No_LABS

Come consulente IT sono alla costante ricerca di soluzione che possano aiutare me e i miei clienti ad avere una più efficiente gestione della loro infrastruttura IT. Ultimamente mi sono trovato a discutere con alcuni clienti riguardo le modalità sicure di accesso remoto ai loro dati o sistemi, e spesso si pensa a soluzioni complesse e costose da implementare, mentre,  di recente, sono state introdotte delle soluzioni facili e sicure, che permettono di gestire in maniera veloce e immediata anche soluzioni molto complesse.
Proprio di recente, un cliente mi ha chiesto di implementare un accesso “più sicuro” al loro server SSH / SFTP,  per questo ho testato la soluzione dell’accesso OTP (one time password) di Secure Pass.
Secure Pass è un sistema di gestione delle identità “on the cloud” fornito in modalità SaaS (Software as a Service). L’implementazione è stata veramente facile e veloce, per ciò ho deciso di fare un how-to essenziale che spiegasse come funziona.

I requisiti richiesti sono veramente minimi, ecco quelli usati per il mio test

We have very small pre-requisites for this test/tutorial i used:

• Una macchina Ubuntu Server, con Server SSH abilitato e funzionante.
• Se non è già installata, serve la libreria libpam-radius-auth.
  potete facilmente verificare la presenza di pam_radius_auth.so in /lib/security
  altrimenti basta un semplice apt-get install libpam-radius-auth
• un account Secure Pass  e lo stesso nome utente sulla macchina e sugli utenti Secure Pass.

Siamo Pronti:

Add new device

Come primo passo, accediamo all’interfaccia di amministrazione Secure Pass e aggiungiamo un nuovo device.
Come mostrato nella figura, dobbiamo solo settare l’ IP Pubblico del server, un fully qualified domanin name (FQDN) e la secret pass per l’autenticazione Radius. Dopo l’aggiunta avremo un piccolo riassunto con i dati del device appena aggiunto.

Auth conf

A questo punto, possiamo loggarci sul server e configurare l’autenticazione radius.
Prendete il vostro editor preferito e aprite /etc/pam_radius_auth.conf , e aggiungete alla fine del file le seguenti linee

radius1.secure-pass.net secret 3
radius2.secure-pass.net secret 3

Ovviamente la “secret” è la stessa che abbiamo impostato sul sito Secure Pass; Dopo questo punto dobbiamo configurare la PAM per gestire correttamente l’autenticazione.

Per farlo, bisogna editare il file /etc/pam.d/common-auth, e modificare/aggiungere le seguenti linee

auth<-->sufficient<---->pam_radius_auth.so.
auth<-->[success=1 default=ignore]<---->pam_unix.so nullok_secure try_first_pass

OTP app per Android

E’ tutto! siete pronti per loggarvi via SSH al vostro sistema usando la combinazione user + OTP , E’ stato facile, vero?
La password OTP può essere generata da un token fisico ( le classiche “chiavette”), oppure da un apposita App disponibile per iOS e per Android, come nella foto.

As IT Consultant I’m costantly looking for solutions that can help my customers (and me too!) to have a more proficient , effective IT management. Sometime they think they need complex and expensive solutions to protect and enhance the access to their data, but often the solution is easy and secure. At this time, a customer ask me to implement a “more secure” access to a SSH/SFTP server, so i tested the OTP solution provided by Secure Pass.
Secure Pass is a identity management system on the cloud and provided as a SaaS (Software as a Service). The implementation was extremely fast and easy, so i decided to make this essential how-to to explain how it works.

We have very small pre-requisites for this test/tutorial i used:

•  Ubuntu Server, with ssh enabled and working
• If not already installed, you need the libpam-radius-auth library
  (you can easily verify it to check for pam_radius_auth.so presence in /lib/security
  otherwhise simply do an apt-get install libpam-radius-auth)
• A Secure Pass account and a same-name user account on the server

Ok ready.

At first step, we log in to the SecurePass site to configure a new device.

