Applicazione gratuita e standalone per analizzare i processi di svchost

Secondo quanto afferma Microsoft, 'Svchost.exe è il nome generico del processo utilizzato dai servizi eseguiti dalle DLL (Dynamic Link Libraries)'. In fase di avvio di Windows, controlla tutti i servizi contenuti nel registro e costruisce una lista di tutti quelli che devono essere caricati. Il vero file svchost.exe si trova nella cartella C:\Windows\System32, ma molti virus e Trojans utilizzano lo stesso file e nome di processo per nascondere le proprie attività.



Svchost Process Analyzer è un piccolo strumento gratuito che crea una lista di tutte le istanze di Svchost e controlla i servizi che esse contengono. In questo risulta molto facile individuare i worms (come il tristemente famoso worm Conficker).
Il programma non richiede nessuna installazione; scaricate semplicemente il software ed eseguitelo. Supporta Windows Vista, XP, 2000, 2003, 2008 (32bit and 64 bit).

Come monitorare traffico e dati di una macchina Windows

Indipendentemente dalle dimensioni e dal grado di complessità, le reti oggi devono produrre risultati e prestazioni ottimali. Crash delle applicazioni ed errori di sistema possono comprometterne la produttività ed avere gravi ripercussioni sull'utile d'impresa. Le aziende di medie dimensioni che, al pari delle grandi imprese, si avvalgono di reti sempre più complesse, necessitano di soluzioni pratiche per gestire la propria rete in maniera ottimale.

In un mercato ormai saturo di soluzioni di gestione aziendale complesse e costose, c'è urgente bisogno di sistemi di gestione di rete in grado di offrire scalabilità, usabilità ed espandibilità a fronte di un eventuale investimento iniziale minimo.

Ma prima di mettere mano al portafoglio e passare ad applicativi che ci permettono un monitoraggio centralizzato della nostra rete, sarà bene dare un'occhiata ad una piccola utilità che il nostro sistema operativo Windows ci mette a disposizione.

In questo articolo offriremo una panoramica su un utile strumento per il monitoraggio ed il controllo delle attività e del traffico di rete in ingresso ed in uscita dalla nostra macchina. Assumeremo che l'architettura di rete abbia una complessità medio bassa e che le macchine montino sistemi operativi Microsoft Windows Server2003 / XP Professional / 2000 / NT.
Performance

Forse non tutti sanno che, Microsoft ci fa gentile concessione di Performance: un interessante tool che misura in tempo reale le prestazioni di sistema, processore, memoria, accessi a dischi e periferiche, attività di database, thread, processi attivi e naturalmente il traffico di rete. Ciò che, fra l'altro, rende davvero interessante questo strumento di monitoraggio, è la possibilità di loggare tutto ciò che i suoi contatori sono programmati a rilevare. I log possono essere caricati su file di diverso formato, quali Txt e Cvs o strutture Sql. Sarà dunque possibile eseguire statistiche e query aggiornate sul sistema sotto monitoraggio.

Non di meno Performance permette di impostare allarmi nel caso del verificarsi di eventi critici, prevedendo l'invio di messaggi di notifica e/o l'esecuzione di programmi o comandi ad hoc posti alla risoluzione dell'evento scatenante.

Per trovarlo non dovrete andare lontano. È sufficiente essere amministratori della macchina su cui si lavora ed accedere alle Administrative Tools sotto Pannello di Controllo.

In alternativa eseguire il comando

perfmon.msc /s

dal modulo di eseguzione raggiungibile dal percorso Start / Esegui.

Figura 1: Performance



Performance si presenta con tre sensori già impostati di default indicati nella lista in basso:

* Memory
* Phisical Disk
* Processor

ed il grafico delle attività aggiornato in tempo reale.

I tre sensori default monitorano rispettivamente l'accesso alla memoria RAM, l'accesso ai dischi fisici ed il carico di lavoro del processore. Se non si ritiene necessario mantenere sotto controllo questi tre oggetti è possibile rimuoverli facilmente.

Senza perderci troppo in chiacchiere sulla flessibilità di questo piccolo ed utile strumento, che permettere di modificare a piacimento istogramma, colori e scala di misurazione, procediamo con l'inserimento degli oggetti che ci interessa porre in monitoraggio.

Monitoring in tempo Reale

Dopo aver cancellato tutti gli oggetti in lista, procediamo con il mettere sotto controllo i protocolli TCP, UDP, IP e ICMP cliccando sul tasto '+'. Da Performance object selezioniamo i protocolli da monitorare uno per volta: ICMP, TCP, UDP e IP come indicato in figura.

Figura 2: selezione dei protocolli



Passiamo adesso a descrivere in che modo è possibile effettuare log e programmare alert che ci permettano di mantenere il monitoraggio di tutto ciò che passa per la nostra macchina.

Loggare il traffico dati

Nella colonna di sinistra selezioniamo Counter Logs. Dal menu selezionare Action e poi New Log Settings. Diamo un nome al processo di log che vogliamo implementare, ad esempio: TCP_LOG. Nella finestra visualizzata, nel tab General procediamo come segue:

* Selezioniamo il tasto Add Counter e da Performance object selezioniamo l'oggetto TCP.
* Da qui, premendo il tasto Add, è possibile scegliere su una lista di contatori, oppure selezionarli tutti. Il tasto Explain fornisce informazioni dettagliate sui contatori disponibili per l'oggetto TCP.
* Alla fine, premuto il tasto Close, otterremo una lista di contatori per il nostro oggetto TCP del tipo: \\\\.

Nel tab LogFiles indicheremo a Performance il percorso, il nome del file ed il formato con cui salvare i LOG. Il tab Schedule permette una programmazione del nostro processo di LOG indicando data ed ora di START e di STOP del servizio.

A questo punto applichiamo e salviamo le modifiche. Ripetiamo la stessa procedura anche per gli altri oggetti che ci interessa monitorare, ad esempio: IP, UDP e ICMP.

Il nostro TCP_LOG si trova adesso nella lista dei Counter Logs. L'icona rossa al lato indica che il processo di log è fermo. Per attivarlo è possibile premere il tasto Play nella barra in alto o selezionare Start dal menu Action. Vedremo fra poco come è possibile programmare un Alert che attivi il processo di log. Se si è scelto di salvare i dati di log su file di formato Cvs con tabulazione "comma" '(virgola'), otterremo file del tipo < Data ora, Identificativo contatore, valore >.

Allarmi e azioni

Come anticipato, Performance ci permette di impostare allarmi pronti a scattare nel caso in cui uno dei nostri sensori rilevi valori di dati al di fuori dei nostri parametri di controllo.

Selezioniamo nella colonna di sinistra la voce Alerts. Dal menu selezionare Action e poi New Alert Settings. Diamo un nome al processo di log che vogliamo implementare, ad esempio: TCP_ALERT.

Nella finestra visualizzata, nel tab General procediamo come segue:

* Selezioniamo il tasto Add e da Performance object selezioniamo l'oggetto TCP.
* Da qui, premendo il tasto Add, è possibile scegliere su una lista di contatori, oppure selezionarli tutti. Anche qui, il tasto Explain fornisce informazioni dettagliate sui contatori disponibili per l'oggetto TCP.
* Alla fine, premuto il tasto Close, otterremo una lista di contatori relativi all'oggetto TCP del tipo: \\\\.
* Nel campo indicato come Alert when the value is indicare il valore oltre (Over) o sotto (Under) il quale il contatore deve attivare le azioni di Alert.

Nel tab Action indicheremo a Performance l'azione da intraprendere in caso di attivazione dell'Alert:

* Invio di un messaggio.
* Attivazione di un servizio di log, ad esempio TCP_LOG creato nella sezione precedente.
* Esecuzione di un comando con specifici parametri.

Anche qui, il tab Schedule permette una programmazione del processo di Alert indicando data ed ora di START e di STOP del servizio.

Programmare gli Alert

Il problema a questo punto è capire cosa sia anomalo e cosa no, in modo da impostare gli alert nel modo migliore. Sicuramente, la definizione delle soglie di allarme dei contatori, andranno programmate in base alla natura della macchina sotto monitoraggio. Una macchina server che esegue traffico ICMP, ad esempio, è da ritenersi quantomeno sospetta. Una postazione client da ufficio che durante le ore notturne esegue traffico TCP/UDP potrebbe essere affetta da Worm o da Trojan Horse. E ancora, una macchia che funge da server Web, su cui si rileva un eccessivo uso del tempo di CPU e di memoria, o un elevato numero di tread, influisce su prestazioni e tempi di risposta, abbassando la qualità del servizio erogato fino anche causarne la cessazione.

In generale, un tuning adeguato dei sistemi di monitoraggio, è a discrezione ed appannaggio dell'amministratore di sistema della rete o macchina sotto osservazione.

Leggere i LOG

Messi a punto sensori e sistemi di allarme, Performance procederà con l'acquisizione di tutti i dati segnalando tutto ciò che riteniamo si tratti di un'anomalia. La lettura di tali informazioni saranno utili a migliorare le prestazioni e la qualità dei servizi resi dalla macchina sotto monitoraggio. Come detto, dall'export dei dati raccolti, non sarà difficile estrapolare statistiche, ad esempio, sull'accesso alla macchina e sulla qualità delle prestazioni rese durante la sua attività.

