Comments are added when and more important if I have the time to review them and after removing Spam, Crap, Phishing and the like. So don't hold your breath. And if your comment doesn't appear, is probably becuase it wasn't worth it.
14 messages this document does not accept new posts
paranoia.. By Lisa posted 16/11/2009 09:26
...niente da fare, CL è stato preso dalla sindrome "aiuto! un hacker è nel mio pc!" e non lo schiodi da lė se non con qualche mazzata...
Poi se entra in gioco l'amico del cugino della fidanzata del fratello "che è tanto bravo coi compiuter" allora è proprio allo stadio terminale
--
Lisa
Poi se entra in gioco l'amico del cugino della fidanzata del fratello "che è tanto bravo coi compiuter" allora è proprio allo stadio terminale
--
Lisa
@ Lisa By Daniele C. posted 16/11/2009 15:53
> Poi se entra in gioco l'amico del cugino della fidanzata del fratello "che è tanto bravo coi compiuter" allora è proprio allo stadio terminale
Già, peccato che, nonostante lo stadio avanzato, mica schiatta. Al max lo promuovono e te lo ritrovi come capo, invece che collega. -- "I was watching the London Marathon and saw one runner dressed as a chicken and another runner dressed as an egg. I thought: 'This could be interesting.'" -Paddy Lennox
---
D.
Già, peccato che, nonostante lo stadio avanzato, mica schiatta. Al max lo promuovono e te lo ritrovi come capo, invece che collega. -- "I was watching the London Marathon and saw one runner dressed as a chicken and another runner dressed as an egg. I thought: 'This could be interesting.'" -Paddy Lennox
---
D.
Ma quanto ispirano sicurezza... By maxxfi posted 16/11/2009 09:38
Parlando di certificati SSL, l'altra settimana ho ricevuto una lettera
da $certification_authority_che_inizia_per_V per un loro sondaggio.
La cosa interessante e' che dalla busta finestrata si leggeva il mio
nome, indirizzo e... PIN code personale per accedere al sondaggio
Ehm, forse forse il bug di MD5 non e' la prima cosa di cui preoccuparsi.
Tra l'altro, compilato il sondaggio, ho ricevuto una email di ringraziamento in cui affermavano che mi informeranno dei risultati dello stesso 'free of charge'. Come non sentirsi onorato
-- maxxfi
da $certification_authority_che_inizia_per_V per un loro sondaggio.
La cosa interessante e' che dalla busta finestrata si leggeva il mio
nome, indirizzo e... PIN code personale per accedere al sondaggio
Ehm, forse forse il bug di MD5 non e' la prima cosa di cui preoccuparsi.
Tra l'altro, compilato il sondaggio, ho ricevuto una email di ringraziamento in cui affermavano che mi informeranno dei risultati dello stesso 'free of charge'. Come non sentirsi onorato
-- maxxfi
@ maxxfi By Eugenio Dorigati posted 16/11/2009 13:19
> Parlando di certificati SSL, l'altra settimana ho ricevuto una lettera
> da $certification_authority_che_inizia_per_V per un loro sondaggio.
> La cosa interessante e' che dalla busta finestrata si leggeva il mio
> nome, indirizzo e... PIN code personale per accedere al sondaggio
> Ehm, forse forse il bug di MD5 non e' la prima cosa di cui preoccuparsi.
>
> Tra l'altro, compilato il sondaggio, ho ricevuto una email di ringraziamento in cui affermavano che mi informeranno dei risultati dello stesso 'free of charge'. Come non sentirsi onorato
>
>
Mi sembra sia il protocollo standard. Anche nella busta di carta da fuoco che ti danno quando fai la poste pay mi pare che dalla finestrella della busta di vedono altri dettagli simili del tutto insignificanti......ma daltronde sarà ben più sicura una lettera chiusa dove si legge tutto senza aprirla rispetto ad un email......
>
>
> -- "Unix IS user friendly. It's just selective about who its friend are"
> da $certification_authority_che_inizia_per_V per un loro sondaggio.
> La cosa interessante e' che dalla busta finestrata si leggeva il mio
> nome, indirizzo e... PIN code personale per accedere al sondaggio
> Ehm, forse forse il bug di MD5 non e' la prima cosa di cui preoccuparsi.
