Newsgroup: it.comp.os.dibattiti
Titolo: C2

Linux и andato in C2?
Ma no quello и ancora in promozione. E' NT che salito alla classe di
sicurezza C2.
тащтащlf#@#аиp+
e daie, fateme scherzare 'n po', senno' che barba!
Comunque.
Sottolineo, per adeguare NT, alle specifiche dell'Orange Book bisogna
apportare delle piccole modifiche o con una banalissima interfaccia che
ti guida attraverso le varie operazioni o modificando le chiavi del
registro (e qui sottolineo: la seconda opzione la conosco da molto
tempo)
Problema: и impossibile per la mente umana ricordarsi le chiavi del
registro di Window, specialmente quando, per fare una operazione di
questo tipo, bisogna modificarne parecchie. Vogliamo fare i saputelli?
Vabbe', allora vi imbroglio che mi ricordo tutte le chiavi del registro.
Mettiamo i piedi per terra: conviene usare l'interfaccia.
segue commento su NT e C2 reperito qua e la ... e ovviamente, riferito a
NT 4 ... ve lo dico io, visto che trattasi di dosumentazione su NT4.
C2 Security
The National Computer Security Center (NCSC) is the United States
government agency responsible for performing software product security
evaluations. These evaluations are carried out against a set of
requirements outlined in the NCSC publication Department of Defense
Trusted Computer System Evaluation Criteria, which is commonly referred
to as the Orange Book. Windows NT has been successfully evaluated by the
NCSC at the C2 level as defined in the Orange Book.
Because Windows NT supports C2 Level security, the workstation must be
configured appropriately to apply this. Additionally, Windows NT
supports security features that are not required to meet C2 Level
security. The Windows NT C2 Security System Administrators Guide
provides information on how to define and implement security on your
system and should be reviewed for more information.
-- 
Ciao ....
       Massimiliano ADAMO
    E-mail: 
maxa...@usa.net

Max_Adamo (
maxa...@tin.it
) wrote:
: Comunque.
: Sottolineo, per adeguare NT, alle specifiche dell'Orange Book bisogna
: apportare delle piccole modifiche o con una banalissima interfaccia che
: ti guida attraverso le varie operazioni o modificando le chiavi del
: registro (e qui sottolineo: la seconda opzione la conosco da molto
: tempo)
La vuoi capire che la C2 e' una classificazione del cavolo ? Prima c'e' solo la
D, che e' il DOS la scala e'
A2 -> la maggiore, non implementabile con le tecnologie attuali
A1
B2
B1
C2 ----> NT
C1
D  -> la piu' bassa
Non mi sembra quel gran che
: Problema: è impossibile per la mente umana ricordarsi le chiavi del
: registro di Window, specialmente quando, per fare una operazione di
: questo tipo, bisogna modificarne parecchie. Vogliamo fare i saputelli?
: Vabbe', allora vi imbroglio che mi ricordo tutte le chiavi del registro.
: Mettiamo i piedi per terra: conviene usare l'interfaccia.
Oppure i file di ascii in un formato leggibile anche da un essere umano,
non e' meglio ?
: segue commento su NT e C2 reperito qua e la ... e ovviamente, riferito a
: NT 4 ... ve lo dico io, visto che trattasi di dosumentazione su NT4.
: C2 Security
: The National Computer Security Center (NCSC) is the United States
: government agency responsible for performing software product security
: evaluations. These evaluations are carried out against a set of
Dunque, da quello che mi ricordo pero', l'Orange book dice anche che la 
certificazione non e' estendibile ai PC uguali a quelli certificati... ma
e' passato tanto tempo...
In piu' il livello C2 e' il minimo richiesto per stare negli uffici dei
militari americani...
bye
Gianluca
--
e-mail 
gian...@pluto.linux.it
        Member of the Pluto Linux User Group

עאשעאשlf#@#אטp+
Max, la certificazione C2 di NT e' stata riconosciuta come una presa
per il sedere da un bel po' di tempo e vale come una manciata di
polvere di caffe'. NT puo' essere certificato C2 se non in rete, il
che la dice lunga... e mi pare che un altro po' il requisito fosse...
a macchina spenta <GRIN>.Lascia stare questi argomenti se vuoi
ribattere qualcosa contro Linux, 'che tanto Linux e' comunque sempre
piu' sicuro di un qualunque NT che nonostante i service pack ha buchi
grandi quanto il 'back orifice' di una pornostar.