Conclusione

Usare al meglio questo strumento, permette di monitorare le prestazioni dei nostri sistemi in LAN o direttamente connessi ad Internet. I servizi di log e di alarm aiutano l'individuazione di traffico anomalo o attività di rete non volute. In questo articolo si è voluto evidenziare come, il piccolo applicativo d'amministrazione Performance, sia in grado di soddisfare le esigenze di monitoraggio del traffico dei dati, e non solo, a costo praticamente nullo.

Ripristinare l'accesso a XP nel caso di account bloccati

Se per qualche motivo gli accounts di sistema risultano bloccati e non è possibile effettuare il logon potete procedere nella seguente maniera:

Avviate dal CD di XP , e scegliete Riparazione (tasto R). Inserite la password dell'Amministratore anche se l'account Amministratore è tra quelli bloccati. Ora, dal promp dei comandi, con
copy c:\windows\repair\sam c:\windows\system32\config
(potrebbe essere necessario modificarlo)
copiate il file SAM dalla sottocartella Repair di Windows in system32\config . Confermate premendo S la richiesta di sovrascrittura del file Sam nella cartella di destinazione.

Ora al riavvio si potrà fare il logon.

Il file Sam contiene tutte le informazioni sugli account di sistema. Ripristinato il backup iniziale si perdono però le informazioni sugli account creati successivamente e anche possibili impostazioni personalizzate nei registri.

Spiati in ufficio? Ecco qualche consiglio per mantenere la privacy

Sempre più frequentemente è facile incappare in amministratori di reti un pò troppo "invasivi", ecco perchè occorre sapere che da remoto in una azienda è possibile: monitorare e filtrare il traffico Internet (proxy server, firewall etc), sbirciare la posta elettronica, avere i permessi per la condivisione automatiche di hard disk, periferiche non che installazioni di programmi e documenti.

In questo scenario è facile intuire che chi ha la gestione del Networking aziendale è in grado di sapere con esattezza ciò che state facendo nell'arco della giornata, di ciò che avete installato, scaricato o visitato su internet oppure dei documenti che avete sul proprio hard disk.

Di seguito riporto alcuni consigli per mantenere un minimo di Privacy:

-La navigazione su Internet, la maggior parte delle volte avviene attraverso proxy server; questo permette infatti alle aziende di porre delle regole tra noi e l'accesso diretto alla rete. In questo modo però la navigazione è interamente controllata con il monitoraggio di di tutti gli IP e il loro percorso sul Web.

Per ovviare in maniera più che discreta all'impiccio sopra descritto, è possibile installare un plugin per Firefox denominato Torbutton (attivabile a nostro piacimento), in grado di utilizzare la rete Tor. I dati in questo modo, che appartengono ad una qualsiasi comunicazione, non transitano direttamente dal client al server, ma passano attraverso i server Tor che agiscono da router costruendo un circuito virtuale crittografato a strati.

-Utilizzare al minimo la posta elettronica aziendale per scopi personali in quanto attraverso il Mail Server sono archiviati, monitorati e gestiti tutti i messagi di posta inviati e/o ricevuti.

-Limitare al più possibile le condivisioni in rete, controllando attraverso il command prompt ed il comando "net share", ciò che è stato condiviso automaticamente per essere visionato in remoto dal servizio Server. Qui troverete le soluzioni per disabilitarne il caricamento ad ogni riavvio del PC.

Alternativamente potrete realizzare con notepad un semplice file di testo salvandolo poi con estensione .bat (batch files) nel quale potete inserire il seguente testo:

@echo off

NET SHARE C$ /DELETE
NET SHARE D$ /DELETE
NET SHARE ADMIN$ /DELETE
NET SHARE IPC$ /DELETE
NET SHARE DFS$ /DELETE
NET SHARE COMCFG$ /DELETE

Il file bat una volta creato potrà essere inserito nell'avvio automatico del sistema o potrete utilizzarlo con un semplice collegamento da desktop.

-Controllare sempre da prompt dei comandi con il comando "Net stat " le porte aperte e le connessioni stabilite in modo da non avere brutte sorprese (per la descrizione e le opzioni del comando da prompt basterà digitare " Net stat /? ").

-Installare TrueCrypt in modo da poter disporre di un disco, di una partizione o di una cartella virtuale criptata con password dove inserire i vostri documenti e/o programmi e dove nessuno potrà accedere.

-Utilizzare un software apposito per cancellare file "non desiderati" è fondamentale in quanto è estremamente facile sia per l'amministratore che per altri utenti, recuperare file eliminati, con semplici software di recovery, pur avendo formattato l'intero disco. Per questo Eraser, attraverso algoritimi molto potenti, è in grado di sovrascrivere più volte ogni settore del disco con appositi schemi di bit che rendono impossibile recuperare ogni traccia precedente.

-Ultimo consiglio, non meno importante rimane il Buonsenso in ciò che facciamo.

Dimenticato la password di Windows? Ecco come resettare o cambiare la password di qualsiasi utente (compreso l'amministratore)

Se non riuscite più ad accedere a Windows, causa perdita di memoria o amnesia da password, un software da tenere sempre a portata di mano è sicuramente l' Offline NT Password & Registry Editor, Bootdisk / CD. Con questo potente tool potrete creare un CD/Floppy disk auto-avviante (Dos) in grado di resettare od impostare la password di accesso degli utenti registrati dal sistema operativo, compreso l'amministratore.

Le ultime revisioni dell' Offline NT Password & Registry Editor, Bootdisk/CD sono state testate con: Windows NT 3.51, NT 4 (all versions and SPs), Windows 2000 (all versions & SPs), Windows XP (all versions, also SP2 and SP3), Windows Server 2003 (all SPs), Windows Vista 32 e 64 bit.

Queste le ultime relase da scaricare:

Immagine per CD e penna USB :

cd080802.zip (~3MB) - Bootable CD image

Versione Floppy:

bd080526.zip (~1.4M) - Bootdisk image

Per la versione CD basterà masterizzare l'immagine ISO con un qualunque programma di masterizzazione, inoltre all'interno troverete un file readme.txt per la versione USB. Con il floppy invece, arma dalle umili orgini, basterà estrarre il contenuto in una cartella e lanciare l'install.bat, il quale grazie al rawrite2 scriverà l'immagine .bin sul vostro dischetto.

A questo punto lasciando le opzioni di default e seguendo le istruzioni a video sarà facile resettare/reimpostare la password perduta.

Browser Free proteggi bimbo

La rete è immensa e troppo grande per tutti, soprattutto per i bambini, ecco perchè stanno nascendo sempre di più software denominati "Parental Control", in grado di filtrare il "traffico" della rete bloccando siti e software potenzialmente pericolosi. Il browser Internet FREE ProtteggiBimbo può essere dunque un'ottimo deterrente per filtrare tutti quei contenuti che sarebbero potenzialmente dannosi per i bambini, con semplicità .



Il software è basato sul motore di Mozilla e queste sono le caratteristichè principali :

-Protezione basata su Algoritmo Euristico.
-Protezione Euristica su Keywords.
-Protezione su Blacklist e Whitelist di Indirizzi.
-Importazione Blacklist da file.
-Motore di Rendering Mozilla Gecko.
-Rilevamento e chiusura automatica altri browser
-Guida in linea in Italiano.
-Compatibile con 2000/XP/2003 Server

Samba come Primary Domain Controller (PDC) in reti miste (Windows/linux)

Samba 2.x può svolgere le attività di PDC, Primary Domain Controller, in una rete di client Windows (o mista).
Le funzionalità supportate sono:
- Login sul dominio (domain logon) per client Windows NT/2000/XP.
- Sicurezza a livello utente per client Windows 9x/ME (questi client non hanno il concetto di dominio, ma supportano il login su un dominio)
- Roaming profiles, per avere utenti che possono loggarsi su client diversi mantenendo il proprio ambiente.
- Browse list e master browser
- Policy di sistema in stile NT4
- Possibilità di ottenere la lista degli utenti/gruppi presenti sul PDC Samba

Le funzionalità ancore non supportate sono:
- Gestione Active Directory (introdotta dalla versione 3.x)
- Utilizzo come BDC (Backup Domain Controller). (Esistono dei workaround, ma sono piuttosto laboriosi)
- Possibilità di replicare il database delle password SAM da un server Windows (introdotta dalla versione 3.x) Per configurare Samba come PDC di un dominio Windows è necessario:
1- Installare Samba su un server Linux/Unix (tramite sorgenti o RPM)
2- Configurare smb.conf
3- Creare directory per i roaming profile e i domain logons
4- Aggiungere le login e le password per gli utenti e le macchine del dominio
5- Configurare i client Windows per unirsi al dominio.

INSTALLAZIONE DI Samba

L'installazione per un PDC non richiede particolari accorgimenti rispetto ad una normale installazione di Samba, tramite rpm o tar.gz.


