Newsgroup: it.comp.sicurezza.varie
Titolo: Domanda su proxy

Ciao a tutti,
volendo implementare nella mia rete LAN una webcache avevo pensato di usare
un proxy (tipo squid o qualcosa di simile) per le connessioni al web e di
continuare a usare il NAT per tutte le altre connessioni.
Leggendo articoli vari sparsi sulla rete, mi sono reso conto che molti di
questi dicevano che implementare un proxy è rischioso in quanto è molto
facile che ci possano essere bug dell'implementazione e un attacco a un
proxy può essere pericoloso in quanto il proxy può essere usato come punto
di partenza per altri attacchi e quindi visto come artefice.
A questo punto mi chiedo, esiste un modo sicuro per implementare una
webcache? senza correre questi rischi? o mi conviene abbandonare l'idea di
usare una webcache?
grazie
ciao
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.624 / Virus Database: 401 - Release Date: 15/03/2004

 artefice. 
Chi ha scritto 'sta stronzata?
Qualunque servizio e' potenzialmente bacato, e qualunque macchina che
fornisca servizi e' potenzialmente sfruttabile. Il pericolo e' dato
dall'esposizione che hanno la macchina e il servizio. 
Quindi proxy o webserver, sono tutti potenzialmente pericolosi in ugual
modo.
La saggezza sta nello scegliere software ben scritti e nel configurare
il sistema a dovere.
Insomma, no alle cose fai-da-te.

 abbandonare l'idea di usare una webcache?
chi ha detto che un proxy è insicuro? QUalsiasi servizio 
potenzialmente è insicuro. Devi cmq prestare attenzione a come lo 
configuri.
Se non hai grosse esigenze puoi anche usare apache con Mod_proxy, 
magari autenticando per IP oppure per user e pass da databases.
Se ti serve una mano fammi sapere.
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group | X-Privat Free Server
http://www.fiag.it
       | 
http://www.x-privat.org

 Se ti serve una mano fammi sapere.
Se metto il proxy sulla stessa macchina che fa il NAT e ha anche il
firewall, vado bene a sicurezza (anche perchč non ho un'altra macchina da
dedicare ad uso esclusivo) avevo pensato di fare in modo che le
comunicazioni web dei client passasero dal proxy e il proxy comunicasse con
il NAT e il nat uscire su internet.
Praticamente configurando la scheda di rete del server con 2 IP, su un IP
metto in ascolto il proxy, e poi sull'altro metto il NAT, cosě da avere
questa configurazione:
client --- webcache --- router software --- firewall software --- internet
mentre tutti gli altri servizi configuarli cosě:
client --- router software --- firewall software --- internet
Se ho scritto cose sbagliate corregetemi!
grazie del vostro aiuto


 ha scritto nel messaggio
news:c3esm1$9sq$1...@lacerta.tiscalinet.it...

Aggiungo un ultima cosa! se tutto quello che ho scritto č fattibile lo si
puň fare anche con piů dispositvi hardware dedicati (firewall, router) e/o
usando piů pc dedicati a ogni scopo?
questa domanda era solo per sapere a livello di conoscenza


facile che ci possano essere bug dell'implementazione
   L'unica giustificazione che mi viene in mente, per un'affermazione
del genere, e` che quegli articoli parlassero di proxy aperti al
pubblico (tipo anonimizzatori) oppure di proxy in una rete dove e`
necessario proteggersi anche dagli utenti locali.
   Se la tua e` una piccola lan, o addirittura una lan domestica, e
configuri il proxy per accettare connessioni solo da locale, e per di
piu` hai un firewall che blocca tentativi di connessioni al proxy
dall'esterno, non vedo perche` il proxy dovrebbe essere cosi` *piu`*
vulnerabile di altri servizi.
-- 
S.L.

 di partenza per altri attacchi e quindi visto come artefice.
Che ?!? Scusa ma .. se il proxy sta DIETRO ad un firewall, è visibile
soltanto
alla LAN, non è raggiungibile dall'esterno e (nel caso di squid su *nix)
gira
in chroot ... non vedo dove dovrebbe essere il problema
mah ... forse hai letto qualche articolo sbagliato .. hai qualche link :-)
??

