Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza ?

Ditemi se dico una stronzata:
Se mi collego con il telnet alla porta 110 di un server Exchange 2000
(ad esempio), mi esce fuori una cosa del tipo :
"Salve ! Io sono Exchange server, versione xxxxx, collegato all'host yyyyy,
e sono pronto ad ascoltarti ! "
Ecco. Poi mi vengono a parlare di sicurezza dicendomi che una delle
direttive primarie e' il "cercar di far si' di garantire l' "invisibilita'"
del
servizio, o quantomeno di fornire meno informazioni possibili su di esso".
Bene, e allora perche' fanno delle cose del genere ?
Non puo' dire "Salve ! io sono UN mail server , e son pronto ad ascoltarti"
?
Danny

?
Si'.  Un  server  serio ti permette di dire all'esterno quello che vuoi.
-- 
manuel 'fmf' ferrero
Non permettete   a un  vogon,
per nessuna ragione al mondo,
di  leggervi  le sue  poesie.

 --
Allora i casi sono tre:
1) O sono imbranato e non riesco a trovar l'opzione giusta in Exchange 2000
Server
oppure
2) Exchange 2000 Server *non* e' un server serio.
o ancora
3) Il fatto che dica all'esterno quel che vuole lui non pregiudica la
sicurezza.
Danny

Allora i casi sono tre:
Piu'  probabile  la  2[1], la 3 e' vera se non esistono exploit per quel
server. Riguardo la 1 lo puoi sapere solo tu. <g>
[1] No flame, pliz.
-- 
manuel 'fmf' ferrero
"Questa signature e' oscurata per protesta."
        -- io


Eh.... si vede che la Microsoft ha *molta* fiducia nel fatto che
il suo server di posta sia esente da exploit, dato che PARE che
la versione 5.5 desse la possibilita' di non far uscire le informazioni,
mentre la versione 2000 non ha piu' questa funzionalita'... chettedevodi',
cosi' ho letto, cosi' riporto :-)
Danny

 sicurezza.
vero.
il bannerino e' solo uno dei modi per sapere che server gira li' sopra.
poi come risponde ai comandi e' un altro, ecc. ecc.
la sicurezza non ce l'hai non facendo sapere che il tuo mailserver ha un
baco ma non avendo i bachi nel mail server o almeno avemndo la
possibilita' di chiuderli.
cris


Verissimo.
Ma magari se non dice la versione, ci son meno
probabilita' che un lamerazzo faccia un programmino che decide
di attaccare , chesso', solo i server che hanno una versione non
aggiornata (ad esempio, poi manco so se una cosa del genere
sia fattibile, eh)
Danny

 possibilita' di chiuderli.
Vero, ma e' anche vero che se da sola la "security by obscurity" non 
difende, assieme a tutte le altre precauzioni, aiuta.
Esistono tool automatici che rilevando il banner del server 
automaticamente ne sfruttano i bachi piu' o meno conosciuti e lo r00tano.
Senza il banner, l'attaccante e' costretto ad approfondire la ricerca, 
magari scoprendosi. Gli script-kiddies non arrivano neppure a questo 
punto, quando vedono che il loro 31337 7001 non funziona, cambiano ip.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

di attaccare
Meglio ancora: fagli dare l'ID di una versione *VULNERABILE*. Il lamerazzo
sara' cosi' impegnato a gongolare di essere a un passo dall'agognato r00t,
che non capira' come mai l'exploit fallisce.
Alcuni exploit hanno bisogno di un lungo e doloroso tuning dello shellcode
- in quel caso, il lamerazzo avra' trovato un impiego socialmente vtile in
grado di impegnarlo per molto tempo.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.


