Newsgroup: it.comp.os.linux.sys
Titolo: quanto è sicuro un firewall?

Salve, uso linux da un paio d'anni e ultimamente mi sto interessando
alla sicurezza. Che differenze ci sono tra le due configurazioni di rete
riportate sotto?
ReteA: LAN---Hub---Firewall---Router---Internet
              |    (eth0/1)
       Server-+
ReteB: LAN---Hub---Server+Firewall---Router---Internet
                      (eth0/1)
cioè quali sono gli svantaggi nell'utilizzare nella stessa macchina
server il firewall (ipchains o iptables che sia), invece di dedicare una
macchina specifica?
Questo per quanto riguarda l'ufficio in cui lavoro, ma potrebbe essere
applicato anche a casa, dove ho un collegamento adsl, modem e
workstation (come molti di voi suppongo).
Mettendo un vecchio pc tra modem e workstation con iptables, che vantaggi
ne traggo in termini di sicurezza?
Grazie.
-- 
"Wendy, tesoro, luce della mia vita! Non ti faro' niente. Solo che devi
lasciarmi finire la frase. Ho detto che non ti faro' niente.
Soltanto, quella testa te la spacco in due, quella tua testolina te la
faccio a pezzi!"             -- Mr. Jack Torrance, "Shining"


mah.. per una macchina sola, praticamente nessuno... :-)
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I 
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

                       (eth0/1)
Nella Rete A, se leggo correttamente, tu hai dei "fori" nel firewall
tramite i quali il Server e' "visibile" su Internet, che sia un
Nat2nat o altro, ci sono questi "buchi". Quindi (in teoria), un 
baco che permetta ad un cracker di accedere al Server gli consente
di accedere anche alla LAN, nella rete B un'eventuale baco potrebbe
essere circoscritto al solo Server/Firewall, dico "potrebbe" perche'
non e' verificato.
In entrambi i casi, se il firewall viene scavalcato non e' una bella cosa.
Ovviamente, tra A e B, la cosa che salta all'occhio e' che ti serve
una macchina in piu'...
Davide

a mio avviso il firewall deve fare solo il firewall... perché? semplice, 
perché qualsiasi applicazione, sendmail, dns eccetera può presentare dei 
bachi, che possono permettere ad un malintenzionato di eseguire codice 
malefico sulla macchina che li fa girare. Più servizi hai, più ci sono 
rischi... se uno ti buca la macchina con il firewall è in grado di 
cambiare le regole di firewalling a suo piacimento, in pratica gli 
consegni tutta la lan su di un piatto d'argento.
se vuoi essere strasicuro quindi chiudi praticamente tutti i iservizi 
sul firewall. io per motivi di accesso remoto sui firewall che configuro 
lascio aperto solo ssh, facendo attenzione che sia l'ultima versione 
(non bacata). volendo essere + paranoico dovrei chiudere anxhe quello
-- 
Davide Corrado
Windows NT crashed.
I am the Blue Screen of Death.
No one hears your screams.

 faccio a pezzi!"             -- Mr. Jack Torrance, "Shining"
Azz =8-O
Simpatico il tipo
-- 
me@herhouse:~$ touch: /girlfriend/leg: Permission denied
ICQ #21184609

 Simpatico il tipo
Dai, non dirmi che non hai mai visto il mito? E' un film bellissimo !
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
i miei denti sono spade, i miei artigli lance, lo sferzare della mia
coda una saetta, le mie ali un uragano ed il mio alito MORTE !

