Newsgroup: it.comp.sicurezza.varie
Titolo: ip-spoof protection with ipchainz

mettiamo che ho un bel firewall che mi protegge tante porte, ma che in
cima alla catena c'e` un'istruzione per lasciar passare qualunque cosa
proveniente da 127.0.0.1
ipoteticamente un tizio potrebbe inviare dei pacchetti fingendo di 
essere 127.0.0.1...
ma se io aggiungo a quella regola anche l'interfaccia loopback come
ulteriore condizione, cosi`:
ipchains -A input -s 127.0.0.1 -i lo -j ACCEPT
...dovrei essere riparato da violazioni di quel genere, giusto?
-- 
    Pardo 
 
http://pardo.cjb.net

In un messaggio del 7 Sep 2000 10:15:13 GMT Pardo scriveva:



Molto piu' semplicemente basta una regola del tipo
        echo -n "Loopback.."
        $IPCHAINS -A input -i lo -s $REMOTENET -d $REMOTENET -j ACCEPT
        $IPCHAINS -A output -i lo -s $REMOTENET -d $REMOTENET -j ACCEPT
seguita dalla furbetta
# Blocks, logs and denies any packets from interface ppp+ claiming a source
# address of $REMOTENET
#
        $IPCHAINS -A input -i ppp+ -s $LOCALNET -l -j DENY
cosi' se qualcuno si presenta come proveniente dal tuo indirizzo IP e
non e' vero se la prende nel gufo.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

ipchains -A input -s 127.0.0.1 -i lo -j ACCEPT
Occhio, che se non sbaglio, gli indirizzi da 1 a 8 di 127.0.0 sono
considerati locali.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

         $IPCHAINS -A input -i ppp+ -s $LOCALNET -l -j DENY
Questi non vengono beccati gia` dal kernel come 'martian'?
Sono moderatamente certo che quanto meno gli indirizzi assegnati
al loopback e provenienti da altra interfaccia vengano bloccati;
di questi non sono sicuro...
-- 
Cinereview: Space cowboys: funziona la parte divertente, cala _/Davide\_
di tono quando si prende sul serio.  Troppi cliche. Voto: 6-- \Alberani/
http://digilander.iol.it/alberanid/
                    ICQ UIN: 83641305

che se non si fa' un gruppo di cazzeggio come ventilato
Gia', a proposito.......
Lista, a rapporto!


di questi non sono sicuro...
oh yes, se in /proc/sys/net/ipv4/conf/nomedevice/rp_filter c'e' 1 o 2.
rp_filter - INTEGER
        2 - do source validation by reversed path, as specified in RFC1812
            Recommended option for single homed hosts and stub network
            routers. Could cause troubles for complicated (not loop free)
            networks running a slow unreliable protocol (sort of RIP),
            or using static routes.
        1 - (DEFAULT) Weaker form of RP filtering: drop all the packets
            that look as sourced at a directly connected interface, but
            were input from another interface.
        0 - No source validation.
invy

 ...dovrei essere riparato da violazioni di quel genere, giusto?
ipchains howto (paragrafo 5.7) spiega come fare per tutti i furbini,
in particolare comunque per lo:
[..] The 2.1 kernels automatically reject packets claiming to come
from the 127.* addresses (reserved for the local loopback interface,
lo).
ciao.
-- 
nebbia

 finira' per essere cacciato a calci da tutti i gruppi :-))
Vero, vero :-) Dovremmo deciderci...


 rp_filter - INTEGER
Un giorno di questi mi devo mettere di santa pazienza ed approfondire
tutto cio' che c'e' in /proc/sys/net/ipv4/. Che documentazione posso
consultare?


