Aumentare la sicurezza di SSH

Sono due settimane che lavoro incessantemente, week end compresi. E purtroppo a risentirne è la partecipazione ai progetti in cui sono coinvolto ArabianFenix e mawk .Cazzo.

Vabbè, da un lato non ci si può certo lamentare di avere molto lavoro, con i tempi che corrono, però questo non mi conforta più di tanto. Comunque, oggi girando in rete, mentre mi prendevo una pausa dopo un momento di sclero verso quelli che credono che il web design sia per tutti e che bastino i software giusti per fare siti bene, ho trovato questo articoletto decisamente interessante: Advanced SSH Security Tips .

Sicuramente non è nulla di nuovo.. ma se avete qualche minuto fateci un salto, è un articolo chiaro e diretto, che si legge davvero in poco tempo.
In verità alcune accortezze le ho prese da tempo: L'accesso a root, per esempio, l'ho eliminato da tutti i pc di casa e della rete al lavoro, soprattutto per la presenza della rete wireless (visto che dall'esterno è necessaria comunque una VPN). Invece l'autenticazione basata su chiave la uso, ma non su tutti. Però l'idea di abilitare l'accesso via ssh _solo_ con la chiave e non accettare nome+pw è decisamente radicale, ma estremamente potente.

Da tenere a mente per usi futuri.. come il simpaticissimo script iptables temporizzato :)

Ekiga continua a deludere

Purtroppo la mia avventura con ekiga continua ad andare maluccio..Nonostante l'uscita su debian di due aggiornamenti nell'ultimo periodo, la qualità del prodotto (in termini di audio/usabilità/GUI) è comunque sotto la soglia necessaria per un utilizzo su ampia scala.
Davvero una delusione.. anche sul pc fisso i risultati non sono molto incoraggianti. Per cui resta il fatto che in ambito lavorativo userò gizmo, con la consapevolezza che è un software in rapida crescita, con le versioni linux/windows abbastanza allineate (chi ha usato skype sotto linux sa di cosa parlo) ma pur sempre chiuso.
Beh, a punto a suo favore è lo sviluppo di una versione per il nokia n800, che è ormai da tempo nella lista dei miei probabili acquisti.. Vedremo.

Passando da ekiga a gnome , progetto a cui è strettamente legato, segnalo l'eventi che si terrà in spagna tra due settimane, dove si ritroveranno sviluppatori di Gnome e KDE, con l'intenzione di diminuire le distanze tra i due principali Desktop Environment GNU/Linux. Staremo a vedere.. l'evento si chiama Guademy

Passo e chiudo

Via i costi di ricarica, conseguenze e riflessioni

Finalmente sono stati aboliti i costi di ricarica per i telefonini, come previsto dal decreto Bersani.

Era una tassa scorretta e praticamente illegale, eppure ora dovremo subirci l'aumento delle tariffe per coprire le mancate entrate dei gestori della telefonia. Eh vabbè, certo che se evitassero di pagare Paris Hilton o De Sica non sarebbero "costretti" ad aumentare i costi dello scatto alla risposta e la tariffazione al minuto! La pubblicità è l'anima del commercio, siamo d'accordo, però è anche molto costosa, potrebbero evitare di romperci i coglioni ogni 2 minuti e tagliare le tariffe.



Ci sono marchi che non hanno bisogno di pubblicità, come la Ferrari.. eppure hanno una fama ben superiore ad altre ditte che ci tempestano di spot. Tagliando i costi della pubblicità, di quanto potrebbero abbassare le tariffe? Credo sia una stima difficile, impossibile per un non-addetto ai lavori come me, per cui non mi sbilancerò, ma penso che se riuscissero solo ad abbassare le tariffe a 3/4 delle cifre attuali, il punto di forza sarebbe la convenienza, e la miglior pubblicità il passaparola.



Ma questa ipotesi rappresenta sicuramente un rischio troppo elevato, per cui non verrà mai presa in considerazione.



