RPM contre le snooping

[Greywolf]

ne confondrait-on pas sniffing et snooping ici?

 

le snooping est un procédé permettant de protéger un réseau en associant au niveau des commutateurs des ports de confiance, ceci empêchant la mise en place de serveurs pirates:

http://www.labo-cisco.com/ArticleComp.asp?ARID=65&offset=3

(c'est la technologie utilisée pour créer des Virtual LAN sur un même commutateur => segmentation logicielle)

 

par extension, cela peut également être utilisé dans le cadre d'une surveillance légitime du réseau pour n'autoriser l'accès qu'à certains sites (ou en bloquer certains) => ONGuard Internet Manager.

 

SSL est une couche d'encryption au niveau 7, en théorie seules les 2 extrémités de la connexion sont capables de décrypter les informations de la couche applicative. Le souci majeur est l'authentification du site distant (et en effet la génération d'un certificat est chose aisée) et les possibilités d'attaque man in the middle sont prouvées.

 

sinon, pour passer par des proxy y'a proxychains (proxy publics, pas d'encryption)

ou Tor => encryption des connexions TCP et principe de l'onion routing : chaque routeur/proxy traversé ne sait pas où il se trouve dans la chaîne et il ne connait que le routeur n-1 et après décryptage d'une couche de l'oignon le routeur n+1

[cariboo]

Salut Greywolf,

 

Existe t il un moyen de verifier qu un site "sécurisé" à reelement installé un vrai certificat SSL au lieu d un certificat factice ?

 

En partant du principe qu un site posséde un certificat SSL réélement valide , si jamais il y a un sniffer sur mon pc qui ecoute ce que je fait ( vu que y a des script kiddies qui n y vont pas de main morte , c est possible qu ils réussisent à uploader des merdes sur mon pc ) , est ce que le hacker peut quand même sniffer ce genre de comunication SSL , les décripter et donc voir la comunication ? ( fuiiii elle est longue cette question )

Modifié le 3 décembre 2005 par cariboo

[KewlCat]

On va ptêt repartir du problème au lieu de partir en assertions et suppositions en tous genres, non ?

Je bosse sur le net et je suis obligé de me conecter à des sites sensibles.

Quel genre de site ? Qu'est-ce que tu y fais ? Quelles sont les données que tu veux protéger (les URL ? les données que tu envoies ? les données que tu reçois ?) ? Quels sont les moyens que tu as actuellement à ta disposition actuellement (ton navigateur, sa configuration, ton OS, son outillage en matière de réseau et de lutte anti-malware, la configuration réseau de ta machine, la configuration réseau de ton LAN) ?

Au fait, la protection par proxy ça marche pas toujours pour tout, donc si ce dont tu parles n'est pas de la navigation sur des sites Web, il faudrait également nous dire quels protocoles tu voudrais sécuriser...

[cariboo]

salut , mp envoyé pour répondre à tes interogations sur mes activités . Je suis un peu parano , j ai pas envie de parler de cela en public.

 

Pour le reste :

 

J ai 2 pc : un sous linux mandriva qui ne sert qu à mes activités ( c est celui là que je veut proteger et qui subit les attaques ).

Le deuxieme , c est celui à partir duquel je poste, je surf etc etc , il est en dual boot linux ,windows. ( mais en fait je me sert jamais de windows ).

 

Les deux pc sont branché sur le même modem / routeur / firewall via le port ethernet.

Les ports entrant du firewall sont sensé être tous fermés ( j ai verifié avec un scan pcflank pour les ports tcp . En revenche pour les ports udp..... ben je sais pas , mais je fait confiance au firewall )

 

Aux niveau des ports sortants , seuls le 53 , 80 ,443 sont ouverts , les autres sont fermés.

 

Sur mon pc de travail j utilise konqueror et firefox , j ai desactivé un maximum de services via le centre de controle de la mandriva.

 

Au niveau anti malware , j ai rkhunter et clamav . J ai voulu mettre bitdefender , mais j ai pas encore réussi à trouver comment le lancer en mode console.

 

Avec ce pc , je surf sur 2 types de site , des "sécurisés" et des nons sécurisés pour chercher l info necesaire à mon activité.

 

Je voudrais aussi crypter ma messagerie instantané ( GAIM ) , car j echange des infos avec des contacts .

Modifié le 4 décembre 2005 par cariboo

[KewlCat]

OK

 

J'ai reçu ton MP ; je vois que tu es sensiblement dans la même situation que n'importe quel internaute un peu méfiant qui voudrait faire des achats sur Internet...

