Newsgroup: it.comp.os.linux.iniziare
Titolo: Sicurezza e wireless LAN

Salve a tutti. Sto cercando chiarimenti su questa cosa ma stranamente
faccio fatica a trovare la soluzione. Dico stranamente perchè mi pare
una necessità molto ovvia.
E' da molto tempo che ho una connessione LAN a casa tra alcuni pc, di
cui quello con linux gentoo è il gateway. La LAN è tutta a cavi, niente
wireless. Su di uno dei portatili che attacco alla rete ho sempre linux
gentoo ed ho configurato nfs, per accedere e poter montare filesystem
della macchina gateway, mentre su di un'altra accedo con samba. Nessun
problema, anzi, ottimo il funzionamento da molto tempo. Ora però vorrei
aggiungere alla LAN una parte wireless con un access point ecc... Ed un
portatile lo vorrei utilizzare sempre con nfs usando la wireless. Mi
sono chiesto una cosa molto ovvia. Quando con la rete LAN non wireless
montavo i filesystem in remoto, non mi veniva mai chiesta alcuna
password o quant'altro, i filesystem della macchina erano esportati ad
un dato IP (quello del portatile) e basta. Ora, non posso continuare
così, altrimenti qualcuno potrebbe dall'esterno anche della casa,
montarsi i miei filesystem semplicemente usando il giusto IP no? In
giro ho trovato moltissime informazioni per cosa come IPsec, shfs
ecc... che sono molto utili e che sicuramente studierò, ma mi pare che
non risolvano questo problema, cioè, se io invio dati ad uno dei miei
pc, tutti gli altri diventano impossibilitati a "leggerle" perchè
criptati, ma possono ancora montarsi comodamente i filesystem, o
sbaglio? Non so se sono riuscito a esprimere il mio dubbio. Qualcuno
saprebbe dirmi come si possa risolvere il problema di impedire il mount
a persone non autorizzate?
Grazie mille.
Luca

 montarsi i miei filesystem semplicemente usando il giusto IP no?
Ehm, no. Esistono i sistemi WEP, WPA ecc ecc proprio per evitare questi
problemi e fare in modo che solo chi tu voglia (ovvero: chi ha la
password giusta) faccia parte a "basso livello" della rete (ovvero
prima che entrino in gioco i layer IP ecc ecc)

 prima che entrino in gioco i layer IP ecc ecc)
Il fatto è che come è ora, per montare un filesystem, basta attaccare
alla rete una macchina con quell'IP che io ho esportato dal gateway, ed
il mount si effettua con il semplice comando, senza alcuna password.
Cosa mi consigli di usare per lasciare anche tutto invariato
aggiungendo però la necessità di inserire una password per effettuare
il mount?
Grazie.
Luca


Tranquillo che hai diversi modi per ovviare al problema e (per fortuna) 
non devi mettere in mezzo il S.O.
Visto che devi ancora procurarti un Access Point WiFi basta che fai 
attenzione a cosa comperi:
deve supportare WEP e avere un firewall in grado di mettersi tra la 
parte wifi, la parte ethernet e l'adsl.
Con WEP (o WPA, che e' piu' recente) crei una sorta di VPN su WiFi, i 
dati viaggiano cifrati e chi prova a connettersi o conosce la chiave, o 
si attacca e tira forte (in teoria puo' sempre tentare un attacco a 
forza bruta, ma il tempo che ci impiega ti mette ragionevolmente al 
sicuro, specie se cambi password 1 volta a settimana).
Col firewall stabilisci quali indirizzi della tua lan possono fare cosa, 
quindi se uno si collega con "l'indirizzo giusto", se hai configurato 
bene il FW, al massimo riesce a sfogliare l'elenco degli host presenti 
in rete.
 >A<

 il mount si effettua con il semplice comando, senza alcuna password.
E daje, sei di coccio eh? :) la password la metti uguale nella
configurazione delle due schede wireless e stop, non c'entra niente con
nessun'altra password a livello di permessi di sistema operativo.
La scrivi in un file in chiaro, non devi inserirla a mano ogni volta.
E lasci il mount senza password esattamente come ora. Perchè il problema è
che nessuno debba poter prendere un IP della tua LAN wireless, perchè a
quel punto son cacchi amari in ogni caso, password sul mount o meno. Se sei
comunque paranoico, allora lascia stare il wireless e rimani col cavo.
-- 
Vide
"To emulate flesh machines I am learning" (Nevermore)
NP: Nulla

 con nessun'altra password a livello di permessi di sistema operativo.
Ok, sto cercando di capire. Il fatto è che io non ho due schede
wireless. Io ho una scheda wireless e basta. All'altro capo c'è un
access point che si collega ad uno switch. Anche per quello devo
scrivere questo file con la password in chiaro?
Grazie mille.
Luca

 scrivere questo file con la password in chiaro?
Ovvio. Imposti nel router la chiave WEP o meglio WPA che vuoi,
collegandotici attraverso un mezzo sicuro (cavo ethernet e/o cavo
seriale, dipende dal router) e imposti staticamente la stessa chiave
nel tuo client wireless. In questo modo si potrà collegare all'AP
*solo* il tuo client ben configurato (o qualunque altro client con la
chiave corretta)

sicuro, specie se cambi password 1 volta a settimana).
piccolo consiglio, WPA-PSK č lo standard minimo di sicurezza per una
Wireless LAN poiché una chiave WEP č facilmente craccabile con un
attacco a forza bruta sniffano anche "solo" 300MB di traffico (che
sono pochi se si usa il segmento wireless per trasferire file, sono
molti se si usa il segmento wireless solo per navigare sul web)
Ciao, Paolo
-- 
Per rispondere in privato togli INVALID dall'indirizzo e-mail.
Paolo.

 chiave corretta)
Io non ho un router però, io ho uno switch. Mi sai consigliare anche
magari qualche link che spieghi come si possa fare ad impostare la
password sulla scheda e sull'access point?
Grazie mille.
Luca

 molti se si usa il segmento wireless solo per navigare sul web)
Come ho detto questa cosa mi interessa poco. Mi basta intanto che non
sia libero il montaggio. Poi, per il resto pensavo di usare qualche
cosa tipo shfs o kerberos, ma magari lo imposto con calma. Ho letto in
giro e sembra che sia ottimo.
Luca



non ti so dire, di linux non so praticamente nulla. Per maggiori info
sulle wireless ti consiglio di dare un'occhiata al ng
it.comp.reti.wireless ma non è poi così complicato mettere WPA-PSK sul
segmento di rete, devi solo impostare la stessa chiave sull'AP e sul
client in modo che nessuno entri nella tua rete se non chi possiede la
chiave (altrimenti il vicino del piano di sotto vede tutto quello che
hai in rete, naviga gratis, può comunque sniffare il traffico che
occorre sul segmento ed altre varie cosette)
