docs-security.guide - en to it translation catalogue (193 entries)

note: Tag: para
en: When a system is used as a server on a public network, it becomes a target for attacks. Hardening the system and locking down services is therefore of paramount importance for the system administrator.
it: Quando un sistema è impiegato come un server su una rete pubblica, esso diventa un potenziale obbiettivo degli attacker. Consolidare il sistema e bloccare i servizi non necessari sono le operazioni che ogni buon amministratore deve effettuare.

note: Tag: para
en: Before delving into specific issues, review the following general tips for enhancing server security:
it: Di seguito si riassumono alcuni utili suggerimenti di validità generale:

note: Tag: para
en: Keep all services current, to protect against the latest threats.
it: Mantenere tutti i servizi aggiornati

note: Tag: para
en: Use secure protocols whenever possible.
it: Usare protocolli sicuri (per quanto possibile)

note: Tag: para
en: Serve only one type of network service per machine whenever possible.
it: Offrire soltanto un tipo di servizio per macchina (per quanto possibile)

note: Tag: para
en: Monitor all servers carefully for suspicious activity.
it: Controllare attentamente tutti i servizi alla ricerca di attività sospette

note: Tag: title
en: Securing Services With TCP Wrappers and xinetd
it: Proteggere i servizi con TCP Wrapper e xinetd

note: Tag: para
en: <firstterm>TCP Wrappers</firstterm> provide access control to a variety of services. Most modern network services, such as SSH, Telnet, and FTP, make use of TCP Wrappers, which stand guard between an incoming request and the requested service.
it: <firstterm>TCP Wrapper</firstterm> offrono controllo d'accesso ad una varietà di servizi. La maggior parte dei servizi di rete come SSH, Telent ed FTP usano TCP Wrapper che si interpongono a guardia tra una richiesta di servizio e il servizio stesso.

note: Tag: para
en: The benefits offered by TCP Wrappers are enhanced when used in conjunction with <command>xinetd</command>, a super server that provides additional access, logging, binding, redirection, and resource utilization control.
it: I vantaggi offerti dai TCP Wrapper aumentano se usati in congiunzione con <command>xinetd</command>, un super server che garantisce ulteriore controllo su accessi, logging, binding, redirection e utilizzo delle risorse.

note: Tag: title
en: Note
it: Nota

note: Tag: para
en: It is a good idea to use iptables firewall rules in conjunction with TCP Wrappers and <command>xinetd</command> to create redundancy within service access controls. Refer to <xref linkend="sect-Security_Guide-Firewalls" /> for more information about implementing firewalls with iptables commands.
it: E' una buona idea usare anche regole di firewall, iptable, per creare ridondanza nell'ambito dei controlli d'accesso. Per maggiori informazioni sull'implementazione di firewall con i comandi iptable, fare riferimento alla <xref linkend="sect-Security_Guide-Firewalls" />.

note: Tag: para
en: The following subsections assume a basic knowledge of each topic and focus on specific security options.
it: Di seguito si illustrano alcune opzioni di sicurezza di base.

note: Tag: title
en: Enhancing Security With TCP Wrappers
it: Aumentare la sicurezza con TCP Wrapper

note: Tag: para
en: TCP Wrappers are capable of much more than denying access to services. This section illustrates how they can be used to send connection banners, warn of attacks from particular hosts, and enhance logging functionality. Refer to the <filename>hosts_options</filename> man page for information about the TCP Wrapper functionality and control language.
it: TCP Wrapper non solo negano l'accesso ai servizi. Questa sezione mostra come usare i TCP Wrapper per trasmettere connection banner, avvisi d'attacco da parte di host e migliorare le funzionalità di log. Per maggiori informazioni sui TCP Wrappers ed il corrispondente linguaggio, fare riferimento alle pagine man relative a <filename>hosts_options</filename>.

