[NTG] Jaki fire-wall?

RoMan Mandziejewicz napisał(a):

Hmmm ? Masz jakiś przykład ? Chętnie zobaczę _działający_ exploit pozwalający mi grzebać po dysku C kiedy udostępniam tylko D. Może faktycznie jakiś istnieje.

Zaczynasz się rakiem wycofywać? Dopiero co twierdziłeś, że nie ma otwartych portów. Teraz już zauważasz potrzebę łatania systemu i nieudostępniania zasobów. A ja (i wielu innych) zauważam potrzebę instalacji firewalla, bo to, czy i jakie zasoby udostępniam w mojej sieci jest moją sprawą. I nie chcę, żeby mi ktoś obcy po dyskach grzebał. Na dokładkę firewall blokuje mi na przykład odpowiedzi na ping, dzięki czemu pozbywam się już na starcie 95% lamerii skanującej sieć. O takich drobiazgach jak olewanie błędnych pakietów też warto pamiętać.

PiotrVW napisał(a):

Wręcz przeciwnie - potrzebny. Tylko że niestety z mojego doświadczenia wynika, że po jego instalacji następnym krokiem jest telefon do admina, czemu wyłaczył internet. Albo czemu nie działa otoczenie sieciowe. Albo czemu nie mogę pograć w gierkę przez sieć. Albo czemu mnie ktoś się włamuje przez GG*. To wszystko mam na codzień i to wszystko jest efekt instalowania softu który jest co najmniej tajemniczy dla zwykłego Kowalskiego.

Mając firewall też się przed tym nie uchronisz, a świadomośc o większym bezpieczeństwie rośnie w miarę rejestrowania straszliwych ataków typu ARP-discovery, ping, etc.

Możesz administrować 1 i być mistrzem. Ja wspominam o tym w kontekscie problemów jakie mają u mnie ludzie, którzy zainstalowali FW nie mając pojęcia w zasadzie o niczym poza mętną "ochroną przed strasznymi hakerami". Instalacja softu tak bardzo ingerującego w system operacyjny powinna być raczej przemyślaną i świadomą decyzją, a na pewno nie sterowaną przez głupawe artykuły z czasopism komputerowych o trudno dostrzegalnym poziomie. Inaczej można sobie zrobić kuku.

RoMan Mandziejewicz napisał(a):

Zaczynasz się rakiem wycofywać ? Dopiero co twierdziłeś że są jakieś explity na NetBIOS ? Chyba że masz na myśli tandetną ochronę hasłem w win9x.

Hmmm a jakie to zasby są domyślnie wystawiane przez W9x na pożarcie hakerów ? Chyba że znowu mówimy o głupocie usera udostępniającego dysk c do zapisu w sieci WiFi bez szyforwania ?

No ale jak to ma zrobić kiedy mu nic nie udostępnisz ?

Uważasz że ping służy do skanowania sieci ? Wiesz, że gdyby wszyscy tak myśleli życie w internecie było by dośc trudne ... Ping to jedna z wygodniejsych usług pozwalających stwierdzić (w pewnych granicach) czy z siecią wszystko w porządku. Zupełnie nie widzę potrzeby usuwania wygodnego i przydatnego pinga.

Całe szczęscie że misie z firewallami nie wiedzą o arp-ping bo by wszyscy wyłaczyli tą straszliwą usługę. I zycie stało by się znacznie prostsze bez ich komputerów w sieci :)

O takich drobiazgach jak olewanie błędnych pakietów też warto

A czy one się same nie olewają w jednej z warstw stosu TCP/IP ?

dziadek Ben napisał(a):

no cóż, jeśli mowa o trojanach, to już tylko Twoja wina, że uruchamiasz oprogramowanie z niepewnego źródła. żaden firewall Cię przed tym w pełni nie zabezpieczy.

w.

Nie zgodze sie z toba. Na 100% sa to bledy programisty, ktory przez niechlujstwo zrobil cos na skroty. Poza tym microsoft juz nie supportuje w98, a co za tym idzie nie ma updatow do systemu.

Zobacz ile miesiecznie jest poprawek do windowsa, to idzie w setki dla calego systemu. Updaty masz dzieki genialnej polityce microsoftu raz na miesiac, przez miesiac wszystkie nowe bleda pozostaja niezalatane.

To byl tylko przyklad bledow w implementacji TCP/IP w w98. A nie jest to jedyny blad.

