🚀 go-pugleaf

Michal Grotthuss wrote:
> Czy jest mozliwe ustawienie WWW serwera za firewall'em?

Tak.  U mnie tak stoi.  Trzeba tylko *bardzo* uwazac
na CGI.

> A jesli tak, to co jest sugerowane na firewall'a? Moze LINUX?

Rozumiem, ze chodzi o filtr pakietow w jadrze Linux'a.
To nie jest najlepszy pomysl.  Duzo lepiej postawic
jakies proxy.

> Z racji tego, ze WWW serwer bedzie mial support do bazy danych
> (polaczenie z SQL serwerem), musi byc chroniony i stad moje pytanie.

Warto byloby pomyslec tez nad zabezpieczeniem tej bazy.

						Michal Trojnara

Michal Trojnara <mtrojnar@ddc.daewoo.com.pl> writes:

> > Czy jest mozliwe ustawienie WWW serwera za firewall'em?
> 
> Tak.  U mnie tak stoi.  Trzeba tylko *bardzo* uwazac
> na CGI.
> 
> > A jesli tak, to co jest sugerowane na firewall'a? Moze LINUX?
> 
> Rozumiem, ze chodzi o filtr pakietow w jadrze Linux'a.
> To nie jest najlepszy pomysl.  Duzo lepiej postawic
> jakies proxy.

Co ma filtrowanie pakietow do "jakiegos proxy" ?
Przeciez port 80 serwera www musi byc dostepny bezposrednio (w kazdym
razie nie bardzo wiem, co dobrego daloby postawienie na tym porcie
proxy serwera w tym kierunku - co zlego, to wiem).

> > Z racji tego, ze WWW serwer bedzie mial support do bazy danych
> > (polaczenie z SQL serwerem), musi byc chroniony i stad moje pytanie.
> 
> Warto byloby pomyslec tez nad zabezpieczeniem tej bazy.

Baza baza - jesli dostep do niej bedzie nie bedzie mozliwy z zewnatrz,
a tylko z serwera http, a serwer http bedzie nielamalny, to nie ma
problemu. _WYSTARCZY_ tylko spelnic te dwa malenkie warunki :)
Serwer http w tym znaczeniu w sensie maszyny, nie demona.

Inna sprawa, ze mozna ograniczyc prawa serwera http do bazy danych
na tyle, na ile wymaga tego pobieranie danych przez www.
-- 
Krzysztof Halasa
Network Administrator of The Palace of Youth in Warsaw

Krzysztof Halasa wrote:
> Michal Trojnara <mtrojnar@ddc.daewoo.com.pl> writes:
> > > Czy jest mozliwe ustawienie WWW serwera za firewall'em?
> > Tak.  U mnie tak stoi.  Trzeba tylko *bardzo* uwazac
> > na CGI.
> > > A jesli tak, to co jest sugerowane na firewall'a? Moze LINUX?
> > Rozumiem, ze chodzi o filtr pakietow w jadrze Linux'a.
> > To nie jest najlepszy pomysl.  Duzo lepiej postawic
> > jakies proxy.
> Co ma filtrowanie pakietow do "jakiegos proxy" ?
> Przeciez port 80 serwera www musi byc dostepny bezposrednio (w kazdym
> razie nie bardzo wiem, co dobrego daloby postawienie na tym porcie
> proxy serwera w tym kierunku - co zlego, to wiem).

Pragne zauwazyc, ze to byla odpowiedz na pytanie:
"co jest sugerowane na firewall'a?".

Zasadniczo sa trzy rodzaje firewall'i:
1. Filtry pakietow
2. Circuit Level Gateway
3. Proxy

Linux sam w sobie, bez zainstalowania odpowiedniego oprogramowania,
*nie* jest firewall'em.  Przez "firewall na Linux'ie" rozmumie sie
zwykle konfiguracje Linuxa, w ktorej w jadro wkompilowuje sie
procedury filtra pakietow.  Warto uzupelnic to rozwiazanie
o proxy, czyli kontrole dostepu na poziomie aplikacji.

Port 80 serwera www *nie* musi byc dostepny bezposrednio.
Po drodze moze stac np. harvest, albo squid w trybie akceleratora
proxy, albo dowolny programik, ktory bedzie kontolowal przychodzace
odwolania i dopiero potem sam odwolywal sie do serwera www.

Czy wyjasnilem?

> > > Z racji tego, ze WWW serwer bedzie mial support do bazy danych
> > > (polaczenie z SQL serwerem), musi byc chroniony i stad moje pytanie.
> > Warto byloby pomyslec tez nad zabezpieczeniem tej bazy.
> Baza baza - jesli dostep do niej bedzie nie bedzie mozliwy z zewnatrz,
> a tylko z serwera http, a serwer http bedzie nielamalny, to nie ma
> problemu. _WYSTARCZY_ tylko spelnic te dwa malenkie warunki :)
> Serwer http w tym znaczeniu w sensie maszyny, nie demona.

Serwer http jest tylko nieznacznie mniej bezpieczny, niz umieszczone
na nim CGI.  To fakt.  Odwolanie do bazy jest jednak z reguly
robione wlasnie przez CGI i wlasnie tutaj jest najwieksze
niebezpieczenstwo.