Add new device

As showed in picture, we only need to set the public IP Address of the server, a fully qualified domain name (FQDN), and the secret password for the radius authentication.After completion we get a small recap of the already created device.
At this point, we can log in to the server to configure the radius authentication.
pick your favourite editor to open /etc/pam_radius_auth.conf and add, at the end of the file the following lines

radius1.secure-pass.net secret 3
radius2.secure-pass.net secret 3

auth conf file

Of course the “secret” is the same we have set up on the secure-pass site
beyond this point we need to configure the PAM to correct manage the authentication.

Pick up again an editor and open /etc/pam.d/common-auth

we have to setup two simple lines:

auth<-->sufficient<---->pam_radius_auth.so.
auth<-->[success=1 default=ignore]<---->pam_unix.so nullok_secure try_first_pass

That’s all! You are now ready to log in to your system using the combination user + OTP Password! Easy, isn’t ?

OTP app for android

OTP can be provided by a phisical token or, like in this case, by the dedicated Android App
as showed in the photo.

Facebook, Twitter, FriendFeed, Linkedin…..se avete una piccola e media impresa e non avete mai sentito nessuna delle parole di qui sopra, allora  cominciate a preoccuparvi.

E’ un dato di fatto che i social network, le reti sociali, siano entrate in modo preponderante nella realtà quotidiana, influenzando i nostri comportamenti, le nostre abitudini e anche i nostri acquisti.

Di questo cambiamento e delle potenzialità di questi nuovi canali comunicativi sono state protagoniste fin dall’inizio le grosse aziende, dapprima americane, poi europee che hanno investito tempo e risorse in questi nuovi canali comunicativi, vediamo di capirne il perché.

I vantaggi sono immediati e visibili; si ha a che fare con un ambiente aperto e amichevole per l’utente, già abituato all’interfaccia e al tipo di iterazione, si ha un rapporto diretto con il cliente / utente, che ha la possibilità di esporre direttamente il proprio quesito, la propria critica e, perché no, i propri complimenti.

Ovviamente il passaggio a questo tipo di canali obbliga ad un cambio di mentalità da parte delle imprese o pubbliche amministrazioni che siano; Non più chiusi nella torre d’avorio ma aperti al mondo e all’iterazione. Questo tipo di passaggio spesso spaventa, e ci sono stati in passato casi di chiusura prematura per alcuni marchi che avevano gestito male la loro immagine, ma soprattutto erano poco inclini alle critiche, o comunque avevano male impostato la loro strategia comunicativa.

L’errore più comune è quello di pensare che ogni social network sia uguale all’altro, mentre ognuno ha le sue caratteristiche, le sue peculiarità e scopi e sopratutto un diverso “modus operandi”. Per fare un esempio concreto, la gestione mediatica di una pagina Facebook è diversa dalla gestione di un account Twitter. La tipologia di utenti è qualitativamente diversa, sebbene ci siano, ovviamente, utenti comuni ai due mondi, e in diverso modo vanno trattati e seguiti; l’utente Facebook si aspetta di trovare sulla pagina di un Azienda informazioni, immagini, video, promozioni relative a quell’azienda e ai suoi prodotti; l’utente Twitter, invece, cerca più il dialogo diretto con qualcuno di quell’azienda, aspetta spesso delle risposte a delle domande precise e mirate, e non risparmia di far saper  all’Azienda ( e al resto del mondo ) le sue critiche e perplessità. Questo esempio fa capire perché la prima soluzione venga usata spesso come vetrina istituzionale mentre la seconda venga più utilizzata per il customer care e le relazioni pubbliche, appunto per la sua immediatezza.

Fino ad adesso abbiamo parlato di grandi aziende, ma, perché non portare tutto il potenziale delle reti sociali alle piccole e medie imprese? Cosa ancora frena le PMI e le PA su questo fronte?

Non esiste in realtà una sola risposta, ma diverse e molteplici risposte, come diversi e molteplici sono i fattori influenzanti in queste scelte. Parlando di piccole e medie imprese, spesso a conduzione famigliare e padronale, va marcato purtroppo il fattore generazionale, la diffidenza verso i nuovi canali comunicativi ed una certa “pigrizia” che induce a restare sui mezzi tradizionali. Un altro motivo di dubbio è il fatto che questo tipo di attività sia vista ancora come una “perdita di tempo” dovuta al fatto, e questo è indubbio, che i social networks siano nati per scopi diversi e poi abbiano puntato sulla clientela più business. Fanno eccezione alcune reti, ad esempio Linkedin, che fin da subito sono nate per creare relazioni di tipo professionale.

