abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    dnes 13:55 | Nová verze

    Byla vydána nová verze 5.18 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 12.5.6. Tor na verzi 0.4.8.6.

    Ladislav Hagara | Komentářů: 0
    dnes 10:55 | Nová verze

    Šifrovací nástroj VeraCrypt v menším vydání 1.26.7 nejen opravuje chyby a aktualizuje podporované algoritmy (podrobnosti v poznámkách vydání), ale také přestává podporovat původní svazky TrueCrypt.

    Fluttershy, yay! | Komentářů: 0
    dnes 09:00 | Pozvánky

    V sobotu 7. října proběhne Maker Faire Liberec, festival plný workshopů, interaktivních činností a především nadšených a zvídavých lidí.

    Ladislav Hagara | Komentářů: 0
    dnes 08:00 | Zajímavý článek Ladislav Hagara | Komentářů: 0
    včera 23:44 | Komunita

    Ubuntu Summit 2023 proběhne od 3. do 5. listopadu v Rize.

    Ladislav Hagara | Komentářů: 0
    včera 19:33 | Nová verze

    Programovací jazyk Python byl vydán v nové major verzi 3.12.0. Podrobný přehled novinek v Changelogu.

    Ladislav Hagara | Komentářů: 0
    včera 17:00 | Zajímavý projekt

    Linux ve Scratchi. Ne Linux v linuxové distribuci Linux From Scratch, ale Linux bežící v emulátoru procesoru RISC-V ve vizuálním programovacím jazyce Scratch.

    Ladislav Hagara | Komentářů: 0
    včera 16:22 | Pozvánky

    Dnes ve 12 hodin začal další ročník CTF (Capture the Flag) soutěže The Catch: "Tentokrát nás kolegové z Forenzní laboratoře zavedou na loď plnou sofistikovaných síťových technologiích, kde soutěžící budou muset zvládnout náročné úkoly. Loď nese jméno našeho skvělého kolegy Josefa Vericha – síťového guru. Tradičně se soutěž koná v říjnu – měsíci kybernetické bezpečnosti."

    Ladislav Hagara | Komentářů: 1
    včera 07:00 | Pozvánky

    Konference LinuxDays 2023 proběhne již tento víkend 7. a 8. října v prostorách Fakulty informačních technologií Českého vysokého učení v Praze (FIT ČVUT). Na programu je spousta zajímavých přednášek a workshopů.

    Ladislav Hagara | Komentářů: 1
    1.10. 22:33 | IT novinky

    Netflix v pátek 29. září odeslal poslední film na DVD (YouTube). Společnost dnes známá jako streamovací služba začala před 25 lety jako půjčovna filmů na DVD. Zákazník si DVD objednal na webových stránkách, odesláno mu ale bylo klasickou poštou. Po zhlédnutí jej vložil do obálky a poslal zpět.

    Ladislav Hagara | Komentářů: 16
    Raději
     (55%)
     (45%)
    Celkem 40 hlasů
     Komentářů: 3, poslední včera 23:31
    Rozcestník

    Dotaz: FW a otevrene porty

    stulda avatar 25.5.2006 14:47 stulda | skóre: 18 | Sokolov
    FW a otevrene porty
    Přečteno: 166×
    Dobry den,

    je bezpecnostni riziko, kdyz mam v iptables otevrene nejake porty, ale momentalne na nich nenasloucha zadna aplikace?

    Odpovědi

    25.5.2006 15:05 Jiří J. | skóre: 34 | blog: Poutník | Brno
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Pokud vím, port je otevřen pouze, naslouchá-li na něm nějaká aplikace. FW akorát tyto porty "blokuje"
    25.5.2006 16:39 GeorgeWH | skóre: 42
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...
    25.5.2006 17:43 Jiří J. | skóre: 34 | blog: Poutník | Brno
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    IMHO mohou byt zneuzitelne jen otevrene porty, tj. porty, kde nasloucha napr. nejaky daemon (cups, ...)
    25.5.2006 18:30 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Popravdě, mohou být zneužité i filtrované porty, pokud útočník zneužije nějakou chybu v netfilteru.
    When your hammer is C++, everything begins to look like a thumb.
    25.5.2006 18:47 Jiří J. | skóre: 34 | blog: Poutník | Brno
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    to ano, ale porad na tech portech musi nejaky program naslouchat (a FW blokovat) :-)
    25.5.2006 19:06 br
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    nejak jsem se v tom ztratil...

    tedy takto?

    1. blokuji vse smerem dovnitr = neblokuji nic, ale nemam spustenou zadnou sluzbu ?

    2. Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

    tedy odchozi spojeni? pripada mi to temer jako otazka do ankety: "filtrujete odchozi spojeni?" ja tedy ano, ale vlastne jen loguji (osobni posedlost).
    25.5.2006 22:39 Jiří J. | skóre: 34 | blog: Poutník | Brno
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...
    To prave ze nemohou. Nevyuzite porty jsou zavrene. Vetsinou ale na PC bezi hodne naslouchajicich sluzeb. Proto je dobre nepotrebne porty blokovat .. a dalsi priklad .. pokud by se vam do PC dostal treba trojsky kun (pokud existuje pro linux, ale uplne klidne treba netcat), tak by mohl spustit naslouchani na jakemkoli portu a prichozi spojeni by mohly proudit.
    Proto je dobre si obcas hodit netstat -n -l
    26.5.2006 17:30 GeorgeWH | skóre: 42
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Asi sme sa trochu nedorozumeli.

