Pare-feu et wifi

Jacques Perrocheau <jperrocheau@mac.com.invalid> wrote:

Philippe RAI <philo.ra@NSfreesurf.fr> wrote:

Dans le document PDF "Présentation technologique d'AirPort Extreme" sur
http://www.apple.com/fr/airportextreme/
on trouve 9 fois le mot Firewall au sujet de la borne.
A un seul endroit il est question de NAT firewall. C'est quoi ?

Du détournement de vocabulaire.

Pour un usage en client, le NAT de la borne et le Firewall intégré (TdB
Partage) t'apporte une protection suffisante. Si tu veux absolument
faire serveur ouvert sur l'Internet, il te faut mettre les mains dans le
cambouis pour une configuration plus fine du firewall (ipfw) inclus dans
Mac OS X (en GUI avec des utilitaires tièrce partie ou à la mimine en
CLI)

Bon, cela devient compliqué.
C'est pas grave, c'était juste pour la mesure du débit.
Faudra que je me connecte au modem directement sans passer par la borne.

Pour t'en rendre compte, ouvre Airport Admin Utility et trouve une section
dédié à l'hypothétique pare-feu.
Je t'invite même à faire des copies d'écran et à les publier =)

Ben justement, je n'ai pas trouvé, d'où ma question.

Tu n'as pas trouvé quoi ?

Comment on règle le pare feu de la borne, c'était ma question du début.

Pas trouvé dans l'aide.

Pourtant la réponse y est. Cherche mieux.

Je ne trouve rien en cherchant "translation d'adresse".

J'ai le même type de configuration que toi, la raison donné par Matt
pour le non-mesure du débit en upload (<http://bw.sdv.fr/>) est la
bonne...et comme tu ne peux pas utiliser une autre réglage...

OK

J'ai vu dans les documents qu'il existe deux utilitaires que je ne sais
pas où trouver :

Airport client monitor et Airport management utility.

Qui ne t'apporteront rien de plus... "Airport management utility"
comporte même quelques bug pour lire les configurations des bornes non
Extreme.

J'ai vu une copie d'écran avec un beau graphe de puissance de réception,
c'est cela qui m'intéresse.

Merci pour les réponses.

Philippe RAI

Matt <sbehzf@syrius.org> wrote:

Si mais j'ai voulu montrer du doigt une coquille dans le sens de la phrase
qui peut amener à une certaine incompréhension; et particulièrement la
seconde :

"Si aucun d'entre eux ne figure dans la liste, ils peuvent tous accéder au
réseau après authentification."

Ca veut juste dire que si tu ne listes aucune machine, alors toutes sont
autorisées, à condition de conaître le mot de passe wep.

C'est pas trés clair, mais c'est bon...

A+
Laurent

Stephane Dupille <sdupille+news@teaser.fr> wrote:

il y a plus simple et efficace: activer le cryptage WEP du réseau Wifi
Plus simple sans doute. Plus efficace, je doute.

Et n'autoriser que certaines carte WiFi avec leur numéro MAC ?

C'est n'est pas forcément plus efficace. Disons que toutes les
protections WEP, WPA et vérification de l'adresse MAC n'apportent pas
beaucoup plus de protection, mais mettre tout ensemble apporte un
système raisonnablement sûr, qui permet au moins d'éviter qu'on se
branche sur le réseau par inadvertance, et permet de jarter les
attaques par force brute des script-kiddies.

Sinon on peut mettre un serveur radius. ;-)

Ouh là....

La question de base est la protection d'une machine connectée en ADSL à
Internet, et ma réponse donnait juste une méthode grossière pour savoir
quoi faire en matière de pare-feu...

Si Michel Arnoud s'interroge sur la sécurisation de base de son réseau
Airport, alors je lui conseillerai d'activer le WEP et le contrôle MAC
s'il se trouve dans un immeuble ou une zone résidentielle dense. S'il
habite comme moi au fin fond de la campagne, alors il peut sans passer
sans se faire d'insomnie.

Si maintenant la question est: comment blinder la sécurité informatique
de son réseau, alors lachons nous:
-élaboration d'une FEROS (fiche d'expression rationelle des objectifs de
sécurité),
-élaboration d'une politique de sécurité interne, déclinant la FEROS
-mise en place de sécurités:
-réseau (contrôle d'accès réseau, détection/prévention
d'intrusion, DMZ, ...)
-physiques (enclave de sécurité, contrôle d'accès physique,
mesures anti-intrusion, dispositif d'intervention,...)
-humaines (habilitation des utilisateurs, auditeurs SSI,
exploitants SSI,...)
-contre-mesures (dispositif d'effacement d'urgence des données,
plan anti-sinistre, ...)
-anti-compromission (maîtrise des rayonnements et des couplages
électro-magnétiques, vitres teintées, bâtiment faradisé,...)
-documentation exhaustive de l'ensemble des points ci-dessus
-audit par un organisme extérieur homologué

Le type qui fait pas ça chez lui n'est pas en sécurité. Il prend des
risques sans le savoir.

