Newsgroup: it.comp.reti.wireless
Titolo: Server Radius

Salve,
 
vorrei implementare una soluzione un po' piu' sicura rispetto alla sola 
password wpa per gestire il wi-fi di casa prima ed eventualmente quello 
dell'ufficio poi.
 
Credo che il passo quasi obbligato sia il server Radius che su una 
macchina con Debian potrebbe essere FreeRadius 
http://www.debian-administration.org/articles/508
 
 
In termini di sicurzza c'è qualcosa di piu' che potrei attivare ?
 
Saluti !
GbMax78

 In termini di sicurzza c'è qualcosa di piu' che potrei attivare ?
 
Puoi divertirti a smazzare i MAC Address di tutti i client WiFi 
mettendoli nella White List. Uno per uno..
-- 
	Luca Amicone
--
"Error: 'C_1252.nls File Missing or Corrupt' During Startup" 
http://support.microsoft.com/?id=830088
 

> In termini di sicurzza c'è qualcosa di piu' che potrei attivare ?
 
A casa la prima cosa che ho fatto è stata mettere i MAC address in white 
list e già funziona ampiamente se si tengono i terminali spenti di giorno.
E' solo uno degli anelli della catena di sicurezza.
L'altro anello sarebbe quello di usare sempre e solo connessioni cifrate 
in tunnel con certificati pre generati e trasferiti fisicamente con 
chiavette.
Esempio ti fai una VPN tra il router ed i client per la rete casalinga 
evitando di fare l'handshake delle chiavi.E poi bannare tutto il resto dal 
router se non l'instradamento nella ADSL da parte della VPN.
Tenere sempre separati fisicamente router ADSL dall'AP wifi.
 
mutek
 

 mutek
 
Saluti !
GbMax78
 

> Ho iniziato a fare i primi esperimenti con OpenVPN
Nah... che openvpn ed openvpn; OVPN usa SSL ed SSL � (ok,
potrebbe essere <eg>) vulnerabile ad attacchi del tipo "Man
in The Middle"; se vuoi mettere in piedi qualcosa di sicuro, ti
converr� valutare l'uso di IPSec (con dei certificati rilasciati
da una tua CA, isolata dalla rete, ai vari clients); con una config
del genere potresti anche togliere la protezione WPA(2) usando
soltanto IPsec; basta che tutto il traffico *richieda* IPsec - del
resto � l'unico tipo di configurazione wireless ammessa dal
DoD Americano


 
Se usi il protocollo WPA2 non credo sia indispensabile allestire una 
cosa del genere, specie in ambito home...:)
 
 

 ammessa dal DoD Americano
 
+1
 
infatti si parlavo di VPN e non openvpn (che implementa alcune possibili 
VPN) intendevo proprio tunnel cifrato con certificati e chiavi prodotte 
fuori rete e configurate sulle macchine fisicamente ovvero te la copi 
sulla chiavetta usb e poi le passi sulle macchine.
Sono daccordo su IPsec.
WPA è una perdita di tempo anzi è un'illusione...una porta di 
cartone...meglio non averla per nulla...
Rimane comunque su tutte le macchine e sui router massimizzare l'uso del 
firewall...tutto fa brodo...anche illuminazioni settoriali eventualmente 
(il WiFi omnidirezionale è un cavo lan distribuito a tutto il circondario)

 tutto il circondario)
 
Beh... se implementi l'accesso wireless facendo in modo che gli
AP siano visti come devices "stupidi" (in pratica niente di visibile
dai clients, semplici devices che offrono connettività vireless) se
piazzi dietro agli AP dei gateway che richiedano obbligatoriamente
IPsec per permettere le comunicazioni (sia con gli altri clients wifi,
sia con il resto della rete e con internet) potresti anche disattivare
WEP/WPA e lasciare il resto "ai default" visto che in tal caso, la
vedo dura riuscire a "craccare" qualcosa :)
 
 


E' una questione di valori da perdere e probabilità di perderli.
A casa mia la rete è libera e la protezione avviene a livello client con 
sole white list su MAC proprio per non farla diventare una prostituta.
Non mi fido mai del canale quindi preferisco sempre lavorare in tunnel tra 
i clients.
Do sempre per scontato che la rete è osservabile da tutti e quindi mi 
comporto di conseguenza...Anzi appena posso monto una rete Ninux.org e la 
apro completamente :)
Uso PGP ogni volta che posso.
Massimizzo l'uso di https anche dentro il tunnel.
Dormo sonni tranquilli senza paranoie varie cosi senza preoccuparmi del 
canale, anche perchè mipreoccupa molto di piu dalla borchia in poi che 
dentro casa...

