---

Hej

Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
tcp og udp.

Maskinen er en windows xp pro - fuldt opdateret.

Har nogen et godt forslag til hvad der er sket her?
- og hvordan man får sat en prop i hullet?

Mvh

KA

---

Den Thu, 25 May 2006 14:24:20 +0200 skrev Klaus Andersen:
> Hej
>
> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -

"Kun" lukket?

Nu er den lukket, hvor du før ikke vidste om den var åben eller lukket.
Der er ikke noget i TCP/IP der hedder "usynlig", enten er porten åben
eller lukket.

> jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
> blokering

Lad mig gætte... Du har ingen anelse om hvad ICMP er, eller hvilke
problemer det giver at blokere det?

ICMP er internettets "styre-protokol", det er den der fortæller din
maskine ting som at den server du forsøger at få kontakt med ikke findes,
og at den sender for store pakker, og venligst send nogen mindre.

Langsomme forbindelser? Timeouts? Websider du ikke kan se, som andre
godt kan? Alt sammen noget der kan skyldes at en eller anden har
blokeret ICMP...

> Har nogen et godt forslag til hvad der er sket her?

Din router har opdaget at du ingen anelse har om hvordan en firewall
skal bruges, og har besluttet at lukke?

> - og hvordan man får sat en prop i hullet?

Hvilket hul? Startede du ikke med at sige hullet var blevet lukket?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

"Kent Friis" <nospam@nospam.invalid> skrev i en meddelelse
news:4475a3de$0$15788$14726298@news.sunsite.dk...
> Den Thu, 25 May 2006 14:24:20 +0200 skrev Klaus Andersen:
>> Hej
>>
>> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun
>> lukket -
>
> "Kun" lukket?
>
> Nu er den lukket, hvor du før ikke vidste om den var åben eller lukket.
> Der er ikke noget i TCP/IP der hedder "usynlig", enten er porten åben
> eller lukket.
>
>> jeg har en router sat op som firewall, samt Sygate firewall sat op til
>> ICMP
>> blokering
>
> Lad mig gætte... Du har ingen anelse om hvad ICMP er, eller hvilke
> problemer det giver at blokere det?
>
> ICMP er internettets "styre-protokol", det er den der fortæller din
> maskine ting som at den server du forsøger at få kontakt med ikke findes,
> og at den sender for store pakker, og venligst send nogen mindre.
>
> Langsomme forbindelser? Timeouts? Websider du ikke kan se, som andre
> godt kan? Alt sammen noget der kan skyldes at en eller anden har
> blokeret ICMP...
>
>> Har nogen et godt forslag til hvad der er sket her?
>
> Din router har opdaget at du ingen anelse har om hvordan en firewall
> skal bruges, og har besluttet at lukke?
>
>> - og hvordan man får sat en prop i hullet?
>
> Hvilket hul? Startede du ikke med at sige hullet var blevet lukket?
>

Du er godt nok noget af det mest overlegne og karlsmart kloge jeg har mødt i
lang tid.

Selvfølgelig ved jeg hvad ICMP er (gør du?) //og jeg har aldrig haft
problemer ved blokere for icmp// - og selvfølgelig kan en port være "kun"
lukket og ikke "usynlig/stealth" - hvilket betyder at den svarer på at den
er der! men ikke er åben.

Min Router har opdaget at jeg ingen anelse hvordan en firewall
skal bruges, og har besluttet at lukke? ... hvor er du dog torske dum
....

Vil en anden venligst give mig en hjælpende hånd - istedet for Kloge Åge?

Mvh

KA

---

Den Thu, 25 May 2006 14:47:27 +0200 skrev Klaus Andersen:
>
> Selvfølgelig ved jeg hvad ICMP er (gør du?) //og jeg har aldrig haft
> problemer ved blokere for icmp//

Nu modsiger du nærmest dig selv. Hvis du ved hvad ICMP er, ved du
også hvorfor at det er nødvendigt, og man ikke bare kan blokere ICMP
uden problemer.

Du kan højst ikke have opdaget problemerne, men det kræver så
en vis uvidenhed om ICMP, ellers vil man opdage dem allerede inden
man forsøger.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Der er ikke noget i TCP/IP der hedder "usynlig", enten er porten åben
>eller lukket.

Antag at du har en maskine på IP-adressen 192.168.1.7. Du slukker
nu for denne maskine. Derefter prøver du at telnette til den.

Er den slukkede maskines port 23 åben eller lukket?

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 12:51:22 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Der er ikke noget i TCP/IP der hedder "usynlig", enten er porten åben
>>eller lukket.
>
> Antag at du har en maskine på IP-adressen 192.168.1.7. Du slukker
> nu for denne maskine. Derefter prøver du at telnette til den.
>
> Er den slukkede maskines port 23 åben eller lukket?

Port 23 i hvilken TCP-stack?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>> Antag at du har en maskine på IP-adressen 192.168.1.7. Du slukker
>> nu for denne maskine. Derefter prøver du at telnette til den.
>>
>> Er den slukkede maskines port 23 åben eller lukket?

>Port 23 i hvilken TCP-stack?

Den slukkede maskines.

Når du siger, at TCP/IP kun understøtter åbne eller lukkede porte,
må selv slukkede maskiner jo have én af delene. Ellers coredumper
den telnettende klient (for ikke at sige hele Internet) jo?

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 13:44:17 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>> Antag at du har en maskine på IP-adressen 192.168.1.7. Du slukker
>>> nu for denne maskine. Derefter prøver du at telnette til den.
>>>
>>> Er den slukkede maskines port 23 åben eller lukket?
>
>>Port 23 i hvilken TCP-stack?
>
> Den slukkede maskines.

