Newsgroup: it.comp.sicurezza.varie
Titolo: Porte e sicurezza.

Da un punto di vista pratico, è preferibile
una porta in modalità "closed" o "stealth" ???
A mio giudizio una porta stealth è invisibile mentre una porta closed è
visibile ma, seppure chiusa, è cmq attaccabile. Sbaglio ???
(Lo stesso messaggio è stato postato PER ERRORE
in it.comp.reti.locali. Faccio pubblica ammenda
e spero nella vostra infinita bontà e comprensione)

visibile ma, seppure chiusa, è cmq attaccabile. Sbaglio ???
Sbagli :-)
"stealth" significa che se gli mandi un pacchetto di prova, la porta non
ti risponde. "closed" significa che ti risponde dicendo "sono chiusa".
Quindi, come ATTACCABILITA', e' la stessa: il pacchetto di prova arriva,
anche se l'hacker non lo sa.
In piu' - una porta "closed" e' piu' probabile che sia una porta che non
ha servizi dietro, piuttosto che una porta "protetta" da un firewall che
risponde "sono chiusa" fingendosi la porta medesima.
Invece, una porta stealth su un host NON stealth (cioe', un host che sai
che e' attivo) potrebbe anche avere qualcosa di succulento dietro, e uno
hacker/cracker/lamer/wannabe (in ordine di probabilita' crescente) puo',
per la serie "hai visto mai", tentare l'assalto.
Tanto per dire... alcuni firewalls ti farebbero vedere la porta 139 come
se fosse ant^Wstealth. Ed in effetti sarebbe stealth. Ma non impediscono
alla porta di RICEVERE pacchetti; sicche', con un po' di pazienza (ma su
Win95/98 e credo anche ME, non troppa), tu hai la porta stealth, e io ti
mando il PC in "blue screen of death".
Invece, se la porta e' closed (VERAMENTE closed), nessuno sta ascoltando
e quindi non e' possibile fare danni (tranne che un DoS, ma quello...).
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.


-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

 ha scritto nel messaggio
news:Xns92285270606clb...@127.0.0.1...

Ti ringrazio.

 
ehm, forse devi ancora mettere a punto qualcosa nel tuo nodo di 
quotare...
Ho scaricato una bibbia di post credendo che fosse il seguito del 
discorso per leggere 12 caratteri di risposta :(
Luca

 Luca
ci sto provando, ci sto provando

 Cosa sia preferibile dipende da cosa ci devi fare tu.
Sto effettuando delle analisi su diversi firewall per valutare quale sia
quello che
offre il grado di affidabilità più alto

non c'è ?
No; vuol solo dire che *tu* non senti, dall'altro capo, se il telefono
squilla o meno. Ma potrebbe benissimo squillare, e magari il tizio che
ha quel telefono potrebbe essersi suicidato per lo stress :-)


 Leonardo
Ne deduco che CLOSED è la condizione migliore...
Sbaglio ancora ???
Leonardo
:-))

Ne deduco che CLOSED è la condizione migliore...
Diciamo che, o riesci a mettere stealth tutto (e allora il PC e' a tutti
gli effetti invisibile), oppure tanto vale tenere in CLOSED (che, tra le
altre cose, e' piu' economico).
Per una navigazione occasionale IMHO il CLOSED e' la meglio - non attira
l'attenzione. Di gente in stealth ce n'e' poca e di gente in CLOSED sono
pieni i fossi :-)
Poi, naturalmente, e' una mia opinione, e generale; va visto il caso.


 pieni i fossi :-)
io faccio il tifo per lo STEALTH: se ti mandano una raffica di SYN
provenienti da IP spoofati, perlomeno hai il vantaggio che al legittimo
proprietario dell'ip spoofato non gli arrivano una raffica di RST
provenienti dal tuo ip...

 Leonardo
Sto verificando il funzionamento di alcuni firewall software analizzando
il risultato ad un tentativo di scansione delle porte per stabilire quale
sia
il più affidabile. Al termine potrei inviarti una copia dello schema con i
risultati finali e ne riparliamo.
Leonardo


"Rispiegamelo come si fa ad un bambino di 4 anni"
(Denzel Washington a Tom Hanks nel film "Philadelphia")

provenienti dal tuo ip...
Siamo d'accordo, ma tu mi parli di un DoS. Ora, contro un DoS da traffico
non c'e' firewall che tenga; e contro uno spoof dei SYN il danno maggiore
non e' il traffico in uscita.
Diciamo che se il problema e' un attacco tipo DoS di questo tipo, o speri
che i tuoi clients capiscano il syncooking, e metti su una box Linux/BSD,
oppure te lo devi tenere (tutt'al piu' lo fermi facendo si' che il DoS si
esaurisca contro un mattoncino attrezzato --> Cisco).
Nel caso che uno non offra assolutamente servizi, gli puo' convenire fare
come dici tu (silent drop di *qualsiasi* cosa arrivi con SYN settato).
Leonardo
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".



