Newsgroup: it.comp.os.linux.sys
Titolo: Vulnerabilità NTP, per chi non lo sapesse ancora

FYI
 
Occhio:
https://www.picert.it/wp-content/uploads/2014/01/VA-IT-140113-01.A.pdf
 

 
https://www.picert.it/wp-content/uploads/2014/01/VA-IT-140113-01.A.pdf
 
 
Che non è una vulnerabilità di NTP, a ben vedere, ma una semplice presa
d'atto del fatto che di amministratori cani ce n'è in giro troppi.
 
Se il problema è con l'applicativo, lo aggiorni.
Se il problema è con l'amministratore cane, aggiornare quello è più
difficile.
 
 
Un operatore di telecomunicazioni wireless nazionale (forse il più
grosso, per numero di utenti?) ha a tutt'oggi uno di propri DNS
autoritativi configurato come open resolver.
 
O si spara a vista a chi amministra 'ste robe o puoi rilasciare tutti i
comunicati di allerta che ti pare: tanto non li legge lo stesso (o se li
legge fa spallucce), quindi è fiato sprecato :-|
 
 


Bhè, insomma skull, comunque non è che proprio sia solo un problema di 
configurazione. Ok a non esporre servizi non utili, ma da qui a tirar 
giù mezzo mondo veicolando un DRDoS 
http://support.ntp.org/bin/view/Main/SecurityNotice#DRDoS_Amplification_Attack_using
 
http://bugs.ntp.org/show_bug.cgi?id=1532
 ...io darei un 50 e 50 :)
 

 
http://bugs.ntp.org/show_bug.cgi?id=1532
 ...io darei un 50 e 50 :)
 
Il massimo che concedo è un 90/10...
 

 monitoraggio del servizio.
 
Penso che nella maggioranza dei casi sia peggio: l'amministratore ha 
aperto l'accesso a funzionalità amministrative e di monitoraggio che 
sarebbero state altrimenti ristrette per default.
 
 
Fabio
 
---
Questa e-mail è priva di virus e malware perché è attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 sarebbero state altrimenti ristrette per default.
 
 
no, su tutte le distribuzioni su cui ho dato un'occhiata, di default è 
abilitato ovunque. Probabilmente l'impatto "extra" che sta avendo 
l'argomento su scala mondiale è dovuto anche a questo.

 wrote:

Confermo che su alcune distro sia open di default :(
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 Confermo che su alcune distro sia open di default :(
 
... che peraltro non fa rima con "alcune" :-)
 
Potreste farmi qualche esempio? Io lavoro sempre con le stesse 4 o 5 o con 
BSD e probabilmente ho una visibilità limitata.


 BSD e probabilmente ho una visibilità limitata.
 
Distro linux non me ne viene in mente una che sia aperta di default,
almeno negli ultimi 6-7 anni (prima di allora, la mia memoria vacilla).
 
FreeBSD, almeno fino alla 6, non forniva alcun file di config di default
e si aspettava fosse l'admin a crearlo. Che non significa esattamente
fosse aperto di default, ma robe di 'sto genere son la ragione di quella
concessione del 10% di responsabilità cui mi riferivo.
 

 
 
L'unico problema l'ho avuto su una vecchia slack 12 (non è presente negli 
aggiornamenti).


 "Tutte" è una parola grossa...
 
Leggi meglio, ho scritto "tutte le distribuzioni su cui ho dato 
un'occhiata".
 
 


 
tutte le Suse e derivate, da OpenSuse a Suse Linux Enterprise, ad esempio.
 


Allora posso dire di cuore che negli ultimi 10 anni ho ben fatto ad
evitarle come la peste... :-D
 

 
https://www.picert.it/wp-content/uploads/2014/01/VA-IT-140113-01.A.pdf
 
 
 
E' il demone ntp
Secondo il documento al massimo si arriva ad un denial of service  che 
significa per il client la mancata sincronizzazione dell' ora
Nessuna macchina viene bucata
 


E' un DRDoS, dovrebbe significare che diventi veicolo di DoS verso un 
host vittima. Quindi come minimo hai una penalizzazione della tua banda 
e delle tue risorse significativamente considerevole, senza contare agli 
aspetti legali.
 
Anche in caso di DoS ricevuto, dubito che il solo servizio NTP subisca 
interruzioni. Non è affatto scontato che il servizio sotto attacco sia 
esso stesso *l'unico* a cadere in caso di DoS. Questo è tutto da vedere 
e questo tipo di attacco innesca tipicamente reazioni a catena sulla 
macchina vittima che solo raramente si fermano al servizio vero e proprio.
 
 > Nessuna macchina viene bucata
 
ah bhè, allora. :)

 
https://www.picert.it/wp-content/uploads/2014/01/VA-IT-140113-01.A.pdf
 
 
Proprio ieri con un attacco del genere hanno messo KO un router di core di uno dei più grossi carrier italiani :)


Comunque con un sistema aggiornato (nel mio sistema e' avvenuto il 31 
gennaio scorso) non ci dovrebbero essere problemi. Hanno aggiunto questo 
in /etc/ntp.conf proprio per questo
 
# Permit time synchronization with our time source, but do not
# permit the source to query or modify the service on this system.
restrict default nomodify notrap nopeer noquery
disable monitor
 
Se poi uno non aggiorna o modifica i files di configurazione...
 
Mauro

 Nessuna macchina viene bucata
 
 
L'ultima frase è vera. La precedente indica che non si è affatto capito
il problema.
 
Invito a leggere
 
http://blog.cloudflare.com/understanding-and-mitigating-ntp-based-ddos-attacks
 
 
 
 


Letto, e cosa non avrei capito secondo te ?
 

 
 
Che la "mancata sincronizzazione dell'ora" non c'entra nulla ed è lungi
dall'essere il problema.
 
*Questo* è il problema:
 
https://twitter.com/eastdakota/status/433002992694874112
 


CentOS è chiusa di default come da file di configurazione

 Tipo Telecom?
 
No, comincia per In e finisce per com.