Un altro punto dove facilmente potrebbero risparmiare è la catena di ditte da cui comprano tecnici e manodopera in generale. Tranquillamente ditte come la Vodafone arrivano a pagare 150 euro all'ora per un informatico, a cui arrivano, quando gli va bene, 12 euro. Gli altri 138 si perdono tra ditte intermediarie, il cui solo compito è garantire rifornimento continuo alla grossa ditta di carne fresca. E questo lo posso pure capire, ma se le ditte intermediarie cominciano ad essere più di due c'è qualcosa che non funziona e che andrebbe rivisto per tagliare l'overhead di costi che porta poi a chiedere a noi utenti di pagare di più perchè, poverini, sono stati costretti a levare un sovrapprezzo ingiusto.

Gadget Imperdibile

Stamattina, mentre andavo alla deriva nel web, sono arrivato alla pagina di questo imperdibile gadget. Non so quanto tempo fa sia uscito e quasi sicuro l'avevo già visto. Però stamattina, nella mia mente assonnata si è fatto strada un pensiero solo: che figata!!.



Peccato per il supporto, in cui non è contemplato il pinguino. Tra l'altro da qualche mese passo periodicamente sul sito Hack a Day, dove mostrano degli smanettamenti veramente deliranti.. Ed ora mi viene in mente una cosa: immagina di smontare una stupidissima web cam e montare il sensore sopra il lanciarazzi.. poi oltre al radar avresti sul pannello di controllo la visione dell'obiettivo :)



Ma vabbè.. è meglio che mi metta a lavorare prima di sprecare la giornata in queste puttanate

Primi problemi con Ekiga

Come detto nel post precedente, sto spingendo per usare ekiga. Per chi volesse saperne di più c'è la voce Ekiga su wikipedia inglese (quella italiana mi sembra un po' ridotta, la integro appena possibile).
Cazzo, mi piace molto il fatto che utilizzi sip e h323 (quello su cui si basa il mio voip casalingo.. per cui potrei chiamare casa mia da ekiga..). Mi piace molto che sia opensource.. Ha un'interfaccia grafica francamente pessima, ma io bado ai contenuti, per cui questo è l'ultimo dei problemi.

Il problema grosso è che si sente davvero malissimo!! Per ora ho provato solo sul portatile. Gizmo va che è un piacere, ma ekiga si sente fottutamente male. Se volete provare, basta chiamare il 500@ekiga.net . Vi risponde una segreteria automatica che, dopo aver spiegato la propria funzione, vi rimanda indietro quello che dite al vostro microfono, in modo da testare senza problemi la trasmissione e la ricezione audio. Credo che l'inghippo stia in qualche mia impostazione, che piace terribilmente a gizmo, ma che ekiga non sopporta/supporta.

A breve testo su un altro pc.

Ah, dimenticavo.. la mia esperienza con wengo non è stata un successo.. si pianta continuamente.
Boh, quando ho tempo di smenettarci cerco di capire cos'è che non va.

Passo e chiudo

Ritorno in mare e Ricerca di client VoIP

Eccomi di nuovo online. Dopo varie peripezie, problemi apparentemente senza soluzione e DUE FOTTUTISSIME SETTIMANE OFFLINE hanno scoperto che era colpa di un cavo staccato. No comment.



Comunque, a parte i problemi derivanti dal non avere una connessione (nè il telefono di casa, grazie al VOIP), ci sono grosse novità in vista. Una delle ditte per cui lavoro ha in mente un progetto interessante basato sul VOIP. Per cui ho occasione di approfondire la mia conoscenza abbastanza superficiale di questa tecnologia decisamente innovativa ed importante. L'idea per ora è un server asterisk in farm ed una architettura basata su SIP con l'eliminazione del telefono normale.



E' sicuramente un progetto abbastanza ambizioso, e sicuramente innovativo per una piccola azienda IT.

Per ora l'idea era di usare come client gizmo che, come è ovvio da buon utente debian, non mi convince per la natura freeware ma non open.

Come prima impressione si è mostrato il più semplice da installare e configurare.. ma purtroppo non era libero il mio nick come utente.. vabbè. Io sinceramente sto spingendo per ekiga che è l'evoluzione di GnomeMeeting. Mi sembra un prodotto ancora grezzo, però ha un paio di caratteristiche che mi ispirano: è open ed è integrato perfettamente con gnome. Invece wengo è scritto con le qt. (e poi è legata ad una ditta francese.. e non dico altro)

Offline!

