Che poi gli italiani ci tengono all’Italia, gli piacerebbe pagare aziende italiane fornitori di servizi eccellenti, ma davvero pare facciano di tutto per costringere la gente a migrare verso hosting provider tedeschi o americani.

Trovate una discussione interessante sul forum messo a disposizione da badwarebusters.org, dove negli ultimi 3 giorni si sono ritrovati a chiedere aiuto numerosi webmaster che si son ritrovati con il proprio sito abbuiato da Google in quanto rilevata presenza di malware sulle proprie pagine, senza nemmeno che ci fosse l’evidenza di una compromissione del proprio CMS (o almeno così per la maggior parte dei casi è stato).

Quando poi qualcuno si è accorto che tutte le richieste di aiuto delle ultime 48 ore erano relative domini ospitati su Register.it, è cominciato il divertimento.
Ad ogni utente che apriva un ticket per segnalare un problema, veniva detto che i server Register.it rispettano tutti gli standard di sicurezza.

Come al solito, la storia si è chiusa con un “non è colpa nostra, ma adesso è tutto apposto”.

Non capiranno mai che io preferisco sapere cosa succede prima, durante e dopo, che vengano riconosciute le proprie lacune, che ognuno si impegni per far sì che il problema non si ripeta.

È così difficile?

UPDATE!
Oggi (21/12/2009) è arrivata una risposta ufficiante da Register.it, che trovate sempre nella solita discussione sopra citata.

Mi posso rimangiare la parte sulla trasparenza (anche se in ritardo di 4 giorni).
Non posso però transigere sulla Sicurezza.

Inviterei i tecnici che si occupano della gestione dell’infrastruttura di Register, a dare un occhio a mpm-itk, mpm-peruser, php-fpm, suphp, suexec o quant’altro serve per arrivare allo scopo dell’evitare il “tibucounochetibucotutti” (anche un bel chroot è sufficiente).

We will use a great tool for manage our git repositories: gitosis.

aptitude install gitosis sudo -H -u gitosis gitosis-init < SSH_KEY.pub
where ssh_key.pub is a file that contains a public rsa key generated with ssh-keygen (as default is saved on ~/.ssh/id_rsa.pub).
The key is used to authenticate the repositories admin, so can even be on another host with ssh access.

Now on your local machine (even different where gitosis was installed, but you need the private rsa key on it):
git clone gitosis@YOUR_SERVER_IP:gitosis-admin.git
This repository contains configuration data for gitosis, you will modify it, commit and push, and gitosis automatically reload itself.

Modify gitosis.conf:
[gitosis] [group gitosis-admin] writable = gitosis-admin members = scorp@antani [group developers] writable = sandbox members = scorp@antani

The group gitosis-admin is the one that can manage the gitosis configuration (we are doing it now).
The group developers i've added it's the one with all developers will use to access our repositories. You can even create many different groups for many different repositories.
Sandbox is the name of a testing git repository i am going to create (not exists yet, i've only specified that the user scorp@antani can push commits into).

To render effetive changes, do:
git commit -a -m "Allow scorp write access to sandbox" git push

Now let's try the new toy, we should initialize the sandbox repository:
mkdir sandbox cd sandbox git init git remote add origin gitosis@YOUR_SERVER_IP:sandbox.git touch helloworld.txt git add helloworld.txt git commit -m 'first test commit' git push origin master:refs/heads/master

Happy now? Good Coding.

Common errors

~/sandbox$ git push origin master:refs/heads/master No refs in common and none specified; doing nothing. Perhaps you should specify a branch such as 'master'. fatal: The remote end hung up unexpectedly error: failed to push some refs to 'gitosis@192.168.1.1:sandbox.git'

You should remember to commit changes before to push it ;)

References: http://scie.nti.st/2007/11/14/hosting-git-repositories-the-easy-and-secure-way

Succede che abbiamo scoperto che il nostro hosting provider di
professionale ha ben poco.

I problemi son cominciati da dopo le 12:30, quando ci siamo accorti
che era in atto un defacement (home page sostituita con quella che tu
hai visto) di tutti i siti ospitati dal server (non solo i nostri,
anche quelli di un altro centinaio di clienti).
Abbiamo subito aperto un ticket con priorità  massima, e non abbiamo
avuta dopo nessuna risposta.
Dopo circa un’ora, abbiamo provato a telefonare, e il centralino era già 
stato staccato.
Verso le 14 il server è stato messo fuori servizio, non abbiamo avuto
più nessuna notizia dal provider fino alle 16:30, quando è stata pubblicata una news:

Server cp1.***.it in manutenzione
Gentili clienti a seguito di un problema verificatosi sul server in
oggetto è in atto una manutenzione straordinaria.
Attualmente tutti i servizi sono stati ripristinati fatta eccezione
del server web che a breve verrà  riattivato.