>
> Tra l'altro, compilato il sondaggio, ho ricevuto una email di ringraziamento in cui affermavano che mi informeranno dei risultati dello stesso 'free of charge'. Come non sentirsi onorato
>
>
Mi sembra sia il protocollo standard. Anche nella busta di carta da fuoco che ti danno quando fai la poste pay mi pare che dalla finestrella della busta di vedono altri dettagli simili del tutto insignificanti......ma daltronde sarà ben più sicura una lettera chiusa dove si legge tutto senza aprirla rispetto ad un email......
>
>
> -- "Unix IS user friendly. It's just selective about who its friend are"
Oisignų... By dpantaleo posted 16/11/2009 12:25
... e dire che da venerdė sono entrato anch'io nella cerchia dei Sysadmin! (@ D: come vedi i masochisti esistono )
Vuol dire forse che prima o poi mi tocca? -- dpantaleo
"Nemo reverte ab nos..."
)
Vuol dire forse che prima o poi mi tocca? -- dpantaleo
"Nemo reverte ab nos..."
@ dpantaleo By Davide Bianchi posted 16/11/2009 13:36
> Vuol dire forse che prima o poi mi tocca?
E' nella genetica, rassegnati.
-- Davide Bianchi
E' nella genetica, rassegnati.
-- Davide Bianchi
@ dpantaleo By Daniele C. posted 16/11/2009 15:59
> ... e dire che da venerdė sono entrato anch'io nella cerchia dei Sysadmin! (@ D: come vedi i masochisti esistono )
> Vuol dire forse che prima o poi mi tocca?
Guarda, io non sono un sysadmin, ma uno sviluppatore che, per necessità aziendale (AKA poca gente nell'UT) mette le mani in server ed altro. Nonostante mi occupi di poca roba li becco comunque quelli che non capiscono un cappero e pretendono di insegnare a ME il MIO lavoro.
Quindi vedi che è inevitabile: prima o poi tocca a tutti. -- "I was watching the London Marathon and saw one runner dressed as a chicken and another runner dressed as an egg. I thought: 'This could be interesting.'" -Paddy Lennox
---
D.
)
> Vuol dire forse che prima o poi mi tocca?
Guarda, io non sono un sysadmin, ma uno sviluppatore che, per necessità aziendale (AKA poca gente nell'UT) mette le mani in server ed altro. Nonostante mi occupi di poca roba li becco comunque quelli che non capiscono un cappero e pretendono di insegnare a ME il MIO lavoro.
Quindi vedi che è inevitabile: prima o poi tocca a tutti. -- "I was watching the London Marathon and saw one runner dressed as a chicken and another runner dressed as an egg. I thought: 'This could be interesting.'" -Paddy Lennox
---
D.
sė, ma a che serve? By Marco Colombo posted 16/11/2009 19:33
Scusa la domanda secca, ma
"e' meglio se agiamo subito e prepariamo una lista di tutti quelli che hanno certificati fatti con RapidSSL che utilizzano Md5 come sistema di criptatura."
A che dovrebbe servire esattamente tale lista? Ogni singolo sito https è vulnerabile a questo tipo di attacco, indipendentemente dal certificato che usa, da chi l'ha rilasciato e dall'algoritmo usato per firmarlo. O da chi ne fa l'hosting/housing, se è per quello... Quindi la tua risposta a DB avrebbe dovuto essere un laconico "e perché?". -- .TM.
"e' meglio se agiamo subito e prepariamo una lista di tutti quelli che hanno certificati fatti con RapidSSL che utilizzano Md5 come sistema di criptatura."
A che dovrebbe servire esattamente tale lista? Ogni singolo sito https è vulnerabile a questo tipo di attacco, indipendentemente dal certificato che usa, da chi l'ha rilasciato e dall'algoritmo usato per firmarlo. O da chi ne fa l'hosting/housing, se è per quello... Quindi la tua risposta a DB avrebbe dovuto essere un laconico "e perché?". -- .TM.
@ Marco Colombo By Davide Bianchi posted 17/11/2009 08:32
> A che dovrebbe servire esattamente tale lista?
A sapere quali bisogna rifare con RSA ?
-- Davide Bianchi
A sapere quali bisogna rifare con RSA ?