note: Tag: title
en: TCP Wrappers and Connection Banners
it: TCP Wrapper e Connection Banner

note: Tag: para
en: Displaying a suitable banner when users connect to a service is a good way to let potential attackers know that the system administrator is being vigilant. You can also control what information about the system is presented to users. To implement a TCP Wrappers banner for a service, use the <option>banner</option> option.
it: La visualizzazione di un banner durante la connessione ad un servizio, può rivelarsi un buon deterrente nei confronti di potenziali attacker, in quanto segnala la vigilanza dell'amministratore. Si possono anche selezionare le informazioni di sistema da pubblicare. Per implementare un banner TCP Wrapper per un servizio, usare l'opzione <option>banner</option>.

note: Tag: para
en: This example implements a banner for <command>vsftpd</command>. To begin, create a banner file. It can be anywhere on the system, but it must have same name as the daemon. For this example, the file is called <filename>/etc/banners/vsftpd</filename> and contains the following line:
it: L'esempio implementa un banner per il servizio <command>vsftpd</command>. Iniziare, creando un file banner. Esso può essere salvato in una directory qualunque, l'importante è che abbia lo stesso nome del servizio. Per l'esempio, il file è <filename>/etc/banners/vsftpd</filename> con il seguente contenuto:

note: Tag: para
en: The <command>&percnt;c</command> token supplies a variety of client information, such as the username and hostname, or the username and IP address to make the connection even more intimidating.
it: Il token <command>&percnt;c</command> presenta una varietà di informazioni sul client, come il nome utente e l'hostname o il nome utente e l'indirizzo IP, per rendere la connessione abbastanza intimidatoria.

note: Tag: para
en: For this banner to be displayed to incoming connections, add the following line to the <filename>/etc/hosts.allow</filename> file:
it: Per visualizzare il banner sulle richieste in corso, aggiungere la seguente riga al file <filename>/etc/hosts.allow</filename>:

note: Tag: title
en: TCP Wrappers and Attack Warnings
it: TCP Wrapper e avvisi di attacco

note: Tag: para
en: If a particular host or network has been detected attacking the server, TCP Wrappers can be used to warn the administrator of subsequent attacks from that host or network using the <command>spawn</command> directive.
it: Nel caso si siano scoperti uno o più host condurre un attacco contro il server, i TCP Wrapper possono essere configurati in modo da avvisare l'amministratore in caso di attacchi successivi, usando la direttiva <command>spawn</command>.

note: Tag: para
en: In this example, assume that a cracker from the 206.182.68.0/24 network has been detected attempting to attack the server. Place the following line in the <filename>/etc/hosts.deny</filename> file to deny any connection attempts from that network, and to log the attempts to a special file:
it: Di seguito si assume che un cracker dalla rete 206.182.68.0/24 stia tentando un attacco. Per impedire ogni connessione dalla rete incriminata e salvare i log dei tentativi di attacco in un file speciale, inserire la riga seguente nel file <filename>/etc/hosts.deny</filename>:

note: Tag: para
en: The <command>&percnt;d</command> token supplies the name of the service that the attacker was trying to access.
it: Il token <command>&percnt;d</command> indica il nome del servizio obbiettivo dell'attacco.

note: Tag: para
en: To allow the connection and log it, place the <command>spawn</command> directive in the <filename>/etc/hosts.allow</filename> file.
it: Per consentire la connessione, inserire la direttiva <command>spawn</command> nel file <filename>/etc/hosts.allow</filename>.

note: Tag: para
en: Because the <command>spawn</command> directive executes any shell command, it is a good idea to create a special script to notify the administrator or execute a chain of commands in the event that a particular client attempts to connect to the server.
it: Poichè la direttiva <command>spawn</command> esegue anche comandi di shell, è una buona regola creare un particolare script che avvisi l'amministratore o che esegua una serie di comandi, ogniqualvolta un particolare client tenta di connettersi al server.

note: Tag: title
en: TCP Wrappers and Enhanced Logging
it: TCP Wrapper e messaggi di log

note: Tag: para
en: If certain types of connections are of more concern than others, the log level can be elevated for that service using the <command>severity</command> option.
it: Se occorre tenere traccia di certe particolari connessioni, il livello di log del servizio corrispondente può essere elevato usando l'opzione <command>severity</command>.

