pwn3d!!

Ci sono notizie che non possono essere ignorate. :)

Queste per la serie ./pwned ...

1 ) un rapinatore che usa tecniche di "social engineering". Ecco la foto, geniale la metodologia di attacco:

Anche se questo, in effetti, ricadrebbe piu' in quello che si definisce terrorismo psicologico. La tecnica "spaventali a morte e li avrai in pugno", se ci pensate bene, è anche alla base dell'attuale società e realtà politica mondiale.

Fonte: http://notizie.alice.it/notizie/cronaca/2008/05_maggio/28/lazio_roma_preso_rapinator_cortese_l_arma_era_una_noce_di_cocco,14951697.html

2) "Ladro di bici centrato da bazooka. Colpito da un lanciatore di granate a razzo Rpg."

Non ha potuto appellarsi al concetto di legittima difesa il padrone di una bicicletta che, in Sudan, ha pensato bene di sventare il furto del suo mezzo utilizzando un bazooka. La vicenda è stata raccontata dal sito internet della tv saudita al Arabiya. Tutto è avvenuto nell’elegante quartiere residenziale di al Riad, nella capitale sudanese. Il ladro, a dir poco sfortunato, è saltato su una bici, come nel famoso film di Vittorio De Sica, ma ha trovato ben vigile il proprietario e, tra l’altro, in possesso di un’arma non proprio delle più comuni: un lanciatore di granate a razzo Rpg.

Solo per farvi una idea, ecco l'arma incriminata:

Fonte: http://www.corriere.it/cronache/08_maggio_27/bazooka_sudan_eb42c1b6-2bf9-11dd-9d26-00144f02aabc.shtml

3) Scopre il dipendente malato a ballare in tv. Lamentava un'ernia inguinale. Oltre ad essere licenziato è stato denunciato per truffa

Un imprenditore di Rovereto (Trento) ha scoperto un suo dipendente in malattia mentre ballava negli studi televisivi di un'emittente locale. È accaduto a Karl Ninz, titolare di uno stabilimento in Trentino, che seguendo i programmi di Tca ha visto danzare un suo collaboratore, assunto da pochi mesi. Il lavoratore tramite i certificati medici lamentava 'postumi di ernia inguinale', dicendosi pertanto inadatto a sollevare pesi

Un cretino, c'e' poco da commentare.

Fonte: http://www.corriere.it/cronache/08_giugno_11/dipendente_malato_ballare_televisione_6c94119c-37e5-11dd-a7f3-00144f02aabc.shtml

biggest drawing in the world

Arte, follia e genio allo stato puro. Con l'aiuto di un dispositivo GPS e di DHL:


L'autore ha pubblicato, in pdf, anche le istruzione che ha dato a DHL per la realizzazione:

http://biggestdrawingintheworld.com/pdf/travel%20instructions.pdf

GENIALE.

Vi rimando alla fonte per saperne di piu', per guardare il video ed i dispositivi utilizzati.

Fonte: http://biggestdrawingintheworld.com/drawing.aspx

strepitoso

Da http://www.blublu.org/sito/video/muto.htm:

MUTO a wall-painted animation by BLU from blu on Vimeo.

la tv...

... non c'e' piu'.

Via, fuori dalla balle. Non mi serve. E' inutile. Fa perdere tempo e dice minchiate.

Ma sopratutto mi sono accorto di aver recuperato tempo che prima non pensavo minimamente di avere. E' a dir poco fantastico.

Piu' ci penso e piu' credo che questa mia idea è a dir poco geniale. Per tutto il resto (news, meteo, musica, discussioni/dibattiti poltici) c'e' quel magnifico strumento di comunicazione che si chiama Radio.

Vediamo quanto resisto, dalla mia c'e' la volontà.

pubblicazione nist (SP 800-123)

Interessante lettura:

http://csrc.nist.gov/publications/drafts/800-123/Draft-SP800-123.pdf

NIST Special Publication 800-123 [1], "Guide to General Server
Security," makes recommendations for securing server operating systems
and softwarein addition to maintaining a secure configuration with
patches and software upgrades, security testing, log monitoring and
backups of data and operating system files.

The document addresses common servers that use general operating systems
and are deployed in outward- and inward-facing locations. The
recommendations apply to a variety of typical servers, such as Web,
e-mail, database, infrastructure management and file servers. Much of
the content was derived from SP 800-44 Version 2, "Guidelines on
Securing Public Web Servers," and SP 800-45 Version 2, "Guidelines on
Electronic Mail Security."

Common security threats addressed include exploitation of software bugs
to gain unauthorized access, denial-of-service attacks, exposure or
corruption of sensitive data, unsecured transmission of data, use of a
server breach to gain access to other network resources and use of a
compromised server to launch attacks.

NIST recommended that security plans be considered from the initial
planning stage because addressing security is more difficult after
deployment. "Organizations are more likely to make decisions about
configuring computers appropriately and consistently when they develop
and use a detailed, well-designed deployment plan," the document said.
It also advised agencies to consider human resources required for
deployment and operational phases, including training requirements.

