Newsgroup: it.comp.os.linux.sys
Titolo: Ma vi pare normale?

Ma vi pare normale che nel datacenter di $notoProviderDalNomeCaraibico ci 
siano macchine che facciano ARP Poisoning e impestino tutta la rete?E che 
loro non facciano nulla a parte vietare sulla loro rete NetBIOS, ma che 
anzi dicano di essere a conoscenza di ciòò e di non poter far nulla, se 
non avvertire i responsabili delle macchine, perchè si tratta di server 
in housing?
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 ci siano macchine che facciano ARP Poisoning e impestino tutta la rete?
ROTFL, magnifico.

 gestirli)
Mah...Non so se, visti i tempi della giustizia italiana, non credo che mi 
convenga.
Ho segnalato con un ticket al provider; certo che si tratta prorpio di 
peracottari: al prossimo cliente che mi chiede dove mettere dei server in 
housing non consiglierò certo $notoProviderDalNomeCaraibico.
A proposito, avete qualche altro provider in Toscana da consigliarmi?


 quater c.p., ed il provider imho compie reato di omissione
a me questa tua affermazione pare parecchio strampalata. Sul fatto che l'arp 
spoofing possa configurare un illecita intercettazione di dati possiamo anche 
discutere, che il provider ne possa rispondere a titolo di *concorso* (di 
tipo omissivo) è una cosa mai sentita e difficile da argomentare (dopotutto 
non trae alcun profitto dall'altrui illecito).
questa idea è farina del tuo sacco oppure hai riferimenti?

 possiamo anche discutere
Cosa c'è da discutere?

 un'infrastruttura layer 2 adeguata e adeguatamente configurata.
Io ho aperto un ticket, più di quello non posso fare; spero che attivino 
il port security su quei cavolo di switch


 A proposito, avete qualche altro provider in Toscana da consigliarmi?
E' proprio necessario in toscana? Io mi trovo bene dove ho il mio server, ma 
è a Milano.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 server, ma è a Milano.
Preferirei in Toscana perchè nel caso di operazioni sulla macchina non 
vorrei perdere tutta la giornata in viaggio


 un'infrastruttura layer 2 adeguata e adeguatamente configurata.
Potrei però dire una cosa, al riguardo: portsecurity, per quanto di 
norma utile, diviene una rogna quando hai in housing clienti che sulla 
loro macchina eseguono ambienti virtuali.
Non che sia una scusa al non assegnar loro una VLAN e tagliar la testa 
al toro....
-- 
http://bofhskull.wordpress.com/

 assegnar loro una VLAN e tagliar la testa al toro...
Ancora meglio, ma probabilmente richiederebbe di riprogettare l'intera 
rete


 
Ti consiglio, allora, di provare a vedere anche Serverplan. Non mi
ricordo dove siano i server fisicamente, ma hai 2 modi per accedervi:
via ssh come al solito, e attraverso una console che replica
tastiera/mouse e monitor attaccati fisicamente alla macchina.
In pratica riesci a vedere persino grub.
Certo non puoi mettere mano sull'hardware :-)
PSK

 una merda.
una merda è un conto.. reato è un'altro

 assegnar loro una VLAN e tagliar la testa al toro....
Decisamente sì.
E comunque, se io vedessi gente che fa arp spoofing del gateway, la
porta gliela butterei giù anche se non avessi feature così avanzate
sui miei switch...

 vorrei perdere tutta la giornata in viaggio
Cosa intendi per metter mano alla macchina? Da remoto l'unica cosa che non 
si può fare è maneggiare il CD o cambiare pezzi Hardware, ma tutto il resto 
lo puoi fare comodamente da dove vuoi grazie agli switch KVM_over_IP. Per il 
CD basta chiedere al personale e te lo fanno loro.
Poi da FI a MI ormai con il FrecciaRossa sono solo 3 ore di viaggio.. :)


 Parlo di quella che Cisco chiama Dynamic Arp Inspection (DAI)
Il cui utilizzo però vien facile in una realtà con DHCP, ma in una 
realtà completamente statica, come una rete dedicata ad housing, 
costringe ad usare ACL, che diventano in breve impossibili da mantenere 
(questo spero sia evidente).
In pratica, ciò rende DAI applicabile solo per lo spoofing del gateway, 
al più.
Che è meglio di nulla, ma non vieta all'attaccante di invertire 
l'attacco e spoofare gli IP dei sistemi altrui...
Dato che in una rete composta di housing le credenziali che l'attaccante 
vuole intercettare nei server tipicamente "ci vanno" e non "ci escono" 
(come invece accade con reti di client), IMHO DAI per reti di housing 
non serve un accidenti... :-\
-- 
http://bofhskull.wordpress.com/

 l'attacco e spoofare gli IP dei sistemi altrui...
Verissimo.

 in housing?
...che e' una immensa bufala, poiche' si suppone che i
"responsabili delle macchine" abbiano sottoscritto un
merdosissimo contratto che prevede tra le righe qualche
clausula in merito. (I suppose eh)
Clausula altresi' non rispettata e non fatta rispettare
perche' si rischia di perdere il cliente. Mah in questi
casi speri sempre che per salvarne uno ne perdano 100...
magari poi imparano la lezione.
IMHO se proprio vuoi evitare di perdere il cliente,
che nonostante tutto continua a fare orecchie da
mercante ti attrezzi e ti pari il culo :) mentenendoti
le tue belle ACL.
Beppe

 (e al di là delle tonnellate di esclusioni che avranno nei
ragiona...
un evento che *si* *ha* *l'obbligo* di impedire presuppone un *obbligo* giuridico. Aruba non ha *l'obbligo* di impedire *un* *tentativo* da parte di 
un terzo. 

 il fatto che il tizio ha compiuto un illecito?
se il contratto fra il datacenter ed il tipo prevede l'accesso fisico alle
macchine, il datacenter ha - semmai - l'obbligo di loggare, non certo 
di impedire l'abuso a priori. Il datacenter *potrebbe* essere chiamato
a risponderne in sede civile, risarcimento per danni, ma difficilmente 
si potrebbe sostenere che esisteva un *obbligo* giuridico di impedire
l'evento a carico del datacenter. Nota che gli *obblighi* *giuridici* in
oggetto sono solo quelli derivanti da statuizioni, gli obblighi contrattuali
non sono contemplati. 
Peraltro, ragionando a contrario, affermare la responsabilità dell'ISP
avrebbe la conseguenza di innescare un pericolo meccanismo perchè
rendere responsabili implica autorizzare il controllo (nel caso dell'ISP su
macchine di proprietà di *terzi* ).


Per caso il datacenter è INET?
Se sì, forse ho capito dove lavori ;-)


La società per la quale lavoravo prima (Dada) aveva il datacenter a
INET; è per quello che te l'ho chiesto :-)