Quattro anni nun ja fo :-)
Comunque:
1. Le "connessioni" con il protocollo piu' diffuso, TCP, che e' poi
   il protocollo che trasporta i piu' noti SMTP, HTTP, POP3, FTP, e
   via andando, avvengono in tre fasi.
	1.1 La prima di queste vede il client inviare al server una
	    richiesta di connessione (SYN).
	1.2 Alla ricezione del SYN, il server inizia ad allocare un
	    po' di risorse, per servirla; queste risorse sono pero'
	    limitate.
2. Esiste un Denial of Service (DoS) consistente nel mandare grandi
   quantita' di SYN allo scopo di esaurire le risorse del server.
3. Poiche' non sarebbe saggio che ognuna di queste richieste avesse
   scritto sopra l'indirizzo dell'attaccante, questo "falsifica" il
   proprio indirizzo. Ogni SYN "sembra" venire da un diverso client
   che, quando esista davvero, e' innocente.
	3.1 Ogni tanto, una piccola percentuale dei pacchetti porta
	    il REALE indirizzo dell'attaccante... che cosi' ha modo
	    di "monitorare" i risultati dell'attacco, confondendosi
	    pero' nella "folla" di falsi clients.
   La falsificazione dell'indirizzo e' detta "spoof".
4. Nel caso che sulla macchina attaccata NON ci sia un servizio che
   ascolta sulla frequenza (=porta) attaccata, il sistema operativo
   (o anche Windows) risponde con un pacchetto di "Stai sbagliando"
   (RST), ma _non_ alloca risorse; ecco che in questo caso il flood
   di SYN non ha particolari effetti di esaurimento risorse.
5. Pero', i RST vengono inviati all'indirizzo scritto nei SYN, e se
   questo indirizzo e' falso, qualcuno che nulla sa di tutto questo
   ricevera' una valanga di RST.
   Immagina di bombardare un sito con SYN "provenienti" dalla NSA.
	5.1 Alla NSA non sono cretini, e un bombardamento di RST e'
	    praticamente innocuo - l'importante e' non abbandonarsi
	    al panico. Sicche' la NSA non sparera' a bruciapelo sul
	    povero SYN-floodato; al massimo gli manda una email.
6. Nel caso che il firewall sia settato su "stealth" - e questo sia
   ottenuto tramite disintegrazione silenziosa dei SYN in arrivo[1]
   ovviamente i SYN non arrivano al manager dello stack IP e quindi
   questo non invia alcun RST. E i "mittenti apparenti" non vengono
   turbati da dei RST provenienti da un illustre sconosciuto.
	[1] Certi firewall si limiterebbero a sostituire il sistema
	    operativo (che in questi casi, e' comunque *gia'* stato
	    sostituito da una interfaccia grafica di bassa lega) in
	    modo da impedire la RISPOSTA al SYN, che pero' arriva.
	    Non so se oggigiorno ne esistano ancora, dato che da un
	    po' mi interesso solo di sistemi operativi, che - quasi
	    sempre - hanno incorporate facilities di packet filter.


 si' che il DoS si esaurisca contro un mattoncino attrezzato --> Cisco).
1) cosa c'entrano i client con i syncookie?
2) che cosa ha inventato cisco?
Fabio

 
http://groups.google.com/advanced_group_search

2) che cosa ha inventato cisco?
Cisco non ha inventato niente, pero' PRODUCE :-). Non so _come_ funzioni
l'attrezzo; presumo che si occupi lui della connessione e faccia passare
i pacchetti mascherandoli una volta che il 3-way e' completo... pero' e'
solo una mia spiegazione di lavoro.


 i casini li faceva l'ECN.
Io sono diventato pazzo perche' ad uncerto punto la rete di libero (e 
solo quella) era diventata inaccessibile proprio "grazie" a quei 
maledetti ECN... :(
Non so se c'abbia qualche cosa a che fare...


