Newsgroup: it.comp.os.dibattiti
Titolo: Personal Firweall in Linux ?

Qual è la funzionalità minima che si richiede ad un firewall personale ?
Che impedisca a host esterni di effettuare le connessioni al nostro
computer, mentre permetta al nostro computer di effettuare connessioni a
chiunque vogliamo.
Tradotto in regole iptables (firewall / router sotto Linux 2.4.x):
iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
traduzione:
   - analizza tutti i pacchetti in ingresso (INPUT) provenienti dalla
     connessione di nome ppp0 (che è il nome che Linux dà alla connessione
     con modem)
   - di questi pacchetti, analizza lo stato (-m state)
   - se un pacchetto appartiene ad una nuova connessione, oppure 
     è malformato (--state NEW,INVALID), cancellalo senza inviare
     alcuna risposta (-j DROP)
Quindi i tentativi di connessione alla nostra macchina provenienti da
internet vengono bloccati, mentre le connessioni che partono dalla
nostra macchina verso internet sono consentite.
Piccola sofisticazione: aggiungere una regola di logging per vedere cosa
sta succedendo:
iptables -N logchain
iptables -A logchain -j LOG
iptables -A logchain -j DROP
iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j logchain
Sostanzialmente fa le stesse cose della regola succitata, ma prima di
"cancellare" i pacchetti indesiderati, scrive nel log di sistema cosa va
a cancellare.
In questo modo possiamo sapere da quale indirizzo IP provengono i
pacchetti indesiderati, a quale porta erano diretti, ecc.
(dopo essere entrati come root, digitare tail var/log/messages)
Per testare questa semplice configurazione, ho trovato un sito:
http://scan.sygate.com
che permette di effettuare la scansione del proprio sistema.
Tutti i test proposti dal sito (a parte lo scan ICMP che non è ancora
abilitato) hanno dato esito positivo al 100% (nel senso che la macchina
risulta protetta).
Marcello
-- 
"Linux is built to be used, Windows is built to be sold" (seen in COLAdv)
Visit 
http://www.geocities.com/match_97
marcello (dot) romani (at) libero (dot) it

 risulta protetta).
Era davvero necessario?
Ciao ... Dino

 macchina risulta protetta).
Azz. 
Alla prossima lezione parliamo di stateful & related? Magari si, altrimenti 
ci fa una figuraccia con il firewallino integrato di xp...

 Ciao ... Dino
Ciao


 
Io non volevo dare nessuna lezione, spero solo di essere stato utile a
qualcuno :-)
(capire iptables dalla documentazione che trovi in giro non č
la cosa piů semplice del mondo...)
Cmq il messaggio subliminale č questo: visto che in XP hanno messo un
firewall, ma questo non ha impedito il dilagare di swen & C.
Dico: ma ci voleva tanto a buttare giů due righe simili a quello che ho
scritto io (bloccando cosě gli scan dei worm ?)


 "scannarti" la macchina ? :-)
:D
Ciao ... Dino

 
In realtà stavo pensando a quelle due o tre volte in cui X mi si è
"piantato" nel senso che mouse e tastiera non rispondevano più.
Proprio come in WIndows ;-)
Però se sshd è in ascolto puoi fare login da remoto e sistemare le
cose...
[snip the rest]


 iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
Bhe, anche se è giusta per essere un personal firewall decente si
dovrebbe mettere delle regole per vietare il traffico in transito (catena
di FORWARD) e che i pacchetti in uscita abbiano come ip quello giusto :)
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Lo zero tende talmente a zero che sembra quasi zero (Prof. univ.)


per dirla tutta, in GNU/Linux e` raro che un daemon non t permetta di 
definire su quali interfacce lo vuoi in ascolto
e molti girano sotto inetd che ha gia` access control x IP
ne consegue che filtrare i pacchetti a meno che nn sei paranoico 
come me, in effetti nn serve a molto se le altre cose sono configurate con 
criterio
cmq se si analizza un PC Windows la reale utilita` dei PW e` tutto 
l'opposto: si tratta di bloccare le connessioni NOSTRE. Il pc Windows e` 
pieno di codice maligno, programmi che spiano, programmi che si auto 
aggiornano, worm che attaccano ip a random, ecc... questo e` il lavoro che 
un PW deve fare meglio in Win secondo me..
e cosi` sul momento nn mi sovviene come potrei fare la stessa cosa in 
GNU/Linux... x fortuna nn ce n'e` bisogno...
-- 
    Pardo
 
http://pardo.cjb.net
 
    PGP pub key ID: 3FC56534 (available on 
pgp.mit.edu
 & @ my website)

 GNU/Linux... x fortuna nn ce n'e` bisogno...
Se tutto e' configurato bene e patchato il pw non serve.
Ciao ... Dino

 
Potenza dell'Open Source...


