Re: Atak z wykorzystaniem IPv6 w PLIX, AC-X i na dowolnym innym styku L2.

eGospodarka.pl › Grupy › pl.internet.polip › Atak z wykorzystaniem IPv6 w PLIX, AC-X i na dowolnym innym styku L2. › Re: Atak z wykorzystaniem IPv6 w PLIX, AC-X i na dowolnym innym styku L2.

Path: news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!new
s.nask.pl!news.nask.org.pl!newsfeed.atman.pl!not-for-mail
From: Pawel Malachowski <p...@n...niewazne>
Newsgroups: pl.internet.polip
Subject: Re: Atak z wykorzystaniem IPv6 w PLIX, AC-X i na dowolnym innym styku L2.
Date: Wed, 11 Aug 2010 12:12:26 +0000 (UTC)
Organization: ATMAN
Lines: 29
Message-ID: <s...@l...freebsd.lublin.pl>
References: <i3s1hj$csl$1@inews.gazeta.pl> <i3s44f$cbh$1@news.onet.pl>
<i3sa7a$dq0$2@inews.gazeta.pl> <m...@i...localdomain>
<20100810223535.75fd512b@catus> <s...@t...localdomain>
<s...@l...freebsd.lublin.pl>
<s...@l...freebsd.lublin.pl>
NNTP-Posting-Host: lagoon.freebsd.lublin.pl
Mime-Version: 1.0
Content-Type: text/plain; charset=iso-8859-2
Content-Transfer-Encoding: 8bit
X-Trace: node2.news.atman.pl 1281528746 11012 2001:1a68:2:2::3 (11 Aug 2010 12:12:26
GMT)
X-Complaints-To: u...@a...pl
NNTP-Posting-Date: Wed, 11 Aug 2010 12:12:26 +0000 (UTC)
User-Agent: slrn/0.9.9p1 (FreeBSD)
Xref: news-archive.icm.edu.pl pl.internet.polip:93088
[ ukryj nagłówki ]
Dnia 11.08.2010 Przemyslaw Frasunek <v...@f...lublin.pl> napisał/a:

> Ile widziales bledow typu preauth w SSH, od kiedy wprowadzono PrivSep?
> Czy nie bardziej sie boisz tego typu bledow w implementacji BGP, czy
> remote DoSow w implementacji firewalla?

Ograniczenie dostępu do TCP/179 tylko dla peerów to oczywista oczywistość.
A ACL-ki na normalnych gratach zrobi Ci jakiś ASIC.

> Czym? Firewallem, ktory moze byc (i czesto bywal) podatny na remote DoS?
> No chyba, ze archaiczne tcpwrappers.

Nie firewalujmy, bo kod firewalla może mieć bugi? Wg Ciebie z zestawu:
1. serwer z sshd wystawionym na świat
2. serwer z sshd i firewallem dropującym połączenia SSH z niezaufanych hostów
opcja 2. stwarza większe możliwości zaatakowania systemu, bo ma firewalla,
który może miec np. DoSa w kodzie reasemblacji pakietów? :D

>> Tak że ruter zdalnego dostępu, przez który uzyskujemy dostęp do sieci
>> zarządzania i dopiero tamtędy SSH-ujemy się na docelowy system, wydaje
>> mi się zupełnie koszernym rozwiązaniem. ;)
>
> Z dokladnoscia do bledow w implementacji VPN i ryzyk z tym zwiazanych.

Jakie widzisz? Poza DoS-em na koncentrator VPN i odcięciem od sieci zarządzania.

--
Paweł Małachowski