Accesso a sito web ancora online ma non più raggiungibile è abusivo?

[t***@gmail.com]

Alcune sere fa stavo discutendo con un amico webmaster che si e' ritrovato un anomalo aumento di traffico su un sito di cui da poco ha preso la gestione, in aree che non pensava fossero piu' raggiungibili da rete, e ci stavamo chiedendo (a tempo perso, il proprietario del sito non aveva comunque intenzione di fare azioni legali) se alcuni di questi accessi potessero configurare accesso abusivo ad un sistema informatico.

In pratica (semplificando) la home del sito era la pagina A, da questa si arrivava a B e da li' a C, D, E, ecc... C a sua volta conteneva link a diversi file presenti sullo spazio dell'hosting (documenti pdf, foto sia presenti nel testo come immagini sia linkate, ecc..).

Il tutto era visibile liberamente (ma non indicizzato da google) fino ad alcuni mesi fa, poi, trovando alcune delle foto in giro per la rete senza citazione della provenienza (men che meno dell'autore) l'autore del sito aveva chiesto al webmaster di allora di proteggere C ed alcune (ma non tutte) altre pagine con una password che sarebbe variata periodicamente per restingere l'accesso solo a chi lo aveva richiesto esplicitamente e poter fare quindi una qualche forma di selezione. In pratica da B occorre inserire una parola chiave in un form (non so pero' come la cosa sia gestita tecnicamente) e questo permette di accedere alla nuova locazione delle pagine protette (che come contenuti sono rimaste invariate, a parte un disclaimer che ricorda di non diffondere i materiali). Altre pagine (mettiamo D ed E) sono rimaste visibili a tutti.

Il fatto e' che sia i pdf che le immagini linkate in C sono rimaste nella locazione vecchia, per cui chi aveva messo direttamente questi indirizzi nei bookmark o (come sembra sia successo, da qui le visite inaspettate) aveva postato su forum e ng i vecchi link, ha continuato ad accedere a quei file anche se C non e' piu' raggiungibile liberamente tramite la normale navigazione del sito (anzi, magari l'utente, non itneressato al resto del sito, non si accorge neppure che la struttura e' cambiata ed ora serve la password). Ad "aggravare" la situazione il fatto che i file fossero in una "directory aperta", nel senso che cancellando il nome del file dall'indirizzo il brower, invece di restituire una pagina di errore, restituisce la directory (e le varie sottodirectory) in cui sono contenuti i file, consentendo quindi l'accesso anche agli altri (compresi eventuali file neppure piu' linkati nelle pagine web ma rimasti sullo spazio dell'hosting).

Ora il 615-ter parla di "Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo".

Ora, in questo caso c'e' la password che protegge la pagina C e la non indicizzazione dei dati da parte dei motori di ricerca, per cui la volontà di limitare l'accesso c'e', ma d'altro canto i file erano precedentemente accessibili e sono stati mantenuti nella vecchia cartella accessibile direttamente senza neppure passare per il sito.

Per ipotesi, anche se fossero stati spostati in una nuova cartella, essendo la struttura del sito configurata (ora non piu') come aperta, chiunque si fosse accorto della cosa avrebbe potuto raggiungerli con un po' di tentativi anche nella locazione nuova, e sempre senza passare per la pagina B che chiedeva la password ed esplicitava la nuova volontà di limitarne l'accesso. Idem arrivandoci da una delle pagine visibili e non protette: si toglie il nome del file, si vede che la struttura delle cartelle è navigabile, si naviga in queste, ma non si puo' sapere se i file presenti sono linkati o meno da una delle pagine protette, senza ovviamente averle viste precedentemente.

Pareri?

[Piergiorgio Sartor]

On 10/11/2012 03:41 PM, ***@gmail.com wrote:
[...]

Secondo me, a parte la questione legale, chi ha
protetto C non lo ha fatto a dovere.

I link sottostanti non devono essere piu` accessibili,
ne` indirettamente (via C) ne` direttamente.

Per me non e` "protezione", quella.

bye,

[pot (Francesco Potortì)]

Post by Piergiorgio Sartor
[...]
Secondo me, a parte la questione legale, chi ha
protetto C non lo ha fatto a dovere.
I link sottostanti non devono essere piu` accessibili,
ne` indirettamente (via C) ne` direttamente.
Per me non e` "protezione", quella.

Condivido.

[t***@gmail.com]

Post by Piergiorgio Sartor
Secondo me, a parte la questione legale, chi ha
protetto C non lo ha fatto a dovere.

Si', quella è la tesi che ha sostenuto il mio amico (il nuovo webmaster) con l'autore del sito. Per quello che si è capito il vecchio webmaster aveva usato un qualche script/modulo "precotto" che permetteva di gestire la questione password, ma non aveva pensato a configurare anche l'accesso alle cartelle, contando sul fatto che la non indicizzazione avrebbe comunque impedito di accedere ai file bypassando la pagina C.

[Crononauta]

Post by Piergiorgio Sartor
[...]
Secondo me, a parte la questione legale, chi ha
protetto C non lo ha fatto a dovere.
I link sottostanti non devono essere piu` accessibili,
ne` indirettamente (via C) ne` direttamente.
Per me non e` "protezione", quella.

