Salve a tutti,
dopo aver letto nel forum i fattacci capitati a destrolindo, che spero si siano risolti nel migliore dei modi raccolgo l'invito di valentik72 e pubblico questa guida alla sicurezza.
C'e' sia la versione in pdf che quella in doc modificabile.
Sono chiaramente ben accette critiche e suggerimenti di ogni tipo!
Ditemi che ne pensate...
Ciao ciao
Guida alla sicurezza nel poker online
Introduzione
Dopo la terribile sventura accaduta a destrolindo e postata nel forum dallo stesso, colgo l'invito di valentik72 e butto giù una guida alla sicurezza.
Lo scopo di questa guida è una corretta gestione dei propri account di posta elettronica e delle proprie PR, ma prima di tutto verranno spiegati alcuni indispensabili accorgimenti senza i quali non ha senso pensare alla mail o alla password della PR. Inizio con un glossario dei termini per gli utenti meno esperti.
Glossario (se siete esperti saltate direttamente questa parte)
Hacker: Un hacker (termine coniato negli Stati Uniti del quale è difficile rendere una corretta traduzione in italiano) è una persona che si impegna nell'affrontare sfide intellettuali per aggirare o superare creativamente le limitazioni che gli vengono imposte, non limitatamente ai suoi ambiti d'interesse (che di solito comprendono l'informatica o l'ingegneria elettronica), ma in tutti gli aspetti della sua vita.
Esiste un luogo comune, usato soprattutto dai mass media (a partire dagli anni '80), per cui il termine hacker viene associato ai criminali informatici (la cui definizione corretta è, però, “cracker").
Cracker: Un cracker è un criminale informatico, che elude blocchi software ed entra in possesso di informazioni e privilegi sulle informazioni che gli erano preclusi. Le ragioni che portano un cracker all'azione sono varie: possono essere economiche, quindi si può citare lo spionaggio industriale, oppure non è raro che qualche cracker agisca addirittura in proprio compiendo truffe e rapine telematiche lui stesso. Altri ancora invece agiscono per ottenere approvazione da parte di altri cracker o attenzione da parte dei mass media con azioni eclatanti. Un cracker viene spesso confuso dai mass media con l'hacker, ma diciamo che per capacità tecniche il cracker può essere paragonato all'hacker ma gli hacker seguono una filosofia completamente diversa ed hanno un “codice deontologico ” a cui si attengono, cosa che non hanno i cracker.
Lamer: Il lamer è un incapace che crede o vuole essere un hacker o un cracker ma non è nessuna delle due figure. I lamer sono coloro che più spesso finiscono nei guai poiché cercano (e trovano) situazioni che non sanno gestire e prima o poi sbattono il muso con la legge o con qualche hacker o cracker che gli creano dei problemi. I lamer sono molto più diffusi dei cracker e degli hacker.
Newbie: E' l'aspirante hacker: ne condivide la filosofia e alcune capacità ma non è ancora bravo abbastanza da essere un hacker.
Con chi abbiamo a che fare?
La prima domanda da porsi per migliorare consapevolmente la sicurezza nel nostro pc e nella gestione degli account sulle PR è questa.
La risposta è semplice: dobbiamo difenderci dai lamer. Le motivazioni sono altrettanto semplici:
In primis contro un hacker o un cracker probabilmente non avremmo scampo: le nostre capacità non sarebbero adeguate e la legge che in teoria ci tutela non sarebbe di grande aiuto, poiché la ricerca del colpevole sarebbe costosissima sia in termini di tempo che di danaro, e potrebbe anche non avere successo. Comunque non spaventiamoci!
Se non abbiamo un conto milionario per i cracker noi non esistiamo. Immaginate se un tipo che ruba progetti a case automobilistiche o grandi imprese e li rivende alla concorrenza, si può mettere a rubare 1000-2000$ da un conto su titan o simili?
Allo stesso modo uno se vuole attenzione dai media non credo che rubando 1000$ la ottenga.
Dagli hacker e dai newbies possiamo stare tranquilli, non avremo fastidi. Potremmo avere problemi con qualche cracker ma solo avendo conti molto alti, sopra le centinaia di migliaia di euro, e comunque le probabilità che se la prendano proprio con noi sono basse.