Czyzbys jeszcze wierzyl w cos takiego jak "nielamalne oprogramowanie"?

Michal Trojnara
administrator Daewoo w Polsce

Podobnie jak pare dni temu napisalem w poczcie prywatnej...

Michal Trojnara <mtrojnar@ddc.daewoo.com.pl> writes:

> Linux sam w sobie, bez zainstalowania odpowiedniego oprogramowania,
> *nie* jest firewall'em.  Przez "firewall na Linux'ie" rozmumie sie
> zwykle konfiguracje Linuxa, w ktorej w jadro wkompilowuje sie
> procedury filtra pakietow.  Warto uzupelnic to rozwiazanie
> o proxy, czyli kontrole dostepu na poziomie aplikacji.

To nie jest prawda. Jadro Linux'a bez zadnych dodatkowych procedur
jest filtrem pakietow oraz proxy.

> Port 80 serwera www *nie* musi byc dostepny bezposrednio.

Ok. Nie musi.

> Po drodze moze stac np. harvest, albo squid w trybie akceleratora
> proxy, albo dowolny programik, ktory bedzie kontolowal przychodzace
> odwolania i dopiero potem sam odwolywal sie do serwera www.

Moze. Ale nie jestem przekonany o sensownosci takiego rozwiazania.
Nie spowoduje to zwiekszenia bezpieczenstwa systemu, a tylko je rozwodni
- server WWW nie bedzie znal nazwy klienta (bo bezposrednim klientem
bedzie proxy), koniecznosc podwojnego logowania dostepow, itd, itd.
A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).

> Serwer http jest tylko nieznacznie mniej bezpieczny, niz umieszczone
> na nim CGI.  To fakt.  Odwolanie do bazy jest jednak z reguly
> robione wlasnie przez CGI i wlasnie tutaj jest najwieksze
> niebezpieczenstwo.

Wlasnie, i dlatego korzystne jest filtrowanie pakietow na firewallu
bez udzialu zadnych proxy http, a zaoszczedzony czas nalezy przeznaczyc
na cgi.

> Czyzbys jeszcze wierzyl w cos takiego jak "nielamalne oprogramowanie"?

Zarty. Ale prawdopodobienstwo, ze ktos wlamie sie na odpowiednio
zabezpieczony serwer (filtr wpuszczajacy tylko ->port 80, nawet bez DNS,
i inne odpowiednie ustawienia serwera) jest wg mnie pomijalnie male.
-- 
Krzysztof Halasa
Network Administrator of The Palace of Youth in Warsaw

Krzysztof Halasa wrote:
> To nie jest prawda. Jadro Linux'a bez zadnych dodatkowych procedur
> jest filtrem pakietow oraz proxy.

Ooops?
A co to jest wg. Ciebie proxy i jak jest zrealizowane w jadrze Linux'a.

> > Po drodze moze stac np. harvest, albo squid w trybie akceleratora
> > proxy, albo dowolny programik, ktory bedzie kontolowal przychodzace
> > odwolania i dopiero potem sam odwolywal sie do serwera www.
> Moze. Ale nie jestem przekonany o sensownosci takiego rozwiazania.
> Nie spowoduje to zwiekszenia bezpieczenstwa systemu, a tylko je rozwodni
> - server WWW nie bedzie znal nazwy klienta (bo bezposrednim klientem
> bedzie proxy), koniecznosc podwojnego logowania dostepow, itd, itd.
> A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
> calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).

Nie bardzo rozumiem.  W porownaniu z czym takie rozwiazanie nie jest
bezpieczne?  W porownaniu z postawieniem serwera WWW na firewall'u
(i zakladaniem kont uzytkownikom na firewall'u)?

> > Serwer http jest tylko nieznacznie mniej bezpieczny, niz umieszczone
> > na nim CGI.  To fakt.  Odwolanie do bazy jest jednak z reguly
> > robione wlasnie przez CGI i wlasnie tutaj jest najwieksze
> > niebezpieczenstwo.
> Wlasnie, i dlatego korzystne jest filtrowanie pakietow na firewallu
> bez udzialu zadnych proxy http, a zaoszczedzony czas nalezy przeznaczyc
> na cgi.

Narysuj, prosze, jaka topologie uwazasz za bezpieczniejsza.
Bez tego trudno mi cos odpowiedziec.

> Zarty. Ale prawdopodobienstwo, ze ktos wlamie sie na odpowiednio
> zabezpieczony serwer (filtr wpuszczajacy tylko ->port 80, nawet bez DNS,
> i inne odpowiednie ustawienia serwera) jest wg mnie pomijalnie male.

Owszem.  Jezeli taki serwer nie ma stron domowych uzytkownikow, CGI
(np. odwolan do baz danych), a tylko statyczne strony, to zgadzam sie.
Tylko po co komu taki serwer?

> Krzysztof Halasa
> Network Administrator of The Palace of Youth in Warsaw

					Michal Trojnara
					Network Administrator of Deawoo

Michal Trojnara wrote:

> Owszem.  Jezeli taki serwer nie ma stron domowych uzytkownikow, CGI
> (np. odwolan do baz danych), a tylko statyczne strony, to zgadzam sie.
> Tylko po co komu taki serwer?