Mais est-il utile de faire tout ça pour iLife et pour surfer?

A+
Laurent, grand parano SSI 2004

On peut considérer ça suffisant pour un réseau domestique, ou il n'y a
aucune information confidentielle et en considérant que le fils du voisin
qui pirate la ligne n'ira pas spammer des millions d'adresses avec des
images pédophiles.

Euh...

En entreprise, c'est de l'inconscience. Le WEP et le WPA n'offre qu'une
sécurité illusoire.

Le principe du WPA est de faire tourner les clés WEP. En pratique,
on change la clé toutes les quelques secondes. Pour pirater du WEP, il
faut environ 2 Go de données, et il est impossible de les avoir dans
les quelques secondes avec le débit du Wifi. Le couple WPA/WEP est
très suffisant !

Dans la plupart des cas, il suffit de quelques
minutes voire quelques secondes pour rentrer sur un réseau dit "protégé".

Mal configuré oui.

Le filtrage d'addresse MAC n'est pas plus utile: les addresses MAC sont en
clair dans tous les paquets et en changer est un jeu d'enfant.

Oui, c'est pour ça que ça ne suffit pas.

Donc pour une entreprise qui a généralement des données qui ne doivent
pas sortir sur son réseau, avoir un réseau Wifi relié au LAN est une
hérésie. Par contre, un réseau Wifi sur lequel seul un port VPN est
accessible (et crypté pour la galerie), OK.

Bien entendu, mais je ne vois pas un particulier s'amuser à mettre
du VPN pour protéger ses connexions... Et même dans une entreprise, du
WPA/WEP suffit bien pour la plupart des cas, toutes les entreprises ne
manipulent pas des secrets militaires.

--
C> Merci de renommer vos fils et sous-fils, sinon c'est le bordel.
BdB> Tu parles, c'est si je renomme mon fils que ça va être le bordel.
Tu seras une pomme, mon fils
-+- pH in <http://www.le-gnu.net>: de pire en père et de pomme en fils.

On Mon, 27 Sep 2004 10:19:59 +0200, Stephane Dupille wrote:

[...]

En entreprise, c'est de l'inconscience. Le WEP et le WPA n'offre qu'une
sécurité illusoire.

Le principe du WPA est de faire tourner les clés WEP. En pratique,
on change la clé toutes les quelques secondes. Pour pirater du WEP, il
faut environ 2 Go de données,

Il faut quelques Mo de donnée dans les conditions les plus défavorables:
(aucune connaissance de la structure des paquets + clé avec un secret de
104 bits) or dans les faits, cette structure est connue et les clés
étant très mal utilisées dans le WEP, le secret se résume parfois à 3
bits. Il y a de nombreux pdf sur le sujet disponibles...

et il est impossible de les avoir dans
les quelques secondes avec le débit du Wifi. Le couple WPA/WEP est
très suffisant !

Tu n'as jamais essayé, apparement...
Il suffit d'avoir une clé. Si tu en choppes une, tu connaitra les
suivantes...

Dans la plupart des cas, il suffit de quelques
minutes voire quelques secondes pour rentrer sur un réseau dit "protégé".

Mal configuré oui.

Hum... Avec juste la sécurité maximale proposée par le protocole.

[...]

Donc pour une entreprise qui a généralement des données qui ne doivent
pas sortir sur son réseau, avoir un réseau Wifi relié au LAN est une
hérésie. Par contre, un réseau Wifi sur lequel seul un port VPN est
accessible (et crypté pour la galerie), OK.

Bien entendu, mais je ne vois pas un particulier s'amuser à mettre
du VPN pour protéger ses connexions... Et même dans une entreprise, du
WPA/WEP suffit bien pour la plupart des cas, toutes les entreprises ne
manipulent pas des secrets militaires.

Tu connais beaucoup d'entreprises qui ont envie que leur fichier client
soit en libre consultation, que les contrats en négociation soient
visibles, que les comptes rendus de réunion sur la stratégie soient en
lignes ?
Ce ne sont pas des secrets militaires, mais la divulgation de ces données
peut suffire à couler la boite.
C'est un "détail" dont on peut tenir compte...

Le principe du WPA est de faire tourner les clés WEP. En pratique,
on change la clé toutes les quelques secondes. Pour pirater du WEP, il
faut environ 2 Go de données,
Il faut quelques Mo de donnée dans les conditions les plus défavorables:

(aucune connaissance de la structure des paquets + clé avec un secret de
104 bits) or dans les faits, cette structure est connue et les clés
étant très mal utilisées dans le WEP, le secret se résume parfois à 3
bits. Il y a de nombreux pdf sur le sujet disponibles...

