Newsgroup: it.comp.sicurezza.varie
Titolo: Esiste uno switch protetto da mac address spoofing?

Dopo una interessante discussione su it.comp.reti.ip-admin (pensando si 
trattasse solo di un problema "tecnico") mi sono reso conto che il 
problema che vado ad esporre e' di sicurezza.
Devo proteggere una LAN in cui si trovano pc e server che trattano dati 
sensibili.
La rete appartiene agli uffici di un istituto di formazione.
L'istituto si trova in un edificio che affitta spazi e fornisce gia' il 
cablaggio.
L'intenzione era quella di fare in modo di poter separare in maniera 
sicura la rete dell'istituto da quella delle altre aziende che si 
trovano nell'edificio (adesso il tutto e' gestito tramite Vlan su router 
cisco gestiti dall'IT dell'edificio).
La condizione e' che posso solo utilizzare uno switch da inserire negli 
armadi del CED dell'edificio. Non posso installare armadi miei o altro.
L'altra unica soluzione sarebbe quella di ricablare 3 uffici, ma a causa 
dei costi notevoli per ora la escluderei.
Avevo pensato di utilizzare uno di quegli switch che permettono di 
assegnare ogni porta ad un mac address, ma su it.comp.reti.ip-admin mi 
hanno fatto presente che chiunque ha accesso al CED ( o agli uffici) 
potrebbe staccare un cavo di rete, sniffare un mac address di un pc e 
sostituirsi ad esso.
Mi chiedevo se c'era qualche soluzione a questo problema, qualche 
protocollo di comunicazione che impedisca o aggiri questo "banale" 
trucchetto.
Se possibile mi servirebbero indicazioni su prodotti verso cui 
indirizzarmi (se esistono), oppure soluzioni diverse (con le limitazioni 
di cui sopra).
grazie
	maxx
-- 
NOSPAM: Rimuovere i trattini dallo username!
Cut hyphens from my username!

 point su rete fisica.
Potresti darmi qualche dettaglio in piu' o indicarmi qualche link di 
riferimento. Mi e' chiaro il principio di funzionamento, ma vorrei 
essere certo che sia quel che mi serve.
Se ho ben capito a chi tentasse di collegarsi allo switch usando un mac 
address fasullo verrebbe richiesta una sorta di autenticazione a livello 
ethernet con blocco della porta in caso di errore?
grazie
	maxx
P.S. Ho visto che anche alcuni switch hp forniscono login di rete ieee 
802.1x e radius (anche se nella documentazione non si spiega come fare).
Il sito cisco italia invece fa schifo, sembra un sito di consulenti, non 
di venditori di prodotti.


 non tutta disponibile a chiunque che mi risulti.
Dopo aver cliccato sui menu che servono per identificare il mio profilo 
sono arrivato ad una pagina in cui mi raccontano una interessante storia 
di produttivita'.
Un elenco dei loro switch non lo ho trovato.
grazie
	maxx


 soluzione e consigli l'hardware giusto, per lo meno lato switch. Fidaty.
Mi fido, il problema sono le risorse le quali sono scarse trattandosi di 
ente parastatale a finzanziamento pubblico. E questo non e' periodo.
Mi sto convincendo che forse conviene passare ad una soluzione wireless.


 point su rete fisica.
Che è come dire: il problema non è il fatto che il mac si possa
cambiare. Il problema è che un sistemista con la testa *non può*
considerarlo una sorgente di univocità e/o garanzia di alcunchè.
La soluzione al problema sono i soliti accorgimenti: crittografia e
autenticazione...
-- 
cat: .signature: No such file or directory

 salvo tu non creda veramente che wap sia un protocollo sicuro ;)
Nulla e' sicuro se non la morte (toccamioci). :-)
A parte gli scherzi, non credo che wep sia sicuro, ma ragionevolmente 
sicuro si'. La realta' che devo "proteggere" non credo verra' mai 
assaltata da orde di hackers, crackers, sniffers, spoofers, ecc.
Non si tratta di una azienda che custodisce importanti segreti 
industriali o info riservate. Sono solo presenti dati sensibili ma di 
scarso interesse.
ciao


 per altre altrettanto famose.
Anche se i dati sensibili non si trovano su questi pc ma su un server di 
rete?


