Partiamo da una situazione che può essere comune a molti utenti Fastweb (soprattutto
a quelli su piattaforma Windows) :
- Due computer connessi a Fastweb
* PC1 con scheda1 - indirizzo IP 1.125.252.1
* PC2 con scheda2 - indirizzo IP 1.125.252.2
- Condivisione File/Stampanti abilitata x entrambe le schede di rete.
Consideriamo quindi di aver condiviso una cartella di nome PIPPO presente sul
PC1 -> tale cartella sarà visibile dal PC2 ma anche da qualsiasi altro utente
Fastweb.
Inoltre, nel caso NON fosse impostata una password adeguata per gli accessi in
lettura/scrittura alla cartella PIPPO, qualunque utente Fastweb avrebbe accesso ai
dati contenuti in tale cartella, con la possibilità di modificarli/cancellarli.
Sebbene tale situazione sia un caso limite è sufficiente per spiegare i rischi
che si corrono senza aver messo in sicurezza la connessione alla rete Fastweb.
Iniziamo con buttare giù un possibile diagramma delle soluzioni possibili :
Codice: [ Link visibile solo agli utenti registrati ]
+---------------------------------+ NO +------------------------+
|Voglio condividere delle risorse?|---------->|Misure Protezione (MP.1)|
+-+-------------------------------+ +------------------------+
|
| SI
+-V-----------------------+ NO = Rete Locale +------------------------+
|Con altri utenti Fastweb?|------------------>|Misure Protezione (MP.2)|
+-+-----------------------+ +------------------------+
|
| SI
+-V----------------------+
|Regole di Accesso (RA.1)|
+------------------------+
*************************************
*(MP.1) = Nessuna Risorsa condivisa *
*************************************
In tal caso va sicuramente disabilitato il binding della condivisione
file/stampanti dalle proprietà TCP/IP della scheda di rete connessa a Fastweb,
oltre ovviamente a disabilitare la condivisione di cartelle/dischi/stampanti.
Inoltre va disattivato l'utilizzo di NETBIOS su TCP/IP -> ciò comporta la
chiusura delle porte :
- 137 = NETBIOS Name Service
- 138 = NETBIOS Datagram Service
- 139 = NETBIOS Session Service
sui protocolli TCP/UDP per l'indirizzo IP della scheda di rete.
A seconda del sistema operativo può variare la procedura per tale operazione ->
se in Windows2000/XP è sufficiente disabilitare l'opzione relativa nelle
proprietà della connessione di rete, sotto Windows9x/ME e NT4 invece sono
richiesti più passaggi.
Trovate le istruzioni in merito all'indirizzo
[ Link visibile solo agli utenti registrati ] .
Inoltre potrebbe comunque servire l'utilizzo di una soluzione firewall software
per controllare le connessioni in ingresso, usando una di quelle presentate nel
capitolo precedente.
*************************************************************
*(MP.2) = Condivisione solo in ambito della rete locale LAN *
*************************************************************
REGOLA D'ORO = definizione di password adeguate per visione/utilizzo delle
risorse condivise.
Condividere una risorsa senza password o utilizzando una password corta e/o
semplice come CIAO equivale a lasciare NON protetta la risorsa = una password
alfanumerica di minimo 6 caratteri, composta da cifre e da lettere sia minuscole
che maiuscole è già più sensata.
La definizione delle password d'accesso è importantissima anche in questo caso =
nell'eventualità che una misura di protezione NON funzionasse, le risorse
condivise NON resterebbero subito esposte.
Ovvio che l'utilizzo di sistema operativi come Linux o WindowsNT/2000/XP, che
discriminano gli accessi alle risorse in base ai profili utente, aumenta il
livello di sicurezza di base.
Fatta questa doverosa premessa, la condivisione nel solo ambito locale presenta
più varianti possibili :
A. Disaccoppiamento fisico tra la connessione alla rete WAN di Fastweb e la
rete locale LAN tramite un router hardware o tramite un computer con
funzioni di NAT o Proxy.
B. Utilizzo di un diverso protocollo di rete (e.g. NetBeUI o IPX) per la sola
rete locale e i servizi di condivisione, lasciando il protocollo TCP/IP
per l'accesso a Fastweb.
C. Utilizzo del solo protocollo TCP/IP, utilizzando un software firewall e/o
imponendo l'associazione di 2 diversi profili [IP, maschera,...] alla
scheda di rete.
La prima variante è senz'altro la più sicura dato che consente la separazione
tra le interfacce WAN e LAN, con l'indicazione di diverse classi di indirizzi
IP. Qualora usiate un sistema con una sola interfaccia LAN potete collegare i
computer tramite hub o switch -> l'utilizzo di quest'ultimo evita comunicazioni
in broadcast tra i computer collegati, riducendo il traffico su LAN ed eventuali
collisioni.
Il problema a questo punto sarebbe la definizione delle misure di protezione
delle risorse condivise -> l'idea di base è quella di razionalizzare le
associazioni 'binding' dei servizi ai protocolli di rete.
