Newsgroup: it.comp.sicurezza.varie
Titolo: Modello di sicurezza per delivery file

Scusate volevo verificare la sicurezza di questo modello.
Macchina A con IP fisso con software per invio FILE su macchina B, C , D 
etc (anche loro con IP fisso )
Il software di trasferimento file è stato sviluppato ad hoc (supponiamo 
che sia abbastanza ben fatto da persona competente - lo diamo per buono )
Quindi sulla macchina A ho un software  per l'invio di file
sulle macchine B, C , D  dove c'e' un altro software ad hoc per ricevere 
i file e salvarli in una certa directory
Puo' essere sufficiente (a livello di sicurezza) impostare il router 
firewall hardware che si trova davanti  delle macchine B C  D  etc per 
ricevere connessioni SOLO dall'IP della macchina A ?
Tali router/firewall sarebbero configurati per lasciare in ascolto il 
nostro demone/servizio su una certa porta ma solo dall'IP della macchina 
A. E' sufficiente un firewall hardware per questo ?
Se si',
  basterebbero anche router firewall che si trovano in commercio a 
70/100 euro ?
Grazie in anticipo
M.

 
In linea di principio non e' il costo del firewall ad essere un problema (se
fa quello che il manuale dice che fa). L'importante e' gestirlo e sapere
che il firewall fa solo una parte del lavoro e protegge (forse) solo da una
parte dei rischi.
-- 
AB

 parte dei rischi.
Beh sei hai consigli per qualche modello di firewall di non complessa 
configurazione (o che si faccia leggendo un minimo di manuale ed avendo 
un minimo di rudimenti di reti e sicurezza  ) ti ringrazio molto
Grazie
M.

 
No, non ho un modello di firewall da suggerire perche' non ho una analisi di
rischio appena appena decente da cui capire. In ogni caso ho il sospetto
che vi stiate troppo concentrando sugli aspetti tecnologici del firewall e
troppo poco sugli aspetti gestionali di tutto quello che gli sta attorno.
Potreste anche scoprire che il firewall "entrocontenuto" nella macchina
Microsoft (se e' MS) o Linux (se e' Linux) potrebbe benissimo fare al
vostro caso senza bisogno di un pezzo di hardware esterno.
-- 
AB

 vostro caso senza bisogno di un pezzo di hardware esterno.
Ecco questà è una cosa che mi chiedevo:
Un firewall hardware non è in genere più sicuro di un firewall software 
(metti per esempio di un ip/tables di linux configurato a dovere) ?
So che diversi firewall come Astaro montano versioni di linux ad hoc ( 
come Montavista etc )
Se si scopre  un bug nel firmware di un  firewall hardware che cosa puo' 
riuscire a fare un attaccante ?
Mica guadagna una shell o no ?
Se si scopra un bug in IPTables di linux un attaccante immagino possa 
fare diverse cose (immagino dipenda anche dalla natura del bug)
ma nel caso peggiore potrebbe anche guadagnare una shell di root o 
sbaglio   ?
#################
Ripartiamo un attimo da zero:
Supponi che invece di usare una nostra connessione (quindi nostro 
software), si usi ssh.
Quindi ho macchina A che spedisce file a diverse altre macchine B C D
via ssh (scp sftp)
Supponiamo che la macchina A (che spedisce ) sia ben presidiata e protetta
Supponiamo che le macchine B C D siano dietro un firewall hardware 
configurato per ricevere connessioni solo dall'IP di A  e che 
eventualmente siano macchine linux con IP TABLES a sua volta configurato 
per ricevere connessioni solo da A via SSH e con tutto il resto chiuso
Lasciamo da parte il discorso integrità dei file che arrivano e privacy
Quale puo' essere a questo punto la reale possibilità per un attaccante 
di riuscire ad entrare su B C D ?
Grazie per le risposte
Ciao

 
Le stesse che hanno di entrare su A (e quindi da li entrare su B C e D) o di
far credere al firewall di essere A. Oppure non entrano ne su A, B, C e D e
ti fregano i dati "in transito" sfruttando qualche buco non tecnologico, ma
di gestione: ogni quanto cambi le chiavi? Come le distribuisci? Quando fai
i backup dove metti i supporti? Quando un disco si rompe e lo cambi cosa
fai del disco rotto? Quando i nastri o i CD con cui fai i backup giungono a
fine vita utile dove li butti? 
Per complicare un po' la vita a voi e molto ad eventuali attaccanti, prova
anche a pensare a VPN+SSH (per esempio OpenVPN + SSH con rsync). OpenVPN ti
crea un tunnel VPN e dentro ci crei un ulteriore tunnel SSH. RSYNC ha il
vantaggio di essere un comando potente, semplice da usare ed al tempo
stesso ti libera dal mettere password o altri elementi sensibili in chiaro
negli script. Il doppio tunnel inoltre ti risolve (se usato correttamente)
anche la questione della distribuzione sicura delle chiavi SSH (che ogni
tanto vorrai cambiare). 
Altro vantaggio, questa architettura e' "bi-sex" :-) Noi la usiamo con
soddisfazione da tempo per far parlare macchine Microsoft e Unix/Linux
senza ancora un intoppo. Non insistero' mai abbastanza: attenzione alla
gestione -- nessuna tecnologia e' efficace se non e' gestita correttamente
(anche una sentinella ben armata serve a poco se si spara nei piedi
anziche' agli intrusi!).
-- 
AB