Dotaz: WiFi na notebooku má otevřené porty

[Zvědavec]

Při připojení na stránku Shields Up (prvních 1056 portů) je většina portů červených (tj. otevřených) a některé (málo) zelených. Dotaz: nemůže to dělat wifi?

Dělá to ve Windows 10 i v čerstvé instalaci Ubuntu 20.04.3 LTS. Zkusil jsem nainstalovat Gufw Firewall a zapnout jej. Nepomohlo to - je to stejné. Jedná se notebook známého, není můj. Na mém počítači mám všechny porty zelené (mám také Ubuntu 20.04.3 LTS).

Pro zajímavost: na mém mobilu mám všechny porty zelené. Pokud z něj udělám HotSpot a on se připojí přes můj mobil, má porty stále červené a já zelené.

---

---

Odpovědi

[X]

Wifi to delat nemuze.Wifi se nestara o to jake sluzby kde bezi.

[Jendа]

Jenom pro zajímavost (a vyloučení zmatení), to mají všechny zmíněné počítače ve tvé síti veřejnou IPv4 adresu? Nebo to je nějaký jiný Shields Up než jsem vygooglil? Ten, co jsem vygooglil, efektivně pustí nmap na adresu, ze které se na tu stránku připojuješ.

A jinak, co řekne nmap na ten stroj? A tcpdump/wireshark v okamžiku skenování?

[Pavel 'TIGER' Růžička]

A co na to Test bezpečnosti? A nemáš všechny porty povolené v krabičce zajišťující připojení k internetu a v ní port forwarding do svého zabezpečeného počítače?

[Andrej]

Klíčková otázka: V čem tkví problém?

Většina různých rádoby-testů rádoby-bezpečnosti jednoduše zkouší, jestli je některý port filtrovaný, tj. jestli se místo connection refused příchozí pakety zahazují. Vsadil bych se, že těch 1056 portů není ve skutečnosti otevřených (netstat -apn) v tom smyslu, že by na nich něco poslouchalo. Prostě jenom nezahazují automaticky pakety a odpovídají místo toho connection refused.

U počítače na RFC4941, tj. například ve stylu implicitně nastaveného Android telefonu nebo zkrátka se zapnutými privacy extensions (v NetworkManageru, dejme tomu) dává velmi dobrý smysl většinu neočekávaných paketů rovnou zahazovat a nijak na ně nereagovat. Malinko to ztěžuje různé nmap průzkumy, malinko to zmenšuje případný dopad zranitelností v kernelu, kdyby se objevily, atd.

Naopak u počítače typu router, jehož přítomnost je (tak trochu) veřejně známá, má takové filtrování a zahazování paketů mnohem menší smysl a význam (byť nějaký furt jo). A otázka právě je, který přesně počítač se onen rádoby-bezpečnostní rádoby-test snažil kontaktovat…

Jsi si jistý, že se k tomu testu připojuješ přímo přes normální internet, kterým se dá navazovat spojení odkudkoliv kamkoliv oběma směry, tedy přes IPv6?

Kdysi se totiž používal vadný protokol IPv4, který kolem roku 1995 selhal, protože měl (omylem, původně jako experiment) 32-bitové adresy. Adresy záhy došly a vyvinul se z toho paskvilo-zmetek zvaný NAT, kvůli kterému se potom už s IPv4 většinou nedalo routovat odkudkoliv kamkoliv — připojení se sice dalo navázat odnikud někam, ale nedalo se navázat odněkud nikam. Je tedy možné, pokud by se něco takového v příslušné síti stále používalo, že si napřed vyžádáš test z „legacy“ (nebo spíš „garbage“) IPv4 sítě za NATem a test se pak (zrady netuše) snaží zpětně připojovat na NAT router, nikoliv přímo na notebook.

