Newsgroup: it.fan.marco-ditri
Titolo: Sul portknocking


To: 
ml.sikurezza.org
Subject: Re: icmp o non icmp ?? questo ? il problema
On Feb 11, 
sikurezza.nexlab.it
 wrote:
 >A parte M.D. che sicuramente dira' che e' un sistema super complesso, il
 >che puo' anche essere vero, in questo modo mi sento abbastanza
 >rilassato.
Di nuovo, il punto è che non è stato definito un threat model in base a
cui progettare le proprie difese, cioè quali risorse di rete, quali
capacità e quanto tempo ha a disposizione l'attaccante.
Dal mio punto di vista il problema è che non è sano lasciare un demone
ssh a disposizione sulla porta 22, vista la sua storia di problemi di
sicurezza, e ritengo che sia una contromisura soddisfacente proteggerlo
con una ACL a livello di kernel (netfilter) o applicativo (tcpd).
A questo punto si presenta la necessità di aprire selettivamente questa
ACL da remoto usando un protocollo sufficientemente semplice da potere
essere ragionevolmente sicuri che il demone che lo implementa non abbia
buchi.
Il portknocking è una tecnica interessante se si suppone che
l'attaccante non sia molto furbo e non possa leggere il tuo traffico,
altrimenti è "inutile". Inoltre, a mio parere è utile solo quando è
possibile generare la sequenza con tool standard che ci si aspetta di
trovare su ogni sistema, per esempio ping e telnet. Se diventano
necessari tool specializzati allora tanto vale scrivere un protocollo
testuale ad hoc da usare con telnet, oppure semplicemente inviare
un'email.
Se invece si suppone che l'attaccante conosca il contenuto di ogni
pacchetto inviato e ricevuto allora si può risolvere facilmente il
problema usando il solito protocollo testuale ma autenticandosi con
OPIE (S/Key).
Se si fa attenzione a inviare autenticazione e comandi in un unico
pacchetto direi che si possono evitare tutti i soliti attacchi a TCP
(ma come verificarlo in user space in modo semplice? Una alternativa
simpatica a TCP è ping -p).
Una volta aperta l'ACL non credo che mettere in mezzo una VPN fornisca
più sicurezza, considerando che SSH consente già l'autenticazione e la
verifica dell'identità dell'host remoto tramite protocolli a chiave
pubblica.
Come esercizio lascio agli interessati il compito di implementare in
perl un demone con le seguenti caratteristiche:
- apra un socket TCP in ascolto e per ogni connessione faccia fork,
  chroot, imposti i limiti, cambi UID, legga quello che c'è da leggere
  dalla rete, ne faccia il parsing e lo invii tramite una pipe al
  processo padre (che starà ben attento a cosa legge...)
- verifichi la password con OPIE e se è corretta riscriva hosts.allow
  con l'IP giusto
- tolga l'IP dal file quando il processo figlio muore (cosa che può
  succedere quando viene chiusa la connessione o quando il padre lo
  uccide dopo un breve timeout)
Ci sono altri accorgimenti da usare per blindare il demone ma non mi
dilungherò a descriverli tutti.
--
ciao, |
Marco | [4578 al4slcYoaWFaI]
-- 
ciao, | (Ri)scoprire fidonet: | Chissa` cosa si prova a liberare
Marco | 
http://bbs.bofh.it/
   | la fiducia nelle proprie tentazioni. (F.D.A.)

 che su un cd un generatore di pacchetti per Linux ed uno per windows)
Chiaro che si', ma basta un hping o un client telnet e un generatore di
md5/sha-1
Purtroppo non funziona dietro NAT.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

che su un cd un generatore di pacchetti per Linux ed uno per windows)
Inaccettabilmente complesso.


 Inaccettabilmente complesso.
Un Palm?
Lo capiscono i terroristi (anche se ho letto che avevano uno Psion), non
vedo perche' non possa andare bene anche per te.
Ha eccellenti strumenti di procrastinazione ad libitum.
Fabrizio O:-)

vedo perche' non possa andare bene anche per te.
Perché bisogna averlo con sè, poterlo collegare alla rete, eccetera.


 Perché bisogna averlo con sč, poterlo collegare alla rete, eccetera.
Per il primo problema, basta una fondina da cintura: cosi' col programma
adatto potrai anche cambiare canale quando nel bar in cui casualmente
entri vedono la partita e non La Macchina Del Tempo.
Da' anche un certo look da pistolero, molto apprezzato dal gentil sesso.
Per il secondo problema, sono certo che il problema sia gia' stato
risolto... e nel caso, lo risolveresti con un minimo di stimoli (tipo
impedirti di andare in bagno finche' non funziona).
Fabrizio :-)

> la partita e non La Macchina Del Tempo.
Beh, neanche a me interessa particolarmente il calcio, ma
tra una partita e Cecchi Paone preferisco la partita.


Beh, cercavo disperatamente la cosa piu' culturale nella TV
generalista... i servizi non sono "occupati" dal PaVone, anzi, alcuni li
ho gia' visti su Discovery, lui compare solo negli intervalli, un po'
come la pubblicita'.
BTW, non sei l'unico che lo detesta... il che e' un peccato, perche'
"rovina" quel briciolo di cultura che si cerca di fare, tra un GF e
l'altro.
Puo' andar bene Quark, oppure detesti pure la prolifica famiglia Angela?
:-)
Fabrizio