Questa settimana ho deciso di attivare lo SPID (Sistema Pubblico di Identità Digitale). Cosa è lo SPID L’identità digitale SPID è rappresentata da un username e una password che vi permettono di autenticarvi sui siti della Pubblica Amministrazione (PA). I suoi usi sono molteplici e sta prendendo sempre più piede per le comunicazioni online tra … Continue reading La mia esperienza con SPID e Poste Italiane
Tag: security
Secure your SSH server against brute-force attacks with Fail2ban
The problem: SSH can be brute-forced I usually leave an SSH server on a dedicated port on every server I administer and, as you may recall, I even linked two well-written guides to properly configure and harden SSH services. Now, Internet is a notoriously bad place: scanners and exploiters have always been there, but brute-forcers … Continue reading Secure your SSH server against brute-force attacks with Fail2ban
Fun with Python powered telnetd honeypot
Reason: hardening, serendipity and curiosity As you already know, in the past weeks I hardened all of my boxes: while doing it, I flushed all iptables/ipfw rules, changed the default policy to DROP and take it from there to enable every rule as soon as I need it. Whilst Ubuntu uses ufw as a fronted … Continue reading Fun with Python powered telnetd honeypot
Hardening services: let’s review our config files
It’s hardening Sunday here: I reviewed the config files of my main daemons (nginx, openvpn, tinc, sshd) with the help of two resources that I want to share with you, fellow readers. First of all, a guide dedicated exclusively to hardening ssh: from using public key authentication only (I strictly encourage it!) to the selection … Continue reading Hardening services: let’s review our config files
Ruby e OSX: problemi coi certificati SSL durante l’installazione delle gem
Nella nuova versione dell’installer di RubyGems è presente un check di sicurezza sul certificato SSL del sito da cui si scaricano le gem che si stanno per installare. Questo può comportare un errore durante l’installazione di una qualsiasi gem: ERROR: Could not find a valid gem ‘rails’ (= 3.2.14), here is why: Unable to download data … Continue reading Ruby e OSX: problemi coi certificati SSL durante l’installazione delle gem
HTTPS e le applicazioni di terze parti: attenzione!
“È sufficiente usare HTTPS per essere sicuri: protegge la comunicazione cifrando il traffico e usando certificati validati da CA riconosciute”. SBAGLIATO. Spesso si sente pronunciare questa frase, ma non è del tutto vero: ho recentemente letto con molta attenzione un paper presentato alla conferenza CCS 2012, una conferenza dedicata alla Computer Security. Il paper ha un … Continue reading HTTPS e le applicazioni di terze parti: attenzione!
WordPress plugin: Chap Secure Login
Ho recentemente installato Chap Secure Login, un plugin molto utile per WordPress che risolve un problema da non sottovalutare: l’autenticazione su un canale non cifrato quale HTTP (è buona norma usare HTTPS quando si effettua uno scambio di informazioni riservate, quali password, numeri di carta di credito, etc. per evitare che eventuali eavesdropper possano carpire … Continue reading WordPress plugin: Chap Secure Login
Twitter via HTTPS: da abilitare!
Dopo aver fatto la segnalazione per quanto riguarda Facebook, segnalo che anche Twitter ha aggiunto un’opzione per usufruire del servizio via HTTPS: è sufficiente visualizzare i settings e poi selezionare l’opzione HTTPS. Ovviamente io consiglio di abilitare l’opzione per i “soliti” motivi di sicurezza e privacy.
Facebook e la navigazione HTTPS da abilitare
Mi sono accorto che Facebook offre un’opzione molto utile e assolutamente da abilitare. Infatti, sotto Account > Impostazioni Account > Protezione dell’Account troviamo un’opzione per abilitare la navigazione HTTPS quando possibile. Io l’ho abilitata subito, per proteggermi da sniffer indiscreti durante la mia navigazione su Facebook, e consiglio di abilitarla anche a voi. Personalmente, … Continue reading Facebook e la navigazione HTTPS da abilitare
Apache: come nascondere il banner contenente la versione, il packaging, etc. [ServerTokens]
Ispirato dalla filosofia “security by obscurity” [sicurezza tramite segretezza], ho sempre avuto l’abitudine di limitare le informazioni rivelate dai server Apache che amministro. Solitamente (= di default), Apache rivela le seguenti informazioni: Versione, major build [1, 2] Packaging [Ubuntu, Fedora, etc.] Eventuali moduli installati [mod_security, mod_python, etc.] Versione estesa [2.0.47] Un po’ troppe per i … Continue reading Apache: come nascondere il banner contenente la versione, il packaging, etc. [ServerTokens]