 e' passato tanto tempo...
Scusa la mia ignoranza ma non ho capito. Che significa?
Che su una stessa rete, se ci sono dei PC identici, non possono essere
certificati?
-- 
Ciao .....
....          Massimiliano ADAMO
           Email: 
maxa...@usa.net

 sicurezza C2.
Se vuoi ti spiego come funziona la certificazione di sicurezza TCSEC.
In breve, intanto certifica sistemi INTERI, quindi NT non e' certificato
C2, ma CERTIFICABILE C2. Per essere "certificato" deve essere su un
sistema harware anche esso certificabile, e l'insieme deve essere
validato secondo una precisa procedura. L'attestazione di cui parli per
NT e' solo una scorciatoia, che consente di validare rapidamente il
sistema quando il SO e' tra quelli noti. Se io ho un sistema
certificabile e ci monto su NT allora la procedura NON verifica il
sistema operativo perche e' stato verificato una volta per tutte in
laboratorio.
In particolare la cosa riguarda le commesse per gli enti governativi e
militari, molti dei quali richiedono la classificazione TCSEC per essere
acquistati.
Linux non e' certificabile C2, e ti dico gia subito che non lo sara' mai
in senso generale, non esiste "un linux" come c'e' "un NT 4.0", sai bene
che Linux e' un kernel a cui intorno si appiccicano delle utility per
fare una distribuzione. Se qualcuno volesse impegnarci dei soldi
potrebbe vare validare una propria distribuzione di Linux. Oppure un
utente finale potrebbe addirittura fare validare la propria
installazione.
La certificazione C2 non e' comunque una certificazione generale di
sicurezza. Intanto ha delle richieste relativamente modeste, e poi e'
focalizzata esclusivamente alle procedure di accesso e di protezione dei
dati, all'auditing e all'isolamento delle risorse. Ci sono poche
assunzioni sull'interfaccia con le applicazioni, ancor meno sulle
applicazioni stesse. E, poi, in particolare, la sicurezza C2 si applica
a macchine NON CONNESSE IN RETE.
Diverse societa' che effettuano validazioni nel campo della sicurezza
hanno espresso un sacco di dubbi su questi ultimi aspetti dei NT. In
particolare molte delle API undocomented di NT (le stesse che usano i
programmi MS per andare piu veloci dei concorrenti :) sarebbero piene
all'inverosimile di buffer overflow e di altri clamorosi buchi di
sicurezza. 
Tempo fa su NTBugtraq sono passati persono dei disassemblati di parti
dell'AP di NT in cui si faceva nontare la scarsa cura nel check della
consistenza dei parametri passati.
Il problema e' che un utente finale con in mano un NetBSD che ha forti
esigenze di sicurezza e molti soldi da investirci, puo volendo validare,
o far validare da esperti in sicurezza, tutto il sistema operativo,
esaminando tutte le chiamate al sistema per questo genere di problemi.
Con NT non si puo. Non solo non hai i sorgenti (che e' anche legittimo),
ma non sai nemmeno quante e quali sono le chiamate, perche' MS ne
documenta solo una parte.
Ti assicuro che se avessi davvero l'esigenza di installare un sistema
certificato cercherei in casa TIS, HP o Sun. Se avessi bisogno un
sistema "ragionevolmente sicuro" OpenBSD senza pensarci su. Trusted
Solaris se avessi da spendere soldi.
Saluti
Lele

 NT puo' essere certificato C2 se non in rete, 
Basta non installare software di rete ....


Max_Adamo (
maxa...@tin.it
) wrote:
: > Dunque, da quello che mi ricordo pero', l'Orange book dice anche che la
: > certificazione non e' estendibile ai PC uguali a quelli certificati... ma
: > e' passato tanto tempo...
: Scusa la mia ignoranza ma non ho capito. Che significa?
: Che su una stessa rete, se ci sono dei PC identici, non possono essere
: certificati?
No, vuol dire che se hai diciamo 100 PC tutti uguali (stesse periferiche,
praticamente delle fotocopie) devi andare da chi fa la certificazione con tutti
e 100 i PC.
In pratica non vale il discorso "io ne faccio certificare uno, poi, dato che 
sono tutti uguali, automaticamente sono certificati tutti"


Max_Adamo (
maxa...@tin.it
) wrote:
: > NT puo' essere certificato C2 se non in rete, 
: Basta non installare software di rete ....
E cosa te ne fai di NT server se non lo metti in rete ?


