Barrapunto

Hombre, la noticia tiene su nosequé...

Pero la introducción que habéis hecho no me parece muy ortodoxa, si se me permite decirlo.

Justo lo que queria: seguro que se puede adaptar, si no es asi ya, a un firewall stealth (sin respuesta) que aun asi haa un log y abra la puerta con la combinacion. Interesante,....

Resumiendo algunas cosas que se dijeron en Slashdot sobre el tema:

Primero, en TCP/IP no esta garantizado el orden en que lleguen las peticiones.
Segundo, esto es seguridad por la oscuridad, si alguien puede snifar la red, vera facilmente cual es ese "codigo". No es muy distinto de pasar una contraseña en texto claro, *ough..*..
Tercero, habria que implementarlo en el sistema operativo cuando es una funcionalidad de aplicaciones.

De todos modos en lugares y momentos concretos seguro que alguien le da una "buena" utilidad. Por ejemplo, los programadores de troyanos los pueden hacer despertar al llamar a ciertos puertos, para que no esten todo el tiempo con algunos puertos abiertos, que es algo bastante escandaloso.

epia, lfs, un pic con soporte usb, conectado a un display y a 4 pulsadores, caja de aluminio tamaño caja de suse 9 (es la que me sirvió de referencia).

El objetivo, un serviodr de todo (aprender), le pondre desde servidor de X, vpn, chat, paginas web, bind (dns), pop, imap, smtp. Una de las cosas que le quería implemetar al firewall es que si se hacían 3 pings del tamaño X con una frecuencia aprox de 2 segundos, se añadiese la ip del remitente de esos paquetes a la lista de host conocidos, hasta media hora despues de la inactividad desde ese host.

Claro que no es una cosa segura, pero es una capa más.

Buscando, no encontré nada parecido.

Todo lo que haga, estará en www.cientifico.net. De momento, tengo a medias el lfs (epia es 686 pero hay que compilar como 486 o 586, o aplicar un patch a gcc, cosa que me ha retrasado), y la caja está casi terminada. El pic me esta siendo dificil encontrarlo, ni en telkron ni conectrol lo tienen, a sí que igual me paso a otra marca (lo que requerirá aprender otro asm).

Espero tenerlo terminado en una versión estable para finales de verano, y una versión operativa, para finales de abril (Lo uso para programar un microbot que usaré en hispabot).

:-)

pero no le veo aplicación seria en el mundo real. Como apuntan un poco mas arriba, si te snifan la red se va al traste el asunto. Si el objetivo es tener un servidor con todos los servicios filtrados por el firewall, y utilizar algun método para obtener acceso a dicho servicio, se podrian currar un daemon, escuchando en un puerto X (este NO estaria filtrado) y que recibiese peticiones de acceso, del palo "hola soy 1.2.3.4 y quiero acceder al servicio POP3". Luego iptables -A INPUT -i loquesea -s 1.2.3.4 -p tcp --dport 110 -j ACCEPT y ale. Claro que tienes el problema de que necesitas un programa especial en el cliente para enviar las peticiones, pero todo esto usando conexiones seguras y autentificación debe ser mil veces mas seguro que el Port Knocking...

La verdad es que es una posibilidad interesante para implementar una puerta trasera de emergencia. Eso sí como ya se ha comentado tiene sus peligros, pero y si no se tratara de una secuencia fija, es decir podriamos convertilo en secuencias de un solo uso (si sólo lo vamos a usar de vez en cuando) o hacer la secuencia función dependiente de elementos como el horario, etc. Además podemos abrir el puerto sólo para una ip y cerrarlo tras la primera conexión (en el caso de protocolos conectados), no sé, se me ocurren miles de combinaciones posibles. Sí, y ya sé que mucha gente lo criticará por no ser 100% seguro, pero ya sabemos que nada lo es y tan sólo podemos poner el máximo de dificultades para que no nos hagan "pupita".

Ten cuidado con el gato, que se te sube al teclado y no hay quien te entienda.

¿Y si se descubre en el servicio que tiene clave una vulnerabilidad (acuérdedate de sshd) que permite acceder al sistema de forma remota como root sin tener que hacer login?

Un sistema como el que plantea el artículo ofrecería más dificultades para explotar un servicio determinado, aumentando por ello la seguridad.

Me apunto a esa comunidad!!!! yo también sufro el ISA. Eso si, con un PC al lado con Squid por si acaso...