Jak to po co ? Czy uwazasz ze wszystko powinno stac na jednej maszynie ?
Wedlug mnie to powinno wygladac tak:

jedna siec LAN z filtrowaniem pakietow na HUB'ie lub routerze, w niej
znajduje sie:

- serwer z baza danych
- serwer WWW
- serwer pocztowy (wylacznie POP)
- serwer DNS

(osobiscie do tej sieci wpuszczalbym jedynie pakiety na porty
22,53,80,110, >1024 i to tez wylacznie na niektore maszyny, a co do SSH
to wylaczylbym opcje podania hasla i korzystal z kluczy RSA wraz z
passphrase)

druga siec LAN:

- serwer z kontami 'shellowymi', ktory takze moze sluzyc za serwer WWW
dla uzytkonikow.

-----------------
Ale od bezpieczenstwa sieci jest tu zapewne wielu ekspertow, ktorzy moga
lepiej doradzic.

Z pozdrowieniami,

Grzegorz BRZESKI

--
Gregory BRZESKI - WEB Corporation Limited - http://www.webcorp.co.uk/

Gregory BRZESKI wrote:
> > Owszem.  Jezeli taki serwer nie ma stron domowych uzytkownikow, CGI
> > (np. odwolan do baz danych), a tylko statyczne strony, to zgadzam sie.
> > Tylko po co komu taki serwer?
> Jak to po co ? Czy uwazasz ze wszystko powinno stac na jednej maszynie ?
> Wedlug mnie to powinno wygladac tak:
> jedna siec LAN z filtrowaniem pakietow na HUB'ie lub routerze, w niej
> znajduje sie:
> - serwer z baza danych
> - serwer WWW
> - serwer pocztowy (wylacznie POP)

Fajnie.  Bardzo oryginalne rozwiazanie.  Host, z ktorego mozna pobrac
poczte, a nie mozna do niego wyslac poczty.  8-)))

> - serwer DNS
> 
> (osobiscie do tej sieci wpuszczalbym jedynie pakiety na porty
> 22,53,80,110, >1024 i to tez wylacznie na niektore maszyny, a co do SSH
> to wylaczylbym opcje podania hasla i korzystal z kluczy RSA wraz z
> passphrase)

Co masz na porcie 22?

> - serwer z kontami 'shellowymi', ktory takze moze sluzyc za serwer WWW
> dla uzytkonikow.

A jak z dostepem do tej drugiej sieci (filtrowanie)?

							Michal Trojnara

Michal Grotthuss wrote:
> > A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
> > calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).
> Proxy i FW chce postawic na jednej maszynie (chyba RedHat, bo najtaniej)
> i udostepnic prace na niej tylko adminowi i tylko z konsoli wiec chyba
> 'bezpieczenstwo inaczej' nie grozi. A jak sie ktos wlamie na proxy, to
> czy to nie wszystko jedno czy na proxy czy FW?

Przepraszam za glupie pytanie:

Proxy, jak powszechnie wiadomo jest *rodzajem* firewall'a:

Internet Firewalls Frequently Asked Questions
http://www.clark.net/pub/mjr/pubs/fwfaq/index.htm

Zacytuje:
"Application level firewalls generally are hosts running proxy
servers, which permit no traffic directly between networks, and
which perform elaborate logging and auditing of traffic passing
through them. Since the proxy applications are software
components running on the firewall, it is a good place to do lots
of logging and access control. Application level firewalls can
be used as network address translators, since traffic goes in
one "side" and out the other, after having passed through an
application that effectively masks the origin of the initiating
connection. Having an application in the way in some cases may
impact performance and may make the firewall less transparent.
Early application level firewalls such as those built using the
TIS firewall toolkit, are not particularly transparent to end users
and may require some training. Modern application level
firewalls are often fully transparent. Application level firewalls
tend to provide more detailed audit reports and tend to enforce
more conservative security models than network level firewalls."

Jak w tym kontekscie rozumiec cytowane zdanie mojego imiennika?

				Z powazaniem

						Michal Trojnara

Michal Trojnara wrote:

> Fajnie.  Bardzo oryginalne rozwiazanie.  Host, z ktorego mozna pobrac
> poczte, a nie mozna do niego wyslac poczty.  8-)))

Wiedzialem ze czegos zapomnialem :-) no sendmail na portcie 25 moze byc
:-)

> > (osobiscie do tej sieci wpuszczalbym jedynie pakiety na porty
> > 22,53,80,110, >1024 i to tez wylacznie na niektore maszyny, a co do SSH
> > to wylaczylbym opcje podania hasla i korzystal z kluczy RSA wraz z
> > passphrase)
> 
> Co masz na porcie 22?

z /etc/services:

ssh             22/tcp          Secure Shell
 
> > - serwer z kontami 'shellowymi', ktory takze moze sluzyc za serwer WWW
> > dla uzytkonikow.
> 
> A jak z dostepem do tej drugiej sieci (filtrowanie)?

W zaleznosci od potrzeb i uslug jakie swiadczysz klientom ktorzy
posiadaja konta shell'owe. Moim zdaniem takze powinno utworzyc sie kilka
'secure enviroments' na serwerze i w zalenzosci od zakwalifikowania
uzytkownika wykonywac odpowiedni chroot() do jego srodowiska.