Mozesz sie czuc wzglednie bezpieczny, bo wiekszosc wlaman to dzialania automatow/wirusow/trojanow, a nie inteligentnego uzytkownika. Po prostu osobie znajacej sie na rzeczy nie chce sie wlamywac do komputerka w ktorym nie ma nic ciekawego. Druga rzecz to, ze goly w98 bez niczego rzeczywiscie moze byc w miare bezpieczny, tak jak fresco. Prostota nie daje duzego pola do popisu. Ale juz na winXP masz domyslnie poodpalanych mnostwo procesow, z ktorych potencjalnie kazdy moze byc celem ataku. Jak do tego dodasz, ze nie tylko IE jest odpalany, ale taze outlook. gg. icq itd. to masz naprawde dziurawy system. Pamietasz niedawna afere z gg? Kilka bledow, ktore nawet prawdziwy lamer mogl wykorzystac, ciekawe ile z nich tworcy gg naprawili?

Ale taka a nie inna ochrona jest. I dlatego trzeba firewalla.

User ma prawo udostępniać swoje zasoby w sieci _lokalnej_. W Win9x _domyślnie_ zasoby są dostępne z zewnątrz. A przebicie się przez wątpliwe zabezpieczenia Win9x jest łatwe.

Ale dlaczego zakazujesz mi udostępniania?

Uważam, że 95% lamerii zaczyna od pinga. I jak nie otrzymują odpowiedzi, to się odwalają od mojego adresu. Logi firewalla to potwierdzają.

O ile w implementacji nie ma dziur. A jak widać po długości listy poprawek - dziury są.

Są.

Goggle na odpowiednio zadane pytanie wyrzucaja tysiace stronek, pobieznie sprawdzilem kilka i zawieraly one calkiem ciekawe i sensowne przyklady, w tym byly to storny microsoftu (nalezy sadzic, ze te bledy juz sa zalatane).

Pamietasz problem z uPNP? Udotepniasz np. drukarke a ktos ci paskudnie laduje swoj driver i juz masz backdora w systemie.

Nie musisz wycinac calego. Ja wywalam m.in. echo request i rzeczywiscie

Olewaja sie, ale akurat tu wychodzi wiekszosc bledow implementacyjnych stosu. Zwykle nie prowadza one do jakiegos dramatycznego pogorszenia bezpieczenstwa systemu, ale bywaja upierdliwe, co tez moze wynikac z samej natury TCP. Np. zadania SYN wysylane czesto skutecznie moga ci zablokowac siec. Podobnie jak np. ping na broadcast i wiele innych. Z drugiej strony na podstawie tego taki nmap moze ci podac duzo szczegolow o atakowanym systemie. Kolejna rzecz to sam naglowek TCP. I tu prosty przyklad - generowanie kolejnych numerow sekwencji, ktore w w98 bynajmniej losowe nie jest. Czyli od razu otwiera sie cala gama atakow typu man-in-the-middle. Przyklady moznaby mnozyc, ale to nie miejsce na takie dywagacje.

Fakt, moj blad, jeszcze przez niecaly rok bedzie supportowane. Mieli sie z tego wycofac juz chyba rok temu, a ze ten system mnie nie interesuje to nie sledzilem tego.

T.M.F. napisał(a):

^^^^^^^^^^^^^^^

^^^^^^^^^^^

może najpierw byście się dogadali co do wersji? ;)

mogą zablokować działanie konkretnej _usługi_, która nie nadąża z odbieraniem połączeń i/lub całego systemu. do zablokowania _sieci_ wystarczą dowolne pakiety, byle były wysyłane odpowiednio często.

to dziwne, bo żaden Windows, z którym mam do czynienia (przyznam bez bicia, że nie miałem nigdy niczego lepszego niż Windows 98, ale o nim najwyraźniej mowa), nie chciał nigdy na broadcasty odpowiadać.

akurat przy man-in-the-middle losowość numerów sekwencyjnych nie ma najmniejszego znaczenia, bo masz je na tacy. chodziło Ci o spoofing w ciemno?

mnożąc przykłady wypadałoby jeszcze mieć pojęcie, o czym się mówi.

w.

Podawal takze przyklad, ze udostepnia dysk d, wiec nikt mu nie wejdzie na c. Niestety skoro cos udostepnia to odpala sie caly szereg uslug w ktorych jesli znajdzie sie blad to fakt jaki zasob sie udostepnia nie ma znaczenia, szczegolnie jesli uzywa sie systemu plikow, ktory nie ma zadnych zabezpieczen, jak np. FAT.

Owszem, ale dobrze skonfigurowany firewall cie przed tym ochroni.