Exchange è un server serio..... ma io non lo esporrei mai su internet
direttamente e penso che qualunque sistemista farebbe lo stesso quindi
nessuno potrebbe mai porsi questo problema.
MAX

di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.
(da una sign del Serni).
rotlf, rotfl, rotfl. L'avevo letta anche io, devo ancora smettere di
ridere.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 Exchange č un server serio..... ma io non lo esporrei mai su internet
Ti falci con le tue stesse parole ; )
-- 
Saluti,
Leonardo

> Ti falci con le tue stesse parole ; )
No assolutamente...... tu metteresti sistemi server con exchange in una DMZ
, nasce come sistema di groupware con un intento ben preciso, tu metteresti
Lotus direttamente su Internet, o perlomeno senza un firewall di mezzo, io
non lo farei mai e penso nemmeno tu .......

No assolutamente...... tu metteresti sistemi server con exchange 
no.


 ?
Ciao...
Scusa ma su Exchange c'e' un errore filosofico di base, non è un mail server
come puo essere MailDaemon per Windows o Qmail e altri per Linux, ma un
sistema di groupware come Lotus GroupWare e d'altronde cosi viene venduto ed
è questo il target a cui si rivolge,di coseguenza se si prende exchange per
questo si prende un prodotto sbagliato e lo si configura in modo non
corretto.
MAX


ha perfettamente ragione.
Danny


Non lo sapevo.
Mi sapresti consigliare qualche mail server per windows 2000 server... ?
Danny


Ciao...
Se io dovessi fare un mailserver onestamente preferirei QMail, pero non
esiste la versione per Windows credo... ma se devi usare Windows 2000 io
userei o NTMail, che però non ho mai usato ma ho solo letto buone
recensioni, o MailDaemon della Deerfiled , 
www.deerfield.com
, che ho
installato alcune volte e mi sono trovato bene.
MAX


La Deerfiled fa VisNetic MailServer Plus 5.x  costa 55 dollari per 6
utenti...
niente male, considerato che io dovrei tenerci su due, massimo
tre mailbox :-)
(Dovrebbe trattarsi di un aggiornamento a MailDaemon, se il mio inglese non
m'inganna)
Danny
P.S. Grazie per le dritte

 no.
 
non ha detto a chi o dove :)))
un mayhem che dipende ;P
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org

un mayhem che dipende ;P
rotfl.


 un smtpd, la cosa non cambia moltissimo
parliamone. che firewall?
un linux/openbsd? certo.
un pix? la cosa cambia molto ...
certo, poi sono completamente daccordo con te  a meta'.
un mayhem sportivo


 funzionare il suddetto pezzo di ferro col golden gate in bridging?
 
non lo fara' mai. non e' stato pensato per fare cio'. la sua filosofia
parte da 3 in su ;P
un mayhem e le lunghe telefonate


 Secondo me
e no, perchè un server adatto ad internet sulla rete locale diventa una 
palla d'acciaio ai piedi degli utenti. O, a seconda della bilancia del 
potere, un inferno per l'amministratore. Le esigenze di Internet e di 
una LAN sono due mondi diversi, e o gli utenti si adeguano a lavorare 
in LAN con la stessa (s)comodità che da casa con il modem, o il povero 
amministratore viene costretto a produrre pezze per far lavorare a 
distanza di un braccio software pensato per collaborare oltreoceano. 
C'è una precisa ragione (un piano, direi) per cui Microsoft cerca di 
infilare NTLM in un po' tutti i protocolli, e non è perchè sono brutti 
neri e cattivi, ma perchè le alternative sono due minuti di attesa ad 
ogni login (hint: network provider), -o- passare il tempo a chiedere 
password all'utente, una per ogni servizio che usa (o conservare la/e 
password in clear-text da qualche parte, ma questa non la considero 
nemmeno)
(abbiate pazienza se non giustifico/circostanzio più di tanto, ma è 
stata una giornata lunga)
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!

 come puo essere MailDaemon per Windows o Qmail e altri per Linux, ma un
1) Allora non dovrebbero metterci il relay smtp
2) MailDaemon è tristemente famoso tra chi si occupa di security e
paragonarlo a qmail o postfix non mi sembra corretto.

 cosi' ho letto, cosi' riporto :-)
Il che depone ulteriormente a favore della [2] <eg>
Cerca su Bugtraq e Vuln-Dev e divertiti (o anche no, a seconda...) :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 141WU/7815hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/