Newsgroup: it.comp.sicurezza.unix
Titolo: criptaggio dati in rete

 nel lavoro... come li proteggo da eventuali `sniffatori'?
Uno switch
Andy

Uno switch
ehh Andy... vedrai che adesso interviene AloR in persona, ma cmq,
prevengo...
Mai visto ettercap? 
ettercap.sourceforge.net
, alla faccia degli
switch...
L'unica risposta possibile e' canali di comunicazione protetti (vpn,
tunnel ssh o simile), noway.
saluti
-- 
The software said it requires Windows 95 or better, so I installed Linux
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

Ho saputo che con ssh o vtun si possono creare tunnel
ip over ip cifrati.
ssh puo' cifrare anche il protocollo ppp di pppd cosi'
puoi sistemare il routing in modo che sulla rete di 
trasporto passi solo ssh e tutte le sessioni di lavoro via
interfacce pppX.
Altrimenti 
vtun.sourceforge.net
.
semplicissimo da configurare.
Kerberos l' ho visto citato sullo Stewens come server di
autenticazione, ma non so se e' cio' che cerchi.
Inoltre c' e' la possibilita' di IP sec, ma non ti so aiutare.
Ciao
Roberto

 tunnel ssh o simile), noway.
cmq stai attento che anche ssh1 te lo sniffa... ;)
consiglio ? 
VPN (per ora... ancora non abbiamo fatto ricerche in merito...)
SSH2 (non si puo' proprio sniffare...)
bye


mai sentito parlare di arp poisoning ??
dai uno sguardo a 
http://ettercap.sourceforge.net
lo switch gli fa una pippa !! te lo sniffa comunque !!
bye


ALoR, tu codi bene, io ho dalla mia la "saggeZZa(c)" :-))
Cmq, i benefici di uno switch possono essere di vario genere (riduzione
del broadcast, tuning delle singole porte e cazzi vari), ma come dici
correttamente tu, con la sicurezza non fanno differenza, lo dimostra il
tuo simpatico programmillo - e ne approfitto ora per farti i
complimenti, l'ho messo nei miei best tool insieme a nessus, hping e
nmap. :-))
-- 
Confidence is the feeling you have before you understand the situation.


 nmap. :-))
wow che onore... 
bye

 bye
Sono un fan di ettercap, ed inoltre pur di saper programmare anche
centomila volte meno bene dell'autore di ettercap sarei disposto a
cedere il certamente poco usato ma comunque onesto valido ed affidabile
testicolo sinistro. Cio' detto vi sono due considerazioni:
1) Perche' ettercap funzioni (almeno a me), bisogna avere accesso
diretto alla scheda di rete, il che significa che il programma
dev'essere almeno suid, il che significa che uno deve avere la password
di root nella ws locale, ed in una rete ben fatta anche nelle
workstation questa password l'utente non ce l'ha.
2) Mi par di ricordare esistano switch con porte vincolabili, due anni
fa ne ho avuto un del genere per le mani. Si lascia li' lo switch un
paio d'ore, questo associa a tale porta tale inidrizzo MAC (mi pare la
procedura si chiami Mac learning dello switch) dopodiche' si rende fissa
quest'associazione e le porte non usate si disabilitano (mi pare basti
settare l'opzione "disable Mac learning"). Con quest'accorgimento anche
se uno arriva col portatile con dentro il suo ettercap non dovrebbe
riuscire a combinare nulla, lo switch dovrebbe tagliare tutte le
comunicazioni che non rispettino la tabella porta-mac address che lui ha
memorizzato all'inizio e che ora e' fissa ed immodificabile.
L'arp poisoning (la cui idea di fondo e' comunque geniale) dovrebbe
quindi essere bloccato dallo switch.
E' evidente che puo' anche essere che io ricordi male o semplicemente
non abbia mai capito un cazzo, ma e' la vita.
Stammi bene,
b.

 
Rileggendo forse non si capisce bene: l'arp poisoning in tali condizioni
di "learning disabled" dello switch non funziona se fatto da poratatile
o comunque da una macchina che uno porta da casa (dove ovviamente ha
password di root o ha accesso diretto alle perficeriche, come in win95)
con scheda di rete non nelle tabelle dello switch. Ovvio che se invece
uno hackera la macchina in locale, quella della rete interna, e poi
installa ed usa ettercap, allora non vi sono problemi. Ma comunque e'
necessaria una password di root. 
Credo.
b.

 wrote:
: ALoR wrote:
: 1) Perche' ettercap funzioni (almeno a me), bisogna avere accesso
: diretto alla scheda di rete, il che significa che il programma
: dev'essere almeno suid, il che significa che uno deve avere la password
: di root nella ws locale, ed in una rete ben fatta anche nelle
: workstation questa password l'utente non ce l'ha.
ovvio... almeno sulla tua macchina....
: 2) Mi par di ricordare esistano switch con porte vincolabili, due anni
: fa ne ho avuto un del genere per le mani. Si lascia li' lo switch un
: paio d'ore, questo associa a tale porta tale inidrizzo MAC (mi pare la
: procedura si chiami Mac learning dello switch) dopodiche' si rende fissa
: quest'associazione e le porte non usate si disabilitano (mi pare basti
: settare l'opzione "disable Mac learning"). Con quest'accorgimento anche
: se uno arriva col portatile con dentro il suo ettercap non dovrebbe
: riuscire a combinare nulla, lo switch dovrebbe tagliare tutte le
: comunicazioni che non rispettino la tabella porta-mac address che lui ha
: memorizzato all'inizio e che ora e' fissa ed immodificabile.
: L'arp poisoning (la cui idea di fondo e' comunque geniale) dovrebbe
: quindi essere bloccato dallo switch.
attento che ettercap non poisona lo switch ma solo gli host.
le arp request etc.. sono mandate sempre con il mio mac LEGALE.
quindi lo switch le lascia passare come se niente fosse.
e' l'arp cache dell'host ad essere poisonata....
quindi e' lui che manda i pacchetti direttamente a ma.
il tutto e' trasparente per lo switch. 
bye
-- 
  --==> ALoR <==---------------------- -  -   -
                        ICQ: 10666678  IRC: WhiteFly
   e-mail: 
AL...@thepentagon.com
        www: 
http://alor.cjb.net
 
