.

Sanzioni esemplari

2008-07-01T14:17:00.002+02:00

Usa "RemoteAnywhere" per accesso non autorizzato a dati sui computer militari. Gli USA chiedono l'estradizione di un "hacker" inglese. PC World : British Hacker Faces Extradition Hearing Next Week

Sedicenne fa truffe online per far soldi e potersi permettere gadget e vita agiata. Darknet: 16 Year Old Indian Hacker Busted for eBay Scam

Crea una botnet con centinaia di PC compromessi per attaccare altri PC installando pop-up pubblicitari. BBC News: Jail sentence for botnet creator

Nasce www.icasi.org

2008-06-30T14:38:00.003+02:00

E' notizia fresca (di gioved� scorso) la costituzione di ICASI, Industry Consortium for Advancement of Security on the Internet. [link]

ICASI intends to be a trusted forum for addressing international, multi-product security challenges. This trusted forum extends the ability of information technology vendors to proactively address complex security issues and better protect enterprises, governments, and citizens, and the critical IT infrastructures that support them. ICASI shares the results of its work with the IT industry through papers and other media.

La cosa non pu� che farmi piacere. Sono un sostenitore del fatto che la sicurezza pi� efficace sia fatta di tecnologie, procedure e persone, e che la protezione offerta sia tanto pi� efficace quanto pi� queste tre entit� si parlano fra di loro. Quindi tecnologie che collaborano, procedure che influenzano le tecnologie e viceversa, e sopratutto persone. Persone che interagiscono con le tecnologie e sottostanno alle policy di utilizzo, conoscendo i problemi.
La notizia della nascita di ICASI mi fa piacere perche vede seduti allo stesso tavolo diversi fornitori (Cisco per prima, con IBM, Intel, Junipe r e Microsoft), tutti di rilievo e capaci di offrire tecnologie e servizi molto significativi. Se ci si parla, le cose non possono che migliorare, in uno scenario dove gli attacchi informatici sono sempre pi� pericolosi.

Gli obiettivi:

Sicurezza per gli utilizzatori � Grazie ad ICASI e alla collaborazione, i vendor saranno pi� efficaci nell'identificare e combattere minacce che a volte sono al di fuori dell'ambito di un singolo vendor; quindi riducendo l'impatto di eventuali problemi di sicurezza.
Flessibilit� ed efficacia � ICASI ha come obiettivo quello di migliorare l'efficienza ed efficacia nella risoluzioni di minacce informatiche multivendor.
Collaborazione - Si viene a creare un ambiente dove possono rapidamente essere scambiate le informazioni necessarie a risolvere rapidamente problemi di sicurezza cross-vendor. Informazioni che - caso per caso - potranno essere condivise.
Innovazione e leadership � ICASI comprende aziende ognuna leader nel proprio settore e nel mondo e sfrutta l'esperienza di ognuna per innovare le modalit� di risposta ai problemi di sicurezza, e l'efficacia quindi per gli utilizzatori di queste informazioni.

Videosorveglianza

2008-06-27T22:15:00.001+02:00

Mi occupo anche di Sicurezza Fisica e Videosorveglianza, anche se ne ho scritto poco sul blog, almeno per ora.

Ecco un esempio di posizionamento poco efficace di una telecamera:

Sempre grazie a Davide.

Schermi per la privacy.

2008-06-27T22:10:00.002+02:00

Per i paranoici del "quello mi sta guardando lo schermo" come me, ecco un'idea. Magari aspettiamo met� ottobre, per�.

Credits: questa l'ho vista sul Blog di Davide (accessibile solo se sei un collega o sei riuscito ad entrare nella intranet cisco).

Che caldo.

2008-06-27T22:06:00.003+02:00

Questa settimana sono stato latitante, complice il caldo, ma sopratutto tantissime cose da fare, fra cui:
una partecipazione ad una tavola rotonda sulla evoluzione della sicurezza nella pubblica amministrazione, dove ho preso diversi spunti e contatti interessanti.

due seminari " datacenter...Sicuro?" dove io ed altri colleghi abbiamo sviscerato quelli che sono gli scenari, architetture e tecnologie per un datacenter sicuro. anche qui, ho fatto quattro chiacchiere con un sacco di gente, e mi porto a casa degli spunti interessanti.

come sempre non smetto di prendere nota di cose interessanti per il blog, ed adesso ne pubblico alcune