 non e' verificato.
io invece dico che (in una situazione ideale) sul firewall NON devono
esserci servizi aperti per l'esterno, questo vanno messi su una macchina a
parte che deve stare dietro il firewall; se oltre agli eventuali server
pubblici dietro il firewall ci sono anche macchine che non devono essere
raggiunte da fuori (workstation o db, ad esempio) queste devono essere
spostate su una ulteriore rete (quindi il fw avra` 3 eth, una sulla
outside, una sulla inside e una sulla rete dei server pubblici,
solitamente chiamata dmz)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 mah.. per una macchina sola, praticamente nessuno... :-)
A parte che è molto più difficile che ti "entrino" nel computer con vari 
stratagemmi :)
Windows non è molto "preparato" a questo tipo di cose (XP va un po' 
meglio, ma 98/ME/2000 non hanno quasi niente).
Prima usavo W98 con modem 56K (senza precauzioni), ed una volta mi sono 
trovato un tipo che girovagava nel mio HD...
Poi ho inziato ad usare un personal firewall (Zone Alarm), e nei logo mi 
sono trovato tanta gente che provava ad entrare dalle porte più 
disparate (che però ZA bloccava).
Adesso uso Linux come firewall/router tra un modem ADSL e la rete 
interna.
I PC della rete interna non sono visibili dall'esterno, e quindi sto 
tranquillo...
Però guardando nei log vedo che spesso e volentieri c'è qualcuno che 
prova ad entrare (e che viene prontamente fanculato)
Cmq ho visto che c'è gente che ci prova di continuo...
Guardate 
p.es
. il log degi ultimi 2 giorni...
(ma io mi domando... cosa cacchio vuole tutta quella gente da me?)
Jun  2 11:26:56 xinetd[1117]: START: ftp pid=26061 from=194.112.189.131
Jun  2 11:26:56 xinetd[26061]: FAIL: ftp libwrap from=194.112.189.131
Jun  2 11:26:56 xinetd[1117]: EXIT: ftp pid=26061 duration=0(sec)
Jun  2 12:58:16 xinetd[1117]: START: ftp pid=26908 from=202.99.41.7
Jun  2 12:58:16 xinetd[26908]: FAIL: ftp libwrap from=202.99.41.7
Jun  2 12:58:16 xinetd[1117]: EXIT: ftp pid=26908 duration=0(sec)
Jun  2 18:31:53 xinetd[1117]: START: ftp pid=30008 
from=
p5088A629.dip0.t-ipconnect.de
Jun  2 18:31:53 xinetd[30008]: FAIL: ftp libwrap from=p5088A629.dip0.t-
ipconnect.de
Jun  2 18:31:53 xinetd[1117]: EXIT: ftp pid=30008 duration=0(sec)
Jun  2 19:54:46 xinetd[1117]: START: ftp pid=30773 from=203.194.164.61
Jun  2 19:54:46 xinetd[30773]: FAIL: ftp libwrap from=203.194.164.61
Jun  2 19:54:46 xinetd[1117]: EXIT: ftp pid=30773 duration=0(sec)
Jun  2 23:55:53 xinetd[1117]: START: ftp pid=767 from=211.153.20.96
Jun  2 23:55:54 xinetd[767]: FAIL: ftp libwrap from=211.153.20.96
Jun  2 23:55:54 xinetd[1117]: EXIT: ftp pid=767 duration=1(sec)
Jun  3 00:02:11 xinetd[1117]: START: ftp pid=848 from=211.153.20.96
Jun  3 00:02:11 xinetd[848]: FAIL: ftp libwrap from=211.153.20.96
Jun  3 00:02:11 xinetd[1117]: EXIT: ftp pid=848 duration=0(sec)
Jun  3 03:00:26 xinetd[1117]: START: ftp pid=2509 from=209-9-158-
5.sdsl.cais.net
Jun  3 03:00:26 xinetd[2509]: FAIL: ftp libwrap from=209-9-158-
5.sdsl.cais.net
Jun  3 03:00:26 xinetd[1117]: EXIT: ftp pid=2509 duration=1(sec)
Jun  3 04:32:31 xinetd[1117]: START: ftp pid=3459 from=
64.124.45.233.renderx.com
Jun  3 04:32:31 xinetd[3459]: FAIL: ftp libwrap from=
64.124.45.233.renderx.com
Jun  3 04:32:31 xinetd[1117]: EXIT: ftp pid=3459 duration=0(sec)
Jun  3 14:19:24 xinetd[1117]: START: telnet pid=8919 from=192.168.0.10
Jun  3 14:20:58 xinetd[1117]: START: ftp pid=9017 from=192.168.0.10
-- 
---> 
ra...@bigfoot.com
                                    ICQ:11928715
----------------------------------------------------------------------
ATTENZIONE:
Utilizzate l'indirizzo qui sopra per rispondere.