CONFIGURAZIONE DI smb.conf

Vediamo un esempio del file di configurazione di un Samba PDC. Varie impostazioni sono comuni a qualsiasi installazione Samba, alcune sono specifiche per un PDC (domain master = yes , security = user , encrypt passwords = yes), altre sono necessarie se si vuole supportare l'esecuzione sul client di uno script al login (logon script e condivisione [netlogon] ) o l'uso dei roaming profiles (logon path , condivisione [profiles]).
Valutare attentamente quest'ultima opzione: ha la comodità di separare l'uso di una singola macchina fisica da un singolo utente (tutti gli utenti possono usare tutte le macchine), ma comporta ad ogni login il caricamento o la sincronizzazione di tutti i "Documents and Settings" Windows fra il client e il server, con un potenziale carico sul network non indifferente e maggiori attese da parte dell'utente.
Fatto il login l'utente agirà sui file della macchina locale, che poi vengono a loro volta sincornizzati con quelli sul server al momento del logout.

[global]
; Settaggi generali (validi su ogni configurazione Samba)
workgroup = intranet E' il nome del Dominio e/o del Workgroup
netbios name = serverone E' il nome del server Samba
server string = Samba PDC - Versione %v La descrizione del server
socket options = TCP_NODELAY IPTOS_LOWDELAY SO_SNDBUF=8192 SO_RCVBUF=8192 Settings TCP consigliabili di default

; Settaggi per un PDC e un master browser
os level = 64 Imposta il valore con cui partecipare alle elezioni per il Master Browser
preferred master = yes Forza una elezione quando si avvia e vi partecipa con maggiori possibilità di successo
local master = yes Fa partecipare Samba alle elezioni per il Local Master Browser
domain master = yes La riga che indica a Samba di operare com PDC

; Gestione utenti e sicurezza
security = user Impone di autenticare gli utenti localmente. E' necessario su un PDC Samba
encrypt passwords = yes Cripta login e password in fase di autenticazione: obbligatorio su un PDC e necessario per interagire senza problemi con client Windows NT o successivi
domain logons = yes Permette ai client Windows di loggarsi sul dominio autenticandosi con il server Samba
hosts allow = 127.0.0.1 192.168.0.0/255.255.255.0 Permette l'accesso solo dal localhost e dalla rete 192.168.0.0/24
add machine script = /usr/sbin/useradd -d /dev/null -g machines -s /bin/false -M %u Aggiunge automaticamente al sistema l'account di una nuova macchina che entra nel dominio

; Gestione logging
log file = /var/log/samba/log.%m Definisce la posizione dei log e indica di creare log diversi on i nomi delle rispettive macchine client
log level = 2 Imposta a 2 il livello di logging, visualizzando tutti i file letti e scritti
max log size = 50 Imposta a 50 Kb la dimensione massima dei file di log

; User profiles, home directory e netlogon (a queste configurazioni in [global] vanno SEMPRE aggiunte le definizioni rispettivamente di [homes] , [profiles] e [netlogon] riportate più sotto

logon home = \\%L\%U\.profile Definisce la posizione del file .profile (per client Win9x/ME) in \\nomeserver\nomeutente
logon path = \\%L\profiles\%U Definisce la posizione della directory profiles (per client WinNT/2k/XP) in \\nomeserver\profiles\nomeutente
logon drive = H: Crea l'unità di rete H: al login su client Windows
logon script = netlogon.bat Specifica quale script eseguire sul client ad ogni login. Lo script viene cercato nella directory definita nella condivisione [netlogon]

[homes] Share speciale, che definisce la posizione delle home directory
comment = Home Directory per ogni User Descrizione della condivisione
browseable = no E' bene non rendere pubblicamente visibile le home dei singoli utenti
writeable = yes Ogni utente deve poter scrivere nella sua home

[profiles] Share speciale dove vengono scritti i file di profilo per i gli utenti roaming. Ad ogni login e logout il suo contenuto viene sincronizzato con la cartella dei documenti sul computer locale (C:/Documenti/NomeUtente.dominio)
path = /home/profiles La directory locale sul server Samba dove sono salvati i profili. Qui vengono, automaticamente, create delle sottodirectroy con i nomi degli utenti
writeable = yes I profili sono sincronizzati con il client al login e al logout e devono essere scrivibili
browseable = no Come per le home, anche i profili non devono essere visibili agli altri utenti
create mask = 0600 La maschera con cui vengono creati i file: Pieni permessi all'owner, nessun permesso per gli altri utenti
directory mask = 0700 La maschera con cui vengono create le directory: per l'owner devono essere anche eseguibili (sfogliabili)

[netlogon] Condivisione speciale che contiene gli script che vengono eseguiti sui client Windows al login sul dominio. Devono essere eseguibili su Windows e possono essere utilizzati per varie operazione di amministrazione centralizzata (backup di dati locali, aggiornamento programmi o antivirus, mappatura di nuove condivisioni di rete ecc.)
path = /home/netlogon La directory sul server in cui sono contenuti, in sottodirectory con nome uguale al login dell'utente, gli script definiti con la direttiva "logon script"
read only = yes Questi script devono essere accessbili solo in lettura...
write list = @admin ... tranne agli utenti del gruppo (@) admin
browseable = no Questa è una condivisione di servizio che è inutile mostrare agli altri utenti

CREAZIONE DELLE DIRECTORY SUPPLEMENTARI

E' importante creare directory per i profile e i netlogon definiti in smb.conf con nomi e permessi corretti.
Sulla base della configurazione di esempio sopra riportata vanno eseguite le seguenti operazioni sul server Samba (come root):
[root@sambaserver root]# groupadd admin Si crea il gruppo admin, composto da utenti che possono editare gli script di logon. Considerare che questi script sono particolarmente importanti, in termini di sicurezza, visto che vengono eseguiti sui client Window
[root@sambaserver root]# mkdir -m 0775 /home/netlogon Crea la directory /home/netlogon, leggibile ed eseguibile da utti gli utenti e modificabile solo da owner e ownergroup
[root@sambaserver root]# chown root.admin /home/netlogon Si imposta root come owner della directory e admin come gruppo (con permessi di scrittura)
[root@sambaserver root]# mkdir /home/profiles Si crea una directory per i profili (uguale a quella definita in smb.conf)
[root@sambaserver root]# chmod 1757 /home/profiles Si imposta lo sticky bit e si rende questa directory scrivibile da root e le sue sottodirectory gestibili dai rispettivi utenti, senza possibilità di modificare quelle degli altri

AGGIUNGERE LOGIN E PASSWORD

Gestire gli utenti di un dominio con Samba non è una procedura immediata e vanno considerati alcuni aspetti fondamentali:
- Samba utilizza come file delle password /etc/samba/smbpasswd (di default) che presenta una riga per ogni utente (sia di un dominio che di un server con normale autenticazione). In questo file è prevista una riga (con login , password criptata e altri dati) per ogni utente.
- Per ogni utente presente sul file smbpasswd DEVE essere presente un rispettivo utente sul normale file degli utenti Unix /etc/passwd. Questo perchè Samba agisce sul sistema locale come un normale processo Unix e, anche se viene eseguito come root, accede al filesystem con i permessi degli utenti secondo quanto configurato.
- Quando Samba agisce come PDC, oltre a creare una login (sia in /etc/samba/smbpasswd che in /etc/passwd) per ogni utente, si deve creare una login speciale per ogni macchina del dominio. Questa login, definita trust account o computer account ha il nome NetBios del computer seguito dal segno dollaro ($). Al primo login da parte del trust account viene generata una sorta di password che viene utilizzata per autenticare le comunicazioni fra il PDC e il client e assicurarsi che non ci siano altre macchine che possano unirsi al dominio con lo stesso nome NetBios.
- La gestione delle login (sia per gli utenti che per i computer, sia su smbpasswd che su passwd) può essere fatta in maniera manuale, con i comandi sotto riportati, o in maniera automatica, tramite l'uso della direttiva add user script
- Windows9x/ME anche se possono eseguire un login su un dominio, NON sono strutturati per essere dei client a pieno titolo di un dominio in quanto non ne rispettano le logiche di sicurezza e trust.
Per aggiungere un computer account al dominio manualmente seguire la seguente procedura:
[root@sambaserver root]# groupadd machines Crea un gruppo per tutte i computer account
[root@sambaserver root]# useradd -g machines -d /dev/null -s /bin/false nomeNetBios$ Aggiunge al sistema una login, membro del gruppo machines, senza home directory, senza shell, con nome uguale al nome NetBios della macchina seguito dal segno $. Notare che questo account serve a Samba per agire sul sistema, ma è bene che non possa essere utilizzato per una normale login.
[root@sambaserver root]# passwd -l nomeNetBios$ Viene messo un lock sulla password, in modo da lasciarla nulla e non renderla modificabile se non da root
[root@sambaserver root]# smbpasswd -a -m nomeNetBios Si crea un nuovo computer account per /etc/samba/smbpasswd e si imposta la relativa password. L'opzione -a permette di crearlo, se non esiste, l'opzione -m indica che si tratta di un machine account, il nome NetBios della macchina da aggiungere NON va seguito da $, in questo caso, in quando questo carattere viene aggiunto automaticamente. Non è necessario ricordare la password inserita in quanto viene gestita direttamente fra PDC e client del dominio

Se si vuole evitare di aggiungere a mano un nuovo account per ogni macchina del dominio, si può provare ad aggiungere la seguente riga a smb.conf:
add user script = /usr/sbin/useradd -d /dev/null -g machines -s /bin/false -M %u
Verificare il path e la sintassi del comando useradd e assicurarsi di avere il gruppo machines già creato.

