Newsgroup: it.comp.os.linux.sys
Titolo: ip statico, firewall e sicurezza

Ciao a tutti;
avendo integrato una LAN con ip statico e connessione statica con ADSL, mi
ritrovo ad avere, sul router, TUTTE le porte chiuse tranne la porta 25 dove
c'è impostata la NAT sulla 25 del server postale Linux; qui sopra gira
postfix.
Una cortesia: riguardo alla sicurezza informatica, il router mi farebbe già
da firewall, discriminando le porte, oppure mettereste in mezzo un bel
firewall Linux tra il router ed il postale?
Essendo nattata soltanto la 25, stavo cercando problemi di sicurezza su
postfix; non ne ho trovate, almeno con la versione 19991231. E' possibile
subire un exploit dalla 25 oppure è cosa poco probabile?
Ciao e grazie infinite!
Francesco Collini

 possibile subire un exploit dalla 25 oppure è cosa poco probabile?
la versione 19991231 è un po vecchiotta (31-12-1999: tutti a far festa e
Wietse sfornava una release di postfix, che gente! :-)
man in effetti non ricordo annunci di problemi su quella release e visto
il tempo che è passato dovresti andare sul sicuro...
Ciao!


Ciao
beh di attacchi a postfix sulla porta 25 ne conosco parecchi.
un firewall è molto utile (ad esempio esiste un ios di cisco che incorpora
alcune funzioni di fw) ti strasconsiglio un pc con ipchains perchè non ha
fetures avanzate che hanno altri fw se ti vuoi proteggere usa un pix o fw1
di check point.
questo, però non prescinde da avere dei server ben configurati e up to date
con la ver del sw.
A presto
Pelush

 beh di attacchi a postfix sulla porta 25 ne conosco parecchi.
Io sono iscritto alla mailing list di postfix, e Wietse Venema non ne ha mai
parlato, poi leggo anche securytfocus oltre che bugtraq, ma non ho ancora visto
nulla.
Forse è il caso che informi un pò tutti.
Saresti poi cosi gentile da fare esempi??
Io sono molto preoccupato perchè anche io uso postfix con ipchains...

 beh di attacchi a postfix sulla porta 25 ne conosco parecchi.
forse ti confondi con sendmail.
-- 
nebbia

 - ICQ# 92905138
http://www.mascanc.net/~skolem



E' gia' la seconda volta che in questo NG sento parlare "male" di
Sendmail: ho gia' chiesto di avere maggiori dettagli i merito a questi
famosissimi "buki": purtroppo ancora non ho avuto una risposta.
Potrei sbagliare ma credo che una discussione e' costruttiva quando si
puo' dare informazioni e scambiarne.
Sono 3 anni che uso sendmail e non ho mai letto di gravi problemi
sulla sicurezza, oltretutto non ho mai riscontrato direttamente quanto
asserito.
Sono solo stato _tanto_ fortunato?
Sono sempre piu' curioso di conoscere queste falle, se non altro
perchè la porta aperta per l'SMTP deve funzionare e non si puo'
mettere sotto firewall....
Grazie

 Potrei sbagliare ma credo che una discussione e' costruttiva quando si
Guarda nei vecchi archivi di Bugtraq su 
www.securityfocus.com
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ha scritto nel messaggio
news:9hbo6e$1rt$1...@durin.khazad-dum.net...


 hardware?
Perche'? Cosa c'entrano i firewall con eventuali buchi di un MTA?


Guarda nei vecchi archivi di Bugtraq su 
www.securityfocus.com
Ok ma si tratta di cose vecchie :-)
La storia insegna che se si sbaglia in genere dopo si diventa piu'
bravi :-))
ciao

 mettere sotto firewall....
uno di quelli che ricordo (non uso sendmail e quindi skippo gli
articoli che parlan dei suoi buchi) era un bachettino
tranquillo, v. 8.8.8? 8.8.9? 2 annetti fa, nulla di grave, tu ti
collegavi, mandavi helo+almeno 800 caratteri (?) e lui ti
accoglieva a braccia aperte, nulla di grave ovviamente, al
massimo ti usavano per spedire anonimamente un po' di spam o
monnezza varia. Il bello e' che un buco del genere non lo chiudi
con un firewall perche' dal momento che accetti la connessione
sei gia' fritto. Ah, nota bene che sendmail l'ho visto nominato
almeno altre 2/3 volte in questi due anni. postfix mai.
Altro discorse se sendmail serve *solo* il tuo pc, allora in
questo caso hai ragione, la frase giusta diventa:
"sendmail *e'* sicuro, *se* usi ipchains che blocca tutte le
connessioni diverse da localhost".
Mi sorge pero' il dubbio che tale frase in realta' significhi
solo che *ipchains* e' sicuro ;).
-- 
nebbia

