Ogni azienda di telefonia dispone di una personalissima lista di siti definiti vietati, ovvero a cui il cliente non può in nessun modo connettersi (nemmeno se lo volesse). Questo per due motivi: tutelare il consumatore non esperto ed impedire la diffusione di materiale illegale.
Quanto scritto è valido per ogni operatore, peccato che da Vodafone era possibile accedere alla lista e scoprire il nome di tutti i siti.
Il problema è stato segnalato da Security Info e, a dir la verità, non era niente di particolarmente complicato. Semplicemente è stato erroneamente settato il server, l’utente collegandosi non raggiungeva un vicolo cieco, ma con una interrogazione poteva conoscere la lista completa dei siti vietati.
Come è possibile?. Vodafone per impedire l’accesso tentava di forzare i DNS facendoli collegare direttamente ad un server gestito dall’azienda stessa. Peccato che questi era possibile soggetto della tecnica di reverse DNS lookup, ovvero con un briciolo di esperienza permetteva di ottenere la lista completa di ciò che il server stava bloccando.
I ragazzi di Security Info, però, sono stati furbi. Prima di segnalare al mondo il problema hanno contattato Vodafone, dando la possibilità di cambiare le impostazioni prima di pubblicare l’articolo in cui denunciavano tutto questo.