AFFIDABILITÀ DEI COMPACT DISK 7

Transcript

1 INDICE NOVITÀ NEL SERVICE PACK 2 DI WINDOWS XP Panoramica 1 3 CIFRARE E DECIFRARE FILE E CARTELLE CON IL FILE SYSTEM NTFS (parte prima) Difficoltà: PRINCIPIANTE AFFIDABILITÀ DEI COMPACT DISK 7 Hardware LE VENTI VULNERABILITÀ PIÙ CRITICHE PER LA SICUREZZA IN INTERNET (14^ PARTE) Difficoltà: INTERMEDIA 12

2 NOVITÀ NEL SERVICE PACK 2 DI WINDOWS XP Panoramica Windows XP Service Pack 2 (SP2), al momento ancora in versione beta test, include le nuove caratteristiche riguardanti il networking, mirate ad aumentare la sicurezza e aggiungere funzionalità per gli utenti che usano reti wireless o reti peer-to-peer. Le migliorie più importanti contenute nel pacchetto sono: un nuova versione del firewall ICF; nuovi servizi per l accesso a reti wireless; Windows Peer-to-Peer Networking; aggiornamento al protocollo IPv6. NUOVO FIREWALL Windows Xp Service Pack 2 (SP2) include una nuova versione di Windows Firewall, precedentemente conosciuto come ICF (Internet Connection Firewall). Questo tipo di firewall è di tipo stateful che blocca tutto il traffico non richiesto (unsolicited traffic) in arrivo che non corrisponde alle specifiche imposte dall utente (solicited traffic), oppure tutto il traffico che non risulta riconosciuto (excepted traffic). Prima del SP2 l ICF era disabilitato di default: l abilitazione doveva essere effettuata manualmente, potendo in realtà settare solo poche opzioni di configurazione. Il nuovo ICF invece presenta molte interessanti novità, che possiamo sintetizzare nei seguenti punti : abilitato di default per tutte le connessioni; possibilità di configurare parametri validi per tutte le connessioni (la vecchia versione prevedeva la configurazione individuale di ogni singola connessione) un menù di configurazione molto più ricco; una nuova modalità operativa che permette, per esempio durante un attacco informatico, di respingere anche il traffico conosciuto qualora non richiesto; possibilità di configurare le subnet locali; possibilità di specificare il traffico escluso sulla base dell applicazione che lo genera; progettato per supportare l IPv6; possibilità di configurare il firewall tramite comando di linea Netsh (*) e, nel caso di reti che utilizzano Active Directory, attraverso le Group Policy. (*) netsh è un comando di linea (digitabile da prompt dei comandi) che consente di visualizzare o modificare la configurazione di rete. 1

3 NUOVI SERVIZI PER L ACCESSO A RETI WIRELESS I servizi denominati Wireless Provisioning Services (WPS) sono stati implementati in questo service pack, così come lo saranno nel SP1 per Windows Server WPS amplia il software incluso nel sistema operativo Windows XP e l Internet Authentication Service (IAS) di Windows Server 2003 per permettere un processo di configurazione automatica quando il client wireless si connette a: hotspot pubblici per l accesso ad Internet; reti private che consentono accessi ad Internet a guest. Quando il client tenta di collegarsi con un hotspot e non risulta già come cliente del Wireless Internet Service Provider (WISP), il software provvede a configurare il sistema operativo attraverso i seguenti passi : configura i network settings per connettersi alla rete WISP; fornisce l identificazione e le informazioni di pagamento al WISP; ottiene le credenziali per effettuare la connessione; riconnette la macchina alla rete wireless dopo aver ottenuto le credenziali. L WPS è stato creato per semplificare, automatizzare e standardizzare l accesso ad una rete wireless, senza dover configurare la macchina a seconda del provider a cui ci si collega. WINDOWS PEER-TO-PEER NETWORKING Vista la crescente diffusione di questo tipo di rete, la Microsoft ha voluto corredare Windows XP con un modulo che permette di utilizzare il P2P, installabile come semplice componente di rete attraverso la categoria aggiungi/rimuovi programmi; detto componente userà il protocollo TCP/IP versione 6 come livello di trasporto. AGGIORNAMENTO ALL IPv6 Il SP2 prevede, tra le altre funzionalità finora descritte, altri due componenti : IPv6 ICF; Teredo. L IPv6 ICF estende le funzionalità di firewalling al protcollo IPv6. Teredo, conosciuto come IPv6 NAT traversal, è impropriamente chiamato NAT (Network Address Translation), provvede ad incapsulare l IPv6 nativo in IPv4, così da poter utilizzare il protocollo sicuro su reti standard IPv4. 2