Per aggiungere a mano le login degli utenti (non delle macchine) del dominio:
[root@sambaserver root]# useradd pippo Aggiunge l'utente al /etc/passwd di sistema
[root@sambaserver root]# passwd pippo Gli imposta la password. Se l'utente non deve accedere al sistema Unix, impostagli una shell nulla in /etc/passwd
[root@sambaserver root]# smbpasswd -a pippo Aggiunge l'utente pippo a /etc/samba/smbpasswd e gli imposta la password
NOTA: Quando si configura un client Windows NT/2k/XP per farlo diventare parte di un dominio, viene richiesta una password di amministratore. In questa situazione si deve usare la login di root con la relativa password, per cui è necessario aggiungere l'utente root anche al smbpasswd:
[root@sambaserver root]# smbpasswd -a root
Notare che se per caso si cambia la password di root con passwd e non la si aggiorna anche con smbpasswd, la password che fa testo è la seconda, quella presente in /etc/samba/smbpasswd.

Per questo ed altri motivi, una volta creato un utente è buona cosa fare in modo che la sua password sul sistema Unix sia allineata con quella usata da Samba via rete. Per fare in modo che una password cambiata tramite Samba si rispecchi anche sul /etc/passwd locale si devono aggiungere a smb.conf simili righe di configurazione:
unix password sync = yes Imposta la sincronizzazione delle password fra Samba e il sistema Unix locale
passwd program = /usr/bin/passwd %u La riga di comando per cambiare la password Unix. %u è la login dell'utente
passwd chat = *New*UNIX*password* %n\n *Retype*new*UNIX*password* %n\n *Enter* new*UNIX*password* %n\n *Retype*new*UNIX*password* %n\n *passwd: *all* authentication*tokens*updated*successfully* La procedura di matching per gestire le richieste in output di passwd. Assicurarsi che sul proprio sistema siano utilizzate le stesse parole
Purtroppo questa procedura non funziona al contrario: se si cambia con passwd una password Unix, si dovrà cambiarla a mano con smbpasswd per tenere sincronizzata la password Unix con la password Samba.

CONFIGURAZIONE DEI CLIENT
La configurazione di un sistema Windows per unirsi ad un dominio, varia a seconda della versione:

Windows 95/98/ME:
- Verificare che sia installato il "Client per Reti Microsoft" fra le proprietà di rete
- Assicurarsi che il Client per Reti Microsoft sia selezionato come protocollo di rete primario (Pannello di Controllo -> Rete -> Logon di rete primario).
- Andare su Pannello di Controllo -> Rete -> Client per reti Microsoft -> Proprietà -> Logon su Dominio NT.
- Se si è configurata su smb.conf l'opzione "add user script", selezionare il checkbox Crea un Computer Account, altrimenti creare a mano sul server Samba un utente con il nome della macchina Windows.
- Inserire il nome del proprio dominio e cliccare OK.

Windows NT:
- Andare su Pannello di Controllo -> Rete -> Identificazione Rete -> Proprietà
- Selezionare Dominio e inserire il nome del prorio dominio
- Selezionare Crea un Computer Account
- Alla richiesta della password di un amministratore inserire la login e la password di root, ricordarsi che l'utente root deve essere aggiunto a smbpasswd.
- Dovrebbe comparire un messaggio che ci da il benvenuto sul dominio.

Windows 2000:
Le procedure sono uguali a quelle per Windows NT tranne che i settaggi di rete sono trovati sotto Pannello di Controllo -> Sistema -> Identificazione Rete (oppure, sul Desktop, cliccare col tasto destro del mouse sull'icona Risorse del Computer, selezionare Proprietà, cliccare sulla tab Identificazione Rete e sul tasto Proprietà).

Windows XP:
La procedura con Windows XP è più complessa (lamentele a Microsoft che usa cambiare le specifiche e le implementazioni dei suoi protocolli anche per rendere più complicata l'interoperabilità con soluzioni alternative).
Notare che solo XP Professional Edition può essere usato per far parte di un dominio, Windows XP Home Edition non può far parte di un dominio (Samba o Windows based).
- Aprire l'editor delle policy di Sicurezza Locale (Start->Pannello di controllo->Strumenti di Aministrazione->Criteri di protezione locali->Criteri locali->opzioni di protezione)
- Disabilitare la voce "Domain member: Digitally encrypt or sign secure channel (always)" (Membro di dominio: aggiunta crittografia of irma digitale ai dati del canale protetto (sempre) )
- Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer)
- Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) )
- Scaricare da Samba.org (http://de.samba.org/samba/ftp/docs/Registry/WinXP_SignOrSeal.reg) la patch per il registro WinXP_SignOrSeal. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande
- A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard.

Linux/Unix:
Anche dei sistemi Linux, ovviamente, possono unirsi ad un dominio con un PDC Samba e se sono dei file server, si può configurare Samba per permettere l'autenticazione tramite il dominio.

Su smb.conf ci devono essere le seguenti righe:

[global]
workgroup =
netbios name =
security = DOMAIN
encrypt passwords = Yes
password server =
preferred master = False
domain master = False

Ovviamente sul PDC Samba deve essere creato un computer account per il nostro Samba locale (con il nome specificato in netbios name) e, anche in questo caso, il computer locale deve preventivamente unirsi al dominio, con una procedura che è paragonabile a quelle viste sopra per client Windows. Sul Linux/Unix locale basta scrivere:
smbpasswd -j -r -U root
Bisogna fornire la password di root del PDC Samba (ricordarsi che è la password salvata in smbpasswd e non in passwd/shadow, nel caso fossero diverse).

Impedire che qualcuno vi spenga il computer

Supponiamo che abbiate programmato l'aggiornamento automatico di Windows o dell'antivirus ogni giorno alle 3 del mattino. Tuttavia questo non puo succedere se ci sono altre persone che usano lo stesso computer e lo spengono a fine giornata. Fortunatamente potete impedire che qualcuno spenga il vostro computer con delle piccole modifiche al registro. Ecco come fare:

1. Lanciate l'editor di registro (Start->Esegui->Regedit.exe)
2. Andate a: HKEY_CURRENT_USER\ SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
3. Cliccate con il pulsante destro del mouse nel pannello destro e selezionate Nuovo->Valore DWORD
4. Nominate la chiave NoClose e premete [Invio] due volte
5. Inserite 1 nella casella Dati Valore e cliccate su OK

Per abilitare il nuovo parametro dovete chiudere il registro e riavviare il computer. Una volta che il computer sarà riavviato, non sarete in grado di spegnere il computer cliccando sul pulsante Spegni del menù Start. Questo impedirà a molti utenti di spegnere il computer inavvertitamente.

Quando vorrete spegnere il computer vi basterà accedere al Task Manager con [Ctrl][Alt][Del], e poi selezionare la voce Spegni dal menù in alto a destra Chiudi Sessione.

Una lista di controllo per verificare la sicurezza aziendale

Anche se nella vostra azienda avete dei firewall e delle procedure di sicurezza, è sempre utile verificare qual'è il vostro effettivo approccio alla sicurezza. Vi presento una lista di domande acui rispondere per veficare se avete bisogno di aggiungere alla vostra struttura tecnologica dei firewall o delle procedure di sicurezza oppure applicare dei cambiamenti a quella che avete già.

Identificate quali risorse devono assolutamente essere sicure in ordine di priorità:
- Sistemi critici per il business
- Sistemi di back-up ridondanti
- Secondari
- Sistemi di base

Identificate le esigenze minime di sicurezza per le seguenti connessioni WAN:
- Dial-up remoto di un impiegato
- VPN da ufficio a ufficio
- Connessione a banda larga di impiegati e agenti (DSL, modem, ecc...)
- Accesso remoto di agenti
- Accesso business-to-business

Il vostro team per la sicurezza ha a disposizione la seguente documentazione?
- Diagrammi di rete
- Dati statistici
- Utilizzo dei protocolli
- Punti di accesso dati
- Punti di accesso esterni
- Informazioni sui principali punti di contatto degli agenti (ISP, operatore, firewall)


Il vostro team di sicurezza conosce con quale ordine ripristinare i sistemi?

- Il team di sicurezza deve avere una piena conoscenza di quali sistemi devono essere ripristinati per poter avere la piena operatività e in quale ordine.
- Quest'ordine rispecchia effettivamente le vostre esigenze di business e le vostre priorità?

Nelle vostre procedure di sicurezza sono contenuti riferimenti riguardanti i possibili problemi di sicurezza derivanti dal trattamento di informazioni?

- Quali informazioni vengono condivise con altri?
- Le informazioni vegono condivise internamente, a livello dipartimentale, esternamente, ecc...?
- In quali corcostanze?
- Ci sono informazioni critiche per il business?
- Ci sono possibilità di intrusioni su informazioni secondarie?
- Chi ha l'autorità per catalogare la sicurezza delle informazioni (Capo della sicurezza, l'ufficio legale, ufficio personale)?

Avete fornito strumenti per documentare, distribuire e seguire avvisi di violazione della sicurezza? Per esempio:

- Messaggi di accesso non autorizzato
- Tentativi sbagliati di login (username/password)
- Tentativi di accesso a back doors

Avete previsto metodi di comunicazione alternativi in caso di attacchi di intrusione o penetrazione dei sistemi? Considerate l'utilizzo di:

- Telefoni cellulari
- Fax

Avete stabilito un ciclo di aggiornamenti e revisioni?