Si tu fais tout ce que tu estimes être "sensible" à partir d'un PC sous Linux, mais que tu as sur le même réseau un PC sous Windows, tu as effectivement raison de redoubler de vigilance quant à l'intégrité du PC sous Windows (vu qu'il est toujours possible de monter une attaque "Man in the middle" par le biais d'une saloperie installée sur un autre PC du LAN, en mettant la carte réseau en mode Promiscuous). Mais bon, un Linux bien configuré, bien planqué derrière un routeur, c'est difficile à compromettre.

Au niveau de ton firewall (sur le routeur, je présume ?) c'est bien de partir d'une configuration qui refuse tout puis d'ouvrir les seuls ports dont tu as besoin, donc rien à redire.

Au niveau de ton navigateur, il faudrait peut-être chercher à faire en sorte que seules les requêtes allant vers la machine à laquelle tu te connectes soient autorisées (ça évite les attaques de type XSS), désactiver les plugins inutiles (genre Flash et Java), passer par des proxy, interdire l'envoi du HTTP-Referer, éventuellement désactiver le JavaScript et interdire les cookies ... Tu peux d'ailleurs suivre le conseil de Greywolf et installer Tor pour plus de sureté. Et pour pousser le vice jusqu'au bout, tu peux même diminuer la taille de tes paquets afin de (peut-être) disperser plus facilement les informations si le routage veut bien contourner les "grandes oreilles"... Cela dit, le danger viendra certainement plus de la destination que d'un quelconque badaud planté au milieu et qui écoute les conversations !

Maintenant, si le site que tu consultes se fait cracker (ou se livre à des activités frauduleuses avec les infos que tu leur envoies), tu n'y pourras malheureusement pas grand chose :-/

 

Quoi qu'il en soit, le mieux est de garder en permanence un oeil sur ce qui se passe sur la machine (avec un IDS, un moniteur réseau, un moniteur système, un analyseur de trafic genre Ethereal, ...) histoire de savoir exactement quelles connexions sont établies sur ta machine, quels processus sont lancés, quels fichiers sont ouverts, etc. Quand tu es capable de tout savoir sur ce qui se passe sur les machines de ton LAN, c'est déjà une grosse victoire.

 

Pour GAIM, tu peux ajouter des plugins qui te permettront de crypter les communications avec RSA ou GPG, mais il faut évidemment qu'il y ait le même mécanisme chez ton interlocuteur : http://gaim.sourceforge.net/plugins.php

[cariboo]

Merci pour ces conseils.

 

Je vais m empressé de les appliquer

[cariboo]

Bon effectivement y a bien des saloperies qui tourne sur mon pc. J ai fait un petit netstat -antup et j ai trouvé ceci :

 

 Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Local Address			   Foreign Address			 Stat
e	   PID/Program name
tcp		0	  1 192.168.0.2:2154			67.15.225.36:80			 FIN_										WAIT1   -
tcp		0	  1 192.168.0.2:2153			67.15.225.36:80			 FIN_										   WAIT1   -
tcp		0	  1 192.168.0.2:3226			66.102.11.99:80			 FIN_										   WAIT1   -
tcp		0	  0 192.168.0.2:3408			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3406			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3404			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3405			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3403			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3401			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3398			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3399			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3396			192.168.0.1:80			  TIME										   _WAIT   -
tcp		0	  0 192.168.0.2:3397			192.168.0.1:80			  TIME										   _WAIT   -
udp		0	  0 0.0.0.0:68				  0.0.0.0:*				3869/dhclient 													

 

Ca peut pas être konqueror ou firefox qui fait cela car je me rapelle avoir lu une phrase de Greywolf qui disait que les naviguateur ne se mettait pas en ecoute. J aurai besoin d un peu d aide pour remonter à la source et savoir quel programme ouvre ces socket de comunication .

merci

Modifié le 5 décembre 2005 par cariboo

[Greywolf]

tes connexions ne sont pas en écoute mais en attente d'une réponse (FIN_WAIT et TIME_WAIT)

 

lsof -i pour voir à qui appartiennent les connexions (ou netstat -lapute ce dernier bien que peu élégant est un efficace moyen mnémotechnique).

 

les adresses distantes correpondent à lookupip.com et google.com

 

192.168.0.1 est un PC de ton LAN qui héberge un serveur web.

 

Pas de quoi s'affoler

[cariboo]

 

192.168.0.1 est un PC de ton LAN qui héberge un serveur web.

 

salut, 192.168.0.1 c est l adresse de mon modem/routeur

[Greywolf]

192.168.0.1 c est l adresse de mon modem/routeur

il a bien une interface web d'admnistration, non?