Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza nel dispatching dei contenuti

Salve a tutti.
Avendo un'architettura server e diversi client (tutti con linux) 
collegati attraverso internet e dovendo spedire dei file dal server al 
client vorrei dei pareri su questi due approcci:
1) server copia via ssh file sul client. Il client ha firewall software 
configurato (iptables/netfilter) per bloccare tutto tranne ssh  per la 
copia dei file e l'amministrazione (IP fisso dei client e del server, 
niente VPN - i client sono connessi ad un router per la connessione)
2) viene creata una vpn  con firewall hardware che collegano tutti i 
client con il server. Per la trasmissione dei dati vengono utilizzati 
normali protocolli di trasmissione non criptati (es ftp ma non ssh etc ..)
Chiedo gentilmente pareri e consigli su :
livello di sicurezza dei due approcci
costi di acquisto ( in particolare di un buon fireewall hardware per 
tirar su la vpn )
costi di manutenzione nel tempo
Mi dicevano che prendendo un buon firewall hardware i rischi legati alla 
sicurezza sono molto ma molto limitati? Ma e' vero ? io pensavo che 
fossero attaccabili come i router avendo software a bordo fossero 
comunque soggetti a bug exploit etc .. (ma non occupandomi 
specificatamente di sicurezza ....mi possono anche dire che i somari 
volano che ci credo)
Grazie in anticipo
MB

 
Dipende dai vs. obiettivi. Dei tre pilastri canonici della sicurezza
(integrità, disponibilità e confidenzialità) qualcuno vi interessa più di
altri, vi interessano tutti allo stesso modo, di qualcuno non ve ne frega
nulla?
Per creare VPN non è indispensabile un FW hardware. OpenVPN
(
http://openvpn.net/
) è una decente implementazione software OpenSource
adatta alla maggior parte delle applicazioni dei comuni mortali. Richiede
un po' di smanettamenti, ma funziona!
Nulla vi vieta di creare VPN (per impedire traffic analysis ad eventuali
ascoltoni) e poi usare comunque SSH per complicare la vita al network ed al
system administrator (sempre che non corrispondano, se sono la stessa
persona o la stessa squadra poco importa tanto avrà sia le chiavi usate per
la VPN che quelle di SSH....). In questo modo (se le responsabilità non
sono tutte in un solo ufficio) tutte le chiavi necessarie ad aprire
completamente il canale non sono nelle stesse tasche (i ns. nonni dicevano
che le uova non erano tutte nello stesso paniere, che è la stessa cosa).
Usando tutto software OpenSource i costi si riducono alla gestione delle
configurazioni e delle chiavi. Ogni quanto cambiare le chiavi dipenderà
dalla sensibilità dei dati scambiati. Cambiarle al minimo ogni tre mesi e
ad ogni dimissione/neoassunto/cambio incarico è buona prassi, in
"paranoid-mode" si può anche arrivare a cambiarle ogni mese.... ma può
essere oneroso, specie considerando che NON puoi trasmetterle sullo stesso
canale che poi dovranno proteggere (sembra ovvio, ma non immagini quanti
non ci pensano e trasmettono sulla VPN o via SSH la prossima chiave che poi
useranno per cifrare quel tunnel VPN o SSH..... sigh! ).
Come regola "tagliata con l'accetta" pensa ad un costo (fra tempi-uomo/donna 
e costi amministrativi e logistici) di circa 30 Euro per ogni cambio chiave
x ogni client + un costo di cica 150 Euro x client x server al primo
startup e di 80 all'anno x client x server (questo usando tutto open-source
e senza eventuale hardware aggiuntivo).
-- 
AB