note: Tag: para
en: For this example, assume that anyone attempting to connect to port 23 (the Telnet port) on an FTP server is a cracker. To denote this, place an <command>emerg</command> flag in the log files instead of the default flag, <command>info</command>, and deny the connection.
it: In questo esempio si assume che chiunque tenti di connettersi alla porta 23 (la porta Telnet) di un server FTP, debba essere considerato un potenziale cracker. Per questa situazione, sostituire il flag <command>info</command> con <command>emerg</command> nel file di log, e vietare la connessione.

note: Tag: para
en: To do this, place the following line in <filename>/etc/hosts.deny</filename>:
it: Inserire quindi la seguente linea nel file <filename>/etc/hosts.deny</filename>:

note: Tag: para
en: This uses the default <command>authpriv</command> logging facility, but elevates the priority from the default value of <command>info</command> to <command>emerg</command>, which posts log messages directly to the console.
it: In questo caso si usa la SyslogFacility <command>authpriv</command>, elevando la priorità dal valore predefinito <command>info</command> a <command>emerg</command>, che invia i messaggi di log direttamente alla console.

note: Tag: title
en: Enhancing Security With xinetd
it: Aumentare la sicurezza con xinetd

note: Tag: para
en: This section focuses on using <command>xinetd</command> to set a trap service and using it to control resource levels available to any given <command>xinetd</command> service. Setting resource limits for services can help thwart <firstterm>Denial of Service</firstterm> (<acronym>DoS</acronym>) attacks. Refer to the man pages for <command>xinetd</command> and <filename>xinetd.conf</filename> for a list of available options.
it: Questa sezione spiega come usare <command>xinetd</command> per impostare un <emphasis>trap service</emphasis> e per controllare i livelli di risorse disponibili per un servizio. Limitare le risorse ai servizi può contribuire a contrastare gli  attacchi <acronym>DoS</acronym> (<firstterm>Denial of Service</firstterm>). Fare riferimento alle pagine di man relative a <command>xinetd</command> e <filename>xinetd.conf</filename>, per una lista di opzioni disponibili.

note: Tag: title
en: Setting a Trap
it: Impostare un Trap

note: Tag: para
en: One important feature of <command>xinetd</command> is its ability to add hosts to a global <filename>no_access</filename> list. Hosts on this list are denied subsequent connections to services managed by <command>xinetd</command> for a specified period or until <command>xinetd</command> is restarted. You can do this using the <command>SENSOR</command> attribute. This is an easy way to block hosts attempting to scan the ports on the server.
it: Una caratteristica importante di <command>xinetd</command> è la possibilità di inserire gli host, cui si vuole negare l'accesso ai servizi, in una lista <filename>nera</filename>. Agli host della lista è vietato, per un certo periodo di tempo o fino al successivo riavvio di <command>xinetd</command>, di accedere ai servizi gestiti da <command>xinetd</command>. Per fare ciò, occorre usare l'attributo <command>SENSOR</command>. Si tratta di un modo semplice per bloccare gli host che scansionano le porte del server.

note: Tag: para
en: The first step in setting up a <command>SENSOR</command> is to choose a service you do not plan on using. For this example, Telnet is used.
it: Il primo passo da fare per impostare un <command>SENSOR</command>, è scegliere un servizio che si presume non venga utilizzato. Per questo esempio si fa riferimento a Telnet.

note: Tag: para
en: Edit the file <filename>/etc/xinetd.d/telnet</filename> and change the <option>flags</option> line to read:
it: Nel file <filename>/etc/xinetd.d/telnet</filename> modificare la riga <option>flags</option> come indicato di seguito:

note: Tag: para
en: Add the following line:
it: Aggiungere la seguente riga:

note: Tag: para
en: This denies any further connection attempts to that port by that host for 30 minutes. Other acceptable values for the <command>deny_time</command> attribute are FOREVER, which keeps the ban in effect until <command>xinetd</command> is restarted, and NEVER, which allows the connection and logs it.
it: L'impostazione vieta ogni tentativo di connessione verso la porta, per trenta minuti. Altri possibili valori per l'attributo <command>deny_time</command> sono FOREVER e NEVER. Il primo mantiene il divieto fino al successivo riavvio di <command>xinetd</command>; il secondo permette la connessione senza alcun divieto.

