Re: Problema Kazaa e protocolli peer to peer

> Ho saputo che Kazaa riesce ad aggirare i filtri sulle porte messi su un
> router mediante un tunneling.

Kazaa, come quasi tutti i software di file sharing p2p, stabilisce una
connessione con peer esterni attraverso la quale puo' ricevere comandi
da parte di altri peer. Uno di questi comandi e' quello per iniziare i
trasferimenti "push" di file locali verso il peer che ne fa richiesta,
consentendo di fare l'upload di un file senza che il peer esterno alla
rete debba iniziare da se una nuova connessione verso il peer interno.
In questo modo e' possibile condividere i propri file con il mondo pur
essendo dietro a firewall che fermano le connessioni in ingresso o nel
caso in cui i peer interni escano con nat (od entrambi). E' questo che
intendi? Questa e' di fatto una forma di tunnelling che consente ad un
peer A sterno alla lan di inviare comandi al peer B interno attraverso
una connessione tcp che B ha in precedenza stabilito con un terzo peer
C esterno, ma non aggira nessun filtro del tuo router o firewall. Puo'
al limite aggirare delle policy, per le quali non e' stata attuata una
adeguata azione di enforcement attraverso restrizioni sul traffico che
e' permesso in uscita, ad esempio.

> Mi sembra di aver capito che lavora anche con l'ftp.

Non capisco.

> Comunque, sapete se c'è un modo per bloccare l'uso di questo software
> all'interno della propria rete locale?

Non fare uscire i client con nat e/o usare policy piu' restrittive per
il traffico in uscita, in modo che i peer interni alla lan non possano
connettersi alla rete p2p. Lo puoi fare bloccando le singole porte che
vengono utilizzate come destinazione in uscita dai piu' comuni sistemi
di file sharing, ma queste possono anche essere cambiate dagli utenti.
Piu' facile usare una policy deny generalizzata ed abilitare in uscita
solo le porte di destinazione ammesse. Meglio ancora e' usare un proxy
applicativo, che semplifica la gestione delle acl del router/firewall,
ed evita che qualcuno usi le porte ammesse in uscita per connettersi a
qualche rete p2p. Anche cosi' rimane la possibilita' che qualcuno esca
con altre tecniche, ma le probabilita' calano moilto, ed aumentano gli
strumenti per poter intervenire con provvedimenti di tipo disciplinare
sui pervicaci utenti che non si arrendono.


Fabio


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List