Newsgroup: it.comp.sicurezza.varie
Titolo: [Iptables] packet filtering vs statefull inspection

Ciao!
Dopo diversi giorni che "smanetto" con Iptables e diversi mesi che
lavoro con altri firewall vorrei chiedervi alcune cose:
1) Che differenza c'e' fra usare "--syn" e "-m state --state NEW"? Solo
la gestione aggiuntiva dei protocolli UDP e ICMP? Per il TCP tutto
uguale?
2) Analogamente al precedente per ! --syn e "-m state --state
ESTABLISHED"?
3) Se non ho capito male, il "RELATED" e' utile solo nei casi seguenti:
ICMP reply, FTP e IRC. Sbaglio?
Sicuramente sbagliero', ma da una prima impressione l'uso dello "state
match extension" (ossia il "-m" ossia lo statefull inspection) da reali
vantaggi a livello di sicurezza solo nei seguenti casi:
- protocolli che usino UDP o ICMP
- IRC e FTP
Mentre per i piu' diffusi protocolli basati esclusivamente sul TCP non
vi e' alcun valore aggiunto.
Castigatemi ;)
Grazie
-- 
Roar! By Polar 
Dedicato a chi insegue un sogno nella vita.
Ai tenaci, ai testardi e agli ostinati.   
A chi cade e si rialza, a chi ci prova sempre e a chi non molla mai.

 vi e' alcun valore aggiunto.
Non si tratta di "vantaggi a livello di sicurezza", o almeno, solo
indirettamente. Io la vedo come una necessita' per poter utilizzare
certi protocolli che fanno uso di connessioni secondarie, come nel caso
di FTP. Indirettamente questo inficia sulla sicurezza.
Senza lo stateful inspection e il connection tracking, certi protocolli
o non li usi, o li usi in modalita' passiva, oppure sei costretto ad
aprire l'accesso a certe porte ben precise, le quali, pero', essendo
normalmente chiuse, non costituiscono un problema (se il software
dall'altra parte e' scritto bene).
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 vi e' alcun valore aggiunto.
Balle.
Esempio stupido. Hai mai visto in azione uno di quei tool che usano
pacchetti ICMP come covert channel?
Con un firewall stateless come li fermi, visto che non puoi desumere se e
quando un ICMP sia legato a una comunicazione autorizzata e quando non lo
è?
Stessa cosa per qualsiasi altro segmento tcp (ack come covert channel, per
esempio).
Per non parlare comunque della sicurezza intrinseca al fatto di poter
gestire pari situazioni con rulesets molto meno contorti...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 dall'altra parte e' scritto bene).
Amico cacto, siamo in disaccordo su tutta la linea ;-)


 Amico cacto, siamo in disaccordo su tutta la linea ;-)
Vedo ;)


 per esempio).
Questo e' vero. Anche se si tratta di situazioni un po' estreme, ma il
discorso e' valido; probabilmente esistono tecniche per aggirare anche
questo meccanismo, ma certamente si tratta di una protezione in piu'.
Diciamo allora che a puro livello di connection tracking, il firewall
stateful ti permette di gestire le connessioni related in modo piu'
semplice, con uno stateless devi arzigogolarti con regole molto
complesse, il che le rende molto piu' error-prone.
Mi dichiaro battuto.


 Mi dichiaro battuto.
Uè, un'era mica un braccio di ferro... :-D


 Uè, un'era mica un braccio di ferro... :-D
Allora una delle prossime volte che passo dalle tue bande, ti offriro'
una birra, ok? ;)


 una birra, ok? ;)
Va decisamente meglio ;-)
uno skull e la stella artois...


 Balle.
Aggiungerei la possibilita' di fare una statefull inspection "stretta"
(pf/ipfw/netfilter con tcp window tracking) con l'analisi dei sequence
number e la finestra tcp, le migliori prestazioni (quando un flusso di
pacchetti e' nello stato established non pasa al vaglio del ruleset) e
anche la maggior sicurezza di ricaduta dovuta alla maggior semplicita'
e manutenibilita' del ruleset.
Fabio

 e manutenibilita' del ruleset.
A tal proposito, sentito che il modulo ipt_unclean è stato rimosso dal
kernel 2.6?


 
Consiglio (poco tecnico) spassionato: una bella baladin e passa la 
voglia di stare appiccicati al monitor.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Due linee rette s'incontrano
	all'infinito, quando ormai non gliene frega più niente