Microsoft scelta dal Dipartimento della Difesa US per la fornitura di servizi cloud per un valore di 10 miliardi di dollari

[LukeIlBello]

Originariamente inviato da emiliano84

https://en.wikipedia.org/wiki/Dirty_COW

10 anni, e se non ricordo male ce n'era un altro fixato circa dopo 15 anni

e tu mettiti windows server in azienda e poi fai entrare uno con mimikatz..
ti assicuro che i danni che ne escono fuori sono molto piu rilevanti nel caso dei bugs che hai postato qui sopra
bug peraltro risolti.. qui invece AD ancora lo vendono

[nTi0]

Originariamente inviato da LukeIlBello

https://www.exploit-db.com/exploits/47489 esecuzione remota
https://www.exploit-db.com/exploits/47377 scavallamento di UAC
ma non solo, pensa a tutti gli utonti "sysadmiN" di windows che installano un antivirus e altra roba spazzatura..
http://hyp3rlinx.altervista.org/advi...-EXECUTION.txt

è proprio endemico nella natura dell'os chiuso, in componenti come il registro..
e se poi vuoi la fatality... MIMIKATZ
https://www.varonis.com/blog/what-is-mimikatz/

con questo è possibile devastare qualsiasi AD

sarebbe piuttosto più interessante capire cosa vorresti dimostrare con la spappardellata di cui sopra.

Per quanto attiene il primo link (CVE-2019-1347), è stato rilasciato un fix in agosto: https://portal.msrc.microsoft.com/en.../CVE-2019-1347

Sul secondo:
se è per quello esistono tanti altri metodi documentati come puoi vedere qui, https://github.com/hfiref0x/UACME

Peccato però richiedano tutti che l'utente appartenga (a vario titolo) al gruppo amministratore.

L'ultimo, infine (o Mimikatz):
https://techcommunity.microsoft.com/...al/ba-p/765314


QUINDI? (oltre che essere sterile parlare con gente come te, è evidente)

[Feidar]

Originariamente inviato da LukeIlBello

azure (e quindi cloud) e standard di sicurezza nella stessa frase generano un ossimoro..

Gli SLA che hanno là dentro più tutte le certificazioni di sicurezza interna ai loro datacenter sono le migliori al mondo. Di che stiamo parlando?

Se poi ti riferisci alla sicurezza lato utente, quella è tutta un'altra storia...

pls.

[Feidar]

Originariamente inviato da nTi0

sarebbe piuttosto più interessante capire cosa vorresti dimostrare con la spappardellata di cui sopra.

Per quanto attiene il primo link (CVE-2019-1347), è stato rilasciato un fix in agosto: https://portal.msrc.microsoft.com/en.../CVE-2019-1347

Sul secondo:
se è per quello esistono tanti altri metodi documentati come puoi vedere qui, https://github.com/hfiref0x/UACME

Peccato però richiedano tutti che l'utente appartenga (a vario titolo) al gruppo amministratore.

L'ultimo, infine (o Mimikatz):
https://techcommunity.microsoft.com/...al/ba-p/765314


QUINDI? (oltre che essere sterile parlare con gente come te, è evidente)

È semplicemente un fanboy Linux che non sa come sia strutturato il cloud MS: cose come Mimikatz sono buone per quelle piccole-medie aziende che non hanno interesse/finanze per muoversi nel cloud e devono testare le loro soluzioni di sicurezza con il loro provider di servizi IT; ma una qualunque compagnia che sappia un minimo quanto sia importante mettersi al riparo da attacchi/ransomware vari non si azzarderebbe mai ad affidarsi solamente ai meri strumenti interni forniti da Windows Server (magari usando provider multiservizio, come Fortinet).

[LukeIlBello]

Originariamente inviato da nTi0

sarebbe piuttosto più interessante capire cosa vorresti dimostrare con la spappardellata di cui sopra.

Per quanto attiene il primo link (CVE-2019-1347), è stato rilasciato un fix in agosto: https://portal.msrc.microsoft.com/en.../CVE-2019-1347

Sul secondo:
se è per quello esistono tanti altri metodi documentati come puoi vedere qui, https://github.com/hfiref0x/UACME

Peccato però richiedano tutti che l'utente appartenga (a vario titolo) al gruppo amministratore.

