Newsgroup: it.comp.sicurezza.unix
Titolo: login e sicurezza: puo' essere utile davvero?

Volevo sapere se il programma di login modificato per costringere gli
utenti a loggarsi con maggiore velocita' da tastiera, potrebbe bastare
per una rudimentale sicurezza di un server preposto solo come server di
studio, anche se molti collegamenti avvengono a volte anche in rete
(lezioni a distanza).
Vi propongo un piccolo esempio del mio login modificato, su sistema
FreeBSD, modificato il sorgente, compilato ed infine installato,
potrebbe essere di qualche utilita' in merito ad una politica di
sicurezza di base?
Su che sorgenti dovrei lavorare per garantire almeno una sicurezza
basilare di FreeBSD?
 
FreeBSD/i386 (
my_server.it
) (ttyv2)
login:enrico
password:******** (la pass viene digitata in modo veloce)
$ (utente loggato correttamente)
---------------------------------------------------
FreeBSD/i386 (
my_server.it
) (ttyv2)
login:enrico
password:******** (la pass viene digitata in modo normale non troppo
veloce)
Password: Secure Login Timed Out!!! No Hackers Allowed...;-))
Il messaggio indica che la pass non e' stata digitata nel tempo previsto
per
poter loggare l'utente sul sistema, a questo punto il programma propone
una
nuova sessione di autenticazione che e' visibile per tutti gli utenti
che dovranno
usufruire degli account remoti del server.
Questa sessione e' anche l'ultima per permettere all'utente di usare il
proprio
account, dopodiche' il login si blocca definitivamente.
Secure Login by C4-10001
Slogin: (ripetere il login)
Spassword: (ripetere la password)
Enrico

 (lezioni a distanza).
A mio parere rischi di mettere in difficolta' gli utenti alle prime armi 
lenti a digitare. Io alla fine per non sbagliare setterei la password col 
numero minimo di caratteri....  
Inoltre sei sicuro che il ritardo basti a coprire i ritardi della rete in 
caso di accesso remoto?
Ciao

 utenti a loggarsi con maggiore velocita' da tastiera, potrebbe bastare
Ci ho pensato su un pochetto, ma non ho trovato nessun valido motivo
per cui un sistema del genere possa aumentare la sicurezza. In quale
scenario di attacco pensi che questo accorgimento possa aumentare la
protezione della macchina?
Fabio



Anzi, io impostarei casomai un tempo minimo per il completamento della
digitazione: non ho mai visto un utente digitare 12 caratteri in 0,03
secondi, ma un generatore di password potrebbe farlo....
Byez...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 caso di accesso remoto?
Devo dire che a questo non ci avevo pensato, ma posso sempre ricompilare
il sorgente a discapito del tempo minimo di inserimento.
 Ciao

 
Nel caso di password troppo logiche oppure di quelle password che molte
volte gli utenti danno al sistema e che rispecchiano azioni personali o
attivita' che gli studenti svolgono nella propria vita privata.
Lasciando naturalmente fuori i generatori di password che sono molto
piu' veloci delle dita dei miei studenti.
Questo mio progetto, mira soprattutto ad aumentare la responsabilita'
degli studenti, infatti come sicurezza informatica ha poco valore
pratico, ridurre il tempo di digitazione non e' poi una grande
caratteristica nel campo dei sistemi operativi di rete.
Ho chiesto a voi che cosa ne' pensate, ma se ci sono idee migliori e
piu' pratiche, anche dal lato di studenti pigri che digitano lentamente
riempiendo i log del server in poco tempo, posso tentare di metterle in
pratica, sarebbe un buon argomento di studio.
ciao

"Enrico" <NOS...@FreeBSD.italia> ha scritto nel messaggio
news:3DC075C5...@FreeBSD.italia...
| Volevo sapere se il programma di login modificato per costringere gli
| utenti a loggarsi con maggiore velocita' da tastiera,
anch'io, come altri, non capisco a che pro.


E' solo un'implementazione del programma che ho fatto a livello
personale, ma ho anche installato questo binario sul server dove viene
fatto un corso di unix di base.
Ho mandato questo messaggio per sapere cio' che ne' pensavano anche
altre persone, anche se questa implementazione del login non e' da
considerarsi come valida a livello di sicurezza informatica.
Ho notato che molti studenti non hanno una buona conoscenza della
sicurezza di base di un sistema unix, che per l'appunto e' rappresentata
da un programma come il login, che fornisce per cosi' dire una
rudimentale barriera per gli utenti maliziosi.
Naturalmente quello che si nota subito, e' l'avversita' di certi
studenti di fronte alla richiesta di autenticazione, proprio perche'
molti provengono da sistemi personali tipo windows nel quale il 99%
delle volte entrano senza digitare un solo carattere di autenticazione.
Tutto questo, mi ha portato a sensibilizzare tutti gli studenti che
devono fare questo corso implementando appunto il programma di login di
FreeBSD.
questo e' il motivo del mio post, pero' avevo anche chiesto se c'erano
altre soluzioni valide, magari dopo che l'utente si e' autenticato,
domanda a cui fin'ora nessuno mi ha risposto.
Ciao :-)