En TCP-stack er software. Altså, hvilken maskine kører den TCP-stack
på?

> Når du siger, at TCP/IP kun understøtter åbne eller lukkede porte,

TCP og UDP. IP kender intet til porte.

> må selv slukkede maskiner jo have én af delene.

Hvis de kører TCP/IP, ja.

> Ellers coredumper
> den telnettende klient (for ikke at sige hele Internet) jo?

Nej, de får et svar tilbage pr ICMP, nemlig Host unreachable. Eller det
gør de i 90% af tilfældene, det sker også man får en timeout.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Nej, de får et svar tilbage pr ICMP, nemlig Host unreachable. Eller det
>gør de i 90% af tilfældene, det sker også man får en timeout.

Bingo - og det er denne (sidste) feature, man udnytter, når man
"skjuler" sine porte. Man emulerer simpelthen slukket host, der
står bag en unmanaged infrastructure, der derfor ikke kan sige
"host unreachable".

Dermed findes begrebet også i IP-verdenen ("slukket maskine"),
og enhver klient med respekt for sig selv håndterer det smukt.

Dine (og mine) gentagne brud på RFC1036 må siges at være meget
mere alvorlige end at udnytte en "feature" ved at emulere en
kendt feature i IP.

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 14:03:18 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:

Du glemte at svare på hvilken maskine førnævnte TCP-stack kører
på... Du kan ikke komme og påstå at en slukket maskine kører TCP/IP,
og så bare klippe det væk, og så tro du bliver taget seriøst.

>>Nej, de får et svar tilbage pr ICMP, nemlig Host unreachable. Eller det
>>gør de i 90% af tilfældene, det sker også man får en timeout.
>
> Bingo - og det er denne (sidste) feature, man udnytter, når man
> "skjuler" sine porte. Man emulerer simpelthen slukket host, der
> står bag en unmanaged infrastructure, der derfor ikke kan sige
> "host unreachable".

Men det giver jo overhovedet ingen mening. Hvorfor skulle man
emulere en slukket maskine? Det er da cirka lige så sjovt som
at sidde foran fjernsynet med lyd,lys,kontrast og billede
skruet helt ned, og "emulere" et slukket fjernsyn.

> Dermed findes begrebet også i IP-verdenen ("slukket maskine"),
> og enhver klient med respekt for sig selv håndterer det smukt.

Vis mig en eneste klient der håndterer det smukt. Alle dem jeg
har brugt står i lang tid og venter på en timeout, så man for
længst har afbrudt den, og kaldt ejeren af maskinen for diverse
"mindre pæne" ord, fordi hans server er så forbandet langsom
til at svare.

> Dine (og mine) gentagne brud på RFC1036 må siges at være meget
> mere alvorlige end at udnytte en "feature" ved at emulere en
> kendt feature i IP.

Den må du lige definere lidt mere præcist.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Du glemte at svare på hvilken maskine førnævnte TCP-stack kører
>på... Du kan ikke komme og påstå at en slukket maskine kører TCP/IP,
>og så bare klippe det væk, og så tro du bliver taget seriøst.

Som sagt: IP-stakkens opførsel - eller mangel på samme - på den
slukkede maskine ligner 100% den maskine, der skjuler sine
porte.

Dermed er skjulte porte hverken mere eller mindre uautoriserede
i TCP/IP-speak end slukkede maskiner er. For klienten i den
anden ende er opførslen den samme.

>Men det giver jo overhovedet ingen mening. Hvorfor skulle man
>emulere en slukket maskine?

Fordi en sådan maskine lige så godt kunne være slukket for dem,
der prøver at snakke med den... deres interesse i maskinen er
omkring 0, så hvorfor ikke bare lade dem tro, den er slukket?

>Det er da cirka lige så sjovt som
>at sidde foran fjernsynet med lyd,lys,kontrast og billede
>skruet helt ned, og "emulere" et slukket fjernsyn.

Snarere som at sidde og se på en kodet kanal, man godt ved,
man ikke har lov til at se.

>> Dine (og mine) gentagne brud på RFC1036 må siges at være meget
>> mere alvorlige end at udnytte en "feature" ved at emulere en
>> kendt feature i IP.

>Den må du lige definere lidt mere præcist.

Hint: RFC1036 kræver, at man overholder dato-specifikationen i
RFC822 (nej, ikke RFC2822).

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 16:35:18 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Du glemte at svare på hvilken maskine førnævnte TCP-stack kører
>>på... Du kan ikke komme og påstå at en slukket maskine kører TCP/IP,
>>og så bare klippe det væk, og så tro du bliver taget seriøst.
>
> Som sagt: IP-stakkens opførsel - eller mangel på samme - på den
> slukkede maskine ligner 100% den maskine, der skjuler sine
> porte.

Og deraf konkluderer du at der kører en TCP-stack der opfører sig
lige sådan? Uden strøm?

> Dermed er skjulte porte hverken mere eller mindre uautoriserede
> i TCP/IP-speak end slukkede maskiner er. For klienten i den
> anden ende er opførslen den samme.

Jeg sagde ikke noget om uautoriserede. Jeg sagde at "usynlig" findes
ikke.

>>Men det giver jo overhovedet ingen mening. Hvorfor skulle man
>>emulere en slukket maskine?
>
> Fordi en sådan maskine lige så godt kunne være slukket for dem,
> der prøver at snakke med den...

Ligesom at se på et fjernsyn hvor alt er skruet ned... F*ck hvor
må man kede sig, hvis man synes det er sjovt at emulere en
slukket maskine.