No, diciamola tutta... non hanno NIENTE...
e per quanto riguarda XP praticamente anche: hai la possibilità di 
chiudere le porte in input, niente su output, figuriamoci su forward...
Si, ok, hai ragione.. ma davo per scontato che la workstation in oggetto 
fosse linux anche lei...


 fosse linux anche lei...
Uhm... credo che sia difficile che le macchine all'interno della rete 
locale siano tutte Linux...


 (ma io mi domando... cosa cacchio vuole tutta quella gente da me?)
[...]
Piuttosto, avendo l'indirizzo IP, non e`
possibile cazziarli, a questi?
Capita anche a me ti trovare qualcuno che
ci prova con ftp, nntp, telnet, etc...
bye,
-- 
  Piergiorgio Sartor


Si, ma se non ho capito male parlava di una rete casalinga con una 
workstation e un (forse) firewall


 Jun  2 11:26:56 xinetd[26061]: FAIL: ftp libwrap from=194.112.189.131
Scusa ma cosa usi per loggare questi messaggi?
Io uso ippl e tcpspy.
Ciao.

 (non bacata). volendo essere + paranoico dovrei chiudere anxhe quello
Se la apri solo verso l'interno, non vedo il problema.
-- 
Qui e' Jack Burton, del Pork-Chop Express,
che parla a chiunque sia in ascolto...
http://digilander.iol.it/burton666/index.html

 
per esigenza mia č aperta verso l'esterno, ma preferisco correre il 
rischio (piccolissimo secondo me) che andare dai vari clienti.
solitamente le variazioni regole di firewalling le faccio sabato mattina 
da casa mia, ancora nel letto e con il portatile appoggiato su di un 
vassoio da prima colazione :-)


 ci prova con ftp, nntp, telnet, etc...
:(


 Scusa ma cosa usi per loggare questi messaggi?
/var/log/secure 
E' un file di testo in cui ci sono questi messaggi...
Puoi anche controllare in /var/log/messages
Non li ho messi io... ci ha pensato MDK da solo...


 non e' verificato.
Beh, do più importanza al server che ai picci della LAN.
Io mi riferivo al fatto che, in entrambi i casi, se qualcuno riesce a
scavalcare iptables/ipchains, sono nei guai comunque. E allora perchè
nelle configurazioni che vedo in giro il firewall è quasi sempre
stand-alone e non incluso nel server?


 (non bacata). volendo essere + paranoico dovrei chiudere anxhe quello
idem.
Grazie per la risposta, ciao.


 solitamente chiamata dmz)
Si, ho visto molti esempi con la DMZ. Ma anche in questo caso: se un
malintenzionato scavalca iptables/ipchains riesce ad entrare nella DMZ o
mi sfugge qualcosa? In altre parole la DMZ è una sicurezza in più oppure
è solo una "comodità" di configurazione per il sistemista?


 Se la apri solo verso l'interno, non vedo il problema.
E come si fa poi ad accedere da remoto?
Ciao.


 stand-alone e non incluso nel server?
Perche' la maggioranza delle volte il FireWall e' un componente
Hardware a se' stante.
Davide

 mi sfugge qualcosa? In altre parole la DMZ č una sicurezza in piů oppure
e` una sicurezza in piu`: visto che ogni servizio e` un possibile anello
debole nella sicurezza della rete si tende a mettere su una DMZ (o piu`
DMZ!) i server con servizi aperti per il pubblico e su una rete piu`
sicura (INSIDE) i server di backend (db, ad esempio) e/o la lan aziendale;
se un malintenzionato riesce ad impossessarsi di una macchina sulla dmz
comuqnue il firewall gli impedira` di entrare sulla inside. (poi
l'impiegato smanettone installa un bell'access-point wireless, senza
configurarlo decentemente, per usare il suo portatile in sala riunioni e
chiunque passa per il bar del piano di sotto si trova un ip assegnato dal
dhcp sulla rete inside, con full-access a tutti i documenti piu` segreti,
ma questa e` una altra storia :-) )


 (non bacata). volendo essere + paranoico dovrei chiudere anxhe quello
spero sia wrappato per accettare connessioni solo da una tua macchina
MOLTO trusted :-)


 E come si fa poi ad accedere da remoto?
Verso l'interno DELLA LAN. Cioe' solo sull'interfaccia di rete collegata
alla lan interna.