    2. Viacmenej je, lebo aj/prave ked su porty nevyuzite, mozu byt zneuzite ako zadne vratka...

    Myslel som tym, ze ak FW chrani siet, tak si na nejakom stroji v nej utocnik moze vytvorit zadne vratka (napr. port 33333), a keby dajme tomu FW ten port neblokoval (aj keby na porte 33333 na FW nepocuval ziadny demon), tak sa moze dostat do vnutornej siete cez tento port 33333. Fuuu. To je veta :-)

    Ja defaultne blokujem vsetky porty a povolim len tie, ktore potrebujem.
    stulda avatar 26.5.2006 08:49 stulda | skóre: 18 | Sokolov
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    No jak tak na to tady koukam, tak z toho moc chytrej nejsem. Jeden tvrdi jo,druhy ne. Rad bych v tom mel jasno. Porty jsou skutecne povolene jenom na fw, zadna aplikace na nich nenaslocha. Priklad z praxe: bittorrent (naslocha na portu 6881, ktery mam povolen na fw) - stahuju, stahuju - program vypnu - aplikace nenaslocha, ale na fw port neni blokovan. Je to nejak zneuzitelne? Ja myslim a doufam, ze ne.
    26.5.2006 10:05 Zdenek
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Teoreticky to mozne je. Kdyby byla chyba v TCP/IP stacku linuxu pri obsluze prichoziho paketu. Rovnez, ale muze byt chyba primo v netfilteru a pak vam nepomuze ani blokovani. Ovsem to je opravdu jen teorie, prakticky je tato cast kodu velmi cista a proverena.

    Vas priklad s bittorentem je zneuzitelny. Program vypnete a cizi program muze zneuzit port 6881 pro cekani na prichozi spojeni z internetu.

    stulda avatar 26.5.2006 13:45 stulda | skóre: 18 | Sokolov
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    A jak by si mi tam nejaky cizi program dostal? To bych tu musel mit nejakeho vira nebo neco takoveho, ne? Spis mi jde o to, jestli je pocitac zabezpecen z internetu. Jestli muze nejaky utocnik zneuzit toho, ze port neni blokovan fw.
    26.5.2006 14:29 Jiří J. | skóre: 34 | blog: Poutník | Brno
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    A hledat ... nebo zkusit treba wikipedii, tam je to docela dobre vysvetleno.
    Jeste bych mohl uvest konfiguraci meho dvouradkoveho FW (asi se budete smat) :-) , ale ja nemam verejnou IP, jsem v bezpecne siti a tohle nezere tolik CPU a zatim jsem nenarazil na chybu..
    Takze muj script...
    /sbin/iptables -F -t mangle
    /sbin/iptables -F -t nat
    /sbin/iptables -F
    /sbin/iptables -Z
    /sbin/iptables -X
    
    /sbin/iptables -P INPUT ACCEPT
    /sbin/iptables -P OUTPUT ACCEPT
    /sbin/iptables -P FORWARD DROP
    
    /sbin/iptables -A INPUT -i lo -j ACCEPT
    /sbin/iptables -A INPUT -m state --state ! ESTABLISHED,RELATED -j DROP
    
    /sbin/service iptables save
    /sbin/service iptables restart
    
    staveny tak, aby bral co nejmene CPU (loopback ma prednost) .. zda se mi to az prilis jednoduche, takze v tom asi zneuzitelnost bude, ... ale ja nejsem router ani server, jsem v siti, kde ani FW nepotrebuji, a pokud uz server, tak na p2p, kde se posilaj keep-alive, takze mi to ani nevadi :-D
    Vsechno dovnitr krom established,related to blokuje podle asi sequence number, testy ukazaly, ze ani ping flood mezi dvema PC ten fw nepusti (z 2. PC jsem floodoval ping reply packetama).. vzdy to pustilo jen tolik, kolik jsem poslal. Test zatizeni taky nebyl nejhorsi.. z 8-mi dalsich PC na LAN pres dost vykonnej switch jsem floodoval a vytizeni celeronu 2.6 stouplo o uctyhodnych 7%, po vypnuti iptables o 81%.
    Ale je pravda, ze v pripade treba netcatu jsem zranitelny. ovsem, pokud si budu i nadale prubezne kontrolovat veskera odchozi spojeni (a ty neobvykle logovat), myslim, ze to nebude az takovy problem. Prijde mi to lepsi, nez se omezovat na svuj stanoveny limit portu.

    PS.: ano, jsem asi blazen :-D , ale rad bych taky znal dalsi nevyhody sveho FW .. krom trojskych koni snad jen bug v netfilteru .
    26.5.2006 18:15 kolisko | skóre: 21 | blog: prace
    Rozbalit Rozbalit vše Re: FW a otevrene porty
    Na 100% zablokuj vsechny porty tcp/udp protokolu, krom tech, ktere vyuzivas a vis proc je vyuzivas. Protoze jak uz tady nejaky uzivatel psal, pokud nechas na fw porty otevrene, tak presto, ze ti na nich nenasloucha zadna sluzba, muze ti ji tam nekdo/neco povesit a pak budes mit smulu jenom proto, ze jsi nemel zablokovane porty na fw. To se vyuziva hlavne pro backdoory.

    To jak se muze stat, ze ti tam nekdo/neco na urcity port sluzbu povesi (rikejme tedy backdoor) nemusi byt jen tim, ze bude chyba v iptables nebo sitovym stacku v linuxu. To je naopak dost nepravdepodobne. Je mnoho jednodussich a chytrejsich zpusobu, jak toho v linuxu dosahnout. takze pokud muzu dobre poradit, radeji zablokuj. Samotnemu se mi to na nekolika serverech vyplatilo.

    kolisko

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.