Newsgroup: it.comp.os.dibattiti
Titolo: Sono preoccupato da Win2000

Ho provato in questi giorni in ufficio e sono da mesi che l' ho sul
portatile Win2000. La prima versione che mi è arrivata presentava tanti bugi
ma era piuttosto stabile. Finalmente è arrivato l' aggiornamento (sempre una
beta) ed ho fatto l' upgrade sul PC dell' ufficio della versione server e ho
incominciato a cercarne i punti deboli e farlo crashare: e qui sono
cominciati i casini!!!!
Ho incominciato cercando di bloccare dei servizi di rete con i classici SAN
FLOODING: risultato con più di 1400 connessioni pendenti il servizio ftp
rispondeva ancora. Ho provato allora a fare lo stesso giochino con Solaris e
Linux. Solaris di suo non ha fatto una piega con un bordello di connessioni
pendenti. Si lavorava perfettamente sulla macchina, ma purtroppo il servizio
ftp era bloccato: Linux era quasi fermo (ma gira su un 486). Ho provato
allora con tutte le porte aperte di NT cercando di allagarle tutte, ma tutti
i servizi funzionavano ancora.
Dal punto di vista della rete NT lascia molte meno porte aperte per un
eventuale attacco e presenta una capacità nativa di filtering aggiunta all'
autenticazione Kerberos per le macchine appartenenti ad un dominio NT.
Sinceramente mi sembra un lavoro ben fatto, ma questo mi preoccupa molto
visto che NT è anche piuttosto accattivante dal punto di vista grafico e ha
tantissime funzionalità di personalizzazione per i profili e credo che possa
avere un discreto futuro alla faccia di Linux, Solaris e Uni in generale.
Voi avete provato Win2000?
Avete trovato un modo per bloccarlo attraverso la rete come ho provato io o
avete trovato altri metodi?
Ciao
--
UltraSparc

Ti sei chiesto perche' Microsoft sta tardando tanto a rilasciare Win2000 (NT5)?
Hanno capito che, una volta esaurito l'entusismo iniziale, a vendere prodotti
scadenti ci rimettono di piu' che a non venderli.
Se NT5 non fosse all'altezza dei vari Unix la Microsoft perderebbe tutto il
mercato aziendale (quello dei server cui mirano dopo aver conquistato
l'egemonia nel mercato home).
A questo punto preferiscono rimandare il rilascio del prodotto per poter
offrire qualcosa che valga il denaro speso e le informazioni affidate.
Penso che la presenza di Linux abbia contribuito alla scelta.
Da consumatore non posso che rallegrarmene, altro che essere preoccupato!
Per inciso, dalla situazione attuale linux non puo' che migliorare, non penso
che NT5 possa essere un pericolo per il nostro pinguino.
Ciao,
    Antonio

autenticazione Kerberos per le macchine appartenenti ad un dominio NT.
Indovina su quale OS e` stato sviluppato kerberos?
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | "You're one of those condescending Unix computer users!"
      | "Here's a nickel, kid. Get yourself a better computer"  -- Dilbert

 che NT5 possa essere un pericolo per il nostro pinguino.
Assolutamente no.
Ed  il pinguino non č di nessuno. Quindi fra due anni
quando windows 2000 avrą il 9% del mercato, Linux l'89% e gli altri l' 1%
questi altri accuseranno di nuovo M$ di monopolismo.....
Saluti.

Cos'e', hai fatto un'overdose di merendine?
Ciao,
    Antonio

 Indovina su quale OS e` stato sviluppato kerberos?
Non è un problema quale sia l' OS utilizzato. Il problema è che io non
conosco un sistema per utilizzare l' autenticazione Kerberos sulle macchine
Unix sui vari servizi eccezion fatta per l' X server e le NIS e NIS+ che
però utilizzano l' autenticazione DES.
Comunque ieri sono riuscito ad inchiodare Win2000 professional utilizzando
il programma giusto (ma non ha fatto schermo blu e mi ha permesso dopo circa
10 minuti di combinazioni di tasti a chiudere l' applicativo che lo
attaccava (usavo il loopback per le prove fuori rete)) . Oggi devo provare
lo stesso programma sulla versione server.
Per quello che riguarda il tcp_syncookies di Linux non credo sia un sistema
veramente efficente se attaccato con i mezzi giusti. Ma farò delle prove e
vi farò sapere come vanno. Ad ogni modo esiste un modo per attivarlo anche
su Solaris?
Ciao
UltraSparc