Come procedere, allora? Sicuramente non bisogna improvvisare, ma studiare insieme ad un esperto la propria strategia comunicativa che integri, magari, sito aziendale e social network, stabilendo cosa si vuole promuovere e chi si vuole raggiungere; In secondo luogo bisogna pensare che, per avere un ritorno nel tempo, bisogna investire necessariamente del tempo e delle risorse nella cura e  nell’esposizione dei contenuti, cercando di mantenere quella che potrebbe essere chiamata una “linea editoriale”; E importante, insomma mantenere alta l’attenzione verso il cliente o utente, e, nel caso di istituzioni, mantenere il focus sul servizio da promuovere, senza scadere in divagazioni. Avendo a disposizione un canale simile,infatti, è facile rischiare di finire fuori tema o promuovere iniziative o contenuti non pertinenti. Gli utenti mal sopportano messaggi troppo insistenti o incoerenti, o peggio ancora messaggi visibilmente ed esplicitamente  “pubblicitari”.

Alla riprova di quanto detto sopra, esistono casi di successo internazionali, ma anche italiani,  di grandi e piccole aziende che hanno puntato con decisione e con determinazione sull’integrazione tra i diversi canali, tra essi i vari operatori di telefonia e servizi, per restare tra i grandi, ma anche piccole e medie imprese del terziario, o del terzo settore, o ancora di imprese artigiane che usano abitualmente le reti sociali come veicolo di promozione per raggiungere un settore di pubblico che altrimenti non sarebbe stato accessibile.

Per quanto riguarda le PA, al di là di casi isolati, si sta verificando una spinta dal basso, ovvero dai piccoli comuni, ma anche da enti regionali, più flessibili e pronti al cambiamento, che stanno facendo dei social networks il loro canale di comunicazione prioritario, tra i vari casi possiamo citare l’ente Turismo Emilia Romagna,  presente attivamente con blog, Facebook, Twitter ed altre reti, e alcuni comuni della costa Romagnola, come il comune di Rimini, tra i primi comuni ad usare attivamente Twitter per le sue comunicazioni.

L’uso generale di questi canali rimane ancora limitato, e ancora molti comuni, enti, associazioni, faticano a  capirne le potenzialità e i vantaggi, anche in termini di investimento,veramente minimo, e di ritorno economico, decisamente alto rispetto all’investimento.

La speranza è quella di una maggiore apertura e di una presa di coscienza su dove si sta spostando la comunicazione, sempre più lontana dai canali tradizionali, e sempre più verso i nuovi media.

articolo apparso su technologybiz.it

Spesso si tende a sottovalutare i Backup e i salvataggi dei siti, demandando questa “responsabilità” al Gestore, all’Amministratore o semplicemente ignorando il problema e sperando che le cose vadano sempre bene. Come abbiamo avuto modo di vedere anche ultimamente, con i casi Amazon e Aruba, le cose NON vanno sempre bene, ed è quindi sempre meglio tutelarsi con strategie di Backup più o meno complesse.
Quello proposto oggi è un accorgimento abbastanza semplice e comodo, anche se non rappresenta, va ben detto, una soluzione definitiva o al top, ma comunque una soluzione alternativa facilmente attuabile in ogni sito WordPress.
Si tratta, semplicemente, di un plugin che si occupa di fare un backup schedulato (giornaliero, settimanale, o ad altri intervalli impostabili) sincronizzandosi con un Account (o meglio una Directory) di Dropbox.

Il funzionamento è veramente semplice:  Una volta installato e attivato il plugin (che si chiama per l’appunto WordPress Backup to Dropbox) cercandolo direttamente dalla sezione Plugins, o scaricandolo dal sito di WordPress, viene chiesta l’autorizzazione all’accesso di un account DropBox, come succede per altre applicazioni. Una volta data l’autorizzazione ci si trova davanti ad una semplice schermata di configurazione (vedi immagine) dove impostare l’intervallo e posizione di salvataggio dei files, sia locale che “remoto” su Dropbox. Se si imposta un nome di directory non esistente verrà automaticamente creato. E’ interessante notare che, a differenza di altri Plugin provati, questo provvede a fare un salvataggio di TUTTO il sito, salvando sia i contenuti (file di configurazione, uploads, ecc) sia il database, che provvede ad esportare in forma di query SQL, in un apposita directory, e quindi già pronto per un eventuale restore, in caso di necessità.

