Newsgroup: it.comp.sicurezza.varie
Titolo: ICMP Spoofing

Salve a tutti,
mi chiedevo a cosa servisse questa tecnica di difesa in cui un firewall 
risponde al ping ICMP al posto di un host della propria rete.
Inoltre qualcuno sa se questa tecnica è utilizzata oppure è in qualche 
modo efficace?
Grazie
G.R.

risponde al ping ICMP al posto di un host della propria rete.
Mah, mi vengono in mente tre possibilita':
- un eventuale attaccante non puo' ottenere informazioni sulla geometria
  della rete (ma mi sembra di poco sugo, a meno di reti complesse o dove
  abbia senso un controllo sul TTL)
- alcune (poche) informazioni di fingerprinting vengono eliminate
- l'attaccante non puo' usare ICMP per stuzzicare l'host, o determinarne
  lo stato.
Per l'altra domanda sul TCP reset, e' normale che un firewall risponda a
una richiesta esterna (se la connessione non e' autorizzata) con un RST;
puo' anche rispondere con un ICMP-unreachable appropriato. In genere, la
seconda opzione e' piu' "da firewall", la prima e' il default di un host
privo di firewall che non offre il servizio.
Quale delle opzioni sia piu' opportuna, non saprei dire. Dipende da cosa
vuoi ottenere. Uno skript kid, probabilmente, vedendosi un RST pensa che
sia una macchina non firewallata e fa un portscan a tappeto ("E qualcuna
di queste porte sara' pure aperta...!"). Ma potrebbe anche pensare "Bah,
una macchina senza servizi, capace sia una playstation overclockata, non
ha senso cercare di farci qualcosa, passiamo oltre...".
Leonardo e .0019 EUR
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 Leonardo e .0019 EUR
Ciao,
G.R.
p.s. so che possono sembrare un po sospette come domande ^_^

p.s. so che possono sembrare un po sospette come domande ^_^
Ma si figuri, Maresciallo! Le pare che questo sia un covo di acheri?
Leonardo


 un covo di acheri?
http://www.bioxigen.com/anti_acari.html
scherzi a parte e tornando al discorso "blocco ICMP"
debbo dire che ho visto _spesso_ reti configurate in
modo da bloccare ICMP dai clients (NAT-tati) e
permetterlo solo a determinate macchine, ora, mi
rendo conto che la cosa può causare dei problemi
ma, specialmente in alcune realtà (es. reti multiple
connesse geograficamente e con un unico punto
di uscita verso internet) nelle quali non è possibile
(o cmq.. non si vuole farlo) controllare per bene la
rete, si tratta a quanto ne so di una prassi comune
Ciao

 inviare informazioni sensibili (come se non ci fossero altri sistemi!)
Personalmente anche io sono piů per lasciare passare ICMP ma ti posso dire 
per esperienza molto diretta che bloccare ICMP di senso puň averne eccome. E 
non mi riferisco ad eventuali flooding ma a veri e propri tunnelliing che si 
possono far viaggiare su ICMP.

 possono far viaggiare su ICMP.
Se è per questo, molto più pratico incapsulare in http.
Blocchi anche quello?

 Blocchi anche quello?
Ovvio che no. HTTP però è più controllabile per mezzo di sistemi quali 
proxy(ing) a livello applicazione o IDS. Giusto per fare un esempio il primo 
dei due è relegato esclusivamente ad HTTP anzichè ICMP. Io di proxy ICMP non 
ne conosco, ergo un tunneling potrebbe avere più probabilità di avere 
successo se fatto su ICMP anzichè HTTP, in alcuni casi. Da qui il fatto che 
bloccare preventivamente anche ICMP non è sempre sinonimo di paranoia: in 
alcuni casi può essere giustificato. In eraltà molto grandi difficili da 
tenere sotto controllo può essere addirittura quasi consigliato. 

 proxy(ing) a livello applicazione o IDS.
Ok, allora prendiamo https come esempio.
Devi negare la possibilità di fare CONNECT a livello del
proxy, ovvero impedire di fatto ai tuoi client di connettersi
a siti in https, altrimenti ti ci faccio passare quel che mi pare,
openvpn compreso. :)