Newsgroup: it.comp.sicurezza.windows
Titolo: " permeability of firewalls "

Girando per la rete mi sono imbattuto in un articolo in cui si parla di
sicurezza (ne riporto uno stralcio qui sotto) ... e mi interesserebbe
approfondire con voi l'argomento
Origine documento:
http://www.cert.org/archive/pdf/attack_trends.pdf
_________________________________
- Increasing permeability of firewalls -
Firewalls are often relied upon to provide primary protection from
intruders.
However:
- Technologies are being designed to bypass typical firewall
configurations;
for example, IPP (the Internet Printing Protocol) and WebDAV (Web-based
Distributed Authoring and Versioning)
- Some protocols marketed as being "firewall friendly" are, in reality,
designed to bypass typical firewall configurations
_________________________________
Non conosco (ancora) IPP ed non ho mai avuto fisicamente a che fare con
WebDAV ma mi stavo documentando ... dunque la mia domanda verte solo su
quest'ultimo. Vedrò prossimamente di documentarmi anche su IPP.
WebDAV è un filtro ISAPI che permette di gestire comandi non standard
del protocollo HTTP (leggevo poco fa...) sul server web (IIS nel mio
documento). Tanto per capirsi ... sulla falsariga delle estensioni
FrontPage.
Questo implica maggior possibilità da parte di un eventuale intruso di
eseguire comandi pericolosi attraverso questa piattaforma riuscendo a
passare "tranquillamente" attraverso il firewall (nel mio caso
ovviamente un firewall che preveda un web server alle spalle e relativa
porta 80 open).
Possibile che una piattaforma nuova, studiata in "questi giorni", e in
fase di implementazione nasca già con questi "presupposti" ?
Per quanto riguarda invece il secondo punto ... protocols bypassing
tipical firewall configurations ... mi sapete dare qualche info in più ?
Cercare info sembra un'impresa ... anche perchè non sapendo le chiavi di
ricerca non vado lontano.
Bye ...
Zip.

 ricerca non vado lontano.
Non correre, ragiona.
Finora hai nominato due "buchi" di IIS, non di un firewall.
Se la porta 80 è aperta perché il webserver possa essere acceduto, e il 
webserver è bucherellabile, te la puoi prendere con il firewall..?
le estensioni FrontPage sono state una manna per i "defacer" di mezzo 
mondo. E mezzo mondo che adoperava firewall con le "schede quadrate", 
mica robetta.
Non focalizzarti sui firewall, sono solo "semafori stradali" che possono 
essere disposti con più o meno criterio. Ma i buchi VERI sono i software 
che stanno dietro le porte lasciate aperte, non le porte in se.
O no? 8]
-- 
		Luca Amicone
		(da casa)

 ... [CUT] ...
Hai perfettamente ragione, ma forse il mio post è stato un pelo
travisato (il titolo faceva pensare ad una critica più rivolta al
firewall effettivamente ... ma nel messaggio volevo puntare il dito
sulla vulnerabilità di ISAPI / WebDAV).
Non me la prendevo con i firewall più di tanto ... del resto loro fanno
quello che uno gli chiede.
Se, per esigenza, lascio passare la porta di un terminal server e
consento l'accesso con la doppietta user/pass Administrator/admin ... il
fesso sono senz'altro io !!! :-))
Se il firewall mi passa la porta 80 e grazie a WebDAV un lamerone mi
exploita ... il fesso è sicuramente quello che ha inventato il WebDAV !!
:-))
Il firewall rimane il ... "meno fesso" :-))
Rimane aperta comunque la domanda circa quei protocolli che dovrebber
essere "firewall friendly" e poi non lo sono. Non ho capito a cosa
alludesse (mia ignoranza).
Bye ...
Zip.

 alludesse (mia ignoranza).
Dovrei leggermi il pidieffe.. e c'ho sonno.. -__-
Ma ipotizzo parli di protocolli di livello superiore: tipo il protocollo 
di trasporto files di Icq o di WinMX o di altri sw del genere che sono in 
grado di autoconfigurarsi in funzione del firewall da attraversare.
Il che è chiaro: io da dietro un firewall non posso essere "server" su 
internet, ma posso essere CLIENT. Se tu vuoi scaricare da me, ti imposti 
come "server" e io come client, eseguo un upload.
Vale probabilmente anche per altri tipi di colloquio attraverso 
firewall..


 ... non posso essere "server" ...  ma posso essere CLIENT
Non ci avevo pensato.
La mia scarsissima conoscenza diretta dei vari WinMX e
Napster_discendent_clone mi si ritorce contro. :-)))
Bye ...
Zip.