Dotaz: chrani proxy skutecne napojena PC

[Jiri Kubina]

ve firme (ca 20 PC) je nainstalovano sitove prostredi s win2003-ads, a na linuxu dns, dhcp a mail server. To cele je za firewallem. Nyni maji mit PC uzivatele pristup do internetu a je pozadovana instalace proxy (squid). Jedinym zduvodnenim je bezpecnost, protoze administrovat proxy pro autentifikaci a omezeni pristupu k nekterym strankam nikdo nechce a ani neumi. Moje otazka: prinasi v teto situaci proxy skutecne nejakou ochranu navic, nebo je to spis teorie.

Odpovědi

[Martin H.]

No, pokud na Firewalu zakážeš port 80 a všechny požadavky přesměruješ na port Proxy ... tak je to to samé, jako spojení po portu 80.

Proxy ti pomůže, neboť můžeš nastavit lépe pravidla pro přístup k Inetu, stránky lze Cachovat ... více viz popis SQUIDa.

Osobně se nedomnívám, že by to bylo bezpěčnější, jen to má jiné výhody (třeba tu Cache).

Proxy však vyžaduje poněkud více paměti a lepší procesor, rozhodně nedoporučuji spouštět na nějakém P133/32MB RAM.

Mj. lze přes něj nastavit např. kombinaci Přístup přímo (třeba šéfovi, aby ho neotravovalo heslo), Přístup přes autorizaci (třeba sekretářce, aby častěji volala), nebo přístup úplně zakázat ... možností je hodně.

[Petr Šobáň]

>Proxy však vyžaduje poněkud více paměti a lepší procesor,
>rozhodně nedoporučuji spouštět na nějakém P133/32MB RAM.

Proč ?

Mě behal RH 7.3 na 486DX-4 120Mhz 32M ram s SQUIDEM pro 2PC, ten 486 dělal router pro dva PC + přes modem 33,6 připojení k internetu.

[Louis de Bussy]

To asi bude muset posoudit tazatel, podle toho jake se ocekava vytizeni. ~20 pc s Internetu hladovymi uzivateli by takovy stroj mohlo schvatit. Sam jsem pouzival za onech casu HP NetServer LM 5/66 (1x iPP66, 32 MB, SCSI; RH6.x/7.x; fwall, wwwoffle, dns, dhcp,...) + USR Courier V90 a upgrade na 64 MB (pozdeji 80) byl na vykonu poznat. Pouzit se da ledascos, ale 32 mega je prilis malo pro tento ucel. PS Kdyby nekdo mel procesorovou kartu s 66 pro LM, tak bych se ji ujal.

Jedinym zduvodnenim je bezpecnost > Za situace jakou popisujete, podle mne ne. Nikdo nechce a neumi. S takovym pristupem ve vasi firme, troufam si tvrdit, zadna bezpecnost neexistuje.

[Petr Šobáň]

Proxi žádnou bespečnost nepodporuje pokud je uživatel blbý tak si přes proxi stáhne exe soubor tak jako bez proxi a pokud ho spustí na PC tak je to to stejné.

Jedině že by se přes proxi nedaly ty exe soubory stahovat, active x a další věci, ale to budete asi těžko dělat.

Výhoda proxi je v její cache

Hlavně si nakonfigurujte proxi (zároveň s firewallem) tak ať ji můžou používat pouze vaše PC ať to potom není brána pro útočníky z internetu.

[Zdeněk Burda]

co zkusit psat proxy, to i me strasne taha za usi

[Kamorek]

a jeste taky mozna beZpecnost.... to zase rve oci me.

[blondak]

A co zkusit pouzit antivir pro Squid? Vice na http://www.openantivirus.org/projects.php

[unchallenger]

...nikdo nechce a ani neumi. Moje otazka: prinasi v teto situaci proxy skutecne nejakou ochranu navic, nebo je to spis teorie.

To není ani teorie, ale pověra. Proxy, kterou nikdo nechce a neumí pořádně nastavit, k bezpečnosti nijak nepřispívá, spíš naopak, protože

(a) proxy sama o sobě k bezpečnosti nijak nepřispívá

(b) každý další prvek, který je otevřený do 'netu, představuje riziko, zejména když se o něj nikdo pořádně nestará

(c) a to je nejhorší -- může vytvářet falešný pocit bezpečí

[Jiri Kubina]

predem dekuji za odpovedi. Tusil jsem, ze to s tou bezpecnosti nebude tak horke, ale jisty jsem si nebyl, zdali neexistuji nejake nove figle. Rad bych k te diskuzi jeste neco dodal.

To ze odpovedny vedouci vyzaduje proxy mu namluvil ten dodavatel win-serveru. Smutne na tom je, ze i ruzne linuxove portaly takto laiky informuji - neco v tom smyslu, ze client hovori s proxy a ta hovori s 'internetem' a kdyz 'internet' podnikne utok, tak ten plati te proxy, ktera se s nim vyporada a client se nemusi 'branit'. Ja vim ze je to usmevne, ale ten pan co nas plati nam to tak podal a my jsme vazne pokyvali hlavou a take minili , ze to asi tedy bude potreba. (viz napr. root-clanek o squid ... proxy server zajistuje relativne bezpecne spojeni dvou siti ...)