 E' una questione di valori da perdere e probabilità di perderli.
 
Ma alla fin fine quante saranno le probabilità che nei paraggi ci sia 
qualcuno che ti "buchi" il protocollo WPA2... personalmente credo siano 
molto poche :)
 
 

 vedo dura riuscire a "craccare" qualcosa :)
 
Ma in una rete casalinga costituita da qualche pc, smartphone, netcam 
ip, sarebbe possibile utilizzare IPsec? e come?
 
ArchiPit
 
 

 IPsec? e come?
 
Beh... in teoria si; ammesso che i vari apparati lo
supportino o che la rete sia implementata in modo
da separare gli apparati "protetti" da quelli "non
protetti" ma la vera domanda č... ha senso fare
una cosa del genere in una rete casalinga :) ?
 
 



purtroppo non sono in grado di svolgere un calcolo del genere e quindi mi 
metto nella mia peggiore ipotesi.
Per un calcolo del genere dovrei avere un'idea della densita di popolazione 
locale o comunque dovrei mettermi a sniffare notte e giorno i wifi per 
osservare le attivita o le presenze poi ...
insomma preferisco pre configurare le cose cosi...mi pesa di meno :)

 metto nella mia peggiore ipotesi.
 
Scusa la curiosita'. Nella tua auto quanti antifurti hai montato? E nella tua 
casa hai un sistema tv a circuito chiuso collegato con le "teste di cuoio"?
Rilassati .... ;-)))
Ciao.
Zarro
-- 
Per rispondere togliere la "polvere" dall'indirizzo email!


:)
la mi auto è liberamente rubabile.
Visto che ho già subito il furto (10 anni fa) di una che avevo pagato bene 
e ci tenevo particolarmente, ho imparato fisicamente ad annullare il 
valore dell'auto perchè effettivamente è facile rubarla (nel mio caso 
sotto casa se la sono portata via con un carro attrezzi dopo aver 
addormentato i cani).
Oggi uso solo automobili rigorosamente usate con almeno 150mila km alle 
spalle altrimenti non le compro ;) (l'attuale Focus ha 340mila e va da 
paura)...a volte la lascio aperta non chiusa a chiave...sono libero ;)
A casa specialmente di questi tempi di ladri balordi che sono vite a 
perdere...forse sono mediamente preoccupato (abito al primo piano di una 
casa con 2 piani).Conducendo una vita modestissima penso sempre che i 
ladri, sapendo fare il loro mestiere, non verrebbero mai a rubare cio che 
non troverebbero mai...quindi lascio tranquillamente le finestre aperte 
anche quando vado a fare spesa...ma sogno sempre di avere dei laser da 
200watt automatici che se non disattivati bruciano il sedere di tutto ciò 
che è un essere umano...
Mentre per i dati è differente...in fondo li ci passa la password della 
banca quando faccio i bollettini online per pagare le bollette...qui forse 
dovrei esser epiù cauto e ci provo...ho gia subito vari furti di bancomat 
e conseguenti furti nel conto e de vo dire che mi hanno messo in 
difficolta...meglio evitare (nei limiti del possibile)
 
ciao
 
mutek

 della banca quando faccio i bollettini online per pagare le
 
Non è solo quello, se vogliamo, se qualcuno ti sbafa la connex
internet e la usa per "fare danni" avrai i tuoi guai per dimostrare
che non sei stato tu ma un altro; che c'entra... come ho scritto
nell'altro post, tutto poi dipende da quanto ti senti "a rischio" e
da quanto vuoi complicarti la vita (perchè alla fine si tratta anche
di questo) implementando meccanismi di sicurezza :)
 
 

 paura).. 
 
Accidenti... complimentoni 8-o
 
 

 una cosa del genere in una rete casalinga :) ?
 