 altre soluzioni valide, magari dopo che l'utente si e' autenticato,
Qualche soluzione c'e', tipicamente un comando specifico da dare entro
tot secondi dal login; poi ci si puo' sbizzarrire in diverse maniere
seminando trappole qua e la', o facendo procedure particolari per il
login.
Ciao
  Andrea
-- 
Sognatore e' un uomo coi piedi saldamente ancorati sulle nuvole

 Sognatore e' un uomo coi piedi saldamente ancorati sulle nuvole
Ciao Andrea, come dicevo, la mia implementazione del login non e' da
considerarsi molto valida
in termini di security, ho visto che il login di FBSD non e' una valida
barriera e quindi ho implementato il programma solo per dare un po' di
responsabilita' in piu' ai miei studenti, il motto e' questo: o passate
al primo o al secondo login o non usate affatto il vostro account.
Il risultato: studenti che cercavano disperatamente i caratteri del loro
login sulla tastiera, arrabbiature varie perche' venivano esclusi,
maledizioni per me, e consigli di guerra scolastici sulla gestione
dell'aula informatica.
Alla fine ho ripristinato il vecchio programma di login, ma la lezione
l'hanno imparata davvero, perche' adesso sono molto piu' attenti a
quello che digitano e soprattutto lo digitano molto piu' velocemente di
prima perche' chissa'... potrebbero di nuovo essere esclusi...:-)
Dicevo dunque, per il login di FBSD, secondo voi ci potrei mettere il
controllo di ogni carattere digitato?
Si tratta di un'implementazione di questo tipo, l'utente digita il suo
login e la sua password, ma se si accorge di avere sbagliato a digitare,
prima di dare invio, puo' tornare indietro con il tasto del e riscrivere
alcuni caratteri o addirittura la stessa sequenza di login&pass, sul
login di FreeBSD si puo' fare, e pensavo che mettendo in memoria ogni
carattere senza che si possa ricambiare o riscrivere, l'utente sarebbe
costretto a rifare tutta la procedura di login/pass, senza nessuna
alternativa.
Naturalmente stavolta non lo installo sul server *nix, altrimenti potrei
scatenare una rivoluzione scolastica.
ciao :-)

 alternativa.
Dal basso della mia ignoranza non mi pare che questo vada a favore della
sicurezza. Inoltre io non prevederei procedure particolari per utenti
che non siano root. Per quest'ultimo si ptrebbe, 
p.es
., fare in modo che
il primo login fallisca comunque; se dietro c'e' uno che sa la password,
la ri-digita, se c'e' uno script brute force o uno che va per tentativi
(e che non sa del trucchetto) no. Oppure due password diverse... le
possibilita' sono virtualmente infinite.


 Sognatore e' un uomo coi piedi saldamente ancorati sulle nuvole
Certo, ma qui non stiamo parlando dei permessi, perche' la procedura di
login ricade su tutti gli utenti che desiderano o devono usare il
server.
Al giorno d'oggi, solo chi fa' prove lascierebbe un login libero e senza
password, questo si' che comprometterebbe la sicurezza del sistema.
Volevo dire che il login e' comune per tutti gli utenti, che tu sia root
o che tu sia user, il programma di login ti blocca dopo 2 tentativi,
entro i quali per loggarti sul sistema devi digitare login e pass in un
tempo pari a 5 secondi(portato a 5 per le ragioni spiegate nei post
precedenti).
Temo che questa implementazione sia troppo "dura" per molte persone,
infatti ho visto personalmente i risultati.
La rete che usano e' basata su server windows, dentro la quale ci ho
infilato un P4 con una bella FreeBSD, configurando tutti i servizi di
posta, ssh,web per permettere di usare questo pc come un'emulazione di
vera rete internet, infatti il corso si svolge da macchine windows che
vengono connesse a questo server via programma di terminale PuTTYSSH,
consentendo la completa gestione dei servizi offerti in rete locale come
se si trovassero davvero in internet.
Per ora tutto e' tornato normale, ho raggiunto il mio obiettivo e tratto
le mie conclusioni, e la cosa ha cominciato ad affascinare anche altri
insegnanti, ma di solito lavorano su sistemi winME/2000, per ragioni
ormai scontate.
ciao :-)