L'ultimo, infine (o Mimikatz):
https://techcommunity.microsoft.com/...al/ba-p/765314


QUINDI? (oltre che essere sterile parlare con gente come te, è evidente)

quindi ancora funge, avoja a postare forum e links se poi il prodotto finale è BUGGATO mimikatz a tutt'oggi riesce a fare danni, provare per credere

[LukeIlBello]

Originariamente inviato da Feidar

È semplicemente un fanboy Linux che non sa come sia strutturato il cloud MS: cose come Mimikatz sono buone per quelle piccole-medie aziende che non hanno interesse/finanze per muoversi nel cloud e devono testare le loro soluzioni di sicurezza con il loro provider di servizi IT; ma una qualunque compagnia che sappia un minimo quanto sia importante mettersi al riparo da attacchi/ransomware vari non si azzarderebbe mai ad affidarsi solamente ai meri strumenti interni forniti da Windows Server (magari usando provider multiservizio, come Fortinet).

e siamo d'accordo, però il cloud cosa ha di sicuro? ajax è buggato per archittettura (e indovina un pò chi l'ha concepito ), posso mandare tutte le xmlhttprequest coi tuoi cookie e fingermi te.. dove sta la sicurezza?

[LukeIlBello]

Originariamente inviato da emiliano84

Parli tu che hai usato un os buggato per 15 anni?

ogni sw è buggato.. non si discute sto principio

[LukeIlBello]

Originariamente inviato da emiliano84

Come un qualsiasi server praticamente

non mi risulta che php e java abbiano tali problemi
se poi un programmatroto usa node.js delegando la logica al client, ecco che i danni sono alla mercè di tutti (grazie ajax )

[Feidar]

Originariamente inviato da LukeIlBello

e siamo d'accordo, però il cloud cosa ha di sicuro? ajax è buggato per archittettura (e indovina un pò chi l'ha concepito ), posso mandare tutte le xmlhttprequest coi tuoi cookie e fingermi te.. dove sta la sicurezza?

Azure ha una SLA del 99.9% (e in alcuni scenari anche del 99.95%); tutto quello che riguarda la sicurezza delle piattaforme fornite e che non è a carico dell'utente è la migliore al mondo (poiché, per lavorare con i governi di qualunque paese, oltre che USA, deve avere delle certificazioni e standard _altissimi_ di stabilità, continuità di servizio, sicurezza su tantissimi livelli).

Per capire _cosa_ è responsabilità dell'utente e cosa del provider: https://blogs.msdn.microsoft.com/azu...he-cloud-mean/ (è una pagina ufficiale Microsoft: spero non sia un problema).

Tutto quello che hai indicato nei tuoi interventi è sicurezza a carico dell'utente, dove l'ISP t'informa di una falla/bug/problema e ti da un workaround/soluzione temporanea finché non lo sistemano loro: è così dalla notte dei tempi.

[LukeIlBello]

Originariamente inviato da Feidar

Azure ha una SLA del 99.9% (e in alcuni scenari anche del 99.95%); tutto quello che riguarda la sicurezza delle piattaforme fornite e che non è a carico dell'utente è la migliore al mondo (poiché, per lavorare con i governi di qualunque paese, oltre che USA, deve avere delle certificazioni e standard _altissimi_ di stabilità, continuità di servizio, sicurezza su tantissimi livelli).

Per capire _cosa_ è responsabilità dell'utente e cosa del provider: https://blogs.msdn.microsoft.com/azu...he-cloud-mean/ (è una pagina ufficiale Microsoft: spero non sia un problema).