Polecam 'Practical Unix i Internet Security' by ORA, duzo tam daja
rozwiazan bezpiecznych srodowisk pracy.

W swoim poprzednim przykladzie chcialem jedynie pokazac roznice
pomiedzy, 'trusted' LAN i 'untrusted' i ze wszystko na jednym serwerze
trudno zrobic.

Z pozdrowieniami,

Grzegorz BRZESKI

--
Gregory BRZESKI - WEB Corporation Limited - http://www.webcorp.co.uk/

Gregory BRZESKI wrote:
> > > - serwer z kontami 'shellowymi', ktory takze moze sluzyc za serwer WWW
> > > dla uzytkonikow.
> > A jak z dostepem do tej drugiej sieci (filtrowanie)?
> W zaleznosci od potrzeb i uslug jakie swiadczysz klientom ktorzy
> posiadaja konta shell'owe. Moim zdaniem takze powinno utworzyc sie kilka
> 'secure enviroments' na serwerze i w zalenzosci od zakwalifikowania
> uzytkownika wykonywac odpowiedni chroot() do jego srodowiska.

Jezeli dobrze zrozumialem, to proponujesz strukture typu:
                             |--[filtr   ]--[serwer www + ]
                             |  [pakietow]  [baza danych  ]
internet--[modem]--[router]--|
                             |--[serwer www     + ]
                                [konta pracownikow]

Czy w takim systemie nie bedzie utrudnieniem to, ze pracownicy maja
taki sam dostep do bazy jak ludzie z Internetu?

Pozdrawiam,

							Michal Trojnara

PS: Secure environments to bardzo dobrze brzmiaca koncepcja,
ale ma duze luki i jest czesto tylko teoria.

							Michal Trojnara

Michal Grotthuss wrote:
> Pojecie 'proxy' nie oznacza tylko FW ale rowniez cos w rodzaju cache'a.

To *nie* jest prawda.  Owszem, ostatnio coraz modniejsze sa proxy,
ktore realizuja cache webowy, ale jest to osobna kategoria.
Klasyczny proxy - TIS - podawany jako pewien wzorcowy przyklan zadnego
cache nie ma.

> Chce na RedHat'cie postawic blokade ruchu wchodzacego do serwera WWW
> oraz uruchomic transparentna aplikacje posredniczaca miedzy serwerem WWW
> a 'reszta swiata'.

Aplikacja nigdy nie bedzie transparentna.  Transparentny moze byc
filtr pakietow, PIX czy inny masquarading, albo rozwiazanie hybrydowe:
specjalnie przygotowane jadro + aplikacja.

> Serwer WWW (platforma WinNT) bedzie robil za 'reklamowke' i poczatkowo
> tylko wlasna a potem tez innych klientow, oraz z jego stron WWW i
> *tylko* ze stron bedzie mozna miec dostep do SQLserwera.

Jak to zrobic w praktyce?

> (Tu pytanie: czy selektywny dostep do waznych stron oprzec na kontach NT
> czy sa inne pomysly?)

Raczej nie.  IMHO lepiej zdefiniowac oddzielne hasla, zeby uniknac
przechwycenia.

> Dodatkowo przewiduje tez dla niego funkcje FTP (sciaganie dem).

> Skoro w bazie danych beda wazne dane (wartaloby je utajnic w czasie
> transmisji), przewiduje tez w przyszlosci albo:
> - przerzucic sie na komercyjnego FW z wbudowana obsluga VPN'a
> - poprzestac na SSL'u obslugiwanym przez WWWserwer

To zalezy, jak wazne sa Twoje dane.  Jezeli zalezy Ci, zeby zabezpieczyc
sie przed przecietnym hackerem - wystarczy drugie rozwiazanie.
Jezeli chcesz zabezpieczyc sie przed wyjatkowo upartym hackerem,
konkurencyjna firma czy czyms w tym stylu - polecam VPN np. na
produktach
NSC.  Jezeli chcesz sie zabezpieczyc przed FBI, to mozesz polozyc
swiatlowod i postawic przy nim facetow z kalaszami, albo modlic sie.
(polecam jedno i drugie)

					Pozdrawiam,

							Michal Trojnara

Michal Trojnara wrote:
 
> Czy w takim systemie nie bedzie utrudnieniem to, ze pracownicy maja
> taki sam dostep do bazy jak ludzie z Internetu?

Nie wiem co chcesz osiagnac i jakie jest Twoje zapotrzebowanie. Pisalem
na ten temat BARDZO ogolnie aby tylko dac pomysl i uzmyslowic ze
wszystkiego na jednym serwerze nie powinno sie robic. Jesli chodzi o
dokladne rozwiazanie dla Ciebie to wpierw musialbys podac co chcesz
osiaganac, jakie warunki musza byc spelnione itp. Tak jak wspomnialem
nie jestem ekspertem jesli chodzi o bezpieczenstwo sieci wiec nie chce
sie specjalnie wypowiadac na specyficzne pytania.

> PS: Secure environments to bardzo dobrze brzmiaca koncepcja,
> ale ma duze luki i jest czesto tylko teoria.