 Lista, a rapporto!
Gia' e molto in fretta, considerato che ho chiesto a Md di chiuderla
causa traffico prossimo allo zero.. altrimenti si continua normalmente
via mail.


 che se non si fa' un gruppo di cazzeggio come ventilato
Ehi ehi ehi, io non ho "ventilato" un bel niente!
Deve essere stato Thorin, che alla sua eta` ha perso il controllo
degli sfinteri... ;-) <G>
Btw, Pierluigi, che dici di rimettere in moto le cose su bastonatori?
Mi pare fosse quasi tutto pronto, no?


 posso consultare?
I vari file in /usr/src/linux/Documentation/ (a partire da proc.txt)
e quelli sotto networking/


 via mail.
ferma ferma non ho capito, cosa e' la lista ?
 ma qualsiasi cosa sia vi siete dimenticati di me .:-((
ciao
boogy
-- 
Ciao roberto boogy
a chi intressa l' email e' cambiata
Messaggi con "R:" killati

 profondo, in questa sintonia.
oltre a tutto il thread lo ha inziato Pardo .:-))


 Vero, vero :-) Dovremmo deciderci...
he he vero che non e' mai troppo tardi
ma dovevate farlo 2 anni fa' :-))


 e quelli sotto networking/
Uh, quelli li immaginavo: pensavo ce ne fossero altri..


 ma dovevate farlo 2 anni fa' :-))
Sento il coltello che rigira mooooolto lentamente nella piaga.. :)


 Mi pare fosse quasi tutto pronto, no?
Era rimasto in sospeso una Rfd ma ne ho proprio perso traccia..


  ma qualsiasi cosa sia vi siete dimenticati di me .:-((
Dammi un colpo di mail cosi' ti spiego.. :-)


consultare?
puoi leggere il file Documentation/networking/ip-sysctl.txt contenuto nei
sorgenti del kernel.
invy

Lista, a rapporto!
Presente, sia qui sia la', ma di la' non ti vedo.
<primacheloscrivitulodicoio>
Il padreterno ha rifiutato la tua proposta, le giornate vanno
bene di 24 ore, cerca di fartene una ragione ;-)
</primacheloscrivitulodicoio>
Francesco.
 
<*>  Appunti Linux per il pinguino che non deve chiedere mai. <*>  
<*>  
http://www.pluto.linux.it
                                <*>

 sorgenti del kernel.
THNX !!


 di questi non sono sicuro...
però basta:
   If you set this to 1 on a router that is the only connection
   for a network to the net , it evidently prevents spoofing attacks
   against your internal networks (external addresses can still be
   spoofed), without the need for additional firewall rules.
Qualcosa come questo (preso in prestito da init.d di debian) per
kernel > 2.1 dovrebbe bastare:
# for i in /proc/sys/net/ipv4/conf/*/rp_filter; do
    echo 1 > $i
  done
Però non dovrebbe protegge gli ip della sottorete di cui sei il
router; in quel caso serve (almeno) un regola come quella di thorin.
Forse ho mangiato troppo - burp.
Ciao
Marco dopo pranzo

consultare?
Io ho un interessante
/usr/src/linux-2.4.0/Documentation/networking/ip-sysctl.txt
Leonardo
".signature": bad command or file name

</primacheloscrivitulodicoio>
NooooooooO!OOOoo!Ooooo!OO!!!!!ooooo oo o o......
Non si puo' andare avanti cosi', se non mi riformano il calendario,
anzi, l'orologio, non ce la faccio piu'.


ciao boogy
non ho capito nulla...
tranne che thorin e lo zio che mena, davide e` il papa`, e ... non mi
ricordo piu`...:-)
ma io che centro? (o: c'entro?)
-- 
    Pardo 
 
http://pardo.cjb.net

 ma io che centro? (o: c'entro?)
aspetta ricapitolo, apro questo gruppo
e vedo un tuo messaggio, i reply di davide thorin e roberto
e in quel momento nessun altro, mi e' sembrato di tornare
ai tempi di  I.C.L.S.  non postavi anche tu la ?
a me sembra di si.