- Le procedure vengono aggiornate regolarmente? (trimestrale, semestrale, annuale)
- Coinvolgete più dipartimenti? (IT,HR, ufficio legale)
- Fate delle verifiche periodiche ai vostri sistemi e procedure?

Avete verificato gli aspetti legali delle procedure di sicurezza?
Lavorando con l'ufficio del personale e l'ufficio legale, verificate quanto segue:
- Possono essere impugnate le vostre procedure?
- Le vostre procedure sono conformi alle leggi locali, nazionali?
- Prevedete degli accorgimenti per essere conformi alla legge sulla privacy nel trattamento di dati personali?
- C'è una procedura per rendere immediatamente i dati non disponibili in caso di intrusione?
- Le persone e l'azienda sono protette dal punto di vista legale in caso di intrusione grave?
- Quali sarebbero i rischi nel caso in cui un intruso attaccasse il sistema di un'altra azienda che utilzza le vostre risorse informatiche?
- Le vostre procedure prevedono misure di sicurezza per la protezione dei dati dei clienti?
- Quali rischi correte se un intruso dovesse impossessarsi di dati confidenziali (azienda, neditori, clienti)?

Avete fatto una revisione completa?
- Il sistema di avviso del firewall in caso di intrusione funziona?
- Le procedure di risposta funzionano?
- I tuoi processi di sicurezza forniscono i passi adeguati per neutralizzare qualsiasi altro attacco?
- Perchè non funzionano?
- Cosa si può cambiare per rafforzare le Vostre procedure?

Le 10 cose da fare per mettersi nei guai con il computer e il web

Primo (senza nemmeno accedere il pc): Lasciate la password per accedere al desktop del pc oppure per accedere al servizio e-banking scritta in un post-it giallo appiccicato al monitor. Oppure “ben nasosto” nella fotografia del figlio sulla scrivania. O ancora dietro l’accendino da tavolo. Insomma sulla o sotto o accanto la scrivania. E’ un sistema molto facile per cadere in mano a curiosi, craccatori o burloni. O peggio.
Da fare invece: Le password devono essere conservata a memoria, oppure in un libretto chiuso in cassaforte o comunque in un luogo molto, ma molto lontano dal pc.

Secondo: Rispondete senza controllare bene a una e-mail che sembra provenire da Microsoft o dalla banca e che chiede le informazioni personali (password compresa). Questo è il cosiddetto phishing , il sistema che pesca i boccaloni sul web e riesce, pare, a farsi consegnare le chiavi per entrare dappertutto.
Da fare invece: Mai dare informazioni personali via e-mail. Verificare sempre via telefono la provenienza.

Terzo: Scrivere la password oppure scrivere il numero di carta di credito in una pagina web non chiusa da lucchetto e da indirizzo che inizia con “https” al posto del solito “http”. Se la pagina non è protetta da chiave a 128 bit (lunghezza minima) allora rubare i dati è un gioco da ragazzi per un hacker, ma anche per uno smanettone qualsiasi.
Da fare invece: Controllate sempre l’URL ovvero l’indirizzo web: per essere sicuri deve iniziare con “https” e in basso ci deve essere un lucchetto. Ci sono banche e siti di e-commerce che si ostinano a usare pagine con frame dove non si vedono né lucchetto né indirizzo sicuro. Non fidatevi nemmeno di queste banche e di questi siti.

Quarto: Pagate con contante via posta. O peggio con un assegno. Non avete idea di come sia facile rubare una busta anche raccomandata (purtroppo).
Da fare invece: Ricordate che al contrario le carte di credito sono sicure, molte hanno anche una assicurazione, inoltre usate il famoso wallet (borsellino) elettronico come BankPass, Moneta Online di Banca Intesa o le diverse prepagate disponibili sul web (vedi elenco in osservatoriofinanziario.com.

Quinto: Consegnate la carta di credito al cameriere o al negoziante. Non sappiamo quante in Italia, ma sono senz’altro tantissime le carte clonate anche nel nostro paese. Negli USA si parla di milioni di carte clonate. Da negozianti (o meglio dai loro addetti spesso assunti da immigrati clandestini che costano meno e sono pagabili in nero) e da ristoratori (o meglio dai camerieri).
Da fare invece: Andare direttamente alla cassa e pagare con bancomat o carta usando il Pin e la password direttamente. Pagare in contanti.

Sesto: Usate sempre la stessa password per ogni genere di servizio, dalla chat all’e-banking. Non cambiarla mai. Scegliere, per ricordarla meglio, una password usando il nome del figlio, del gatto, del marito, la data di nascita eccetera.
Da fare invece: Cambiare spesso la password e per servizi fondamentali come l’e-banking usare password alfanumeriche (caratteri, numere e, se possibile, anche caratteri speciali) molto lunghe cambiandole almeno una volta al mese. Non usare mai “soft” password, corte e facili da abbinare alla vita di ogni giorno.

Settimo: Non usare mai un antivirus e se si è installato non aggiornarlo mai o quai mai. Non solo: aprire tutti gli allegati delle e-mail che vi arrivano, soprattutto quelle erotiche e curiose. E ancora, usare ADSL o Fastweb senza un firewall. Rallenta e quindi è bene disattivarlo proprio e farne a meno.
Da fare invece: Usare un ottimo antivirus, aggiornalo possibilmente ogni mattina, non aprire mai allegati di cui non si conosce la provenienza e fare sempre una scansione dell’allegato prima di aprirlo. Inoltre, usare un firewall , il programma che controlla in entrata e in uscita programmi e file e aggiornarlo ogni volta che serve.

Ottavo: Se il pc si rompe consegnarlo in riparazione senza prima avere cancellato certificati di protezione per l'accesso al servizio di e-banking.
Da fare invece: Conservare eventuali certificati per e-banking e soprattutto di firma digitale solo su supporto removibile da usare solo quando serve. Eventualmente cancellare sempre tutto prima di dare il pc ad altri.

Nono: Usare l’e-banking per pagare i conti e non stampare su carta nulla. Tanto comunque ce lo ricordiamo, vero?
Da fare invece:Proprio l’e-banking ha bisogno di carta o comunque di conservare documentazione di ciò che si è fatto. Privilegiate le banche che consentono di fare una ricerca di tutte le operazioni, di stampare via pdf o altro tipo di file e di avere disponibile anche uno storico degli accessi fatti. Lo stesso vale per le carte di credito.

Decimo: Ignorare quanto avete sul conto, quanto spendete con la carta di credito, quanto costa il conto online eccetera. Con la testa sotto la sabbia si vive meglio, no?
Da fare invece: Verificare ogni giorno il conto online e l’estratto conto della carta aiuta ad evitare truffe e a bloccare ogni tentativo di hackeraggio del servizio. Tenete sempre contatti anche personali con la filiale per evitare il peggio. E ricordate che i migliori servizi online sono quelli che vi permettoni di attivare e disattivare la carta di credito da web, di tenere un elenco delle vostre attività, di cambiare la password online chiedendovi sempre anche la passsword di protezione. Verificate anche se nella posta vi stanno arrivando strane lettee per importi anche piccoli. Chi truffa spesso ruba cifre irrisorie da molti conti, forse anche dal vostro.

Protezioni anticopia, ecco le più diffuse

Le protezioni presenti sui CD con videogiochi o software sono molteplici, ma quelle più importanti sono poche ed in realtà almeno il 75% dei CD protetti in commercio sono basati su due sole forme di protezione: Securom e SafeDisc.
Ecco una rapida panoramica in ordine di importanza. Il livello di difficoltà per superare le protezioni e i software per creare comunque una copia di riserva sono riassunti nella tabella sottostante.

SafeDisc
È realizzata da Macrovision Corporation ed è una delle più diffuse forme di protezione anticopia dei CD commerciali, difficile da scavalcare a partire dalla versione 2.0. Si realizza con una cifratura su parte del software contenuto nel CD nella fase di pre-masterizzazione. Durante la masterizzazione si aggiunge una firma digitale al CD. Se l'utente usa il CD originale, il software di autenticazione controlla la firma digitale ed avvia l'applicativo.
Nel caso il contenuto del CD ROM sia stato copiato su CD-R, l'assenza della firma impedirà la decifratura del programma e l'interruzione dell'eseguibile. Spesso è quasi impossibile copiare direttamente un CD SafeDisc in quanto il software di masterizzazione interrompe la copia poiché trova errori sull'originale, dal settore 800 al settore 10.000, cui corrispondono circa 20 MB di dati.
Nella nuova versione 2.0x SafeDisc è in grado di contrastare anche eventuali hacking tool ed è diventato molto più difficile aggirare la protezione, superabile con CloneCD versione 4. Il CD protetto con SafeDisc nella cartella di root contiene sempre il file 00000001.TMP seguito da altri file 00000xxx.xxx e talvolta da CLCD16.DLL, CLCD32.DLL

SecuRom
E' la forma di protezione anticopia realizzata da Sony. Con SafeDisc è una delle più usate per la protezione di supporti commerciali. Si realizza con una speciale macchina che produce CD dotati ciascuno di una FingerPrint non copiabile dal masterizzatore comune, a cui si aggiungono sul CD alcuni file cifrati che, quando non riconosciuti nella copia, bloccheranno l'esecuzione dell'applicativo.
Come per SafeDisc anche SecuRom implementa alcuni settori fisicamente rovinati sul CD, in modo che ogni tentativo di copia si interrompa per errori di lettura. Nella cartella di installazione, o nella root del CD, sono in genere presenti i seguenti file: CMS16.DLL, CMS_95.DLL o CMS_NT.DLL.