note: Tag: para
en: Finally, the last line should read:
it: Infine, l'ultima riga:

note: Tag: para
en: This enables the trap itself.
it: L'impostazione abilita il trap.

note: Tag: para
en: While using <option>SENSOR</option> is a good way to detect and stop connections from undesirable hosts, it has two drawbacks:
it: Anche se l'utilizzo di <option>SENSOR</option> è un buon metodo per rilevare e bloccare le connessioni da host indesiderati, esso presenta due svantaggi:

note: Tag: para
en: It does not work against stealth scans.
it: Esso non funziona nel caso di scansioni nascoste.

note: Tag: para
en: An attacker who knows that a <option>SENSOR</option> is running can mount a Denial of Service attack against particular hosts by forging their IP addresses and connecting to the forbidden port.
it: Un attacker che scopra un <option>SENSOR</option> in esecuzione, potrebbe avviare un attacco DoS contro altri host fidati e, falsificando i loro indirizzi IP, connettersi alla porta.

note: Tag: title
en: Controlling Server Resources
it: Controllare le risorse server

note: Tag: para
en: Another important feature of <command>xinetd</command> is its ability to set resource limits for services under its control.
it: Un'altra importante caratteristica di <command>xinetd</command> è la sua capacità di limitare le risorse dei servizi controllati.

note: Tag: para
en: It does this using the following directives:
it: Per fare ciò usare le seguenti direttive:

note: Tag: para
en: <option>cps = &lt;number_of_connections&gt; &lt;wait_period&gt;</option> &mdash; Limits the rate of incoming connections. This directive takes two arguments:
it: <option>cps = &lt;number_of_connections&gt; &lt;wait_period&gt;</option> &mdash; Limita il tasso di connessioni, specificando:

note: Tag: para
en: <option>&lt;number_of_connections&gt;</option> &mdash; The number of connections per second to handle. If the rate of incoming connections is higher than this, the service is temporarily disabled. The default value is fifty (50).
it: <option>&lt;number_of_connections&gt;</option> &mdash; Il numero di connessioni per secondo da gestire. Se il tasso di connessioni supera questo valore, il servizio viene temporaneamente disabilitato. Il valore predefinito è 50.

note: Tag: para
en: <option>&lt;wait_period&gt;</option> &mdash; The number of seconds to wait before re-enabling the service after it has been disabled. The default interval is ten (10) seconds.
it: <option>&lt;wait_period&gt;</option> &mdash; Dopo una disabilitazione, il tempo di attesa, in secondi, prima di ri-abilitare il servizio. Il valore predefinito è 10.

note: Tag: para
en: <option>instances = &lt;number_of_connections&gt;</option> &mdash; Specifies the total number of connections allowed to a service. This directive accepts either an integer value or <command>UNLIMITED</command>.
it: <option>instances = &lt;number_of_connections&gt;</option> &mdash; Specifica il numero totale di connessioni consentite ad un servizio. La direttiva accetta sia un valore intero sia <command>UNLIMITED</command>.

note: Tag: para
en: <option>per_source = &lt;number_of_connections&gt;</option> &mdash; Specifies the number of connections allowed to a service by each host. This directive accepts either an integer value or <command>UNLIMITED</command>.
it: <option>per_source = &lt;number_of_connections&gt;</option> &mdash; Specifica per ciascun host, il numero di connessioni consentite ad un servizio. La direttiva accetta sia un valore intero sia <command>UNLIMITED</command>.

note: Tag: para
en: <option>rlimit_as = &lt;number[K|M]&gt;</option> &mdash; Specifies the amount of memory address space the service can occupy in kilobytes or megabytes. This directive accepts either an integer value or <command>UNLIMITED</command>.
it: <option>rlimit_as = &lt;number[K|M]&gt;</option> &mdash; Specifica la quantità di memoria che il servizio può occupare in KB o MB. La direttiva accetta sia un valore intero sia <command>UNLIMITED</command>.

