In relazione ai disservizi che in questi giorni hanno interessato le PEC Legailmail, ancorchè il Foro di Trieste sia stato solo marginalmente interessato, pubblichiamo la dichiarazione di Visura ai fini di eventuali istanze di rimessione in termini.
Con l'occasione, ricordiamo a tutti gli Iscritti l'importanza di cambiare con frequenza le password dei propri accout, scegliendone una diversa per ogni portale, e di generarle secondo criteri di sicurezza minimi (almeno 8 elementi, con l'inclusione di caratteri maiuscoli, speciali e numeri), avendo cura di non conservane copia "in chiaro" all'interno del computer o su post-it attaccati al medesimo.
Approfittiamo inoltre per riportare in calce la comunicazione di DCS (fornitore dell'applicativo Riconosco) e di OpenDotCom (Consolle Avvocato) in relazione all'attacco Anonymous.
Buongiorno,
In merito all’oggetto per quanto ci riguarda non abbiamo evidenza di avvenute intrusioni nei nostri sistemi informatici;
a scopo puramente cautelativo abbiamo cambiato d’ufficio le password di accesso ai nostri gestionali riscontrate troppo deboli; le password sono ovviamente criptate; per il controllo vengono utilizzati algoritmi che utilizzano tecniche di analisi simili ai più comuni software utilizzati dagli hacker per decriptare le password. In questo modo ci vengono segnalate le password ritenute “deboli”.
Avendo analizzato le tecniche utilizzate per attaccare la concorrenza abbiamo ritenuto di spegnere, cautelarmente e solo per la nottata, l’applicativo Riconosco “vecchia versione” che è l’unico applicativo utilizzante lo stesso stack tecnologico dei prodotti sotto attacco della concorrenza.
Ricordiamo che tale applicativo, scritto in php, è in fase di progressiva migrazione alla nuova versione java; migrazione che contiamo di completare entro settembre p.v..
Per quanto riguarda i siti web, per chi si affida alla nostra azienda, ricordiamo che sono ormai tutti mantenuti con il cms Drupal che provvediamo periodicamente ad aggiornane con tutte le patch di sicurezza; l’ultimo aggiornamento è del marzo u.s.
In merito ai siti il consiglio è comunque quello di mantenete solo contenuti informativi e “vetrina”; i siti infatti sono per definizione aperti e quindi assolutamente “poco sicuri”.
Ultima nota in merito al gestionale Iscrivo e alla sezione motore albo che tutti linkate al vostro sito:
E’ un prodotto sviluppato utilizzando tecnologie java enterprise, i cui server applicativi sono posti dietro a una serie di proxy tenuti costantemente aggiornati.
Tutte le macchine di frontend (i proxy), le macchine applicative e quelle contenenti i dati, vengono monitorate costantemente da un sistema HIDS (Host-based Intrusion Detection System), che analizza il traffico in ingresso e filtra automaticamente attacchi di tipo noto, che rappresentano la maggioranza delle tecniche utilizzate per tentare di introdursi illecitamente nei sistemi informatici.
Sempre questo tipo di software verifica periodicamente i cambiamenti nei file system dei server identificando e segnalando cambiamenti ai file che rappresentano le “tracce informatiche” lasciate dagli hacker dopo un’intrusione (e.g. rootkit e file di sicurezza modificati senza autorizzazione).
La mancanza, in tal senso, di ogni evidenza di avvenuta intrusione ci rassicura sul fatto che i nostri sistemi sono rimasti sicuri e non interessati all’attacco in oggetto.
La stessa tecnologia è usata per i gestionali CDD, Concilio, OCC, Contabilità, OdG-gestione Ordine del giorno, nuovo Riconosco, pagoPa e per la fatturazione elettronica, ricezione Ente PA ed emissione verso tutti.
In generale, ricordiamo e invitiamo a cambiare le password inserendo un minimo di 8 caratteri tra lettere, numeri, maiuscole e simboli speciali (quali ad esempio $,%,&,!,?).
Evidenziamo inoltre che non è mai buona prassi usare la stessa password per servizi diversi, poiché la compromissione delle credenziali su un sistema di un gestore, renderebbe possibile teoricamente per gli attaccanti di introdursi più facilmente anche in sistemi gestiti da un altro gestore, indipendentemente dalla bontà dei dispositivi di sicurezza adottati.
Sicuramente sarebbe utile una circolare agli iscritti rivolta a far rafforzare le password di applicativi e caselle PEC da loro utilizzate
Restiamo a disposizione per ogni ulteriore chiarimento e porgiamo i nostri migliori saluti
DCS Software e Servizi srl
L'Amministratore Unico
Gian Carlo Di Clemente
Egregi Referenti informatici
vi invitiamo a ricordare a tutti i vostri iscritti di procedere periodicamente alla modifica della password della pec, trattandosi di prassi basilare nell’utilizzo dei sistemi informatici e a tutela della professione.
Precisiamo che la modifica della password pec deve essere effettuata da web mail e non in risposta ad eventuali mail di sollecito di cambio password di varia ed equivoca provenienza che potrebbero in realtà essere tentativi di carpire la password stessa
Pensiamo che questo sia un modo semplice ma efficace per evitare le conseguenze degli attacchi informatici subiti da alcuni gestori pec, come il recentissimo caso di Lextel.
Con i migliori saluti
Elena Cometto
