log e password di inWind sul web

non sono sicuro di essere IT, pero' credo che la notizia sia di quelle che
fanno piangere per non ridere (ed e' davvero difficile riderci sopra)

Puntando il browser all'URL http://go.inwind.it:8386 si ha libero e
completo accesso a una quantita' sterminata di informazioni che dovrebbero
essere riservatissime (userid & password della nuova segreteria di wind,
*tutti* i dati inseriti dagli utenti che si registrano ad inWind e altre
cose da far rabbrividire...)

Ho informato Wind ieri sera e questa mattina cellularitalia.com ha
pubblicato un'articolo
(http://www.cellularitalia.com/news/wind050sicurezza.html) sull'argomento
con un estratto del piu' innoquo di questi file (oscurando i dati critici,
ovviamente). Dalle 10 di questa mattina il server restituisce 403 (piu' di
12 ore per reagire...si, sono ore notturne, ma wind non e' un provider di
campagna).

IMHO un errore lo si puo' anche fare, succede a tutti prima o poi, ma che
uno dei principali gestori italiani di telefonia mobile si affidi a
(ir)responsabili di sicurezza che fanno di queste cose mi pare francamente
assurdo. 
Possibile che la cultura della sicurezza, in Italia, sia davvero a questi
livelli?

ciao,
GMatte

-- 
Gian Luca Matteucci (GLM64-RIPE)

--------------                                       --------------
  PreSSo@net - La competenza in rete      http://www.presso.net/
  Tel: +39 0131 950 932                   Fax: +39 02 700 438 846
  GSM: +39 329 687 8213                   email: staff@presso.net
--------------                                       --------------


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List