note: Tag: para
en: <option>rlimit_cpu = &lt;number_of_seconds&gt;</option> &mdash; Specifies the amount of time in seconds that a service may occupy the CPU. This directive accepts either an integer value or <command>UNLIMITED</command>.
it: <option>rlimit_cpu = &lt;number_of_seconds&gt;</option> &mdash; Specifica il periodo in secondi, dedicato al servizio dalla CPU. La direttiva accetta sia un valore intero sia <command>UNLIMITED</command>.

note: Tag: para
en: Using these directives can help prevent any single <command>xinetd</command> service from overwhelming the system, resulting in a denial of service.
it: Attraverso queste direttive si può prevenire che un singolo servizio, controllato da <command>xinetd</command>, possa sovraccaricare il sistema, causando un DoS.

note: Tag: title
en: Securing Portmap
it: Proteggere Portmap

note: Tag: para
en: The <command>portmap</command> service is a dynamic port assignment daemon for RPC services such as NIS and NFS. It has weak authentication mechanisms and has the ability to assign a wide range of ports for the services it controls. For these reasons, it is difficult to secure.
it: Il servizio <command>portmap</command> è un demone di assegnamento dinamico di porte per servizi RPC, come NIS e NFS. Può assegnare un esteso range di porte, ma presenta un meccanismo di autenticazione piuttosto debole e perciò è piuttosto difficile da rendere sicuro.

note: Tag: para
en: Securing <command>portmap</command> only affects NFSv2 and NFSv3 implementations, since NFSv4 no longer requires it. If you plan to implement an NFSv2 or NFSv3 server, then <command>portmap</command> is required, and the following section applies.
it: L'implementazione di una policy di sicurezza in <command>portmap</command> è indispensabile solo con le versioni v2 e v3 di NFS, giacchè la versione v4 non fa più uso di <command>portmap</command>. Se si ha intenzione di implementare un server NFSv2 o NFSv3, allora occorre usare <command>portmap</command> e seguire le seguenti indicazioni.

note: Tag: para
en: If running RPC services, follow these basic rules.
it: Se si eseguono servizi RPC, seguire le seguenti regole di base.

note: Tag: title
en: Protect portmap With TCP Wrappers
it: Proteggere portmap con TCP Wrapper

note: Tag: para
en: It is important to use TCP Wrappers to limit which networks or hosts have access to the <command>portmap</command> service since it has no built-in form of authentication.
it: Data la sua mancanza di una forma di autenticazione integrata, per limitare l'accesso di reti ed host al servizio <command>portmap</command>, è importante usare TCP Wrapper.

note: Tag: para
en: Further, use <emphasis>only</emphasis> IP addresses when limiting access to the service. Avoid using hostnames, as they can be forged by DNS poisoning and other methods.
it: Inoltre, per limitare l'accesso al servizio, usare <emphasis>soltanto</emphasis> indirizzi IP. Evitare di usare hostname, giacchè essi possono venir contraffatti da DNS fasulli e da altri metodi.

note: Tag: title
en: Protect portmap With iptables
it: Proteggere portmap con iptables

note: Tag: para
en: To further restrict access to the <command>portmap</command> service, it is a good idea to add iptables rules to the server and restrict access to specific networks.
it: Per ulteriormente restringere l'accesso al servizio <command>portmap</command>, è una buona idea aggiungere regole iptables al server e restringere l'accesso a reti specifiche.

note: Tag: para
en: Below are two example iptables commands. The first allows TCP connections to the port 111 (used by the <command>portmap</command> service) from the 192.168.0.0/24 network. The second allows TCP connections to the same port from the localhost. This is necessary for the <command>sgi_fam</command> service used by <application>Nautilus</application>. All other packets are dropped.
it: Di seguito si riportano due comandi iptables. Il primo consente connessioni TCP dalla rete 192.168.0.0/24 alla porta 111 (usata dal servizio <command>portmap</command>). Il secondo consente connessioni TCP da localhost (necessario al servizio <command>sgi_fam</command> usato da <application>Nautilus</application>), alla stessa porta. Tutti gli altri pacchetti vengono scartati.