LaserLock
Realizzata da LaserLock International, utilizza una combinazione di software di cifratura e una speciale traccia-marchio sulla superficie del CD, realizzata durante procedura di masterizzazione LaserLock. Questa speciale traccia rende difficile la duplicazione del supporto. Ogni programma su CD ha un particolare parametro non modificabile che fornisce una protezione completa contro la copia diretta.
Con LaserLock ogni pacchetto di applicazioni è caratterizzato da un esclusivo parametro di cifratura che è specificato durante la procedura detta LaserLocking. In genere i CD laserlock hanno una cartella nascosta di nome LaserLock che contiene i file che poi portano ad errori di lettura.

DiscGuard
Questa protezione inserisce un codice-firma nel master durante la masterizzazione industriale del CD, che avviene usando una macchina per la masterizzazione adattata appositamente o con uno speciale CD-R DG-Author scritto tramite un particolare masterizzatore con firmware proprietario.
Il codice-firma DiscGuard non è riproducibile dai comuni masterizzatori ed in questo modo, chiunque cerchi di duplicare un disco DiscGuard riuscirà solamente a copiarne il contenuto, ma non la firma inserita. Da qui il blocco dell'avvio dell'applicativo sul supporto copiato.

CD-Cops
Questa protezione si basa sulla misura della velocità di lettura del CD. Il valore ottenuto fornisce un numero di codice che funge da chiave del CD (CD key). Se il CD copiato ha una differente velocità di lettura esso non avvia l'applicativo poiché la chiave sarà diversa. Ogni serie di supporti protetti con CD-Cops ha una chiave diversa e richiede sempre un codice seriale all'utente per poter installare il software.

Errori fisici
Il supporto è volutamente sottoposto a un danno fisico; il masterizzatore spesso non è in grado di copiare il CD in presenza di questi errori visibili, come per esempio un quadrato di circa 1 mm posto a due terzi del raggio del CD partendo dal centro.
TOC fasulla
Questa forma di protezione è, se vogliamo, banale e consiste nel far apparire il CD originale di dimensioni maggiori di 1 GB. Ovviamente un CD-R non può contenere più di 700 MB e ciò ne blocca in partenza la copia da parte del programma di masterizzazione perché supererebbe la capacità del supporto.
Tutto ciò si realizza creando con uno speciale software una falsa TOC sul supporto. La TOC è la Table Of Contents (tabella dei contenuti) ed è una sorta di indice del CD che il lettore va a verificare per accedere ai contenuti del supporto. Talvolta una TOC falsificata è in grado di mostrare anche falsi file di dimensioni di 600 MB nella root del CD.

CD Overburn
Il CD contiene più di 700 MB di dati poiché è stato scritto in modalità overburning sfruttando la traccia esterna del supporto fino a 720 MB.
Come si può vedere abbiamo dunque delle protezioni che incidono settori fisicamente rovinati sui CD, mentre altre ne alterano i contenuti con file cifrati o con tabelle di allocazione dei contenuti modificate. Ognuna di queste protezioni subisce evoluzioni nel tempo, avremo così SafeDisc 1.8, 2.0, 2.51 e così via. Ogni nuova versione migliora la precedente, rendendo inutile la strategia di copia che funzionava con la versione precedente.

Difendersi dai dialer

I dialer sono software ormai tristemente conosciuti nel nostro Paese. Si tratta di piccoli programmi che una volta prelevati da Internet ed avviati, effettuano una connessione remota a numerazioni telefoniche a pagamento (generalmente con prefissi 899, 709 e simili...). Ogni minuto di connessione è salatissimo (spesso più di un Euro al minuto!) e viene fatturato in bolletta dal proprio gestore telefonico.
Il problema è che molti utenti prelevano questi programmi ed effettuano connessioni a pagamento super-costose spesso senza rendersene conto. Talvolta, infatti, i costi della connessione vengono chiaramente specificati ancor prima di scaricare l'eseguibile altre volte il costo del servizio viene abilmente nascosto all'interno del "disclaimer" mostrato all'avvio del dialer.
Ecco un trucco per cercare di evitare di ricevere bollette salatissime.
Va detto che tutti i dati relativi alle connessioni di accesso remoto impostate, vengono memorizzate, da parte di Windows 2000/XP, in un file denominato RASPHONE.PBK.
Tale file risiede, generalmente, nella cartella \Documents and Setting\All Users\Dati
applicazioni\Microsoft\Network\Connections\Pbk.
Tenete presente che la cartella Dati applicazioni è nascosta quindi, per accedervi, dovrete renderla visibile selezionando Strumenti , Opzioni cartella... , Visualizzazione quindi attivate l'opzione Visualizza cartelle e file nascosti.
Fate a questo punto clic con il tasto destro del mouse sul file RASPHONE.PBK, cliccate su Proprietà quindi attivate la casella Sola lettura. Confermate premendo il pulsante OK.
In questo modo il file contenente i dati delle connessioni di accesso remoto non potrà essere modificato (neppure dai dialer...).
A meno che, quindi, i dialer eseguiti non siano in grado di modificare l'attributo Sola lettura di RASPHONE.PBK, dovreste così essere al sicuro. Ricordate, comunque, che la
miglior difesa possibile consiste sempre nel porre grande attenzione nei siti web che si visitano e nel materiale che si scarica e si esegue (se è di dubbia provenienza evitate di utilizzarlo!...).
In alternativa, consigliamo l'utilizzo dell'eccellente software freeware AntiDialer, gratuito e prelevabile http://www.digisoft.cc

Alcune regole sulla gestione delle password

A volte i problemi di sicurezza derivano proprio da una gestione non corretta delle password. Ecco alcuni semplici consigli comportamentali per aumentare la sicurezza delle password:

1. Cambiare la password, abbastanza spesso, almeno una volta al mese
2. Non rivelare la password a familiari, amici o colleghi; se proprio lo si deve fare, cambiarla subito dopo
3. Se qualcun altro è a conoscenza della password, cambiarla subito ogni volta che tale persona non è più tenuto a saperla (non uso, perdita di interesse, litigio, licenziamento, trasferimento ecc.)
4. Non rivelare la password a sconosciuti che telefonano spacciandosi per "tecnici del provider" o scrivono e-mail chiedendo di fare login su un sito diverso da quello usuale.
5. Non cambiare la password secondo uno schema regolare (pippo1, pippo2, pippo3...)
6. non scrivere mail la password da nessuna parte.
7. Non comunicare la password per telefono, e-mail, sms ecc; se proprio fosse necessario farlo, cambiarla subito dopo o raccomandare di cambiarla a chi la riceve e dovrà usarla.
8. Usare il metodo della frase per ricordare la password
9. Non usare mail la stessa password per tutti gli accessi che si hanno
10. Se si usa un softwaer tipo "password manager" per memorizzare e gestire le password, non stampare mai le liste, non inviare l'archivio per e-mail; inoltre usare una password ottima per l'accesso al software stesso.

Il vecchio pc come firewall professionale

La protezione più efficace di una LAN prevede di solito l'utilizzo di un firewall box (di tipo hardware). non è necessario acquistare un apposito e costoso dispositivo hardware, può essere sufficiente un vecchio pc su cui sia presente un firewall software gratuito.

Hardware
Per le connessioni DSL si può utilizzare un vecchio 486 con almeno 64 Mb di ram. Se è dotato di floppy, non è nemmeno necessario avere un disco fisso per memorizzare la configurazione del firewall; sono invece richieste due schede di rete per tenere separate fisicamente le reti interna ed esterna.

Installazione
il programma freeware m0n0wall ( http://m0n0.ch/wall/ - http://www.tomshw.it/network.php?guide=20050119 - http://m0n0.ch/wall/installation_cdrom.php ) mette a disposizione un sistema operativo che definisce un firewall box che si può avviare da cd (scaricare la versione generic-pc o cdrom.iso http://m0n0.ch/wall/downloads.php ); il programma è offerto sotto forma di una comoda bootimage (immagine cd). Basta masterizzarlo con un qualunque programma di masterizzazione. E' ovviamente fondamentale verificare che il lettore di cd e il bios del pc permettano l'avvio da cd.

Assegnazione dell'indirizzo
Dopo aver avviato il sistema dal nuovo cd, compare una semplice interfaccia testuale (ora esiste anche una GUI). In primo luogo si devono configurare le due schede di rete utilizzando la voce dal menù 1: i cavi di rete devono risultare collegati. In seguito si utilizza la voce 2 per assegnare gli indirizzi IP delle due schede di rete, dopo aver interrotto la connessione ad internet.

Configurazione web
Le altre configurazioni si possono impostare comodamente da qualsiasi pc della rete locale. Nel campo degli indirizzi del browser immettere l'indirizzo Ip del filereall: di norma per un firewall l'indirizzo coincide con 192.168.1.1 per cui s'imposta http://192.168.1.1. Nome utente e password per il login sono definiti: user: 'admin', default password: 'mono' .