Lepsze to niz nic, zawsze kilku puntow ekstra bezpieczenstwa.

Z pozdrowieniami,

Grzegorz BRZESKI

--
Gregory BRZESKI - WEB Corporation Limited - http://www.webcorp.co.uk/

Gregory BRZESKI wrote:
> Nie wiem co chcesz osiagnac i jakie jest Twoje zapotrzebowanie. Pisalem
> na ten temat BARDZO ogolnie aby tylko dac pomysl i uzmyslowic ze
> wszystkiego na jednym serwerze nie powinno sie robic. Jesli chodzi o
> dokladne rozwiazanie dla Ciebie to wpierw musialbys podac co chcesz
> osiaganac, jakie warunki musza byc spelnione itp. Tak jak wspomnialem
> nie jestem ekspertem jesli chodzi o bezpieczenstwo sieci wiec nie chce
> sie specjalnie wypowiadac na specyficzne pytania.

Taka dygresja filozoficzna:

Bezpieczenstwo w sieci *zawsze* jest specyficzne.
Rozwiazanie albo ma sens, albo go nie ma.
Rozwiazania, ktore maja sens tylko w ogolnym zarysie,
nie maja go wcale.

Jezeli wypowiadamy sie na jakis temat, to powinnismy
cos miec na ten temat do powiedzenia.
W przeciwnym wypadku lepiej milczec.

To, ze na temat filozofii zabezpieczen w sieciach
powstaly grube ksiazki, swiadczy tylko o tym,
ze jest na nie rynek.  Bynajmniej nie swiadczy to
o praktycznej potrzebie ich istnienia.

W dziedzinie zabezpieczen liczy sie tylko i wylacznie
P R A K T Y K A.

						Michal Trojnara

Michal Grotthuss wrote:
. Skonczmy klotnie na temat znaczenia slowa 'proxy'. To do niczego nie
. prowadzi.

Prowadzi do ustalenia jednoznacznego slownictwa, abysmy wiedzieli,
o czym rozmawiamy.  Jaki sens ma rozmowa, jezli nie wiem, co moj
rozmowca ma na mysli?

. > > Serwer WWW (platforma WinNT) bedzie robil za 'reklamowke' i
poczatkowo
. > > tylko wlasna a potem tez innych klientow, oraz z jego stron WWW i
. > > *tylko* ze stron bedzie mozna miec dostep do SQLserwera.
. > Jak to zrobic w praktyce?
. To JA sie pytam jak to zrobic? Chce SQL serwer postawic za WWW
. (koniecznie tak i koniecznie oba na WinNT4.0), a WWW za FW (coby
. bezpieczniej) i szukam optymalnego rozwiazania.

Jezeli pytasz, *czy* to ma sens to myslalem, czy masz pomysl *jak* to
zrobic.  Sorry.
 
. > > (Tu pytanie: czy selektywny dostep do waznych stron oprzec na
kontach NT
. > > czy sa inne pomysly?)
. > Raczej nie.  IMHO lepiej zdefiniowac oddzielne hasla, zeby uniknac
. > przechwycenia.
. Nie rozumiem. Dodatkowe hasla??? Hasla do poszczegolnych stron??? Po
. co???
. Przeciez czlowiek 'z reszty swiata' majacy dostep do waznej strony
musi
. sie jakos uwierzytelnic przed serwerem np. poprzez haslo.
. Moje rozwiazanie (BTW od kogos z tej listy - dzieki :-))) ) jest
takie,
. coby uprawnionym uzytkownikom potworzyc konta na NT z prawem dostepu
do
. zastrzezonych stron.
. Nie rozumiem na czym polega Twoje rozwiazanie.

A ja nie rozumiem, na czym polega Twoje rozwiazanie...
Czy przy wchodzeniu na strone serwer ma zmieniac swoje uprawnienia
na uprawnienia konkretnego uzytkownika z ominieciem normalnego
mechanizmu hasel (tzn. oddzielonego od hasel systemowych)?

. > > Skoro w bazie danych beda wazne dane (wartaloby je utajnic w
czasie
. > > transmisji), przewiduje tez w przyszlosci albo:
. > > - przerzucic sie na komercyjnego FW z wbudowana obsluga VPN'a
. > > - poprzestac na SSL'u obslugiwanym przez WWWserwer
. > To zalezy, jak wazne sa Twoje dane.  Jezeli zalezy Ci, zeby
zabezpieczyc
. > sie przed przecietnym hackerem - wystarczy drugie rozwiazanie.
. Moze to glupie co powiem, ale atak na SSL'a (rozwalanie DES'a) to
raczej
. robota nie dla hackera, ale kryptoanalityka. Ale to tylko off-topic.
Nie
. ma sensu sie o to spierac.

A co ma do tego DES?
Ponad rok temu opisywali, ze SSL'a mozna zlamac w ciagu kilku
godzin na zwyklym PC (zly algorytm generowania liczb pseudolosowych
w przegladarce pozwalajacy znacznie ograniczyc przestrzen kluczy).
Poza tym w wersji eksportowej jest tylko 40-bitowy RC4.