Je suis sûr que vous avez les docs sous le coude.

Sinon, pour les 2 Go, c'est ce que j'avais lu sur fc.securite, mais
je ne suis plus très sûr du volume nécessaire (mais c'est gros, et
difficilement fetchable entre deux échanges de clés).

Sinon vous parlez de pb d'implémentation, pas de failles du
protocole. Ça fait quand même une grosse nuance (car une
implémentation se change).

et il est impossible de les avoir dans
les quelques secondes avec le débit du Wifi. Le couple WPA/WEP est
très suffisant !
Tu n'as jamais essayé, apparement...

Il suffit d'avoir une clé. Si tu en choppes une, tu connaitra les
suivantes...

Et comment on fait pour avoir la première ?

Dans la plupart des cas, il suffit de quelques
minutes voire quelques secondes pour rentrer sur un réseau dit "protégé".
Mal configuré oui.

Hum... Avec juste la sécurité maximale proposée par le protocole.

Hum... WPA n'est qu'un ajout au protocole, pas le protocole lui
même, mais c'est un détail, passons. Ensuite, bis repetita, WPA suffit
pour couvrir 90% des attaques.

Bien entendu, mais je ne vois pas un particulier s'amuser à mettre
du VPN pour protéger ses connexions... Et même dans une entreprise, du
WPA/WEP suffit bien pour la plupart des cas, toutes les entreprises ne
manipulent pas des secrets militaires.
Tu connais beaucoup d'entreprises qui ont envie que leur fichier client

soit en libre consultation, que les contrats en négociation soient
visibles, que les comptes rendus de réunion sur la stratégie soient en
lignes ?
Ce ne sont pas des secrets militaires, mais la divulgation de ces données
peut suffire à couler la boite.
C'est un "détail" dont on peut tenir compte...

Ter repetita : on n'écrase pas une mouche au marteau pilon. Le
couple WEP/WPA suffit largement à couvrir les besoins de sécurité de
la majorité des usages et des attaques. Je n'ai jamais dit que c'était
inviolable, mais que c'était largement suffisant dans le cas courant.
Faut quand même être sacrément tenace pour passer outre.

Et puis avant de chercher des poux aux connexions WiFi, faudrait
déjà boucher les failles des virus, des accès sans contrôles, des mots
de passes nazes (quand il y en a), et mettre en place une politique de
sécurité au sein de l'entreprise.

Enfin, la sécurité n'est pas d'avoir un machin inviolable, c'est
connaître les limites de son plan de sécurité, d'en connaître les
contraintes, et d'avoir un équilibre montant à protéger/coût de la
sécurité.

Et puis la question initiale parlait d'une connexion ADSL chez un
particulier. /eot, on est franchement HS.

--
(fufe) Ca deconne, domage... votre service est vraiment super! J'arrive
vraiment pas a envoyer ma candidature sur votre site: il me fait a
chaque fois error, pourquoi? Il y a t'il une limite de chrcter?
-+-JF - <http://www.le-gnu.net> - Souvent limité, jamais égalé -+-

On Mon, 27 Sep 2004 16:00:58 +0200, Stephane Dupille wrote:

Le principe du WPA est de faire tourner les clés WEP. En pratique,
on change la clé toutes les quelques secondes. Pour pirater du WEP, il
faut environ 2 Go de données,
Il faut quelques Mo de donnée dans les conditions les plus défavorables:

(aucune connaissance de la structure des paquets + clé avec un secret de
104 bits) or dans les faits, cette structure est connue et les clés
étant très mal utilisées dans le WEP, le secret se résume parfois à 3
bits. Il y a de nombreux pdf sur le sujet disponibles...

Je suis sûr que vous avez les docs sous le coude.

Sinon, pour les 2 Go, c'est ce que j'avais lu sur fc.securite, mais
je ne suis plus très sûr du volume nécessaire (mais c'est gros, et
difficilement fetchable entre deux échanges de clés).

Sinon vous parlez de pb d'implémentation, pas de failles du
protocole. Ça fait quand même une grosse nuance (car une
implémentation se change).

Non, c'est une faille d'utilisation des clés dans le standard WEP, pas
une faille d'implémentation du standard WEP. Ca n'est pas corrigeable, à
moins d'utiliser autre chose que le WEP. Il n'y a aucun moyen pour un
éditeur de firmware de rester compatible et de protéger mieux les
liaisons.
C'est sans doute pour celà que le WPA2 change complètement de méthode
et utilisera des clés partagées (des vrais clés cryptographiques, pas
quelques bits...) et de l'AES.

et il est impossible de les avoir dans
les quelques secondes avec le débit du Wifi. Le couple WPA/WEP est
très suffisant !
Tu n'as jamais essayé, apparement...