To ensure the security of a server and the supporting network
infrastructure, NIST recommends:

 * Organizationwide information system security policy.
 * Configuration/change control and management.
 * Risk assessment and management.
 * Standardized software configurations that satisfy the information
   system security policy.
 * Security awareness and training.
 * Contingency planning, continuity-of-operations and disaster
   recovery planning.
 * Certification and accreditation.

firefox e add-ons

No, state tranquilli, non voglio consigliarvi le estensioni di firefox che utilizzo :-) Anche perchè non utilizzandolo sarebbe anche difficile farlo.

Tempo addietro in qualche mailing list (devo cercare il messaggio su questo blog o su google) si parlava di sicurezza dei browser internet, dei vantaggi nello sviluppo del modello opensource e dei tempi di reazione/rilascio patch a fronte di gravi bug. Avevo sollevato dei problemi di design in Firefox, primo tra tutti quello delle estensioni e degli addons ed il modo come sono gestiti (dal metodo di installazione al suo utilizzo all'interno di un asset molto critico per la sicurezza del proprio pc o rete aziendale).

Nessuno si era posto grandi problemi e/o dubbi a riguardo. Oggi pero', spero, che si inizi a pensarci, anche a fronte di questo:

http://blog.wired.com/27bstroke6/2008/05/firefox-infects.html

UPDATE: Anche se non è proprio il messaggio che cercavo, ne ho trovato uno simile - sempre mio - sull'argomento:

http://www.sikurezza.org/ml/07_07/msg00045.html

Prima di costruire il grattacielo, una domanda base: il concetto di estensione,cosi' come è pensata ed implementata in FF, è sicura? Quali sono i meccanismi di sicurezza per, ad esempio, installare una estensione? Cosa riesci a fare con le estensioni? A cosa hai accesso e su che base? No, perche' io non mi vorrei mai trovare nel caso che installando una estensione del browser che faccia X mi trovi pure la feature nascosta Y che faccia da backdoor o da tunnel per far uscire dati evadendo pure IDS e quant'altro... :>

Non essendo un esperto di FF e non usandolo, ho letto le FAQ :
http://www.mozilla.org/support/firefox/faq.html

Ma sulla sezione "Extensions" non ho trovato niente di interessante. Ad esempio, se è vero quello che leggo, il processo di installazione non mi pare il massimo del buon senso, essendo basato esclusivamente sulla fiducia. Mi sbaglio ?

Mi auto-rispondo: non mi sbagliavo :>

Exploits of a Mom && archivio immagini security && alcuni appunti su come fare una presentazione && GCC and pointer overflows

ASAP pubblico la mia collezione/archivio di immagini security-related. Attualmente le utilizzo quando devo fare delle presentazioni/slides. Mi piace scrivere poco per ogni slides, ma mettere delle immagini che rendano l'idea su cosa si sta discutendo. Queste le poche regole che utilizzo quando penso ad una presentazione:

• poche slides (sempre! Le persone si annoiano e l'attenzione cala generalmente dopo 15 minuti)
  
• lo stesso template per tutto il corso della presentazione. Eccezione può essere fatta per le slides di presentazione o di terminazione...
  
• Prima slides con Titolo e contatti, seconda slides con la struttura della presentazione, ultima slides con "spazio per le domande" e remind dei contatti.
• Eliminate la slides "Chi sono"/"who i'm". E' inutile. Se vengo a vedere la vostra sessione di presentazione, è inutile che vi fate una auto-profilazione. Per quello chiedo ai servizi segreti e non sicuramente a voi.
  
• Testo: Nero nella maggior parte dei casi è quello che serve. Piccole eccezioni vanno fatte se lo sfondo non lo permette (ma evitare sempre il giallo, verde o altri colori vivi).
• Font: usarne UNO ed uno solo. Non miscelarne 100. Anche per i titoli: stesso font ma grandezza differente.
  
• mai tanto testo: si scrive sempre e solo l'essenziale come remind personale. Dopo, a voce, si vanno ad espandere i concetti. 20/25 parole sono già abbastanza...
• Piccola precisazione: Se vi sentite forzati a scrivere TANTO per non dimenticare le cose da dire o per qualche altro motivo è perchè semplicemente state andando a parlare di cose che non conoscete bene.
• immagini insieme al testo: meglio se originali. :-)
• non esagerate con gli acronimi
  
• Numero pagine: inserire sempre, in basso a destra, il numero di pagina che state esponendo/il numero di pagine totali. Aiuta il pubblico a capire ancora quanti minuti restano alla fine.
  
• mai inserire effetti strani sul testo, sono ODIOSI. Stesse regola vale per qualunque altro tipo di animazione. Una eccezione si può fare se dovete presentare il circo di Moira Orfei.
  
