ICMP - nikoli pro srandu králíkům

11.5.2005 21:22 | Přečteno: 2792× | Ze života

Už jsem zase slyšel o zbytečnosti používání ICMP, včetně doporučení všechen ICMP provoz na firewallu zablokovat. Kdy už "odborníci" začnou přemýšlet...

Někdy, když slyším nebo čtu doporučení týkající se počítačové bezpečnosti, nevím, jestli se mám smát, brečet, anebo autorovi rad jemně prakticky naznačit, co mu nebozí uživatelé provedou. Spousta "bezpečnostních" doporučení totiž nadělá víc škody než užitku.

Jedním z typických příkladů tohoto druhu je poměrně často slýchaná rada, že by se měl zablokovat veškerý ICMP provoz. To je samozřejmě hovadina z nejhorších. Kdyby si autor takové rady aspoň přečetl třeba RFC 792 (a pokud možno ho i pochopil), snad by mluvil jinak. ICMP má pro provoz sítě dost závažný význam.

Je zajímavé, že kdekdo ví, že klasický ping využívá právě ICMP. Z toho také pramení zdůvodnění: "Nějakej blbej ping nebudeš potřebovat. A navíc nikdo nebude pingovat tebe, to je strašně důležitý." Ale to, že ICMP slouží především k signalizaci různých síťových problémů, asi ani netuší. A tak když se bude prohlížeč nekonečně dlouho a bez jakékoli odezvy zkoušet připojit na server, který je zrovna odstavený, bude proklínáno všechno (prohlížeč, OS, síť atd.), jen ne pravý viník.

Typické je také to, že ti, kdo dávají takové rady na "superzabezpečení počítače", mají na tom svém rootovské/adminovské heslo nastavené na "root" nebo "admin", dávno známé bezpečnostní díry nechávají nezazáplatované a v počítači jim nezřídka řádí několik červů či trojanů.

       

Komentáře

[VícNežNic]

On i ten ping je velmi užitečná věc, blokovače bych od sítě odpojoval štípačkama

[Luk]

U serverů bych o tom vůbec nediskutoval, u běžných desktopů to není životně důležité - i když i tam se funkčnost pingu hodí.

[VícNežNic]

No, není, ale nevidím žádný přínos v blokování pingu, vidím ovšem přínos v něm samotném a jeho použití.

Pamatuju si na knihu Linux, hacking bez tajemství, kde části o firewallu byly hádkou mezi autory a překladatelem, který ve svých poznámkách pod čarou neustále kritizoval nesmyslnost blokování pingu a ICMP obecně. Je fakt, že zrovna firewally tam byly odfláknuté.

[Zdeněk Burda]

Běž se zeptat někoho na SH/blk9, kde jsem pár lidí odpojil, když měli zakázaný ping na desktopu. Docházely nám IP adresy a když se jejich počítač jevil jako dlouhodobě neaktivní, prostě jsem mu odebral IP a měl smolíka

[Michal Marek (twofish)]

je pochopitelně přejmenovat roota

(a nechat si tam děravé sshčko...)

[Michal Kubeček]

Ale hlavně musí být na jiném portu než 22, to je naprostý základ. Pak může být klidně děravé a hesla triviální, ale je to "fpoho"… :-)

[anon123]

Je opravdu nutne prejmenovat root? Nestaci jen zakazat aby se nemohl pripojit vzdalene? Dale bych se zeptal, jak takovou operaci provest, aby to nemelo nasledek na sambu atd. Nebo proste staci jen v passwd zmenit root na neco jineho?

[Michal Kubeček]

Ach jo. To se dalo čekat, že někdo nepochopí, že si děláme legraci… :-(

[kavol]

Vy jste si snad nepřepsal v /etc/passwd & /etc/shadow root na toor (případně avatar) a nezměnil jeho UID na 0x29A? už Vás letím hacknout

[podlesh]

Ja pouzivam zasadne "parez".

[Michal Kubeček]

Byl to vtip, rozumíte? Vtip. Přejmenovávání roota a spouštění SSH na jiném portu jsou zcela nesmyslné akce, které vypadají strašně profesionálně, ale se zabezpečením systému nemají ve skutečnosti nic společného. Proto jsme si z nich dělali legraci…

[anon123]

No me se to zdalo jako nesmyslne, proto jsem zareagoval, jak to delam ja. Ale jist jsem si nebyl. Tak daleko v linuxu jeste nejsem.