 bravi :-))
Beh questo e' vero ma nel caso di sendmail sono problemi cronici e prima
o poi qualche altro buco saltera' fuori: e' una questione di tempo
perche' e' proprio la sua struttura di grosso programmone suid root a
tradirlo, vedrai :-) Oramai salvo esigenze proprio particolari usare
sendmail e' perfettamente inutile quando ci sono MTA molto piu' moderni
che fanno le stesse cose e sono molto piu' sicuri. Poi ovviamente, de
gustibus.. :-)


No Pierluigi, sono andato un attimino fuori messaggio; siccome mi hanno
sconsigliato i firewall Linux con ipchains e consigliato quelli hardware
tipo Cisco Pix, chiedevo se era il caso di mettermici su per studiarli
oppure no.
Ciao, grazie!
Francesco Collini

 oppure no.
Ah, ho capito.. beh i Cisco PIX sono i Cisco PIX, non c'e' dubbio:
dipende da quanto si vuole spendere ovviamente :-) Se si ha a
disposizione un budget limitato sicuramente anche un firewall con Linux
ben configurato puo' dare soddisfazioni ma IMHO un firewall HW e' un
altro discorso se puoi permettertelo, ripeto..


beh di attacchi a postfix sulla porta 25 ne conosco parecchi.
tipo?
Questa affermazione, buttata li` cosi`, fa tanto "mio cuggino" <G>
-- 
Remember, when someone annoys you,
It takes 42 muscles in your face to frown BUT,
it only takes 4 muscles to extend your arm
and smack the doofus upside the head.
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

mettere sotto firewall....
ma fare una ricerchina no?
incipt: un servizio che gira totalmente con privilegi di root ha dei
problemi architetturali. Lo fa bind (e praticamente non c'e` alternativa
valida, ma si puo` almeno chrootare), lo fa sendmail ma almeno ci sono
alternative.
poi, una banale ricerca su rootshell:
Denial of service attack in Sendmail 8.9.2 with exploit.
Sendmail DoS for systems running Linux with an accept() bug.
The old /tmp Sendmail bug ported to Solaris 2.5 and 2.5.1.
Buffer Overflow for Sunos 4.1 sendmail - execs /usr/etc/rpc.rexd. (See
Phrack 53)
Exploits lpd by specifying alternate sendmail alias file to use.
The MetaInfo products MetaIP and Sendmail contain remotely exploitable
security holes.
Exploit for a bug in the sendmail HELO code which allows you to hide
your true identity in sendmail < 8.9.0.
This will explain how to exploit sendmail version 8.8.4 to get root
access.
This exploit will overwrite a buffer on sendmail 8.6.12 running on
FreeBSD 2.1.0.
smh.c is an exploit for sendmail 8.6.9. It gives a bin owned setuid
shell.
This is an exploit script for sendmail 8.7-8.8.2 for FreeBSD and Linux.
Gives root.
e questi sono quelli banali, vecchi, che il primo script-kiddies puo'
travare scrivendo sendmail nel search di rootshell. cosa pensi che
succeda a chi e' piu' dotato di risorse?
saluti


gustibus.. :-)
Concordi con me pero' nel dire che "sendmail" insicuro come "default"
e' oramai leggenda metropolitana? Sinceramente non mi ha mai dato
problemi utilizzarlo e non avendo mai avuto l'esigenza di installare
qualcosa di diverso non ho mai provato altri MTA.
ciao

solo che *ipchains* e' sicuro ;).
Credo che nulla sia sicuro :-)

altro discorso se puoi permettertelo, ripeto..
Obiettivamente pensi che un 505 e' davvero migliore di una Linux box?
ciao!

 qualcosa di diverso non ho mai provato altri MTA.
No non concordo affatto. E se non hai provato altri MTA il tuo ragionamento
non ha senso. Io uso Qmail con soddisfazione da parecchio e finora su Qmail
non e' stato _mai_ trovato un buco quindi come vedi una grossa differenza
con sendmail c'e'.