 qui.
300€ di differenza non mi sembrano un'immensità (a patto che tu abbia fatto 
bene i conti), soprattutto considerando una rete cablata 100Mb/s (se ben 
cablata quasi reali) contro una wireless 11Mb/s (*sempre* teorici). Tutto 
ovviamente dipende da dove la installi, ma per esperienza, non importa marca 
o modello, con le reti wireless si ottengono prestazioni sempre ridotte di 
almeno il 50%, dovute prevalentemente a basso segnale. A questo aggiungi 
continue perdite "totali" di segnale che portano ad un logoff-logon alla 
rete. WinXP reagisce abbastanza bene, Win98 manco a dirlo.
Spero di averti dato qualche spunto in piu' prima di effettuare le tue 
scelte.
Lokar 

 credo che wep sia sicuro, ma ragionevolmente sicuro si'.
Errore. Sblindare wep (quando applicato a lan con transito di dati
mediamente intenso, quale una normale rete di pc) richiede dai 5 ai
40 minuti.
Quindi WEP, strettamente parlando, non è sicuro per nulla.
Metteresti dei plug di rete sul muro di cinta?


 trucchetto.
[...]
Forse dovresti chiarire meglio 1) che cosa vuoi proteggere e 2) da
quali minacce. In pratica: cosa intendi con "proteggere una LAN" e
quali sono gli scopi che ti prefiggi?
Per fare quello che chiedi nel seguito basterebbe l'autenticazione
802.1x, come altri ti hanno gia' detto. Come il nome suggerisce si
tratta solo di una "autenticazione": nulla impedisce di sniffare i
dati e neanche di rubare la porta dopo l'autenticazione [1], visto
che quelli da cui vuoi proteggerti hanno accesso ai dispositivi di
rete.
Prova a pensare anche a ipsec: forse puo' essere una soluzione che
porta a risultati piu' soddisfacenti e con costi inferiori. Se sei
proprio para, pensa ad ipsec+801.2x.
Non pensare di poter fare tutto aggratisse, ma neanche di spendere
cifre insostenibili: uno switch adeguato ti costa poco piu' di 500
euro ed il resto delle cose le dovresti acquistare comunque, anche
con la soluzione wireless.
Fabio
[1] nell'intervallo tra due richieste di autenticazione, ovvio (se
    ti ricordi di configurare 802.1x per riautenticare ogni tot).

 penale eventualmente esporsi. Un po' meno se l'ente è pubblico.
La regola credo che sia quella di fare il possibile per proteggere il 
sistema, compatibilmente con la tipologia dei dati e le risorse 
disponibili. In caso contrario per ottemperare al dps sarei costretto ad 
assumere una banda di legionari per proteggere a vista tutte le 
macchine. :-)


 server.
Domanda: e con un VPN concentrator con OpenVPN dietro allo switch?
Niente radius e niente problemi a layer 2, quindi client disponibile
per ogni piattaforma e switch non da cambiare.
PS. Ciao Marco :-)
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 sicuro si'.
Pentiti, fratello, pentiti. :)
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 
Hei, non correte cosi'!
Una piccola spiegazione anche a me visto che sono io io che devo 
eventualmente implementare?
:-)


 
Uno si costruisce il suo bel castello pieno di certezze... :-(
mi presti la frusta?


 il suo PC.
Questa procedura non avrebbe senso: scollegare i cavi della macchina
da attaccare provocherebbe una chiusura della porta, col conseguente
reset delle credenziali 802.1x precedentemente fornite. Il trucco e'
nel sapiente uso d'un piccolo cutter [1] tramite il quale spelare le
coppie TX e RX del cavo connesso alla porta che vuoi rubare. E' piu'
difficile da dire che da fare: ti attacchi alla coppia RX ed aspetti
che passi un frame per vedere l'indirizzo ethernet, lo configuri sul
dispositivo di rete con cui ti stai per avvampirare e con agil gesto
attacchi la tua coppia TX e tagli quella lecita. Ora hai poco tempo,
ma potrebbe anche essere abbastanza, specie se gli intervalli tra il
rinnovo dell'autenticazione sono alti [2]. Dopo un breve allenamento
riesci a sostituirti 9 volte su 10 senza far chiudere la porta .
Questo e' lo scenario "wild": cantina, sottoscala, nascosto dietro i
bidoni della spazzatura sapendo che al 90% scopriranno magari non te
ma, almeno, che cosa e' successo. Potrebbe non essere un buon metodo
nel caso piu' generale.
Nel suo caso il suo potenziale nemico sono i sysadmin dello stabile.
Leggi: hanno tutto il tempo di sniffarsi in silenzio giga et giga di
dati e studiare sia la rete, sia gli utenti, per intervenire in modo
mirato utilizzando un tap che puo' esser rimosso al volo o occultato
senza fili spelati in giro e porcherie simili.
Troppo difficile e/o fantascentifico? Mi sembra che, comunque, anche
la semplice esposizione allo sniffing del traffico o la possibilita'
di attacchi mirati ai singoli host [3] siano cose potenzialmente non
accettabili, direi piu' della possibilita' d'attaccarsi alla lan. Ma
qui si torna alla mia prima domanda.
Tutto questo per dire che 802.1x non serve a una mazza in scenari di
quel tipo, IMHO. Vedi i consigli su ipsec (in modalita' trasporto).
Fabio
[1] dopo il cacciavite, il secondo utensile che deve far tremare se
    visto in tasca ad un sysadmin;
[2] raramente ho visto il rinnovo configurato, tanto meno con tempi
    cosi' brevi da non poter far nulla;
[3] tipo un buontempone che stacca il cavo del server e se l'infila
    nel _suo_ switch, per esempio. Quando non c'e' nessuno, ovvio.

