Newsgroup: it.comp.os.linux.sys
Titolo: [OT] Anti-sniffer

Ciao a tutti,
in ufficio da me c'è un tizio che si è scaricato uno sniffer di rete e
sniffa i pacchetti (così dice lui...) osservando cosa fa la gente. Secondo
voi è possibile che riesca a sniffare tutto il traffico di rete e se sì
c'è un modo per bloccarlo ? 
Non per niente, ma questo tizio mi sta un po sulle scatole... (e poi usa
anche WinXP)
Ciao
SnOcK

 c'č un modo per bloccarlo ? 
Comunicalo al sistemista, ci pensera' lui.
Davide

 Davide
Il sistemista della mia azienda fa ridere i polli.
Comunque grazie per la risposta.
Ciao
SnOcK 

 c'è un modo per bloccarlo ?
a livello sw no , lo devi fare a livello hw , puoi trovare delle ottime
mazze da baseball nei negozi sportivi.
ciao.
-- 
-------------------------------------------------------------------------------
"Hei, Prof. Csele...  vuole fare una partita a DOOM?"
"No, Ken, sono troppo indaffarato a correggere il tuo esame...  oh, ma a
 chi importa...  2, certo, giochiamo!"
                -- [Un non meglio precisato] Ken
-------------------------------------------------------------------------------

 ciao.
Personalmente la mazza da baseball mi sembra la soluzione più consona,
secondo te se gli spacco anche la testa, oltre al computer, vado incontro
a grossi problemi ??
Ciao
SnOcK

 a grossi problemi ??
non saprei , io mi limiterei a spianargli la macchina ( fisicamente , è +
pratico ).
ciao.
-- 
-------------------------------------------------------------------------------
E' difficile fare un documentario televisivo che sia incisivo ed
approfondito
quando ogni dodici minuti viene interrotto da dodici conigli ballerini che
decantano una carta igienica.
                -- Rod Serling
-------------------------------------------------------------------------------

 > c'è un modo per bloccarlo ?
taglia il suo cavo di rete in un punto che si nota poco... daranno la
colpa a XP :))
La cosa migliore cmq è utilizzare ssl sempre....
Filippo

 Filippo
ehh..magari !! alla gente cosě bisognerebbe tagliare qualcos'altro. 
Ciao
SnOcK

 La cosa migliore cmq è utilizzare ssl sempre....
si' , sono daccordo , tanto ormai ci fai di tutto.
ciao.
-- 
-------------------------------------------------------------------------------
Se le tasse continueranno a crescere a questo ritmo, molto presto il
governo avra' un prezzo fuori mercato.
-------------------------------------------------------------------------------

SnOcK ha scritto:

Sniffare i pacchetti altrui mi risulta sia un illecito penale.
Il classico lamer da ufficio si vanta di averti preso la password della 
posta (bella forza, passa in chiaro!)... ecco, questo e' illegale.
Chiama la polizia postale (o minaccia di farlo).
-- 
Renato Ramonda
_______________________________
Togli TOGLIMI se vuoi scrivermi

 c'è un modo per bloccarlo ?
Un colpo secco alla base del collo, meglio mentre
è chino sul monitor a spiare i pacchetti.
Prendi molto slancio.
Puoi provare a farlo a mano, ma se non sei pratico
ti consiglio un paio di ottimi tool:
crick-2.0.1
palanchino-1.4.4
Dai un'occhiata al manuale, ma non sono molto
complicati da usare.
Se sopravvive e se/quando si riprende, ti
giustifichi dicendo che c'era una bestiaccia,
(magari blaster).
P.S.
Usa ssl ogni volta che puoi.


Quale porta??
Mi hai incuriosito parecchio... dove posso trovare maggiori info a
riguardo...?

pent...@despammed.com
 wrote:

ROTF
devo implementare quei software anche in azienda da me ;P
-- 
Rizio

 riguardo...?
allora , da quel che mi ricordo di una prova di un paio di anni fa' , l'
unico modo per sniffare oltre uno switch è fare in modo che questo giri
verso la tua porta anche i pacchetti destinati alle altre , se mi ricordo
bene bisogna prendere un mac address di un altra macchina o qualcosa del
genere , gli switch stupidi ti girano pari pari quello che girano all'
altra scheda , mentre i 3com disabilitano la porta a cui sei collegato.
ma ripeto , è una prova che ho fatto 2 anni fa' , di cui nn ricordo molto ,
inoltre non credo di essere un esperto in materia , prova a cercare con
google o magari nella man page di tcpdump.
ciao.
-- 
-------------------------------------------------------------------------------
Se lo scopo del cosmo e' sviluppare lo spirito umano, non avremmo tutti i
torti
a considerare il cosmo piuttosto inefficiente, visto che in tanto tempo ha
fatto cosi' poco.
                -- Bertrand Russell (1872-1970), filosofo inglese
-------------------------------------------------------------------------------

 google o magari nella man page di tcpdump.
Cercherei inoltre nella manpage  di ettercap, AFAIK e' l'unico sniffer
che puo' sniffare  su reti switchate (non so  se pero' sarebbe fermato
da uno switch intelligente come il 3com che dici).
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 Usa ssl ogni volta che puoi.
In determinate condizioni non basta neppure quello:
man ettercap
/ssl
       HTTPS support : you can sniff http SSL secured data... and
       even if the connection is made through a PROXY
e se interessa (anche se non penso ci sia in giro ancora qualcuno sano
di mente che usi ssh1):
/ssh
       SSH1 support : you can sniff User and Pass, and  even  the
       data of an SSH1 connection. ettercap is the first software
       capable to sniff an SSH connection in FULL-DUPLEX