Per me assolutamente no...;D
 
 

 Per me assolutamente no...;D
 
Secondo me dipende dal tipo di lavoro e dal tipo di dati che oramai gira 
anche tra le quattro mura domestiche...
 
Mi spiego meglio, se la professione che si esercita è quella di 
informatico o meglio tecnico di rete, volendo escludere la 
programmazione che rimane un ruolo ed un mondo a se, diventa 
nell'interesse lavorativo riuscire ad avere quantomeno una conoscenza di 
base su tutto ciò che circonda questo mondo !
 
In seconda battuta è ovvio che la probabilità di avere il vicino di casa 
talmente hacker da riuscire a superare una password wpa2 con ad esempio 
63 caratteri alfanumerici comprensivi di maiusole e minuscole sia 
alquanto remota.
 
Ultima ipotesi in cui potrebbe rendersi necessario una protezione piu' 
robusta potrebbe essere quella dello scambio di dati/informazioni 
sensibili vedi chi lavora da sedi remote o da casa !
 
Saluti.
GbMax78

 vedo dura riuscire a "craccare" qualcosa :)
 
Dopo aver capito la logica di dove e come posizionare Ipsec ora parte la 
ricerca di how to e libri su google per la sua implementazione, in 
sostanza freeradius+ipsec ?!
 
Saluti ! :)
GbMax78
 


E per questo esistono le VPN...:)

 In termini di sicurzza c'� qualcosa di piu' che potrei attivare ?
Come ti ha detto Lorenz, la WPA2 sar� pi� che sufficiente...
importante � utilizzare una password "robusta" che includa "numeri",
"caratteri minuscoli" e "caratteri maiuscole".
Guido Veloce
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 E per questo esistono le VPN...:)
 
Ok però io pensavo che con OpenVPN con SSL fossi ad un discreto livello 
di sicurezza, non sapevo fosse possibile un attacco man in the middle in 
presenza di certificati per questo ora vorrei capire come aumentare il 
livello di sicurezza della vpn cambiando ad esempio "gestore" invece di 
OpenVPN e potendo inserire Ipsec...
 
Saluti !
GbMax78
 

 una cosa del genere in una rete casalinga :) ?
 
Ovviamente no, era solo per curiosità.
E poi, non ho guardato, ma direi che i miei apparati non supportino 
Ipsec.
 
 

 e minuscole sia alquanto remota.
 
Scusa ma... perchè usare una password ? Ti metti in piedi WPA2
in modalità enterprise, ti installi una CA locale (alla fine basta usare
OpenSSL) e generi un certificato per ciascun client; a quel punto se
anche qualcuno ti fregasse il certificato, ti basterebbe revocarlo; non
solo, implementa anche un captiveportal  così dopo la connessione
alla wireless, per poter "uscire" dovrai comunque immettere una
password
 
 

  supportino Ipsec.
 
In effetti non è comune negli apparati "consumer"; lo
puoi trovare in roba tipo blackberry o simile ma per il
resto... difficilmente un device "da supermercato" ha
il supporto IPSec :P
 
In qualsiasi caso, mettere in piedi un qualcosina di
fatto ammodino non è poi così difficile, basterebbe ad
esempio 
http://m0n0.ch/wall/
 ed una schedina che
abbia anche il supporto wireless... oppure una scheda
mini-itx "normale" come ad esempio
 
http://www.asus.com/Motherboards/AMD_CPU_on_Board/E35M1I_DELUXE/
 
 
che c'entra, quella sopra costa di più rispetto a (che
so) una "soekris" o simili, in compenso con una mobo
del genere potresti anche valutare l'idea di mettere in
piedi un box "all in one" (accesspoint, NAS, streaming
server...) :D
 
 

 password
 
Ottimo questo doppio livello di sicurezza...
 
Saluti !
GbMax78
 

 il supporto IPSec :P
 
Quindi è l'hardware a disposizione a dover essere in grado di gestire 
IPSec, immagino che se fosse un notebook ci si potrebbe installare senza 
problemi mentre se fosse una telecamera ip o una console di gioco 
sarebbe piu' difficile in assenza di tale voce poterla inserire con 
firmware creati ad hoc...
 
GbMax78