In sostanza le probabilità di avere problemi da uno veramente bravo sono bassissime.
Se credete di essere così sfortunati che un hacker si scomodi per rubarvi l'account di poker allora non uscite mai di casa perché vi cadrebbe un meteorite in testa e ci lascereste le penne.
Sono quindi i lamer il pericolo più imminente, ma non solo: chiunque possieda accesso fisico al nostro pc è potenzialmente una minaccia.
I livelli di sicurezza:
Vediamo dunque di chiarire un concetto fondamentale: i livelli di sicurezza, e questo esempio vale più di mille parole: creare una password difficile da indovinare, lunga e ricca di caratteri speciali è sicuramente una buona cosa; se poi questa bella password non ce la ricordiamo mai e la scriviamo in un foglio che appendiamo vicino allo schermo la nostra bella password non è più tanto “nostra”.
Quindi sicuramente un lamer non troverà la “nostra” bella password, ma nostro fratello in vena di scherzi potrebbe divertirsi quando vuole. Situazioni simili a quella appena descritta, di solito si risolvono senza problemi però sono molto fastidiose per chi le vive e tendono ad incrinare buoni rapporti con le persone più vicine a noi.
Quindi la sicurezza del pc è il primo livello di sicurezza e va tenuto il più possibile alto, altrimenti non ha senso analizzare i livelli di sicurezza successivi.
LIVELLO 1: ACCESSO AL PC
La situazione ideale sarebbe che solo noi accediamo fisicamente al nostro pc.
E' dimostrato ed universalmente condiviso che i dati contenuti in un pc al quale terze persone hanno accesso fisico non sono al sicuro. Tuttavia spesso il pc è condiviso con genitori, fratelli, mogli, fidanzate e simili. Quindi, visto che è meglio non fidarsi di nessuno, ma allo stesso tempo non possiamo negare l'uso del pc ai nostri cari, la cosa migliore è creare 2 account con windows XP con user e password diversi. In questo modo escludiamo l'altro utente dai nostri “affari”.
E' importante però, che quando istalliamo un programma che serve solo a noi (tipo una poker room) non condividere l'installazione con l'altro utente. Questa opzione viene richiesta durante l'installazione, quindi attenzione. La password per l'accesso al pc non deve necessariamente essere complicatissima, diciamo che se non abbiamo geni dell'informatica in casa un 7-8 caratteri alfanumerici vanno bene. Una questione che tutti trascurano è quella dello screen saver: la legge sulla sicurezza dei dati, impone alle aziende di impostare lo screen saver ogni 30 secondi, naturalmente con password, per evitare che se l'operatore abbandoni il pc un esterno possa prenderne il controllo. Questo obbligo è disatteso dalla maggior parte delle ditte italiane. I privati quindi, non prendono neanche in considerazione l'idea della protezione dello screen saver con la password. In realtà io stesso non lo tengo ma è una sicurezza in più da prendere in considerazione.
Con il primo livello abbiamo finito. Passiamo al secondo.
LIVELLO 2: ANTIVIRUS E FIREWALL
Abbiamo visto che i pericoli maggiori vengono dai lamer: che sono degli incapaci che si fidano di ciò che leggono e spesso scaricano programmi già compilati che servono per entrare nei computer altrui. Questi individui, che poi spesso sono solo dei ragazzini rompicoglioni finiscono spesso per danneggiare le loro vittime e anche se stessi perché i programmi che usano nel 99% dei casi nascondono la “sorpresina”.
Per difenderci quindi da simili attacchi un aggiornamento costante del sistema operativo, un buon antivirus e un firewall dovrebbero essere sufficienti.
Come antivirus io consiglio AVG, molti possono essere in disaccordo, diciamo che vanno bene tutti purché non siano NORTON che è peggio dei virus. Io con l'AVG mi trovo bene poi è gratis.
Comunque la cosa più importante è un aggiornamento quotidiano e una scanzione almeno settimanale.
Veniamo ora al FIREWALL:
In commercio ve ne sono molti, io preferisco lo ZoneAlarm ma anche qui ognuno la vede a modo suo. Io preferisco lo ZoneAlarm perché' lo uso da tanto e ho dimestichezza. Non vi sto a dire che è meglio di altri, comunque anche lui è gratis e semplice da usare.
