Newsgroup: it.comp.sicurezza.windows
Titolo: VPN, come ?

Ciao,
espongo brevemente il problema:
Ho una rete connessa ad Internet con IP statico, composta da server
2003 e filtrata da un firewall Smoothwall su Linux.
Il problema è il seguente: voglio far accedere i clients, XP dotati di
IP dinamico, al server tramite una VPN.
Qualcuno mi da consigli su cosa usare ? magari freeware.
Ciao, Uncino

Forse non ho capito bene la topologia di rete. Tu hai un server 2003 da una
parte e dei client XP dall'altra di una connessione ADSL e vuoi collegarli
con VPN..
Se è così puoi da un client XP collegarti direttamente al server 2003
impostando la VPN. Server 2003 la supporta già di suo. Hai detto che hai
smoothwall da un lato; se ce l'hai anche dall'altro imposti la VPN tra i due
smoothwall e il tutto funziona ancora meglio.

Ciao Davide,
vorrei evitare di usare il supporto VPN di Microsoft.
Sulla connessione passeranno dati riservati, che devono NON essere
visti da "agenzie governative", quindi... niente VPN MS, cosě come per
i filesystem criptati usiamo PGP con key a 256 bit e non strong
security di MS.
Sul lato client non c'č Smoothwall, ed č per questo che cerco un
"add-on" che implementi una VPN basata su IP dinamico con crittografia
di alto livello, quidi > di 128 bit, possibilmente 256.
Ciao, Federico

security di MS.
Permettimi: paranoie.
------------------
Alessandro Borille
Microsoft MVP - (Windows 2000)

Ciao,
visto il newsgroup su cui ci troviamo, resto stupito dalle risposte
date al mio quesito, in particolar modo dall'ultima.
Vediamo di fare chiarezza. In un sistema informativo, esistono vari
livelli di sicurezza implementabili, riassumibili in tre gruppi:
- Sicurezza interna, rivolta a proteggere i dati da accessi non
autorizzati da parte di utenti dello stesso sistema informativo.
- Sicurezza contro le violazioni esterne, tipicamente hacker.
- Sicurezza contro le agenzie governative, civili o militari.
Nel primo caso, qualsiasi blando metodo di cifratura è sufficiente,
dal DES in su.
Nel secondo, tutto lascia ormai pensare che le key a 128 bit siano
ormai non più ASSOLUTAMENTE sicure, ma solo MOLTO siure.
Nel terzo, il problema si sdoppia:
Innanzi tutto, le key a 128 bit sono CERTAMENTE non sicure,
specialmente se l'agenzia in questione appartiene ad un Paese che le
mette a disposizione le necessarie risorse di calcolo.
Inoltre, non è possibile fidarsi dei servizi di sicurezza di un
sistema operativo commerciale che, almeno in linea di principio,
potrebbe portare al suo interno backdoor intese proprio a garantire
comunque l'accesso ai dati da parte di organi governativi. Attenzione,
nessuno può dire con certezza che queste backdoor ci siano, ma nessuno
può dire con certezza neppure il contrario.
Ora, per il tipo di dati in suo possesso, la mia azienda necessita del
terzo di questi livelli.
Fino ad ora non abbiamo avuto necessità di far transitare su reti
esterne nessun dato riservato, ma la situazione cambierà da qui a sei
mesi, e quindi sto cercando il modo di mantenere lo standard di
sicurezza che fino ad ora abbiamo avuto.
La necessità di utilizzare soft freeware, generalmente open source,
nasce proprio da questo: poter essere certi che non vi siano backdoor,
certezza che si può avere solo disponendo dei sorgenti.
Ciao, Uncino

date al mio quesito, in particolar modo dall'ultima.
[...]
Il tuo post chiarificatore non cambia la mia opinione. Senza offesa,
davvero.
------------------
Alessandro Borille
Microsoft MVP - (Windows Server)

 Permettimi: paranoie.
su che base lo affermi?
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

su che base lo affermi?
Sulle base delle implicazioni legali che comporterebbe questa cosa se
fosse vera e provata. Non credo che MS resisterebbe piu' di 2 minuti
al fallimento.
------------------
Alessandro Borille
Microsoft MVP - (Windows Server)

 al fallimento.
ora spiegami come potrebbe essere provata la cosa.


ora spiegami come potrebbe essere provata la cosa.
Appunto. Fino a che non lo provi sono paranoie. O illazioni, se il
termine non ti piace.


 termine non ti piace.
non e' processo in cui vale la presunzione d'innocenza ma una vendita in
cui il cliente dubbioso vuole _prove_ di bonta' e queste prove non possono
essere fornite.


essere fornite.
Quale sarebbe la prova di bonta' discriminante in un protocollo di
tunneling (caso in questione) ?


 tunneling (caso in questione) ?
per esempio l'assenza di sistemi di key escrow.


per esempio l'assenza di sistemi di key escrow.
Il che potrebbe farne potenzialmente uno strumento eversivo.
L'argomento e' spinoso.


 L'argomento e' spinoso.
affatto, qui non si fa politica o spionaggio


il che esula da questioni tecniche.
Tecnicamente il key recovering non lo trovo ne' buono, ne' cattivo. Si
tratta di una scelta. Il governo US preme per infilarcelo dentro
dappertutto ma mi risulta che a MS non piaccia molto l'idea.


 dappertutto ma mi risulta che a MS non piaccia molto l'idea.
bene.. pero' la cosa non costituisce una prova di nulla e come tale non
garantisce della pulizia del sistema.


Ciao,
resettiamo la discussione.
Io, se leggete il mio post, non ho affermato che MS abbia infilato una
backdoor nel suo kernel. Al contrario, ho detto solo che nessuno può
provare che ciò non sia stato fatto.
La discussione che ne è sorta, dunque, mi pare sterile.
in aggiunta a ciò va detto, e l'ho detto, che la crittografia a 128
bit adottata a MS è assolutamente inadeguata nel caso di attacchi
provenienti da agenzie governative, e questo rende forse inutile
scervellarsi per capire se MS ha inserito un meccanismo di key
recovering: magari non c'è, ma solo perchè non è necessario in quanto
il keyrecovering è possibile farlo con un "semplice" attacco
bruteforce.
Torniamo per favore al punto originale del mio messaggio:
Col PGP e un'adeguata policy ho risolto in modo affidabile la parte
relativa alla sicurezza dei dati presenti sugli archivi.
Ora, qualcuno sa suggerirmi un addon per implementare una VPN ad
elevato standard crittografico ?
Per Alessandro, che continua a dirmi che le mie sono paranoie... che
vuoi che ti risponda Ale ?
Al momento i server che compongono la nostra rete, oltre che in
Italia, sono anche in Lussemburgo e alle Kaiman.
Devo chiarirti altro ?
Ciao, Giacomo.

 Devo chiarirti altro ?
io penso di aver intuito.


Ciao,
in effetti ora c'è un megaprogetto per farlo in casa (
http://www.md5crk.com
).
Mi sa che la 128 sarà stecchita entro l'anno.
Bye, Uncio

Devo chiarirti altro ?
Mi torna tutto. :-)
Ciao,


davvero.
Penso che abbiate ragione entrambi. Cioe': SONO paranoie... ma perche' uno
dovrebbe vietare le paranoie, se c'e' chi le vuole?
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

elevato standard crittografico ?
L'accesso al server a che cosa (scusa il gioco di parole) serve? Quali
servizi vuoi fornire?
(Perche' ho un mezzo sospetto che ti servano SMTP, POP e HTTPS - e, se
e' cosi', il sistema c'e', semplice, economico e financo opensůrs)