Quoto.

E mancando qualsiasi tipo di protezione, ma soprattutto essendo
accessibile pubblicamente e senza necessariamente passare dalla pagina
di autenticazione, viene meno ogni discorso sull'"accesso abusivo",
visto che chi accede può, appunto, ignorare del tutto che vi era una
qualche volontà di limitare l'accesso.

Infatti chi aveva linkato, legittimamente, i percorsi diretti, può
ancora accedere liberamente ai contenuti ignorando del tutto che nel
frattempo sono state "poste delle limitazioni".

[Leonardo Serni]

Post by t***@gmail.com
Ora il 615-ter parla di "Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo".
Ora, in questo caso c'e' la password che protegge la pagina C e la non indicizzazione dei dati da parte dei motori di ricerca, per cui la volontà di limitare l'accesso c'e', ma d'altro canto i file erano precedentemente accessibili e sono stati mantenuti nella vecchia cartella accessibile direttamente senza neppure passare per il

sito.

Post by t***@gmail.com
Per ipotesi, anche se fossero stati spostati in una nuova cartella, essendo la struttura del sito configurata (ora non piu') come aperta, chiunque si fosse accorto della cosa avrebbe potuto raggiungerli con un po' di tentativi anche nella locazione nuova, e sempre senza passare per la pagina B che chiedeva la password ed

esplicitava la nuova volontà di limitarne l'accesso.

Si', ma nel primo caso non e' dimostrabile il dolo, nel secondo uno che vuole
raggiungere un file, si becca un "Not found" o una password, e insiste fino a
che lo ritrova (anziche' fare un search sul sito e beccarsi la password), NON
puo' dire "Ah, ma io non sapevo".

Se metti il cartello VIETATO L'ACCESSO sulla strada principale e non pure sul
viottolo secondario, chi abitava da quella parte non e' tenuto a saper nulla;
ma se lo metti davanti e dietro, e uno entra da un buco nella rete, dire "Ah,
ma nel punto del buco le misure di sicurezza mica c'erano - apposta si chiama
'buco'!" gli serve a ben poco :-)

Quanto meno lo obblighi a inventarsi una storia bella fantasiosa, ecco.

Leonardo

[t***@gmail.com]

Post by Leonardo Serni
Si', ma nel primo caso non e' dimostrabile il dolo, nel secondo uno che vuole
raggiungere un file, si becca un "Not found" o una password, e insiste fino a
che lo ritrova (anziche' fare un search sul sito e beccarsi la password), NON
puo' dire "Ah, ma io non sapevo".

Il fatto in questo caso è che gli unici che si beccavano il 404 file not found erano quelli che avevano seguito un link alla vecchia pagina C. Chi aveva linkato direttamente uno dei file accedeva a quelli senza nessun messaggio di errore e da questi (o dal not found per la pagina), cancellando semplicemente il nome del file, si poteva navigare nelle cartelle del sito come se fosse un vecchio server ftp pubblico, senza mai ricevere il minimo messaggio di errore o indicazioni che i file che si stavano osservando erano linkati solo da pagine protette. Non era necessario fare piu' prove per accedere a questi o alla directory.

Post by Leonardo Serni
Se metti il cartello VIETATO L'ACCESSO sulla strada principale e non pure sul
viottolo secondario, chi abitava da quella parte non e' tenuto a saper nulla;
ma se lo metti davanti e dietro, e uno entra da un buco nella rete, dire "Ah,
ma nel punto del buco le misure di sicurezza mica c'erano - apposta si chiama
'buco'!" gli serve a ben poco :-)

Qui il problema (per seguire il paragone) e' che il vecchio webmaster aveva cambiato il cancello che da sulla strada principale mettendocene uno blindato con tanto di muro a copertura totale e cartello di divieto, ma poi aveva lasciato gli altri 3 lati del giardino completamente senza muri o reti e con la parte anteriore che, se dalla strada risultava occultata, in realtà continuava ad essere completamente visibile ed accessibile da chi sapeva (o scopriva per caso) che gli altri 3 lati erano aperti.

[Crononauta]

Post by Leonardo Serni
Si', ma nel primo caso non e' dimostrabile il dolo, nel secondo uno che vuole
raggiungere un file, si becca un "Not found" o una password, e insiste fino a
che lo ritrova (anziche' fare un search sul sito e beccarsi la password), NON
puo' dire "Ah, ma io non sapevo".

Mi dovresti però spiegare sulla base di cosa uno debba dedurre che "404-not found" significhi "non voglio che la gente acceda a questi contenuti", esplicitamente o implicitamente.

"404-not found" è semplicemente l'indicazione di un "broken link", che nel 99,9% dei casi sul web deriva da errori nel sito, e come tale un utente che accede inconsapevolmente è portato a pensare che il webmaster abbia banalmente sbagliato qualcosa nella configurazione (tipicamente quando si fanno dei refactor ai siti).

Post by Leonardo Serni
Se metti il cartello VIETATO L'ACCESSO sulla strada principale e non pure sul

404-not found non è nessun cartello di "vietato l'accesso". È semplicemente l'informazione che quell'indirizzo è sbagliato, né più né meno.