Ale popravde jsem o tom premyslel. Kazdy vi, ze root existuje, tak vyzkousi hned ten. Je to vubec mozne prejmenovat root? Jake by byly nasledky? Zas tak velky nesmysl by to nebyl ne? Ale prakticky asi ano.

[Michal Marek (twofish)]

a) Některé skripty rozlišují roota od ne-roota tak, že testují výstup whoami (grep -r 'whoami.*root' ${PATH//:/ }), takže následky by asi byly. Navíc by asi bylo potřeba buď patchnout su, nebo si napsat vlastní nss modul, který by zjistil, jak se tento týden root vlastně jmenuje (když už chci něco utajit, tak to nenechám ve world-readable /etc/passwd).

b) Proti uhodnutelnému heslu roota nepomůže ani svěcená voda...

c) Když mám díru třeba v sshd, tak je jedno, jestli běží pod uživatelem 'root' nebo 'tidpolwic<' -- zlým hochům stačí, že běží s uid 0. To samé platí o chybách v jádře (viz třeba dnešní zprávičky).

[Michal Kubeček]

Možné to je, jméno důležité není, jen jeho UID (nula). Ale k ničemu to není. Občas se ale může hodit zavést druhého uživatele s UID 0 (fakticky je to ale jen druhé jméno pro stejného uživatele), např. pokud počítač spravují dva lidé, ale nechcete, aby používali společné heslo.

[jmeno]

Nemyslim ze presunout ssh na jiny port nema zadny prinos. Porty co jsou hodne vysoko malokdo skenuje a pak az nekdo najde chybu v ssh, tak mas velkou sanci, ze nebudes v crackerskejch db a stihnes driv zaplatovat nez oni utocit.

Sam to ale nedelam, raci omezuju ssh jen na vybrany IP.

A icmp teda zakazuju uplne bezne, i kdyz reci o tom jaka je to blbost posloucham x let

[rezavý]

S autorem nezbývá než souhlasit. Bohužel vynalézavost USERÚ a "ODBORNÍKÚ" je neomezená a tupost druhé jmenované skupiny většinou dokonalá. Doma to řeším přes arping na segmentu, ale to není řešením vždy a pro všechny účely diagnostiky.

[Zdeněk Štěpánek]

Zdravim

No co ja vim tak standard je propoustet jen potrebny ICMP a zbytek pryc.

#povoli jen potrebne ICMP zpravy
iptables -A INPUT -p ICMP --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 11 -j ACCEPT

V nasi siti jsem zavedl pravidlo ze je zakazano v osobnich firewallech blokovat ping a traceroute. To potom kdyz si jeden kluk pingal kam chtel, ale ja jsem si na nej neping a on mi 2 hodiny tvrdil ze firewall ma vypnutej... Pekne jsem byl nas...

Ty co blokujou icmp uplne bych nejprve uskrtil, pak rozrezal, uvaril a povesil na namesti ostatnim pro vystrahu.

Zdenek

[kavol]

No co ja vim tak standard je propoustet jen potrebny ICMP a zbytek pryc.

aha, a číslo toho standardu? a jak se jako určuje, co je potřebné? podle nálady admina nebo podle předpovědi počasí? :-/

Ty co blokujou icmp uplne bych nejprve uskrtil, pak rozrezal, uvaril a povesil na namesti ostatnim pro vystrahu.

Ty, co selektivně blokujou cokoliv jen na základě toho, že oni zrovna nic jiného nepotřebujou, bych nejprve uškrtil …

[Vojta Koukal]

Kdyztak nad tim premyslim, zkuste si schvalne zapnout Windowsovskej firewall a zkuste si na ten pocitac pingnout ))

[anon123]

Nechte si ty vylevy na Winy pro sebe. Kdyz to s nima neumite, tak to nedavejte alespon najevo. Me oba systemy slouzi a velice dobre.

[Michal Kubeček]

Když slouží tak dobře, pokuste se nám nějak rozumně vysvětlit, proč defaultní nastavení způsobí nekorektní chování systému…

[kavol]

to přece není (zatím, afaik) default, ten firewall ve woknech musíte ručně zapnout, to je potom jasná vina uživatele, že jej před zapnutím nezkonfiguruje tak, aby se to chovalo korektně

[FiJi]

V XP SP2 je to default, ne? A např. Kerio taky IMHO defaultně ICMP filtruje.