							Michal Trojnara

Michal Grotthuss wrote:
> Cytuje kol. Leszka Andzela, od ktorego to dostalem (jeszcze raz dzieki
> :-)):

Dzieki za puszczenie na liste.  Dobre.

> > A co ma do tego DES?
> M. in. DES'a mozna uzyc do szyfrowania sesji.

A jak jest przekazywany klucz?

> > Ponad rok temu opisywali, ze SSL'a mozna zlamac w ciagu kilku
> > godzin na zwyklym PC (zly algorytm generowania liczb pseudolosowych
> > w przegladarce pozwalajacy znacznie ograniczyc przestrzen kluczy).
> Gdzie to bylo? Chetnie poczytam. Moglbys podeslac?

Poszukalem dla Ciebie:
http://pauillac.inria.fr/~doligez/ssl/press-conf.html
http://www.c2.org/hacknetscape/critique.phtml
http://www.colorado.edu/CNS/Digit/mayjune96/privacy.html
http://techweb.cmp.com/ng/magazine/archive/1996/3q/august/techshop/security3.htm
i kilkaset innych.
Szukaj np. wg. klucza netscape+ssl+break+students

> > Poza tym w wersji eksportowej jest tylko 40-bitowy RC4.
> Wlasnie nie do konca. W draft'cie (dokladnego linku nie pamietam, ale
> poszukaj na netscape.com) autorzy zakladaja mozliwosc 40-bitowego
> eksportowalnego DES'a.
> Ale czy to bedzie w rzeczywistosci dostepne ...

Gdzie mozna znalezc opis tego 40-bitowego DES'a?

							Michal Trojnara

Jako, ze to ja rzucilem ten temat:

Krzysztof Halasa wrote:
> Moze. Ale nie jestem przekonany o sensownosci takiego rozwiazania.
[tzn. proxy na FW stajacym przed serwerem WWW] <---moj przypisek

> Nie spowoduje to zwiekszenia bezpieczenstwa systemu, a tylko je rozwodni
> - server WWW nie bedzie znal nazwy klienta (bo bezposrednim klientem
> bedzie proxy)
Jak rozumiem chodzi o IP klienta. To bedzie znac posredniczace w
komunikacji proxy wiec gdzie problem?

> koniecznosc podwojnego logowania dostepow, itd, itd.
Tak, jesli stosujesz FW typu "dual-homed gateway", co jednak (na
szczescie  :-))) nie jest jedynym mozliwym rozwiazaniem.

> A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
> calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).
Proxy i FW chce postawic na jednej maszynie (chyba RedHat, bo najtaniej)
i udostepnic prace na niej tylko adminowi i tylko z konsoli wiec chyba
'bezpieczenstwo inaczej' nie grozi. A jak sie ktos wlamie na proxy, to
czy to nie wszystko jedno czy na proxy czy FW?

> Wlasnie, i dlatego korzystne jest filtrowanie pakietow na firewallu
> bez udzialu zadnych proxy http, a zaoszczedzony czas nalezy przeznaczyc
> na cgi.
Dlaczego uwazasz za zly pomysl posrednictwo proxy miedzy klientem a
serwerem WWW?

Michas
PS.
Bylbym wdzieczny za Cc do mnie wszelkiej prywatnej poczty w tej sprawie.

Michal Trojnara wrote:
> Michal Grotthuss wrote:
> > Proxy i FW chce postawic na jednej maszynie (chyba RedHat, bo najtaniej)
> > i udostepnic prace na niej tylko adminowi i tylko z konsoli wiec chyba
> > 'bezpieczenstwo inaczej' nie grozi. A jak sie ktos wlamie na proxy, to
> > czy to nie wszystko jedno czy na proxy czy FW?
> 
> Przepraszam za glupie pytanie:
off-topic: nie ma glupich pytan; sa tylko glupie odpowiedzi :-)

> Proxy, jak powszechnie wiadomo jest *rodzajem* firewall'a:
> Zacytuje:
[... ciach ...]
> Jak w tym kontekscie rozumiec cytowane zdanie mojego imiennika?
Po pierwsze:
Pojecie 'proxy' nie oznacza tylko FW ale rowniez cos w rodzaju cache'a.

Po drugie:
Moze sie nie umialem wyslowic. Sprecyzuje wiec.
Chce na RedHat'cie postawic blokade ruchu wchodzacego do serwera WWW
oraz uruchomic transparentna aplikacje posredniczaca miedzy serwerem WWW
a 'reszta swiata'.
A ze sam sie za geniusza w tej dziedzinie nie uwazam, pytam innych co
proponuja w tej materii.
Serwer WWW (platforma WinNT) bedzie robil za 'reklamowke' i poczatkowo
tylko wlasna a potem tez innych klientow, oraz z jego stron WWW i
*tylko* ze stron bedzie mozna miec dostep do SQLserwera.
(Tu pytanie: czy selektywny dostep do waznych stron oprzec na kontach NT
czy sa inne pomysly?)
Dodatkowo przewiduje tez dla niego funkcje FTP (sciaganie dem).
Skoro w bazie danych beda wazne dane (wartaloby je utajnic w czasie
transmisji), przewiduje tez w przyszlosci albo:
- przerzucic sie na komercyjnego FW z wbudowana obsluga VPN'a
- poprzestac na SSL'u obslugiwanym przez WWWserwer

Pozdrawiam
Michas

Michal Trojnara wrote:
> 
> Michal Grotthuss wrote:
> > Pojecie 'proxy' [ ... ciach ... ]
Skonczmy klotnie na temat znaczenia slowa 'proxy'. To do niczego nie
prowadzi.

