Tales from the Machine Room

Once upon a time, while I was really bored, I began writing down what's going on in my office in the it.comp.os.linux.sys newsgroup. Whitelding all the names, of course, to protect the guilty. The tales seems to be well accepted, so I decided to preserve them for posterity.

All the tales are real.

Jargon:

CL - Clueless Luser: tipical user, he doesn't really have a clue but he thinks he knows better.
UL - UberLuser: project leader or a middle-manager kind of luser. Isn't any better than a normal CL, but his paycheck is bigger.
SL - SuperLuser: manager
HR - Someone working in Human Resources.

La Verifica

Ok, cosi' mi ritrovo a parlare con questo emerito testadiquiz che dovrebbe (teoricamente) verificare la 'security' del nostro sitema.

CL - Mi serve una postazione dove attaccare il computer
IO - Nessun problema, ma esattamente che devi fare?
CL - Abbiamo questo tool che fa' uno scan della rete ed identifica eventuali problemi e crea un report automatico. Devo semplicemente avviarlo.
IO - (cominciamo bene) Ah... Ok.

Lo conduco quindi ad un tavolo libero ed attacco il suo laptop alla rete, non appena il tipo digita la sua password una mezza dozzina di finestre compaiono sullo schermo con... hummm... diciamo 'fotografie esplicite'...

CL - Errrkkk... e questa roba da dove salta fuori?
IO - Dai 52 dialer che hai installato?
CL - Hummm... ma non c'erano ieri...
IO - Allora ieri sera devi aver fatto faville...
CL - Hemmm...

Nel frattempo un paio di UL che passavano di li' hanno fatto qualche commento particolare, percui CL gia' e' meno baldanzoso di prima.

Cominciamo quindi questa 'verifica'...

CL - Mi serve l'indirizzo IP di un server.
IO - ??? Non dovrebbe cercarseli da solo ?? Che cavolo di 'simulazione' di hackeraggio e'?
CL - Be', cosi' riduciamo un po' i tempi... anzi, sarebbe meglio avere una dozzina di IP, cosi' facciamo i controlli piu' rapidamente.
IO - Vabbe'.

Predispongo quindi una lista di server e workstations. CL avvia il suo accrocchio.

Dopo una mezz'ora circa viene a cercarmi.

CL - Allora, ecco l'elenco dei problemi.
IO - Vediamo un po... che cavolo vuol dire 'server Novell'?
CL - Che quel server Novell non e' protetto.
IO - Ma non c'e' nessun server Novell nella rete! Questa macchina e' Solaris!
CL - Sicuro?
IO - (indico la Sun Ultra 450 a poca distanza)
CL - Huuu... strano...
IO - Andiamo avanti che e' meglio... cose' questo 'Http protocol available' ?
CL - Be', quel server risponde al protocollo http...
IO - Bella roba! E' un server Web! E questo 'SNMP request acknowledged'?
CL - Che la macchina risponde alle richieste SNMP.
IO - E come posso monitorare quella chiavica di Windows se non mi risponde alle richieste SNMP? Vabbe' andiamo avanti... cose' sta' roba? "Unavailable" ?
CL - Che quella macchina non ha risposto a nessuna richiesta.

...ma questo mi piglia in giro...

IO - Fammi capi'... se la macchina risponde viene considerata 'insicura', mentre se non risponde 'non raggiungibile'?
CL - Hemmm... non l'ho fatto io il programma...

Sorvolo sul resto dei 'risultati'. Nel pomeriggio comunque arrivano gli altri due pinguini che dovrebbero attaccare, tramite un apposito router ISDN uno 'speciale' switch per fornire accesso alla rete interna di $immensasocieta a 3 particolari laptop, specificamente configurati ed assolutamente intoccabili e (ipoteticamente) inattaccabili.

IO - Ok, ma che ha di speciale sto' router?
CL2- Che e' un router speciale.
IO - ...sivabbe'...

CL2 attacca il router e collega lo switch, quindi portiamo uno dei laptop nell'ufficio di SUSL e lo colleghiamo all'apposita presa di rete.

CL2- Ecco, adesso basta fare doppio click sull'icona della connessione...

Un'altra dozzina di finestrelle molto 'esplicite' compaiono allegramente sullo schermo... CL2 fa' un salto sulla sedia e tenta disperatamente di chiuderle, ma quelle persistono nel riapparire prima che lui riesca a chiuderle, dopo un paio di minuti risolve spegnendo il laptop.

CL2 - Herrr... credo che questo laptop sia da re-installare...
IO - Ma non erano 'inattaccabili'?
SUSL- Hummm...

E noi saremmo quelli la cui sicurezza e' da verificare???

Davide
04/12/2008

previous next