Veniamo ora alle impostazioni:
Appena installato il firewall bisogna investire un po di tempo.
All'inizio impostatelo in modo molto restrittivo in questo senso: per ogni programma che eseguite o che viene chiamato dal sistema operativo bisogna decidere se consentirne la comunicazione o meno con la rete oppure si può scegliere che il firewall chieda conferma ogni volta; Questa è l'impostazione migliore. Da applicare a tutti i programmi. Ora ogni volta che un programma prova a comunicare con l'esterno il firewall ci chiederà se consentire o bloccare la comunicazione.
Adesso viene il bello, se sappiamo di che programma si tratta e ci fidiamo allora dobbiamo consentire, nel dubbio facciamo nega, e se qualcosa si blocca, prima di cambiare l'impostazione relativa a quel programma ci informiamo su che tipo programma era. Di solito basta scrivere il nome su Google e si capisce che era. Ma sulle impostazioni iniziali del firewall bisogna mettere sempre “chiedi conferma”, MAI far passare i programmi alla cieca.
Appena installato perderemo un po' di tempo ma poi una volta scoperto che il processo X è innocuo si può mettere la spunta su “consenti e memorizza impostazione” così il firewall non lo chiederà più.
Analogamente se il processo in questione non ci piace affatto mettiamo la spunta su “Blocca e memorizza impostazione” e di quel processo non sentiremo più parlare: il firewall lo bloccherà in automatico.
All'inizio eseguiremo queste operazioni spesso ma già dopo una settimana non capiteranno quasi mai più. E così con il firewall può bastare.
Questa tecnica che ho appena descritto non è sicuramente l'unica né la migliore per impostare il proprio firewall, ma ho deciso di descrivere proprio questa perché è semplice ed applicabile da tutti gli utenti, anche i meno esperti.
Un ulteriore livello di sicurezza è dato da un buon antispyware, ma sono quasi tutti a pagamento e gli spyware vengono comunque bloccati dal firewall, se ben impostato. Da non sottovalutare comunque l'offerta di molte ditte che mettono a disposizione per somme esigue anti virus anti spyware e firewall in un unico programma. AVG è una di queste.
LIVELLO 3: POSTA ELETTRONICA E PASSWORD
La posta elettronica e le password sono un nodo cruciale nella sicurezza.
Iniziamo dalla posta elettronica e partiamo dalla base: Quale fornitore scegliere per la posta elettronica? Tutti abbaiamo diversi account di posta con diversi isp e bisogna scegliere quale account usare per scambiare informazioni con la nostra PR. Le informazioni che scambiamo sono parecchio sensibili, visto che mandiamo i nostri dati completi oltre che ricevere la password, spesso anche documentati con foto di documento! Quindi bisogna affidarsi all'account più sicuro possibile.
La cosa più importante è non usare MAI la posta associata a MSN! Per tante ragioni ma due su tutte: msn è uno dei programmi più bacati della storia dell'informatica, in più quelli dello staff sono anche lenti nel correggere le falle che trovano o che più spesso gli vengono fatte notare da terzi. Il secondo problema è che essendo della Microsoft finisce per attirare l'attenzione di molti hacker e cracker del mondo che come trovano qualche problema attaccano in massa e senza pietà. Quindi msn ok per chattare con amici e conoscenti, ha tante emoction carine, ma non è un servizio di posta elettronica affidabile su cui scambiare dati sensibili.
La scelta migliore adesso è sicuramente gmail di google www.gmail.com :è blindata sia dal punto di vista della sicurezza che dello spamming. Una garanzia. Fatevi una bella password poi create una account con gmail e state certi che tutto filerà liscio.
Vediamo ora la questione delle password: Anche qui una tabella di esempio vale più di mille parole:
DESCRIZIONE
ESEMPI
DEBOLEZZE
Da idioti
“ ” ,“a”,”abcdef”,”123456” “ciao”, ”il proprio username”
Si commentano da sole
Molto deboli
Tutte le parole del dizionario, nomi propri di persona
Sono facilmente intuibili da chi ha informazioni su di voi e non sono resistenti a brute force
deboli
“Ciao54”, “maria23”, “forzanapoli”, “12\06\1984”
Troppo corte o range di caratteri utilizzati troppo ristretti
medie
“@m5t2a3a5”, “%co4s56t3}”
Vanno quasi bene ma sono ancora un po' corte e difficili da ricordare
buone
I2s7d5a6d2t7
buona
Come creare una password buona?