-- Davide Bianchi
@ Davide Bianchi By Marco Colombo posted 17/11/2009 19:02
> > A che dovrebbe servire esattamente tale lista?
>
> A sapere quali bisogna rifare con RSA ?
Semplice: nessuno.
Perché dovresti rifarli, scusa? Quei certificati sono buoni quanto ogni altro... l'attacco mostra come sarebbe stato possibile (per gli autori) impersonare qualsiasi sito, mica solo quelli con certificati RapidSSL.
La vulnerabilità riguarda la CA, non i certificati. Chiaro, nel momento in cui riesco a far firmare un certificato ad una CA senza che questa controlli il contenuto, a quel punto potrei impersonare chiunque. Potrei aprire un sito www.davidebianchi.it, con https, lucchetto che si chiude, certificato che riporta come owner il Sig. Davide Bianchi, con firma riconosciuta valida dal browser (per l'utente: lucchetto chiuso = sito OK).
Questo anche se tu NON hai alcun certificato. Sei vulnerabile comunque, in teoria. Ovviamente l'aspetto pratico di montare un tale attacco è prendere di mira un sito esistente, sennò serve relativamente a poco.
Resta il fatto che non c'è alcuna ragione per cambiare i certificati firmati con MD5. In quel attacco, il tipo di certificato del sito "target" non conta.
Poi, puoi dire che MD5 "puzza", ma quello è un altro discorso. -- .TM.
>
> A sapere quali bisogna rifare con RSA ?
Semplice: nessuno.
Perché dovresti rifarli, scusa? Quei certificati sono buoni quanto ogni altro... l'attacco mostra come sarebbe stato possibile (per gli autori) impersonare qualsiasi sito, mica solo quelli con certificati RapidSSL.
La vulnerabilità riguarda la CA, non i certificati. Chiaro, nel momento in cui riesco a far firmare un certificato ad una CA senza che questa controlli il contenuto, a quel punto potrei impersonare chiunque. Potrei aprire un sito www.davidebianchi.it, con https, lucchetto che si chiude, certificato che riporta come owner il Sig. Davide Bianchi, con firma riconosciuta valida dal browser (per l'utente: lucchetto chiuso = sito OK).
Questo anche se tu NON hai alcun certificato. Sei vulnerabile comunque, in teoria. Ovviamente l'aspetto pratico di montare un tale attacco è prendere di mira un sito esistente, sennò serve relativamente a poco.
Resta il fatto che non c'è alcuna ragione per cambiare i certificati firmati con MD5. In quel attacco, il tipo di certificato del sito "target" non conta.
Poi, puoi dire che MD5 "puzza", ma quello è un altro discorso. -- .TM.
supersicurissimo... By yos posted 16/11/2009 20:08
> scopro cose carine, come il fatto che il sito di $noiguardiamoivostriinteressi
> di cui ho gia' detto piu' di una volta, usa un bellissimo certificato firmato
> da nientemeno che da Snake Oil Ltd... Sigh.
sembra che la testa di J. totalizzi un bellissimo 11 nella scala di Mohs... O almeno stavolta non è colpa sua? -- yos
> di cui ho gia' detto piu' di una volta, usa un bellissimo certificato firmato
> da nientemeno che da Snake Oil Ltd... Sigh.
sembra che la testa di J. totalizzi un bellissimo 11 nella scala di Mohs... O almeno stavolta non è colpa sua? -- yos
Facepalm! By BigFab posted 17/11/2009 00:45
http://media.photobucket.com/image/facepalm/Ultramarine777/facepalm.jpg
Saluti! BigFab. -- E sono il cinquecentesimo...
Saluti! BigFab. -- E sono il cinquecentesimo...
Mio cugino By Cymon posted 17/11/2009 02:08
Volevo ricordare che mio cugino una volta, quand'era piccolo è morto 
--
Cymon
--
Cymon
@ Cymon By Davide Bianchi posted 17/11/2009 08:33
> Volevo ricordare che mio cugino una volta, quand'era piccolo è morto
IGotBetter (http://tvtropes.org/pmwiki/pmwiki.php/Main/IGotBetter) -- Davide Bianchi
IGotBetter (http://tvtropes.org/pmwiki/pmwiki.php/Main/IGotBetter) -- Davide Bianchi