4 CIFRARE E DECIFRARE FILE E CARTELLE CON IL FILE SYSTEM NTFS (parte prima) Difficoltà: PRINCIPIANTE Molti uffici prevedono l uso da parte di più utenti dei medesimi computer, siano essi desktop o portatili, e nella maggior parte dei casi non si vogliono far visionare file e cartelle a chi non è stato direttamente autorizzato dal creatore di queste informazioni. Un altro scenario che si potrebbe presentare è quello di un portatile rubato, laddove dei malintenzionati potrebbero trafugare i file contenuti sull hard disk usandoli in modo indiscriminato. A tal riguardo si sente spesso parlare di algoritmi e software di cifratura, ma non tutti sanno che i sistemi operativi Microsoft Windows 2000 Professional e 2000 Server, XP Professional e 2003 Server, dispongono di un sistema nativo di cifratura denominato EFS (Encrypting File System). Una persona diversa dal creatore del file criptato, per decifrare il dato, dovrà essere in possesso della chiave privata (cifratura simmetrica). Prima di cominciare ad illustrare l impiego di tale funzionalità, bisogna tener presente alcune condizioni : L uso dell EFS è limitato solo ed esclusivamente a file system NTFS: qualora si usino i S.O. sopra elencati ma si scelga una formattazione FAT o FAT32, la funzionalità EFS non sarà disponibile. Il S.O. Windows XP Home Edition, pur utilizzando l NTFS, non implementa l EFS. I file di sistema non possono essere cifrati. Vediamo ora nel dettaglio, quali sono i passi da seguire per cifrare e decifrare. Come prima condizione è necessario che l utente abbia tutti i permessi per modificare file o cartelle. 1. la prima operazione da fare è cliccare con il tasto destro sul file o sulla cartella da cifrare, per poi selezionare l opzione Proprietà: a questo punto si aprirà una finestra come in figura 1; figura 1 3

5 2. cliccare su Avanzate: comparirà una nuova finestra come in figura 2 figura 2 3. spuntare la voce Crittografa contenuto per la protezione dei dati ( Encrypt contents to secure data ) e premere OK; 4. a questo punto, a seconda se la cifratura avvenga su un file o su una cartella compariranno le finestre di figura 3 e 4: figura 3 figura 4 5. ora basterà seguire le istruzioni per personalizzare la cifratura: dopodiché sarà necessario cliccare su OK per avviare il processo. Terminata l operazione il nome del file o della cartella cambierà colore come in figura 5: figura 5 4

6 È necessario precisare che il cambiamento di colore della scritta è subordinato alla configurazione evidenziata in figura 6, raggiungibile, aperta una qualunque cartella, dal menu Strumenti > Opzioni cartella: figura 6 A processo ultimato l utente che ha compiuto questa operazione potrà aprire i file senza preventivamente decifrarli, infatti la decifra risulta completamente trasparente all operatore. Un altro utente che utilizza lo stesso computer con login differente, sarà impossibilitato a compiere qualsiasi operazione su detti file o cartelle. Per togliere la cifratura bisogna ripetere i punti 1 e 2, eliminando il segno di spunta nella voce Crittografa contenuto per la protezione dei dati ; così facendo la scritta ritornerà al colore originario ed il file sarà tradotto in chiaro. Per agevolare questo processo all utente è possibile modificare il file di registro in modo che, cliccando con il tasto destro su un qualsiasi file o cartella, nel menù compaia la voce Crittografare (figura 7) o Decrittare nel caso di un file o cartella cifrata (figura 8). figura 7 figura 8 5

7 ATTENZIONE: Ricordiamo che ogniqualvolta si modifica il file di registro sarebbe consigliabile effettuarne preventivamente una copia di back-up. Vediamo ora come modificare il file di rgistro : 1. Aprire il Registry Editor (Start > Esegui > Regedit) e aprire la seguente posizione HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer \Advanced; 2. Nel pannello di destra, cliccare con il tasto destro su qualsiasi parte bianca quindi scegliere Nuovo e di conseguenza valore DWORD; 3. Nel nuovo valore creato digitare EncryptionContextMenu quindi digitare OK; 4. Cliccare con il tasto destro sul valore appena creato, e selezionare Modifca: si aprirà una finestra, come in figura 9; figura 9 5. Inserire nel campo Dati valore il valore 1, quindi OK; 6. Uscire dal Registry Editor. Una volta ultimata detta configurazione sarà possibile cifrare e decifrare qualsiasi dato cliccando esclusivamente con il tasto destro, e scegliere Crittografare o Decrittare. Bisogna tener presente che, se scegliamo di cifrare tutti i file e tutte le sub-cartelle contenute in una data cartella, qualsiasi nuovo file o sub-cartella in essa salvati verranno automaticamente cifrati. 6

