Newsgroup: it.comp.sicurezza.unix
Titolo: Domanda teorica su firewall

In questi giorni i sto leggendo un bel libro sulla
sicurezza. Ho scoperto cose che nemmeno mi sognavo.
In particolare ho scoperto che se metto un firewall
per controllare chi arriva da internet, chiudo tutte
le porte eccetto la 80 (perchè voglio un server web
pubblico), mi potrebbero bucare (nel caso che il
server web sia bucato).
La mia domanda allora è questa: presupposto che
un sistema operativo sarà **sempre** bucato (escono
nuovi exploit ogni giorno), come posso stare tranquillo
quando pubblico un server web?
C'è qualcos'altro che quel libro non mi dice?
Oppure chi pubblica un sito deve rassegnarsi a non
dormire la notte per paura che gli facciano dei danni?
Ciao e grazie 1000.
Ferro.

 C'è qualcos'altro che quel libro non mi dice?
il numero di telefono di halle berry?
cris.

 il bug lo chiude subito.
Chiaro e tondo.
E quindi mi chiedo: un firewall (anche linux), che chiude tutte le porte in
entrata, e apre tutte le porte in uscita, può permettersi di rimanere
**non** aggiornato solo perchè rifiuta ogni connessione in ingresso?
Oppure ci sono tipi di attacchi (escuso il DoS) che funzionano anche in
questi casi?
Esiste un modo per difendersi dal DoS?


 Esiste un modo per difendersi dal DoS?
De facto, no.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
There are two ways to write error-free programs.  Only the third one works.

 dormire la notte per paura che gli facciano dei danni?
La parola backup suggerisce niente? ;-)
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 La parola backup suggerisce niente? ;-)
Attenzione che anche una fuga di notizie riservate può essere un
danno enorme. Il bakup è ovvio.
Se poi parliamo di attacchi in giro per il mondo sfruttando il
tuo indirizzo IP....


 ci sono.
Giusto per farmi capire, non mi servono dettagli tecnici, ma come
si puň buttar giů un (facciamo un esempio) un PC linux con firewall
che rifiuta ogni connessione in ingresso (DoS escluso)?


 danno enorme. Il bakup è ovvio.
per provocare una fuga di notizie bisogna arrivare a spaccare il server
dati, oso supporre che questo stia *dentro* la LAN, quindi protetto
dietro la DMZ.
Il modo più sicuro di fare una rete, in genere, è qualcosa del genere:
WAN -- (router) -- (firewall) -- + -- (firewall) -- LAN
                                 |
			                    DMZ
WAN e LAN, come si vede, sono *completamente* separate. Non è
fisicamente possibile dalla LAN accedere _direttamente_ in WAN e
viceversa.
Tu da fuori vedi solo il router di frontiera, il cui traffico è filtrato
dal firewall di frontiera.
L'unica tua possibilità è aggredire il router...
I servizi che permettono di accedere alla rete pubblica dall'interno
sono dei proxy messi in DMZ.
Dall'esterno tu non puoi fisicamente arrivarci, al massimo puoi rompere
il servizio, ma questo diventa inutile visto che non puoi poi sfruttare
le debolezze inserite dato che non hai accesso diretto alla macchina.
D'altro canto, spaccare il firewall di frontiera non produce grande
utilità. Dovresti spaccare il firewall di frontiera, farci breccia per
prendere una sessione amministrativa su quella macchina, e da lì
riuscire a scardinare anche il firewall interno che protegge la LAN. A
questo punto non è ancora finita perchè devi andare all'assalto dei
server dati... insomma... nulla è impossibile, ma diciamo che questo è
/abbastanza/ difficile!!!!
Il problema nasce quando incontri quelle reti - che purtroppo sono la
maggioranza nelle medie-piccole imprese - fatte più o meno così:
WAN -- (modem) -- (WIN98)--LAN--(WIN98)--(WIN98)...
In pratica la LAN è essa stessa la frontiera!!!! Con una roba così, si
fa più presto a scommettere quanto (poco) resisti...


 /abbastanza/ difficile!!!!
Su queste parole, facciamo la seguente ipotesi: se un server linux fosse
configurato
da firewall, che nega tutto in ingresso, come potrebbe essere attaccato?
E come bucato?
Se nega tutto, nessuno potrebbe scalfirlo minimamante?
Non me lo spiego proprio!
Ciao grazie 1000 per la luce di cui mi stai illuminando :-))))
Ferro.

 Non me lo spiego proprio!
Prendi come assioma il fatto che la sicurezza al 100% non esiste. E che
quindi anche un firewall a prima vista impenetrabile, puo' teoricamente
essere raggirato. Se ragioni cosi', diventi paranoico, ma farai bene il
tuo lavoro.
 

tuo lavoro.
Questo, come assioma, lo comprendo benissimo.
Ma non capisco come si possa intaccare un firewall che rifiuta
tutto in ingresso.
Ci sono stati episodi?
Ce ne potrebbero essere?
Ciao e grazie comunque.
Ferro.

 tutto in ingresso.
Beh per firewall che rifiuta tutto in ingresso, cosa intendi?

> Beh per firewall che rifiuta tutto in ingresso, cosa intendi?
Da internet verso la LAN vengono disabilitati tutti i protocolli
su tutte le porte.
Ciao, Ferro.



