Newsgroup: it.comp.sicurezza.varie
Titolo: Re: Teamviewer, incredibile!


Semplice: utilizza dei server che fanno da "ponte" e comunicano 
utilizzando la porta 80, quella che è sempre aperta per la normale 
navigazione sui siti Internet.
Funzionano cosi' Teamviewer, Netviewer, Inquiero, ShowMyPc, etc etc...

 navigazione sui siti Internet.
Beh, _sempre_ aperta e' una parola grossa.
roberto e i proxy content filtering. <vbeg>
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Funzionano cosi' Teamviewer, Netviewer, Inquiero, ShowMyPc, etc etc...
Però questi prodotti si appoggiano a server esterni per realizzare la 
connessione il che vuol dire che password di connessione e condivisione sono 
a loro noti. Esiste invece un prodotto che faccia da server interno ad una 
lan? Oppure una soluzione simile a TeamViewer dove non ci si debba 
appoggiare ad estranei? Thanks
St. 

 roberto e i proxy content filtering. <vbeg>
infatti; spesso i "netadmin" pensano che sia sufficiente
chiudere tutto ed aprire solo (es.) la 80 per limitare il
traffico al solo HTTP... solo che poi, regolarmente c'è
chi usa la 80 anche per far transitare "di tutto", a questo
punto la soluzione è quella di installare un firewall (o
proxy) che effettui il controllo sul *contenuto* dei pacchetti
provvedendo poi a permettere o bloccare il traffico; un
esempio è 
www.zeroshell.net
 che implementa un filtraggio
"Layer-7" e permette di definire i patterns di traffico da
permettere su una data porta; con un firewall di quel tipo
sarà che "TV" riesca a passare indenne :)

 navigazione sui siti Internet.
A esser pignoli non e' questione di porta (layer 4) ma di protocollo
applicativo (layer 7). Teamviewer puo' incapsulare i dati in http. E
come dice roberto, basta fare content filtering per bloccarlo [1].
Fabio
[1] ma perche' 'ste cose non usano direttamente https?

 [1] ma perche' 'ste cose non usano direttamente https?
Beh, in quel caso, si bloccherebbero a livello firewall i "server" di
Teamviewer.
I casi sono solo due:
O quella funzione serve al sysadmin, oppure no.
Nel primo caso, potrebbe usare qualsiasi porta, se mi serve, la apro.
Nel secondo caso, follow-up su it.lavoro.offerte. ;-)


Jst ha scritto:

io uso un server openvpn a casa e a lavoro ho un openvpn client che 
cerca di connettersi sempre a 
xxx.no-ip.info
. Quando attivo il server a 
casa mi collego in ufficio con vnc sull'indirizzo del tunnel.
Se si devono usare altri pc oltre quello di casa basta cambiare il 
binding su 
no-ip.info

> [1] ma perche' 'ste cose non usano direttamente https?
volendo si blocca pure quello, fidaty ;) f.d.

> volendo si blocca pure quello, fidaty ;) f.d.
Si', ma rompendo la cifratura end-to-end. Non e' mica
sempre carino da fare.
Fabio

 Teamviewer.
E' fattibile per tutti gli aggeggi che usano gateway noti, come 
teamviewer, hamachi, ecc. Un po' meno per quelli il cui gateway
puo' essere installato ovunque.
Fabio


La prima volta. ;-)


 Non e' mica sempre carino da fare.
mbeh.. ci sono dei s/w (ed anche degli appliance)
che lo fanno automaticamente :) ovvio che non è
una cosa simpatica da fare, però "quanno ce vò
ce vò" :D

 da casa su un pendrive :-)
Ehm, di quale programma si sta parlando?
Questo e' un altro livello di protezione, contro il furto di dati o
informazioni in genere, e se lo si vuole applicare, occorre essere,
nell'intimo, molto, molto, molto bastardi e paranoici.
Esempio?
Policies scritte e controfirmate che non si possono usare pen-drive
usb, e, guarda caso, tutti i pc hanno la porta usb al contrario, in
caso qualcuno non ottemperi, si becca alimentazione invertita sulla
chiavetta, che si indigna e muore.


 proxy) che effettui il controllo sul *contenuto* dei pacchetti
SSL and say goodbye to layer 7 inspection. ;-)

 volendo si blocca pure quello, fidaty  f.d.
Come?

 "quanno ce vò ce vò" :D
A mio avviso è illegale.