 
Il forwarding è disabilitato di default
(vedi /proc/sys/net/ipv4/ip_forward, e
/usr/src/linux/Documentation/networking/ip-sysctl.txt)
Per la seconda cosa, così su due piedi non saprei...
Su Linux, come ha giustamente fatto notare Pardo, non è un problema di
cui preoccuparsi; su Windows, beh si pone il problema delle connessioni
in uscita non autorizzate, che il mio script non copre minimamente.
Il punto cmq è che già una semplicissima riga ti protegge dai portscan,
dai ping, e dalle connessioni dall'esterno (p. es. da parte di un worm).
Meglio di niente.
Certo, è solo un inizio... :-)
Se su WinXP fosse possibile una cosa del genere, e fosse attivo di
default, sarebbe già un bel passo avanti...


 +
+ Powered by Debian Sarge  +
++++++++++++++++++++++++++++

 Ma qui usciamo un po' dal personal firewall, che imho non serve a molto.
Imho non del tutto. Voglio dire se tieni presente delle 2000 cose che puoi
fare con iptables, allora una semplice regola messa cosi' e' pressoche'
l'equivalente di un Zone Alarm.
Anche se io pensando alle funzioni di pw avrei citato anche e sopratutto
lo le opzioni della famiglia owner :))))


 tutelare la sicurezza... :))))
Io lo elencherei fra le 10 cazzate di questo newsgroup (che fra l'altro di 
solito si difende bene)
Che problema c'è con rpc bacato di windows? E che cosa vorresti fare, forse 
un bel port redirection della porta 135 sulla macchina bacata? (dimmi che 
ho capito male...).

 default, sarebbe già un bel passo avanti...
Su Windows XP il firewall integrato è attivo di default sulle connessioni
dialup.
Giusto la settimana scorsa ho rifatto una macchina windows xp e ho creato la
connessione adsl disattivando il firewall perchè tanto avrei messo
zonealarm. In esattamente 6 minuti dalla connessione ho preso Blaster.
-- 
"It is not enough to succeed.  Others must fail."
Linux Registered User #301571, running Gentoo
Memeber of Luganega - Linux User Group Crema (IT)
http://filibusta.crema.unimi.it/

 Qual č la funzionalitą minima che si richiede ad un firewall personale ?
Dipende dai servizi che vuoi avere sul computer.
Mi perplime alquanto il fatto che su un "personal"
serva addirittura un firewall...
Voglio dire: cosa hai? ftp? http? nfs?
bye,
-- 
piergiorgio

 
man iptables:
--cmd-owner <name>
    la regola č soddisfatta se il pacchetto č creato da un processo con
    il comando dato (questa opzione č presente solo se iptables č stato
    compilato su un kernel che supporta questa caratteristica)
Non l'ho ancora provata, ma mi sembra la cosa piů simile a quello che
fanno i vari ZoneAlarm, Norton Firewall, ecc. (cioč permettere solo a
determinati processi di emettere pacchetti).


 
Stavo proprio pensando a questo genere di cose quando sostenevo
l'utilità di bloccare le connessioni provenienti dall'esterno...