[anon123]

Klidne vam odpovim, i kdyz uz jste odpoved dostal. Ja mam zkusenost, a verte mi ze mi to vzdy hne zluci, ze kdyz instaluju novou masinu do domeny a zadam po instalaci - firewall nepouzivat, ze se mi i tak zapne. Jinak vim, ze si to muzu nastavit defaultne v policy. Ale proste to jen tak zminuju. Spis se to zapina samo, nez vypina samo.

Navic jak je to u linuxu? Rekl bych, ze s bezpecnosti u linuxu po instalaci je to i horsi. Ale tomu zase jeste tak nerozumim. Jen tak odhaduji na zaklade mych skusenosti.

Z toho vseho vypliva, ze se vse proste musi nejak nastavit, aby to fungovalo. Pokud se to nastavi, tak je to ok. Jak Linux, tak Windows. Problem je v tom, ze Linux malo kdo chce. Hlavne se to neda nasadit v prostredi kde se pracuje s ucetnictvim, a dalsimi podobnymi programy, protoze to nikdo z firem nepodporuje. Jedine plus Linuxu je cena. Proste kdyz by se to nasadilo, tak cena za licence rapidne klesa. My mame mame vsude Unix firewally s postakem a proxy, ale zbytek jsou Win. Je to skoda, ale proste ty windows makaj. Dobre mame spyware, ale virusy nemame a spyware odstranime kazdy mesic. Alespon mame co delat

U win serveru je potiz hlavne pri updatech. To se vzdy bojime, jestli se to rozjede, hlavne kdyz je tam take Veritas. Ted jsem ale prisel na Arkeia zalohovaci soft pro Linux, ale zalohuje i win servery, tak ho chci vyzkouset. Ale z obrazku to vypada, oproti veritasu, jako omalovky v porovnani s photoshopem. Uvidime. Podle me, i kdyz to bude funkcni, tak to stejne nikdo od nas z firmy neprijme.

[Michal Kubeček]

Rekl bych, ze s bezpecnosti u linuxu po instalaci je to i horsi. Ale tomu zase jeste tak nerozumim.

Když víte, že tomu nerozumíte, tak raději nic neříkejte… Místo toho se raději podívejte, jak je to s povolenými službami a nastavením firewallu při defaultní instalaci SuSE 9.3, které jste před chvílí tak strhal…

Z toho vseho vypliva

Plynout, ne plivat…

[anon123]

SuSE ano, ale co treba jine distra?

[anon123]

SuSE ano, ale co treba jine distra? Navic Windows davaji volbu hned po instalaci, pred prvnim log-inem

[anon123]

SuSE ano, ale co treba jine distra? Navic Windows davaji volbu hned po instalaci, pred prvnim log-inem.

A jinak, jsem nesmeroval na to co je vice bezpecne nebo mene, ale na to, ze se to prosto musi nastavit. Nekde je to tak a nekde jinak.

[Michal Kubeček]

Většina současných distribucí (aspoň těch rozumnějších :-) ) nepovoluje defaultně nic, nanejvýš MTA na lokální smyčce a SSH. Dřív (druhá půlka devadesátých let) to pravda, bývalo jinak, ale to je minulost…

[kavol]

SuSE ano, ale co treba jine distra? Navic Windows davaji volbu hned po instalaci, pred prvnim log-inem.

hm, před prvním loginem? - nebylo by to účelnější před inicializací síťového rozhraní? - nebo všechny ty virečky a červíci snad čekají, než se uživatel zaloguje?

(možná jen blbě kecám, wokna jsem už dlouho neviděl instalovat, možná to "před prvním loginem" je opravdu před inicializací sítě? - ale moc tomu nevěřím, vím, že podobný problém, jako se líčí v blogu, má spousta lidí, a to že aby mohli stáhnout SP, musí se připojit k síti, a když se připojí k síti, tak bez SP jdou wokna do kytek asi tak za desetinu času, než se jim všechny záplaty stihnou stáhnout ...)

A jinak, jsem nesmeroval na to co je vice bezpecne nebo mene, ale na to, ze se to prosto musi nastavit. Nekde je to tak a nekde jinak.

a není lepší, když je defaultní nastavení v souladu se standardy a použitelné beze změn (je-li to možné)?

[kavol]

"jako se líčí v blogu" - vypadl mi odkaz, pardon

[Michal Kubeček]

Navíc řeč nebyla o tom, který systém je bezpečnější. Řeč byla o tom, že windowsí firewall (je-li zapnut) defaultně zakazuje ICMP echo, což je nastavení, které porušuje standardy.