Perché le medie sono difficili da ricordare e quella buona no?
Perchè quella buona è stata costruita con una semplice formula:
1)Si sceglie il titolo di un film o un libro e il suo autore.
2)Si scrive l'iniziale di ogni parola e gli si affianca il numero di caratteri da cui è composta.
Quindi nel caso specifico della tabella io prendo: “Il signore degli anelli di tolkien”
poi faccio Il (2) Signore(7) degli(5) anelli(6) di (2) Tolkien(7)
3)praticamente conto i caratteri
poi affianco le iniziali ai numeri e voilà :
I2s7d5a6d2t7 la password è fatta.
Adesso questa formula non va presa alla lettera perché è citata in molti libri che trattano l'argomento ed è sconosciuta ai più. Tuttavia è un buono spunto. La cosa migliore è inventare una formula come quella sopraesposta e usarla su un libro, una frase di cui ci ricorderemo sempre... insomma un po' di fantsia! Poi se non ci piace la possiamo sempre migliorare magari mettendo un carattere speciale tipo * o & alla fine o all'inizio o tutte e 2.
Questa password che abbiamo creato dobbiamo usarla solo per la posta di gmail. E' un errore grave utilizzare la stessa pasword per tutto. Per le poker room la cosa migliore sarebbe avere una password diversa per ogni PR e di buona qualità. Se si ha un account su molte PR è un po' impegnativo ma la sicurezza non ha prezzo. Comunque una buona password per l'account di posta elettronica è assolutamente indispensabile.
LIVELLO 4 (O LIVELLO 0) ATTENTI AL SOCIAL ENGENEERING!
Trattiamo ora la conservazione delle nostre password e dei nostri dati in genere.
La stragrande maggioranza delle truffe, degli attacchi ha come base un social engeneering.
Che cos'è social engeneering? Semplice è l'arte di farsi dare consapevolmente e volentieri informazioni sensibili da parte della vittima. Gli hacker, i cracker e i lamer utilizzano moltissimo questa tecnica.
Anche qui un bell'esempio aprirà la mente a tutti:
Vi arriva una bella mail con mittente : staff@gmail.com
oggetto: problemi tecnici
corpo:
Salve, gentile “vostro user”, stiamo ristrutturando i nostri server...blablablablablabla... al fine di migliorare il nostro servizio... blablablablablabla... abbiamo bisogno che ci invii una mail con il suo usernae e la sua password.
Grazie per la gentile collaborazione
Lo staff di gmail
Questo è un social engeneering. Questa mail tutta scritta in lingua aulica, con mittente proprio gmail o simili sembra attendibile, ma è l'unica mail che gmail non vi invierà MAI sarà sempre una truffa.
I vostri dati sono conservati su dei server che implementano come minimo il raid 7 con back up settimanale, quindi è impossibile che si perdano i vostri dati. Se anche accadesse una simile sciagura non sarebbe possibile connettersi al proprio account di posta, quindi diffidate da queste bugie telematiche. Se qualcuno o qualche ditta o fornitore di servizi con cui avete a che fare vi chiede qualche vostro dato sensibile, ma il servizio continua ad essere erogato correttamente, ignorate la richiesta, è quasi sempre una truffa.
La mail di esempio che ho scritto è infantile, un social engennering fatto bene vi sembrerà più attendibile ma diffidate, non dite niente a nessuno!
NOTE FINALI
Ringrazio wikipedia da cui ho attinto le definizioni (alcune riviste).
Invito la comunità a inviare suggerimenti e miglioramenti.
Rendo disponibile il file moficabile secondo licenza GPL cui linko un traduzione in italiano
http://katolaz.homeunix.net/gplv3/gplv3-it-final.html
Spero che sia di aiuto per la comunità
frekks
Ottima guida frekks,
la sicurezza online spesso viene sottovalutata e poi si pigliano fregature giganti, sarebbe sempre bene prendere tutte le precauzioni.. grazie per aver condiviso la guida 
ciau
