Newsgroup: it.comp.os.linux.sys
Titolo: Firewal basandosi sul Mac-Address

Ciao a tutti!
Ho un problema, di quelli belli grossi...
Per motivi che non sto a spiegare (e che comunque non ho il permesso di
spiegare), due persone in ufficio se ne sono andate da un giorno
all'altro, portandosi via il Laptop (della ditta, sono in corso azioni
legali) e, purtroppo, anche le chiavi dell'ufficio.
Ovviamente ho subito bloccato il loro accesso via VPN e tolto le loro
chiavi in authorized_host2, ma per motivi vari (troppo poco tempo a
disposizione, troppi server e troppi script che le usano) non ho ancora
potuto cambiare tutte le password.
Ora, da remoto, i due non entrano piu', ma purtroppo hanno ancora le
chiavi. Visto che il fatto e' successo ieri sera (e oggi in Germania e'
festa nazionale), fino a lunedi inoltrato non ci sara' possibile cambiare
la serratura.
Vorrei quindi trovare un sistema per bloccare l'accesso dei loro Laptops
anche se venissero in ufficio e si attaccassero alla rete.
Ho pensato di togliere il loro Mac-Address dal DHCP, ma sono abbastanza
intelligenti per darsi un IP statico (purtroppo sono Administrator sui
loro Laptops).
Per lo stesso motivo, non posso neanche bloccare gli IP, in quanto se ne
darebbero un altro.
L'ideale sarebbe di bloccare il MacAddress. So che, almeno sotto Linux, e'
possibile forzarne uno, ma non so se e' possibile sotto Windows. E in ogni
caso, sono quasi certo che le loro conoscenze non si spingono cosi' in la.
Ora la domanda e': come posso dire a iptables di rifiutare le connessioni
che arrivano da un certo MacAddress?
Vorrei evitare, se possibile, di mettere in piedi uno script che controlla
sempre la tabella ARP e, appena uno di questi IP compare lo mette nella
blacklist.
C'e' un modo migliore?
Grazie mille per i vostri consigli!
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 legali) e, purtroppo, anche le chiavi dell'ufficio.
suggerimento rapido e di corsa...
se i due ex dipendenti si introducessero nel loro ex ufficio quindi si
attaccassero *abusivamente* alla rete aziendale commetterebbero un bel po'
di reati gravi. In Italia pazienza, in Germania per queste cose si finisce
in galera sul serio.
A parte inviargli una diffida ed implementare un qualche sistema di log non
modificabile da loro, sei sicuro che valga la pena perdere tempo su tutto
il resto?

 C'e' un modo migliore?
Che switchame hai a disposizione ?
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verit� � che non avere nulla da perdere 
significa essere pronti a rischiare tutto ci� che si possiede.

 il resto?
Si, per motivi troppo lunghi (e un po' riservati), almeno uno di loro
venderebbe la nonna, la mamma e i nipoti futuri per poter entrare in
ufficio e prendere un paio di cosette.
Ciao


 Che switchame hai a disposizione ?
Abbiamo un solo Switch, e' un SMC SMCGS24Cv2.2 (questo e' quello che
riesco a vedere dall'interfaccia Web).
Dici che posso fare qualcosa da li?
Grazie


 che arrivano da un certo MacAddress?
usando il modulo mac?

Il Fri, 03 Oct 2008 09:26:24 +0200, Luca Bertoncello scriveva:
LB> Ora la domanda e': come posso dire a iptables di rifiutare le
LB> connessioni che arrivano da un certo MacAddress?
man iptables e cerchi mac
Consiglierei anche di configurare gli switch per negare l'accesso a
quei mac address (se gli switch lo permettono).
Ti consiglio inoltre di installare sul firewall arpwatch che è fatto
apposta per fare questi controlli e ti manda una mail in caso riscontri
modifiche alla tabella arp o si colleghino nuove macchine.
Se poi hai accesso ad un servizio mail-to-sms puoi farti inviare un SMS
al loro accesso alla rete e quindi far intervenire la polizia se ciò
avvenisse.
1 ora di lavoro.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 avvenisse.
Ottima idea!
Grazie mille!


 ufficio e prendere un paio di cosette.
se la macchina su cui si trovano le cosette è equipaggiata con linux e
conosci con sicurezza il mac address dovrebbe bastare
iptables -I INPUT -j DROP -p tcp --mac-source <il_mac_address_del_portatile>
considera che non si tratta di un sistema *per* *niente* sicuro nè
affidabile. Bloccare il mac address implica *solo* impedire le connessioni
provenienti da *quello* *specifico* mac address, l'utente - soprattutto se
abbastanza avanzato - potrebbe facilmente aggirare l'ostacolo cambiando la
scheda di rete.
imho questo sistema ha senso *solo* se già conosci tutti i mac address di
*tutti* i dispositivi autorizzati ad entrare: a questo punto, autorizzi
tutti coloro che possono entrare, blocchi tutti gli altri.