 per ogni piattaforma e switch non da cambiare.
Temo che abbia anche macchine win9x, a naso. A quel punto, se gia'
deve upgradare a 2000/xp, tanto vale che usi ipsec.
Fabio

 informatici molto generosa; gli interpoint sono pressochè inutili.
Uh. E' gia' la seconda volta in due settimane che si paventano
simili tempi di cracking della chiave wep. A questo punto devo
essermi proprio perso qualcosa, se si puo' craccare con 8 Mbit
di dati. Oppure sono tempi e quantita' di dati buttati li' per
modo di dire?
Fabio che e' ora di comprarsi una scheda wi-fi per nuovi test

Il Mon, 15 Nov 2004 19:00:32 GMT, nel NG it.comp.sicurezza.varie, 
bio cosi' parlo':


Ah, diavolo, e` vero, e` la prima volta che mi accorgo che openvpn ha
come requisiti minimi almeno il 2000/xp.


 della privacy. 
Aspe', questo e' un punto che mi era sfuggito e che mi fa tornare una
volta ancora alla mia prima domanda: cosa_deve_fare_emmexx? Perche' a
mio parere (ma tu ci sei piu' addentro) al puro fine d'ottemperare ai
disposti del 196/03 anche 802.1x o la scelta di abbandonare l'attuale
configurazione di rete basata su VLAN, a favore di un proprio switch,
sarebbero del tutto superflui, o no?
Per il resto sono d'accordo: un intervento deve essere misurato anche
a che cosa si deve proteggere, e da chi. Questo "cosa" ed il "da chi"
li sa solo lui, pero'. L'altro fattore sono i costi: personalmente mi
sembra piu' economico, semplice ed efficace ipsec, lasciando il resto
cosi' com'e'. E se vuole cambiare switch dovrebbe prendere seriamente
in considerazione l'ipotesi di usare comunque ipsec visto che, a quel
punto, la differenza dei costi sarebbe irrisoria, mentre quella della
sicurezza enorme.
Fabio

... e senza contare una cosa che m'e' sfuggita, fin'ora: come
accedono (se accedono) ad internet? Mica c'avranno un accesso
condiviso con il resto dello stabile?
Fabio

 
Adesso si', ma nel piano e' prevista anche l'installazione di ipcop come 
firewall. Lo schema dovrebbe essere il seguente:
rete edificio <-> ipcop <-> rete interna
Non ho messo lo switch perche' dopo tutte le vostre risposte ovviamente 
non ho piu' alcuna certezza. Collegare ipcop ad uno switch con la 
possibilita' che qualcuno arriva, stacca il cavo e ci attacca quello che 
vuole...
Vista la mia evidente ignoranza ho comunicato ai miei responsabili che 
se si sceglie di continuare ad utilizzare il cablaggio dell'edificio e' 
meglio rivolgersi ad un esperto del settore.
ciao