8 AFFIDABILITÀ DEI COMPACT DISK Hardware Oggigiorno il masterizzatore CD è diventato dotazione standard della maggior parte delle postazioni PC. Dato il basso costo di tali dispositivi, essi hanno preso il posto dei normali lettori CD, a meno dei casi in cui, per ragioni di sicurezza, non si intende dotare la macchina di un dispositivo output dati di tale capacità. Sempre più persone hanno abbandonato l utilizzo dei vecchi floppini che, oltre al problema della limitata capacità, presentavano un livello di affidabilità decisamente basso: un campo magnetico o un urto violento poteva implicare la perdita dei dati. L impiego dei masterizzatori è stato oltretutto facilitato da numerosi software, basati sull UDF packet writing protocol, che permettono di utilizzare i CD-RW esattamente come se fossero dei normali floppy, senza più bisogno di ricorrere a programmi di masterizzazione: è sufficiente trascinare il file sulla cartella del CD e, in maniera del tutto trasparente all utente, il file viene memorizzato sul supporto ottico. Altrettanto semplicemente potrà essere cancellato, riscritto, ecc. Viene dunque lecito domandarsi quanto siano realmente affidabili questi supporti. Per rispondere meglio a tale quesito è opportuno spiegare che cosa è un CD. La tecnologia dei supporti dati di tipo ottico è sempre fondamentale per le sue caratteristiche peculiari: grande capacità, velocità di accesso ai dati (30-50ms) intermedia fra gli hard disk (circa 10ms) ed i nastri (alcuni secondi), bassi costi. Un altra caratteristica che li distingue è la possibilità di rimuoverli e spostarli con facilità, in quanto la distanza tra superficie di registrazione/lettura e testina ottica è di alcuni millimetri, fatto che permette quindi di maneggiarli senza rischiare pericolosi contatti testina/superficie (possibili nelle unità magnetiche dove le distanze devono essere minimizzate). Non tutti sanno che la diffusione di massa dei lettori CD-ROM è legata alla storia di un videogioco: The 7 th Guest della Trilobyte (Settembre 1998). L uscita di questo titolo coincise con la disponibilità sul mercato dei lettori a doppia velocità (2X, da 300 Kb/sec). Fino ad allora la nuova unità non aveva destato l interesse degli utenti: mancavano i titoli capaci di sfruttarne a pieno le caratteristiche, ed inoltre i lettori avevano costi piuttosto elevati per l utente domestico. La ricerca sulla possibilità di immagazzinare dati tramite tecnologia ottica è iniziata già negli anni negli Stati Uniti con aziende come IBM, 3M, Bell Labs, ancora oggi presenti e leaders nel settore. L industria dei compact disc è frutto degli studi della Philips e della Sony coronati dalla definizione dello standard Compact Disc Digital Audio, noto anche come Red Book (Libro Rosso). Il successivo sviluppo di altri standard per l archiviazione dei dati vide la nascita di nuovi volumi comprendenti le prescrizioni tecniche. Nacquero così il Green Book, il Yellow Book, l Orange Book ed il White Book, tutti nomi derivanti dal colore del dorsetto utilizzato nella rilegatura dei libri stessi. Ogni libro contiene la descrizione del formato fisico delle informazioni registrate sul compact disc, specificando non 7