Lele Forzani (
le...@windmill.ibn.it
) wrote:
: Diverse societa' che effettuano validazioni nel campo della sicurezza
: hanno espresso un sacco di dubbi su questi ultimi aspetti dei NT. In
: particolare molte delle API undocomented di NT (le stesse che usano i
: programmi MS per andare piu veloci dei concorrenti :) sarebbero piene
: all'inverosimile di buffer overflow e di altri clamorosi buchi di
: sicurezza. 
: Tempo fa su NTBugtraq sono passati persono dei disassemblati di parti
: dell'AP di NT in cui si faceva nontare la scarsa cura nel check della
: consistenza dei parametri passati.
Ma dai, il buon Max Adamo sicuramente sapra' che l'API di secondo livello
che crea i processi non controlla i parametri ed e' richiamabile da un 
programma utente...
Ok mi sono espresso male, dunque, NT per creare un processo usa una API. E 
fino a qui nulla di strano. I guai cominciano adesso, la API controlla i 
parametri ricevuti ed in caso siano corretti chiama un'altra serie di API
(quelle che io ho chiamato di secondo livello) le quali, partendo dal 
pressuposto che sono chiamate da un'API che controlla i parametri, non 
controllano i parametri e fanno quello che devono fare. Ancora tutto ok.
Gabola: queste API di secondo livello, possono essere chiamate _anche_ 
direttamente da programma utente... e non controllando i parametri ricevuti...
devo continuare Max ?
(fonte Ken Thompson)


 E cosa te ne fai di NT server se non lo metti in rete ?
No, mailnteso: lo puoi mettere in rete, ma non puoi installare software
di rete, cioe', non puoi usarlo come application server.


 programma utente...
Infatti: vedi precedente messaggio.
Non ero nel dettaglio di questa situazione, comunque, e' specificato
che, anche se NT e' in rete, NON deve essere installato software di
rete, cioe', niente application server.


Basta non installare software di rete ....
Si peccato che m$ allora prenda per i fondelli quelli cui dice che
possa fare da server di rete.

 possa fare da server di rete.
Il File Server o altro si puo' fare benissimo. Quello che non e'
possibile fare e' un Application Server.
Il perche', dipende dal funzionamento delle API, e l'ho appena appreso
dal post di Gianluca.


 controllano i parametri e fanno quello che devono fare. Ancora tutto ok.
E non stiamo parlando di una, due, tre, cinque, sette, undici funzioni,
stiamo parlando di *migliaia* di funzioni.  Vantiamoci di avere milioni
di righe di codice... :)
Saluti
Lele

Max_Adamo (
maxa...@tin.it
) wrote:
: > >Basta non installare software di rete ....
: > Si peccato che m$ allora prenda per i fondelli quelli cui dice che
: > possa fare da server di rete.
: Il File Server o altro si puo' fare benissimo. Quello che non e'
: possibile fare e' un Application Server.
: Il perche', dipende dal funzionamento delle API, e l'ho appena appreso
: dal post di Gianluca.
No. Neanche File Server, perche' presuppone l'installazione della rete.
Altrimenti come fai a fare un server ?


Max_Adamo (
maxa...@tin.it
) wrote:
: > Ma dai, il buon Max Adamo sicuramente sapra' che l'API di secondo livello
: > che crea i processi non controlla i parametri ed e' richiamabile da un
: > programma utente...
: Infatti: vedi precedente messaggio.
: Non ero nel dettaglio di questa situazione, comunque, e' specificato
: che, anche se NT e' in rete, NON deve essere installato software di
: rete, cioe', niente application server.
Vermante l'Orange Book specifica che non ci deve essere la connessione fisica
di rete.
Che cosa fai con un PC collegato in rete ma senza il software di rete ?
Soprattutto se e' NT server


Max_Adamo (
maxa...@tin.it
) wrote:
: gianluca wrote:
: > 
: > Max_Adamo (
maxa...@tin.it
) wrote:
: > 
: > : > NT puo' essere certificato C2 se non in rete,
: > 
: > : Basta non installare software di rete ....
: > 
: > E cosa te ne fai di NT server se non lo metti in rete ?
: No, mailnteso: lo puoi mettere in rete, ma non puoi installare software
: di rete, cioe', non puoi usarlo come application server.
No, no e poi no. Non deve essere neanche collegato in rete.



