Newsgroup: it.comp.sicurezza.unix
Titolo: antisniffer-antispoofing

Ciao
conoscete qualche buon programmuccio per evitare questi due problemini?
francesco------------------------
* le cose facili le sanno fare tutti *

 conoscete qualche buon programmuccio per evitare questi due problemini?
Ciao!
Per entrambi dipende (ovviamente):
per lo spoofing, un netfilter (firewall) puo' essere sufficiente in
certi casi (ovviamente quando vengono usati indirizzi "impossibili" come
127.0.0.1, 0.0.0.0, 192.168.x.y e via discorrendo). Se l'indirizzo IP e'
esistente, non esiste nulla di *sicuramente* funzionante. Ad esempio, si
puo' tentare di accettare il pacchetto solo se l'host di partenza
"esiste" ed e' "up", ma 1) un attaccante smaliziato potrebbe utilizzare
un IP esistente e "up", 2) sebbene non sia raccomandato dagli RFC,
alcuni host non rispondono agli echo request (la mia linux box e' una di
queste), per cui potrebbero essere scartati alcuni pacchetti non
spoofati.
Poi dipende anche tal tipo di pacchetto che si sta spoofando.
Per lo sniffing, esiste *qualche* metodo per verificare la presenza di
"ascoltatori", ma nulla di concreto. Chiaramente *dipende* da dove vuoi
verificare cio', sulla tua LAN, sul tuo server, su internet.
Nel secondo caso e' possibile verificare se la scheda di rete e' in
"promiscuos mode".
Sicuramente i "guru" del gruppo di sapranno dire di piu'...
Ciao!
HappyCactus


riguardo lo sniffing mi sto informando un po' sui vari metodi, le difese 
`passive' in particolare...
ci dev'essere un thread ancora in giro cmq riassumendo:
-switch al posto di hub: i pacchetti sono inviati solo al destinatario e 
non a tutti, soluzione facilmente aggirabile inviando ai 2 capi della 
connessione appositi aggiornamenti della tabella ARP (vedi programma 
Ettercap). Per tale "trucco" non si deve nemmeno mettere la scheda in 
modalita` promisc, molto insidioso...
-Ssh al posto di telnet, questa e` tassativa
-il pacchetto openssh comprende anche scp e sftp che possono sostituire
FTP per gli usi interni con poco impatto sull'usabilita`, per windowz ci 
sono dei client carini che supportano le varie funzioni...
-Ssh permette di fare il tunnelling di altre applicazioni nella sua 
connessione criptata, con windows a prima vista non saprei come farlo 
visto che sono tutti parametri da command line.
Cmq non e` imho una soluzione abbastanza trasparente ne` userfriendly, 
ma dipende poi da caso a caso...
-SMB con SSL, possibile e comodo. Su Unix Samba lo supporta, e ho 
postato oggi la domanda su it.comp.os.win.win2000.
-TCFS (o altri), filesystem criptato e networkabile, i dati sono 
visualizzati in chiaro soltanto una volta giunti al client che li ha 
richiesti.
L'implementazione non dev'essere facile specie su una rete preesistente 
e eterogenea, poi si devono trasferire i dati sul nuovo fs.
-Kerberos???
Si trova ovunque spiegato cos'e` e cosa fa (gestione centralizzata 
degli accessi, autenticazioni a prova di ladro, criptaggio delle 
connessioni) ma nessuno spiega come implementarlo per le varie 
applicazioni di rete... mah
-- 
    Pardo 
 
http://pardo.cjb.net
 
http://pardo.tsx.org


grazie.. per la risposta.
ho uno switch e una connection HDSL...
non riesco a trovare gli rpm aggiornati del BIND, del tcp-wrapper e di altri
pacchetti abbastanza buggati sulla red hat 6.2 ...
:) ciauz

Pardo <Pardo@fake_address.do_not_mail> wrote:
: francesco ha detto:
:>conoscete qualche buon programmuccio per evitare questi due problemini?
:>
: -switch al posto di hub: i pacchetti sono inviati solo al destinatario e 
: non a tutti, soluzione facilmente aggirabile inviando ai 2 capi della 
: connessione appositi aggiornamenti della tabella ARP (vedi programma 
: Ettercap). Per tale "trucco" non si deve nemmeno mettere la scheda in 
: modalita` promisc, molto insidioso...
ti puoi difendere da ettercap se setti le arp entries a mano e statiche.
ma ricordati che window e' cmq vulnerabile... le sue static arp non sono poi cosi statiche.. ;)
: -Ssh al posto di telnet, questa e` tassativa
attento che anche qui ettercap ti sniffa... ;)
bye
-- 
  --==> ALoR <==---------------------- -  -   -
                        ICQ: 10666678  IRC: WhiteFly
   e-mail: 
AL...@thepentagon.com
        www: 
http://alor.cjb.net
 
AL...@ucsd.com
   e-SMS:  
al...@wappi.com

 wrote:
: Ciao
: conoscete qualche buon programmuccio per evitare questi due problemini?
un gran bel tool e' Antisniff dei l0pht (
www.l0pht.com
)
cmq quelli di softpj hanno fatto un modulo kernel anti-antisniff
che rende la vita piu' dura a questo NIDS.
e per rilevare man-in-the-middle attack e' bello arpwatch oppure
il plugin "arpcop" di ettercap
per lo spoofing quello locale non puoi fermarlo...
quello remoto, con un buon firewall stateful.
bye
-- 
  --==> ALoR <==---------------------- -  -   -
  ettercap project: 
http://ettercap.sourceforge.net
  e-mail: alor (at) users (dot) sourceforge (dot) net