L'Istat e le mutande al vento (*aggiornamento*)

L'istituto lascia le proprie porte Web un po' troppo aperte. Un buon esempio di come si trascura la sicurezza nella pubblica amministrazione. La segnalazione di Zeus News ha successo.



[ZEUS News - www.zeusnews.it - 15-02-2005]

[logo istat spezzato]

Nota: A fine articolo è stato aggiunto un aggiornamento che tiene conto degli sviluppi verificatisi dopo la pubblicazione iniziale.

L'Istituto Nazionale di Statistica rende pubblicamente accessibili i propri server Web prima che siano pronti e configurati, contravvenendo a una delle regole fondamentali della sicurezza del Web.

Per esempio, visitando http://prezzi.istat.it ci si trova di fronte la pagina di default del server Apache Tomcat anziché una pagina Istat. Questo è il classico segno di un server Web che è appena stato attivato ma non è ancora stato configurato e reso sicuro, e che non dovrebbe essere accessibile dall'esterno. C'è persino un link bell'e pronto alla pagina di amministrazione remota.

Stando a fonti interne, questo dovrebbe diventare il sito dal quale scaricare gli indici dei prezzi che ora sono distribuiti via e-mail. Se continua così, c'è il rischio che qualche vandalo scarichi ben più del dovuto.

Non è paranoia: trovare login e password, se la pagina di amministrazione remota è accessibile all'intero globo terracqueo, è relativamente banale. Chiunque progetti siti Web con un occhio alla sicurezza sa che la pagina di amministrazione remota è una delle prime cose da disabilitare, come lo è la pagina di default di Apache, tant'è che la pagina stessa dice chiaramente che "Se vedete questa pagina... o siete un utente che si è imbattuto in un'installazione fresca di Tomcat, o siete un amministratore che non ha azzeccato la configurazione".

Oltretutto, la versione di Apache utilizzata non è molto recente: è la 4.1.24, e basta una visita al sito di Apache per accorgersi che la versione corrente di Apache Tomcat è la 5.5 e che gli sviluppatori di Tomcat raccomandano caldamente di aggiornarsi a questa versione appena possibile, in modo da acquisirne gli aggiornamenti di sicurezza (in altre parole, turare le falle trovate nelle versioni precedenti, che ormai sono note a tutti i vandali della Rete). Usare una versione di software non aggiornata è quindi un altro modo per aumentare inutilmente l'esposizione alle aggressioni informatiche, come dimostrato dal recente episodio di Trenitalia.

Purtroppo questo non è un caso isolato in casa Istat. Spulciando l'elenco gentilmente fornito a chiunque da Netcraft.com, si trovano altri server Web dell'Istituto che lavorano, per così dire, con le mutande al vento: per esempio, rodib.istat.it e opac.istat.it.

Il server http://prezzi.istat.it è in queste condizioni almeno dall'inizio di febbraio; non c'è quindi neppure l'alibi dei lavori momentanei. La speranza è che questo articolo e il relativo imbarazzo pubblico possa aiutare a svegliare chi custodisce le statistiche della nostra vita.

Aggiornamento (15:15 15/2/2005): L'articolo ha sortito l'effetto sperato. Le pagine di test sono state sostituite e l'amministrazione remota non risulta più accessibile dall'esterno.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Paolo Attivissimo

Commenti all'articolo (4)

OrientaleVeneto
Il mio Caro Amico Luigi Biggeri... Leggi tutto
17-3-2005 15:59

Rita
non è tappato più di tanto Leggi tutto
15-2-2005 18:24

xarface
Appena tappato Leggi tutto
15-2-2005 13:39

sweetiepine
E l'elenco continua.. Leggi tutto
15-2-2005 10:20

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Immaginiamo un mondo popolato dalle auto di Google: senza pilota, senza sterzo e senza pedali. Qual è il maggior svantaggio? (vedi anche i vantaggi)
L'auto di Google è veramente brutta! Più che un auto è un'ovovia.
Ci toglierà il piacere di guidare e la nostra vita sarà un po' più triste.
Avrà un costo non sostenibile per la maggior parte degli utenti.
Ci sarà maggior traffico: con un'auto senza pilota il trasporto privato verrebbe incentivato rispetto al trasporto pubblico.
Il Gps incorporato potrebbe non essere efficiente, costringendoci a fare percorsi più lunghi o più lenti o addirittura non portandoci mai a destinazione.
Ho timori soprattutto per la privacy: le auto di Google potranno collezionare dati su come mi sposto e quando.
In caso di incidente con nessuno al volante, non è chiaro di chi sarà la responsabilità civile. E a chi tocca pagare l'assicurazione? All'utente o a Google? O allo Stato?
Sarà esposta ad attacchi hacker o terroristici: di fatto avremo minore sicurezza sulle strade.
Se il sistema prevede un urto inevitabile, potrebbe trovarsi di fronte a scelte etiche insormontabili. Uccidere un anziano o un bambino? Due uomini o un bambino? Un uomo o una donna? Uscire di strada o urtare altri veicoli o pedoni? Andare addosso a un SUV o a un'utilitaria?
Rispetto alle auto tradizionali impiegheranno troppo tempo ad arrivare a destinazione, non potendo superare i limiti di velocità o fare manovre azzardate.
I tassisti non esisteranno più: già immagino le loro legittime proteste.

Mostra i risultati (2262 voti)
Giugno 2025
Windows 10, aggiornamenti gratuiti per tutti. Ma ci sono requisiti da rispettare
Addio, vecchia carta d'identità: è obbligatorio passare alla CIE entro agosto 2026
16 miliardi di nomi utente e password finiscono online: coinvolti anche Facebook, Google e Apple
Tracciamento delle notifiche: ultima frontiera
Amazon stringe sui resi: la finestra scende da 30 a 14 giorni
Passare a Windows 11 è più semplice con Windows Migration. La fine di Windows 10 è già arrivata
WhatsApp, ecco perché stai ricevendo un messaggio che ti chiede di aggiungere l'indirizzo email
Richiamati oltre un milione di power bank: potrebbero surriscaldarsi fino a prendere fuoco
La Danimarca lascerà Windows e Microsoft Office, passando a Linux e LibreOffice
La macchina del caffè che fa a meno del serbatoio: estrae l'acqua dall'umidità dell'aria
In realtà i produttori fanno un favore agli utenti!
Il DNS europeo che promette di tutelare i dati personali
Guarda film pirata? Rischi fino a 5.000 euro di multa
Il Q-day è vicino
OneDrive: app e siti possono accedere a tutto il cloud
Tutti gli Arretrati
Accadde oggi - 1 luglio


web metrics