Plne souhlasim s Yetim, ze neco, co komunikuje s okolnim svetem je dalsi potencialni nebezpeci. A i kdyz se to jednou poradne nakonfiguruje a uz na to nikdo nebude sahat, tak presto by to mel nekdo kontrolovat a delat bezpecn. updaty.

Problem je v tom, ze tato sluzba je relativne draha a malokdo to chce platit. Z odpovedi kolegy Kosira citim , ze ma pochyby o kvalite zabezpeceni IT v te firme. To je sice pravda, ale mala firmicka si nemuze dovolit administratora. Ten by na sebe nejdrive musel vydelat a i kdyz by to bylo prima, ze my z IT bychom meli zamestnani, ekonomicky si nemusime nic namlouvat - obavam se , ze tudy cesta nevede.

[unchallenger]

Ad útok. Předpokládám, že na PC se předně zvnějšku nepůjde připojit, což zařídí triviální firewall, jak píše už Martin v první odpovědi. Takže žádný útok se nekoná (tohoto typu).

Pokud jde o exploity na browser, tak nejlepší investice je do přechodu na Mozillu ;-) Proxy snad může chránit před některými obskurními typy exploitu, které by spočívaly v nekorektní odpovědi ze strany HTTP serveru, a tu by mohla zahodit -- ale instalovat ji jen kvůli tomu nemá smysl. Pokud nefiltruje, tak v typickém scénáři přes ni škodlivý obsah prostě projde, a spokojeně dorazí k uživateli.

[Beda]

to co popisujete je praxe 10 let stara (nebo oduvodnene paranoidni), kdy neexistoval linux a pozdeji v linuxu firewall jako iptables a ipchains byly mozna nekde na papire a firewall = drahe zbozi a v jinem pripade, kdy bezpecnostni politika je opravdu prioritou.

v takovem nastaveni firemni sit je proste "uzavrenou" nadobou, ktera nevidi okolni svet jinak nez skrze hrdla/brany/proxy ktere jedine mohly skrze programy prekrocit hranice siti - proste okolni svet a firemni sit nejsou proroutovane skrz naskrz.

s tim squidem to ma jisty maly prinos. u jedne podmnoziny spyware a viru, ktere po instalaci "volaji" domu nebo do wormnetu aby si stahly informace pro dalsi praci nebo poslaly ziskane informace zpet. za predpokladu, ze nepouzivaji pro komunikaci http a neumi si zjistit nebo tipnout proxy, kterou maji pouzit, tak se nedostanou ven z firmy a jejich schopnosti mohou byt hodne omezeny.

jak s oblibou rikam je to jen podmnozina toho spatneho a nejvetsi bezpecnostni dirou je porad element mezi klavesnici a zidli.

jina moznost je proxy s antivirem, ale to pak potrebujete hodne silny stroj, hodne propustnou linku a hlavne pokud prochazite servery s pomalejsimi odezvami, tak hodne pevne nervy a spoustu casu. pocitejte s tim, ze se data nejdriv musi cela stahnout, aby se mohly zkontrolovat a teprve po zkontrolovani se da rozhodnout, zda je mozne je poslat klientovi pripojenemu k proxy. neprijemne to subjektivne zpomaluje praci s internetem protoze v dnesni dobe i kdyz se vetsi stranka nacita 15 vterin, tak je vetsinou navrzena pro rozumne pouziti i pri prubeznem vykreslovani kdezto tato kontrola eliminuje prubezne vykreslovani na prubezne cekani na data a pak skokove temer okamzite zobrazeni a to je velmi zdrzujici.

[Jiří Veselský]

Jak už bylo řečeno, proxy server "jen tak" s bezpečností příliš nesouvisí. Tím "jen tak" je myšleno, například, že jednotlivé stanice de-facto mají internetovou konektivitu (byť přes firewall třeba s NATem a různými omezeními) a pouze pro přístupy k webu se začne vynucovat použití proxy serveru. V takovém uspořádání je bezpečnostní přínos přinejmenším sporný.

Na druhé straně, proxy _může_ být jeden z významných bezpečnostních prvků (říkám _jeden z_). Typicky to pak vypadá tak, že stanice _nemají_ internetovou konektivitu (firewall jim kompletně zakazuje jakoukoliv komunikaci s vnějším světem). Jediné, s čím mohou komunikovat, je interní proxy server (který jim zajišťuje přístup k webu), interní mailserver (který jim zajišťuje přístup k mailům) a případné další interní proxy servery (protože "proxy" je širší pojem, to neznamená jenom "web proxy"). Takovýmto uspořádám se samozřejmě míra bezpečnosti zvyšuje (a navíc se přesně vymezuje, co mohou uživatelé "na internetu" dělat).

A než mně někdo začne nadávat, že takovéto "zkriplované" připojení k internetu je k ničemu, podotýkám, že mluvím o firemní bezpečnostní politice a o tom, že firma obvykle nemívá zájem, aby uživatelé mohli používat co já vím ICQ, DC++, bla bla bla, že má zájem jim pouze taxativně povolit toto, toto a toto, a že nic jiného jim povolovat nehodlá.