• sfondi: non esagerare con i colori, il bianco è - nella maggior parte dei casi - la miglior scelta.
• Se state facendo una presentazione di alto livello tecnico evitate slides da script kiddies con "per fare questo lanciate cosi' il comando...". Le persone che vi stanno ascoltando sono tutte in grado di leggersi la documentazione, raccomandazioni del genere fanno calare l'attenzione, e la considerazione, nei vostri riguardi (giustamente, aggiungo io :PpPPp).
• Evitate di fare gli splendidi e cercare di far sorridere i vostri ascoltatori ogni 2 slides, perchè non aiuta. La battuta ci sta e ci deve essere, ma va bene verso la fine, quando le persone vi hanno gia' giudicato per quello che avete detto.
• L'ultimissima slide, dopo il question time, può essere usata per raccogliere la webografia/bibliografia. E' inutile anche mostrarla, perchè l'unica utilità è per quelle persone che scaricheranno dopo la vostra presentazione.
  

E per terminare eccovi una interessante discussione su di un bug in GCC (di per sè l'articolo non è interessantissimo perchè riprende un advisory, ma il thread che si scatena come commento all'articolo lo è):
http://lwn.net/Articles/278137/

On April 4, CERT put out a scary advisory about the GNU Compiler Collection (GCC). This advisory raises some interesting issues on when such advisories are appropriate, what programmers must do to write secure code, and whether compilers should perform optimizations which could open up security holes in poorly-written code.

UPDATE: Siccome i commenti sui blog non li legge mai nessuno ... :) vi faccio un copia ed incolla degli ottimi consigli/opinioni di kr1zz:

Gaetano sottoscrivo tutti i tuoi consigli, anche io sono arrivato a questi, con l'esperienza. Siccome si tratta di consigli e non di regole ferre, propongo una variante: a volte è necessario usare tante slide, e lì ci possono stare: qualche battuta, magari in combinazione con una slide dal layout completamente diverso, per cambiare il ritmo e riprendere l'attenzione.
Ne approfitto e aggiungo due accorgimenti sempre validi:
. bisogna conoscersi un minimo! Meglio evitare l'ironia se non siamo naturalmente portati, l'effetto può essere agghiacciante;
. bisogna conoscere il più possibile la platea a cui ci rivolgeremo, per scegliere contenuti, modalità, tempi, tutto!

ciao mondo!

Sicuramente "hello world" è il primo programma che vi presentano quando cercate di imparare un nuovo linguaggio. Da qui:

http://www.roesler-ac.de/wolfram/hello.htm

potete accedere ad una collezione di 336 hello world scritti con la maggior parte dei linguaggi di programmazione.




Sicuramente quelli che mi hanno fatto ricordare la mia giovinezza da programmatore sono questi:

http://www.roesler-ac.de/wolfram/hello.htm#Assembler-Win32
http://www.roesler-ac.de/wolfram/hello.htm#Pascal-Windows
http://www.roesler-ac.de/wolfram/hello.htm#C-ANSI

E quelli che più ho odiato:

http://www.roesler-ac.de/wolfram/hello.htm#Haskell
http://www.roesler-ac.de/wolfram/hello.htm#Java

E' un link che in alcuni casi può causare nostalgia.

riomaggiore, vacanza di pasqua

Si, lo so che il ponte di pasqua è passato già da tempo ... :-)

Comunque, da:
http://en.wikipedia.org/wiki/Riomaggiore

Riomaggiore (Rimasùu in the local language) is a village and a commune in the province of La Spezia, situated in a small valley in the Liguria region of Italy. It is the first of the Cinque Terre one meets coming from La Spezia.

Ci sono stato 3 giorni per il ponte di pasqua e devo dire che non si mangia tanto bene, mi aspettavo di meglio essendo un posto di mare. Sicuramente i "troppi turisti" rendono le cose difficili anche per i ristoratori.

Il luogo è molto bello, tenuto veramente bene ed organizzati ancora meglio. Se solo noi siciliani avessimo il 10% della loro organizzazione potremmo vivere di solo turismo per tutta la vita. Purtroppo, per tanti motivi, non ce lo abbiamo, quindi è inutile anche parlarne.

andamenti semestrali sull'ordine pubblico in italia

Sono stati pubblicati gli andamenti semestrali della criminalità dal secondo semetre del 2005 al secondo del 2007.

E' interessante dargli una occhiata, registrare il pdf su una cartella del nostro hard disk e monitorare - tra qualche anno - gli eventuali cambiamenti, visto che un punto forte dell'ultima campagna elettorale è stato, appunto, il tema della sicurezza su cui la maggior parte di noi attendiamo segnali politici forti.

Anche se personalmente penso che il termine sicurezza sia errato e doveva essere sostituito con "ordine pubblico".

Potete scaricarlo, in formato pdf, da qui:

http://www.interno.it/mininterno/export/sites/default/it/sezioni/sala_stampa/documenti/sicurezza/Andamento_semestrale_della_criminalitx.html_8783097.html

Sempre sulla stessa pagina sono presenti i dati su alcune città che hanno aderito al Patto per la Sicurezza.