> deres interesse i maskinen er
> omkring 0, så hvorfor ikke bare lade dem tro, den er slukket?

Hvem snakker du egentlig om?

>>Det er da cirka lige så sjovt som
>>at sidde foran fjernsynet med lyd,lys,kontrast og billede
>>skruet helt ned, og "emulere" et slukket fjernsyn.
>
> Snarere som at sidde og se på en kodet kanal, man godt ved,
> man ikke har lov til at se.

Hvilken kodet kanal emulerer et slukket fjernsyn.

>>> Dine (og mine) gentagne brud på RFC1036 må siges at være meget
>>> mere alvorlige end at udnytte en "feature" ved at emulere en
>>> kendt feature i IP.
>
>>Den må du lige definere lidt mere præcist.
>
> Hint: RFC1036 kræver, at man overholder dato-specifikationen i
> RFC822 (nej, ikke RFC2822).

Så nu laver du henvisninger til henvisninger, bare for at bortlede
opmærksomheden fra at du vrøvler?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Jeg sagde ikke noget om uautoriserede. Jeg sagde at "usynlig" findes
>ikke.

Når man ikke svarer, er man vel usynlig? Deraf min sammenligning
med den slukkede maskine ("emuleringen" heraf).

>> Fordi en sådan maskine lige så godt kunne være slukket for dem,
>> der prøver at snakke med den...

>Ligesom at se på et fjernsyn hvor alt er skruet ned... F*ck hvor
>må man kede sig, hvis man synes det er sjovt at emulere en
>slukket maskine.

Nu er der vel ingen, der sidder og stirrer på en pc? Ligesom der
er meget få, der stirrer på et slukket og/eller kodet fjernsyn.

>> Hint: RFC1036 kræver, at man overholder dato-specifikationen i
>> RFC822 (nej, ikke RFC2822).

>Så nu laver du henvisninger til henvisninger, bare for at bortlede
>opmærksomheden fra at du vrøvler?

Så lad mig være helt specifik:

date = 1*2DIGIT month 2DIGIT ; day month year
; e.g. 20 Jun 82
Headeren i dit sidste indlæg:

>Date: 25 May 2006 [...]

....ergo er du ikke i compliance med RFC1036.

Mvh.
   Klaus, der heller ikke er det.

---

Den Thu, 25 May 2006 17:59:08 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Jeg sagde ikke noget om uautoriserede. Jeg sagde at "usynlig" findes
>>ikke.
>
> Når man ikke svarer, er man vel usynlig?

Det synes jeg du skal afprøve næste gang der holder en fotovogn i
nærheden...

> Deraf min sammenligning
> med den slukkede maskine ("emuleringen" heraf).
>
>>> Fordi en sådan maskine lige så godt kunne være slukket for dem,
>>> der prøver at snakke med den...
>
>>Ligesom at se på et fjernsyn hvor alt er skruet ned... F*ck hvor
>>må man kede sig, hvis man synes det er sjovt at emulere en
>>slukket maskine.
>
> Nu er der vel ingen, der sidder og stirrer på en pc?

Hvad gør du så lige nu?

> Ligesom der
> er meget få, der stirrer på et slukket og/eller kodet fjernsyn.

Nej, man slukker jo netop fordi man går, ikke fordi man synes det
er sjovt at side og lade som om det er slukket.

>>> Hint: RFC1036 kræver, at man overholder dato-specifikationen i
>>> RFC822 (nej, ikke RFC2822).
>
>>Så nu laver du henvisninger til henvisninger, bare for at bortlede
>>opmærksomheden fra at du vrøvler?
>
> Så lad mig være helt specifik:
>
> date = 1*2DIGIT month 2DIGIT ; day month year
> ; e.g. 20 Jun 82
> Headeren i dit sidste indlæg:
>
>>Date: 25 May 2006 [...]
>
> ...ergo er du ikke i compliance med RFC1036.

Så det var altså en ren afledningsmanøvre, der intet har at gøre med
hvordan du mener der kører en TCP-stack på en slukket PC - som du
stadig ikke svarede på.

Hmm, ikke svarede på... Ah, nu forstod jeg den, du tror du er usynlig.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Det synes jeg du skal afprøve næste gang der holder en fotovogn i
>nærheden...

Fotovogne har ingen grund til at tage billeder af mig?

>> Nu er der vel ingen, der sidder og stirrer på en pc?

>Hvad gør du så lige nu?

Jeg ser på min skærm. Pc'en er der vist ikke rigtig grund til at
kigge på?

>Så det var altså en ren afledningsmanøvre, der intet har at gøre med
>hvordan du mener der kører en TCP-stack på en slukket PC - som du
>stadig ikke svarede på.

Du siger, at der i TCP kun findes åbne og lukkede porte. Ergo må
en slukket maskine stadig repræsentere enten åbne eller lukkede
porte over for den, der prøver at snakke med den. Du siger jo, at
konceptet "usynlig" ikke eksisterer.

Mit spørgsmål er derfor, hvordan stakken på den tændte maskine vil
repræsentere den slukkedes porte: åbne eller lukkede?

Hvis svaret i stedet er "væk", er der er jo netop et tredje stadie
- og det er dét, man udnytter, når man gemmer sin pc for omverdenen.
Bemærk at jeg ikke er inde i, om det er en god ide eller ej. Rent
sikkerhedsmæssigt opnår man intet med det, men hvis man kan genere
nogle mennesker (forudsat de alligevel ikke havde noget at gøre) og
forsinke nogle orme en smule, så er det da en ganske udmærket ide.