9 solamente le capacità e le dimensioni del supporto, ma anche l organizzazione e la disposizione dei dati. Vediamo ora come effettivamente è fatto un cd-rom e, nello specifico come si differenziano i vari tipi, tra cui ricordiamo : cd prestampati; cd-r (registrabili); cd-rw (re-writeable). CD Prestampato : Figura 1 Un CD-ROM prestampato (Figura 1), quindi di sola lettura, non è altro che un sottile disco di alluminio di 12 cm di diametro (8 cm nel caso del formato mini) posto tra uno strato di plastica policarbonata ed uno di materiale acrilico. La base di plastica policarbonata ha delle piccole rientranze generate durante il processo di stampa (injection molding) e ad essa viene applicato lo strato di alluminio riflettente. Questi viene poi ricoperto con uno strato di acrilico, chiamato in gergo lacquer; infine l etichetta completa il tutto per uno spessore totale di 1,2 mm. La parte piana dello strato riflettente viene chiamata land, mentre le piccole rientranze sono chiamate bump. In pratica creando dei bump sulla spirale non si fa altro che scrivere i singoli bit di ogni byte. Il disco contiene una singola traccia a spirale che parte dal centro e finisce all estremità del disco; questa spirale è larga 0,5 micron (1 micron = 1 milionesimo di metro) e la distanza tra un cerchio e quello adiacente è di circa 1,6 micron. Anche i piccoli buchi o bump incisi nella traccia hanno delle dimensioni molto piccole, con larghezza di 0,5 micron per una lunghezza di 0.83 micron ed una profondità di 125 nanometri ( 1 nanometro = 1 miliardesimo di metro) (Figura 2). 8

10 125 nanometri Figura 2 CD-R Nei cd prestampati, la registrazione avviene tramite processi industriali che modificano la superficie della plastica policarbonata e quindi non possono essere replicati in casa; i CD di questo tipo si definiscono READ ONLY. In risposta all esigenze dei consumatori, che richiedevano un prodotto anche registrabile, fu introdotto sul mercato il CD- Registrabile A differenza dei CD prestampati la plastica policarbonata (1) non viene modificata ma ha solo una funzione di basamento per i layer ; quello immediatamente superiore, denominato recording layer (2), è composto da una pellicola caratterizzata dalla presenza di sostanze organiche come le ftalocianine, dei coloranti polimetinici fotosensibili, oppure dai nuovi pigmenti usati dalla Verbatim e Mitsubishi denominati Metal azo. Lo strato riflettente è composto da un sottilissimo strato metallico (3), 9

11 generalmente in alluminio, che aumenta la riflessione del raggio laser in fase di lettura. I due strati che seguono (4-5) servono essenzialmente per rivestire i layer sottostanti e per marcare il CD-R. La registrazione di questi tipi di CD avviene riscaldando opportunamente lo strato fotosensibile (recording layer) che, se non modificata dal raggio laser, risulta totalmente riflettente, mantre una volta registrata si presenta con zone opache. L alternanza di zone opache e riflettenti viene tradotta in sistema binario. Una cosa interessante da specificare è che un lettore CD riesce a leggere allo stesso modo CD prestampati e CD registrabili, perché si basa sul concetto di luce riflessa, sia che provenga da un bump che da una zona riflettente. Il lato negativo di questo tipo di CD è da ricercarsi nel fatto che una volta scritti i dati, a differenza dei floppy disk o degli hard disk, non possono essere più cancellati o ricoperti con nuovi dati, in quanto la fotosensibilizzazione del recording layer è irreversibile. La risoluzione a questo problema ci viene da un altro tipo di CD denominato CD-Riscrivibile (CD-RW). CD-RW L idea di un CD su cui si potesse scrivere per poi cancellare come un hard disk, anche se con capacità inferiore, ha portato alla realizzazione del CD-Riscrivibile. La sua struttura è simile a quella di un CD-R ad eccezione della composizione del recordable layer che è invece composto da una lega policristallina di argento, indio, antimonio e tellurio. L altra differenza consiste nella presenza di altri due layer detti dielettrici, i quali racchiudono il recordable layer. Questi, nella sua forma primitiva, risulta trasparente e totalmente stabile nella sua forma policristallina. Per scrivere su un CD-RW bisogna creare delle zone opache che risultino non riflettenti. Per fare ciò bisogna riscaldare opportunamente il recordable layer con temperature vicino al punto di fusione della sua pellicola ( C) per mezzo di un laser. A questa temperatura, la zona interessata diventa liquida. In questo stato gli atomi del mix policristallino sono liberi di muoversi in ogni direzione, perdendo così la loro struttura policristallina e diventando amorfi. A 10