 E come si fa poi ad accedere da remoto?
Credo che intendeva l'interno della LAN...
Dalla LAN puoi accedere.
Da internet no...


 
Solo per i servizi che usano il tcpwrapper.

 Solo per i servizi che usano il tcpwrapper.
Inoltre non è che ci siano servizi aperti :)
Gli unici lanciati da xinetd sono proftptd e telnetd


 ne traggo in termini di sicurezza?
diciamo che per casa non serve davvero mettere su una macchina (per quanto
obsoleta) con il compito di fare da firewall (soprattutto se sommata ad un
router).
in ambito lavorativo il discorso cambia, e tra le due configurazioni che hai
disegnato tu non va scelta nessuna (anche se quella con un fw dedicato e' la
meno peggio).
una scelta piu' sensata e' raffigurata (male) qui sotto:
                                     internet
                                          |
                            lan--- firewall--- dmz
meglio ancora sarebbe:
                                   internet
                                        |
           lan---firewall---- router-----firewall------dmz
meglio ancora sarebbe:
(...continua... all'infinito....).
non esiste una configurazione "tipo" perfetta. devi solo cercare il giusto
equilibrio tra massima sicurezza e massima usabilita'.
verifica le esigenze che hai, e scegli di conseguenza


http://www.calogero.org/

 cosa ci si risolve...
Il problema è che l'IP potrebbe non essere reale o appartenere ad una 
macchina "zombie". 
Mah...
Ciao.
-- 
***  Per E-mail rimuovi ModE dall'indirizzo  ***
  *** Linux user # 198661 --- ICQ 33500725 ***
*** homepage 
http://web.tiscalinet.it/kailed
 ***
            *** Powered by Linux ***

 Mah...
Già...
E chi se li prende in ingresso sono io...
Più che chiudergli la porta in faccia non posso fare.


 nel senso che non serve proprio, oppure non serve averne una dedicata?
dedicata. due tre regolette di firewalling non fanno mai male.
se per esempio non devi far accedere nessuno da fuori, bastano 2 righe:
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
fine :-)




e perche' la gente non ha voglia di sbattersi.. o anche perche' sono
ignoranti
prendi il mio amico per esempio, se' comprato un modem da 400 euro che e'
abilitato alla condivisione della connessione su piu' pc, anziche
configurare un gw apposito.. semplicemente non lo sapeva...
oltre al fatto che non aveva tempo di saperlo..
ciauz

 
scusa oggi ce l'ho con te!
io ho tutte macchine linux..
poi mi meravigli proprio.. dici peste e corna di windows e poi lo usi ?
il massimo..


il fatto di tentare delle connessioni non e' un reato di per se... quando
tu ti connetti su un server web entri dentro il server pero' mica ti
mettono in galera ..

 
???
siete voi gli abuser!!

 possibile cazziarli, a questi?
per un portscan? NO. esattamente come non puoi cazziare uno che gira per la
citta' guardando quali sono le case che hanno porte e finestre aperte...

 Più che chiudergli la porta in faccia non posso fare.
una volta che hai chiuso, che ti frega sapere chi ci sbatte il muso? :-)

 
ma secondo me non stai dicendo sul serio..
stai scherzando vero ???
madonna ma questo ng e' diventato un covo di lamer

 mettono in galera ..
Affatto, un conto e` tentare di connettersi
ad un sito *pubblico*, un'altro ad un indirizzo
*privato*, per giunta sapenda che corrisponde
ad un utente di un service provider.
bye,
-- 
  Piergiorgio Sartor

 (non bacata). volendo essere + paranoico dovrei chiudere anxhe quello
se un servizio aperto all'esterno 
e' bacato, che uno ti entri sul firewall o ti entri sul
server e' indifferente..

 citta' guardando quali sono le case che hanno porte e finestre aperte...
Ma uno che gira per la citta` *tentando* di
entrare per le case, si che posso cazziarlo...
bye.
-- 
  Piergiorgio Sartor

 poi mi meravigli proprio.. dici peste e corna di windows e poi lo usi ?
Bè... non dico peste e corna...
Uso l'uno e l'altro.