Min udflugt omkring RFC1036 handler om, at ingen i praksis har
lyst til at overholde alle standard-track-RFC'er. Det er derfor,
det for mig at se også er helt okay, at man i praksis benytter
sig af muligheden for at "emulere slukket pc" - altså basalt set
at undlade at reagere på forbindelses-forsøg.

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 18:28:20 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Det synes jeg du skal afprøve næste gang der holder en fotovogn i
>>nærheden...
>
> Fotovogne har ingen grund til at tage billeder af mig?

Så prøver du ikke hårdt nok.

>>> Nu er der vel ingen, der sidder og stirrer på en pc?
>
>>Hvad gør du så lige nu?
>
> Jeg ser på min skærm. Pc'en er der vist ikke rigtig grund til at
> kigge på?

Så sluk skærmen, så kan du selv prøve at lade som om PC'en er slukket.

>>Så det var altså en ren afledningsmanøvre, der intet har at gøre med
>>hvordan du mener der kører en TCP-stack på en slukket PC - som du
>>stadig ikke svarede på.
>
> Du siger, at der i TCP kun findes åbne og lukkede porte. Ergo må
> en slukket maskine stadig repræsentere enten åbne eller lukkede
> porte over for den, der prøver at snakke med den. Du siger jo, at
> konceptet "usynlig" ikke eksisterer.
>
> Mit spørgsmål er derfor, hvordan stakken på den tændte maskine vil
> repræsentere den slukkedes porte: åbne eller lukkede?

Hvilke porte? At du pludselig tilføjer ordet "repræsentere" ændrer
ikke på at du åbenbart stadig tror at en slukket PC kører TCP/IP.

Hint: Den kører ikke noget som helst.

> Hvis svaret i stedet er "væk", er der er jo netop et tredje stadie
> - og det er dét, man udnytter, når man gemmer sin pc for omverdenen.
> Bemærk at jeg ikke er inde i, om det er en god ide eller ej. Rent
> sikkerhedsmæssigt opnår man intet med det, men hvis man kan genere
> nogle mennesker (forudsat de alligevel ikke havde noget at gøre) og
> forsinke nogle orme en smule, så er det da en ganske udmærket ide.

En ganske udemærket ide at genere nogle mennesker? Mind mig lige om
at jeg ikke skal gå i byen samme sted som dig.

> Min udflugt omkring RFC1036 handler om, at ingen i praksis har
> lyst til at overholde alle standard-track-RFC'er. Det er derfor,
> det for mig at se også er helt okay, at man i praksis benytter
> sig af muligheden for at "emulere slukket pc" - altså basalt set
> at undlade at reagere på forbindelses-forsøg.

Hvis man har gjort op med sig selv at det er fordi man ikke har noget
mere interessant at foretage sig, så er det da ens eget problem. Er
det fordi man kan lide at genere folk, så synes jeg lige man skal
overveje hvordan det gik Jyllandsposten da de syntes det var sjovt
at genere folk.

Er det derimod fordi man tror det har noget som helst med sikkerhed
at gøre, så mener jeg det er vigtigt at nogen fortæller en at
det har det ikke, uden at forsøget på at forklare det skal spoleres
af folk der synes det er sjovt at påstå man kan blive usynlig ved
ikke at svare.

Og når man så har gjort op med sig selv hvilken af de tre det
drejer sig om, vælger man så om man skal poste i dk.fritid.kedsomhed,
dk.værtshus.slagsmål eller dk.edb.sikkerhed.

Og så er der iøvrigt stadig ikke noget der hedder "usynlig" i
TCP/IP, hvis endelig du vil noget, så hedder det "svarer ikke".

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Hvilke porte? At du pludselig tilføjer ordet "repræsentere" ændrer
>ikke på at du åbenbart stadig tror at en slukket PC kører TCP/IP.

Det har jeg aldrig påstået.

>En ganske udemærket ide at genere nogle mennesker? Mind mig lige om
for at genere indbrudstyve.

Du er ikke så god til at læse. Jeg skrev: "men hvis man kan genere
nogle mennesker (forudsat de alligevel ikke havde noget at gøre)".
Det er helt i tråd med det, myndighederne også opfordrer én til,
når det angår fysiske indbrudstyve.

>Og så er der iøvrigt stadig ikke noget der hedder "usynlig" i
>TCP/IP, hvis endelig du vil noget, så hedder det "svarer ikke".

Der har også været "'er om "usynlig" helt fra starten i tråden.

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 18:53:09 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Hvilke porte? At du pludselig tilføjer ordet "repræsentere" ændrer
>>ikke på at du åbenbart stadig tror at en slukket PC kører TCP/IP.
>
> Det har jeg aldrig påstået.

Har du en fortid som politiker? "Det har jeg aldrig sagt"...

>>En ganske udemærket ide at genere nogle mennesker? Mind mig lige om
> for at genere indbrudstyve.
>
> Du er ikke så god til at læse. Jeg skrev: "men hvis man kan genere
> nogle mennesker (forudsat de alligevel ikke havde noget at gøre)".
> Det er helt i tråd med det, myndighederne også opfordrer én til,
> når det angår fysiske indbrudstyve.

At genere dem? Før eller efter man opdager at de står med et koben
i hånden, og man selv har glemt at tage styrthjelm på?

>>Og så er der iøvrigt stadig ikke noget der hedder "usynlig" i
>>TCP/IP, hvis endelig du vil noget, så hedder det "svarer ikke".
>
> Der har også været "'er om "usynlig" helt fra starten i tråden.