AL...@ucsd.com
   e-SMS:  
al...@wappi.com


Infatti e' per questo che e' geniale. Ma se l'utente sniffatore non ha la
password di root su alcuna macchina della rete locale (come dovrebbe essere in
qualunque rete, imho) e se anche si porta un portatile da casa e anche
s'attacca ad una presa utp di nascosto (o nel suo ufficio) comunque lo switch
lo taglia fuori perche' ha il mac learning disabilitato, alla fine non vedo
come possa sniffare. Insomma bastano pochi accorgimenti piuttosto antichi ed
uno switch un po' piu' costoso per impedire di fatto di "utilizzare" ettercap
del tutto.
Che poi nella realta' delle cose, nei dipartimenti delle universita', o in
certe aziende, tali politiche minimali di sicurezza non siano possibili
perche' il prof. o il boss devono potersi installare quando vogliono quel kez
che gli pare, questo e' un'altro discorso. In una struttura dove, come mi pare
di capire dal thread iniziale, la sicurezza sia un elemento imprescindibile,
le politiche sulla sicurezzza le devono fare gli addetti ai lavori e non gli
utenti.
Infine se uno ha molti soldi e molta paura, ora che mi ci fai pensare, ci sono
switch con indirizzo IP vincolabile alla porta. Ma li', siamo d'accordo, non
si tratta piu' di switch propriamente detti.
Stammi benissimo,
b.

del tutto.
Non so` come l'hai immaginato tu ne che uso tu faccia di ettercap.
Personalmente penso che ettercap trovi il suo ambito di "efficacia" in
situazioni di "legalita`".
Come dicevo ad AloR, e` nei miei tool di lavoro. Dove vado io e dove lo
uso _ho_ la pass di root (io sono *root* ;-))).
Se mi chiedono security test su una rete un prodotto come ettercap per
me e` molto utile (e lo metto nel... ai capi ced che dicono "...tanto ho
la rete switchata...").
Detto questo sugli usi "malicious" di qualunque strumento hai detto
tutte cose giuste ma, scusami, ovvie.
E' evidente che se non hai accessi root sulla rete non sniffi, ma questo
vale per qualunque prg.
IMHO, il resto del discorso e` lezioso. No polemica, solo specifica.
Un saluto
-- 
echo '16i[q]sa[ln0=aln100%Pln100/snlbx]sb20293A2058554E494Csnlbxq'|dc


 del tutto.
man ifconfig
..
hw class address
              Set the hardware address of this interface, if the device driver  supports  this  operation.   The
              keyword  must  be followed by the name of the hardware class and the printable ASCII equivalent of
              the hardware address.  Hardware classes currently supported include ether (Ethernet),  ax25  (AMPR
              AX.25), ARCnet and netrom (AMPR NET/ROM).
quindi ci sono alcune schede di rete che ti permettono di settare il MAC...
supponi che io arrivo con il mio portatile, stacco un PC dalla rete e vedo il suo mac address...
attacco il mio portatile e setto come mac address della mia scheda quello del PC sostituito.
il tuo bel mac learning si va a far benedire... ;)))
pensaci su...
bye

 bye
Infatti non c'e' niente da fare. Oggi ho fatto delle belle ricerchine in rete ed il piu' che ho trovato in giro sono
certi switch della Cisco che, in teoria,  permettono il logging individuale dello stato delle porte, ma un umano non
sta li' tutto il tempo a guradare se la porta e' stata disconnessa e anche se fosse un eventuale stato di non
connessione potrebbe essere dovuto un difetto nel cavo o a mille altri motivi. D'altro canto non c'e' modo di
inibire la conoscenza del Mac address di una macchina della rete interna anche impedendo l'esecuzione di tutti i
comandi utili (tipo arp, ifconfig), alla peggio, "l'uomo col poratile" si porta dietro un cavo cross, si collega
alla macchina di cui fare fare il fake mac, fa un ping e saluti.
Grazie comunque per avermi risposto,
saluti,
b.

 vale per qualunque prg.
Per quanto mi riguarda dire cose vere senza dire cose ovvie e ' esperienza rara e
del tutto casuale. Anzi se mi capita di viverla poi e' meglio che mi  scriva cosa
ho detto, perche' in poco tempo poi sicuramente dimentico tutto. Il tono iniziale
del thread a dirla tutta non mi pareva  cosi' profondo, mi sembrava fosse una
richiesta di "cosa fare per non essere sniffati", io ho elencato le cose ovvie da
fare comunque.  Dire banalita' e' certo uno sporco lavoro ma ...   :-)
Stammi bene,
b.




 connessione potrebbe essere dovuto un difetto nel cavo o a mille altri motivi. 
Correggo, ripensandoci un modo forse c'e': i Cisco Cat 2900 e 3500 di
cui sopra creano un log ogni volta che una porta viene accesa o spenta,
e' possibile allora metter su un syslog server ed una trap snmp in
maniera tale che mi venga spedita una mail ogniqualvolta lo stato di un
porta dello switch vada giu'. Questa dovrebbe essere una soluzione. 
Saluti,
b.