Newsgroup: it.comp.os.linux.sys
Titolo: VPN Persistente, pro e contro e tips & trick

Ciao a tutti.
Quali possono essere gli svantaggli (in termini di sicurezza) di 2 
gateway collegati perennemente
via openvpn (24ore su 24 7gg su 7)? Sarebbe meglio fare delle 
disconnessioni/riconnessioni ogni tanto?
Inoltre, in che modo pensate si possa rendere piu sicura? Quale chiper? 
cambiare le chiavi ogni quanto?

 cambiare le chiavi ogni quanto?
Usa i certificati.

> Usa i certificati.
Si certo.
Volevo però sapere se l'utilizzo della shared key (molto piu semplice
da gestire per gli utenti finali) poteva essere insicura in qualche
modo.
Lo scopo della vpn è connettere 2 gateway (peer-to-peer, niente
roadwarrior o numero di punti > 2) 24 ore su 24.
Pensavo di cambiare la chiave automaticamente ogni settimana o ogni
mese e limitare l'accesso alle rispettive porte (la 5000) solo a mac
address conosciuti (i 2 gateway sono fissi) e limitare il numero di
client vpn ad 1 (cosi se sono già collegato io nessun altro si può
collegare)
L'utilizzo di certificati è piu sicuro, ma anche molto più complesso
da gestire per l'utente finale (come posso fargli copiare i certificati
in maniera sicura tra i 2 server? [1] ).
So che 'intercettare' la chiave da un utente malintenzionato può
compromettere l'intero sistema (fino al prossimo cambio automatico di
chiave) ma come si può intercettare questa chiave se essa non viene
mai comunicata in nessun modo all'esterno della rete?
Se poi openvpn permettesse il cambio automatico di chiave su entrambi i
sistemi una volta instaurata la connessione sarebbe perfetto. (ma non
credo si possa fare)
[1] pensavo ad una condivisione samba nelle 2 reti. Si genera il
certificato sul server (e finisce nella condivisione samba, se lo
copiano su un disco e lo incollano (fisicamente  no via remoto) nella
condivisione samba dell'altro server. Ma non mi sembra assolutamente
una soluzione sicura.

 mai comunicata in nessun modo all'esterno della rete?
"intercettare" = "avere accesso al file .key"

 "intercettare" = "avere accesso al file .key"
Se intercettare = avere accesso al file allora si 'intercettano' anche
i certificati quindi la sicurezza è pressochè identica tra i 2 metodi.

 Ovvi motivi quali? Spoofing?
Per ovvi motivi di irrealizzabilita`: te la faccio molto breve e con un
esempio empirico.
Sapresti dirmi il MAC addr di un server a tua scelta di Google?
Ecco fai ping 
google.com
 e poi sappimi dire cosa trovi nella tua ARP Cache.
Poi di corsa vai a rivederti la pila ISO/OSI e le basi del networking ;)

 Poi di corsa vai a rivederti la pila ISO/OSI e le basi del networking ;)
Allora credo che non ci siamo proprio capiti.
Devo fare 1 vpn tra 2 gateway (di mia proprietà quindi a priori so
anche che chipset usa la scheda di rete oltre al mac address ed all
indirizzo ip di entrambi i GW) 24 ore su 24.
Questa VPN deve essere 'chiusa' ovvero solo e soltanto i 2 gateway
punto-punto. nessun roadwarrior o 3 utente.
Per fare ciò pensavo di utilizzare la shared key (molto piu semplice
da gestire) e magari limitare il numero massimo di connessioni vpn a 1
(tramite configurazioni di openvpn) e limitare la porta 1194 (vado a
memoria, non sono sicuro sul numero) in ingresso SOLO al mac address
dell'altro server.
Ora, un utente malintenzionato per poter accedere alla mia rete
dovrebbe:
1- prendere il mac address del gateway (il client)
2- prendere la shared key da 1 dei due server (quindi deve 'bucare' il
server stesso ed a quel punto il problema della shared key intercettata
sarebbe l'ultimo dei miei problemi)
3- aspettare che il mio client fidato (il gateway) non sia connesso
dato che il numero massimo di client vpn è impostato a 1 (però il
collegamento è 24 ore su 24 quindi il client salvo problemi vari sarà
sempre connesso)
La cosa è alquanto improbabile.
Il mio dubbio era sapere se questa shared key potesse essere
intercettata in qualche modo con sniffer o simili oppure potesse subire
un attacco brute force.
Che differenza/vantaggi ci sarebbero utilizzando i certificati in una
vpn cosi semplice? I certificati potrebbero tornare utili in caso di
utenti multipli ognuno col proprio certificato evitando quindi che la
shared key comune 'giri un po troppo'.

 dell'altro server. [cut]
*NON* puo` funzionare il filtro sul MAC Addr,non potrai mai sapere il MAC
dell'altro gateway che ti sta facendo la richiesta sulla
porta 1194...cortesemente vatti a rivedere come funziona l'ARP e in
generale tutta la pila ISO/OSI
Tolto questo particolare il resto dei tuoi accorgimenti sono sensati ed
efficaci.

 efficaci.
Si può 'irrobustire' in qualche modo il sistema senza usare i
certificati?

 certificati?
E si ritorna al discorso di prima.
Rimaniamo alle chiavi statiche:se i birbaccioni riescono a mettere mano,
fisicamente o meno,ai file .key l'ultima preoccupazione e` che ti abbiano
bucato la VPN...ma che ti abbiano bucato i gateway!

 bucato la VPN...ma che ti abbiano bucato i gateway!
Ok infatti è quello che ho detto io. Se prendono il .key, della vpn
non me ne frega una cippolippa.
Questo problema però affligge anche i certificati.
In sostanza i 2 metodi sono pressochè identici come sicurezza.
Quando conviene utilizzare i certificati allora?

 Quando conviene utilizzare i certificati allora?
dal punto di vista del neanche-troppo-paranoico, conviene sempre usare 
PKI invece che shared keys :)
per esempio qui il vantaggio e' che avendo una CA altrove, che tieni 
bene in sicurezza, puoi ad esempio andare di tls-remote e verificare che 
il cn del certificato coincida col reverse dell'ip da cui proviene la 
connessione. Ma puoi fare anche altro, leggi nei paraggi di tls-remote 
nel man.
ciao,
--
oggei

 nel man.
Ma è come usare una ferrari per andare all'edicola sotto casa.....
Sono pienamente daccordo che usare i certificati è meglio, ma per fare 
una piccola VPN tra 2 hotel (stassa proprietà) mi sembra fin troppo 
eccessivo...

 vpn cosi semplice? 
Il vantaggio è proprio nel rekeying automatico, tra le altre cose.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 Il vantaggio è proprio nel rekeying automatico, tra le altre cose.
Il rekeying automatico mi interessa relativamente poco. Una soluzione 
manuale (una volta al mese o ogni X mesi) può bastare (anche se è molto 
scomoda, ma tanto non lo devo fare io).
Mi interessava più la parte di 'sniffing'. Non è che se un utente 
'becca' una comunicazione openvpn, riesce in qualche modo a generare la 
chiave?
Sotto questo aspetto credo che i certificati e le chiavi abbiano lo 
stesso livello di sicurezza. Almeno spero....

 eccessivo...
ah beh, anche per affettare il prosciutto basta un coltello qualsiasi
:)))
ciao,
--
oggei

 :)))
:-)