Il “a breve”, sono state circa 4 ore dopo, pochi minuti dopo le 20, e
a quanto pare i loro sistemisti se ne sono andati senza manco aver
finito il lavoro. In tutto quest’arco di tempo abbiamo provato a
contattare il supporto tecnico senza avere nessuna risposta,
abbastanza esasperati abbiamo provato anche a chiamare il supporto
commerciale, che ovviamente erano all’oscuro di tutto, senza comunque
avere nessun tipo di risposta.

Evito di riportare il nome del provider per evitare di ritrovarmi con la solita fila di mail scritte da avvocati (sଠperchè ovviamente le grandi aziende hanno soldi per pagare avvocati ma non per assumere dei sistemisti che vanno oltre lo yum install), però vi dò il suggerimento che i tre asterischi sul nome non sono in quantità  casuale.

A me è successo.

Un mio utente pareva loro avesse scritto messaggi, su uno dei tanto forum che gestisco, che ledono la loro immagine con toni estremamente offensivi, pretendendo la loro rimozione immediata e che gli fornissi tutti i suoi dati in mio possesso.

Come ogni bravo admin, provvedo a cancellare un “maledetto il giorno in cui”, rispondo, e mi ricontatta un tipo dello staff tecnico.

Anche lui ribadisce tutta la sua schifiltosità  verso un accadimento del genere.

“Non siamo stati in alcun modo messi al corrente del fatto che si discutevano in un forum a nostra insaputa
indipendentemente dalla violenza delle espressioni verbali utilizzate”.

Parlare su un forum con PR6 è nell’ombra.

“I problemi e i danni ci sono stati e sono durati mesi da quanto abbiamo avuto modo di capire. Per noi quindi i problemi non sono finiti in quanto dobbiamo recuperare la fiducia persa in un attimo tramite il suo forum dopo anni di duro lavoro.”

O forse magari è colpa che eravate più adatti ad andare a coltivare rape invece di vendere pacchetti hosting (e pagare avvocati)?

Poichè quindi l’interessato è stato informato, in caso di richiesta dello stesso, sarebbe veramente utile per noi se lei richiedesse Nome e Cognome per comunicarceli.

E la privacy?

Quindi le chiedo gentilmente di non divulgare contenuti della nostra conversazione perchè non
sappiamo come questi potrebbero essere trattati da chi non vuole apparire con un volto.

Alla loro pare che ci tengano.

Poichè il suo portale ha rilevanza a livello nazionale, ed è un punto di riferimento per tutti i provider italiani che desiderano utilizzare questo CMS, sarebbe opportuno prevedere la registrazione degli utenti utilizzando
campi obbligatori come nome, cognome e indirizzo oltre ad incoraggiare gli utenti a contattare il proprio provider.

Ora sono io quello poco professionale.

Voi quando riterreste affidabili e degni di fiducia dei soggetti del genere?

ndr: è da un po’ che questo post era già  pronto, ho dovuto aspettare che la cache di google venisse ripulita da qualsiasi riferimento, cosଠevitiamo che vengano a scassare pure per questo (non metto affatto in dubbio che ne sarebbero capaci) :p

I corsi sono ricominciati e di conseguenza ho le mie buone 12 ore già  impegnate fra viaggio in auto, lezioni, laboratori e pranzi: non serve esser bravi matematici per arrivare alla conclusione che di tempo libero ne è rimasto veramente poco.

Stranamente, i corsi di questo semestre son fra i più interessanti (sarà  perchè dovrebbe esser virtualmente l’ultimo? LoL!): Basi di Dati (progettazione e gestione), Ingegneria del Software (modellazione e progettazione del software), Reti di Calcolatori (Internet, protocolli e webapps), Laboratorio di Programmazione di Rete (Java e Sockets).

Fra i progetti personali in corso e che devo completare il prima possibile c’è:

• CMS hosting gratuito su piattaforma PHP-Fusion.
• Community di Chat (ce ne sono a tonnellate, ma mi mancava come esperienza).
• Guida allo snellimento di Ubuntu (ancora non ho messo per iscritto un tubo).
• Trasferirmi a Pisa prima di Natale.

Non piangete… :D