Takie numery przechodzily w zupelnie poczatkowych implementacjach stosu. W linuxie mozna ta wlaczyc jesli sie chce, obecnie domyslnie wszystkie systemy maja to zablokowane z przyczyn dosyc oczywistych.

Blind spoofing jest jednym z typow MITM. Wiec o co ci chodzi?

Wtracajac sie do dyskusji wypadaloby cos do niej wniesc.

Nie znasz dnia ani godziny kiedy odkryja kolejna dziure. Pamietam jakiegos wiruska, ktory blyskawicznie atakowal XP w calej sieci - akurat chyba 98 byly na to odporne.

J.

Poprawka. Oczywiscie przed zablokowaniem sieci przez nadmiar pakietow zaden fw nie ochroni. Moja odpowiedz dotyczyla blokady uslugi/systemu.

T.M.F. napisał(a):

Twoja odpowiedź wyglądała tak, jakby dotyczyła fragmentu o nieudostępnianiu. skoro chodziło Ci o coś innego, to się już nie czepiam.

przed czym? zablokowaniem usługi czy łącza?

myślałem, że mowa jest o współczesnych systemach operacyjnych.

po co ktokolwiek miałby _w_ciemno_ wysyłać pakiety, skoro ruch przechodzi przez niego? bo sam spoofing, owszem, jest atakiem typu MITM.

koryguję błędy i niedomówienia. to za mało?

w.

Domyślnie usługi w windows (>=nt) są odpalane z uprawnieniami systemu (wyższymi niż root), więc nawet ntfs nic tu nie pomoże.

J.F. napisał(a):

Blaster zapewne. Sprytna bestyja. Bardziej wtajemniczeni wiedzą, że odpowiedni exploit wykorzystujący tą samą dziurę co Blaster pozwalał uzyskać zdalną konsolę c:\>

Co świadczy tylko o tym że system jest z błędami. Ale niekoniecznie, że FW jest potrzebny - chgoćby dlatego że WinXP ma wbudowany własny.

RoMan Mandziejewicz napisał(a):

FW ochroni Cie przed rozgryzieniem haseł w Win98 ?

User powinien wiedzieć, że w Win98 można odłączyć NetBIOS od protokołu TCP/IP do konkretnej karty. W ten sposób można łatwo sterować udostępnianiem na konkretne urządzenia sieciowe w kompie. Chyba że chcesz rozdawać zasoby konkretnym numerom IP, ale obawiam się, że NetBIOS wymaga możliwości rozgłaszania się broadcastem i nie powinno się tak robić. I znowu wychodzi na to, ze zamiast jednego kliknięcia gdzie trzeba FW staje się łatwiejszym rozwiązaniem dla Kowalskiego.

Piszę, że jeśli udostępnisz konkretny zasób, to w win9x potencjalny hacker nie da rady odczytać nic innego. Sam fakt że udostępniasz wszystkim jest - że tak powiem - wbudowany w filozofie NetBIOSa. Jak chcesz mieć większą kontrolę to kupujesz oprogramowanie zewnatrzne typu FTP, etc.

A ja uważam, że jesli to lameria to niech sobie pinguje ile chce. Niewiele więcej zrobią.

Remote exploit ? Jedyna dziura w TCP/IP Win9x to chyba wywalanie się systemu przy długim pingu. Reszta jest nieistotna z punktu widzenia bezpieczeństwa, co najwyżej ułatwia prowadzenie DoS. Na razie nie zaobserwowałem takich działać na żywo ani w sieci lokalnej ani w internecie do którego jestem wpięty łaczem 100MBit. Po prostu nikt nie ma interesu robić mi DoSa bo nie jestem ważnym serwerem konkurencji.

Z resztą skoro sa poprawki to czemu by ich nie wprowadzić ? Nie wszyscy mają pirackie windowsy i trzęsą portkami przed MS-update.

FW nie dopuści użytka z zewnątrz na porty NetBIOSu jeśli nieopatrznie pozostawię jakis zasób bez hasła.

_User_ nic nie musi wiedzieć. Jest uzytkownikiem a nie specjalistą od dłubania w systemie.

Dokładnie. Bo Kowalski nie musi się znać na wszystkim.

Robią - też jest w logach. Tobie na 100 Mbps wiele nie zrobią. Mi na ok. 90 kbps zrobią dużo. Za dużo.

Nie każdy wisi na łączu 100 Mbps i ma czas na bieganie między komputerami, zeby instalować kolejne poprawki co kilka dni.

A to już nie do mnie - używam tylko legalnego oprogramowania a licencji do Windowsów mam więcej niż żywych komputerów.