 <il_mac_address_del_portatile>
iptables -I INPUT -J DROP -p tcp -m mac --mac-source ! <mac_address>
così funziona 

 così funziona
no... (brutta cosa essere a casa con la febbre)
iptables -I INPUT -J ACCEPT -p tcp -m mac --mac-source ! <mac_address>

 
Provano con il loro laptop, non funziona, fanno uno + uno e provano con 
un altro laptop ad esempio quello della moglie.
Se sono in ufficio fanno quello che vogliono.
O no ?
-- 
Stefano L.

 tutti coloro che possono entrare, blocchi tutti gli altri.
Ovvio! E questo faro' lunedi, quando saro' in ufficio e avro' tutti i
PC/Laptops autorizzati a disposizione per prendere il loro MAC-Address.
Grazie comunque a tutti!
Direi che per questo fine settimana esteso possiamo dormire abbastanza
tranquilli!


 ufficio e prendere un paio di cosette.
Se queste cose sono cosi` importanti, non avrebbe piu` senso pagare un 
paio di guardie armate che si facciano il weekend in ufficio con due foto 
segnaletiche? :)
Bye.

 tranquilli!
io non esagerererei con la tranquillità...
considera che agendo a livello di tcp, l'utente non riceve un messaggio in
cui gli si dice che l'autenticazione è fallita ma semplicemente la
connessione tcp non si instaura. Questo significa che un qualunque utente
appena smaliziato può da questo solo comportamento risalire al blocco
effettuato su ip o mac address. Cambiando il proprio ip e non ottenendo
risposte, potrebbe facilmente dedurne che il blocco avviene sul mac address
della scheda di rete.
hint: se il gioco vale la candela, hai considerato la possibilità di un
honeypot?
hint2: se il gioco vale candela, quali meccanismi hai implementato per
dimostrare *a* *posteriori* l'evvenuto *tentativo* di intromissione
*abusiva* nel sistema? Occhio al grassetto: devi poter dimostrare
1. in una maniera utilizzabile in giudizio
che
2. l'utente non era più autorizzato 
3. l'ultente abbia cercato di connettersi
4. *chi* sia l'utente
può non essere semplicissimo se l'utente ha l'accesso *fisico* alle macchine

 riesco a vedere dall'interfaccia Web).
Sorry, non lo conosco proprio, mi dispiace. A 'sto punto mi rimetterei 
anch'io ad iptables.


 legali) e, purtroppo, anche le chiavi dell'ufficio.
ALT: a questo punto già ci si ferma, se hanno accesso fisico ai locali
e intenzioni malevole non c'e' firewall o protezione SW che tenga. Mi
associo a quanto detto da Alessandro, l'unica cosa da fare
assolutamente è *presidiare* i locali e impedirgli l'accesso. Un
qualche tipo di sorveglianza privata che lavora anche durante le feste
lo troverete, suppongo...
bye!

 e intenzioni malevole non c'e' firewall o protezione SW che tenga. 
vabbè... dai... non saranno sprovveduti fino a questo punto
gli ex dipendenti avranno le chiavi dell'ufficio, non quelle del CED o dei
locali che ospitano i computer. Io almeno l'ho letta in questo modo.

 che arrivano da un certo MacAddress?
puoi farlo, ma attenzione che:
http://www.tech-faq.com/change-mac-address.shtml
� possibile cambiare mac address a qualsiasi interfaccia!
-- 
Well everybody's heard about the bird 
 Bird is the word
  Don't you know about the bird well everybody knows that the bird is a word
Bird is a word

 connessioni che arrivano da un certo MacAddress?
ebtables.
Ma tanto chiunuqe può cambiarsi il mac address, se il driver della scheda
lo consente.

 anche se venissero in ufficio e si attaccassero alla rete.
Se nessuno lavora negli uffici, non fai prima a disabilitare l'accesso a 
qualunque postazione fino a luned�?

 locali che ospitano i computer. Io almeno l'ho letta in questo modo.
Stiamo parlando di persone che già hanno mostrato di non temere
ritorsioni legali, e che comunque possono essere in grado di tentare
un'effrazione informatica. Pensi che la porta di un CED sia una difesa
sufficiente, magari in un ufficio abbandonato negli orari notturni? Io
no.
bye!

 no.
dipende dalla porta, dipende dal sistema di allarme applicato alla porta... 
hint: in un sistema appena in sicurezza minima, entrare in un CED non è una
cosa nè semplice nè immediata

 cosa nè semplice nè immediata
altro hint: l'OP dice che in questo CED c'e' 1 (UNO) switch e pure di
fascia bassa, e basta. Secondo te c'e' un allarme perimetrale o
volumetrico e un controllo degli accessi elettronico? Secondo me è
grassa se c'e' uno sgabuzzino con una porta di compensato ;^)
bye!

 blacklist.
Bloccare il MAC � come nascondere la chiave sotto il tappetino.
Blocca tutti i login dalla rete locale fino alla riapertura.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa
scrittura, non so per chi, non so pi� intorno a che cosa...
U. Eco

 volumetrico e un controllo degli accessi elettronico?
si, in effetti, messa così...

 writes:

O anche cambiare le serrature?
-- 
      Daniele Giglio      Dona i tuoi cicli di clock alla ricerca!
      email in ROT13      
http://boinc.berkeley.edu/
 
qtv...@vby.vg
                          --------------------
  La coscienza e' quella vocina interiore che ci avverte, quando meno
  ce lo aspettiamo, che qualcuno ci sta guardando.
  		-- Mark Twain

 spiegare), due persone in ufficio se ne sono andate da un giorno
]zac[
Mi sa che legalmente e moralmente la cosa da fare sia togliere l'accesso a
tutto, e fare anche un pensierino a spegnere tutti i sistemi.
P.S. Togliere corrente all'ufficio? buttare giù la porta?

