Re: VNC e perplessita'

> il vnc puo' essere eseguito come servizio, e non appare quindi l'icona.

E questo e' un problema...

> Secondo me come dice [G]i4n e' una cosa comunque ardua passare il propio tempo ad analizzare ogni schermata dei pc del lab; magari ha visto una connessione in uscita dal laboratorio verso una 22 e ha quindi guardato che facevi...

Il mio sospetto e' che il tecnico in questione "monitorizzi" il video di 
quegli utenti che, per un motivo o per l'altro, gli risultino piu' 
interessanti. Mi spiego: lui mi conosce, e sa che sono uno di quelli 
"bravi" (ovviamente l'essere uno di quelli "bravi" dipende strettamente 
dall'ambiente in cui viene fatta questa valutazione, li' dentro sono un 
dio...), quindi si e' interessato a quello che io stavo facendo sulla 
mia postazione. Io conosco lui e so che non e' in grado di vedere il 
traffico in uscita da una postazione, e quindi non puo' aver notato la 
connessione ssh che ho fatto (lasciamo perdere le considerazioni 
personali sulla sua preparazione come tecnico). In altri casi (ben piu' 
comuni), l'interesse del tecnico e' legato all'aspetto fisico 
dell'utentA in questione. Infine, in alcuni rari casi, il tecnico va a 
ricordare a questo o quell'utente che non e' consentito giocare con i 
computer del laboratorio. Ora mi chiedo: se io devo monitorare un utente 
ed impedirgli un uso improprio delle strutture informatiche (cosa 
proibita dal regolamento) ho molti mezzi per farlo. Posso rimuovere i 
giochi standard di windows, impedire all'utente di installare software, 
impedirgli di eseguire software diverso da quello autorizzato (per 
limitare l'uso di sw quali putty, che non richiedono installazione), 
filtrare il traffico in uscita per consentire solo determinate porte, 
impedire connessioni in entrata, far passare tutto da transparent proxy 
e mettere squidguard, con qualche acl in piu' per bloccare siti con 
giochi in flash e java, ecc. Niente di galattico, comunque. Andare a 
vedere l'attivita' di un utente senza che questo possa accorgersene 
(l'icona che da bianca diventa nera non e' un buon indicatore per 
l'utente medio di quell'aula) e poter vedere qualsiasi cosa questi abbia 
a video eccede un po' quello che e' il monitoraggio dell'attivita' 
dell'utente per impedire l'uso improprio del sistema, o sbaglio?

Il regolamento inoltre dice che il tecnico puo' leggere il contenuto 
delle caselle di posta elettronica. Quelle sul suo server, aggiungerei 
io, non quelle personali degli utenti e poste su server esterni, cosa 
che lui puo' fare (e regolarmente fa).

> Inoltre imho mi pare assolutamente scorretto e perseguibile come comportamento, in quanto puo' accedere a tuoi dati sensibili personali.

Infatti, quello di cui ho bisogno prima di scrivere una bella lettera a 
chi di dovere e' l'elenco preciso degli articoli di legge che questo suo 
comportamento viola, cosa che mi procurero' al piu' presto...
Grazie a tutti
Michele


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List