> > Serwer WWW (platforma WinNT) bedzie robil za 'reklamowke' i poczatkowo
> > tylko wlasna a potem tez innych klientow, oraz z jego stron WWW i
> > *tylko* ze stron bedzie mozna miec dostep do SQLserwera.
> Jak to zrobic w praktyce?
To JA sie pytam jak to zrobic? Chce SQL serwer postawic za WWW
(koniecznie tak i koniecznie oba na WinNT4.0), a WWW za FW (coby
bezpieczniej) i szukam optymalnego rozwiazania.
 
> > (Tu pytanie: czy selektywny dostep do waznych stron oprzec na kontach NT
> > czy sa inne pomysly?)
> Raczej nie.  IMHO lepiej zdefiniowac oddzielne hasla, zeby uniknac
> przechwycenia.
Nie rozumiem. Dodatkowe hasla??? Hasla do poszczegolnych stron??? Po
co???
Przeciez czlowiek 'z reszty swiata' majacy dostep do waznej strony musi
sie jakos uwierzytelnic przed serwerem np. poprzez haslo.
Moje rozwiazanie (BTW od kogos z tej listy - dzieki :-))) ) jest takie,
coby uprawnionym uzytkownikom potworzyc konta na NT z prawem dostepu do
zastrzezonych stron.
Nie rozumiem na czym polega Twoje rozwiazanie.

> > Skoro w bazie danych beda wazne dane (wartaloby je utajnic w czasie
> > transmisji), przewiduje tez w przyszlosci albo:
> > - przerzucic sie na komercyjnego FW z wbudowana obsluga VPN'a
> > - poprzestac na SSL'u obslugiwanym przez WWWserwer
> To zalezy, jak wazne sa Twoje dane.  Jezeli zalezy Ci, zeby zabezpieczyc
> sie przed przecietnym hackerem - wystarczy drugie rozwiazanie.
Moze to glupie co powiem, ale atak na SSL'a (rozwalanie DES'a) to raczej
robota nie dla hackera, ale kryptoanalityka. Ale to tylko off-topic. Nie
ma sensu sie o to spierac.

> Jezeli chcesz zabezpieczyc sie przed wyjatkowo upartym hackerem,
> konkurencyjna firma czy czyms w tym stylu - polecam VPN np. na
> produktach NSC.
Nie wiem, czy VPN'y wbudowane w komercyjne FW sa duzo lepsze. Na
Intersec'u'97 prezentowali rozne produkty, ale tylko przdstawicielka
SUN'a podala troche szczegolow co jest w 'srodku'. A ze pisze z tego
prace dyplomowa (zarzadzanie kluczami), poznecalem sie troche nad nia -
co (z racji tego, ze to kobieta) nie uwazam za czyn wybitnie
dzentelmenski. Ale slabe punkty w VPN'ie SUN'owym moim zdaniem sa.
A ze dokladnie 'przegryzlem' sie przed dokumentacje SSL'a 3,0 uwazam, ze
jesli jakis serwer WWW (ja takiego nie znam, moze ktos zna???) umozliwia
dokladna konfiguracje SSL'a (np. preferencje serwera WWW co do wyboru
tzw. cipher_suite), bedzie to moglo byc calkiem bezpieczne rozwiazanie.

> Jezeli chcesz sie zabezpieczyc przed FBI, to mozesz polozyc
> swiatlowod i postawic przy nim facetow z kalaszami, albo modlic sie.
> (polecam jedno i drugie)
Albo olac restrykcje prawa eksportowego USA, ale to inna para kamaszy.

Pozdrawiam
Michas

Michal Trojnara wrote:
> 

> A ja nie rozumiem, na czym polega Twoje rozwiazanie...
> Czy przy wchodzeniu na strone serwer ma zmieniac swoje uprawnienia
> na uprawnienia konkretnego uzytkownika z ominieciem normalnego
> mechanizmu hasel (tzn. oddzielonego od hasel systemowych)?
Cytuje kol. Leszka Andzela, od ktorego to dostalem (jeszcze raz dzieki
:-)):
1. Usunac prawo dostepu dla IIS_USER do wybranego katalogu, do ktorego
ma miec dostep tylko grupa osob.
2. Zalozyc konta dla tych osob na NT i przydzielic je do specjalnej
grupy np. "Special"
3. Dac prawo czytania katalogu i plikow dla grupy "Special"
4. W user menagerze, w User Rights nadac grupie "Special" prawo do
lokalnego logowania sie (bardzo wazne!!!)

Po tych operacjach z poziomu znanych przegladarek przy wejsciu na podany
adres (request dostepu do podanego katalogu) powinien sie pojawic Dialog
Box zadajacy logina i hasla zabezpieczajacego dostep do zasobu.
Wystarczy wpisac nazwe uzytkownika nalezacego do grupy "Special" i podac
haslo.

