Newsgroup: it.comp.os.linux.sys
Titolo: [LUNGO] consulenza possibile problema di sicurezza

Saluti.
Ho un server in hosting (VPS con Xen, Debian Etch) che mi sta causando
moltissimi problemi.
L'ultimo è uno dei problemi più gravi su cui vorrei avere dei pareri dato
che non sono esperto e magari la colpa è di una errata configurazione da
parte mia.
Pochi giorni dopo l'attivazione della VPS, da ssh non riesco più a
loggarmi.
Pensando ad una errata configurazione riavvio la VPS dal pannello di
controllo che l'hosting mette a disposizione.
Dopo il riavvio tutto funzione e mi rendo subito conto che il problema era
causato dal fatto che mi stavo connettendo ad un altro server.
Dato che tutte le installazioni Debian su questo hosting usano la stessa
immagine, tutti i server hanno le stesse chiavi SSH, per questo motivo ssh
non mi ha avvertito del problema.
Faccio presente il problema al supporto tecnico.
Mi dicono che effettivamente c'era un altro utente con il mio stesso IP e
che hanno risolto.
Non mi spiegono come mai questo utente abbia il mio stesso indirizzo IP ne
sembranno essere interessati al fatto che di default tutti i server hanno
le stesse chiavi SSH (io le ho subito rigenerate).
Dopo qualche giorno il problema si ripresenta.
Dato che il server mi serviva, lo riavvio subito e risolvo.
Segnalo comunque il problema al supporto tecnico. 
Dato che non possono verificare, affermano che la colpa è mia.
Oggi il problema di ripresenta; stavolta però non riavvio il server.
Questa volta ottengo come risposta la proposta di cambio indirizzo IP, per
risolvere subito il problema e poi discutere con calma con l'abuser (ma
non sono loro stessi?). 
Per fare questo vogliono la password di root.
Tutto questo mi fa pensare al fatto che abbiano dei seri problemi di
sicurezza (ne ho riscontrati altri, anche gravi), per questo vorrei evitare
di esporre la password di root.
Ho insistito per fargli resettare la tabella ARP (è possibile che
qualcuno stia mettendo in atto l'ARP poisoning), ma loro insistono a
volere la password dicendo che così non si perde tempo e che non ci si
deve fissare troppo con la sicurezza.
A questo punto il problema potrebbe anche essere innocente (una errata
configurazione da parte loro, o qualcosa di strano nel mio server).
Tra l'altro il problema sembra esserci solo per la mia VPS (a meno che gli
altri non si siano mai accorti di nulla, ma mi sembra strano)
Quello che mi preoccupa è che qualcuno stia cercando di avere accesso al
server.
Purtroppo loro hanno le tabelle ARP dinamiche, e (suppongo - devo
controllare) gli indirizzi MAC generati dinamicamente per le VPS.
Cosa conviene fare in questi casi?
1) Insistere nel fargli resettare la tabella ARP
(arp -d xxx.xxx.xxx.xxx)
così possono verificare subito che effettivamente qualcuno ha rubato il
mio indirizzo IP?
2) Riavviare la VPS,  impostare un account limitato (con sudo) e fare usare
questo al supporto tecnico la prossima volta che il problema si ripresenta?
3) Dargli la password di root (loro accedono via seriale) e sperare che
non facciano casini (che io non ho modo di verificare)?
4) Cambiare hosting?
E' possibile "riappropiarsi" dell'indirizzo IP ad esempio facendo un ping
ogni tot minuti verso il mio server?
Grazie e scusate per la lunghezza.
Manlio Perillo

 4) Cambiare hosting?
Questa.
(e magari dicci anche chi è l'hoster, così ci teniamo ben alla larga).



Seflow.
Ho scritto un altro post sui problemi rilevati nella configurazione di
Debian sulla mailing list 
debian-...@lists.debian.org
.
Sono comunque interpretazioni personali.
Comunque a quanto ho capito loro vogliono l'accesso alla mia VPS per
modificare l'indirizzo IP e per controllare che io non abbia fatto casini.
Questo significa che per loro è tutto a posto.
Non c'è modo di controllare che due host rispondono allo stesso IP?
Ad esempio un:
1) $arp -a
e prendere nota del MAC address associato al mio IP
2) $arp -d IP
3) ping IP
e prendere nota del MAC address associato al mio IP
E' sufficiente?
Io ho fatto dei piccoli test su una rete con QEMU tramite tun/tap, per Xen
è lo stesso?
Dato che loro affermano di non rilevare problemi non so cosa pensare.
Grazie  Manlio Perillo

 
Aggiungo dei dettagli.
La prima volta che si è verificato il problema, ho riscontrato nei log dei
tentativi di accesso da parte di un altro utente.
Gli username usati e la provenienza (Roma) fanno pensare ad un utente che
ha avuto il mio stesso problema (in pratica ci siamo scambiati gli IP).
La seconda volta, invece, ho avuto dei tentativi di accesso che sembrano
un tentativo di attacco (da Nashville, Tennessee USA).
Devo ancora controllare gli ultimi log (non ho ancora accesso al mio
server).
Ultima stranezza. 
Se mi connetto via HTTPS al mio indirizzo IP, trovo la pagina iniziale di
Apache (io non ho ancora installato nessun web server) con il seguente
certificato:
E = c...@snakeoil.dom
CN = Snake Oil CA
OU = Certificate Authority
O = Snake Oil, Ltd
L = Snake Town
ST = Snake Desert
C = XY
Non so più cosa pensare...
Saluti e grazie  Manlio Perillo

 Non c'è modo di controllare che due host rispondono allo stesso IP?
Occorrerebbe suggerire ai signori che fanno hosting un misterioso
oggetto di nome arpwatch, ad esempio.
Ciò detto, non ho ancora avuto modo di provare sul serio xen, non
conosco le eventuali feature di sicurezza dei suoi virtual switch, ma
sono certo che dal dom0 qualcosa riuscirei a fare per impedire schifezze
del genere.



Per cercare di capire chi stia usando il mio IP, ho usato telnet per
connettermi al mail server:
$telnet IP 25
In questo modo ho scoperto il nome dell'host.
Il nome dell'host indica che è una VPS di SeFlow (ovviamente ;-)).
Dal nome dell'host ho ricavato il nome del dominio.
Tale dominio, però, ha un indirizzo IP (74.xxx.xxx.xxx) che non sembra
associato al subnet degli indirizzi usati dalla VPS di SeFlow
(194.xxx.xxx.xxx).
Tuttavia il mail server accetta un RCPT diretto a quel dominio (mentre per
gli altri richiede l'autenticazione per il relay).
La cosa strana (ma ormai non mi stupisco più) è che se mi collego al sito
internet di quel dominio, tutte le pagine HTML e PHP mi vengono restituite
in chiaro (application/x-httpd-php5), ossia vedo i sorgenti PHP del sito...
A questo punto escluderei un attacco ARP poisining, e propendo per casini
interni nella allocazione degli IP di Seflow, oppure per casini interni
della VPS che si è preso il mio IP).
Ribadisco, comunque, che tutto questo mi sembra molto strano e non ci
capisco nulla (ma non sono molto esperto).


quello è il certificato farlocco che che viene generato da un 
programmillo di apache quanto lo crei.