 se usavi windows con un server ftp era la stessa identica cosa..
'nsomma...


 mettono in galera ..
No, certo...
Ma io non mi metto a provare indirizzi IP a casaccio, per trovare quello 
che mi fa "entrare".
Inoltre il MIO indirizzo IP non è un server web... né è un IP statico.
Quindi uno che prova ad entrare con telnet e/o ftp sul mio indirizzo IP 
è semplicemente uno che sta provando, sta cercando indirizzi IP reali... 
mi spieghi chi cavolo gli ha detto "ok, puoi farlo"?


 siete voi gli abuser!!
'azz
Cornuto e mazziato...
Mi vado a leggere i *miei* log, e vedo che c'è qualcuno che prova a 
"entrare" nel mio computer...
Non solo sono in torto (forse leggere i log viola la legge sulla 
privacy? forse qualche altra legge?), ma sono anche un'abuser...
Che ti sei fumato stamattina?


 una volta che hai chiuso, che ti frega sapere chi ci sbatte il muso? :-)
Permetti che se becchi uno che dalla strada ti guarda in casa ti incazzi 
un pochino?
O, se non ti incazzi, almeno gli chiedi che cosa vuole?
Oppure... permetti che mi lamento perché il portscan comunque mi occupa 
banda? Ed è banda che *io* pago... non lui...
Metti che c'è un vialetto privato per entrare dentro casa...
Tu lo usi. Poi arriva delle gente che non conosci, da tutto il mondo, e 
ti viene a passare sul vialetto.
'sticazzi :)
Il vialetto è il tuo... tutta quella gente cosa vuole? Perché ti deve 
consumare l'asfalto? 
Non so se rendo l'idea...
E anche se non la rendo... 8)
Non potrei essere semplicemnente curioso?


 stai scherzando vero ???
Fino ad un certo punto.


 ad un sito *pubblico*, un'altro ad un indirizzo
Che è quello che cercavo di far capire...
Ma non so se ci sono riuscito.


 entrare per le case, si che posso cazziarlo...
E mi pare pure il minimo :)


> says...
Sei sicuramente un bel troll per cui le tue cazzate non meritano altra
risposta che un f/u & *plonk*
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
i miei denti sono spade, i miei artigli lance, lo sferzare della mia
coda una saetta, le mie ali un uragano ed il mio alito MORTE !

 siete voi gli abuser!!
E tu sei un trollon.. ri-f/u


 citta' guardando quali sono le case che hanno porte e finestre aperte...
Dipende.. un portscan e la reazione a questo dipendono anche da chi c'e'
dall'altra parte che puo' non gradire.


 madonna ma questo ng e' diventato un covo di lamer
Ci aspettiamo da te un Security-My-Bible-HOWTO al piu' presto.. anzi si
aspettano, io non lo leggero' di certo.
Al solito, ri-f/u


 che mi fa "entrare".
Costui e' palesemente un troll per cui sarebbe meglio la smetteste di
dargli corda.. posso offrirvi un trollometro, ne ho una cassa piena,
visto che i vostri sono delle fetecchie.



Certo, un portscan e' la stessa cosa che scrivere un indirizzo in un
browser o fare FTP da qualche parte, certo..
ri-f/u


 Che ti sei fumato stamattina?
Non ha fumato niente, e' solo un troll..


 visto che i vostri sono delle fetecchie.
Lo accetto volentieri ;)



si vabbe' .. io non gradisco che la gente sia considerata criminale
perche' usa linux..
ma ti rendi conto che discorso sei a fare ?

 
un portscan non e' un tentativo di entrare..
il tentativo di entrare rientra nell "intenzione"
cosa che secondo me non puo' essere verificata..

 cosa che secondo me non puo' essere verificata..
Io non so cosa usino, so solo che qualcuno
ha tentato di *entrare*, dato che mi viene
riportato un tentativo di *connessione*.
Se portscan si confonde con altro, non e`
problema mio...
bye,
-- 
  Piergiorgio Sartor

 cosa che secondo me non puo' essere verificata..
'azz
Uno che si collega al tuo computer con FTP e Telnet... secondo te non ha 
intenzione di entrare?


 intenzione di entrare?
Appunto. Intenzione.
Anche uno che ti bussa alla porta può avere intenzione di massacrare te 
e la tua famiglia. Ma il fatto che bussi non è di per sè reato.
E ora direi basta, che questo thread è diventato, oltre che vecchio di 5 
anni, anche decisamente OT...
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

 intenzione di entrare?
Vedo che ancora insisti nel dare corda ai troll.. presto finirai in
qualche killfile assieme a lui.


 entrare per le case, si che posso cazziarlo...
un portscan non e' un tentativo di entrare...

