Newsgroup: it.comp.sicurezza.varie
Titolo: Porta TCP 18111

 (ADSL invece di GPRS): nessuna segnalazione!
...Stesso computer? 
A questo punto... sarebbe bene spostarsi su ics.varie e ricapitolare... 
:)
XPost & F/up
-- 
HappyCactus - Registered Linux User #209744 - >>> SMSPM950 <<<
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 A questo punto... sarebbe bene spostarsi su ics.varie e ricapitolare...
Ricapitoliamo...
Stesso computer, stessa rete, stesso firewall, stesse caselle di posta di
vari providers (tra le quali una di Tiscali, oggetto dei test), stesso
provider di accesso (Wind) ma tre (ho voluto strafare! :-)) diversi metodi
di accesso, ovviamente usati in alternativa:
1) GPRS (Telefono Nokia 6310i con cavo seriale connesso alla porta seriale
del firewall)
2) Dial-up (Modem 33.6 esterno seriale connesso alla porta seriale del
firewall)
3) ADSL (Modem Alcatel STH connesso alla porta WAN 10 Mbps del firewall)
Con le connessioni 2) e 3), scaricando la posta da tutte le caselle il
firewall non riporta alcuna situazione di anomalia.
Con la connessione GPRS, invece, il solo server POP3 di Tiscali tenta
accessi a porte TCP dai numeri più strani, evidenziate dal firewall come
anomalie:
martedì 27 agosto 2002 17.46.49 Unrecognized access from 
195.130.225.148:110
to TCP port 22457
martedì 27 agosto 2002 17.46.50 Unrecognized access from 
195.130.225.148:110
to TCP port 8327
martedì 27 agosto 2002 17.46.52 Unrecognized access from 
195.130.225.148:110
to TCP port 29757
martedì 27 agosto 2002 17.46.53 Unrecognized access from 
195.130.225.148:110
to TCP port 5282
Non vengono riportate anomalie simili provenienti da altri server di posta.
La velocità di connessione GPRS è paragonabile a quella del modem 33.6, ma i
tempi di latenza sono nettamente diversi: con il modem attorno ai 100-150
mSec., con il GPRS attorno ai 1000-3000 mSec.!
Ciò mi ha fatto pensare che le anomalie segnalate siano dovute ai tempi di
latenza del collegamento GPRS, e ad un setup dei server Tiscali che non
preveda tempi così alti. Non credo che possa dipendere dalla subnet
dell'indirizzo IP assegnato dinamicamente, ovviamente diversa per i tre tipi
di collegamento. Voi che ne pensate?

 ai tempi di latenza del collegamento GPRS, e ad un setup dei server
E' probabile che tu abbia ragione: quei pacchetti che vengono
rilevati come "Unrecognized access" sono quasi sicuramente le
ritrasmissioni di pacchetti (in particolare FIN) che i server
ti inviano in quanto non ricevono in tempo il tuo acknowledge
(che arriva dopo 3000*2 ms).
Fabio

 (che arriva dopo 3000*2 ms).
OK, ma perchč con i POP server degli altri provider non succede? Il ritardo
c'č anche per loro...

 ritardo c'è anche per loro...
I timeout per la ritrasmissione dipendono da sistema operativo e
scelte di configurazione. Puo' darsi che tiscali abbia scelto di
configurare i server in modo piu' aggressivo degli altri (con un
timeout piu' breve liberano piu' velocemente le risorse allocate
dalle connessioni pendenti). Se hai voglia di fare qualche prova
potresti catturare il traffico con uno sniffer (es. ethereal) in
modo da verificare cosa sono quei pacchetti: molto probabilmnete
troverai che sono pacchetti identici ad alcuni gia' ricevuti (li
potrai riconoscere guardando i numeri di sequenza). 
In ogni caso si tratta solo di ipotesi. Qualcosa di piu', forse,
si potra' dire conoscendo qualche dettaglio in piu' sul traffico
che genera gli alert (vedi ethereal).
Per curiosita': che firewall usi?
Fabio
PS: scusa per il messaggio in mailbox