 client --- router software --- firewall software --- internet
a me non piace, mai provato oltretutto. Cmq io non sono un esperto di 
reti. Se ti server configurare il proxy ok, ma sul dove metterlo 
questo č compito tuo :)


 ha scritto nel messaggio
news:c3fc31$27jqu0$1...@ID-180886.news.uni-berlin.de...

ecco il link dove ci sono scritti gli svantaggi del proxy
http://www.pc-facile.com/security.php?id=132
leggilo e dimmi cosa ne pensi!!


 tua dmz se lo usi solo come chache locale.
Scusa ma perchč metteresti il proxy nella dmz? secondo me non ha senso
anzi č sbagliato! la DMZ non dovrebbe essere una zona riservata ai server
che offrono servizi all'esterno e separata dalla lan
Da quel che ne so, la DMZ serve a separare la LAN dai server che offrono
servizi su internet (es. webserver)
Secondo me la webcache deve stare nella lan! o sulla stessa macchina che fa
da router firewall oppure su una macchina a parte!
vedi infatti i software tipo kerio winroute firewall, questo si installa su
una macchina nella lan e fa da router, da firewall e anche da webcache
tramite proxy o trasparent proxy. Quindi se un software del genere č
progettato cosě, penso che la mia idea di far fare tutto a una macchina
(magari configurando la scheda di rete con 2 ip, ma penso che si possa fare
anche con un solo ip) non sia sbagliata! e possa essere anche sicura!
Tutto questo dopo averci pensato su a lungo!
Se non siete daccordo o ho scritto qualcosa di sbagliato ditemelo!
grazie a tutti


 servizi su internet (es. webserver)
quoto. (Pertinentemente al thread.)

 Hint: possono esistere varie dmz.
Ossia? Quali sono i vari tipi di dmz?
io conosco un solo tipo (quella a cui mi riferivo prima)


 Io parecchie tipe, e la cosa non mi dispioace. <g>
lol :)
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group | X-Planet Community
http://www.fiag.it
       | 
http://www.x-planet.org

 daccordo o ho scritto qualcosa di sbagliato ditemelo! 
e non sbraitare :)
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group | X-Planet Community
http://www.fiag.it
       | 
http://www.x-planet.org

 possono coesistere diverse dmz.
Scusa la mia ignoranza, ma come si fa a creare piů di una dmz sulla stessa
macchina?


 io conosco un solo tipo (quella a cui mi riferivo prima)
Io ne uso due.
Una dmz *esterna* che contiene i server visibili dal mondo.
Una dmz *interna* che contiene i server locali, accessibili solo da lan,
ma che e' comunque protetta da un firewall.
E' tanto che lo dico: sono paranoico.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


Scusami, ma vorrei capire meglio! Hai una DMZ interna ossia così?
router ---- firewall ---- dmz --- firewall --- lan ?
ma scusa se la dmz è contattabile dalla lan, ne diminuisce la sua utilità!
Poi non capisco che senso ha creare una DMZ se non ci sono macchine che
offrono servizi all'esterno! non è sufficiente metterle nella lan
(sottintendendo che la lan si firewallata!)
scusate ma non ho molto chiara la situazione!
ciao


 Io parecchie tipe, e la cosa non mi dispioace. <g>
ab...@whiplasha.it

 offrono servizi all'esterno! non è sufficiente metterle nella lan
Le proteggo anche da accessi indesiderati dalla lan.
Non tutta la lan puo' fare le stesse cose su tutti i server in dmz
interna.