 Cos'e', hai fatto un'overdose di merendine?
No. Mi sono mangiato un ciambellone intero (fatto rigorosamente in casa).
--
Saluti e Salute a Tutti.
For reply e-mail: mc6491@_
rmvme_mclink.it

 che NT5 possa essere un pericolo per il nostro pinguino.
In molte situazioni domenstiche NT prende piede e se NT5 ancora gira come
sembra (anche se ammetto di avere avuto poco tempo per fare prove) per Linux
sono cazzi acidi. A parte la semplicità estenuante di installazione, la
presenza di driver per ogni tipo di scheda, la perfetta funzionalità sui
notebook (comprese tutte le funzionalità di risparmio energetico), il plug &
play finalmente in versione decente e il fatto che ci girino i giochi tutti
elettronici c'e' nuovamente l' accativante grafica e un ottima compatibilità
verso il basso. L' unica cosa forse ancora scadente è NTFS che non mi sembra
presenti particolari innovazioni ma gestisce le quote e i filesystem
montabili. Anche il numero di riavvi su modifiche delle impostazioni  è
decisamente calato.
Risposte molto chiare ai limiti di linux che diciamocelo è ancora poco
maturo (ma per certi aspetti più versatile) rispetto ad altri sistemi unix
decisamente più affidabili e performanti (leggi Solaris).
Resta da vedere quanto tempo NT5 in ambiente aziendale resta in piedi con
carichi di lavoro piuttosto pesanti, ma anche per questo cercherò di fare
delle prove.
Ciao
UltraSparc


Non direi, una politica di firewall allow-any e' sicura(/insicura) quanto una
deny-any.
Tutto dipende da come configuri il sistema, dalla perizia dell'amministratore.
Per inciso,.penso che nessuno si fidi ciecamente dell'ip-filtering.
Ciao,
    Antonio

questi altri accuseranno di nuovo M$ di monopolismo.....
Vorrei avere lo stesso entusiasmo, e invece credo che le cose ci
metteranno molto più tempo per cambiare...
--
Sm3P
"Ninetta mia crepare di maggio, ci vuole tanto troppo coraggio,
 Ninetta bella dritto all'inferno, avrei preferito andarci d'inverno."

     Antonio
Proprio per questo credo che sia un' ottima cosa avere la possibilità di
fare autenticazione su tutto il traffico IP entrante. Windows 2000 ha questa
possibilità, ma Unix? E' possibile farlo senza software aggiuntivo piuttosto
costoso?
Ciao
UltraSparc

UltraSparc wrote:

Si, OpenBSD lo fa.
Sto per mettere su un firewall/stronghold basato appunto su OpenBSD e sto
approfondendo la cosa.
Ciao,
    Antonio

 ha scritto nel messaggio
news:3826D702...@iol.it...


Ho scoperto che la cosa è fattibile anche con solaris 2.6 e 2.7 ed il
pacchetto Solaris Easy Access Server versione 3.0
Il pacchetto fornisce autenticazione Kerberos per tutti i servizi
ftp/r*/telnet/NFS
Da Solaris 2.8 tutto questo sarà integrato nel sistema operativo!!!
Maggiori informazioni su 
http://www.sun.com/solaris/ds/ds-seamss/
Ciao


 Maggiori informazioni su 
http://www.sun.com/solaris/ds/ds-seamss/
Forse non ho capito il problema. Se ti interessa l'autenticazione forte
delle connessioni ftp/r*/telnet/NFS puoi sempre usare le implementazioni
sopra ssh/ssl (io preferisco il secondo) e quelle Kerberos
tranquillamente disponibili per *nix (e Solaris) da anni.
Avevo invece interpretato la frase "fare autenticazione di tutto il
traffico IP entrante" esattamente alla lettera e in questo caso quello
che ti serve e' una implementazione di IPsec/AH, anche quella
disponibile in vari stadi di implementazione per diverse piattaforme
*nix. Certamente in maniera sufficientemente completa per i quattro
*BSD*, oltre che come gia detto, per win2k.
Ciao
Lele


possibilità, ma Unix? E' possibile farlo senza software aggiuntivo piuttosto
Ci sono diversi pacchetti liberi che implementano IPsec e cose simili
anche per linux.


veramente efficente se attaccato con i mezzi giusti. Ma farň delle prove e
Cazzate. I SYN cookies sono il sistema migliore per proteggersi dai SYN
flood. Se non sei d'accordo prendi il paper di Bernstein e confutalo.