Ma è una restrizione valida solo per NT o generale per tutti i PC che devono
passare questo benedetto test di sicurezza?
Se è una restrizione generale, ci devono essere un sacco di marines che
corrono per gli uffici con un dischetto in mano!
---
Valter Minute
min...@fortech.it
 (the reply address of this message is invalid)
---
Are you looking for a good freeware ScreenSaver? Try FOYD!
http://hotfiles.zdnet.com/cgi-bin/texis/swlib/hotfiles/getit.bin?fcode=000PZ
0
if you want, I can send you the (free) C++ source code.

 Altrimenti come fai a fare un server ?
Purtroppo non sono in grado di entrare nel dettaglio del funzionamento
delle API, ma a quanto pare su queste cose tu sei più informato di me.
Quello che so io è quello che è riposrtato nei manuali che leggo sempre:
C2 in rete è ottenibile a patto che non si installi software di rete.


ve lo dico io, visto che trattasi di dosumentazione su NT4.
Confermo, impossibile. basta fare un giro sul sito del National
Computer Security Center (
www.radium.ncsc.mil
) per vedere che l'unica
versione certificata di NT e' la 3.5 SP3. Oltretutto, priva di rete
('A network configuration of the Windows NT platform is currently
pending evaluation agreement.' 31 July 1995 perche' ho il sospetto che
non sia passato al test???)
Obelix

NCSC at the C2 level as defined in the Orange Book.
Hanno passato la 4.0?? perche' fino al mese scorso, solo la 3.51
server era c2 ...
Obelix

 corrono per gli uffici con un dischetto in mano!
NO. Non è vero che ho letto questo post e mi sono messo a ridere. Non
credete a quello che vi viene raccontato.


 server era c2 ...
Nella lista del TCSEC c'e' ancora solo il 3.51 sp 3.
Saluti
Lele

Il File Server o altro si puo' fare benissimo. Quello che non e'
Come fa a fare da File Server se non e' in rete o quanto meno se non
da' il minimo di sicurezza tale da impedire che qualunque pistola
faccia cio' che gli pare sui files altrui? Siamo seri...

o. Neanche File Server, perche' presuppone l'installazione della rete.
Toh, abbiamo dato la stessa risposta... evidentemente e' vero :-))

Max_Adamo (
maxa...@tin.it
) wrote:
: > Ma è una restrizione valida solo per NT o generale per tutti i PC che devono
: > passare questo benedetto test di sicurezza?
: > 
: > Se è una restrizione generale, ci devono essere un sacco di marines che
: > corrono per gli uffici con un dischetto in mano!
: NO. Non è vero che ho letto questo post e mi sono messo a ridere. Non
: credete a quello che vi viene raccontato.
Vero, credete solo a quello che vedete...


Max_Adamo (
maxa...@tin.it
) wrote:
: > No. Neanche File Server, perche' presuppone l'installazione della rete.
: > Altrimenti come fai a fare un server ?
: Purtroppo non sono in grado di entrare nel dettaglio del funzionamento
: delle API, ma a quanto pare su queste cose tu sei più informato di me.
: Quello che so io è quello che è riposrtato nei manuali che leggo sempre:
: C2 in rete è ottenibile a patto che non si installi software di rete.
Senti io posso capire il tuo amore per M$, ma cazzarola, come fai a dire
"C2 in rete è ottenibile a patto che non si installi software di rete."
Come fai ad andare in rete senza installarre software di rete ?
Ma lo capisci l'italiano ?


Valter Minute (min...@REMOVEMEfortech.it) wrote:
: Ma č una restrizione valida solo per NT o generale per tutti i PC che devono
: passare questo benedetto test di sicurezza?
: Se č una restrizione generale, ci devono essere un sacco di marines che
: corrono per gli uffici con un dischetto in mano!
Per tutti. Le specifiche sono generali, non tagliate su un singolo tipo di SW.
Poi, dato che comunque serve anche la rete, ci sono altri livelli di 
sicurezza.