L'utilizzo p.es. di un protocollo come NetBeUI, solo per l'utilizzo in rete
locale LAN, consentirebbe di associare la condivisione delle risorse di rete a
Netbeui, togliendola a TCP/IP [che deve restare presente e associato alle schede
di rete per permettere la connessione Fastweb]:
Considerando ad esempio un sistema Windows, l'intento sarebbe quello di avere
una configurazione del tipo :
Codice: [ Link visibile solo agli utenti registrati ]
- Client per Reti Microsoft ----\ TCP/IP ----+-> Rete WAN
- Condivisione File/Stampanti ---+---+ /
- Accesso di gruppo ------------/ \-> NetBEUI -+---> Rete LAN
che, visto che le schede di rete accesso LAN e WAN sono le stesse, diventa :
- Client per Reti Microsoft ----\ TCP/IP --+
- Condivisione File/Stampanti ---+---+ |
- Accesso di gruppo ------------/ \-> NetBEUI -+-> LAN/WAN
Questo significherebbe aprire il pannello delle Proprietà di Rete e
deselezionare tutte le voci relative ai bindings per il protocollo TCP/IP della
scheda di Fastweb. Ovviamente dovreste verificare che fossero associate tutte le
voci per il protocollo NetbeUI. Pertanto :
(1) Scheda di rete -> Bindings = TCP/IP e Netbeui
(2) Netbeui scheda -> Bindings = TUTTI
(3) TCP/IP scheda --> Bindings = NESSUNO
(4) Disabilitare Netbios over TCP/IP
L'introduzione però del protocollo NetBeui può però comportare alcune difficoltà
nella configurazione della rete -> inoltre, potrebbe essere richiesto l'utilizzo
nella rete locale LAN di servizi che richiedano TCP/IP e/o il supporto NetBios.
In questo caso converrebbe mantenere esclusivamente il protocollo TCP/IP
associato alla scheda di rete -> occorre però verificare come procedere però con
le misure di protezione.
Una prima possibile sequenza potrebbe essere :
1. Impostazione di Password per accesso alle risorse condivise e, se il computer con
tali risorse utilizza WindowsNT/2000, allora anche la definizione degli utenti
autorizzati all'accesso.
2. Controllo sugli IP che tentano l'accesso possibile tramite una soluzione firewall
software per bloccare tentativi di accesso alle risorse da parte di indirizzi IP
diversi da quelli dei propri computer connessi al dispositivo HAG, in particolare
sulle porte 137/138/139 utilizzate da NetBios.
3. Definizione nei sistemi Windows di un'Area di Validità che consenta di limitare le
comunicazioni NetBios solo alle macchine appartenenti alla medesima area.
Informazioni in merito [in Inglese] su :
-
[ Link visibile solo agli utenti registrati ]
-
[ Link visibile solo agli utenti registrati ]
****************************
*(RA.1) = Regole d'Accesso *
****************************
In quest'ultima situazione valgono le considerazioni già fatte nel punto (MP.2)
precedente -> l'unica differenza è che le risorse sono condivise anche con
utenti esterni alla LAN.
I punti chiave sono quindi :
1. Impostazione di Password per accesso alle risorse condivise e, se il
computer con tali risorse utilizza WindowsNT/2000, allora anche la
definizione degli utenti autorizzati all'accesso.
2. Controllo sugli IP che tentano l'accesso possibile tramite una soluzione
firewall software per bloccare tentativi di accesso alle risorse da parte
di indirizzi IP diversi da quelli dei computer autorizzati all'accesso
delle risorse condivise, in particolare sulle porte 137/138/139 utilizzate
da NetBios.
3. Definizione di un'Area di Validità che consenta di limitare le
comunicazioni NetBios solo alle macchine appartenenti alla medesima area.
Nota x gli utenti di WindowsME :
Una delle opzioni introdotte in WindowsME è la ricerca automatica delle risorse condivise
in rete -> Con questa opzione attiva nel registro, WindowsME ricerca TUTTE le risorse
condivise presenti in rete -> pertanto, se sul computer di un utente Fastweb fosse attiva la
condivisione file/stampanti [con Netbios over TCP/IP attivo], un altro utente Fastweb [dietro
al medesimo router] non avrebbe problemi a vedere le risorse condivise. Inoltre, in caso
di assenza di password per le risorse condivise sul pc in questione, NON vi sarebbero
problemi d'accesso.
Informazioni in merito, comprese quelle per la disattivazione, su :
[ Link visibile solo agli utenti registrati ]
Il fatto che tale opzione sia attiva NON costituisce ovviamente un rischio per la
sicurezza del proprio sistema -> tuttavia consiglio vivamente di disattivarla per motivi
facilmente intuibili.
(tratto dalla pagina 70 delle FAQ 1.4 ITGF disponibili all'indirizzo [ Link visibile solo agli utenti registrati ])
Ultima modifica il 30/05/2003, 10:58, modificato 1 volta in totale.