 Non potrei essere semplicemnente curioso?
si, ecco, questo si ;-)

 
no vedi secondo me sei tu che confondi le cose non e' che le cose sono
confuse.
Una cosa e' un portscan e altra cosa e' un tentativo di eseguire codice
sulla tua macchina senza il tuo permesso.
un portscan e' solo un processo di mandare dei pacchetti per vedere se
dall'altra parte ce' qualcosa, in questo senso anche un ping e' un
portscan. Infatti anche i ping vengono usati per fare portscan, vogliamo
mettere in gabbia tutti quelli che pingano ?

 
stesso discorso di sopra.. dipende chi e' che cerca di entrare... sono io
che cerco di entrare e non entro perche' avevo paura che qualcuno mi
entrasse ??
scusate il paradosso.. era solo per dire che la chiusura e' un arma a
doppio tagli oltre che una diretta conseguenza dell'ignoranza.
Ma del resto questo a microsoft lo sanno bene...
Che in ambiente linux si parli di chiusura e' molto triste.

 qualche killfile assieme a lui.
E' una minaccia? ;)


 
so che non mi leggerai ma ti rispondo lo stesso per sottolineare quanto
tu sia in cattiva fede e quanto tu sia chiuso al dialogo.
Certo oggi si parla molto di apertura, dialogo e buone intenzioni, ma i
fatti ?
i fatti sono questi!!

 mettere in gabbia tutti quelli che pingano ?
Dal mio punto di vista, che e` quello che conta,
c'e` stato un tentativo di accesso.
Se questo e` solo un "ping" od un tentativo vero
non ha *nessuna* importanza, dato che io, vittima,
non posso distinguere.
Tant'e` che nessuno e` obbligato ad usare portscan
sul *mio* computer, ed io non ho mai autorizzato,
direttamente od indirettamente, nessuno a fare cio`.
Quindi non mi interessa cosa usino, portscan, telnet,
ftp o quant'altro, nel momento in cui ho un log con
tentativo di accesso, a me (e non solo) basta per
dire che vi e` una violazione.
Anche il semplice ping e` considerato una violazione,
se non lo sai, alcuni siti si "infastidiscono" se li
pingi e ripagano o bloccando l'IP sorgente o denunciandoti.
bye,
-- 
  Piergiorgio Sartor

 e la tua famiglia. Ma il fatto che bussi non è di per sè reato.
Ma il fatto che controlli se la
porta e` aperta si.
bye,
-- 
  Piergiorgio Sartor

 un portscan non e' un tentativo di entrare...
Dal mio punto di vista lo e`, dato che
il log mi dice che e` cosi.
Io non posso sapere se e` portscan o no.
E ripeto, nessuno ha chiesto ne` autorizzato
un tale collegamento, quindi e` una violazione.
byem
-- 
  Piergiorgio Sartor

 curiosi. La curiosita' non e' un reato.. anzi e' forse una qualita'.
La curiosita` puo` essere un reato, qualora
implichi una violazione, ad es. della privacy.
bye,
-- 
  Piergiorgio Sartor

 E' una minaccia? ;)
Alla tua intelligenza capirlo ;-)


 porta e` aperta si.
vabbč, se lo dici tu... l'importante č esserne convinti.
E adesso basta perchč la cosa ha onestamente annoiato.



http://www.calogero.org/

 ?!?!? 
gliel'ha detto suo cuggino, ti puoi fidare...


