Newsgroup: it.comp.os.win.win2000
Titolo: i client farlocchi in un dominio

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Salve, vorrei sapere qual'e` [se c'e`] il metodo usato da un PDC per 
autenticare le macchine nel dominio.. cioe` sapere che e` veramente il 
computer autorizzato che si collega, e non un furbone con un laptop che 
si e` appropriato del suo IP..
(esclusi metodi esterni tipo firewall che guarda il numero MAC o switch 
'intelligenti'..)
Ed eventualmente quali sono i rischi di security in caso il furbone 
riuscisse appunto a fingersi un membro del dominio, ma accedendo da una 
macchina su cui ha controllo totale ?
Potrebbe ad esempio entrare nelle shares con l'identita` di un qualunque 
utente ? (cosa possibile nel classico nis/nfs unix ma qua suppongo che 
sia un po' diversa la situazione..)
(perdonate l'ignoranza...)
- -- 
    Pardo
 
http://pardo.cjb.net
 
    ( BACKUP: 
http://pardo.tsx.org
 )
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)
iD8DBQE/SJmBlwA33z/FZTQRAl84AJsHngS6uK1DLS5+iNCxP0DstRNn7wCggsWf
TQ+mI1bt272qDQeqI3w2A3c=
=FJ0Q
-----END PGP SIGNATURE-----

 sia un po' diversa la situazione..)
Solo se conosce
1) nome dominio
2) nome utente
3) password utente
Alessandro

 restringere gli accessi agli utenti autenticati e non a "everyone".
non c'e` quindi modo di accedere ad una risorsa controllata da un PDC 
senza autenticarsi con user/pass sul PDC stesso ?
(sempre in senso di difetto strutturale, a parte bug/exploit vari)
e se il PDC 'muore' e non ha backup, i server membri diventano 
inutilizzabili.. o e` possibile che facciano entrare gli user che hanno 
nel db locale.. ?
- -- 
    Pardo
 
http://pardo.cjb.net
 
    ( BACKUP: 
http://pardo.tsx.org
 )
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)
iD8DBQE/SMMNlwA33z/FZTQRAkazAKCi6eoHA1ohSd2Kjh2yKwNEhsw1TACeM14c
ebddd2rHcXK0RnQVs1H2Gd8=
=0qyd
-----END PGP SIGNATURE-----

 nel db locale.. ?
Di solito in locale nei server membri c'è solo administator e guest. Ammesso
che entri, ti fermi a livello locale di quel server.
Se invece hai messo la stessa pwd di admin su tutti i server membri... entri
dappertutto.
Alessandro

 locale.. ?
se il client chiede l'autenticazione al server anzichè al dominio, sarà 
autenticato come utente del server e la sua identità, i suoi gruppi e i 
suoi privilegi saranno validi solo nell'ambito del server. Disabilita i 
diritti di login remoto e/o il servizio Server se non vuoi che succeda, 
ma tieni presente che è comodo per l'amministrazione remota
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.2. C, C++ and ASM developers
                               and beta testers are welcome!

restringere gli accessi agli utenti autenticati e non a "everyone".
Da quel che mi ricordo...
quando si fa il join in un dominio e' necessario l'account di
administrator locale, e non viene richiesta nessuna password durante
la procedura.
Ricordo male o e' probabile che pwd di administrator locale e pwd di
admin di dominio coincidessero e quindi non fosse richiesta nessuna
pwd?
Cmq perche' escludere soluzioni esterne quando sono semplici come
arpwatch? Magari potrebbe esistere anche un porting o l'equivalente
per windows.
-- 
Linux Registered User #181013
[Exokernels] Although one approach to eliminating bloated, buggy,
unreliable operating systems is to make them smaller, a more radical
one is to eliminate the operating system altogether.

pwd?
La seconda che hai detto.
------------------
Alessandro Borille
Microsoft MVP - (Windows 2000)


un prog x controllare gli indirizzi hw delle skede suppongo.. si fa anke 
col firewall del kernel linux.. ma nn basta, se nella rete ci sono 50 
workstation e io ne r00to una, senza il meccanismo del dominio sarebbe 
la situazione di NFS, root sul client puo` essere qualunque user nei 
filesystem remoti
mentre se ho afferrato il concetto, con il dominio se un client non si 
logga con la vera pass di un user nn puo` accedere alle share, quindi e` 
teoricamente molto sicuro se sulle workstation ci ravanano cani e porci
- -- 
    Pardo
 
http://pardo.cjb.net
 
    PGP pub key ID: 3FC56534 (available on 
pgp.mit.edu
 & @ my website)
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)
iD8DBQE/SgCIlwA33z/FZTQRAqUGAJ46p27Tb3z5KZYC/Wdm6klRynrMEACfbEov
vL4sbCaTR4iIE+PPS53Jy0M=
=jK99
-----END PGP SIGNATURE-----