 
Per l'esattezza:
Starting nmap V. 3.00 ( 
www.insecure.org/nmap/
 )
Interesting ports on main (192.168.1.1):
(The 1594 ports scanned but not shown below are in state: closed)
Port       State       Service
22/tcp     open        ssh
80/tcp     open        http
443/tcp    open        https
631/tcp    open        ipp
3306/tcp   open        mysql
6000/tcp   open        X11
10000/tcp  open        snet-sensor-mgmt (in realtà è webmin)
Perché ti perplime ? 
Se uno ad esempio sviluppa siti internet li vorrà provare con apache,
se sviluppa database, avvierà mysql o postgres, o quant'altro,
(tra l'altro non c'è bisogno di essere degli sviluppatori, magari si fa
semplicemente esercizio...)
webmin è un'interfaccia web alla configurazione del sistema, che trovo
comodo mantenere attiva,
X11 no comment
ssh mi è stato comodo in un paio di occasioni in cui mouse e tastiera
hanno smesso di rispondere
ipp: beh, trovo comodo avviare il sistema di stampa (CUPS) al boot; non
sarebbe strettamente necessario, ma tant'è,
nfs: l'ho attivato qualche volta per installare slackware su un vecchio
486 tramite network-install
spesso uso samba per condividere files con un vecchio pc win95 che ho in
rete col mio PC Linux.
Il fatto che una macchina sia un "personal computer" non ha nessuna
relazione IMHO con la quantità o il tipo di applicazioni, client o
server che siano, che ci puoi far girare sopra.
Non siamo più nell'era dei 386 con 4 MB di RAM.
Ciao


 
Mi sono espresso male...
Volevo dire che se di default il firewall di XP implementasse una regola
equivalente a quella che ho riportato io, uno sarebbe protetto almeno
dagli scan che alcuni worm fanno per cercare macchine vulnerabili.
Nel discorso ho spesso mischiato Win e Linux perché si stava discutendo
in generale sull'utilità, per un firewall personale, di bloccare le
connessioni provenienti dall'esterno (ma anche gli scan, i pacchetti
ICMP, ecc.)


 porta.
Ok. Non avevo capito che stavi contestando e non confermando.

 vulnerabili. 
Il firewall di XP fa esattamente questo di default che più default non si 
può.
Peccato non saperlo...


Mah, su un portatile Compaq con XP ho visto comparire dei messaggi
pop-up con proposte indecenti (tipo spam mail).
Se non ricordo male, non erano triggerati da un virus insidiatosi nel
sistema, ma direttamente via rete.
Poi c'è il discorso RPC vulnerability.
Se è vero ciò che dici (cioè che il fw di XP è impostato di default in
modo equivalente al mio micro script) come può una macchina subire un
attacco al demone RPC da internet ?


Basta che non ce l'abbia attivato. Di fatto con il firewall di XP sei a
posto da questo tipo di attacchi.

 attacco al demone RPC da internet ?
Connessione internet -> Tasto destro ->Prorietà ->Avanzate
E' o non è attivo il firewall? 
Se no, stiamo parlando di una frittura d'aria. Se si, non è possibile che 
la macchina possa aver subito un attacco al demone rpc da internet(*) 
perchè quel semplice firewall non fa passare nulla. 
(*) non esclude che il worm provenga da un'altra macchina in lan

 Se uno ad esempio sviluppa siti internet li vorrà provare con apache,
[...]
Se hai una sottorete attaccata, allora non e` piu`
tanto "personal".
Per esempio potrebbe essere, nel caso che descrivi
tu "development".
bye,
-- 
   Piergiorgio Sartor

 bye,


 
Ci vorrebbeo un worm "benigno" (ce n'è stato uno che scaricava una patch
sul computer) che attivasse il firewall e poi si auto-cancellasse dal
sistema...


 che il firewall non serve.
Non esageriamo, io per esempio use leafnode, ma e`
eseguito da xinetd che e` protetto dal tcp wrapper.
Usando xinetd ho un unico entry point per i vari
servizi, poi tcp wrappers protegge il servizio.
Tra l'altro xinetd consente il binding...
Se non mi aspetto connessioni multiple con possibilita`
di servizi esterni e controlli vari, mi sembra sia la
soluzione migliore per un "personal".
Se, invece, devi simulare o provare tutta la baracca,
allora vada anche per il firewall, solo che se non e`
necessario, non lo userei...
bye,
-- 
   Piergiorgio Sartor

 
Come dicevo altrove, de gustibus... :-)
Comunque io continuo a ritenere che la soluzione del firewall metta
maggiormente al riparo da malintenzionati perché blocca anche gli
eventuali scan.
Supponi che si scopra una vulnerabilitŕ di xinetd che permette una
privilege escalation. Che succede ?
Che il fatto che tentando di connettersi xinetd rifiuti la connessione
grazie a hosts.deny diventa irrilevante.
L'attacker prova l'exploit e "penetra" in xinetd. A quel punto...
Se invece l'attacker non vede alcuna porta aperta, o prova un exploit
contro il firewall, o lascia perdere.
[ Penso che questo discorso mi ponga dritto dritto nella categoria dei
"paranoici" :-) ]