Il suffit d'avoir une clé. Si tu en choppes une, tu connaitra les
suivantes...

Et comment on fait pour avoir la première ?

Il suffit d'écouter. De nombreux soft le font très bien, les algos
reposent sur des théories mathématiques prouvées et le code C en
open-source est facilement disponible.

Dans la plupart des cas, il suffit de quelques
minutes voire quelques secondes pour rentrer sur un réseau dit "protégé".
Mal configuré oui.

Hum... Avec juste la sécurité maximale proposée par le protocole.

Hum... WPA n'est qu'un ajout au protocole, pas le protocole lui
même, mais c'est un détail, passons.

Justement, il n'ajoute aucune sécurité réelle en plus, tellement le
protocole sous jacent (le WEP) est faible.

Ensuite, bis repetita, WPA suffit pour couvrir 90% des attaques.

Ca évite tout juste la connection par erreur à un réseau voisin, jamais
une attaque. J'ai vu (même subi) des attaques sur Wifi...
Le WEP a été conçu par des gens qui ne connaissent apparement rien à
la sécurité ni à la cryptographie. Je ne suis pas un pro du domaine,
mais je vois que toutes les failles reprochées au protocole et les
erreurs d'implémentation qu'ils ont commis en créant la norme étaient
connus bien avant que le WEP n'existe. Les algorithmes pour casser le WEP
existaient avant le WEP lui même ! Ca donne une idée de la confiance
qu'on peut lui accorder...

Matt <sbehzf@syrius.org> wrote:

On Sun, 26 Sep 2004 19:57:06 +0200,
Philippe RAI <philo.ra@nsfreesurf.fr> wrote:

Dans le document PDF "Présentation technologique d'AirPort Extreme" sur
http://www.apple.com/fr/airportextreme/
on trouve 9 fois le mot Firewall au sujet de la borne.
A un seul endroit il est question de NAT firewall. C'est quoi ?

Tu poses la mauvaise question.
"On ne trouve pas le mot NAT au sujet de la borne. Pourquoi ?

NAT ne serait donc pas disponible avec les bornes AirPort ?
Je te laisse conclure.

Ben justement, je n'ai pas trouvé, d'où ma question.

Sjmsb, on tombe dessus avec les mot-clés "serveur web".

J'ai vu dans les documents qu'il existe deux utilitaires que je ne sais
pas où trouver :

Airport client monitor et Airport management utility.

Ils font partie de la suite "Apple Airport Management Tool" :
<http://www.macupdate.com/info.php/id/14758>

Merci pour toutes les informations.

Philippe RAI

Matt <sbehzf@syrius.org> wrote:

Considérer l'utilisation d'un serveur RADIUS est également judicieux (si
ce n'est mieux) mais nécessite un véritable administrateur réseau.

Il y a une implémentation non-officielle de free-radius pour Mac OS X
Server 10.3, cela permet de réutiliser les comptes utilisateurs créés
dans le système lorsque ce dernier est configuré en tant que serveur
LDAP sans refaire une base à part pour le serveur Radius.

Je n'ai pas encore eu le temps de tester et je ne me souviens plus du
lien (et là je suis hors-connexion). Si certains sont intéressés je peux
retrouver.

Cela dit, une bonne installation de Mac OS X Server 10.3 dans la config
donnée nécessite quand même un minimum de connaissances.

Il faut vraiment que j'installe un serveur à la maison pour faire
mumuse...

--
Politically Correct Unix - UTILITIES
The "touch" command has been removed from the standard distribution due
to its inappropriate use by high-level managers.

Matt <sbehzf@syrius.org> wrote:

On Tue, 28 Sep 2004 23:09:54 +0200,
Laurent Pertois <laurent.pertois@alussinan.org> wrote:

Je n'ai pas encore eu le temps de tester et je ne me souviens plus du
lien (et là je suis hors-connexion). Si certains sont intéressés je peux
retrouver.

<http://www.freeradius.org/>

Pas vu, mais j'ai regardé vite, il est vrai.

Dispo chez DarwinPorts et maintenu par un gars de chez Apple.

Darwinports ? mmmm, nan, pas sur un serveur :)

Mais bon à savoir.

Il faut vraiment que j'installe un serveur à la maison pour faire
mumuse...

Appelle-moi lorsque tu installeras un serveur Urban Terror, je me
joindrai à toi pour faire mumuse ;)

Arf :)

--
Politically Correct Unix - UTILITIES
The "touch" command has been removed from the standard distribution due
to its inappropriate use by high-level managers.