> A co ma do tego DES?
M. in. DES'a mozna uzyc do szyfrowania sesji.

> Ponad rok temu opisywali, ze SSL'a mozna zlamac w ciagu kilku
> godzin na zwyklym PC (zly algorytm generowania liczb pseudolosowych
> w przegladarce pozwalajacy znacznie ograniczyc przestrzen kluczy).
Gdzie to bylo? Chetnie poczytam. Moglbys podeslac?

> Poza tym w wersji eksportowej jest tylko 40-bitowy RC4.
Wlasnie nie do konca. W draft'cie (dokladnego linku nie pamietam, ale
poszukaj na netscape.com) autorzy zakladaja mozliwosc 40-bitowego
eksportowalnego DES'a.
Ale czy to bedzie w rzeczywistosci dostepne ...

Pozdrawiam
Michas

Michal Trojnara (mtrojnar@ddc.daewoo.com.pl) wrote:

: Gdzie mozna znalezc opis tego 40-bitowego DES'a?

40 bitowy DES to (przynajmniej w CISCO) taki normalny
56 bitowy DES z dodatkowym udogodnieniem polegajacym
na wyserowanu 16 gornych bitow klucza. Nie jestem
pewny na ile silne to jest oslabienie algorytmu.
Wydaje mi sie, ze jest to efektywnie wieksze uprozczenie
niz do 40 bitow z uwagi na silne oslabienie jednej 'strony'
algorytmu.

Pozdrawiam
PiotrS


--
_______________________________________________________________________
##### # ##### ##### ##### #####          Piotr Skibinski
#   # # #   #   #   #   # #         System and Network Manager        I
##### # #   #   #   ##### #####   Faculty of Electronics Engineering  R
#     # #   #   #   #  #      #    Warsaw University of Technology    C
#     # #####   #   #   # #####    http://www.ia.pw.edu.pl/~piotrs/
-----------------------------------------------------------------------

Piotr Skibinski wrote:
> 
> Michal Trojnara (mtrojnar@ddc.daewoo.com.pl) wrote:
> 
> : Gdzie mozna znalezc opis tego 40-bitowego DES'a?
> 
> 40 bitowy DES to (przynajmniej w CISCO) taki normalny
> 56 bitowy DES z dodatkowym udogodnieniem polegajacym
Ja bym tego nie nazwal 'udogodnieniem'.

> na wyzerowanu 16 gornych bitow klucza. 
Tak, ale nie koniecznie tak.
W przypadku SSL'a (ver 2.0 chyba tak, a w 3.0 to nie wiem) jest tak, ze
40 bitow jest przekazywanych w sposob chroniony (zaszyfrowane kluczem
publicznym odbiorcy) zas pozostale 16 otwartym tekstem.

> Nie jestem pewny na ile silne to jest oslabienie algorytmu.
> Wydaje mi sie, ze jest to efektywnie wieksze uprozczenie
> niz do 40 bitow z uwagi na silne oslabienie jednej 'strony'
> algorytmu.
Wystarczajaca silne oslabienie, aby NSA mogla to rozdlubac w max
kilka(nascie) minut zwyklym brutalnym atakiem.

Pozdrawiam
Michas

Michal Grotthuss wrote:

> Gdzie to bylo? Chetnie poczytam. Moglbys podeslac?

Ta sprawa dotyczyla Netscape'a. Jego serwery generowały ciągi, które po
20kilku razach dawały się przewidzieć. Ale tego błędu już w tej chwili
(podobno) nie ma.

Michał

-- 
********     MEMBER OF THE INTERNATIONAL PROGRAMMERS GUILD    ********
WWW: http://www.lodz.pdi.net/~mimo  tel: Int. Acc. Code + 48 42 148340
add: Michal Mosiewicz  *  Bugaj 66 m.54 *  95-200 Pabianice  *  POLAND

In article <m3iv38imhs.fsf@intrepid.pm.waw.pl> Krzysztof Halasa 
<khc@intrepid.pm.waw.pl> writes:

   > Po drodze moze stac np. harvest, albo squid w trybie akceleratora
   > proxy, albo dowolny programik, ktory bedzie kontolowal przychodzace
   > odwolania i dopiero potem sam odwolywal sie do serwera www.

   Moze. Ale nie jestem przekonany o sensownosci takiego rozwiazania.
   Nie spowoduje to zwiekszenia bezpieczenstwa systemu, a tylko je rozwodni
   - server WWW nie bedzie znal nazwy klienta (bo bezposrednim klientem
   bedzie proxy), koniecznosc podwojnego logowania dostepow, itd, itd.
   A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
   calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).

Apropos... Szef przywiózł z InterSecu kupę rekklamówek. M. in oparty
na BSDI firewall będący jednocześnie FTP, WWW, MX, i newsserwerem dla
sieci firmy. Ciekawe ile firm się na to coś nabierze....

Alex
-- 
Janusz A. Urbanowicz, student of physics, Amiga user |finger for PGP&Geek Code
administrator of eris.phys.uni.torun.pl and pec.torun.pl domain
http://eris.phys.uni.torun.pl/~alex/ | 'To stay young, / To save the world, /
Break the mirror' -- Nanao Sakaki 'Break the mirror'