Olimpo Informatico

[Zeus News]

Commenti all'articolo Microsoft.com defacciato
A risentire dell'attacco sarebbe stata la sezione Microsoft Press Books.

[Pincopallino]

>>In tutti e cinque i casi si trattava di piccoli siti web tutti funzionanti su sistemi operativi Gnu/Linux e web server Apache.

[Pincopallino]

Scusate, ma ZNposter mi ha tagliato la frase. Dicevo:

"E la tanto vantata sicurezza dell'Open Source????"

[Stefano Barni]

quale vulnerabilità è stata sfruttata dall'attaccante?
come erano amministrati i web server?
c'era un firewall? quale?

[Pincopallino]

Scusa, ma queste non sono le stesse domande che si pongono ad un amministratore Windows?

[Stefano Barni]

infatti il comportamento dell'amministratore dal punto di vista della sicurezza non cambia troppo da sistema a sistema. tra windows e open source (o piu' precisamente tra win e linux) quello che cambia è il tempo speso a installare patch su patch. inutile dire a favore di chi :-)

[Pincopallino]

Oh, bene, vedo che c'intendiamo, in fondo! La più grave vulnerabilità è sempre quella che affligge la componente umana!
Permettimi però di fare l'avvocato del diavolo. I server Apache di default abilitano il "browsing" della directory (mi spiego, vero? Vai in una directory in cui non ci sia un file "root" come "index.htm" e simili, e hai accesso a tutta l'arborescenza), che dal punto di vista della sicurezza non è proprio il massimo. I server IIS no - nel caso di cui sopra, se non conosci un nome file ti becchi un bel "forbidden".
Certamente, cambiare quel setting è questione di editing di una linea, ma hai idea di quanti server Apache "non protetti" in questo modo ci sono in giro? Questa precauzione elementare è forse fra quelle più frequentemente dimenticate dai propugnatori della sicurezza Linux.
Mai capito perché il "browsing" sia abilitato di default, comunque...

[Stefano Barni]

l'abilitazione alla generazione degli "indexes" in apache è effettivamente un default che potrebbe essere cambiato. probabilmente è cosi' da sempre perché non è un problema di sicurezza in sé, se non per il fatto che si rischia di rivelare al potenziale attaccante informazioni sulla struttura del sito.

oltretutto credo che dipenda anche dalla distribuzione che si installa. non escludo che qualcuna modifichi il default.

inoltre, soprettutto per le componenti tipicamente server, la filosofia linux è molto diversa da quella windows: in linux si presume che fa una cosa la sappia fare e dunque si regoli di conseguenza. microsoft invece ha fatto di tutto per far apparire alla portata di chiunque anche compiti piuttosto impegnativi, col risultato che molti utenti, se da un pericolo non li para il software, non solo non sanno come fare, ma non sono nemmeno consapevoli di dover fare qualcosa...

[pin@]

intanto l'istantanea dello schermo defacciato è un file *.png :-), e poi, invece di dire pagina "defacciata" (chiaro calco sull'inglese defaced), non si potrebbe dire "sfigurata"? Si capisce ugualmente, ma almeno "sfigurata" in italiano esiste.