 Enne vlan?
anche con w2000 se non erro


 ti hanno dato 
ottime ragioni, imho.


 bucarne DUE, di firewall.
Si ok, ma se ti bucano 2 firewall beccano tutto, ossia la dmz esterna,
interna, e la lan.
Nel caso della DMZ esterna, imho il discorso è diverso perché essendoci dei
servizi contattabili dall'esterno, quindi si presume che alcune porte sul
firewall siano aperte, un attacco al server in dmz "esterna" verrebbe
effettuato sfruttando vulnerabilità del server stesso, quindi il firewall
non viene compromesso, ma il server si, la lan è protetta, ma il server può
essere attaccato!
Nel caso della DMZ interna imho il discorso è diverso, perché si presume che
il firewall non abbia porte aperte, dato che non ci sono servizi offerti
all'esterno, quindi se si subisce un attacco dovrebbe essere, perché il
firewall è stato compromesso, in questo caso penso che salti anche la
protezione della lan!
che dici?


 protezione della lan!
I problemi sono vari:
Primo: ulteriore protezione della lan dall'esterno:
Mettendo due firewall in cascata, diversi, mi riparo anche da una
eventuale debolezza del firewall esterno.
Metti che una versione ben precisa di ssh sia vulnerabile.
Mi passano il primo firewall, e si schiantano sul secondo, che NON
ha la stessa versione.
Oltretutto, il secondo fw puo' prendere provvedimenti drastici, se
si accorge che bucano il primo.(non ci vuole molto, ad attivare un
relais che toglie alimentazione al router quando vede arrivare IP
*marziani*)
Secondo obiettivo: protezione server interni da attacchi esterni:
come il punto precedente, solo che i server interni hanno ancora
meno possibilita' di manovra.
Terzo obiettivo: evitare che chiunque passi con un portatile e si
attacchi ad una presa ethernet vada a fare quel caspita che vuole
nei miei server interni: Se non ha un mac address conosciuto, che
sia abbinato ad un nome preciso e ad un IP preciso, ha le stesse
possibilita' del due di coppe quando briscola e' spade.
Quarto obiettivo: evitare che il magazziniere vada a spasso per il
server con il navigatore dati riservato al controllo di gestione per
il direttore generale, o che con un driver odbc si scarichi tutto il
sapere dell'azienda. Esiste anche lo spionaggio industriale interno,
non ci sono solo gli ackari.



Probabilmente la DMZ interna viene costruita quando si ha una lan con
parecchia
gente e non si vuole render disponibili alcuni servizi per alcuni,
oppure per ridurre i rischi di attacchi provenienti dall'interno (worm,
virus,
programmi strani lanciati in modo sconsiderato da qualche pc della lan, ecc
ecc.
Per quanto riguarda la configurazione "back-to-back" (router, poi firewall
bastion host
con due schede di rete, una che da sulla DMZ pubblica ed una sul firewall
interno che
a sua volta ha un'interfaccia che da sulla lan), questa pare sia la
configurazione minima
piu' sicura.
Danny che _sicuri_ si e' solo di morire ;-)

 con due schede di rete, una che da sulla DMZ pubblica ed una sul firewall
Ehm, tre schede di rete: router - dmz - fw interno.



A tal proposito, se invece se ne usano solo due, una collegata al router e
l'altra
ad un piccolo hub al quale collego sia i server della DMZ esterna che una
delle
due schede del firewall interno, e' lo stesso, oppure e' preferibile usare
tre schede
in modo tale che  firewall interno e servers DMZ est. stian su sottoreti
distinte ?

 servizi su internet (es. webserver)
Hai ragione.
La dmz per definizione e' una zona a rischio in quanto direttamente 
contattabile da internet.
Probabilmente intendevano di preparare un ulteriore segmento di rete per
separare il proxy da i client, idea per altro molto valida.
Se poi questo segmento di rete lo chiami dmz o no, e' solo una sottigliezza.
Ciao


