Newsgroup: it.comp.os.linux.sys
Titolo: due domande sull'anti sniffing

1. quanto tempo ci mette airsnort a trovare la chaive WEP di un AP ?
2. esiste un tool per controllare se ci sono interfacce di rete settate
in modalità promiscusa su altre macchine? per individuare ettercap basta
arpwatch?
Grazie anticipate,
	Antonio

 in modalità promiscusa su altre macchine?
Per definizione per mettere l'interfaccia in modalita' promiscua devi
essere root o avere diritti di amministratore. Tieni fuori gli estranei
dalla tua rete e sei gia' a meta' dell'opera.
Davide
-- 
Microsoft should abandon the funny looking Windows logo and just hoist the
Jolly Roger.

 arpwatch?
No, ma aiuta (leggi: dipende da come viene usato ettercap).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
In software systems, it is often the early bird that makes the worm.

 Poco, cmq. Nell'ordine di minuti.
Non ho capito se state scherzando o se mi sfugge qualcosa 
di nuovo su wep o sul post.
Fabio

 di nuovo su wep o sul post.
Wep e' una chiavica! Come protocollo di sicurezza e' un buco mostruoso.
Un flop. Non funziona! Chiaro?
Davide
-- 
Linux: Because rebooting is for adding hardware
Solaris: Because you don't need to reboot to add hardware
Windows: Because rebooting is for adding hardware, adding software,
regularly scheduled downtime, and should also be done on a daily basis to
keep the machine running. 

 di nuovo su wep o sul post.
Uh?
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 di nuovo su wep o sul post.
Perche`? Hai risultati diversi?
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Research is what I'm doing when I don't know what I'm doing.

 No, ma aiuta (leggi: dipende da come viene usato ettercap).
Ok, solo quando parte con l'arp poisoning :-)

 Da prove da me fatte tra 30 secondi e 5 minuti.
Allora č inutile che provi a inventarne una complicata :-)
Prima di collegare questo AP d'avanti a me alla rete cosa mi conviene
fare? E' una misura sufficiente impostare i MAC delle sk di rete
abilitate a usare l'AP? O bisogna inserire un'ulteriore forma di
protezione?
Chiaramente se un AP č accesso ma non viene utilizzato č vulnerabile
soltanto tramite force brute?
Grazie anticipate ;-)
Antonio

 protezione?
Io uso autenticazione tramite MAC ID e WAP, inoltre dietro c'e'
un firewall che consente l'accesso solo a certi IP. E non c'e' DHCP
(aka: o sai quale IP usare o ciccia). E l'AP non "rivela" la sua
presenza (aka: devi sapere l'ESSID).
Davide
-- 
If your OS needs a virus detector... RUN!!! ...Out and buy Linux!
   -- Tim Wright

 presenza (aka: devi sapere l'ESSID).
Qui non ho capito :-)

 Qui non ho capito :-)
L'AP puo' inviare in continuazione un segnale di "beacon" che dice
sostanzialmente "ehi! io sono qui' e questa e' la rete" o puo'
starsene zitto ed aspettare di essere chiamato in causa.
Davide
-- 
Better dead than Redmond. 

 starsene zitto ed aspettare di essere chiamato in causa.
ah ok! capito! :-) l'ESSID c'è :-P

 Ok, solo quando parte con l'arp poisoning :-)
Dipende da come viene fatto l'arp poisoning.
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 presenza (aka: devi sapere l'ESSID).
Tutta roba che mentre fai traffico, con kismet, si vede in due secondi
netti.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Syntactic sugar causes cancer of the semicolon.

 soltanto tramite force brute?
Un po` di traffico c'e` sempre.
L'unica soluzione e`:
- enforce di policy d'uso della rete (un proxy)
- monitoraggio ap e modifica sistematica delle chiavi a scadenze
  frequenti (quanto dipende da te. Quella di casa, la cambio circa ogni
  bimestre...)
YMMV, a seconda della "serieta`" dell'installazione. E quando non serve,
se puoi, spegnilo.


 in modalità promiscusa su altre macchine?
La risposta e': dipende. Esistono tool per farlo ma la loro efficacia
dipende sia dal sistema operativo della macchina che ha l'interfaccia
in modalita' promiscua, sia dalla sua configurazione, nonche' da quel
che fa. Ed i falsi positivi e negativi sono frequentissimi. 
Inoltre, considera che diverse tecniche son basate su debolezze dello
stack tcp/ip tra gli strati arp ed ip. Leggi: basta che l'interfaccia
promiscua _non_ abbia uno stack tcp/ip per non essere identificabile.
Le tecniche rimanenti son basate su errori nell'implementazione dell'
eventuale sniffer (mica tutte le interfacce promiscue son sniffer) ma
basarsi sulla supposta incapacita' dell'attacante per una valutazione
della propria sicurezza non e' un buon punto di partenza :-)
Fabio

 Perche`? Hai risultati diversi?
E' che, anche prescindendo dalla bonta' della chiave, i tempi
dipendono troppo sia dalla sua lunghezza sia dal traffico che
transita sulla rete, in tipologia e volume. Parlare di tempi,
soprattutto cosi' bassi, mi sembra un poco fuori luogo, senza
nessun altro commento. Forse sono ottimista, ma a chi mi pone
questa domanda tout court senza specificare nulla sulla rete,
viene da rispondere "da pochi minuti a... diverse settimane".
Se si parla di attacchi passivi, per lo meno (avevo inteso in
questo senso).
Fabio

 netti.
Oh, ne sono perfettamente sicuro. Ma a quel punto fai prima a buttare
giu' la porta di casa (ma non serve nemmeno, di solito e' aperta) ed 
attaccarti alla rete direttamente. Tutto dipende da _dove_sei_ e _cosa_
ci fai con la rete. C'e' anche da dire che il range di quel 'azzo di
AP e' di circa 5 metri...
Davide
-- 
NT is the only OS that has caused me to beat a piece of hardware to death
with my bare hands.
--Derry Hamilton

 Oh, ne sono perfettamente sicuro. Ma a quel punto fai prima a <>
Io lo so. Tu lo sai. Magari qualcuno leggeva, e pensava "ah! e` cosi`
facile rendere sicuro wep". Questo il senso del mio intervento.
Ho visto persone, ovviamente meno esperte di te, assicurare davanti a
platee che la loro rete wifi era sicura perche` filtravano i mac, per
dire.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Lusers: can't live with them, don't get paid without them.

 dire.
eeeehhhh... ma ci hanno iccspi' sul laptop loro...
Davide
-- 
Peace, Love and Compile the kernel...
   -- Justin L. Herreman

 netti.
kwoto
(che hai fatto pratica ultimamente? :->)


 Poco, cmq. Nell'ordine di minuti.
Hum, da completo niubbo delle reti wireless la butto li`: disabilitare
WEP e passare ad IPSec (AH+ESP). Come la vedi?
Luca
-- 
Home: 
http://kronoz.cjb.net
Ligabue canta: "Tutti vogliono viaggiare in primaaaa..."
Io ci ho provato e dopo un chilometro ho fuso il motore e bruciato
la frizione...

 dire.
Beh faccio bene a tenere spento l'AP allora quando non viene utilizzato
:-P

 della propria sicurezza non e' un buon punto di partenza :-)
Allora cerco di essere + preciso sulla possibilità di chi è il
cacciatore di password:
1. utente linux inesperto che installa un qualsiasi sniffer via apt-get;
2. utente winXXXX che installa un qualsiasi SW da rete (tucows o
simili);
:-)