Newsgroup: it.comp.os.linux.sys
Titolo: Sicurezza di un client

Premetto che non sono molto esperto per cui abbiate un po' di
pazienza.
Dovrei preparare diversi client linux  sempre connessi a internet con
una connessione adsl ad IP FISSO.
Lo scopo di queste macchine e' di ricevere file dall'esterno
(attraverso l'adsl) che poi verranno utilizzati a livello locale 
* E' pensabile creare un client sicuro che necessiti di pochissima
manutenzione (per non dire nulla ) ? *
Le prime cose che mi sono venute in mente sono :
1) collocare i file dall'esterno nella macchina
utilizzando un unico  demone  (per esempio  sshd  o ed utilizzando scp
dall'esterno per copiare i file ) e disabilitare tutto il resto magari
utilizzando le funzioni di firewalling di linux.
In tal caso immagino  pero' qualora venga scoperto un bug in sshd
dovrei aggiornarlo in tutti i PC (e se fossero molti sarebbe un
lavoraccio) giusto ?
2) disabilitare tutti  i demoni relativi alla rete  e  chiudere tutte
le porte TCP/UDP  della macchina linux (utilizzando magari sempre le
funzioni di firewall di linux)   e fare in modo che il client stesso
vada da solo, con un programma fatto ad hoc,  a prendersi i file di un
suo interesse  su un server (http per esempio )
con l'approccio 2) che rischi correrei per la sicurezza ?
ci sarebbe bisogno di aggiornare la macchina comunque ?
sempre in ottica 2) e' possibile eventualmente  programmare per
esempio il demone sshd per ricevere connessioni solo per un breve
periodo del giorno   e da un certo range di IP (per verificare
eventuali problemi o  per interventi di  manutenzione straordinaria
qualora fossero necessari ) ?
Altra domanda : utilizzando una adsl con ip fisso, come quelle fornite
da telecom per esempio, ci sono  servizi che vengo bloccati ? (dalla
telecom intendo)  
Grazie in anticipo per eventuali risposte

Davide
Grazie
PS. sei il Davide  che vive in olanda e scrive le "storie dalla sala
macchine"
Se sě, complimenti !
Quando avevo piu' tempo le leggevo sempre volentieri!

 Anche se tutto il traffico dall'esterno fosse bloccato ?
Si.
-- 
Luca Villani               Dada S.p.A.
Mobile NOC manager         Mobile Team, via Castiglione 25 Bologna
http://www.dada.net
        Tel: 
+39 051 2966826
    Fax: 
+39 051 2966800
GPG public key available   Mobile: 
+39 348 5298542
 UIN: 76272621

 manualmente?
Risposta (semi-ironica): non serve! Usa cron-apt :)
Va un po' configurato per non spammarti ogni notte, ma funziona
benissimo. Si pre-scarica anche i pacchetti, e il giorno dopo basta un
apt-get upgrade, non scarica niente e installa la roba che ha gia`
preso.
Bye.

Si.
Questo perche' potrebbe esserci bug nel kernel relativi a  netfilter/
iptables  ?
Un firewall hardware aiuterebbe ?
Magari router/firewall ?
Grazie

 perche' il sistema operativo e' tutto e solo in RAM  ?
Non c'entra.
 
Fabio

 Risposta (semi-ironica): non serve! Usa cron-apt :)
Che funzionalmente è la stessa cosa.


 Magari router/firewall ?
Idem con patate.
Ora, visto che dubito che tu stia preparando un sistema di riconoscimento
targhe automobilistiche per la NSA, di cosa si tratta? ;-)


Fabio
Grazie

 Si.
beh, si puo` scegliere quali pacchetti aggiornare in base alla 
criticita` dei bug; ovviamente avendo comunque delle regole di iptables 
sul pc (e/o acl sul router adsl) che bloccano tutto in traffico entrante 
(tranne ssh dalle tue management-station) gli aggiornamenti potranno 
essere un po' piu` rilassati :)
...ovviamente molto dipende anche da che tipo di sw ci sara` sui pc, chi 
avra` accesso agli stessi, quanto sono critici i dati che contengono, 
etc, etc
-- 
bye,
x-point

targhe automobilistiche per la NSA, di cosa si tratta? ;-)
Sfortunamentamente qualcosa di non poi cosi' interessante.
Si tratta del delivery di contenuti multimediali presso alcune
tipologie di punti vendita.
Tra l'altro sono reduce dalla visita di un sito web di un'azienda
europea (di uno staterello fra belgio e germania) che fa questo a
livello molto professionale e...
 come dire
sono di un'altra categoria :-)
Hanno un software che fa pure il caffe' :-)
tutto in maniera trasparente o quasi (o almeno cosi' dicono)
Grazie

etc, etc
Poco software, qualche player
Ii dati non sono particolarmente critici (nel senso non un problema
tanto il furto degli stessi ma la sostituzione con altri impropri :-)
)
Grazie

Grazie a tutti per l'aiuto
Adesso ho le idee molto piu' chiare
Ciao 
Michele 

 e quanto tempo ci metterebbe una macchina a fare il boot da adsl ?
No, non funzionerebbe. Non avevo capito che la connessione sarebbe stata
eseguita con una ADSL dedicata a ogni singola macchina.
Considera che la soluzione CD bootabile ti costringerebbe a spedire ogni
CD di aggiornamento a tutti i punti di utilizzo, con i relativi costi di
stampa e di spedizione. Il repository centralizzato per l'aggiornamento,
IMHO, potrebbe essere la soluzione piu' idonea, come dice anche luca (mi
pare).
Tra l'altro, mi pare che per le tue necessita', le varie macchine remote
potrebbero scartare tutto il traffico tranne quello verso gli host con i
contenuti multimediali e gli aggiornamenti, gestiti da voi, non offrendo
quindi nessun servizio all'esterno. Valuterei l'ipotesi d'una larga VPN,
che semplificherebbe vari aspetti della gestione degli host remoti.
Fabio