 Obiettivamente pensi che un 505 e' davvero migliore di una Linux box?
Non conosco il 505 ma tu invece pensi di conoscere tutti i modelli e le
loro prestazioni? Sia che si tratti di un FW hardware che di uno SW
va saputo configurare altrimenti non serve a niente,


 
-- 


qualcosa di diverso non ho mai provato altri MTA.
Anch'io tempo usavo solo sendmail e non avevo problemi.
Mi faceva tutto quello che volevo e mi ero anche smazzolato per bene per
capirlo; vivevo felice.
Poi dovevo fare un forward di alcune mail su un altro MTA ma su una porta
diversa... dopo aver perso i peli pubici dalla rabbia per capire come fare
pensai che non era il modo giusto di soffrire per una cosa tutto sommato
banale.
Provai postfix. Non l'ho piu' cambiato. Capii che si poteva vivere ancora piu'
felicemente...
Non ho ancora provato qmail... ho paura troppa felicita' possa fare male...
Ciao.
-- 
Zio Ciano

va saputo configurare altrimenti non serve a niente,
Io non conosco tutti i modelli e le loro performance e proprio per
questo sono qui a discutere. Il fatto di saper fare o non saper fare
non e' determinante. Se devo implementare un firewall mi rivolgo a chi
lo sa fare, pero' per valutare le capacita' di chi dice di saper fare
e' necessario conoscere le caratteristiche di molti modelli FW
commerciali o non. 
Per la mia minima esperienza posso dire che I PIX sono macchinette che
fanno bene il loro lavoro, i firewall 1 lo fanno ancora meglio, ma
tutto e' da ricondurre a cosa e come si vuole proteggere e proprio
sulla base di questa considerazione vorrei iniziare a valutare il
firewalling implementato su Linuxbox.

con sendmail c'e'.
Forse non mi sono spiegato.
Non voglio fare dei paragoni tra MTA. Il fatto che io abbia utilizzato
_solo_ sendmail non esclude la possibilita' non remota che ne utilizzi
altri. Il fatto che Qmail non sia mai stato compromesso e' un dato
statistico interessante con il quale e' poi possibile ragionare per
sostituire il sendmail.
ciao

 firewalling implementato su Linuxbox.
Direi che il firewalling su Linux da' degli ottimi risultati e di
documentazione in giro per la rete se ne trova a bizzeffe.


 sostituire il sendmail.
Brao', vedo che hai afferrato il punto. Se a cio' aggiungi che per la
maggior parte di casi qui sui NG dedicati a Linux non si fa altro che
consigliare di passare ad altro e lasciar stare sendmail proprio perche'
oramai tranne casi molto particolari non vale piu' la pena continuare ad
impazzire con la sua configurazione si chiude il cerchio.
Ripropongo il consiglio alla valutazione di Qmail o Postfix.


documentazione in giro per la rete se ne trova a bizzeffe.
A casa, per i test, ho sempre utilizzato Ipchains e non mi sembra
malvagio. Naturalmente le regole impostate proteggono un solo host
quindi elementi di valutazione ad ampio raggio sono purtroppo molto
limitati. 
Nei prossimi giorni dovro' congiungere una LAN di una sede secondaria
alla WAN aziendale e visto che ho bisogno di un serverino DHCP mi
riciclo un P133 da "cassonetto" e mi implemento alcune regole......
:-)
ciao

 alternative.
Il mio bind è chroot/chownato ....
Da man named
[....]
     -u user_name
                Specifies the user the server should run as after it 
        initial­
                izes.  The value specified may be either a username or a 
        nu­
                meric user id.  If the ``-g'' flag is not specified, then 
        the
                group id used will be the primary group of the user 
        specified
                (initgroups() is called, so all of the user's groups will 
        be
                available to the server).

 :-)
Buon lavoro allora 8-)


Buon lavoro allora 8-)
Che fai mi prendi in giro? :-)
Il "cassonetto" mi fara' da proxy http e da dhcp visto che ho solo una
64k e 20/25 utenti da allacciare....oggi ho riciclato 128Mb di RAM e 2
3com. Visti i personaggi ipchains mi sara' moooooolto utile.
ciao

 conoscienza di bachi che affliggono il sendmail oggi. 
a saperli *prima* non sarebbe un problema, ti pare? sono i
"potenziali" bug (vedi sopra) di sendmail che mi spaventano.
Ovviamente nessuno ti vieta di continuare ad usarlo, anzi. C'e'
solo da tenere d'occhio con maggior attenzione gli avvisi.
Io preferisco stare "teoricamente piu' tranquillo" e tenermi
postfix o qmail.
-- 
nebbia