 completo... pero' e' solo una mia spiegazione di lavoro.
Una specie di tcpwrapper ma... su un altro host? Non lo sapevo, poi
provo ad informarmi. Comunque, a sua volta, immagino che implementi
qualcosa tipo syncookie, altrimenti rimane ad essere lui esposto al
DoS di un eventuale SYN flood (magari ha solo un SO o uno stack TCP
piu' ottimizzati per far fronte a certe evenienze).
Ma come fa, poi, a creare un socket sul server e passargli lo stato
della connessione? Va bene, cerco da solo :)
Fabio

della connessione? Va bene, cerco da solo :)
L'unico modo che mi viene in mente e' costosissimo, e consiste nel
fare una specie di masquerading inverso - il che significa, pero',
riscrivere ogni pacchetto, a mano a mano che transita, perche' non
e' plausibile che i numeri di sequenza siano gli stessi fra host e
scatolotto.
Oddio - vero e' che basta ricordarsi DUE valori (uh... o quattro?)
per ogni socket, e che anche a 100 mbps non si sale sopra i 2 mpps
- e cento milioni di check & replace per secondo sono ampiamente a
tiro di un RISC di prezzo umano.
Fosse roba Microsoft, sarei sicuro che l'aggeggio e' semplicemente
un proxy inverso (HTTP accelerator, credo si chiami?). Da Cisco mi
aspetterei roba piu' feroce.
+++
Incidentalmente ho visto che questa funzione e' chiamata SYNthesis
ed e' disponibile su un altro mattoncino, l'AppSafe 3500 - secondo
la brochure, l'aggeggio fa un "replay" dei pacchetti (non mi torna
tutto 'sto gran che, ma c'ho un mal di capo stianto, sicche'...).


chi sia l'altro...
Guarda il fine riga, magari aiuta <g>


 Sbagli.
Era solo una deduzione logica così scaturita: se una porta è chiusa, la vedo
quindi posso tentare di aprirla; se una porta è invisibile non la vedo per
cui
cosa cercherò di aprire (o farmi aprire ?). Ma dalle risposte fin qui
ricevute
ho capito che le cose non stanno proprio così...

 per aprirla.
Urge lettura di "Turbamenti di una minorenne". Hfaq 2000, mio sito. :-)
Non e' uno scherzo, spiega alla perfezione il concetto di porta (che non
e' una porta chiusa che si puo' sfondare).
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Guarda il fine riga, magari aiuta <g>
Fin'ora ho fatto cosi', ma se l'altro si mette a sernificare? ;)
No, scherzi a parte, bisognerebbe che l'altro leonardo sistemasse la 
cosa. Sai com'e', non vorrei prender lui per te... Senza nulla togliere a 
l'altro
HappyCactus contorto


cosa. Sai com'e', non vorrei prender lui per te...
Capisco... ma spiegami: com'e', che ti ritrovi un newsreader che non
ti fa vedere il "From"? Perche' spero bene che io e l'altro leonardo
usiamo due indirizzi diversi.
[1] scomoda, perche' questo algoritmo mi limita a reply di 11 linee.


   (o anche Windows) risponde con un pacchetto di "Stai sbagliando"
    ^^^^^^^^^^^^^
LOL
Keith
--
Faites vos yeux, rien ne voit plus
------

 Leonardo
per quanto mi riguarda, puoi stare tranquillo, io uso un indirizzo diverso
dal tuo.
Leonardo
:-))

 tutto 'sto gran che, ma c'ho un mal di capo stianto, sicche'...).
Ho trovato qualche doc sull'APpSafe 3500 e mi sembra di aver capito
che semplicemente monitora lo stato delle connessioni incomplete e,
quando si comincia ad esagerare, droppa il traffico proveniente dal
ip sorgente (in caso di DoS) o destinato all'IP destinazione (DDoS).
Questo, ovviamente, puo' istigare ad altri simpatici DoS ;)) Nulla,
invece, in merito alla funzione di replay, a meno che non si tratti
della funzione che chiamano anche mirror con la quale riproducono i
pacchetti (replay) anche su un segmento di rete collegato ad un ids
per una analisi piu' approfondita di quella che l'apliance stessa e'
in grado di fare.
Fabio

 usiamo due indirizzi diversi.
Niubbo, i "from" si possono taroccare! ;)
Non sto a spiegarti che di solito e' prassi che l'ultimo arrivato si 
cambi il nick. Comunque il problema e' risolto, l'altro e' nel mio 
killfile.


 [1] s <cut>
argh... O_O
bye,
un lurking Dusk esterrefatto

ip sorgente (in caso di DoS) o destinato all'IP destinazione (DDoS)
No, il doc che avevo io diceva esplicitamente che ANZICHE' droppare
i SYN (cosa che blocca le connessioni legittime), il sistema era in
grado di mitigare il [D]DoS senza effetti negativi per queste.
Ora ci studio su.