 stia confondendo dati personali con dati sensibili e giudiziari.
Non sto. Vengono trattati dati personali, sensibili e giudiziari.
A parte il (non piccolo) problema della gestione della lan da parte di 
esterni, quasi tutti i punti che hai citatosono implementati:
- i dati sensibili e giudiziari si trovano su un server
- l'accesso ai dati disponibili sul server avviene tramite 
autenticazione di dominio
- ogni utente ha accesso solo alle cartelle di sua competenza sul server
- ogni pc e' protetto da password di avvio
- viene fatto regolare backup dei dati
- la rete dello stabile ha gia' un firewall di protezione
- ogni pc ha un antivirus installato aggiornato automaticamente
- per il trasferimento di dati tra personale che tratta dati sensibili 
le email vengono cifrate e firmate con pgp
- le email cifrate sono protette da password
- gli uffici sono protetti da allarme
Manca ancora la cifratura dei dati sensibili, ma utilizzando pgp o un 
altro sistema di cifratura anche questo punto dovrebbe essere a posto.
E' ovvio che tutto va a ramengo se i cablaggi terminano nel ced di 
qualcun'altro.
Manca altro?


w2000), tale IAS . Se uno è masochista o sodomita è l'ideale.
C'e' dai tempi di NT4, e funziona, anche con roba Cisco, senza
problemi.
Se ha gia' un dominio nt/w2k/wk3 direi che e' la soluzione migliore
[*] dato che ti evita di dove implementare e gestire 2 sistemi di
autenticazione diversi.
[*] anche considerando quanto ci hai messo tu a far funzionare un
server radius sotto linux ;-)))))
Ciao
-- 
Francesco

 
Sono sempre piu' tranquillo... :-)


 senza servitù di passaggio.
Ai miei referenti ho riportato un sunto del thread con 2 proposte:
1. megablindatura con intervento di consulente sulla sicurezza
2. rete wireless
Penso si orienteranno sulla rete wireless perche' non ritengono che i 
dati sensibili che trattano abbiano bisogno di un livello ultraelevato 
di protezione.
Con una connessione wireless il problema della cifratura dei dati 
dovrebbe essere quasi automaticamente risolto.
Per semplicita' di configurazione pensavo di evitarmi anche l'incombenza 
di un server radius utilizzando la modalita' a cui tu accennavi per 
l'Aironet che hai a casa (PEAP con db interno). Che modello e' o conosci 
un modello compatibile adatto alla realta' che ho descritto (10-15 pc 
con traffico di rete e internet medio-basso?
Ho visto sul sito cisco (effettivamente e' pieno di roba, basta 
scegliere il pulsante giusto) queste schede wireless:
Cisco Aironet 802.11a/b/g PCI Wireless LAN Client Adapter
http://www.cisco.com/en/US/products/hw/wireless/ps4555/products_data_sheet09186a00801ebc33.html
Sono compatibili con gli Aironet serie 1200. Sai se hanno la 
funzionalita' di cui sopra?
Ovviamente anche con questa soluzione si presenta un altro grosso 
ostacolo: quasi tutte le schede wireless sono pci a 3,3 Volt.
Ho visto che tra i prodotti 3com ci sono delle schede wireless usb 
(anche se ho avuto l'impressione che non si trattasse di prodotti top 
con tutte le tecnologie di protezione piu' recenti).
Sul sito cisco non ho trovato nulla. Sai se esiste qualcosa?
grazie


 Radiator ad esempio
Tzk...Kastoro Ki Molla...:-)
(ma un sentito vaffanculo alla spocchia del team di freeradius ci sta
tutto, ovviamente)


 essere a posto.
Potresti pensare di usare un file system crittografico. Usare
pgp sarebbe un incubo per la maggior parte degli utilizzi.
Fabio

 es. ssl )? Perchè qui sta il nocciolo: se cifrati diventa al più un 
Aggiungerei, per buona norma, di verificare le modalita' di stampa:
e' inutile cifrare tutto se poi si stampa in chiaro su stampanti di 
rete.
Fabio

 ma anche quelli di integrità.
Mi sembra di ricordare anche dei riferimenti alla crittografia per i
dati "in transito", anche se non mi e' chiarissimo se si tratta d'un
obbligo ed, eventualmente, quando sussista l'obbligo. Forse era solo
per i dati sanitari?
Fabio

 dovrebbe essere quasi automaticamente risolto.
Ne dubito. Nel caso, la cosa da verificare e' la quantita' di
traffico generata sulla tua rete, sulla base della quale devi
calcolare gli intervalli per la sostituzione delle chiavi. Il
fattore che conta e' il numero di frame che passa in... aria.
Fabio

 fattore che conta e' il numero di frame che passa in... aria.
Ma possibile che tra i vari protocolli non vi siano chiavi con numero di 
bit sufficientemente alto. Cosi' come aumenta la velocita' di 
decifrazione dovrebbe anche aumentare la potenza delle schede per 
cifrare i dati. O sono i protocolli di trasmissione che hanno delle 
falle negli algoritmi di cifratura?
Terro' presente il tuo suggerimento (e mi documento nel frattempo).
Qualche link? ;-)


>I software sui vari desktop accedono a dati sensibili protetti sul 

Al momento non vengono utilizzate stampanti di rete.