Skulle det nu være en undskyldning for at bruge decideret forkerte
udtryk?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>> Det har jeg aldrig påstået.

>Har du en fortid som politiker? "Det har jeg aldrig sagt"...

Når man løber tør for argumenter, kan man jo altid gå efter manden?

>At genere dem? Før eller efter man opdager at de står med et koben
>i hånden, og man selv har glemt at tage styrthjelm på?

For nu at være helt konkret: http://www.crimprev.dk/sw195.asp

Masser af eksempler på hvordan man gør det besværligt at være
tyv. Præcis som "skjulte" porte er et eksempel på, hvordan man
kan gøre livet en anelse sværere for elektroniske forbrydere.

Der er dog en væsentlig forskel - hvor den fysiske tyv ofte
har udset sig et konkret hus, er det mere masseangreb i den
elektroniske verden. "Går den her, så går den. Ellers videre
til næste". Men igen - man forsinker denne fremgangsmåde ved
ikke at svare.

>> Der har også været "'er om "usynlig" helt fra starten i tråden.

>Skulle det nu være en undskyldning for at bruge decideret forkerte
>udtryk?

Ja, det er ganske almindelig kotyme - bl.a. her på USENET.

Mvh.
   Klaus.

---

Den Thu, 25 May 2006 20:24:45 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>> Det har jeg aldrig påstået.
>
>>Har du en fortid som politiker? "Det har jeg aldrig sagt"...
>
> Når man løber tør for argumenter, kan man jo altid gå efter manden?

Du er selv ude om det, når du først bruger tre-fire indlæg på at
klippe det væk, og så påstår du aldrig har sagt det.

>>At genere dem? Før eller efter man opdager at de står med et koben
>>i hånden, og man selv har glemt at tage styrthjelm på?
>
> For nu at være helt konkret: http://www.crimprev.dk/sw195.asp

Endnu en vildledning.

> Masser af eksempler på hvordan man gør det besværligt at være
> tyv. Præcis som "skjulte" porte er et eksempel på, hvordan man
> kan gøre livet en anelse sværere for elektroniske forbrydere.

Omvendt. Ved at man ikke kan se om porten er lukket, gør man det
sværere for den der skal sikre maskinen.

Hvis jeg skulle lave et backdoor-program, ville jeg da klart
lave det så at det kun svarer på pakker der indeholder det rigtige
password. Simpelt at lave, og oven i købet med den fordel at folk
der ikke aner en brik om netværk tror de er beskyttede, når GRCs
elendige portscanner melder at den har fundet en flyvemaskine.

> Der er dog en væsentlig forskel - hvor den fysiske tyv ofte
> har udset sig et konkret hus, er det mere masseangreb i den
> elektroniske verden. "Går den her, så går den. Ellers videre
> til næste". Men igen - man forsinker denne fremgangsmåde ved
> ikke at svare.

Sg* da kun hvis idioten er så interesseret i din maskine at han
gider at vente. Altså stik modsat af den første halvdel af din
sætning. Til gengæld er der også en risiko for at han tænker
"ha, ham her tror han ved noget om sikkerhed, han bliver et
nemt offer".

>>> Der har også været "'er om "usynlig" helt fra starten i tråden.
>
>>Skulle det nu være en undskyldning for at bruge decideret forkerte
>>udtryk?
>
> Ja, det er ganske almindelig kotyme - bl.a. her på USENET.

Ok. Hvor mange "motorcykler" er der installeret i din PC? Og kan
"svinestalden" udnytte dem alle sammen?

Så kan du jo selv se hvor fedt det er når folk bruger decideret
forkerte ord.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

>Du er selv ude om det, når du først bruger tre-fire indlæg på at
>klippe det væk, og så påstår du aldrig har sagt det.

Jeg skrev:

| Når du siger, at TCP/IP kun understøtter åbne eller lukkede porte,
| må selv slukkede maskiner jo have én af delene. Ellers coredumper
| den telnettende klient (for ikke at sige hele Internet) jo?

Jeg spørger altså, om DU mener, at den slukkede maskines porte
er lukkede eller åbne, siden du ikke mener, at der findes andre
states. Jeg skriver intet sted, at JEG mener, den gør det - det
er snarere omvendt: din sort-hvide holdning antyder, at alle
slukkede maskiner er nødt til at have en kørende IP-stak.

Jeg vil anbefale, at du i det mindste bruger så lang tid pr.
indlæg, at du rent faktisk forstår, hvad de handler om.

>> For nu at være helt konkret: http://www.crimprev.dk/sw195.asp

>Endnu en vildledning.

Det er igen dig, der ikke har læst og forstået. Denne kommer
fra:

| sikkerhedsmæssigt opnår man intet med det, men hvis man kan genere
| nogle mennesker (forudsat de alligevel ikke havde noget at gøre) og
| forsinke nogle orme en smule, så er det da en ganske udmærket ide.
[...]
| Det er helt i tråd med det, myndighederne også opfordrer én til,
| når det angår fysiske indbrudstyve.

Du begynder så at snakke om farlige indbrudstyve med koben, og
det er jo noget vrøvl. Det dokumenterer jeg med linket til Det
Kriminalpræventive Råd. Mig bekendt er der ingen farlige koben
i deres artikel? Til gengæld kommer de med mange gode råd til,
hvordan man kan genere en tyv, så han måske går væk igen.

>Omvendt. Ved at man ikke kan se om porten er lukket, gør man det
>sværere for den der skal sikre maskinen.

Det kan jeg ikke se. Som jeg også har skrevet tidligere i denne
tråd, er skjulte porte ikke en erstatning for sikkerhed. Det er
en generende overbygning, der kan hjælpe med at sløve orme og
den slags en smule.