Hypotéza a spekulace: Co když se mobil samotný připojuje normálně přes IPv6 (a má tedy klasické nastavení sítě v Androidu, které má celkem reálnou šanci vypadat v „testech“ zeleně), zatímco pro routování do vnitřní sítě mobilního hotspotu se používá (například kvůli nevhodnému nebo nedostatečnému IPv6 rozsahu od operátora) jenom dvojitě NATované IPv4 zoufalství? To by znamenalo, že výsledky, které se ukazují na notebooku, nesouvisí ani s notebookem, ani s mobilem-hotspotem, nýbrž s externím NAT routerem někde v síti mobilního operátora.

Sečteno a podtrženo, je vhodné prověřit, kam přesně se ten rádoby-test připojuje.

Zkus třeba tcpdump, který dovede ukázat, jestli notebook opravdu na všech uvedených portech dostává nějaké pokusné pakety a odpovídá na ně.

Zkus taky explicitně zakázat IPv4 a NAT (nebo jiným způsobem ověřit, že se notebook k testu připojuje přes IPv6). Bez IPv6 totiž celý test v podstatě nemá smysl — s největší pravděpodobností „testuješ“ jiné zařízení než to, které si test „vyžádalo“.

[j]

Zcela jednoznacne je to naprostej nesmyl ...

Jednoduse proto, ze tolik veci ti tam zcela jiste nebezi, coz by ti mohlo dojit.

Na blbuntu ti muze bezet tak maximalne ssh, nevim o tom ze by tam bydefault bezelo cokoli jinyho. Na widlich je to horsi, ale od nejaky nevim jaky verze win10 se kupodivu i soudruzi z M$ naucili, ze neni dobry mit do netu bydefault spusteny sdileni souboru a dalsi kokotiny. Jen se bohuzel vetsinou tupyho usera zeptaj, jestli chce aby byl v siti videt, a on to potvrdi ...

A jak tu zaznelo, musel bys mit bud verejnou adresu primo na tom stroji, nebo bys musel mit forwardnuty vsechny porty. Dovolim si pochybovat ze mas cokoli z toho, tudiz scanujes tak mozna nejakou adresu nejakyho NAtu, ale ne svuj stroj.

---

Dete s tim guuglem dopice!

[Kura]

Přesně tak -> Sečteno a podtrženo, je vhodné prověřit, kam přesně se ten rádoby-test připojuje. <-- další věc máš v OS perfektní nástroj na 3 písmena : UFW takže si můžeš otevřít a zavřít co chceš viz .:https://wiki.ubuntu.cz/bezpe%C4%8Dnost/firewall/ufw, https://www.root.cz/clanky/ufw-firewall-jednoduse-a-rychle/

[Zvědavec]

Moje zařízení je OK (Shields Up - vše zelené, Test bezpečnosti vše OK):

Počítač - připojení AIM - veřejná adresa IPv4: 109.x.y.z

Můj mobil - připojení T-mobile - adresa IPv4: 37.48.y.z

Kamarádova zařízení jsou vše špatně (Shields Up - většina červené):

Notebook - připojení také AIM, ale bydlí jinde - IP adresu neznám (používá WiFi)

Jeho mobil - připojení T-mobile, má stejnýho poskytovatele - IP adresu neznám

Čemu nerozumím, pokud udělám hotspot ze svého mobilu (tj. T-mobile IPv4 adresa 37.x.y.z) tak já na svém počítači i mobilu to mám zelený a on na moje připojení, který je vlastně OK to má červený a to jak ve Windows 10, tak i na čerstvý instalaci Ubuntu 20.04.3 LTS dokonce i se zapnutým firewalem GUWF.

Jak může na stejné IP adrese to mít vše špatně a já dobře?

[Andrej]

T  C  P  D  U  M  P

[Pavel 'TIGER' Růžička]

A proč ne? Teoreticky k tomu stačí, aby spojení šlo jinou cestou. Je docela možné, že T-mobile rozpoznává zařízení i jinak než jen podle ip adresy a pak mu přiřazuje cestu kudy má kráčet. Pak mu je tvé zařízení zcela ukradené a proto můžeš dostávat rozdílné výsledky. Jen si zkus https://www.deviceinfo.me a uvidíš, co všechno ti vykecá o zařízení.