 
Il problema e' che in teoria i files con dati sensibili dovrebbero 
essere inaccessibili anche agli utilizzatori. Solo quando hanno la 
necessita' di accedere ai dati contenuti in un file dovrebbero decifrare 
il file.
Un file system crittografico invece potrebbe essere un ulteriore misura 
di sicurezza, ma quando il file system e' montato qualsiasi utente con 
le giuste acl vede i files in chiaro.


 troppo su.
Immaginavo... :-(


Dottore l'abbiamo perso !
:-)
Ciao
-- 
Francesco

 Qualche link? ;-)
Sul sito di wepcrack, airsnort e kismet (per darti dei punti di
partenza, dovresti trovare informazioni sui tool e link a altri
documenti pertinenti. Il rapporto originale di Shamir e soci lo
dovresti recuperare googlando "Weaknesses in the Key Scheduling
Algorithm of RC4". Questa e' la debolezza piu' rilevante, a cui
se ne sono aggiunte altre relative ai generatori di chiavi wep,
che generano chiavi troppo prevedibili [1], ed alle tecniche di
frame injection, che consentono di inserire traffico nella wlan
allo scopo di accelerare, per esempio, il processo di cracking,
ma non ho link sotto mano.
Io non mi sono tenuto molto aggiornato in materia, ma penso che
parte dei prolemi siano stati mitigati (solo voci, mai provato)
in alcune implementazioni wep. Le cose importanti da fare sono,
(IMVHO): 1) studiare 2) craccare la propria rete 3) definire un
programma di sostituzione periodica della chiave [2] 4) evitare
di basarsi soltanto su wep (vedi wpa, ipsec, 802.1x, ecc).
Fabio
[1] la chiave e' una sequenza di numeri esadecimale. allo scopo
    di semplificarne la gestione vengono usati dei "generatori"
    di chiavi wep che partendo da una stringa ascii generano la
    chiave.
[2] se sei orientato verso cisco, nonostante il costo, dovresti 
    trovarne "out of the box" dei tool per la gestione dinamica
    delle chiavi, ed altre cosine che possono aiutare).

 Al momento non vengono utilizzate stampanti di rete.
Mi e' ancora ben impressa in mente la faccia del sysadmin di $BIGFIRM
quando gli ho esposto i miei dubbi sull'effettiva efficacia di un uso
pervasivo di ipsec se poi le stampe di rete avvenivano in chiaro :-)
Fabio

 le giuste acl vede i files in chiaro.
Eh, beh :-) 
A suo tempo ero rimasto che questo era gia' adeguato, poiche' il
requisito era che i dati non fossero visibili in seguito, ad es,
al furto dei supporti di memorizzazione.
Fabio

 pervasivo di ipsec se poi le stampe di rete avvenivano in chiaro :-)
ROTFL!
(esiste qualche stampante che supporti ipsec, btw? <g>)


 
Piu' la gente si impegna per implementare partiche di sicurezza piu' i 
vari problemi emergono.
Mi pare che sia emersa una interpretazione restrittiva per alcuni tipi 
di dati che tende a limitare al massimo l'accesso agli stessi, anche per 
le persone che li devono trattare. Siccome l'occasione fa l'uomo ladro 
non gli diamo occasione...


 
Ti ringrazio per link e suggerimenti.
Prima di implementare il sistema mi faro' una bella studiata e magari vi 
interpello di nuovo.
ciao


 (esiste qualche stampante che supporti ipsec, btw? <g>)
Non saprei: m'ero ripromesso di cercare qualcosa in merito ma non l'ho 
mai piu' fatto. Li' per li', eravamo rimasti che avrebbero spostato su
stampanti condivise (smb) almeno le stampe dai contenuti ritenuti piu'
critici (il traffico tra gli host windows era su ipsec, come dicevo).
Fabio