[ Home | Liste | F.A.Q. | Risorse | Cerca... ]


[ Data: precedente | successivo | indice ] [ Argomento: precedente | successivo | indice ] 

Archivio: Luglio 2004 ml@sikurezza.org
Soggetto: Re: [ml] OpenVPN
Mittente: Flavio Visentin
Data: Sat, 10 Jul 2004 01:49:24 +0200 (CEST)

Snocciolando un pò i progetti di sourceforge, ho trovato un pacchetto
che mi sembra abbastanza valito: "OpenVPN" che si basa su tunnel TCP over UDP
o TCP over TCP. La riservatezza dei dati è basata su ssl/tsl.
Uso OpenVPN da + di un anno e fino ad ora sono molto soddisfatto, anche se vi sono alcuni limiti fastidiosi del prodotto che verranno corretti nella versione 2.x.

Quanto può essere sicura una VPN realizzata con questo pacchetto?
Tanto quanto qualsiasi VPN basata su IPSEC o su SSL, fatti salvi eventuali bug nei programmi. L'uso di crittografia basata su AES a 256 bit accoppiata con HMAC SHA1 e autenticazione con certificati x509 ti garantiscono una sicurezza del canale di comunicazione a prova di CIA. Tradotto significa che è più comodo e semplice rubarti il certificato dal server che non intercettare i dati in transito.

E' meglio un tunnel TCP over UDP o TCP over TCP (col rischio di
overead troppo costosi in termine di prestazioni)?
Se possibile è meglio utilizzare UDP ed il perché è chiaramente descritto nelle pagine di man.

E in termini di sicurezza? la mancazza di sessioni del protocollo UDP
può essere ovviata con una NAT ben configurata?
La mancanza della sessione dell'UDP viene "compensata" dal controllo di sessione a livello applicativo, ben più raffinato di quello TCP.
Per quanto riguarda il NAT dell'UDP viene in genere creata una "sessione" virtuale che consiste nel lasciare passare i pacchetti UDP dall'host "A" porta "a" all'host "B" porta "b" e viceversa per un certo lasso di tempo (per IPTABLES 2 min); se non si vedono passare pacchetti per quel lasso di tempo la connessione si considera chiusa ed è per questo che esiste sempre una funzionalità di keep-alive in questo tipo di programmi.


--
Flavio Visentin

|                     \|||/
|                    @/0.0\@
|                     \ - /
+------------------oOOo---oOOo------------------

There are only 10 types of people in this world:
those who understand binary, and those who don't.

GPG Key: http://www.zipman.it/gpgkey.asc


[ Home | Liste | F.A.Q. | Risorse | Cerca... ]

www.sikurezza.org - Italian Security Mailing List
(c) 1999-2005