12 questo punto, la parte liquida interessata viene raffreddata rapidamente (ruolo è agevolato dai due dielettrici) sotto la temperatura di cristallizzazione, cambiando il suo aspetto da trasparente in opaco. Per cancellare invece una traccia precedentemente registrata su un CD-RW bisogna riscaldare sempre tramite laser quelle zone in condizione amorfa ad una temperatura al di sopra della temperatura di cristallizzazione (200 c). A questa temperatura il materiale non fonde, ma permette agli atomi di riorganizzarsi nella loro forma primitiva (policristallina), facendo così ritornare trasparente la zona interessata. Il laser mantiene la temperatura per la cristallizzazione, fino a processo ultimato; questo spiega la ragione per cui il tempo di cancellazione è superiore a quello di scrittura. È importante sapere che detto processo avviene per tutta la lunghezza della traccia senza discriminare le zone amorfe e quelle cristallizzate, in modo da assicurarsi che la cancellazione risulti completa. DURATA E AFFIDABILITA Le case produttrici di CD dichiarano che la durata dei CD-R (registrati) varia tra 50 e 200 anni e che i CD-RW durano in media tra i 20 e i 100 anni. In realtà, per quanto riguarda i CD-RW, bisogna tenere presente che, come tutti i dispositivi basati su cambi di stato, possono essere riscritti un limitato numero di volte, approssimativamente 1000 volte. Per quanto riguarda la durata di un disco registrato (CD-R CD-RW) bisogna tenere conto di molti fattori tra cui ricordiamo : - proprietà intrinseche dei materiali usati durante l assemblaggio del disco; - la qualità della manifattura; - modo d uso; - luoghi in cui sono conservati. Lo stesso masterizzatore, sia per decadimento del diodo laser che per usura meccanica, può variare nel tempo la qualità della registrazione, aggiungendo un rischio di inaffidabilità non dipendente dal supporto ottico. Ultimo, ma non per questo meno importante è il fattore che riguarda la manutenzione delle memorie. La pulizia dei CD va effettuate con kit appositi o, in mancanza di questi, con panni inumiditi (a secco si aumenta il rischio di graffiature). L esposizione al sole è da evitarsi, sia per la vulnerabilità dello strato fotosensibile, sia per le temperature eventualmente raggiungibili, che potrebbero comportare lievi deformazioni dei layer. 11

13 LE VENTI VULNERABILITA PIU CRITICHE PER SICUREZZA IN INTERNET (14^ PARTE) Difficoltà: INTERMEDIA U3 Web Server Apache U3.1 Descrizione Apache è stato storicamente, e continua ad essere, il più popolare web server su Internet. In confronto a Internet Information Server di Microsoft, Apache è certo stato sempre più sicuro, ma ha comunque la suo buona fetta di vulnerabilità. Oltre agli exploit in danni del core e dei moduli di Apache (CA , CA ), vi è il pericolo che vulnerabilità SQL, database, CGI, PHP sia sfruttate attraverso il web server. Se non messe in sicurezza, le vulnerabilità in Apache web server e nei componenti associati possono comportare interruzioni del servizio, divulgazione di informazioni, defacement del sito web, accessi root da remoto o altri innumerevoli altri effetti poco piacevoli. U3.2 Sistemi operativi interessati Tutti i sistemi UNIX possono eseguire Apache. Molti sistemi Linux e diverse varianti di UNIX si presentano con Apache pre-installato e talvolta abilitato per default. Apache è inoltre in grado di girare su host con altri sistemi operativi, incluso Windows, ed è quindi probabilmente soggetto a molte delle alle stesse vulnerabilità. U3.3 Riferimenti CVE/CAN CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CVE , CAN , CAN , CAN , CAN , CAN , CAN , CAN , CAN , CAN , CAN , CAN , CAN

14 U3.4 Come stabilire se siete vulnerabili Le informazioni sugli avvisi di sicurezza che riguardano Apache 1.3.x sono disponibile presso e le informazioni sulla sicurezza di Apache 2.0.x presso Questi link forniscono informazioni dettagliate che descrivono come determinare se siete vulnerabili, quali versioni sono affette dalle singole vulnerabilità, quali siano le soluzioni suggerite e quando siano possibili. I collegamenti alle informazioni di sicurezza elencati sono raggiungibili anche da U3.5 Come proteggersi 1. Assicurarsi di aver istallato l'ultimo livello di patch. o fornisce la versione più recente e l'ultimo livello di patch disponibile. o Il codice sorgente delle versioni più recenti di Apache è disponibile su o Le patch più recenti sono disponibili all'indirizzo 2. Assicurarsi che i componenti del sistema operativo principale che interagiscono con Apache siano correttamente aggiornati. Compilate solo i moduli di Apache necessari per il corretto funzionamento del vostro server. nota: Il worm mod_ssl (CA ) è un perfetto esempio di ciò che può accadere da vulnerabilità che risiedono in OpenSSL (CA ). 3. Non eseguire Apache come root. Creare un nuovo utente e un nuovo gruppo ed eseguire Apache con tale utente. Nessun altro processo del sistema dovrebbe essere eseguito con tale utente o con tale gruppo. 4. Limitare le informazioni rivelate dal server. Per quanto questo suggerimento tenda a trovare in disaccordo le persone che sostengono che la sicurezza raggiunta attraverso l'oscurità non sia la strada giusta e per quanto un certo numero di tentativi di attacco vengano effettuati assolutamente alla cieca (ne è prova il fatto che in molti log di Apache si trovano le tracce di tentativi di attacco diretti verso server IIS), ci sono anche alcuni exploit che vengono lanciati basandosi sulle informazioni contenute negli header. o Modificare l'http Response token di default di Apache. 1. Per Apache 1.3.x Per Apache 2.0.x o Assicurarsi che mod_info non sia accessibile da Internet. 13