Impostazioni di base.
Utilizzando l'interfaccia Web il primo passo consiste nel considerare la voce General Setup per effettuare la configurazione di base. In questa sede vanno definiti per esempio il server DNS e l'ora di sistema, in modo che nella successiva analisi dei protocolli non si debba perdere tempo per capire quando è avvenuta l'aggressione. E' inoltre importante considerare che a questo punto è possibile anche modificare nome utente e password; non è mai consigliato infatti, lasciare i valori iniziali.

Regole per il firewall
Il cuore del sistema firewall è costituito dall'insieme delle regole che vanno definite nel menù firewall. per sapere quali sono le impostazioni disponibili e quali adottare, conviene leggere il documento http://m0n0.ch/wall/documentation.php. Una volta definite le regole, ristabilire la connessione a internet: ora m0n0wall è pronto per essere utilizzato.

FAQ Firewall

Che cos'è un firewall?
Un firewall è una combinazione di risorse hardware e software che previene l'accesso non autorizzato al vostro sistema proteggendolo. L'utilizzo più comune è di evitare che utenti malintenzionati prendano il controllo del vostro sistema, ma può essere utilizzato anche per bloccare il traffico in uscita non autorizzato.
Hardware e software? Un firewall è un programma oppure un sistema completamente separato?
Entrambi. A seconda del livello di protezione desiderato è possibile scegliere la strada da seguire. Un firewall hardware offre un maggiore grado di protezione perchè impedisce agli intrusi di sorpassarlo anche "fisicamente". Molti router di medio/alto livello ne offrono uno incorporato così che i malintenzionati si fermano al modem. Un'altra scelta potrebbe essere utilizzato un vecchio computer con montata una distro minimale come IPCop che richiede bassissima potenza di calcolo, anche un 486 sarebbe adatto al compito.
Purtroppo ho solo un computer, posso avere un firewall, comunque?
Certo, molto semplicemente. Nonostante un firewall software non sia sicuro come la controparte hardware, per la maggior parte dei compiti è abbastanza efficace se configurato a dovere. Non c'è bisogno di dire che naturalmente gli amministratori più paranoici li utilizzano entrambi contemporaneamente.
Quali sono le scelte nello specifico?
I firewall in Linux vengono gestiti direttamente dal kernel tramite iptables (che ha rimpiazzato ipchain ormai da diverse release). Per gestire le politiche di ingresso e uscita bisogna definire alcune regole che stabiliranno chi può entrare/uscire e chi no. Scrivere tutte le regole di iptables a mano può essere abbastanza complicato e si può incorrere facilmente in una serie di errori comuni. Per facilitare il compito fortunatamente esistono diversi programmi che aiutano l'utente: dall'utility basata su script per riga di comando come shorewall a quelli prettamente grafici come firestarter, guarddog e firewall builder. Siccome questi generano script di iptables potete comunque utilizzare il risultato anche su server che non dispongono del server X.
Ma linux non dovrebbe essere abbastanza sicuro già da solo?
Sì, lo è se ci si preoccupa di mantenerlo tale. La serratura sulla porta di casa è abbastanza inutile se non la usate; lo stessa si applica alle porte che danno su internet. Linux fornisce abbastanza strumenti per non temere alcun pericolo dall'esterno ma solo se li utilizzate a dovere. Una politica sui permessi dei file ben congegnata permette di ostacolare gli intrusi ma tenerli fuori è sempre la cosa migliore.

Internet Explorer: fare in modo che non vengano memorizzate le password

Internet Explorer include una funzione che permette il salvataggio automatico delle password inserite nei vari form sul web.
Per motivi di sicurezza, chi fosse interessato, può disattivare tale funzione operando una semplice modifica sul registro di sistema. Avviate l'Editor del registro di sistema (Avvio/Start , Esegui... , REGEDIT) quindi portatevi in corrispondenza della chiave seguente:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
Portatevi nel pannello di destra e fate doppio clic sul valore
DisablePasswordCaching (qualora non esistesse provvedete a crearlo scegliendo dal menù Modifica la voce Nuovo , Valore DWORD). Impostate il suo valore a 1.

Svuotare la cache all'uscita

Tutte le pagine dei siti Internet che si visitano, vengono, come sappiamo, memorizzate nella cache di Internet Explorer, ovvero nella cartella destinata alla memorizzazione dei file temporanei scaricati automaticamente dal browser nel corso della navigazione.
Se, per motivi di privacy e di sicurezza, si desidera che i file temporanei vengano eliminati in modo automatico ogni volta che si chiude Internet Explorer, è possibile applicare il suggerimento che segue.
Andate sul menù "Strumenti di Internet Explorer", cliccate su Opzioni Internet, selezionate la scheda Avanzate, scorrete la lista fino a trovare la voce Protezione.
All'interno di questa sezione troverete l'opzione Svuota la cartella dei file temporanei Internet alla chiusura del browser.
A questo punto attivatela.

Impedire l'accesso a un sito Web

Se in famiglia sono in tanti a utilizzare il computer (ed anche i più piccoli), conviene bloccare l'accesso a siti internet dai contenuti poco raccomandabili. La procedura è molto semplice. Aprire il menu Strumenti, selezionare la voce Opzioni, e nella maschera che viene visualizzata accedere alla scheda Protezione.
Nella parte superiore della scheda selezionare il simbolo del divieto di transito, poi fare clic sul pulsante Siti. Nella casella di testo del box che viene visualizzato digitare l'indirizzo da bloccare. A questo punto, premere il pulsante Aggiungi per inserire l'indirizzo nel sottostante elenco dei siti bloccati. Per rimuovere un indirizzo dall'elenco, selezionarlo e premere il pulsante Rimuovi.

Restringere gli accessi ai siti

Per evitare che chi utilizza il computer possa accedere a determinati siti possiamo creare un elenco di quelli inibiti. Ecco come procedere.
Aprire il menu Strumenti, e fare clic sulla voce Opzioni Internet. Nella maschera a schede che si apre accedere a quella etichettata Protezione. Fare clic sull'icona Siti con restrizioni, poi sul pulsante Siti determinando l'apertura di un box nella cui casella superiore si digita l'indirizzo del sito da precludere. A questo punto, premere il pulsante Aggiungi a fianco della casella per inserirlo nell'elenco visualizzato nella sottostante finestra.
Per riabilitarlo, evidenziarlo, quindi fare clic sul pulsante Rimuovi che si attiva contestualmente alla evidenziazione dell'indirizzo stesso. Se si preme l'icona Siti attendibili, è possibile, invece, creare un elenco di quelli sempre comunque accessibili.

Proteggere directory web su Apache con htaccess

Se hai un sito che contiene dei dati sensibili, come informazioni sui tuoi utenti, indirizzi email, documenti interni etc. ti sari sicuramente posto il problema di dove conservare questi file, in modo da escludere l'accesso a persone non autorizzate. Se il tuo sito è in hosting, è molto probabile che il server usi Apache
Il modo più rapido per proteggere una directory tramite Apache consiste nell'implementare un'autenticazione via web. Htaccess è il metodo più comune, e verrà spiegato in questa guida.

Requisiti
Prima di continuare, assicurati di rispettare queste condizioni:
* il tuo webserver è Apache;
* puoi connetterti al server via FTP e telnet/ssh;
* conosci i comandi base per navigare all'interno delle directory del tuo server;
* riesci a stabilire il percorso assoluto delle directory;

Il file .htaccess
Htaccess è uno schema di autenticazione username/password che entra in gioco quando una determinata directory o un file vengono richiesti. Htaccess è un metodo di autenticazione "plain-text", il che vuol dire che username e password vengono inviati in semplice formato testo, non criptato. Sebbene ci siano molte poche possibilità che qualcuno intercetti i tuoi dati, l'autenticazione tramite htaccess è sicura quanto una connessione telnet o ftp.
Per proteggere una directory del tuo webserver usando .htaccess, devi creare due file:
.htaccess: questo file contiene le preferenze ed i dettagli riguardo ai metodi di autenticazione e i permessi per la directory.
.htpasswd: questo file contiene una lista criptata di combinazioni di username e password che viene usata da Apache insieme al file .htaccess per concedere o negare l'accesso
Se volete proteggere anche delle sottodirectory all'interno di una cartella protetta sarà necessario inserire lo stesso file .htaccess (e solo quello) in tutte le sottodirectory.
Il file .htaccess funziona come uno script di configurazione, e fornisce ad Apache alcuni dettagli ed opzioni quando un utente viene autenticato. Con un editor di testi crea un nuovo file chiamato ".htaccess" (le virgolette potrebbero essere necessarie se usassi, ad esempio, blocknotes, per evitare che venga aggiunta l'estensione .txt). Inserisci il seguente testo nel file .htaccess:
AuthUserFile /www/htdocs/secure/.htpasswd
AuthGroupFile /dev/null
AuthName "Directory Protetta"
AuthType Basic

require valid-user

Come avrai notato, il file .htaccess è diviso in due sezioni, la prima parte per i dettagli di autentificazione e la seconda parte con i permessi per l'utente. Entriamo in dettaglio.
AuthUserFile /www/htdocs/secure/.htpasswd
Nella prima linea è indicato il percorso assoluto al file .htpasswd. Questo file contiene una lista di combinazioni di username e password che Apache userà per verificare tutti i tentativi di login (maggiori dettagli di seguito).
Nell'esempio il file .htpasswd è localizzato nella directory /www/htdocs/secure. Devi cambiare questo percorso con quello della directory che vuoi proteggere. Per conoscere il percorso assoluto devi portarti via telnet/ssh nella cartella e dare il comando "pwd".
AuthGroupFile /dev/null
La seconda linea fa riferimento ad un file per l'autentificazione di gruppi. Questo potrebbe essere utile per separare gli utenti in gruppi distinti, come studenti e professori o staff e visitatori ad esempio. Siccome non ne faremo uso, indichiamo /dev/null, in modo tale da "avvisare" Apache che il file non esiste.
AuthName "Directory Protetta"
Nella terza linea, indichiamo quella che Explorer chiama "Area Autenticazione".:
Immagine della maschera per l'inserimento di username e password
Ovviamente puoi scegliere qualsiasi cosa. E' molto importante racchiudere il testo tra due virgolette (" e ").
AuthType Basic
La variabile AuthType imposta il tipo di autentificazione per la richiesta. Dato che stiamo usando una semplice autentificazione via web, la impostiamo su Basic. Altri valori possibili sono PGP e Digest.
La seconda sezione del nostro file .htaccess, contiene le richieste e i metodi di risposta a cui gli utenti autenticati hanno accesso:

...