 c'è un modo per bloccarlo ? 
si puo' provare a inondarlo di pacchetti inutili?
aloha
-- 
mattia
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 verso la tua porta anche i pacchetti destinati alle altre , se mi
ricordo
Non so che switch avessero dove ho fatto la prova ma a me è
bastato cambiare il mac tramite ipconfig e poi mi arrivavano i
pacchetti destinati al mac vero. Non capisco ancora cosa intendi
con "verso la tua porta" e poi quanta intelligenza devono avere questi
switch per capire quale è il mac vero e quale (o quali..) è il mac
falso...
Bha... ho provato a cercare ma non ho ancora trovato nulla...
Continuero' :)
Filippo

 falso...
quando appare un mac identico ad uno gia' collegato ad una porta dello
switch su un altra porta , la seconda viene disabilitata e ti collegare
all' interfaccia di gestione dello switch per riabilitarla.
ciao.
-- 
-------------------------------------------------------------------------------
Le donne sono come le ciliegie: una tira l'altra.
                -- Giacomo Casanova
-------------------------------------------------------------------------------

 c'è un modo per bloccarlo ? 
Di al tuo capo che con questo sniffer lui potrebbe leggere la posta
riservata diretta da e verso tutti i dirigenti.
Di solito una comunicazione tale genera una lettera circolare destinata
a tutti gli utenti della LAN dove si comunica che ogni uso improprio
della rete verra' perseguito a norma di legge.
Se il lamer e' intelligente la cosa gli fara' abbassare la cresta. Se
non lo fa, e visto che tu non sei il sistemista, fatti i cazzi tuoi, usa
SSL e vivi felice. Alla fine la capira' o con le buone o con le cattive.
-- 
Un Ciao in DO Maggiore!
-=) Sbaturzio (=-

 usa SSL e vivi felice.
Sicuro? Quelli di ettercap non sono daccordo
http://ettercap.sourceforge.net/
Alessandro.



Molto dipende da come e' fatta la tua rete. Se hai solo degli hub o
addirittura una rete "old style" su coassiale (vorrei sperare di no!) il
tizio ha accesso senza problemi a tutto il traffico o quasi (ssh2 e'
ancora sicuro).
Se si tratta di una rete switchata il tizio di cui sopra puo' sniffare al
massimo una parte del traffico (in teoria potrebbe accedere solo ai
pacchetti diretti al suo MAC address ed a quelli broadcast, ma nessuno
switch e' perfetto, percio' qualcosa in piu' si riesce a sniffare
ugualmente). Questo a meno che, come scritto gia' da altri, non usi un
programma tipo ettercap che riesce a sniffare in una rete switchata
mediante ARP poisoning (in pratica spoofando il MAC addr) e riesce pure a
sniffare traffico SSL e SSHv1. Premesso che esistono software in grado di
rilevare la presenza di sniffer o di gente che cambia il MAC (es.:
ettercap e' in grado di rilevare suoi "colleghi" attivi in rete ma c'e'
anche arpwatch) non mi sembra questo il problema (il tizio ha gia'
sbandierato di usare uno sniffer). L'unico modo di bloccarlo, per quanto
ne so io, risiede nella capacita' di alcuni switch di rilevare anomalie
nei MAC (come ha scritto nero alcuni switch rilevano la presenza dello
stesso MAC su due prese diverse e le bloccano) oppure piu' semplicemente
di fissare un MAC addr. su ogni presa. Il problema e' che se il tuo
sistemista fa ridere i polli non so chi possa implementare questa
caratteristica negli switch. Prova comunque a dirgli che sta rischiando il
posteriore e vediamo se si sveglia.
Ciao
C.
P.S. In caso di estrema necessita' voto per crick-2.0.1

 ... usa SSL e vivi felice...
Ehm...s/SSL/SSH/ ;-)


 ssh2 e' ancora sicuro.
Immagino questa dicurezza si ottenga usando certificati digitali trasmessi
fuori banda. O c'e' un altro sistema? Dove posso saperne di piu'?
Alessandro.

test ha scritto:

man ssh? ^___-
Scherzi a parte, cerca documentazione sulla crittografia a chiave 
pubblica e privata: al primo collegamento con un host ssh il client ti 
dice "questo host ha una key fingerprint blablabla, vuoi davvero 
fidarti?" se gli dici di si' da quel momento IN POI ssh2 e' sicuro. Se 
in quel momento l'host fosse spoofato e tu non conoscendo la fingerprint 
gli dicessi di si' penso che saresti fritto. Ma e' un caso abbastanza 
improbabile.
Se poi vuoi sicurezza totale, e pure senza dover mettere le password 
ogni volta, usi ssh-keygen e porti fisicamente la chiave pubblica con un 
floppy o altro sull'altra macchina.
Chiunque ne sapesse piu' di me mi corregga, please!
(ah, per ssh si intende SEMPRE ssh2: ssh1 ha/aveva una vulnerabilita' 
conosciuta... la stessa usata da trinity in matrix reloaded per entrare 
nella rete della centrale, per inciso... leggere il monitor per credere!)



Ok, piu' o meno quello che immaginavo. Grazie per la risposta :-)
Alessandro.