 
Infatti non capisco proprio come abbiano potuto non attivarlo!!
Ma del resto ci hanno abituato a impostazioni non proprio sensate, come
l'attivazione del demone RPC, e del servizio UPnP: oltre a essere
inutili per un utente nella maggioranza dei casi, li hanno anche fatti
belli bacati cosicché si è creato un bel brodo di coltura per i virus...
ma lo fanno apposta ? :-))


 fosse attivo di default, invece che da attivare appositamente.
Quando crei una connessione nuova mi risulta lo sia.
Saluti.

 "paranoici" :-) ]
No, dato che ti affidi al FW, che, come il resto,
potrebbe essere fallace o fallato.
bye,
-- 
   Piergiorgio Sartor

 bye,


 
Sono completamente d'accordo.


 Vabbe', però di questo passo non usciamo neanche di casa :-)
Infatti, ripeto, se avessi un computer development non lo
attaccherei in rete...
bye,
-- 
   Piergiorgio Sartor

 bye,


 ma di fare un po' di sviluppo sul proprio personal...
Tutto, vero, quello che volevo dire e` che ogni
problema ha la sua soluzione (migliore).
Se uso il PC per navigare in internet, cerchero`
di non avere servizi che vi girano su (tipo httpd).
Se uso il PC per sviluppare, magari lo scollego
dalla rete, onde evitare potenziali problemi.
Certo uno puo` avere un FW sulla macchina, ma
la domanda e`: ne vale la pena?
Vale la pena avere tutti i servizi sempre attivi,
anche se si useranno solo in certi momenti?
Vale la pena avere essere in internet 24/24 7/7,
anche se si usera` la connessione solo in certi
momenti?
A mio avviso no, quindi un FW per proteggersi quando
si sviluppa un qualcosa mi suona quantomeno strano.
Un FW per proteggersi quando semplicemente si naviga,
mi suona ancora piu` strano...
Poi uno potrebbe anche dire che vuole provare a
gestire il FW, niente di male, sempre un'esperienza e`...
bye,
-- 
   Piergiorgio Sartor

 
Secondo me hai una concezione troppo rigida dell'uso dei computer.
Se un sistema è "di sviluppo", lo scollego dalla rete, se sto
"navigando" non lascio attivi server di rete...
Chi decide se "vale la pena" o no ?
Non lo si può certo sentenziare a priori.
Ognuno valuta in base ai propri desideri/bisogni/possiblità


 attivo di default, invece che da attivare appositamente.
Hai windows XP?
Prova a creare una nuova connessione.

 lontano da windows e ne sono contento...
Tuo diritto. L'importante e' non dire inesattezze.
Saluti.

 abbiano tolto il fw.
Sai, non e' cosi' difficile come sembra.
Saluti.

 Non lo si può certo sentenziare a priori.
Ovvio, infatti ti sto dicendo che _secondo me_
non ne vale la pena.
bye,
-- 
   Piergiorgio Sartor

 
De gustibus, appunto... :-)


 tempo fa e poi lui si e' scordato.
Ci aggiungerei anche i cd di installazione dei provider che a quanto so
creano connessioni non firewallate.. ma non ho mai provato ed ha
attendibilita' ZERO.
Saluti.

 evidentemente ricordavo male.
Per punizione 12 installazioni di Visual Studio .net :)
Saluti.

 tolto il fw.
Con il fw attivo alcuni p2p non funzionano correttamente, e tu non sai 
quanto il bisognino faccia trottare la vecchia...
 

 Per punizione 12 installazioni di Visual Studio .net :)
E che punizione sarebbe? Meglio una installazione sola di Office 6 su 
floppy, con dischi "probabilmente" copiati. Ricordo ancora quando l'ho 
dovuto installare... dover cliccare "continua" ad ogni cazzo di file, e 
il problema era che l'Office era originale.
-- 
                Davide Inglima, limaCAT
"Mana Is Rapidly disappearing from the Earth, even the"
    "mana tree has begun to wither" Seiken Densetsu 3
            mailto:
hades...@despammed.com
 
http://limacat.blogspot.com
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 e il problema era che l'Office era originale.
Da CD ci ho messo  quasi 2 ore. DUE.
Saluti.