[FiJi]

Já tedy když nainstaluju Linux, tak mi tam neběží žádná síťová služba, takže mi tam firewall nechybí. Ve Windows se "žádná síťová služba" realizuje asi jen vytažením síťového kabelu

[Jarek Šeděnka]

nebo je treba muzete povypinat v nastaveni Sluzeb

[ivan]

Dalsi takova "chytra" rada je dropovani vsech packetu, ktere smeruji na zakazane porty. Alespon u portu 113(ident) by mel server bud odpovedet nebo poslat "connection refused".

Zakladem bezpecnosti prece neni firewall, ale neexploitovatelna aplikace a dostatecne silna hesla.

[unchallenger]

Nesmysl. Základ bezpečnosti je, že žádný základ bezpečnosti není.

Zabezpečení musí být vrstevnaté a bezpečné musejí být všechny části. Mít nějaký úžasný ,základ bezpečnosti`, který když se posere, tak se sesype všechno, je typický amatérský přístup.

[Michal Kubeček]

Nejdůležitějším bezpečnostním opatřením je nepustit k tomu lidi. Nejslabším článkem je zásadně uživatel… :-)

[Luk]

"Základem bezpečnosti" jsou 4 pravidla:

1. Princip minimality práv - uživatel nebo proces smí mít jen taková práva, která nezbytně potřebuje. Pokud někdy potřebuje větší, po skončení této potřeby se práva musí opět snížit.
2. Princip odepření přístupu - implicitní reakce služby musí být vždy odepření (zákaz). Teprve pak se povolují jednotlivá použití.
3. Princip nedůvěry - žádným informacím nelze věřit. Je třeba počítat s tím, že cokoliv může být podvržené, pozměněné apod.
4. Princip bezpečného zotavení - dojde-li k výjimečné situaci, musí se systém/program zotavit tak, aby nepovolil neoprávněné použití služby apod.

Když se tato pravidla dodržují (samozřejmě společně s dalšími bezpečnostními pravidly, týkajícími se např. hesel nebo okamžité aplikace patchů), je možnost napadení výrazně snížena.

[kavol]

Princip odepření přístupu - implicitní reakce služby musí být vždy odepření (zákaz). Teprve pak se povolují jednotlivá použití.

ano, to je obzvlášť vypečený bod :-/

Dobrý den.

Dovolte, abych se představil. Jmenuji se Ivo a jsem provozovatelem serveru seznam.cz Nedávno jsem si v logu všimnul, že se na port 80 mojeho serveru pokoušel připojit počítač z IP adresy, která by dle našeho detektivního oddělení měla patřit Vaší firmě. To mě vede k důvodnému předpokladu, že byste rád využíval služeb našeho serveru. Pokud tomu tak skutečně je, prosím odešlete na adresu naší firmy notářsky ověřený certifikát o vlastnictví inkriminované IP adresy spolu s žádostí o povolení přístupu na standardizovaném formuláři ISVT-befelemepesseveze. Připomínám, že chcete-li využívat i jiných služeb, než http, jmenovitě https, smtp a pop3, je potřeba pro každou vyplnit samostatný formulář; naopak osvědčení o IP adrese stačí poslat jednou.

Na spolupráci se těší ...

p.s. veškerá podobnost se skutečností je čistě nezáměrná a náhodná, autor tohoto textu se zříká jakékoliv zodpovědnosti, (c) kavol 2005 - all your penízky are belong to U.S.

[Vojta Koukal]

Kdyz uz se tu mluvi o "bezpecnem" PC tak to exituje pouze kilometr zakopany pod zemi a bez jakykoliv site.Jinak si proste bezpecne PC nedovedu predstavit, ne v dnesni dobe....

[kavol]

... a bez jakykoliv site.

pochopitelně je míněna i ta elektrická napájecí, že

jinak zapomněl jste na kontejner (takový, do jakého se dává radioaktivní odpad), zamaskování místa zakopání a likvidaci všech svědků

[Luk]

Windowsí firewall se chová dost podivně. Nedávno jsem potřebovat na počítači s WinXP spustit FTP server. Otevřel jsem tedy porty 20 a 21. Přenos FTP příkazů (přes port 21) fungoval, data v pasivním režimu (port 20) ale nikoliv. Zkusil jsem všechno možné, ale nerozchodil jsem to. Jediné řešení bylo buď použít aktivní režim FTP anebo úplně odstavit firewall.

[Zdeněk Štěpánek]

Zdravim

Windowsi firewall funguje jednoduse tak ze udela maskaradu. Takze problem je na svete. Staci se podivat na zmenenou IP adresu.

Zdenek

[Luk]

No FUJ!