>Hvis jeg skulle lave et backdoor-program, ville jeg da klart
>lave det så at det kun svarer på pakker der indeholder det rigtige
>password. Simpelt at lave, og oven i købet med den fordel at folk
>der ikke aner en brik om netværk tror de er beskyttede, når GRCs
>elendige portscanner melder at den har fundet en flyvemaskine.

Klart nok - netop derfor jeg også skrev, at skjulte porte ikke
er en erstatning for sikkerhed i øvrigt.

>Sg* da kun hvis idioten er så interesseret i din maskine at han
>gider at vente. Altså stik modsat af den første halvdel af din
>sætning. Til gengæld er der også en risiko for at han tænker
>"ha, ham her tror han ved noget om sikkerhed, han bliver et
>nemt offer".

Så bliver han jo slemt skuffet. Netop fordi det ikke er en
erstatning for den øvrige sikkerhed. Faktisk er det et rigtig
godt argument for skjuleriet: nu har han netop brugt en masse
tid på ikke at komme nogen vegne.

>>>Skulle det nu være en undskyldning for at bruge decideret forkerte
>>>udtryk?
>>
>> Ja, det er ganske almindelig kotyme - bl.a. her på USENET.

>Ok. Hvor mange "motorcykler" er der installeret i din PC? Og kan
>"svinestalden" udnytte dem alle sammen?

Giv mig lige 10 referencer til motorcykler og svinestalde i
pc-sammenhæng.

>Så kan du jo selv se hvor fedt det er når folk bruger decideret
>forkerte ord.

Jeg kan i hvert fald se, at jeg spilder min tid her. Der er
hele tre eksempler ovenfor, der dokumenterer, at du ikke har
forstået det, jeg skriver.

Måske er det mig, der udtrykker mig forkert. Det beklager jeg
i så fald. Jeg kan blot undre mig over, at alle, jeg snakker
med, både forstår denne tråd og er enig med mig. Med en enkelt
undtagelse, forstås.

Mvh.
   Klaus.

---

Den Fri, 26 May 2006 06:00:17 +0000 (UTC) skrev Klaus Ellegaard:
> Kent Friis <nospam@nospam.invalid> writes:
>
>>Du er selv ude om det, når du først bruger tre-fire indlæg på at
>>klippe det væk, og så påstår du aldrig har sagt det.
>
> Jeg skrev:
>
> | Når du siger, at TCP/IP kun understøtter åbne eller lukkede porte,
> | må selv slukkede maskiner jo have én af delene. Ellers coredumper
> | den telnettende klient (for ikke at sige hele Internet) jo?
>
> Jeg spørger altså, om DU mener, at den slukkede maskines porte
> er lukkede eller åbne, siden du ikke mener, at der findes andre
> states.

Og så spurgte jeg hvilken TCP-stack du snakker om, og *der* svarede
du den på den slukkede maskine.

> Jeg skriver intet sted, at JEG mener, den gør det - det
> er snarere omvendt: din sort-hvide holdning antyder, at alle
> slukkede maskiner er nødt til at have en kørende IP-stak.

Nej, de har netop IKKE en IP-stack, og dermed kommer der aldrig
noget trafik op til TCP-laget, hvor portene existerer.

Ligesom hvis jeg siger at græs er altid grønt eller gult, og du så
spørger hvilken farve græsset har på en nypløjet mark.

>>> For nu at være helt konkret: http://www.crimprev.dk/sw195.asp
>
>>Endnu en vildledning.
>
> Det er igen dig, der ikke har læst og forstået. Denne kommer
> fra:
>
> | sikkerhedsmæssigt opnår man intet med det, men hvis man kan genere
> | nogle mennesker (forudsat de alligevel ikke havde noget at gøre) og
> | forsinke nogle orme en smule, så er det da en ganske udmærket ide.
> [...]
> | Det er helt i tråd med det, myndighederne også opfordrer én til,
> | når det angår fysiske indbrudstyve.
>
> Du begynder så at snakke om farlige indbrudstyve med koben, og
> det er jo noget vrøvl. Det dokumenterer jeg med linket til Det
> Kriminalpræventive Råd. Mig bekendt er der ingen farlige koben
> i deres artikel?

Hvordan tror du indbrudstyven er kommet ind?

> Til gengæld kommer de med mange gode råd til,
> hvordan man kan genere en tyv, så han måske går væk igen.

Eller bliver sur og går hen og dasker dig oven i hovedet med kobenet.

>>Omvendt. Ved at man ikke kan se om porten er lukket, gør man det
>>sværere for den der skal sikre maskinen.
>
> Det kan jeg ikke se. Som jeg også har skrevet tidligere i denne
> tråd, er skjulte porte ikke en erstatning for sikkerhed. Det er
> en generende overbygning, der kan hjælpe med at sløve orme og
> den slags en smule.

Men den kan ikke anbefales at forsøge medmindre man har så meget
styr på sin maskine at man kan udvære GRC.com og lignende, netop
fordi man udefra ikke kan se forskel på "firewall'en gider ikke
svare" og "bagdørsprogrammet gider ikke svare".

Dvs. de der har brug for at spørge her i gruppen om "hvordan får jeg
hullet lukket", når de lige har skrevet at det er lukket, dem vil
jeg kraftigt fraråde at begynde på den slags. De der i forvejen
er kompetente nok til at gøre det ville ikke stille den slags
spørgsmål her i gruppen. (Jeg skrev ikke at de ikke ville spørge,
men spørgsmålene ville være på et helt andet niveau).