Un accorgimento ulteriore, che ho preso, è quello di creare un account Dropbox separato per il salvataggio di un paio di piccoli siti (ricordiamo che la dimensione per l’account “free” di Dropbox è di 2 Gb) e di far salvare ogni sito in una sottocartella separata; dopodiché ho condiviso la cartella dei backup con il mio account principale e, et voilà, ho sempre sotto controllo la situazione del backup da un solo punto.

La notizia era nell’aria da un po’,  alcuni operatori avevano già segnalato in passato alcuni “movimenti sospetti” di Big G, con improvvisi cambi di traffico su alcuni siti, ma, a quanto pare, Google Panda ( ovvero con il “Panda Algorithm” ) è ufficialmente arrivato in Italia. Ad annunciarlo il Blog ufficiale in Italiano di Google.

Cosa cambia, nella sostanza? Secondo quanto riportato da Google ci sarà una migliore indicizzazione dei siti, in relazione alla qualità dei loro contenuti, penalizzando siti poveri e di poche righe ( ma anche troppo ricchi ma con contenuti ripetuti ).

Una mossa , dunque che cerca di contrastare ancor più i siti creati ad hoc per attirare traffico e privilegiare i contenuti.
Google da tempo è impegnata su questo fronte, sia con le famose “webmaster lessons”  di Matt Cutts, ma anche,  più recentemente, con indicazioni precise sulla realizzazione di siti di qualità.

Staremo a vedere come reagiranno i SEO Italiani ( tutti in vacanza? ) alla Notizia.

clicca per il video

Un piccolo aggiornamento per quanto riguarda la partecipazione mia e di Claudio Poli alla trasmissione “Smart&App” di La3TV.
Se vi siete persi la diretta video o streaming , potete trovare la registrazione della puntata nel loro archivio .

Attenzione, per visualizzare il video è necessario installare Microsoft Silverlight.( si, lo so.. non dite niente…)  Se non volete installarvi Silverlight potete cliccare direttamente sullo streaming Wmv ( potete usare il browser, oppure VLC , consigliato ).

Buona Visione! commenti , critiche e , perché no, complimenti, sono graditi.

Una piccola nota:

Mercoledi 13 Luglio , io e il mio amico Claudio Poli, creatore del progetto AudioBox.Fm, saremo ospiti della trasmissione Smart&App, in onda sul canale 143 di Sky, per parlare di Open Source, Free Software e dei nuovi progetti di Claudio.

il tutto a partire dalle 16h30 e in replica alle 20h30

Non Mancate!

La crescente diffusione di servizi cloud gratuiti per il salvataggio e la condivisione di file ( vedi Dropbox e similari ) sta aprendo nuove prospettive e nuove problematiche per quanto riguarda la sicurezza dei nostri dati sulla rete.
Di recente proprio Dropbox, il servizio forse più popolare e diffuso è stato oggetto di un indagine dell’ FTC ( Federal Trade Commission ) per quanto riguarda le metodologie e le tecniche utilizzate per la protezione dei dati dei proprio utenti.

L’accusa principale è che Dropbox permetta a soggetti terzi di avere accesso ai nostri dati, anche se ufficialmente solo per usi “governativi” ( per esempio se l’utente è sottoposto ad indagine giudiziaria  ) ma anche per usi non precisati ad altri enti Americani oltre che ad un “numero limitato di dipendenti” per i soli usi di manutenzione e controllo.
Dropbox si è subito affrettata a precisare la sua versione , oltre che a presentare una variazione del TOS ( Term of Service ), ovvero quella lunga lista di articoli che dovremmo leggere ogni volta che accettiamo un servizio.

