Maj 2006 - lms - lists.lms.org.pl

Re: sposob na cwaniaka
by Rafal Drozd 09 Maj '06

09 Maj '06

Witaj Cezary, W Twoim liście datowanym 9 maja 2006 (00:15:25) można przeczytać: > Bo jesli tak to w kazdym przypadku musze przypisac obejetnie jakiemukolwiek > userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o > "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to > cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do AP > to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze > ich na przyklad atakowac. Przeciez AP'ekowi mozesz ustawic IP jakie Ci sie podoba a uzytkownika przydzielaj adresy z DHCP, a co do tego ze moze atakowac ludzi, zawsze mozesz zakupic jakies AP600 i filtrowac jakies tam porty od SMB itd z poziomu AP :) Oczywiscie przy AP600 mozna troche wiecej pogrzebac ;) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by Rafal Drozd 09 Maj '06

09 Maj '06

Witaj KrzychK2, W Twoim liście datowanym 8 maja 2006 (23:50:41) można przeczytać: > 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego > klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, > nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) > oferują mechanizm authpf który generuje odpowiednie regułki firewalla > w momencie uzyskania autoryzacji. fajny ficzer :) co prawda w ISP zastosowanie niebardzo no chyba ze napisac jakas ladna aplikacje ala neostrada+ ;) > 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli > stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z > dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, > tylko czy to już nie jest przerost formy nad treścią?? Nie każdy > ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi > być na odpowiednim poziomie. No i jeszcze konfiguracja........... przestan ;) jak dasz uzytkownikowi koncowemu instrukcje na dwie strony jak skonfigurowac komputer albo wymusisz na nim uzywanie takiego a nie innego os to troche sie mija z celem, klienci uciekna :) pppoe jest na dobra sprawe meczace dla klientow. -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

> a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione > forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer > ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak > wszystkie pakiety beda szly tylko do tej maszyny > > Dariusz Kowalczyk OK. zobaczmy czy dobrze mysle. Biarac pod uwage to ze mam serwer 192.168.0.1 na nim pppoe Po polaczeniu sie po pppoe user ma internet. Klient laczacy sie po kablu musi miec przypisany adres tak aby widzial serwer czyli np 192.168.0.32 zeby polaczyl sie poprzez pppoe. jesli klient po kabelku bedzie mial adres 172.0.0.2 to juz nie polaczy sie przez pppoe w zwiazku z tym musze tym klientom przypisac jakies adresy z klasy tej samej co serwer i beda oni laczyc sie drugim polaczenim pppoe aby miec internet. Klienci radiowi tez musz miec ustawiony jakis adres IP zeby polczac sie z Access Pointem, ale jaki? Jesli nie beda miec zadnego adresu to wyskoczy im komunikat o "braku polaczenia i ograniczeniu lacznosci" nastepnie jak juz beda mieli jakis adres IP beda laczyc sie poprzez pppoe drugim polaczeniem podobnie jak klienci po kablu. Czy dobrze mysle ? Bo jesli tak to w kazdym przypadku musze przypisac obejetnie jakiemukolwiek userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do AP to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze ich na przyklad atakowac. -- Czarek

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia poniedziałek, 8 maja 2006 16:56, Jakub Wartak napisał: > Mikrotik przy niepelnych 50 klientach po prostu mnie nie stac :) Bralem juz to pod uwage, ale dzieki za Odp. -- Czarek

1 0

Re: sposob na cwaniaka
by Rafal Drozd 08 Maj '06

08 Maj '06

W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Moj pomysl na bezpieczna siec jest taki: (-cut-) > Jesli zle mysle prosze wyprowadzcie mnie z bledu. No troche bledne zalozenie ;) AP masz sobie w klasie powiedzmy 10.0.0.0 a klientow na 192.168.1.0 wszystko ok, tylko ze na rozne karty sieciowe tego nie ma sensu wrzucac no bo i po co ;) skoro klient i tak przechodzi przez AP bo sie z nim laczy :) co do routingu, mozna zrobic tak zeby nie widzieli AP, tyle ze jak klient zmieni sobie na kompie IP to i tak AP zobaczy (zakladajac oczywiscie ze uzywasz jakis tam zwyklych Access pointow). Ja bym na Twoim miejscu olal radio, niech sie typ podlacza, zrob tylko ladnie PPPoE na jakis tam klasach /30. Niezautoryzowany klient nie ma dostepu do odpowiedniego pppX no i internetu nie ma, jak sie zautoryzuje to wtedy wskakuje na odpowiedniego pppX tworzy sie dla niego routing odpowiedni i tyle ;> No chyba ze gosc jakis cwaniak i zacznie sniffowac userow i hasla to wtedy masz problem ;) Kalkulatory do IP i podsieci znajdziesz tutaj: http://akson.sgh.waw.pl/~chopin/ :) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by KrzychK2 08 Maj '06