>>Hvis jeg skulle lave et backdoor-program, ville jeg da klart
>>lave det så at det kun svarer på pakker der indeholder det rigtige
>>password. Simpelt at lave, og oven i købet med den fordel at folk
>>der ikke aner en brik om netværk tror de er beskyttede, når GRCs
>>elendige portscanner melder at den har fundet en flyvemaskine.
>
> Klart nok - netop derfor jeg også skrev, at skjulte porte ikke
> er en erstatning for sikkerhed i øvrigt.
>
>>Sg* da kun hvis idioten er så interesseret i din maskine at han
>>gider at vente. Altså stik modsat af den første halvdel af din
>>sætning. Til gengæld er der også en risiko for at han tænker
>>"ha, ham her tror han ved noget om sikkerhed, han bliver et
>>nemt offer".
>
> Så bliver han jo slemt skuffet. Netop fordi det ikke er en
> erstatning for den øvrige sikkerhed. Faktisk er det et rigtig
> godt argument for skjuleriet: nu har han netop brugt en masse
> tid på ikke at komme nogen vegne.

Kun hvis man har sikkerheden bagved iorden. Og den opfattelse man
får her i gruppen er at flertallet af dem der benytter den taktik
netop *ikke* har det, men har brugt netop GRC.com og tror at en
lukket port er et problem.

>>>>Skulle det nu være en undskyldning for at bruge decideret forkerte
>>>>udtryk?
>>>
>>> Ja, det er ganske almindelig kotyme - bl.a. her på USENET.
>
>>Ok. Hvor mange "motorcykler" er der installeret i din PC? Og kan
>>"svinestalden" udnytte dem alle sammen?
>
> Giv mig lige 10 referencer til motorcykler og svinestalde i
> pc-sammenhæng.

Hvorfor det? Det var *dig* der påstod at det var ganske alm. kotyme
at skrive decideret forkerte udtryk, bare man har "" omkring.

Men så brug eksemplet med "harddisk" i stedet for "PC", det er endnu
mere brugt blandt folk der ikke aner hvad de snakker om, og lige
så forkert som "usynlig"... Hvad er normalprisen for en ny
"harddisk"?

>>Så kan du jo selv se hvor fedt det er når folk bruger decideret
>>forkerte ord.
>
> Jeg kan i hvert fald se, at jeg spilder min tid her. Der er
> hele tre eksempler ovenfor, der dokumenterer, at du ikke har
> forstået det, jeg skriver.

Eller også har du ikke forstået det du svarer på, men jeg går i
mit svar ud fra at du har.

> Måske er det mig, der udtrykker mig forkert. Det beklager jeg
> i så fald. Jeg kan blot undre mig over, at alle, jeg snakker
> med, både forstår denne tråd og er enig med mig. Med en enkelt
> undtagelse, forstås.

Hjælper det på det at jeg nu har delt folk op i dem der har forstand
på det, og dem der ikke har?

Iøvrigt så mener jeg at for de fleste er ønsket ikke at angriberen
skal spilde tid på ens egen maskine. Jo før han går igen, jo bedre,
og hvad er mere effektivt end "connection refused"? At du så gerne
vil beskytte lidt mere end din egen maskine, ved at forsinke ham
er da helt ok, men jeg tror IKKE det var det den oprindelige
spørger ønskede.

Jeg har lidt indtryk af at der hvor vi snakkede forbi hinanden var
dit indtryk af at jeg baserede mine argumenter på "RFC'erne skal
overholdes for enhver pris". Det var vel derfor du begyndte at
snakke om datoer i usenet-indlæg midt i det hele.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Klaus Andersen wrote:
> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
> jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
> blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
> tcp og udp.

ICMP er da kun til diagnostik, som ping-pakker og den slags? Det har da
ikke noget at gøre med din port 23 (og 25?), der nu er synlig.

> Har nogen et godt forslag til hvad der er sket her?
> - og hvordan man får sat en prop i hullet?

Jeg ville starte med at undersøge om det er din Sygate eller XP-maskine,
der svarer når man etablerer forbindelse til port 23. Du kan jo åbne for
telnet på din maskine og prøve at telnette til ydersiden af din firewall.

Mvh. Michael.
--
Which is more dangerous? TV guided missiles or TV guided families?
Visit my home page at http://michael.zedeler.dk/
Get my vcard at http://michael.zedeler.dk/vcard.vcf

---

Den Thu, 25 May 2006 15:28:54 +0200 skrev Michael Zedeler:
> Klaus Andersen wrote:
>> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
>> jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
>> blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
>> tcp og udp.
>
> ICMP er da kun til diagnostik, som ping-pakker og den slags?

Forkert. Ping og den slags bruger kun to af ICMP-typerne, nemlig
type 8 - echo request og og type 0 - echo response.

Resten bruges til fejl-beskeder og andre kontrol-ting, fx type 3 code 1
- Host unreachable, type 3 code 3 - Port Unreachable, type 3 code 4 -
Cannot fragment og type 11 - Time exceeded.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
> Den Thu, 25 May 2006 15:28:54 +0200 skrev Michael Zedeler:
>
>>Klaus Andersen wrote:
>>
>>>Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
>>>jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
>>>blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
>>>tcp og udp.
>>
>>ICMP er da kun til diagnostik, som ping-pakker og den slags?
>
> Forkert. Ping og den slags bruger kun to af ICMP-typerne, nemlig
> type 8 - echo request og og type 0 - echo response.
>
> Resten bruges til fejl-beskeder og andre kontrol-ting, fx type 3 code 1
> - Host unreachable, type 3 code 3 - Port Unreachable, type 3 code 4 -
> Cannot fragment og type 11 - Time exceeded.