Alle altre risposte aggiungo:
Il firewall non e' un determinato sistema, e' un concetto.
Il firewall e' un mezzo per discriminare i "byte buoni da quelli cattivi".
Se li discrimini a livallo applicativo, con un proxy, o li discrimini a 
livello data link, ad esempio in base al mac-address di una scheda di rete,
concettualmente non cambia nulla, hai implementato un firewall.
Ciao


cosi' a senso viene da dir lo stesso pure a me.
Pero', tecnicamente parlando, mi domando quale maggior sicurezza possa
portare avere una configurazione del tipo :
2 Server DMZ con IP 192.168.1.2 , 3,  sulla seconda scheda 192.168.1.1 del
firewall esterno
1 Firewall interno con IP 172.16.1.2 sulla terza scheda 172.16.1.1 del
firewall esterno
rispetto  a
2 Server DMZ con IP 192.168.1.2 , 3,  sulla seconda scheda 192.168.1.1 del
firewall esterno
1 Firewall interno con IP 192.168.1.4 sulla seconda scheda 192.168.1.1 del
firewall esterno
forse magari la prima potrebbe venir bene per gestir meglio il traffico
sulle reti (e mi fermo qui
che non son granche' informato), ma dal punto di vista della sicurezza, se
imposto le regole
sul firewall per far si che vengan pubblicati solo i servizi sulle macchine
192.168.1.2 , 3
non ottengo lo stesso risultato con due schede di rete anziche' tre... ?
E se con tre schede (e relativa distinzione delle sottoreti) ho un livello
di sicurezza maggiore, per quale motivo
ce l'ho... ?

 non ottengo lo stesso risultato con due schede di rete anziche' tre... ?
Continui a ragionare a senso unico.
Non e' solo il fatto di pubblicare uno o piu' servizi.
I server in DMZ *SONO* soggetti a possibili exploit.
Devi proteggerti anche dai tuoi server, visto che il rischio che vengano
pilotati dal famoso ackaro esiste.
E' per questo che si usano firewall trischede, altrimenti non servirebbe
a nulla complicarsi la vita con un cablaggio simile.



Questo l'avevo capito, e' che a me sembrava sufficiente che il firewall
interno potesse
anche avere un'inferfaccia sulla DMZ ed una sulla LAN, pero' in effetti se
la scheda
anziche' sulla DMZ si connette alla terza scheda del firewall esterno e'
"meno insicuro" ;-)
Danny che ecco, adesso m'hai contagiato la paranoiaggggine :-)))


sui due firewall ci trovavam d'accordo, quel che non riuscivo a capire io
era
il motivo per collegarli in una certa maniera, e spero vivamente che sti
schemini
escan bene, quando avro' postato :-)

 escan bene, quando avro' postato :-)
Se non usi font a spaziatura fissa, negli schemini non si capisce
UBM.
Dalla tua descrizione si capisce di  piu'.


bucare due di fila, eh.. ci vuole un impegno mica da poco.
Questo, volendo, e' un argomento in favore dei firewall "limitati". Mi
spiego: ammesso che riesca a far eseguire uno shellcode su un firewall
(che dopotutto smista solo pacchetti), mi trovo messo molto peggio, ai
comandi di una macchinetta con poca potenza e capacita', di quanto non
lo sarei ai comandi di un PC general purpose.
Quanto meno, sottolinea il fatto che il PC general purpose deve essere
castrato con attenzione.
Leonardo filosofico
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 direttamente contattabile da internet.
no. Il problema più grosso è che non si prende in considerazione il 
caso di grandi LAN aziendali dove il caso tipico raccoglie nella DMZ 
interna servizi di caching, proxy, server mail locale, e quant'altro,
nella dmz con accesso a itnernet invece magri il server HTTP 
piuttosto che ftp. Non esistono solo le reti domestiche di due o tre 
pc paritetiche ma anche le grosse reti che danno servizi al loro 
interno per qualche centinaia o migliaia di pc e servizi anche minori 
all'esterno su sottorete diversa e su altra dmz.