 P.S. Togliere corrente all'ufficio? buttare giù la porta?
Buttare giù che? Occhio agli etilometri, è sabato sera...

 P.S. Togliere corrente all'ufficio? buttare giù la porta?
No, aspetta! Guarda che semmai la porta la rinforziamo e cambiamo la
serratura. E la corrente ce la teniamo ben stretta (oltre all'UPS,
ovviamente).


 Hermooz wrote:


Mettila pure cosi'! Il nostro "CED" e' un armadio per Server (chiuso a
chiave, ma purtroppo una copia della chiave e' in possesso del tipo "con
intenzioni malevole") in corridoio.
Ho gia' detto che la ditta conta 5 persone (ora solo piu' 3), compresi i
capi? :)
Certo, il Cluster e il Server di Test sono dal Provider e per quelli non
c'e' niente da temere, ma per il resto, non si possa fare granche'.
Aggiungi che il tipo che ci ha lasciato era il mio diretto superiore e che
sono stato obbligato (ai tempi) a metterlo al corrente di tutte le
password e avrai il quadro completo della situazione.
Come ho detto, nel breve non ci e' stato possibile cambiare tutte le
password e bloccare i servizi di base, ma sicuramente lo faremo.
Comunque un allarme c'e'. Ed e' configurato per chiamare direttamente il
cellulare del capo.
Visto che (il capo) non mi ha telefonato fin'ora, direi che non e' stato
tentato niente...
E da domani si va a cambiare tutte le serrature...
Ciao e grazie a tutti per i vostri consigli!


 tentato niente...
tedeschi gente strana
cmq sono contento che ti sia servito l'aiuto

 cmq sono contento che ti sia servito l'aiuto
Grazie ancora!


 capi? :)
Scusa, ma non riesco a capire.
Tu hai 2 persone che se ne sono andate e sono anche un po incacchiate,
quindi
temi una loro vendetta.
Dal momento che dovrebbero entrare in ufficio senza autorizzazione,
attaccare il portatile
e tutto il resto, commetterebbero già un bel po di reati.
Fatto 30, fan 31, che senso ha collegare il portatile?
Si portano via il server e fanno prima, tanto la galera la rischiano
comunque.
iptables o no, il server lo porti via come niente.

 comunque.
Beh, il furto di dati è più difficilmente dimostrabile rispetto ad un furto
di server.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 iptables o no, il server lo porti via come niente.
Beh, non e' cosi' semplice...
Innanzitutto, nel momento in cui cerchi di spegnere il Server partono un
paio di E-Mails che mi avvisano che "qualcosa di brutto" e' successo.
E, in secondo luogo, proprio pensando ad eventuali furti ho installato il
Server usando partizioni criptate (LUKS).
Quindi anche il portarsi via il Server non risolverebbe i loro problemi
visto che, per fortuna, almeno QUELLA password non ce l'hanno...
Ciao


 visto che, per fortuna, almeno QUELLA password non ce l'hanno...
Dove/come fai i backup?


> in galera sul serio.
i soliti luoghi comuni.
fortunatamente la verità è diversa ed in galera in italia si va.
art. 615-ter. -(accesso abusivo a un sistema informatico o telematico).- 
Chiunque abusivamente si introduce in un sistema informatico o 
telematico protetto da misure di sicurezza ovvero vi si mantiene contro 
la volontà espressa o tacita di chi ha diritto di escluderlo, è punito 
con la reclusione fino a tre anni

 con la reclusione fino a tre anni
Ma tre anni sono il limite per ottenere la sospensione condizionale e 
quindi o hai già un curriculum da delinquente o in galera non ci vai :)
Ciao
	G

 Mica male come idea! Sei per caso l'amministratore delegato di Alitalia?
]zac[
Rimanendo all'esempio alitalia, hanno fregato tutte le chiavi di messa in
moto degli aerei, e ti suggeriscono di togliere il carburante da tutti gli
arei ... e ti sembra cosi strano? e che sei dirigente capo di alkoida?
O forse in germania non è prevista la responsabilità penale sull'uso dei
sistemi informatici e dei dati contenuti, specialmente se sono in uno stato
di possibile insicurezza?

 di possibile insicurezza?
Intendi dire che se uno pianta casino sui dati dell'ufficio deve essere
perseguito a norma di legge?
Certo che si!
Pero' non vedo cosa c'azzecchi lo spegnere tutto e far conseguentemente
fallire la ditta.