Aho. Så det er type 3 code 3, man får tilbage. Hmm. jeg skal vist kigge
i min netværksbog ved lejlighed.

I hvert fald mener jeg stadigvæk at det er relevant at finde ud af
hvilken enhed, der svarer.

Mvh. Michael.
--
Which is more dangerous? TV guided missiles or TV guided families?
Visit my home page at http://michael.zedeler.dk/
Get my vcard at http://michael.zedeler.dk/vcard.vcf

---

Den Thu, 25 May 2006 16:04:42 +0200 skrev Michael Zedeler:
> Kent Friis wrote:
>> Den Thu, 25 May 2006 15:28:54 +0200 skrev Michael Zedeler:
>>
>>>Klaus Andersen wrote:
>>>
>>>>Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
>>>>jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
>>>>blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
>>>>tcp og udp.
>>>
>>>ICMP er da kun til diagnostik, som ping-pakker og den slags?
>>
>> Forkert. Ping og den slags bruger kun to af ICMP-typerne, nemlig
>> type 8 - echo request og og type 0 - echo response.
>>
>> Resten bruges til fejl-beskeder og andre kontrol-ting, fx type 3 code 1
>> - Host unreachable, type 3 code 3 - Port Unreachable, type 3 code 4 -
>> Cannot fragment og type 11 - Time exceeded.
>
> Aho. Så det er type 3 code 3, man får tilbage. Hmm. jeg skal vist kigge
> i min netværksbog ved lejlighed.

For UDP, ja. TCP svarer normalt med Connection Refuset (RST - reset)
i stedet for.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Hej Klaus,

"Interessant" tråd du har sat i gang her. Jeg håber du allerede nu har
fundet ud af, at hvis du vil have hjælp til noget som helst angående
sikkerhed, så spørg alle andre steder end her. Det er ynkeligt som
selvbestaltede sikkerhedseksperter formår at forpurre enhver
forespørgsel i denne NG som skulle omhandle samme, men mudderkast og
forsøg på at forkaste alle andre meninger end den blandt gruppens
selvvalgte overhøvdinge accepterede, er åbenbart vigtigere.

Sikkerhedsprogrammer er fy-ord, ligeledes er henvisninger til de sites
som tager deres brugere seriøst, så dem springer jeg over. Desværre er
denne NG milevidt fra de udbyderes råd omkring installation af
sikkerhedsprogrammer som samme NG er afhængig af vil formidle adgang til
den. Det er dælmig synd for de nye computerebrugere som får forvildet
sig herind, endsige får læst disputsen til denne NG, for så er de da
vildledt for alvor.

Jeg er helt enig i dine antagelser om gruppens nedladende kommentarer,
mit råd; find et andet sted hvis du ikke allerede har annuleret dit
abonnement på den.

Klaus Andersen wrote:
> Hej
>
> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
> jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
> blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
> tcp og udp.
>
> Maskinen er en windows xp pro - fuldt opdateret.
>
> Har nogen et godt forslag til hvad der er sket her?
> - og hvordan man får sat en prop i hullet?
>
> Mvh
>
> KA
>
>

---

On Thu, 2006-05-25 at 23:44 +0200, Thomas - Spinoza wrote:
> Sikkerhedsprogrammer er fy-ord, ligeledes er henvisninger til de sites
> som tager deres brugere seriøst, så dem springer jeg over. Desværre er
> denne NG milevidt fra de udbyderes råd omkring installation af
> sikkerhedsprogrammer som samme NG er afhængig af vil formidle adgang til
> den. Det er dælmig synd for de nye computerebrugere som får forvildet
> sig herind, endsige får læst disputsen til denne NG, for så er de da
> vildledt for alvor.

Hvad siger de samme mennesker til
http://www.eweek.com/article2/0,1895,1967941,00.asp ?

> Jeg er helt enig i dine antagelser om gruppens nedladende kommentarer,
> mit råd; find et andet sted hvis du ikke allerede har annuleret dit
> abonnement på den.

Hvordan bliver én persons svar til en gruppes svar?

Hvilken gruppe snakker du om?

Er du medlem af en gruppen med nedladende kommentar?

---

On Thu, 2006-05-25 at 14:24 +0200, Klaus Andersen wrote:

> Lige pludseligt? er min telnet port ikke længere "usynlig" men kun lukket -
> jeg har en router sat op som firewall, samt Sygate firewall sat op til ICMP
> blokering og for en sikkerheds skyld blokeret portene (også 23,25) på både
> tcp og udp.

Hvorfra laver du din port scanning?

Hvad siger din routers log under scanningen?

Hvad siger din sygates log under scanningen?

> Har nogen et godt forslag til hvad der er sket her?
> - og hvordan man får sat en prop i hullet?

Det er svært at gætte sig til.

Et forsigtigt gæt er at din ISP, har et filter der trigger en TCP RST
pakke for TCP port 23. Måske har de haft nogle problemmer med default
passwords på routere, og vil undgå udnyttelse af dette.

Hvad sker der hvis scanningen laves fra en ekstern maskine, mens din
router er slukket?

---

On Thu, 2006-05-25 at 14:03 +0000, Klaus Ellegaard wrote:
> Bingo - og det er denne (sidste) feature, man udnytter, når man
> "skjuler" sine porte. Man emulerer simpelthen slukket host, der
> står bag en unmanaged infrastructure, der derfor ikke kan sige
> "host unreachable".

Hvorfor svare man så på arp forspørgelser? :)