Olimpo Informatico

[mdini]

Ho diversi siti sui server Aruba e non mi posso lamentare del rapporto qualità prezzo del servizio di hosting. Invece mi lamento del servizio di assistenza e della sicurezza informatica. Quando succede un incidente è altrettanto importante la prontezza dell'intervento, che informare tempestivamente i clienti del disservizio. Lì sopra ci sono siti di e-commerce per i quali il tempo è davvero denaro e non sapere cosa diavolo sta succedendo è peggio del problema stesso (attacco denial of service? blocco dell'account per un errore amministrativo? furto del nome di dominio? Oscuramento del sito da parte di un hacker?); cosa si risponde ai clienti che telefonano? Tempo fa la homepage del NIENTE SPAM! fu infettato da un virus e dovetti cavarmela da solo; dopo una settimana di nuovo. Può succedere solo se su quei sistemi non sono rispettate neppure le 'misure minime' della sicurezza informatica. A parte questa carenza, l'assistenza mi consigliò solo di cambiare spesso la password (nessun accenno ad accertamenti o contromisure in corso, né tanto meno a delle scuse dovute).

[madvero]

ah però.
beh, poverini, fanno il loro mestiere.







ok, ok, parlo proprio io che me li sarei mangiati vivi l'ultimo giro che hanno implementato una policy di sicurezza nuova nuova (l'autenticazione tramite ip fisso per aggiornare i propri spazi web).

lo ammetto, scherzavo.

[Zeus]

[mdini]

[freemind]

Cerchiamo di chiarire un po' di cose.
Se tu hai preso dello spazio web da qualche isp e ci mette su il tuo sito, i problemi di sicurezza inerenti al sito sono i tuoi.
Se hai una procedura buggata che permette di esser in qualche modo bypassata è solo colpa tua.
Idem per il db: se fai un db con le password in chiaro e uno ci mette mano la colpa è tua.
Diversa è la questione se l'attacco arriva a manomettere il sito o il db passando da qualche breccia del sistema operativo o del webserver (sempre ovviamente nell'ipotesi che tu abbia preso lo spazio e non usi un server dedicato managed).
Dire: "mi han defacciato il sito per colpa di aruba" non è proprio corretto.

Poi se invece usi (e aruba lo permette) gli strumenti pre-cotti per andare al risparmio come joomla o altro, però quelli che aruba ti permettere di installare (c'è come servizio quello di poter fare in automatico l'installazione di questi strumenti) allora loro dovrebbero preoccuparsi se non altro di mantenere aggiornata e sicura l'installazione da cui partiresti tu.
Poi tutti gli up successivi sono però a tuo carico.

Invece nel caso di dove sono io, i server sono managed quindi son fatti nostri anche i problemi di sicurezza.

[madvero]

ma... ma... non capisco.
mdini ha con aruba solo l'hosting?
come me?



allora non riesco a comprendere il senso delle lamentele.
io ad esempio l'altra volta mi sono incavolata perchè per prevenire avevano preso delle misure cautelative che facevano più danno che benefici. me la vivevo come l'imporre il limite meccanico di velocità alle auto di marca xyz, ivi incluse le auto della polizia, non so se mi spiego col paragone...

questo tipo di lamentele a mio avviso ci sta: pago un servizio e mi cambiano le condizioni di fruizione del servizio in corso d'anno.

ma ciò che non è incluso nel pacchetto... è solo grasso che cola.

[madvero]

per parlar d'aruba, ieri sera mi son loggata per consultare le statistiche e mi si era introiato il servizio.
ho mandato una mail all'assistenza (stanotte tipo alle tre).
oggi mi hanno risposto, e tutto funziona di nuovo.

ci avessero messo una settimana mi sarei incazzata, ma poche ore non son male come media di risposta per un servizio a pagamento.

invece stasera la mia mail (su yahoo) se n'è andata a donnine allegre.
LaunchEmptyResponse error e tanti saluti.
è un servizio gratuito, quindi mi tocca bestemmiare in silenzio e aspettare.

[mdini]

Forse non mi sono spiegato. Con Aruba ho un virtual hosting, su cui l'installazione del mio CMS preferito è sotto la mia unica responsabilità. Se l'attacco fosse stato un defacing del sito a causa di una falla dell'applicazione non avrei potuto far altro che dolermi della mia scelta, ma se viene attaccato il mio file system e modificati o cancellati o sostituiti dei file dell'applicazione, allora mi sento di dire che il problema è una falla nella gestione degli accessi al server. E qui direi che i clienti non hanno alcun modo di prevenire l'attacco se non cambiando provider. La custodia delle credenziali di accesso sono sotto la responsabilità del sistema di autenticazione e così anche i diritti di accesso alle varie porzioni del file system.

[freemind]