 Automaticamente, senza che il browser urli?
si .. ni :) non dico sia sempre possibile ma, ad esempio
in un ambiente "dominio AD" (windows) ISA server è in
grado di terminare il tunnel SSL su una interfaccia e
crearne un altro sull'altra ... permettendo in tal modo di
analizzare in chiaro tutto il traffico in transito; non dico
che sia una config molto comune ma.. sepoffà; ovvio
che non c'è solo ISA, esistono altri s/w che permettono
di combinare dei trucchetti identici o simili nella sostanza

 simili nella sostanza
Sempre con i limiti di cui sopra, imamgino, giusto?
Vorrei documentarmi su questa inquietante ficiur di cui sopra, hai
riferimenti?
Grazie.

 chiavetta, che si indigna e muore.
Dai su, che chiavette infime usi? :-)
-- 
ValeRyo - GS500F "Camilla"
Ai sensi del dlgs 123/45 ("T.U. sulle cazzate in coda alle email") devi
distruggere il tuo pc per il solo fatto di aver letto questo messaggio.
Prima di stampare questa mail, pensa agli alberi. Abbattine almeno uno. 

 Dai su, che chiavette infime usi? :-)
Finora, hanno ceduto le armi tutte quelle provate, da quelle da 4 euro
alle fiere, a quelle da 30 "professionali". (oh, mica tante, costano).
Alimentazione inversa => puff.


 Alimentazione inversa => puff.
Allora ho avuto culo io, che ti devo dire :-)
Per alimentazione inversa intendi positivo e negativo invertiti?


 La prima volta. ;-)
Hai un bot che scansiona tutte le righe CONNECT del proxy, prova a
connettersi all'host remoto, analizza la risposta e valuta se quel
tipo di comunicazione http non e' ammesso? Oppure hai un algoritmo
euristico che analizza direttamente il traffico cifrato, valuta la
liceita' della sessione e poi blacklista l'ip del server? O lo fai
banalmente a mano prima d'andare a casa? :-) E se nel frattempo il
fedifrago s'e' gia' connesso una *seconda* volta? E' una policy un
po' ardua da garantire :-P
Fabio

 che lo fanno automaticamente :) 
Li uso abbastanza spesso, ma solo per debug o per demo e non per 
privare sistematicamente gli utenti della fiducia che potrebbero 
avere nella confidenzialita' delle loro transazioni. Non ritengo
che sia un buon trade-off tra security e privacy, come approccio
in generale. Ovvio che caso per caso le scelte potrebbero essere
diverse a seconda degli scenari in cui vengono fatte.
Fabio

 
http://support.microsoft.com/kb/840614
Mi sembra che nessuno di questi link sia pertinente. Ci spieghi
come si configura ISA per decifrare e ricifrare la richiesta di
un client ad un server SSL *arbitrario* senza attivare un alert
da parte del browser? E' questo l'argomento della discussione.
Fabio

>
http://www.microsoft.com/technet/isa/2004/help/CMT_SSLAuth.mspx?mfr=true
hmmm ... si, in linea di massima l'idea è quella; anche se nella
documentazione
poi si parla di *pubblicazione* con SSL bridging, è possibile anche fare
l'opposto
anche se la documentazione in merito è più... come dire sparsa ed anche
se in
quel caso c'è da usare alcuni scripts e la cosa non è proprio immediata;
ad ogni
modo, l'idea è la stessa solo ... "rovesciata" e con qualche altro
"passaggio" :)
whippo... evito di entrare in dettaglio, semmai, se vuoi, se ne può
riparlare in
"separata sede"; ad ogni modo i links postati credo siano un buon punto
di
partenza... per il resto, a parte ISA, se non ricordo male ci dovrebbero
essere
dei documenti e del codice (di Dug Song se non sbaglio) relativi ad un
"coso"
che fa più o meno la stessa cosa (bridging SSL "alle spalle" del client)

 Per alimentazione inversa intendi positivo e negativo invertiti?
Yes.


 connettersi all'host remoto, analizza la risposta e valuta se quel
Ho assunto il mago otelma, ci pensa lui.
Ehi, io la faccina che strizza l'occhio ce l'avevo messa.
E in ogni caso, l'euristica e' ad personam, non ad pacchettum.
E mi sento di garantire (beh, quasi) piccole percentuali di falsi
negativi.
Resta il solito discorso della paranoia applicata alla bastardaggine.
Se hai veramente il problema, cominci a non avere tante cose:
niente linee analogiche, niente prese usb funzionanti, niente floppy, 
niente masterizzatori, proxy assassino, politica di deny salvo white
list per l'ssl, switch intelligenti con porte radius-comandate, etc.
Insomma, l'applicazione informatica della legge antiterrorismo USA
post 9/11.
Si puo' arrivare anche a limitare i ping, visto che con il payload
del ping si possono, con pazienza, trasmettere informazioni.


 Ho assunto il mago otelma, ci pensa lui.
Mi aspettavo che avessi un palo di legno a punta incrostato di sangue
piantato in mezzo al cortile, ma in questo caso avresti evitato anche
"la prima volta", in effetti.
Fabio

 del ping si possono, con pazienza, trasmettere informazioni.
mbeh mica solo con ICMP eh
http://www.ntsecurity.nu/toolbox/ackcmd/
se consideri che il programmillo č "anziano" ... ;-)

> con il payload del ping si possono
sigh.. mi fai tornare in mente il vecchio trucco del
ping che riagganciava la connex dei modems :D
bastava inserire nel payload ICMP qualcosa tipo
+++ATH0<cr><lf>
ed inviare il pacchetto all'IP della vittima, lo stack
di rete rispondeva all'echo request, il pacchetto
in uscita veniva visto dal modem come "comando
host" ed il modem obbediente ... riagganciava :D

 Yes.
Appena mi capita una penna scrausa, provo!


