Newsgroup: it.comp.sicurezza.varie
Titolo: [Lungo]Linux+OpenSSL+STunnel = Risolto il problema della password in clear text.

Salve a tutti,
Uno dei tanti problemi relativo alla sicurezza (spesso sottovalutato) e'
quello della password spedita in clear text.
Immaginate (...based on a true story) che l'amministratore di rete della
vostra azienda decide che puo' lavorare da casa. Chiaramente deve accedere
al Mail server della ditta (via Internet) per ricevere e spedire mails.
Cosi' crea un nuovo account sul suo mail client.
Quando si collega al mail server della ditta gli viene chiesto di inserire
user name and password dell'account di Exchange che corrisponde anche al suo
NT account. Tutto il traffico e' in clear text (compreso il suo user name
and password). Le atroci conseguenze di questo atto di pura follia sono
facilmente prevedibili visto che anche un bambino (promettente nerd) sarebbe
capace di ricavarle.
Se aggiungete anche che anche i vari managers e consulenti fanno lo stesso,
potete allora anche prevedere che il povero addetto alla sicurezza e'
prossimo ad una crisi di nervi...quando...Sir Linus Torvald(non so se si
scrive cosi') li appare in sogno indicando al malcapitato una semplice ed
estremamente economica soluzione: OpenSSL e STUNNEL, due open source
programs di estrema utilita'.
Considerando che sono alle prime armi con LINUX e che comunque sono riuscito
a farlo funzionare, e' facile intuire che non bisogna essere dei geni, visto
che tutte le istruzioni sono ampiamente spiegate nei vari MAN e README.
Ho installato Linux Server su di un vecchio p166MMX. Dopo aver compilato,
installato e configurato OpenSSL and STUNNEL, ho piazzato la suddetta box a
ridosso dell Exchange server. Il bello di questa soluzione e' che non c'e'
alcun bisogno di installare client software sui remote PCs. L'unica cosa da
fare e' creare un account il cui mail server e' l'external address del
LINUXSSL box e fare sapere al client che useremo SSL(In OE per esempio e' su
Mail > Properties > Advanced. Non sono riuscito a farlo funzionare con
Netscape visto che non so come cambiare la default port di POP3 e IMAP)
Chiaramente bisogna anche creare un nuovo rule sul Firewall (SMTP[25],
IMAPSSL[993] e POP3SSL[995]) per permettere il traffico tra i remote user ed
il LINUXSSL.
OpenSSL crea la connessione tra il remote client e LINUXSSL, mentre STUNNEL
si connette all'exchange server.
Ma la cosa piu' bella e' che funziona! e costa virtualmente nulla...
PS Ho condiviso questa esperienza nel caso in cui qualche altro membro di
questo NG si e' (o si trova) di fronte lo stesso problema...visto che
potrebbe essere un'ottima alternativa...Consiglio a tutti gli addetti ai
lavori (se non lo hanno gia' fatto)di dare uno sguardo a questi 2 software.
HTH
Tony H


grazie
--
В--
Astro Vitelli
ВВВВВВВВВВВВВВВВВВВВВВВВВВВВВ

 questo NG si e' (o si trova) di fronte lo stesso problema...visto che
Un suggerimento: perche' non la mandi a 
http://www.pluto.linux.it
? Il
tuo howto e' molto interessante, anche per me (che potrei aver bisogno
di implementare certi meccanismi in futuro).
-- 
Max e la produttivita' in ambiente Windows
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 di implementare certi meccanismi in futuro).
Direi che glielo pubblicherebbero a razzo !
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

tipico utonto Uindous, Complimenti !!
scusate se mi intrometto e quoto da cane, mi ricordo la mia prima
distro, la RH 6.0 ho fatto l'installazione, quando mi ha chiesto la
pass di root l'ho inserita, riavvio il tutto...  e ci fu la fatidica
domanda, login:  
e ora che cavolo ci metto? durante l'inst. mi ha chiesto solo una pwd
e come uid che gli metto.
ho impiegato due settimane a capire che ci dovevo scrivere root.
quando l'ho scoperto mi sono sentito veramente un utonto winbug.
Ciao Andrea.
-- 
Windows 98, per il virus che non deve chiedere.... mai.
"Cancellami" se mi vuoi rispondere
--

 pass di root l'ho inserita, riavvio il tutto...  e ci fu la fatidica
Ahahah, scusami se rido di te Andrea ma questa cosa succede davvero di
frequente, non preoccupartene piu' di tanto :-)) Non hai idea quante
volte sui NG della gerarchia it.comp.os.linux.* (e prima ancora
it.comp.linux.*) apparissero di queste domande e che varieta' di
sberleffi di ogni tipo ne scaturissero.


sberleffi di ogni tipo ne scaturissero.
Nessun problema
Asta el nano, siempre
Andrea


 Asta el nano, siempre
:-)


 Asta el nano, siempre
Hasta, hasta...per favore, eh?
:)
[ok, scusate: follouappatemi pure su junk...io non posso...]
-- 
"Non faro' nulla a favore dell'ambiente che possa nuocere alle
 imprese" (George Bush Jr.)
ICQ #: 107064322

 [ok, scusate: follouappatemi pure su junk...io non posso...]
Fatto :)


:)
pardon, e' stato un lapsus :)


 di implementare certi meccanismi in futuro).
Ho dovuto creare delle semplici (step by step)technotes(ovviamente in
inglese) riguardanti la installazione e configurazione di OPENSSL e STUNNEL.
Se qualcuno e' interessato posso postarle in questo NG. Provero' a tradurle
in Italiano (ma solo se assolutamente necessario..;-) ).
La procedura per mandarli a 
http://www.pluto.linux.it
 non mi e' molto
chiara...
A presto
Tony H

poco user friendly. 
UNIX *IS* user friendly. It's only a bit picky about who 
its friends are.
Leonardo
-- 
UberNet 207.46.130.45 (*) - guest login ok 00:00-08:00 GMT
(*) bring to my attention the obvious so I can admire your
    powers of deduction - and what was your account again?

 in Italiano (ma solo se assolutamente necessario..;-) ).
Se non e' un problema posso provarci io. 8-)


 its friends are.
I assume that you have been playing with UNIX since when the PDP-7 computers
were the latest tech-innovation.
Tony H

 Fatto :)
Perche' quando ci provo io mi dice "no such group"??????????
-- 
Max OT ma che in confronto all'"Acquisto softuer"...


 Perche' quando ci provo io mi dice "no such group"??????????
Perche' IB non ha junk...:-)
[berlin, invece, non consente il f/up su junk...altra classe, deh!:-)]


 Perche' quando ci provo io mi dice "no such group"??????????
Perche' Uin9x non puo' :-)





Back in the ol' days, we dinna have no fancy programming languages. All
we'd got were ones and zeroes... and the ones again them we had only on
Sundays. On the other days all we had were them zeroes. And mony it was
a winter day, when we had to make do with them letters "O", we had.
Leonardo OLE ;-) County


 Perche' Uin9x non puo' :-)
Naaa...

 Naaa...
Ci sono newsreaders per il cesso^Wprode OS di m$ che permettono di
scrivere su junk? Mi giunge nuova, potro' anche sbagliarmi, eh..
