Newsgroup: it.comp.sicurezza.varie
Titolo: Utilità di IpSec

Attualmente sul mio Xp vedo attivo il servizio di IpSec.
Mi connetto ad internet solo tramite modem 56k e non accedo ad alcuna 
rete esclusa quella di internet.
Vorrei sapere se č buona norma che tale servizio rimanga attivo sul mio 
pc e  se questo magari possa essere utilizzato per impostare un maggior 
livello di sicurezza per visitare alcuni siti web.
p.s. se conoscete links relativi a documentazione in Inglese su gli usi 
ed i benefici che si possono trarre da IpSec, non esitate a rispondermi.
grazie.



il servizio IPSEC č quello che ti serve ad accedere alle connessioni SSL
(quelle su hhtps://, per intenderci)
Se secchi quel servizio... niente piů https://
Vedi tu...

 Se secchi quel servizio... niente piů https://
Huh?!
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)


Beh ... leggiti questo
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
magari ti viene qualche idea :-) ... oltretutto non credo che molti
sappiano che sia win2000 che XP hanno la possibilitą di usare
un packet filter come quello sopra ... che oltretutto č .. di serie
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 Huh?!
LOL ... quante ne dovrň sentire ancora :-) ??
Come da altro post ... meglio leggersi
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
che magari .. aiuta :-)
Ciaooo


 Se secchi quel servizio... niente più https://
io ho {linux,win98,win2k} senza ipsec, e https lo vedo perfettamente.
come mai? 
hint: cercare con google che cosa e' e che cosa serve ipsec.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
A parte qualche svista (spero), come le oservazioni su tracert, la 
scarsa conoscenza di certi protocolli, che lo porta a proporre un 
filtraggio un po' discutibile, e alcune considerazioni finali, un 
po' banalotte, l'autore si e' dimenticato di dire che questa 
configurazione puo' funzionare solo su un server e non su un client, 
anche se dall'egress filtering che ha impostato lui sembra convinto
di si. Forse e' meglio rimandare alla documentazione ufficiale della 
microsoft.
Fabio

 filtering che ha impostato lui sembra convinto di si.
Scusa .. hai provato la cosa su di un w2k pro ? Se non l'hai fatto
ti conviene farlo visto che *funziona* senza problemi, oltretutto se
scarichi il file IPSec disponibile sul sito (piè di pagina) vedrai che
sia XP che 2K pro (non so home, non ho provato) lo "digeriscono"
senza alcuno problema ... ovvio che se hai una versione "speciale"
di win2k/xp personalizzata proprio per te forse non funzionerà, ma
in generale non vedo problemi


 in generale non vedo problemi
Non ho provato la conf nel file, che non ho neanche visto. Mi sono basato
sulla sua descrizione che non prevede di accettare in entrata il traffico 
diretto verso porte alte, impedendo alla macchina di inziare connessioni.
Forse mi sono perso il punto in cui dice di farlo, ma considerando quello
che ha fatto con il filtraggio sono diventato un po' prevenuto e forse ho 
smesso di leggere con un'adeguata attenzione: <<All other TCP/IP and ICMP
ports are left closed>> mi sembrava abbastanza esaustivo sia nei riguardi
delle sue politiche di filtraggio sia della sua competenza sull'icmp. 
Se trovo tempo poi provo a dare un'occhiatina al file di esempio.
Fabio
PS: scusa, oggi e' una giornata del cazzo.

 PS: scusa, oggi e' una giornata del cazzo.
No problem :-) capitano a tutti (purtroppo) :-(
Ciao ;-)

 > Scusa .. hai provato la cosa su di un w2k pro ? Se non l'hai fatto
Forse e' qui il problema: non intendevo dire "server" come sinonimo 
di "windows 2000 server" ma coma macchina che accetta connessioni in 
ingresso, contrapposta a "client" come macchina che inizia connessioni
verso un server. Questa confgurazione non puo' funzionare in questo
secondo caso, perche' non puo' accettare il traffico di ritorno.
Fabio

 di ipsec e' corretta come il parmigiano sul pesce spada.
Uhm ... magari sarebbe meglio provare col peperoncino ??
(anche se un bel trancio di spada al pepe verde non credo
sia completamente da buttare) :-) !!


 di ipsec e' corretta come il parmigiano sul pesce spada.
Perche', cosa c'e' di sbagliato?
Eugenio che vive da troppo tempo in Inghilterra
-- 
If it's stupid and it works, it ain't stupid

 secondo caso, perche' non puo' accettare il traffico di ritorno.
... e infatti non funziona.
Fabio

 Che IPSEC con https non c'entra una fava, ecco cosa c'e' di sbagliato.
Ho quasi paura che si riferisse al parmigiano...