Niubbo, i "from" si possono taroccare! ;)
Claro que sim. Be', forse puoi filtrare per indirizzo IP. Comunque,
t'assicuro che un taroccatore non avrebbe vita facile (non posso in
undici righe [1] dare i dettagli, ma pensa solo al giustificare...)
Leonardo che Echelon gli fa un baffo
[1] spero d'ovviare, prima o poi. Uh, potresti allungarti il nick?


 [1] spero d'ovviare, prima o poi. Uh, potresti allungarti il nick?
Potrei, ma non vorrei far sgarbo a tutti coloro che mi hanno nel 
killfile. :) E poi ho molta fiducia nella tua fantasia, sono certo che 
saprai ovviare anche a questo problema
HappyCactus cosparso di cenere



oddio, cos'ho visto. =8-|
-- 
Seti@Home Java Applets
http://maruko.cjb.net/
http://maruko.cjb.net/bofh.jsp

ARGH! :)
Mi ricorda una scena dei tempi bui col Martini, a ottobre del 2000, prima
che avesse quel tragico incidente. La raccontai a Thorin - e non so se mi
abbia creduto [1] :-). Forse la ripostero' altrove.
(Maremma impestata, mi sovviene solo ora che m'hanno puppato la ricevente
a infrarossi che usavo col Palm. Bisogna che vada a ripigliarmela [2]).
Leonardo
[1] o forse sta ancora sghignazzando [3]
[2] non me ne fo nulla, ma piuttosto che lasciargliela gli do fňo. E poi,
    me l'ero pagata io, perděo.
[3] so da fonte affidabile che il modo di dire "fare le pompe ai dati" e'
    diventato folklore ufficiale, in Un Certo Luogo [4].
[4] cio' potrebbe consentire a eventuali frequentatori di riconoscerlo...
    sappiano che in tal caso io neghero' tutto, anche l'evidenza. E ho un
    tot di testimoni che giureranno che in quel periodo ero in una banca,
    ad almeno 5 km di distanza, ogni santa mattina.


maniche *tanto* lunghe? 8-]
Si', purche' non sia come quelle che gia' ho, che sono scomode in una
maniera inconcepibile: si abbottonano sul dietro. Non so chi fosse lo
stilista, ma IMHO era pazzo da legare.


 [1] s
Avevi ragione quella volta, tu sei psicopatico! :-)


 per cominciare affermo che si puo' fare". Ma non te ne sei accorto.
Lui, no.
Evidentemente, pero', altri vecchi tuoi estimatori, abituati a leggere 
oltre la sostanza di quello che dici guardando anche l'apparenza, si'.
Non e' che sia troppo difficile, in effetti, ma la cosa puo' diventare
antipatica nel caso in cui si fosse troppo prolissi (a me capita ormai
regolarmente) impedendo di fatto ogni comunicazione con chi si avvalga
di un nick troppo corto.
Ovviamente, se poi vuoi anche che sernifichiamo i testi, ci proveremo.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 Avevi ragione quella volta, tu sei psicopatico! :-)
La definizione esatta e' psicosimpatico.
IO, invece, oltre ad essere pscipatico, pissicatipo, insomma, sono anche
antipatico.


antipatico.
Chi e'? Non la conosco. E' carina?
Leonardo <g>


 Chi e'? Non la conosco. E' carina?
Una collega.
Non te l'ho mai presentata.
Si'.
Ora non esagerare.
Stai sempre attento, eh?
Proprio perche' sono antipatico, non te la presento.
Evita di cercare cio' che non e' esplicito nei miei post, non sono del
tutto sicuro di reggere il gioco per molto tempo.
Tienti pronto, non si sa mai, anche sabato scorso ero dalle tue parti,
oltretutto, ti debbo ancora ringraziare per quel posto dove si trovano
sostanziosi esempi di "munizioni da bocca" che mi hai fatto conoscere.
Ora pero', vista l'ora tarda (o presta, dipende dai punti di vista) ti
lascio ai tuoi impegni, e torno ad occuparmi dei miei.
Evidentemente, di psicopatici, qui dentro, ce ne e' ben piu' di uno, e
ovviamente, se non fosse per la '180' io ora non sarei a piede libero.


 Lui, no.
<cut>
Cosi' pero' hai scritto cOmE Un lAmeR. <eg>


 killfile.
Ma dai, una piantina grassa buonina buonina, che nemici vuoi che abbia?
:-)


 :-)
Ti devo una birra.  :)
-- 
don't feed the troll
partecipa anche tu all'iniziativa:
"il primo fanculo ? quello che conta"
killa in silenzio, vivi felice

 Ti devo una birra.  :)
A luglio facciamo la festa della birra, se vuoi venir giu'... :-)