I numeri di Dropbox sono impressionanti : in soli quattro anni l’azienda ha raggiunto i 25 Milioni di Utenti , ogni giorno vengono salvati 300 Milioni di files , con una media di un milione di files ogni 5 minuti. si stima che, in totale , gli utenti abbiano salvato 100 Miliardi di files.
La facilità d’uso e la disponibilità del client per molte piattaforme ( comprese quelle mobili ) hanno fatto il successo di questo servizio, che permette di “buttare via” la chiavetta usb che di solito usiamo per portarci appresso alcuni dati.
La facilità e e la flessibilità del servizio non deve dunque farci dimenticare l’attenzione che dobbiamo dare ai nostri dati. Non Nel caso di dati sensibili, o dati a cui teniamo particolarmente, sarà utile utilizzare altri metodi di memorizzazione,utilizzare diverse tipologie di backup, oltre che proteggere i dati con una cifratura che protegga i documenti da occhi “indiscreti”.
Va ricordato che la stessa precauzione andrebbe presa anche per le chiavette Usb o gli altri dispositivi di memorizzazione esterna, che, proprio per la loro natura mobile sono più soggetti a guasti , perdite, furti , ecc.
Attenzione, però, spesso si eccede nella direzione opposta, con backup continui e dappertutto, su dispositivi diversi, ma senza una logica precisa; Questo atteggiamento può rivelarsi addirittura controproducente, con duplicazione di dati inutili, perdita di spazio utile ed un eccessiva ridondanza dei dati.

La regola principale da seguire è sempre quella del buon senso: vanno individuati i dati veramente importanti da salvare e i media più adatti a salvare quel tipo di dati, in base appunto all’importanza, alla dimensione, all’uso, e anche in base al “per quanto tempo” che molti spesso non considerano.

Se non avete mai pensato a tutto questo, allora è venuto il momento di pensarci sul serio

NoLABS offre gratuitamente il servizio di ITScreening , un sistema efficace di verifica e di risk assessment  della vostra infrastruttura e dei vostri dati. Cosa aspetti? chiama oggi per concordare una visita presso la tua sede.

E’ di queste ore la notizia che , a causa di un incendio presso la server farm di Aruba ( aruba.it ) mezza italia , o almeno quella che usava i servizi aruba , sia ferma. La notizia arriva pochi giorni dopo un alto “disastro” , questa volta avvenuto al più grande fornitore di servizi Cloud, Amazon , che ha tenuto fermi servizi e siti per quasi sei ore , a causa di un guasto in uno dei suoi datacenter in Virginia. I casi sono estremamente diversi , il primo , Aruba, è un fornitore Italiano di servizi classificabile come “economico” ma molto usato , da privati ma anche da professionisti ed enti , il secondo è un fornitore globale di servizi , con datacenter sparsi in mezzo mondo , e quindi con livelli di sicurezza e ridondanza diversi. Tutti e due , però , hanno da insegnarci una cosa : bisogna essere preparati per il peggio , anche nel nostro piccolo. I servizi Internet sono oramai come il gas , l’acqua e la luce , siamo abituati a premere un interruttore e vedere la lampadina che si accende, e lo stesso ci aspettiamo quando andiamo a controllare la posta , o il nostro siito aziendale , la mancanza di connessione da subito fastidio, spesso si inveisce contro i fornitori , ma ci siamo mai fermati a pensare che lo stesso potrebbe accadere a noi ? ai nostri server e ai nostri dati ?
Un incendio, un allagamento , anche un semplice black-out possono compromettere il nostro lavoro di giorni e per giorni.
Bisogna valutare attentamente le nostre risorse e attrezzarci per il peggio. Come? Gli strumenti ci sono , dai backup programmati e archiviati in posti sicuri alla replicazione dei dati in diverse locazioni fisiche, al semplice UPS ( gruppo di continuità ) che puo veramente “salvarci la giornata” . Prima di agire , magari sull’onda dell’emozione , bisogna analizzare e pianificare gli interventi.
Per questo No_LABS ti propone il suo ITScreening , gratutito e senza impegno , per aiutarti a controllare e a pianificare la tua infrastruttura IT ed il futuro dei tuoi dati.

Contattaci oggi stesso, non aspettare!