 Che IPSEC con https non c'entra una fava, ecco cosa c'e' di sbagliato.
Parlavo del parmigiano...
(credevo che il riferimento all'Inghilterra chiarisse)
:)



Hm ... qui non riesco a seguirti ... se hai impostato IPSec come
nell'esempio
(o se hai scaricato/usato il file di esempio) dovrebbe funzionare senza
alcun
problema, in pratica ... la prima cosa da fare è creare una regola "block
all"
a quel punto il computer sarà "isolato" non potendo nè inviare nè ricevere
fatto questo inizi a creare le regole di "allow" per il traffico permesso
... non
vedo dove/come non funzioni ...

 di "allow" per il traffico permesso 
Si, pero' bisogna crearle in modo corretto ;-) Premetto che il lapidario
giudizio "non funziona" che avevo espresso ieri temo che fosse sbagliato:
oggi ho riguardato i filtri ip e direi che dovrebbe funzionare. Ieri non
avevo visto l'abilitazione delle porte di destinazione 139/tcp e 445/tcp
in uscita, che erano state messe in permitted ports (le avevo cercate in
NetBIOS for LAN). Rimane l'impossibilita' di risolvere i nomi NetBIOS da
porte alte (non e' un grosso problema) e d'usare servizi dcom/com+ o che 
richiedano dce-rpc. Continuo a non capire il perche' del filtro "NetBIOS 
elsewhere" e continuo ad avere qualche dubbio sull'impostazione generale
(e' vero che i filtri ip utilizzati sono simmetrici, ma per chiarezza mi 
aspetterei di vederli nel giusto verso). 
Questi aspetti IMHO non dovrebbero essere trascurati nell'uso dei filtri
ipsec: la ridondanza nelle regole o l'indicazione poco precisa del verso
del traffico non sono un grosso problema nei packet filter, se i criteri
di precedenza tra i filtri vengono stabiliti dal sistemista, mentre dove
la precedenza viene attribuita sulla base della specificita' del filtro,
come succede qui, possono portare a comportamenti poco prevedibili.
Fabio

 qualche dubbio sull'impostazione generale
Beh, come ho già scritto, non ritengo quella soluzione "perfetta"
ma in ogni caso è "un'inizio" se prendi il file dal sito e ci giochi un
pò vedrai che il tipo non è esattamente "l'ultimo degli imbecilli"
ovvio che poi un minimo di "footwork" lo devi fare, ma le premesse
sono buone (solo che il sito spara alcune *azz*te :D)
Detto questo, pensa ad una situazione del genere; servers in DMZ
(es. webfarm) con win2k, il tutto protetto da firewall ... ok ... ma se per
caso uno "buca" il firewall ? E quella postata è una (delle..) soluzione
Ciao ... e ... se vuoi discutere fatti sentire, l'indirizzo maio
(fatte salve le dovute "precauzioni") funziona, ovvio che
se posti in HTML o se mi offri un mutuo :-) non credo che
riceverai una risposta ... o meglio ... non una risposta del
tipo "normale" ... ;-)

 grazie.
Leggi qui:
http://www.microsoft.com/windows2000/it/server/help/default.asp?url=/windows2000/it/server/help/sag_IPSECisakmp.htm
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 grazie.
Scusatemise mi intrometto sul ng, non essendone frequentatore.
Ma siccome fra mille battute mi pare che nessuno abbia risposto al povero
niubbo che ha chiesto aiuto, due righe non costano nulla: Sinceramente non
conosco Windows, men che meno XP, comunque ipsec è un protocollo usato per
creare vpns criptate. Immagino che XP lo incorpori direttamente. Quindi
secondo me lo puoi chiudere. Ad ogni modo un sistema ipsec ben configurato
può risultare molto molto ostico per un attaccante. Bisogna vedere se XP
configura correttamente il servizio (cioè in modo sicuro). Siccome però
spesso la politica microsoft non è particolarmente attenta alla sicurezza
(assolutamente senza nessuna polemica), forse ti conviene provare a
chiedere su it.comp.sicurezza.windows.
Saluti
-- 
Lucius in fabula
--www.lucius.it--