uh... certo si, ma pensavo che vi stavate riferendo a una piu` "lunga
storia" tra voi quattro... :-))
beh, allora brindiamo a ICLS :-D
-- 
    Pardo 
 
http://pardo.cjb.net

anzi, l'orologio, non ce la faccio piu'.
Scusa, prendi un orologio digitale e dimezzi il clock, hai raddoppiato
il tempo  a tua disposizione.  Per il  calendario puoi sempre  usare i
giorni non  interi 1 1,5  2 2,5 3 e  cosi via, l'ideale  sarebbe pero'
lasciare tutto cosi com'e' e aumentare il numero dei mesi, si guadagna
in foto di donnine nude ;-)
Ciao Francesco.


 beh, allora brindiamo a ICLS :-D
SSSS.!!!!!! che poi mi danno del nostalgico.:-))
 
ciao
boogy

 e forse non e' molto felice del figliuolo.
Al contrario, ho sempre una certa benevolenza per i miei
figli illegittimi sparsi per il mondo.  Specie per quelli
che non devo mantenere di tasca mia. ;-)
-- 
After all ... tomorrow is another day.                        _/Davide\_
  -- Scarlett O'Hara                                          \Alberani/


 che non devo mantenere di tasca mia. ;-)
Papinooo !!!!!
DEVO cambiare la macchina :-))


 /usr/src/linux-2.4.0/Documentation/networking/ip-sysctl.txt
THNX, Leo !


in foto di donnine nude ;-)
Senza contare gli stipendi. Era lo stesso trucco usato dai bancari:
Visto che non gli volevano aumentare lo stipendio, avevano aumentato le
mensilita'.


DEVO cambiare la macchina :-))
NON GUARDARE ME!, saro' anche il nonno, ma io tua madre, reale o
virtuale, non l'ho mai vista.
Ah, RFD, RFD!!! 


 virtuale, non l'ho mai vista.
ale' !!!un altro che grano non ne caccia..
lo zio thorin credo che abbia avuto delle spese
ultimamente , lo zio 38Special deve essere emigrato
in america non lo vedo +.
ma per la mamma o la nonna virtuale credo sara' un casino.....
mi ci vedi rispondere su it.comp.*
"Hei sono un newbie casinaro, vuoi essere la mia mamma ?"
al meglio riceverei risposte del tipo
"pussa via brutto tacchino pirla"
se poi cercassi una nonna
la risposta sarebbe
"pussa via brutto tacchini pirla e MALEDUCATO
IO NON SONO VECCHIA"
:-)) :-)))
ok ok ci vado da solo a fan.culo.


 ok ok ci vado da solo a fan.culo.
ROFL !!


 Si e purtroppo le spese non sono ancora finite :-/
Sei ottimista. Dovevi dire "sono appena cominciate".
Max BWAHAHAHAHAHAAH "Il mondo e' mio!" 8-)
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.xoom.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Max BWAHAHAHAHAHAAH "Il mondo e' mio!" 8-)
Maledetto ! :-)


 Sei ottimista. Dovevi dire "sono appena cominciate".
Firebeam
siamo onesti, Dovevi dire sono appena cominciate
e cresceranno in modo esponenziale :-))
No  thorin non ci voglio andare li dentro
assieme a tutta quella brutta gente,
specie se poi vendi il kilfile agli spammers.
Ciao
boogy
-- 
Ciao da Boogyman.
Too old to Rock' end Roll
Too young to die.
ma i Jethro Tull killavano i post con la "R": ?
loro non so',io si :-))

 specie se poi vendi il kilfile agli spammers.
ROTFL!

 Dammi un colpo di mail cosi' ti spiego.. :-)
ehm... o devo rileggere attentamente postfix howto o non trovo
indirizzi validi ;)
-- 
nebbia

 specie se poi vendi il kilfile agli spammers.
ROFL !! ok ma solo per questa volta te ne tengo fuori :-))


 indirizzi validi ;)
Credevo l'avessi.. ;-) oakenshield ( at ) freemail ( dot ) it puo'
andare bene.


 ROFL !! ok ma solo per questa volta te ne tengo fuori :-))
Fiuuuuu !! anche questa volta boogy casinaro
ha svicolato in tempo .... :-))


 ha svicolato in tempo .... :-))
:-)