 gliel'ha detto suo cuggino, ti puoi fidare...
ah, ecco! :)))))


 
ok allora dununcia 
irc.tin.it
 visto che esegue un portscan sulla tua
macchina tutte le volte che ti connetti.. e naturalmente non la sola...
lo fanno tutti gli irc server e probabilmente un sacco di altri server
della rete...
ascolta questa discussione sta diventando estremamente sterile, io
preferisco chiuderla qui.
Ciao

 anni, anche decisamente OT...
Appunto.


 preferisco chiuderla qui.
Bravo!
bye,
-- 
piergiorgio

 un tale collegamento, quindi e` una violazione.
puo' avere valore se ti serve una scusa per fare qualche lamerata, ma in
tribunale non ha ALCUN valore. piaccia o no.

 tribunale non ha ALCUN valore. piaccia o no.
Questo lo credi tu.
Se risali a chi a tentato di accedere alla
macchina, questo avra` voglia di spiegare
che era solo un "test".
Come trovare uno che tenta di aprirti
l'automobile e credere che facesse solo
una "prova".
bye,
-- 
piergiorgio

 una "prova".
Continuo a dirti che ti sbagli... può essere per te una buona 
motivazione per sentirti autorizzatto a spaccargli la faccia, ma se lo 
porti in tribunale, sulla base di tali prove, non gli danno neanche una 
multa.
Il fatto che abbia tentato per la legge non costituisce reato, a meno 
che tu non sia in grado di dimostrare palesemente che il suo tentativo 
era volto a far danni.
Peraltro, signori, esiste una vasta documentazione sugli aspetti legali 
di questa cosa. E sono disquisizioni datate di anni. Vogliate avere la 
compiacenza di leggere qualcosa _sul_tema_ invece di continuare il 
thread qui.
Grazie.


 thread qui.
Esatto.
Infatti, anni addietro, quando internet girava su
linee da 64Kb/s, c'e` stato qualche caso di sito
(ftp) che ha protestato e minacciato ritorsioni
tecniche e legali, per "eccesso di ping".
Hanno argomentato che la quantita` di pacchetti ping
provenienti da una certa area (Universita`) era
eccessivo, hanno chiesto di smetterla od avrebbero
prima bloccato i router, poi chiamato l'avvocato.
L'Universita` in questione ha *rimosso* il comando
"ping" da quelli disponibili agli utenti.
bye,
-- 
  Piergiorgio Sartor

 questo thread va chiuso.
Allora perche` continui a rispondere?
bye,
-- 
  Piergiorgio Sartor

 solo perche` armeggiavano un po' troppo?
un portscan non e' un tentativo di entrare da nessuna parte! o forse tu
riesci ad accedere ad una macchina usando nmap? (in caso, fammi sapere come,
in privato).
questo thread va chiuso.

 porte?"
Non c'entra niente con l'aspetto legale. Non mi fa piacere che la gente 
crossposti, ma non li posso far condannare penalmente per questo.


 E non lo dico io, lo dice la legge.
Infatti.
 
bye,
-- 
  Piergiorgio Sartor

 E non lo dico io, lo dice la legge.
Dimenticavo, la legge dice che e` illegale
qualunque tentativo di connessione non
autorizzato. Dove l'autorizzazione puo`
essere esplicita od implicita, ma deve
comunque esserci.
bye,
-- 
  Piergiorgio Sartor

 
Esatto. Ma se non sei in grado di distinguere un tentativo di 
connessione da un portscan non puoi nemmeno accusare qualcuno 
dell'avvenuto tentativo di connessione.
Peraltro quanto dici implicherebbe la diretta punibilità di chiunque sia 
infetto da nimda e/o codered.
O quantomeno che tu li denunci tutti, dato che dal semplice log di 
portsentry sulla porta 80 non puoi distinguere se cercavano di forzare 
un bug del sistema o altro.
byez


 un bug del sistema o altro.
Infatti, la responsabilita` diretta od indiretta
esiste, o meglio si puo` decidere se vi e`
imperizia (non sapeva cosa faceva ed ha fatto un
telnet a caso), omissione (ha nimda oppure ha un
utente biricchino), dolo (lo ha fatto apposta).
Tutti e tre i casi prevedono resposabilita` piu`
o meno gravi, a seconda.
Per dirla altrimenti, se tu maneggi una pistola
carica e ferisci qualcuno, puoi averlo fatto
per imperizia (e` scappato un colpo senza sapere
come), omissione (non sei stato attento a dove
puntavi, non hai controllato la sicura, etc.),
dolo (lo hai fatto apposta).
In tutti i casi sei responsabile. In misura diversa,
ma lo sei.
bye,
-- 
  Piergiorgio Sartor


E se entro ed esco da tutte le porte dei tutti negozi della mia via 
chiusa e' lo stesso?
Alessandro.