Nel nostro file .htaccess consentiamo agli utenti autorizzati l'accesso a tutte le parti del sito in cui il metodo GET è permesso (in poche parole, gli utenti possono vedere una pagina, ma non possono compilare form etc). Altri limiti includono PUT e POST. Per ampliare le possibilità degli utenti, basta aggiungere PUT e/o POST nel primo tag, in questo modo:


require valid-user

Tra i tag e , possiamo inserire una lista di utenti a cui intendiamo concedere l'accesso alle cartelle protette, precendendo l'username con “require user”, ad esempio:
require user giovanni
require user pino
require user mafalda
In alternativa, (come ho fatto nel mio file .htaccess) si può garantire l'accesso a tutti gli utenti con l'esatta accoppiata username/password:
require valid-user
Questo è tutto quello che riguarda una semplice spiegazione del file .htaccess. Quando un utente non autenticato tenta di visitare la directory protetta, il file .htaccess viene caricato ed elaborato da Apache, che fa visualizzare la maschera per l'inserimento di username e password.
E' possibile inoltre proteggere l'intera directory proteggendo tutti i files in essa contenuti

Order allow,deny
Deny from all
Satisfy All

Chi tenterà di accedere leggerà
"Forbidden
You don't have permission to access /nome_directory/ on this server."
La direttiva è molto versatile, puoi proteggere i singoli files e persino impostare la password soltanto per alcuni file come qui sotto
AuthUserFile /percorso_htpasswd
AuthName "Utente Registrato"
AuthType Basic

require valid-user

Gli script eseguiti da Apache avranno pieno accesso alla directory mentre le richieste provenienti dall'esterno verranno bloccate*
Arrivati a questo punto non resta che aggiungere utenti alla lista delle persone autorizzate. Questo viene fatto tramite il programma htpasswd.

Il file .htpasswd
Il file .htpasswd è molto più semplice del file .htaccess, dato che può essere composto anche da una sola linea. In realtà è composto da una lista di coppie nome/valore, che rappresentano le combinazioni di username/password. Ogni combinazione di username/password è separata da un ritorno a capo e viene usata da Apache per determinare se un utente che tenta di accedere alla directory protetta esiste, e se la password che ha fornito è valida.
Prima di creare il file .htpasswd, devi caricare sul server il file .htaccess (che abbiamo appena creato), nella directory che intendi proteggere. Questo può essere fatto con un qualsiasi client ftp. L'importante che l'upload avvenga in modalità ASCII.
Per creare il file .htpasswd, dovrai connetterti al tuo server usando telnet/ssh.
Una volta collegato, dovrai portarti nella directory che intendi proteggere, usando quindi il comando:
cd /www/htdocs/secure
Ovviamente /www/htdocs/secure varierà in base alla cartella che intendi proteggere.
Ora dobbiamo eseguire il programma htpasswd. Questo è un semplice programma che accetta 3 parametri:
htpasswd [opzioni] [file .htpasswd] [nuovo username]
Per il primo parametro, useremo “-c”. Questo informa il programma che stiamo creando un nuovo utente. Per il secondo parametro, digiteremo “/www/htdocs/secure/.htpasswd” (oppure ".htaccess solamente, a patto di trovarci nella cartella /www/htdocs/secure). Per l'ultimo parametro, indicheremo il nome dell'utente che vogliamo creare, ad esempio "giovanni". Riassumendo, il comando per creare il nuovo utente giovanni, sarà il seguente:
htpasswd –c /www/htdocs/secure/.htpasswd giovanni
Dando il comando come indicato nella riga precedente (ovviamente sostituendo il percorso del file .htpasswd) ti verrà chiesto di digitare due volte la password che vuoi associare all'utente giovanni.
Per aggiungere un altro utente, non sarà più necessario usare il parametro "-c" (che serve a creare il file .htpasswd). Il comando sarà quindi:
htpasswd /www/htdocs/secure/.htpasswd mario
Ovviamente si dovrà inserire due volte la password
Questo è tutto il necessario per proteggere le directory! Possiamo controllare se il sistema funziona, aprendo il browser e collegandoci all'indirizzo corrispondente alla directory protetta. Si dovrebbe aprire un box in cui è possibile inserire username e password.
Inserendo giovanni e la password che avevate digitato, e cliccando su ok, dovreste avere accesso alla directory /secure. Inserendo 3 o più volte un'accoppiata username/password volutamente errata, dovrebbe esservi impedito l'accesso, con un errore 401.

Non posso usare telnet/ssh
C'e un metodo un po' più laborioso, ma altrettanto valido
1. vai all'indirizzo http://www.htaccesstools.com/htpasswd-generator/
2. inserisci username e password che vuoi creare (nel mio caso dario/dario)
3. premi encrypt e nella parte destra della schermata viene fuori l'output (nel mio caso, per dario/dario: "dario:gUHi3YRfa5aeI"
4. apri blocknote, ed incolli l'accoppiata username&password che sono stati generati (nel mio caso l'unica riga e' dario:gUHi3YRfa5aeI)
5. salvi come ".htpasswd"
6. carichi sul server in modalita' ASCII nella directory che vuoi proteggere, e che coincide con quella indicata nel file .htaccess
7. ti colleghi via browser alla directory protetta, apparira' la finestrella in cui inserirai lo username e la password (dario e dario nel mio caso)
8. dovresti aver accesso alla cartella.

Svantaggi di questo metodo:
* Ogni volta che vuoi aggiungere un utente, devi ripetere la procedura da capo, inserendo il nuovo utente e la password criptata nella riga sottostante.
* Per modificare la password, devi ri-criptare username e password e sostituire la nuova stringa alla precedente.
* Per rimuovere un utente, cancelli la riga ad esso associata.
* Via telnet/ssh e' piu' facile, visto che le modifiche vengono fatte direttamente al file .htpasswd, e non devi stare ogni volta a scaricarlo, modificarlo, e ricaricarlo

Conclusioni
Htaccess è uno dei metodi più popolari usato su server Apache perché è semplice e veloce da attivare e non richiede modifiche sostanziali ad Apache stesso.
Inoltre la particolarità dell'autenticazione http è proprio il fatto che il browser se la "ricorda" anche senza cookie. Quindi con il 99% dei browser non sarai costretto a ri-autenticarti se non dopo aver chiuso e riaperto la finestra.*
Come scritto precedentemente, le informazioni però vengono inviate al server in formato testo. Questo potrebbe andare bene se proteggi un sito personale. Tuttavia, se cerchi una protezione per un sito aziendale, dovresti cercare metodi più avanzati.

.htaccess
Imposta il file .htaccess per limitare l'accesso a cartelle del tuo spazio web
Per configurare un gruppo chiuso sul tuo spazio web, cioè accessibile attraverso l'inserimento di user-id e password devi utilizzare il file .htaccess
.htaccess ti permette di specificare l'accesso a una directory del tuo spazio subordinato all' inserimento di user id e password.
Questa operazione è sconsigliata agli utenti meno esperti, in quanto presume una conoscenza di base dei protocolli di comunicazione.
Vediamo un esempio di file .htaccess per restringere l'accesso alla directory del mio dominio (miodominio.it) chiamata "privato".
Se creaiamo una cartella web col nome privato (www.miodominio.it/privato) e carichiamo dei contenuti, questi naturalmente sono visibili a tutti.
Ma se vogliamo subordinare la visualizzazione dei contenuti di questa cartella all' inserimento di un nome utente e password dobbiamo creare un file .htaccess e .htpassword.
Questi file possono essere creati attraverso un semplice blocco note e devono essere poi caricati all' interno della directory che intendiamo proteggere, nel nostro caso "privato".
Un esempio di .htaccess

AuthType Basic
AuthUserFile /var/www/www.miodominio.it/httpdocs/privato/.htpasswd
AuthName "Area protetta"
require valid-user

Salviamo il file.

Contenuto di .htpasswd

nomeutente:password

Salviamo il file
Se caricate ora i due file nella cartella specificata noterete che tentando di connettersi a questa cartella verrà richiesto l'inserimento di un nome utente e di una password.