Sicurezza, ICT e altro

Questa è una mail che è arrivata a mio padre dal suo provider. Sia chiaro che ho cancellato il nome con XXXX non perché ci sia qualcosa di male a pubblicare la mail (ho ovviamente l’autorizzazione del destinatario), ma perché vorrei mantenere l’attenzione sulla forma anziché sul mittente, che ha solo la sfortuna di essere preso come esempio: altri, banche comprese, hanno la stessa cattiva abitudine.

Gentile cliente,

per frenare lo SPAM, XXXX ha attivato l’autenticazione SMTP, questo comporta la chiusura della porta 25 e l’apertura della porta 587, per tutti gli email che vengono inviati attraverso gli indirizzi forniti sia da XXXX che da altri provider.
Questo vuol dire che se usi un programma di posta (ad esempio Outlook Express) e hai uno o più indirizzi email che non sono forniti da XXXX (ad esempio un indirizzo aziendale) devi modificare la configurazione di questi indirizzi.

Ecco quello che devi fare per navigare con XXXX e usare indirizzi email non forniti da XXXX:

1) registrare almeno un indirizzo email @xxxx
Non è obbligatorio utilizzarlo, ma devi crearne almeno uno per consentire ai nostri server di riconoscerti quale cliente XXXX.
Se ancora non hai creato un indirizzo email di XXXX, vai subito alla pagina di registrazione http://reg.xxxx
Dopo aver creato il tuo indirizzo email, potrai configurare correttamente anche il tuo indirizzo personale o aziendale diverso da quello di XXXX.
Se nella pagina della registrazione ti viene richiesto di inserire nome utente e password, devi inserire quelli della tua connessione ADSL.

2) configurare correttamente il tuo indirizzo diverso da @xxxx
Segui la semplice procedura pubblicata sulla pagina: http://www.yyyy.xxxxinternet/?page=SUPPORT_PORTA_587_OLO

Cordiali saluti

Servizio Clienti XXXX

Vediamo prima cosa si vuole fare. La prima cosa, è richiedere ai propri utenti l’autenticazione per inviare i messaggi. È una cosa che molti provider fanno da anni. Viene però chiesto non semplicemente di attivare l’autenticazione, ma di cambiare porta tcp, passando alla 587. La cosa non sarebbe necessaria, ma qui viene la parte interessante: è necessario passare alla porta 587 anche (seguitemi bene) per le mail che si mandano a server di altri provider, che pure sono in ascolto sulla porta 25. In effetti, ho provato: ho tentato di contattare il mio server di posta sulla porta 25, ed ho ottenuto un errore di “Host unreachable”, mentre mi ha risposto felicemente sulla porta 587. Questo vuole dire che il mio traffico in uscita viene intercettato e bloccato se è verso la porta 25, rediretto alla 25 se è verso la 587. A me, queste cose danno un fastidio… ma perché prendersi questo disturbo? L’unica ragione che mi viene in mente è che si voglia rendere difficile la vita ai programmi che inviano spam direttamente dal client verso internet: non conoscendo il trucco, tentano di accedere alla porta 25 e vengono bloccati. Si tratta naturalmente di un trucchetto che può funzionare finché non è molto diffuso, dato che poi gli spammer impareranno a leggere queste informazioni dalla configurazione del mailer, se già non lo fanno. Tuttavia, dato che le guerre si vincono anche vincendo le battaglie, può anche non essere una cattiva idea; quando non funzionerà più si penserà a qualcos’altro.Veniamo però al problema: l’utente deve modificare la configurazione del proprio sistema in base ad una mail? No: l’utente deve andare sul sito del provider, e lì troverà come modificare la configurazione. Tuttavia:

1. Non ci sono indicazioni di questo tipo: non si dice agli utenti di accedere al sito e dove trovare le istruzioni, gli si dice di seguire un link;
2. il secondo link, quello che porta alla modifica alla configurazione, quindi la parte che l’utente capisce meno, non porta all’indirizzo principale del provider, ma ad uno che ha solo un nome simile; in questo caso, si tratta effettivamente di un sito del provider, ma per esserne sicuro e “autorizzare” mio padre a seguirlo ho dovuto usare whois.

Ora, se io volessi fare del phishing, prenderei la mail così com’è, e direi qualcosa del tipo: a partire dal primo febbraio, solo gli utenti che avranno confermato i dati inseriti potranno continuare ad inviare posta. Vi invito a collegarvi al sito http://www.yyyy.internetxxxx/?page=SUPPORT_PORTA_587_OLO e confermare i dati inseriti con la mail del 31/01/2006.

Cosa c’è di diverso? che la mail originale parla di www.yyyy.xxxxinternet, questa di www.yyyy.internetxxxx, che ovviamente non è registrato dal provider. Un utente però non è in grado di riconoscere la differenza, e d’altra parte ha già dovuto seguire una procedura di questo genere, e il risultato sarebbe che molti utenti seguirebbero il link. Questo perché tuttora chi offre servizi continua a non seguire delle regole elementari come:

1. non usare indirizzi strani per i propri rapporti con i clienti, ma solo quello ufficiale e noto (in questo caso, www.xxxx)
2. indicare sempre di accedere al sito, senza fornire il link nella mail; sulla pagina del sito deve essere in bell’evidenza il link da seguire.

In questo numero ci sono un paio di articoli che interessano certamente tutti. Mi piace in particolare quello di Mattia Monga sui tastierini per l’home banking (che non ho ancora mai provato). A proposito di sicurezza delle password per l’home banking e di Password Safe, sarebbe preferibile che le banche che usano come unica protezione un codice utente e password, non presentassero la richiesta in un modo che il browser la riconosca come “inserimento di nome utente e password”. In questo modo l’utente non avrebbe la tentazione di memorizzare la password nel browser stesso ma sarebbe costretto ad appoggiarsi a programmi esterni.