 3com. Visti i personaggi ipchains mi sara' moooooolto utile.
Capisco cosa vuoi dire perche' so cosa significhi avere degli utenti che
amano cazzeggiare su Internet. Credo che fra squid che taglia via
l'accesso, una volta che ti sarai costruito una cache corposa, ed
ipchains nonA dovresti avere difficolta' nel domarli.


ipchains nonA dovresti avere difficolta' nel domarli.
L'importante e' che non mi vengano a prendere sotto casa ;-)))
Senti ho la necessita' di impostare un quote sui dischi del mio server
casalingo e non l'ho mai fatto.
ho impostato /etc/fstab per abilitare il quote con il comando
--
LABEL=/ /       ext2     exec,dev,suid,rw,usrquota 1 1
Se devo impostare un limite massimo per tutti gli utenti a 20 Mb cosa
devo andare a scrivere nel file /etc/quota,conf
Il suo contenuto ora e':
--
[base]
userdef.LABEL=/ none -1 -1 -1 -1 604800 604800
groupdef.LABEL=/ none -1 -1 -1 -1 604800 604800
grazie!

"concettuali"
Ora credo di aver centrato meglio la questione. Diciamo che, senza la
solita storiella dell'A e' meglio di B che e' meglio di C, QMail e
PostFix essendo stati concepiti in tempi recenti sono stati disegnati
per rispondere a certe esigenze per le quali Sendmail non era stato
disegnato.
ciao

 casalingo e non l'ho mai fatto.
Nemmeno io, mi dispiace.. non mi sono mai trovato a dover usare i disk
quota..


 quota..
mi pare che quel matto di wiz li usi sul suo pc di casa, di cui e` unico
utente! ;-)
-- 
Configura internet, junkbuster, fetchmail, procmail, leafnode, firewall,
dns, wwwoffle, postfix, mutt, slrn, kernel, ed altro, visitando il sito:
http://mrshark.sourceforge.net
 od 
http://mrshark.cjb.net
 e scaricando il
"Quick&Easy Configuration Howto". Cosenza LUG: IRC: 
irc.openprojects.net
canale #cslug - Mailing-list: 
http://www.linux.it/mailman/listinfo/cslug

 utente! ;-)
Beh per fortuna noi non siamo cosi' malridotti ;-) Ehm ciao Wiz, si
scherza eh...


 che non si abbia un traduttore /dev/urandom -> italiano)
uh? E che č?? Ti sei riscritto telnetd e ftpd in modo che:
if user = THORIN -> si lavora
if user = altro  -> ci si diverte?
Che bello! :-)
--ev 

 devo andare a scrivere nel file /etc/quota,conf
mai usato, pero' mi sembra che tu debba anche ricompilare il
kernel includendo il supporto per quota.
-- 
nebbia

In un messaggio del Fri, 29 Jun 2001 13:51:27 +0200 ev scriveva:



No no, niente di cosi' fantascientifico: ho sempre un occhio sulla
finestrina in cui scorre /var/log/messages. Essendo una connessione
dialup e' ovvio che io sono sempre li' per cui mi accorgo se c'e' il
deficiente di turno :-)




Il Kernel e' gia' OK anche il disk quote dovrebbe essere attivo ma ora
devo dire che gli user non possono superare i 20Mb...io credo che la
modifica sia da fare nel file /etc/quota.conf
-----
[base]
userdef.LABEL=/ none -1 -1 -1 -1 604800 604800
groupdef.LABEL=/ none -1 -1 -1 -1 604800 604800
-----
Il valore credo che vada impostato al posto di -1 e potrebbe essere 20
o 20000....

deficiente di turno :-)
Rispetto agli anni passati vedo che sono sempre meno cmq. 
come faccio a redirigere /var/log/messages su una finestra e
contemporaneamente sulla dir?
ciao

 modifica sia da fare nel file /etc/quota.conf
Mi sbaglio o c'era  edquota  per queste cose?
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.4.3-xfs
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! I Never Wanted To Be What They Told Me To Be
  		Fulfill My Fate Then I'll Be Free >!-
  			Blind Guardian - Mordred's Song

 contemporaneamente sulla dir?
Io da X uso un banale script che mi apre un Xterm:
#!/bin/bash
xterm -fn 7x13 -bg Aquamarine -fg Red -ls -sb -T "The Logger" -geometry 90x15 -e tail -f /var/log/messages &
mentre in console puoi fare banalmente
# tail -f /var/log/messages >>/dev/tty10 