 questi altri accuseranno di nuovo M$ di monopolismo.....
:-) ...
-- 
                                                                     __
 __                                                              _  ///
| _        Student in Computer Science, Swiss Federal Institute  \\///
|__|iambo      of Technology - mailto:
ggia...@iiic.ethz.ch
       \X/

 Lele
Effettivamente le cose non sono molto chiare nemmeno a me. Per cercare di
capire il problema ho aperto una chiamata in Sun per chiedere come abilitare
l' autenticazione Kerberos sul traffico Ip entrante e loro mi hanno risposto
che esiste la possibilità di farlo su alcuni servizi quali ftp e bla bla
bla. Pensavo quindi di aver ricevuto una risposta completa, ma a quanto pare
mi sbagliavo e soprattutto si sbagliavano..
Comunque potresti suggerirmi un sito dove trovare alcune di queste
implementazioni di IPsec/AH per linux e solaris?
Grazie
UltraSparc

 Red Hat mi risulta che di default installi postfix, 
La 6.1 no :-(
-- 
Vincent

 servizio e` disponibile anche in versione kerberizzata.
Credo di essere qui per imparare qualcosa che non conosco. Se volessi essere
tanto gentile da aiutarmi con risposte un po' più eloquenti..
Ciao
UltraSparc

 implementazioni di IPsec/AH per linux e solaris?
Per linux guarda Free S/WAN a: 
http://www.xs4all.nl/~freeswan/
. 
Per solaris la cosa migliore e' iscriversi all'Early Access program e
aspettare la 8.
Ciao
Lele

bla. Pensavo quindi di aver ricevuto una risposta completa, ma a quanto pare
A quanto pare non ha capito che kerberos non opera a layer 3.


 UltraSparc
Per IPsec su linux 
http://www.xs4all.nl/~freeswan/
 , su openbsd c'e' di
default, su solaris ci sara' pure.
Peraltro per il kernel linux esistono feature che lo rendono sicuro quanto
openbsd, solo che bisogna raccattare le varie patch.
Comunque mi stupisci, da come hai iniziato il thread sembrava che di queste
cose tu fossi un mega-esperto.
Sei ancora preoccupato da win2000?
Ciao,
    Antonio
P.S.:
    Se ti interessa la sicurezza sotto linux perche' non dai un'occhiata a:
http://www.securityportal.com/lasg/

 
http://www.securityportal.com/lasg/
Ti ringrazio per i link e per le spiegazioni. Purtroppo non sono ancora un
grande esperto, ma sono giovanissimo e fino a 7 mesi fa non conoscevo una
parola di Unix e non avevo mai visto una rete. Credo di aver fatto molti
progressi da allora (spero possiate confermarlo :-) ma purtroppo mi devo
occupare anche di storage in tutte le sue forme (mi è toccato anche un raid
Fibre Channel completamente ridondato), backup e a volte lavoretti di
ordinaria amministrazione come pagine web ecc. Devo confessare (ma l' avrete
gia capito) che il sistema Unix che preferisco è Solaris rispetto ai pochi
altri su cui ho avuto modo di lavorare (HP-UX, AIX, Linux).
Sono contento di aver dato l' impressione di essere un esperto, ma vi chiedo
la cortesia di essere pazienti e di aiutarmi e di non insultarmi :-)))
Ciao
UltraSparc
P.S. Dopo aver letto tutti i vostri messaggi sono meno preoccupato per le
sorti di Win2000

Credo di essere qui per imparare qualcosa che non conosco. Se volessi essere
Veramente se sei qui dovresti discutere di OS, possibilmente con
competenza. Se hai bisogno di fare domande tecniche spostati su
it.comp.linux.setup eccetera.


 it.comp.linux.setup eccetera.
Hai ragione. Scuse
Ciao
UltraSparc

avete trovato altri metodi?
Chissa'.
Leonardo ;-)
P.S. Non ho capito bene cosa c'entri SYN e Kerberos. Per il primo, o prendo
     un granchio, o ti serve IPv6/IPsec/QuelloCheVuoi. Per il secondo, mica
     e' un accidente di IP, il Kerberos. Ci sono applicazioni kerberized di
     tutti i tipi anche per Unix.
Microsoft Outlook: cosa vuoi postare postare postare oggi?

 La 6.1 no :-(
Manco la SuSe 6.1 :-( ...
