Newsgroup: it.comp.os.linux.iniziare
Titolo: Firestarter: "Politica per il traffico in uscita"

Ciao, sto usando da poco Firestarter e vorrei che mi spiegaste
meglio due cose:
impostando come "Politica per il traffico in uscita" la modalitï¿œ
"Restrittivo in modo predefinito..." ï¿œ necessario poi indicare
con quali protocolli ï¿œ possibile comunicare in rete.
Bene, ho impostato HTTP, HTTPS e NNTP tutti per "everyone".
Ciï¿œ significa che qualunque programma che voglia, dal mio pc,
accedere tramite questi protocolli alla rete (Internet o lan)
lo puï¿œ fare sempre senza restrizioni. In pratica, non c'ï¿œ un controllo
che consente di indicare quali applicazioni possono farlo o no.
La mia domanda ï¿œ: il sistema risulterï¿œ meno sicuro?
Se un software maligno (installato da inconsapevolmente da me o da 
altri) prova a mandare informazioni verso Internet io non lo potrei
bloccare, non me ne accorgerei neanche.
Come risolvere questo problema?

 Come risolvere questo problema?
(Ti dico la mia ma attendi risposte di chi ne sa di pi�.)
Lo risolvi anzitutto a monte non installando software maligno. Una delle
cose che mi piacciono da quando sto usando Ubuntu � che gli applicativi
si scaricano da repository firmati con una chiave, a garanzia che il
pacchetto viene appunto da fonti fidate, il tutto senza la fatica e la
preoccupazione di ogni installazione Windows. Gi� questo potrebbe
chiudere il discorso, almeno al 90 percento. Per quei pochissimi
programmi non inclusi nel repository, che devo scaricare e installare a
parte, ovviamente verifico che la fonte sia conosciuta e fidata. Per
esempio, i programmi andrebbero scaricati dai link del produttore, non
da siti sconosciuti che potrebbero averli modificati. Se possibile,
verificare il contenuto dei file con i checksum.
C'� anche il fatto che per Linux i virus sono praticamente sconosciuti,
per una serie di motivi, anche se questo non deve indurre ad abbassare
la guardia e installare qualsiasi cosa capiti, perch� almeno in teoria
anche in un programma Linux qualcuno potrebbe aver nascosto dentro una
"sorpresa". Per es. anche su linux esistono i keylogger, i rootkit, ecc.
Ad ogni modo, su Linux � difficile che si installi qualcosa se
non lo decidi tu. In particolare Ubuntu di default non consente di fare
il login di sessione come root,  puoi loggarti solo come utente e poi
devi dare la password ogni volta per ogni azione amministrativa, come
appunto l'installazione di un software. Questa policy di Ubuntu evita
alla radice errori di distrazione e cattive abitudini acquisite magari
dagli ex utenti Windows. 
Inoltre, il browser di serie � Firefox, gi� abbastanza sicuro di per s�,
diventa ancora pi� sicuro se usato con add-on per la sicurezza (i miei
preferiti sono NoScript, che blocca tutti gli script nelle pagine che
non si conoscono, e WOT, che segnala i siti web considerati pi� o meno
affidabili dagli utenti) che dovrebbero prevenire "schifezze" quando si
naviga. 
Installa regolarmente gli update di sicurezza. Anche questo � molto
semplice sul mio Ubuntu, che li notifica quando sono disponibili.
Se nonostante la prevenzione ancora temi di avere installato un software
maligno, puoi fare � un controllo periodico antirootkit (in parole
povere programmi "invisibili" che prendono il controllo del sistema a
tua insaputa). Puoi controllare con utility come chrootkit e rkhunter
(Rootkit Hunter scans systems for known and unknown rootkits,
backdoors, sniffers and exploits.) e altre. Esistono anche antivirus
che girano su linux, per es. Clamav, ma a quanto ne so � utile
soprattutto per controllare programmi che poi si useranno su Windows.
Farei attenzione anche se usi il p2p e se installi server e condivisioni.
Immagino che anche su Linux stare dietro a un buon router sia un buon
punto di partenza, e poi documentarsi sui programmi che si usano e su
come configurarli correttamente.
Infine, tornando alla tua domanda iniziale, non so se ci siano programmi
per linux che fanno quello che chiedevi, cio� bloccare le comunicazioni
in uscita a livello per applicazione, come nei vari ZoneAlarm, Outpost,
ecc. per Win. Firestarter e simili non lo fanno e neanche altre GUI
basate su iptables (vedi citazione dalle FAQ di KMyFirewall, in fondo al
mio post).
Tuttavia, un'impostazione "per application" credo che abbia dei seri
limiti, perch� 1. se hai installato il programma maligno perch� ti
fidavi, forse gli darai anche il permesso per comunicare; 2. una volta
che gli dai il permesso per installarsi, il programma potrebbe aggirare
i controlli in ogni caso.
Q: Can I setup application based firewalling (e.g. just allowing Konqueror to use the net) with KMyFirewall?
A: No, sorry. The reason is that KMyFirewall uses iptables to implement the ruleset. Therefore you cannot define different rules for different applications. The whole firewalling process runs in kernelspace and is completely independent from any other software - in fact iptables does not know anything about the applications using the network. All they do is decide if a port is reachable or not for each packet.
Q: Is KMyFirewall a Firewall Application similar to "Zone Alarm" or "Norton Internet Security"?
A: No. The main difference between KMyFirewall and tools from the Microsoft world is that KMyFirewall just generates a iptables scripts and installs it into the boot scripts. The configuration generated is static, which means that the ruleset does not change once generated, and you won't get messages like "Hey, Host: EvilGuy tried to connect to your computer. Should EvilGuy be banned permanently?.".
But that does not mean the firewall configured by KMyFirewall is less secure.
In fact, static configurations are often preferred to firewalls that are
reacting to specific events (e.g. blocking a host that made a portscan)
because they are much easier to maintain and to debug.
[...]
url breve: 
http://snurl.com/l60fw
http://www.kmyfirewall.org/index.php?kat=FAQ#question_Can%20I%20setup%20application%20based%20firewalling%20(e.g.%20just%20allowing%20Konqueror%20to%20use%20the%20net)%20with%20KMyFirewall
?

 mio post).
[cut]
SELinux non c'entra con il mio problema?

 SELinux non c'entra con il mio problema?
S�, afaik, credo che SElinux ti permetterebbe il controllo delle
comunicazioni per applicazione  (correggetemi se sbaglio), ma il
fatto � che....... devo ancora arrivare a quel "capitolo" ;-)
Da quel che leggo non � semplicissimo.