 Dalla tua descrizione si capisce di  piu'.
Dai, gia'che ci sono provo a postare direttamente da google, cosi'
vediamo se si vedon gli schemini:
ecco il "mio" schema:
                                     router
                                       |
                    DMZ---switch---firewall est
                            |
                            |
                    firewall interno----switch----LAN
quindi, in questo caso qua sopra, sul firewall interno avro' una
scheda che
avra' un IP dello stesso tipo di quelli dei server che compongon la
DMZ e di una delle due schede di rete del firewall esterno.
ed ecco il "tuo" :
                                   router
                                     |
                 DMZ---switch---firewall est---firewall interno--LAN
ovvero, sul firewall esterno non avro' due bensi' TRE schede di rete
con tre
differenti tipi di IP, uno per mettersi in comunicazione con i server
della DMZ, uno per mettersi in comunicazione con il router e uno per
mettersi in comunicazione con il firewall interno.
In sostanza, nel mio schema il firewall interno e' in effetti un
server in DMZ, pur avendo una scheda di rete che da sulla LAN.
Trattandosi di firewall, pensavo che, anche qualora qualcuno riuscisse
a compromettere una delle altre macchine in DMZ (una su cui giran i
servizi pubblicati su Internet, intendo) e sfruttarla per attaccare il
firewall interno, si troverebbe ne' piu' ne' meno nella stessa
condizione in cui si troverebbe in presenza di uno schema come il tuo.
Leggendo il post di Thorin, in effetti il discorso sulla "effettiva
separazione che accoppiata a tabelle di routing che limitano lo
scorazzare" mi porta a pensare che la soluzione a tre schede possa
portare un po' di sicurezza in piu' proprio in virtu'del fatto (sempre
se ho capito bene) che, chi prende il controllo del server in DMZ deve
comunque prendere il controllo del firewall esterno, se vuole tentare
di prendere a sua volta il controllo del firewall interno e
conseguentemente tentare di prendere il controllo della LAN.
Mentre in una configurazione come quella del "mio" schema, una volta
compromesso
il server della DMZ non ci si deve preoccupare del firewall esterno
quanto solo di prender il controllo di quello interno.
E' esatto ?

 wrote in message
news:63e1b8d0.04032...@posting.google.com...
P.S. Nel "mio" schema (il primo) il firewall interno viene collegato
allo switch a cui son collegati i server della DMZ.
Manco postando da google son riuscito a farli venir bene... sigh...
Danny che questo mi sa' di ulteriore limite del guarda fuori espresso
(Thorin non ridere) :-))

 Manco postando da google son riuscito a farli venir bene... sigh...
Sbagli tu a leggerlo.
Insisto: setta il tuo reader con un font non proporzionale.


 E' esatto ?
Colpito.
Adesso torniamo nella realta'.
La mia configurazione e' in effetti complessa, non e' detto che sia la
normalita'.
Ho aggiunto il firewall interno principalmente per discriminare gli
accessi ai derver interni (gestionale e altro).
Una volta pero' che ci si e' pensato, lo si e' sfruttato e configurato
per fare da ulteriore bastion host.
Forse, se non avessi avuto questa esigenza, mi sarei limitato ad una
configurazione standard, UN firewall a tre schede, e i server interni
in lan, ferma restando la DMZ con i server esposti.
Ma sono paranoico, e non escludo che ... ;-)



;-)

 lan. ma non necessariamente perche' contattabile da internet.
Hai ragione (ho controllato :) ).
Pero' nella situazione di un firewall con tre schede di rete, una su
internet, una sulla lan e una su una dmz, se metto un proxy http in dmz,
contattabile solo dalla lan, cosa rende la dmz a livello di trust inferiore ?
Sia la lan che la dmz sono protette dallo stesso firewall, entrambe non sono
contattabili da internet, entrambe ricevono lo stesso flusso di dati, solo
che il proxy, a differenza di un browser, non lo interpreta e quindi e' meno
a rischio codice-maligno.
Comunque siamo nel campo delle definizioni, sulla necessita' di un oculata 
gestione di segmenti di rete (dmz o no) nella progettazione di una rete, 
dubbi non c'e' ne sono.
Ciao

 all'esterno su sottorete diversa e su altra dmz.
Giusto. Infatti il mio errore e' piu' che altro semantico. Davo a dmz il
significato di "contattabile da internet", nelle altre situazioni da te 
esposte mi limitavo a dire "mettiamoli in una diversa sottorete", per
motivi di sicurezza ma non solo.
Ciao