08 Maj '06

Witaj Cezary, W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: >> On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote >> >> > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej >> > sytuacji. >> > >> > Mielm klienta ktory mial odemnie internet droga radiowa. >> > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie >> > czyli miesiac pozniej. >> > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna >> > adresy MAC z powiaznymi IP. >> > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z >> > tego kiedy dla klientow radiowych haslem jest adres MAC. >> > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? >> > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. >> > >> > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale >> > adresow MAC przeciez ludziom nie pozmieniam (40osob) >> > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe >> > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem >> > sie z takim sprzetem. >> > >> > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? >> > >> > -- >> > Czarek >> >> wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem >> przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle >> debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... >> >> Dariusz Kowalczyk > Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa > ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia > to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na > serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi > na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. > Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie > osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to > ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji > adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i > blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie > serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na > dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym > go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez > je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil > Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal > w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze > troche. > Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. > Chce odzielic siec Access pointow od sieci z uzytkownikami. > Moj pomysl na bezpieczna siec jest taki: > 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. > 2) Serwer zaopatrzec w dwie 3 karty sieciowe > - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL > - druga eth1 w ktora wpinam Access Pointa > - trzecia eth2 w ktora wpinam userow > 2) W Access Pointach ustawic IP klase na 10.0.0.0 > 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 > a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i > wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) > W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec > klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access > Pointami mogli polaczys sie poprzez PPPOE z serwerem. > Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od > klientow z LAN i serwera? > A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? > Jesli zle mysle prosze wyprowadzcie mnie z bledu. > Pozdrawiam Niestety sam sobie otworzyłeś furtkę lub bardziej obrazowo - strzeliłeś gola ustawiając hasło, które można łatwo odczytać/wydedukować. Teraz możliwości jest kilka. 1) poptop - to już jest vpn po gre możesz na nim wymusić szyfrowanie, co prawda ze stałym kluczem, ale zawsze jakieś. posiada autoryzację - użytkownik/hasło 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) oferują mechanizm authpf który generuje odpowiednie regułki firewalla w momencie uzyskania autoryzacji. Może to wyglądać np. poprzez uzyskanie dostępu do internetu dla użytkownika który otworzy sesję ssh i będzie ona otwarta. Sesja ssh może być zainicjowana TYLKO za pomocą klucza, który to użytkownik dostanie od Ciebie. W puttym pod windows czy ssh pod unixy taka konfiguracja zajmuje 3 kliknięcia myszą, a zaczyna się to robić skuteczne. Po pierwsze - będziesz miał bazę kluczy a jednocześnie użytkowników uprawnionych do korzystania z sieci. Po drugie - intruz dostanie się do sieci, ale nie skorzysta z internetu, a skanowanie nic nie da bo zobaczy tylko śmieci. Po trzecie - TY będziesz zarządzał dostępem w TOBIE tylko znany sposób. End user dostanie tylko dyskietkę z kluczem i instrukcję. Taki scenariusz można dowolnie modyfikować np - strona którą trzeba mieć otwartą non stop i tym podobne mechanizmy. 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, tylko czy to już nie jest przerost formy nad treścią?? Nie każdy ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi być na odpowiednim poziomie. No i jeszcze konfiguracja........... Co do komputerów na dachu - przecież masz jednopłytowce.. cenowo wychodzą praktycznie tyle co za normalny sprzęt i masz prawie te same możliwości. Jednopłytowiec do dużej puchy porządnie zamontowanej, zabezpiecz jeszcze klapę od dachu i powinno pomóc. Chociaż złodziej jak nie oknem to drzwiami wejdzie. -- Pozdrowienia, KrzychK2

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: > On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > > > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej > > sytuacji. > > > > Mielm klienta ktory mial odemnie internet droga radiowa. > > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie > > czyli miesiac pozniej. > > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > > adresy MAC z powiaznymi IP. > > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z > > tego kiedy dla klientow radiowych haslem jest adres MAC. > > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? > > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale > > adresow MAC przeciez ludziom nie pozmieniam (40osob) > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe > > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem > > sie z takim sprzetem. > > > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > > > -- > > Czarek > > wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem > przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle > debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... > > Dariusz Kowalczyk Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze troche. Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. Chce odzielic siec Access pointow od sieci z uzytkownikami. Moj pomysl na bezpieczna siec jest taki: 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. 2) Serwer zaopatrzec w dwie 3 karty sieciowe - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL - druga eth1 w ktora wpinam Access Pointa - trzecia eth2 w ktora wpinam userow 2) W Access Pointach ustawic IP klase na 10.0.0.0 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access Pointami mogli polaczys sie poprzez PPPOE z serwerem. Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od klientow z LAN i serwera? A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? Jesli zle mysle prosze wyprowadzcie mnie z bledu. Pozdrawiam -- Czarek

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 16:56:00 +0200, Jakub Wartak wrote > Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > > takim sprzetem. > > Mikrotik ? > > -- > Jakub Wartak > -vnull > Abstrakcyjna plciowosc szczekoczulek Konstantego. > http://vnull.pcnet.com.pl/ a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak wszystkie pakiety beda szly tylko do tej maszyny Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Jakub Wartak 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. Mikrotik ? -- Jakub Wartak -vnull Abstrakcyjna plciowosc szczekoczulek Konstantego. http://vnull.pcnet.com.pl/

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. > > Mielm klienta ktory mial odemnie internet droga radiowa. > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli > miesiac pozniej. > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > adresy MAC z powiaznymi IP. > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego > kiedy dla klientow radiowych haslem jest adres MAC. > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano > stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow > MAC przeciez ludziom nie pozmieniam (40osob) > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > -- > Czarek wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... Dariusz Kowalczyk

1 0