Tutto quello che hai indicato nei tuoi interventi è sicurezza a carico dell'utente, dove l'ISP t'informa di una falla/bug/problema e ti da un workaround/soluzione temporanea finché non lo sistemano loro: è così dalla notte dei tempi.

ok ma stiamo parlando di due cose molto diverse.. tu parli della sicurezza su azure e quindi della struttura MS relativa al cloud.. e asserisci (con ragione probabilmente) che il grado di sicurezza RELATIVAMENTE agli altri competitors risulta essere al top.. io non discuto questo.. potrebbe essere anche vero..
io discuto del CLOUD, che per natura è buggato, di conseguenza qualsiasi soluzione orientata al cloud soffre degli stessi difetti..
mettici poi il nome MS e certo è come mettere la ciliegina sulla torta (sfasciata).. ma di base ad essere exploitabile con un javascript è proprio la tecnologia su cui si basa tutto il baldacchino, che è AJAX (by MS)

ecco che quindi il cloud risulta una puttanata, un attentato alla sicurezza, diciamola tutta: una moda, come era una moda la mail con nome.cognome col protocollo Xqualcosa degli anni 80, come era la moda della lavagna condivisa su office negli anni 90, come è stata la moda degi NETBOOK anni 2000, adesso c'è la moda del CLAUD.. nessuno sa a cosa serve, ma tutti la vogliono
peccato che non se ne conoscano i rischi

[nickname88]

Originariamente inviato da LukeIlBello

all

Ancora a rosicare ogni volta che si parla di MS ?
Non sono argomenti che fan per te, torna a dedicarti al coding che non solo è meglio ma hai anche lì molto ancora da imparare.

[Feidar]

Originariamente inviato da LukeIlBello

ok ma stiamo parlando di due cose molto diverse.. tu parli della sicurezza su azure e quindi della struttura MS relativa al cloud.. e asserisci (con ragione probabilmente) che il grado di sicurezza RELATIVAMENTE agli altri competitors risulta essere al top.. io non discuto questo.. potrebbe essere anche vero..
io discuto del CLOUD, che per natura è buggato, di conseguenza qualsiasi soluzione orientata al cloud soffre degli stessi difetti..
mettici poi il nome MS e certo è come mettere la ciliegina sulla torta (sfasciata).. ma di base ad essere exploitabile con un javascript è proprio la tecnologia su cui si basa tutto il baldacchino, che è AJAX (by MS)

ecco che quindi il cloud risulta una puttanata, un attentato alla sicurezza, diciamola tutta: una moda, come era una moda la mail con nome.cognome col protocollo Xqualcosa degli anni 80, come era la moda della lavagna condivisa su office negli anni 90, come è stata la moda degi NETBOOK anni 2000, adesso c'è la moda del CLAUD.. nessuno sa a cosa serve, ma tutti la vogliono
peccato che non se ne conoscano i rischi

Purtroppo, da queste tue parole, si vede che non sai nulla di dinamiche aziendali, mercato IT e ben che meno di infrastruttura...

accomunare e semplificare un intero ecosistema non solo a preconcetti di ignoranza su come funzioni ma anche solo definirne la qualità per una sua microscopica parte (un bug aggirabilissimo con le giuste protezioni e sistemi di sicurezza, che sono l'ABC di ogni ISP degno di nota, su una delle decine di parti SaaS/Code as a Service) è proprio da persona non neutra, parimenti alla proverbiale rana nel pozzo.

A parità di ambiente di sicurezza implementato (Fortinet e Cisco in primis), un ambiente nel cloud sarà _sempre_ più sicuro di un qualunque altro datacenter nel mondo.

[maxnaldo]

Originariamente inviato da nickname88

Ancora a rosicare ogni volta che si parla di MS ?
Non sono argomenti che fan per te, torna a dedicarti al coding che non solo è meglio ma hai anche lì molto ancora da imparare.

