Newsgroup: it.comp.sicurezza.varie
Titolo: https, ettercap

Un saluto a tutti, scenario:
01) Gruppo di utenti autorizzati a collegarsi
a dei punti di rete per fruire liberamente di
internet ad alta velocità
02) I punti di rete costituiscono una rete  LAN
switchata e connessa ad un router cisco (serie2600)
che ha dhcp attivato
03) Un server WEB (win2000, IIS 5.0) con indirizzo pubblico con
https, in cui sono accessibili informazioni molto
sensibili e soprattutto personali degli utenti al punto 1
ok...mi viene concesso il privilegio di diventare
utente autorizzato a sfruttare i punti rete,
mi viene fornito user e password personale
per accedere al server web descritto al punto 2
Il servizio di accesso al server web mi viene descritto
come super sicuro, crittografato, a prova di hacker...
Non mi resta che provare a connettermi con il portatile
(w2000). La prima cosa che faccio è visitare il sito web ed
accedere con la mia user e pass.
wwww.XXXX.....apertura pagina 
https://xxxxx
 compare il classico
lucchettino, metto user e pass, accedo al servizio, ok tutto bene.
Dopo mezz'ora di cazzeggio mi ricordo che ho da provare
una nuova distribuzione bootable di linux.
Inserisco il cd di knoppix nel cd del portatile, riavvio
il pc. Mi trovo connesso in rete con knoppix,e vedo che tra
i tanti tools che possiede c'è il miticon ettercap!!
Per sfizio
~ ettercap, attivo arp sniffing......
stupore vero!!!in meno di 30 min colleziono una 20 di user
e pass di utenti che si connettono al servizio https del punto
due, non ci credo!!
Vi chiedo, ma come è possibile??, user e pass non vengono trasmessi
già crittografati!! può dipendere dall'IE dei client? o il servizio
è stato configurato con il c..o??
Vi ringrazio per l'attenzione, vi saluto.

 è stato configurato con il c..o??
No, sono gli utenti che sono stati configurati con il c..o. Gli
hai mostrato il certificato di default di ettercap e loro se lo
sono bevuto. Sarebbe andata diversamente se ci fosse stata pure
l'autenticazione SSL del client e/o un migliore addestramento.
...ah: ovviamente se quella rete non e' basata su switch e c'e'
un arp-spoof detector, ti hanno gia' beccato e stanno in attesa
delle tue prossime mosse ;-)
Fabio


ora dico una cagata delle mie:
ma se da IIS administration uno toglie l'autenticazione "basic"
o comediavolosichiama e lascia solo quella "integrated", non
ci pensa Windows 2000 a far viaggiare username & password
crittati ... ?
O ci vuol per forza SSL ?


Se usi l'autenticazione "integrated" se ti autentichi pswd e username sono
criptate.
MAX

 delle tue prossime mosse ;-)
 è switchata, me ne segnali uno (arp-spoof detector) che hai
potuto constatare che funzioni bene
Ciao, e grazie per la tua risposta

 O ci vuol per forza SSL ?
Con SSL cripti tutto il traffico, non solo la password. Inoltre quella
di prima e' una autenticazione proprietaria di microsoft che non viene
supportata da altri browser e che richiede l'apertura di porte netbios
o la 445/tcp, con buona pace di chi vorrebbe utilizzare un proxy od un
firewall. Con HTTP 1.1 si puo' usare anche l'autenticazione digest, in
cui sulla rete passano solo degli hash: passa tutto sulla porta 80/tcp
ma ci possono essere problemi di interoperabilita' con vecchi browser.
Fabio

 potuto constatare che funzioni bene
Per quale sistema operativo?
Fabio

> Per quale sistema operativo?
Indifferente va bene sia  per Linux che Win32
ti ringrazio sei stato molto cortese, ciao

 Torna il ragionamento o mi sfugge qualcosa?
Ok il ragionamento tecnico torna, e ammettimo che riesci ad identificarlo,
cosa fai arrivi e gli sequestri il PC??. Attenzione la mia non vuole essere
polemica mi interesserebbe sapere che azione legalmente consentita sarebbe
opportuno intraprendere. Infatti penso che anche se dal suo ufficio
l'amministratore
o comunque un responsabile dei servizi informativi si accorga e
tempestivamente si fiondi sul luogo, lo "sniffatore" in faccia
all'amministratore
potrebbe tranquillamente salvare il log delle utenze e pass sniffate,
chiudere il su pc e
andarsene indisturbato.
Legalmente l'amministratore non puo procedere all'arresto, fermo e compagnia
bella
, cosa fa chima i carabinieri gli spiega tutto......come può provarlo???
 Dunque che si fa???


Autenticazione digest che dovrebbe essere un metodo selezionabile
nelle proprieta' di IIS , giusto ... ?
Cmq ancora una volta sei stato puntuale e preciso. Grazie :-)
Danny che lo sa che sta diventando monotono

 fulmineamente il mac.
Per default gli switch hanno un ttl per i mac "imparati" che di solito
e' nell'ordine delle ore e un azione tempestiva potrebbe consentire di
beccare il pollastro. Se il ttl e' piu' basso si puo' sempre alzare un
poco. Certo... se lo switch non e' managed siamo al punto di prima. Lo
stesso dicasi se le password per il management sono quelle di default.
Fabio

 e compagnia bella, cosa fa chima i carabinieri gli spiega tutto...
Perche' no, scusa? Ha commesso un reato (intercettazione abusiva).
Quando sei vittima di un reato chi chiami tu? Se poi da un'analisi
forensica risultano evidenti le prove del reato nella sua macchina
penso che il piu' sara' sistemato.
Comunque per gli aspetti prettamente legali ti conviene fare un post
su it.diritto.internet.
Fabio