"chiusa" era il pezzo di un'altra frase :-)
Alessandro.

 chiusa e' lo stesso?
No, perche` i negozi sono luoghi *pubblici*
che autorizzano implicitamente l'ingresso,
quando sono aperti, ovviamente.
bye,
-- 
  Piergiorgio Sartor

   Piergiorgio Sartor

 serratura con un piede di porco
Entrambi i casi sono illegali, ti va bene?
Lo capisci questo?
Non puoi andare in giro provando se le
portiere delle macchine o delle case sono
aperte oppure no, non ti e` consentito, e`
considerato equivalente al *tentativo* di
scasso, dato che e` un *tentativo*, su
proprieta` non tua.
bye,
-- 
  Piergiorgio Sartor

   Piergiorgio Sartor

 allora ti sfugge come funziona un portscan, ma non e' colpa mia.
Illuminami o, meglio, dimostrami che puo`
verificare lo stato delle porte del mio
PC *senza* connettersi ad esso.
Dato che io *non* autorizzo nessuna connessione,
quello sarebbe l'unico caso in cui e` legale.
bye,
-- 
  Piergiorgio Sartor

 PC *senza* connettersi ad esso.
Giusto per chiarire: "connettersi" sta
per inviare e ricevere dati, non per
stabilere una connessione secondo un
certo protocollo (TCP/IP, ftp, smtp, etc.).
byem,
-- 
  Piergiorgio Sartor

 quello sarebbe l'unico caso in cui e` legale.
secondo la tua definizione, sarebbe illegale qualsiasi sorgente di 
broadcast e multicast...
per non parlare delle finestre di popup che puntino ad altri siti, 
oppure gli stessi redirect http ...
Inoltre, dato che ti aspetti di ricevere e inviare al tuo router 
perimetrale, chi tentasse di violare la tua macchina partendo da tale 
dispositivo sarebbe ok???
mbah...
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

 dispositivo sarebbe ok???
Mi pare che vi sia un po' di confusione tra
accessi pubblici, privati, connessioni attive
e passive.
Se sono col PC collegato alla "rete", non vuol
dire che autorizzi alcuno ad effettuare una
connessione od una semplice trasmissione di
dati al mio PC.
Ovviamente, se faccio io, per primo, una connessione
ad un sito pubblico, accetto che vi sia uno
scambio di dati fra le macchine.
Eventualmente anche con reindirizzamenti vari.
Quindi devi distinguere i vari casi.
Un sito web pubblico, che per definizione accetta
le connessioni http.
Un PC privato, che per definizione puo` solo
accettare connessioni se ne e` l'iniziatore.
Mi pare sia semplice e non capisco perche`
dovrei tranquillamente sottostare alla legge
del Far West, una volta collegato alla rete.
bye,
-- 
  Piergiorgio Sartor

   Piergiorgio Sartor

   Piergiorgio Sartor

 "stabilire una connessione" ma "inviare e ricevere dati".
Esattamente.
E lo ripeto ancora, non puoi andare in
giro *provando* se le serrature sono
aperte oppure no.
Semplicemente non puoi andare in giro
toccando la roba degli altri.
bye,
-- 
  Piergiorgio Sartor

 toccando la roba degli altri.
non tocchi nulla.
fine thread.

 non provi, guardi
Cioe` tu "guardi" se la porta di
casa e` chiusa a chiave oppure no?
Interessante concetto...
...ma direi che non e` questo il caso,
dato che tu, per verificare, *devi* toccare.
E poi anche guardare non e` detto sia lecito.
Ad es. non puoi guardare dentro casa degli
altri dalla finestra, anche se questa e`
aperta (ci fu un caso al riguardo).
bye,
-- 
  Piergiorgio Sartor