15 o Controllare che non sia possibile vedere l'indice delle directory. 5. Considerare la possibilità di eseguire Apache in un ambiente chroot(). Da questa configurazione il web server non può accedere ad alcuna parte della struttura delle directory del sistema operativo al di fuori dell'area chroot() definita. Ciò può spesso aiutare a prevenire gli attacchi. Ad esempio, un exploit può richiamare una a shell e siccome /bin/sh verosimilmente non risiede (e non deve risiedere) nella chroot, l'operazione sarebbe inefficace. ATTENZIONE: eseguire Apache in chroot potrebbe aver effetti negativi su CGI, PHP, database ed altri moduli o comunicazioni che possono aver bisogno dell'accesso a librerie o binari in ambiente server. Vi sono numerosi metodi di chrooting, e quindi è necessario consultare la documentazione del software specifico per le istruzioni. Ulteriori informazioni si possono trovare su. o o 6. Un logging efficiente e completo è essenziale per tracciare correttamente ogni possibile problema di sicurezza o qualche comportamento poco chiaro del vostro web server. Un buon metodo è quello di avvicendare periodicamente i log e di archiviare i vecchi log. Ciò farà in modo che la dimensione del log sia più gestibile e sia più semplice analizzarlo se si rendesse necessario. Varie informazioni riguardo i formati e la rotazione dei log si trovano su: o Per Apache 1.3.x o Per Apache 2.0.x In molti scenari i contenuto di questi log può non essere sufficiente. In particolare se utilizzate PHP, CGI o altri sistemi di scripting, è una buona idea registrare le operazioni GET e POST. Questa procedura può fornire dati e prove importanti nel caso di una compromissione della sicurezza. Il log delle operazioni GET e POST può essere implementato attraverso mod_security. o o 7. PHP, CGI, SSI e altri sistemi di scripting. o Disabilitare PHP, CGI, SSI e gli altri linguaggi di scripting a meno che non siano assolutamente necessari. o Disabilitare Server Side Include (SSI), che può potenzialmente portare ad usi non autorizzati e fare in modo che il web server esegua codice del sistema operativo che non era stato previsto dallo sviluppatore. o Se sono necessari PHP, CGI, SSI o altri linguaggi di scripting, prendere in considerazione l'utilizzo di suexec. suexec permette agli script di essere eseguiti sotto Apache con un user id diverso da quello di Apache. ATTENZIONE: è essenziale conoscere perfettamente suexec. Se utilizzato in modo non corretto, può creare a sua volta nuovi problemi di sicurezza. 14

16 1. Per Apache 1.3.x 2. Per Apache 2.0.x o Rendete sicuro il contenuto della directory cgi-bin e delle altre directory di script. Tutti gli script di esempio e di default devono essere rimossi. o Rendete sicuro PHP: Questo argomento è piuttosto vasto. Quelli che seguono sono solo alcuni punti di partenza per controllare che la vostra implementazione di PHP sia sicura. 1. Disabilitare i parametri che fanno in modo che PHP riveli informazioni nell'header HTTP. 2. Assicurarsi che PHP sia eseguito in modalità sicura. Informazioni dettagliate sull'argomento si trovano su: o o Esistono dei moduli aggiuntivi che possono fornire un valido aiuto alla sicurezza. Il modulo mod_security ( può aiutare a proteggersi da Cross Site Scripting (XSS) e SQL injection. Sul sito si trovano anche istruzioni dettagliate sull'implementazione. È importante anche esaminare gli script alla ricerca di vulnerabilità XSS e SQL injection. Esistono alcuni strumenti open source che svolgono questo compito. Nikto (disponibile su è uno dei tool di scansione CGI più completi. 15