Beh si. La cosa migliore a quel punto sarebbe anche disabilitare 
le comunicazioni dalla LAN verso il firewall (a livello IP, tanto
il firewall se e' il defaultgw lo raggiungi tramite il MAC address).
In questo modo impedisci cosi' che anche se qualcuno riesce ad avere
accesso ad un PC che sta dietro la LAN, possa cmq trovarsi ostacolato
nel cercare di manomettere il firewall.

 il firewall se e' il defaultgw lo raggiungi tramite il MAC address).
scusa? me la spieghi questa?
-- 
..il corretto funzionamento di un pc Acer e' frutto di un ideale
connubio tra hard ware e soft ware, pertanto non si consiglia il cambio
  del sistema operativo preistallato.
IBM: "e' illegale vendere un notebook senza sistema operativo"

 scusa? me la spieghi questa?
Quando un PC tenta di collegarsi ad un indirizzo IP che non e'
appartenente alla stessa subnet, manda un ARP request per sapere
l'indirizzo MAC del suo gateway. Una volta saputo l'indirizzo MAC,
il pacchetto IP che esce dal PC avra' come IP mittente quello del PC,
come IP di destinazione quello dell'host da raggiungere, mentre come
MAC di destinazione avra' quello del firewall. 
Forse prima mi sono spiegato male. Con "bloccare la comunicazione dalla
LAN al firewall" intendevo dire bloccare tutti i pacchetti provenienti
dalla LAN verso l'IP del firewall, NON bloccare tutto il traffico che
proviene dalla LAN.
Ovviamente si tratta di configurazioni particolari, ma cmq possibili. Io
stesso quando configuro un firewall utilizzando il NAT, eseguo questo
tipo di configurazione.

 proviene dalla LAN.
ah, adesso ho capito, intendi dire bloccare pacchetti che hanno come ip
di destinazione il firewall, scusa ma non era molto chiara la cosa,
e poi, secondo me,  questa cosa avrebbe un senso solo se nessuno riesce 
a mattere le mani sulla tastiera del firewall
ciao


 e poi, secondo me,  questa cosa avrebbe un senso solo se nessuno > riesce a mattere le mani sulla tastiera del firewall
Beh, non e' proprio vero. Potrei avere un servizio bucabile, ed
exploitabile tramite uno piccolo programmino che un utente
malintenzionato fa girare sul proprio PC. L'utente si trova in LAN.
Se riesce a connettersi al firewall via rete, puo' bucarmelo. Se
invece ci riesce solo tramite tastiera, e si presume che l'utente
non abbia la password per accederci, la cosa e' molto piu' difficile.
Ovviamente un servizio attivo sul firewall, implica che non tutta la LAN sia bloccata, ma che 1-2 host "sicuri" siano abilitati ad accedere
a livello IP al firewall, altrimenti non avrebbe senso avere servizi attivi. 
Ciauz.
 

 Beh, non e' proprio vero. Potrei avere un servizio bucabile, ed
se fa il firewall non dovrebbe avere servizi installati, in teoria 
naturalmente


 naturalmente
Almeno l'SSH fammicela mettere pero' :P

 Almeno l'SSH fammicela mettere pero' :P
ok, pero' se uno in lan ti vuole fregare ti frega


> ok, pero' se uno in lan ti vuole fregare ti frega
Perchč?
Brutal attack????

 Se nega tutto, nessuno potrebbe scalfirlo minimamante?
Qualche cosa deve far passare, altrimenti non ha senso! E se c'č un
buco, e dietro c'č un servizio con un exploit, possono spaccartelo.
Perň routing e firewalling sono funzioni native del kernel di linux, in
altre parole per fare quel lavoro hai bisogno *solo* del kernel nudo e
crudo, e questo č cosě controllato che č quasi impossibile che presenti
degli exploit accessibili!


Ogni giorno si scoprono delle cose fantastiche :-)
Studio e poi ritorno.
Intanto grazie 1000.
Ferro.

Ferro wrote:

il discorso era:
chiudo l'accesso al firewall dalla rete interna, che pero'
ha senso solo se uno non puo' accedervi dalla tastiera.
Chiudi l'accesso per evitare l'attacco interno ad alcuni
servizi che sono sul firewall, se pero' prevedi che alcuni ip
interni possano accedere al firewall e ti basi solo sugli ip
chi impedisce a qualcuno che ti vuole fregare di scoprire
quegli ip e usarli?


 quegli ip e usarli?
Ovviamente non ti basi solo sugli IP. Dovresti a quel punto creare
delle ARP permanenti sia sul firewall sia sui PC che sono abilitati
al firewall, per evitare che un qualsiasi utente, giocando con
l'arp spoofing riesca a cambiarti sul firewall e sui PC l'associazione
MAC-IP.

 MAC-IP.
dato che si puo' spoofare anche il mac...


 dato che si puo' spoofare anche il mac...
Si ok, vero. Potresti pero' configurare gli switch per far si che
quel determinato MAC address venga fatto passare solo da determinate porte dello switch. Potresti anche riuscire a spoofare il MAC e 
l'IP, pero' a quel punto lo switch non ti fa passare. 
A quel punto l'utente cambia postazione e ti 
sgancia il PC. Cioe' si potrebbe andare avanti all'infinito, ma non
ne ho voglia :)

 ne ho voglia :)
infatti, per quante cautele uno riesce a prevedere se uno ti vuole 
fregare....


 firewall e ip virtuali sulla stessa scheda) e si considera al sicuro.
Quella non è una DMZ! Se vi è un link fisico tra le macchine in "DMZ" e
quelle in LAN che non passa attraverso un disaccoppiatore di interfacce,
hai solo una porcata cammuffata da DMZ; ma resta una porcata!


 che rifiuta ogni connessione in ingresso (DoS escluso)?
Ad esempio guarda qua...
http://www.netfilter.org/security/index.html
o qua.
http://www.securityfocus.com/search
Ciao