AAA [skype] software malevolo?

[cloc3]

incredibile.
_________________
vu vu vu
gentù
mi piaci tu

[.:chrome:.]

nulla di cui stupirsi, a mio avviso. anzi c'era da aspettarselo.
si sa che skype non è nulla di eccezionale sotto ogni punto di vista. non è l'unico programma a permettere la comunicazione vocale in tempo reale e a costi nulli, e la sua grande diffusione, avvenuta prettamente per passaparola, non è diversa da quella avvenuta con Windows. le alternative ci sono, e sono anche estremamente valide, ma la pigrizia degli utenti ha sempre impedito che queste prendessero il sopravvento su altre.
inoltre consideriamo una cosa: le alternative "open" che usano protocolli standard come SIP e H.323, a differenza di skype, non obbligano l'utente ad utilizzare uno specifico applicativo, ma permettono di usare quello che meglio si crede, al pari di quanto avviene con i browser web.
skype è il male, non è diverso da Microsoft; e non mi stupisco di questo, quanto più del fatto che gli utenti un po' più smaliziati abbiano avuto bisogno di questa prova per rendersene conto.

[edux]

A mio avviso questo allarmismo è esagerato, /etc/passwd è un file leggibile da chiunque e non vedo problemi di sicurezza in questo, skype probabilmente controlla quali sono gli utenti presenti sul sistema, ma in questo comportamento non vedo un grosso danno per l'utente.
Poi, che skype sia closed e faccia una serie di porcherie strane sul sistema (vedi notizia sulla lettura bios di qualche tempo fa) siamo d'accordo, però bisogna vedere se queste siano effettivamente dannose. Più di queste, a me infastidisce la qualità del software in sè, dato che è costantemente tra le applicazioni che consumano più cpu e memoria sulla mia macchina.
Detto questo, io farei volentieri a meno di skype, però per il lavoro che faccio mi è indispensabile, dato che la maggior parte dei clienti acquisiti e potenziali lo usa, e quindi finchè non si riesce a convincere tutti a passare al lato open-source del voip bisogna adattarsi, in un processo simile a quello che sta portando le aziende da windows a linux.
_________________
E' la seconda più grande testa di scimmia che abbia mai visto!
(Guybrush Threepwood)

[cloc3]

[fikiz]

siete proprio sicuri che sia skype a leggere /etc/passwd e non una libreria di sistema a cui si appoggia?

installate strace e provate questo comando:

[Cazzantonio]

Che legga passwd non mi pare un gran problema no? Perché vi scaldate tanto?
Contiene informazioni assolutamente innocue e comunque è world-readable per cui non vedo il problema.
Tutti i file world-readable della cartella /etc possono essere letti da qualsiasi programma... sono solo configurazioni e non ci dovrebbe essere nessuna informazione sensibile (almeno tra i file world-readable).

Mi sembra MOLTO più preoccupante il fatto che legga la cartella di firefox! I miei bookmark, la mia cronologia, la mia cache... queste sono informazioni sensibili che non dovrebbero essere lette da altri programmi o essere diffuse online.
Tra l'altro molti salvano in firefox anche le password di accesso a molti siti. Queste sono sicuramente informazioni più che sensibili.

Purtroppo non esiste un modo per restringere l'accesso ai dati sensibili nella propria home da parte dei programmi lanciati con il proprio utente, a parte crittarli. Basterebbe riservare a skype un utente separato e fare in modo di avviarlo solo con tale utente.

Qualcuno vuole aprire un bug su bugzilla per questo?
_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

[edux]

[Cazzantonio]

[lordalbert]

[!equilibrium]

[Apetrini]

Ma tempo fa non c'era un tizio che facendo reverse engenering è riuscito a "capire" il protocollo si skype e a creare un client non ufficiale?
Con questo ha poi fatto una chiamata ad uno dei "manager"(dico manager ma non ne sono sicuro) di skype per segnalare la cosa.

Sarebbe molto figo poter disporre della documentazione non-ufficiale che ha scritto quest'uomo; si potrebbero creare dei client skype open e sarebbe una gran cosa.


Che fine ha fatto? Non si è piu saputo nulla...
_________________
Linux ape 2.6.31-vanilla. Paludis since 0.28.0.

[.:chrome:.]

[comio]

[jordan83]

[djinnZ]

[comio]

[.:chrome:.]

[comio]

[.:chrome:.]

secondo me si sta andando un bel po' OT.
vediamo se posso rimediare: il mio intento era di fare una riflessione generica, ma comuqnue applicabile al contesto di un calcolatore personale, e non necessariamente di una macchina che offre servizi. in questo senso sono stato io il primo, forse, a scegliere l'esempio sbagliato (POP) ma è di contro vero che non è nemmeno possibile ricorrere a certi meccanismi di sicurezza usati abitualmente sui server, a meno di non rinunciare ad amenicoli tutt'altro che secondari come X11.
parlando di calcolatori personali, perché è questo il contesto in cui opera software come skype, è impensabile l'utilizzo di mezzi di sicurezza troppo complessi o capillari ed è più comune individuare possibili punti di attacco. qui vengono meno, secondo me, tutti i discorsi fatti sui timeout di connessione, sui servizi crittografati, ecc... quello che conta, in questi contesti, è la produttività e la velocità, che non vanno quasi mai d'accordo con queste cose.

quanto alla base teorica, per quanto mi riguarda sei stato chiarissimo. avevo commesso un grave errore nella stima della complessità del problema.
resta comunque il fatto che si tratta di una complessità non eccessiva, per le macchine oggi a disposizione, quando si conosce con esattezza lo username da attaccare. ricordo in tal proposito quanto fece scalpore il pentium-4 a 1,6 GHz che trovò, due anni fa, una collisione MD5 in tre ore di calcolo; e un algoritmo di costruzione di password, se ben scritto, è molto meno complesso!

[cloc3]

[fedeliallalinea]

[fikiz]

[djinnZ]

ripeto: che skype legga passwd non compromette il sistema ma compromette comunque la sicurezza ed è una violazione della privacy dell'utenza, perchè non ne sei informato e non hai ragione di prendere provvedimenti.
Avere indirettamente l'elenco dei dipendenti di una azienda è un esempio (@comio: lo so che c'è modo di ovviare tramite conf di smtp, samba, ldap, apache etc.) oppure mi viene a mente il mio vecchio provvider che in passwd registrava tutti gli utenti.
E ripeto che per quanto possa sembrare cretino in ambito "garante" c'è la tendenza a dare adito a riflessioni del genere (sempre secondo il modello di sicurezza più scasso tra quelli in ambito M$, basta pensare alla questione imbecille della doppia e tripla password bios/sistema/applicativo priva della specifica di disabilitare il boot da removibile), quindi è un problema. Non vi dimenticate che logica e competenza con la politica non sono mai andate d'accordo, anzi sono agli antipodi.

@comio: non mi pare ancora OT, stiamo discutendo del se e come skype sia un problema di sicurezza come da titolo del thread.

[Cazzantonio]

[randomaze]