Dotaz: FW a otevrene porty

[stulda]

Dobry den,

je bezpecnostni riziko, kdyz mam v iptables otevrene nejake porty, ale momentalne na nich nenasloucha zadna aplikace?

Odpovědi

[Jiří J.]

Pokud vím, port je otevřen pouze, naslouchá-li na něm nějaká aplikace. FW akorát tyto porty "blokuje"

[GeorgeWH]

Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

[Jiří J.]

IMHO mohou byt zneuzitelne jen otevrene porty, tj. porty, kde nasloucha napr. nejaky daemon (cups, ...)

[Michal Vyskočil]

Popravdě, mohou být zneužité i filtrované porty, pokud útočník zneužije nějakou chybu v netfilteru.

[Jiří J.]

to ano, ale porad na tech portech musi nejaky program naslouchat (a FW blokovat)

[br]

nejak jsem se v tom ztratil...

tedy takto?

1. blokuji vse smerem dovnitr = neblokuji nic, ale nemam spustenou zadnou sluzbu ?

2. Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

tedy odchozi spojeni? pripada mi to temer jako otazka do ankety: "filtrujete odchozi spojeni?" ja tedy ano, ale vlastne jen loguji (osobni posedlost).

[Jiří J.]

Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

To prave ze nemohou. Nevyuzite porty jsou zavrene. Vetsinou ale na PC bezi hodne naslouchajicich sluzeb. Proto je dobre nepotrebne porty blokovat .. a dalsi priklad .. pokud by se vam do PC dostal treba trojsky kun (pokud existuje pro linux, ale uplne klidne treba netcat), tak by mohl spustit naslouchani na jakemkoli portu a prichozi spojeni by mohly proudit.
Proto je dobre si obcas hodit netstat -n -l

[GeorgeWH]

Asi sme sa trochu nedorozumeli.

2. Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

Myslel som tym, ze ak FW chrani siet, tak si na nejakom stroji v nej utocnik moze vytvorit zadne vratka (napr. port 33333), a keby dajme tomu FW ten port neblokoval (aj keby na porte 33333 na FW nepocuval ziadny demon), tak sa moze dostat do vnutornej siete cez tento port 33333. Fuuu. To je veta

Ja defaultne blokujem vsetky porty a povolim len tie, ktore potrebujem.

[stulda]

No jak tak na to tady koukam, tak z toho moc chytrej nejsem. Jeden tvrdi jo,druhy ne. Rad bych v tom mel jasno. Porty jsou skutecne povolene jenom na fw, zadna aplikace na nich nenaslocha. Priklad z praxe: bittorrent (naslocha na portu 6881, ktery mam povolen na fw) - stahuju, stahuju - program vypnu - aplikace nenaslocha, ale na fw port neni blokovan. Je to nejak zneuzitelne? Ja myslim a doufam, ze ne.

[Zdenek]

Teoreticky to mozne je. Kdyby byla chyba v TCP/IP stacku linuxu pri obsluze prichoziho paketu. Rovnez, ale muze byt chyba primo v netfilteru a pak vam nepomuze ani blokovani. Ovsem to je opravdu jen teorie, prakticky je tato cast kodu velmi cista a proverena.

Vas priklad s bittorentem je zneuzitelny. Program vypnete a cizi program muze zneuzit port 6881 pro cekani na prichozi spojeni z internetu.

[stulda]

A jak by si mi tam nejaky cizi program dostal? To bych tu musel mit nejakeho vira nebo neco takoveho, ne? Spis mi jde o to, jestli je pocitac zabezpecen z internetu. Jestli muze nejaky utocnik zneuzit toho, ze port neni blokovan fw.

[Jiří J.]

A hledat ... nebo zkusit treba wikipedii, tam je to docela dobre vysvetleno.
Jeste bych mohl uvest konfiguraci meho dvouradkoveho FW (asi se budete smat) , ale ja nemam verejnou IP, jsem v bezpecne siti a tohle nezere tolik CPU a zatim jsem nenarazil na chybu..
Takze muj script...

/sbin/iptables -F -t mangle
/sbin/iptables -F -t nat
/sbin/iptables -F
/sbin/iptables -Z
/sbin/iptables -X

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD DROP

/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -m state --state ! ESTABLISHED,RELATED -j DROP

/sbin/service iptables save
/sbin/service iptables restart

staveny tak, aby bral co nejmene CPU (loopback ma prednost) .. zda se mi to az prilis jednoduche, takze v tom asi zneuzitelnost bude, ... ale ja nejsem router ani server, jsem v siti, kde ani FW nepotrebuji, a pokud uz server, tak na p2p, kde se posilaj keep-alive, takze mi to ani nevadi
Vsechno dovnitr krom established,related to blokuje podle asi sequence number, testy ukazaly, ze ani ping flood mezi dvema PC ten fw nepusti (z 2. PC jsem floodoval ping reply packetama).. vzdy to pustilo jen tolik, kolik jsem poslal. Test zatizeni taky nebyl nejhorsi.. z 8-mi dalsich PC na LAN pres dost vykonnej switch jsem floodoval a vytizeni celeronu 2.6 stouplo o uctyhodnych 7%, po vypnuti iptables o 81%.
Ale je pravda, ze v pripade treba netcatu jsem zranitelny. ovsem, pokud si budu i nadale prubezne kontrolovat veskera odchozi spojeni (a ty neobvykle logovat), myslim, ze to nebude az takovy problem. Prijde mi to lepsi, nez se omezovat na svuj stanoveny limit portu.

PS.: ano, jsem asi blazen , ale rad bych taky znal dalsi nevyhody sveho FW .. krom trojskych koni snad jen bug v netfilteru .

[kolisko]

Na 100% zablokuj vsechny porty tcp/udp protokolu, krom tech, ktere vyuzivas a vis proc je vyuzivas. Protoze jak uz tady nejaky uzivatel psal, pokud nechas na fw porty otevrene, tak presto, ze ti na nich nenasloucha zadna sluzba, muze ti ji tam nekdo/neco povesit a pak budes mit smulu jenom proto, ze jsi nemel zablokovane porty na fw. To se vyuziva hlavne pro backdoory.

To jak se muze stat, ze ti tam nekdo/neco na urcity port sluzbu povesi (rikejme tedy backdoor) nemusi byt jen tim, ze bude chyba v iptables nebo sitovym stacku v linuxu. To je naopak dost nepravdepodobne. Je mnoho jednodussich a chytrejsich zpusobu, jak toho v linuxu dosahnout. takze pokud muzu dobre poradit, radeji zablokuj. Samotnemu se mi to na nekolika serverech vyplatilo.

kolisko