 Appena mi capita una penna scrausa, provo!
E se ci metto una penna guasta? Rivive? 
Frankestick

 E se ci metto una penna guasta? Rivive?
Si, ma scrive i file al contrario!


 Si, ma scrive i file al contrario!
E ti scrive magicamente l'mp3 di Hell Awaits degli Slayer in tutte
le directory.

host" ed il modem obbediente ... riagganciava :D
Mi ricordo un tizio che aveva il vézzo di quotare la firma dei
post Usenet quando rispondeva.
C'e' voluto un po' ma alla fine con pazienza ed educazione [1]
riuscii a spiegargli che non era il caso, grazie pure al modem
taiwanese con guard time = 0ms perche' costa meno [2].
Leonardo
[1]
http://groups.google.com/group/it.discussioni.misteri/msg/3b2dac5ddb29ab99
[2] addirittura, non rispettavano l'ATVsarcāzzi, que' caiordi.
    Presumo che cio' consentisse loro di risparmiare fino a UN
    condensatore, pari alla bella somma di US$ 0,0042 (si', io
    ebbi - per poco - un modem cosi' (non testato da Abel)).
--
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:

Per alimentazione inversa intendi positivo e negativo invertiti?
E viceversa.
Leonardo "it... could... work!"


 Leonardo "it... could... work!"
Intendiamoci: non è che con i poli invertiti gli stickenstein mi abbiano
mai funzionato, è che non ricordo di averne fritti :-)



Ecco, adesso mi tocchera' di usare qualcos'altro.


 Si, ma scrive i file al contrario!
Endianess, chi era costui? ;-)


 Piuttosto ci sono dei software per inibire l' uso delle porte USB.
Certamente, pero' devi avere solo utenti non amministratori, ad esempio.
Devi impedire il boot da periferiche esterne.
Devi impedire l'esecuzione di programmi da cd o dvd.
Insomma, si fa prima a tagliare un piedino alla presa, e a blindare il
case.



http://groups.google.com/group/it.discussioni.misteri/msg/3b2dac5ddb29ab99
ROFL hahahahahahaha FANTASTICO :D !!!

 Piuttosto ci sono dei software per inibire l' uso delle porte USB.
Nel caso di win* basta una modifica al registro per inibire solo gli
storage, ma basta un utente con i privilegi di Administrator per 
riattivarli.
Esistono anche dei 'tappi' con chiave per tappare le porte, oppure della
sana colla a caldo.



Logmein potrebbe fare al caso tuo.


Si certo, basta che sia aperta quel tanto che basta per farci passare 
quel che serve ;-)


No, durano troppo poco, col palo a punta.
Lo sapeva bene il conte Vlad, che usava un palo a punta arrotondata.
Appoggiava la vittima (indovina dove)... e lasciava che la gravita'
facesse il resto.
Duravano un paio di giorni, fino a che non spuntava un rigonfiamento nella
spalla.
Fabrizio

 rigonfiamento nella spalla.
mica sempre pero', ogni tanto sbagliava mira.
-- 
/me che si prepara ad un altro salto indietro nel tempo.
E chi vuole, e specialmente puo' capire... capisca!

 mica sempre pero', ogni tanto sbagliava mira.
Non e' vero, lui non sbagliava mira, erano loro che si agitavano.
Mai ce ne fosse almeno uno con spiccato spirito di collaborazione.


 Mai ce ne fosse almeno uno con spiccato spirito di collaborazione.
Mgia', questi utonti, mai che ti facciano un favore.
(un aneddoto, vuole che il conte abbia fatto impalare un suo ospite,
perche' si era tappato il naso. Magnanimo, lo fece mettere un po' piu' in
alto, in modo che il cattivo odore non lo disturbasse)
BTW, sto ancora pensando alla BOFHaggine di invertire le polarita' delle
prese USB.
Deve avermi colpito, perche' ogni tanto, mi torna in mente.
Fabrizio

 prese USB.
Anche perche' cosi', con un cavetto ad hoc, puoi usare la TUA per fare
alcune manutenzioni, mettendo ancora piu' in crisi l'utente, che vede
funzionare correttamente la tua chiavetta, e la sua no.


 chiavette USB difettose :)
Questo e' un effetto collaterale alla bofhaggine intrinseca.


 funzionare correttamente la tua chiavetta, e la sua no.
a meno che, mangiata la foglia, si presenti col proprio cavetto ad hoc 
et voilà ;o)