[LukeIlBello]

Originariamente inviato da Feidar

A parità di ambiente di sicurezza implementato (Fortinet e Cisco in primis), un ambiente nel cloud sarà _sempre_ più sicuro di un qualunque altro datacenter nel mondo.

quindi per te il cloud su azure è piu sicuro del server che gestisco in loco?
cioè io nella mia azienda faccio una sessione in scp in locale, tu per trasferire file esci su internet.. solo per questo ti poni ad un livello si sicurezza inferiore..
ma non basta, ti ripeto che qualunque pisquano che ti siede accanto può impersonficarti come je pare, basta un javascript che ti cattura i cookie e sei finito

se mi dicessi oh guarda, io uso php (o java o cgi) ma faccio solo chiamate sincrone, potremmo anche fare paragoni.. (ovviamente tocca vedere il sw prodotto, ma almento a liv.architetturale è meglio, c'è poco da fare)
ma con ste premesse non ci sono paragoni da fare, un'architettura del genere è fallace a meno che non gestisci il sito del condominio..

in sostanza l'architettura classica (non cloud) garantisce molta piu sicrezza

[LukeIlBello]

Originariamente inviato da emiliano84

Niente non c'è nulla da fare, giri la frittata come ti oare e piace

Per buggato intendevo o falle di sicurezza gravi che sono state li per 10/15 anni come dirti cow... Ma ovviamente lo ignori, poi esulti che sono state fixate, ma ti lamenti di falle che ci eono "solo" da 4 anni

Parli di php e java come siano esenti da falle di sicurezza

Parli di ajax come se ora il pentagono sia obbligato ad usare ajax, o questo influisse

Ovviamente continui ad ignorare che su azure puoi usare o non usare php, java, nodejs,. Net, ajax, windows, linux.... Ma altrimenti come faresti a trollare

Io chiudo qui, fortunatamente chi legge i commenti, con un minimo di intelligenza, si farà un'idea da solo

no è che non mi piace ripetermi, e visto che con voi che siete fans e neanche vi informate su ciò che scrivo (non sarebbe male) le cose bisogna ripeterle, e sia:
ti ribadisco che i bugs da te elencati sono ridicoli rispetto a quelli di mimikatz, wannacry e C. per l'architettura dell'OS..
hai elencato UN bug che è sfuggito agli occhi degli opensorci pe non si sa quale miracolo, e facendo leva su questo addirittura arrivi a fare paragoni blasfemi (ce ne vuole per dubitare della sicurezza degli unix, o incoscienza o coraggio ) quando sappiamo bene come vanno le cose in MS..

hai letto ciò che ho scritto su mimikatz? se mi trovi un sw che AD OGGI riesce a fare quel tipo di danni (e no, un DDOS non è sufficiente) allora possiamo parlarne.. ma visto che non mi risultano bug aperti di tale natura, il tuo è un

[LukeIlBello]

Originariamente inviato da emiliano84

...e poi c'era la marmotta che confezionava la cioccolata

e poi c'erano gli utonti che si credono powa users

[Saturn]

Originariamente inviato da LukeIlBello

no è che non mi piace ripetermi

Nooooooooooooooooo..........non ti piace ripeterti.........
E io sono Obi Wan Perhobby allora ! (magari per me...)

Dici solo le stesse identiche cose dal secolo scorso in ogni thread MS/Windows 10....ma no, non ti ripeti...

[LukeIlBello]

Originariamente inviato da nickname88

Ancora a rosicare ogni volta che si parla di MS ?
Non sono argomenti che fan per te, torna a dedicarti al coding che non solo è meglio ma hai anche lì molto ancora da imparare.

beh non è che rosico anzi, se penso che ad oggi gli americani sono riusciti
a farsi bucare da putin e dai cinesi, che la mail della clinton ormai è blacklistata su tutti i relay mondiali, e che ancora non hanno cominciato la "collabrodazione" (cioè una collaborazione da colabrodo), sono cavoli amari per trump che oltre ai casini interni si vedrà appioppare la responsabilità della scelta sciagurata che da il titolo al topic

[nTi0]

potreste evitare di dargli corda lasciandolo macerare nel suo brodo?

Alla fine, infatti, finite per essere fastidiosi allo stesso modo (oddio, quello è proprio un caso a parte ma insomma il concetto è chiaro)

[LukeIlBello]

Originariamente inviato da nTi0

potreste evitare di dargli corda lasciandolo macerare nel suo brodo?

Alla fine, infatti, finite per essere fastidiosi allo stesso modo (oddio, quello è proprio un caso a parte ma insomma il concetto è chiaro)

eh si caro clone di...?