Lunedì mattina, di colpo, il gateway voip di casa mia ha perso la portante ADSL. Da quel giorno sono offline. L'aggravante è che questo mese ho deciso di dare una svolta alla mia carriera universitaria (6 esami mancanti, tesi già iniziata e questo è il primo anno fuori corso). Per cui ho parlato con i miei clienti e sono riuscito ad ottenere di lavorare un solo giorno a settimana. questo comporta che, per gran parte del tempo, sono a casa a preparare i vari progetti/esami. Quindi, in una parola, soffro.

Mi rendo conto dell'importanza di Internet..soffro.. mi manca l'accesso all'infinita massa di informazioni che mette a disposizione il World Wide Web.. soffro .. mi sento tagliato fuori .. soffro.. studio su libri di carta, da me considerata deprecata.. soffro.. forse l'acquisto di un palmare potrà distrarmi da questa sofferenza.. cazzo sono proprio un nerd

Performancing Test 2

Ho giocato un po' con le impostazioni e navigato nei vari menù.

Nulla da dire..è fatto bene..consiglio lo strumento (il link lo trovate nel post precedente)



Enjoy

Performancing Test

Sto testando una plugin di firefox chiamata performancing. E' una plugin interessante, in quanto permette di scrivere entry nel proprio blog direttamente da firefox (iceweasel). L'editor è un classico Rich Text. l'unica cosa che per ora ho visto girando in rete è che automaticamente mette in fondo al post un link al sito ufficiale.. ora ci gioco un po'.. e vediamo se si può disabilitare.



ah, tra l'altro è il mio compleanno.

powered by performancing firefox

Giocando con strumenti di sicurezza Javascript

Un amico mi ha indirizzato su uno di quei siti che offrono un percorso a livelli in cui si devono trovare password o aggirare protezioni di crescente difficoltà. La maggior parte di queste sono in javascript.
Al momento non sono in vena di dissertare sulla delega a questo linguaggio di scripting delle funzioni di validazione di input o di autenticazione in generale. Non andrò oltre un "non fatelo!" : aggirare javascript è davvero banale, soprattutto con i tool vari per gli sviluppatori in ambito web (per esempio due plugin di firefox: web developer per editare i form (e molto altro), firebug per js debugger e console).. ma di questo parlerò un'altra volta, direi..

oggi sono finito su una paginetta in cui un form fatto a forma di tastierino numerico vi permette di inserire delle cifre, al soddisfacimento di alcune condizioni si verrà reindirizzati sulla pagina .html. Ovviamente i più l33t tra voi ne avranno viste a centinaia, ma visto che il mio amico non sapeva come affrontarlo, spiego il procedimento che ho seguito

La "sicurezza" in un sistema del genere è che ci vogliono molti tentativi per passarlo. ovviamente leggendo il codice javascript si riesce a risolvere qualcosa, del tipo:
il codice deve essere lungo 5 cifre ed il suo prodotto è 3780.

primo passo:
il tastierino numerico va da 1 a 9, per cui cerchiamo i fattori:
riporto 3780 ai numeri primi.. per cui ho 2 2 3 5 7 9. ho una cifra in più.. poco male, gli unici prodotti che stanno ancora in una cifra sono 2*2 e 2*3. per cui le due combinazioni su cui lavorare sono

25679
34579

per calcolare tutte le condizioni ho fatto uno script shell stupido formato da 5 cicli for innestati. Ma questo è ovviamente uno spreco perchè è inutile provare la combinazione 22222 ..
per ovviare a questo ogni ciclo for controlla ad ogni tche l'indice corrente sia diverso dagli indici dei cicli esterni e lancia, nel caso sia verificata la condizione, l'eventuale ciclo interno.

per ora nel ciclo interno (al verificarsi della condizione descritta sopra) c'è ancora un echo per verificare visivamente che le condizioni siano rispettate.
ora arriviamo al dunque: devo verificare la presenza della pagina web. per questo mi servo di curl (ma si potrebbe benissimo usare wget o lynx); indicando con $code la combinazione corrente ho:
curl /$code.html -I 2> /dev/null | egrep '^HTTP.*200' && echo $code

così ho direttamente in output il codice giusto.. ora posso aprire il mio browser preferito ed andare all'indirizzo indicato dal codice.. e passare al livello successivo