note: Tag: para
en: To similarly limit UDP traffic, use the following command.
it: Analogamente, per limitare il traffico UDP, usare il comando:

note: Tag: para
en: Refer to <xref linkend="sect-Security_Guide-Firewalls" /> for more information about implementing firewalls with iptables commands.
it: Per maggiori informazioni sull'implementazione di firewall con comandi iptables, fare riferimento alla <xref linkend="sect-Security_Guide-Firewalls" />.

note: Tag: title
en: Securing NIS
it: Proteggere NIS

note: Tag: para
en: The <firstterm>Network Information Service</firstterm> (<acronym>NIS</acronym>) is an RPC service, called <command>ypserv</command>, which is used in conjunction with <command>portmap</command> and other related services to distribute maps of usernames, passwords, and other sensitive information to any computer claiming to be within its domain.
it: <firstterm>NIS</firstterm> o <acronym>Network Information Service</acronym>, è un servizio RPC denominato <command>ypserv</command>, usato insieme a <command>portmap</command> e ad altri servizi per distribuire username, password ed altre informazioni sensibili agli host registrati nel dominio.

note: Tag: para
en: An NIS server is comprised of several applications. They include the following:
it: Un server NIS è costituito da varie applicazioni. Esse sono:

note: Tag: para
en: <command>/usr/sbin/rpc.yppasswdd</command> &mdash; Also called the <command>yppasswdd</command> service, this daemon allows users to change their NIS passwords.
it: <command>/usr/sbin/rpc.yppasswdd</command> &mdash; Denominato servizio <command>yppasswdd</command>, questo demone permette agli utenti di modificare la propria passowrd NIS.

note: Tag: para
en: <command>/usr/sbin/rpc.ypxfrd</command> &mdash; Also called the <command>ypxfrd</command> service, this daemon is responsible for NIS map transfers over the network.
it: <command>/usr/sbin/rpc.ypxfrd</command> &mdash; Denominato servizio <command>ypxfrd</command>, questo demone è responsabile del trasferimento delle informazioni sensibili NIS nella rete.

note: Tag: para
en: <command>/usr/sbin/yppush</command> &mdash; This application propagates changed NIS databases to multiple NIS servers.
it: <command>/usr/sbin/yppush</command> &mdash; Questa applicazione propaga le modifiche apportate nei database NIS ai server NIS.

note: Tag: para
en: <command>/usr/sbin/ypserv</command> &mdash; This is the NIS server daemon.
it: <command>/usr/sbin/ypserv</command> &mdash; E' il demone del server NIS.

note: Tag: para
en: NIS is somewhat insecure by today's standards. It has no host authentication mechanisms and transmits all of its information over the network unencrypted, including password hashes. As a result, extreme care must be taken when setting up a network that uses NIS. This is further complicated by the fact that the default configuration of NIS is inherently insecure.
it: Secondo gli attuali standard di sicurezza, NIS è sostanzialmente poco sicuro. Esso non presenta alcun meccanismo di autenticazione degli host, trasmettendo tutte le informazioni senza alcuna cifratura, incluse le password hash. Di conseguenza, si richiede estrema attenzione alla configurazione di una rete che usi NIS. Come se non bastasse, ciò è ulteriormente complicato da una configurazione predefinita di NIS inerentemente poco sicura.

note: Tag: para
en: It is recommended that anyone planning to implement an NIS server first secure the <command>portmap</command> service as outlined in <xref linkend="sect-Security_Guide-Server_Security-Securing_Portmap" />, then address the following issues, such as network planning.
it: Si raccomanda quindi, a chiunque voglia implementare un server NIS, di rendere prima di tutto sicuro il servizio <command>portmap</command>, come indicato nella <xref linkend="sect-Security_Guide-Server_Security-Securing_Portmap" />, e successivamente risolvere al meglio i seguenti problemi, come la pianificazione della rete.

note: Tag: title
en: Carefully Plan the Network
it: Pianificare attentamente la rete

note: Tag: para
en: Because NIS transmits sensitive information unencrypted over the network, it is important the service be run behind a firewall and on a segmented and secure network. Whenever NIS information is transmitted over an insecure network, it risks being intercepted. Careful network design can help prevent severe security breaches.
it: Poichè NIS trasmette informazioni sensibili senza usare alcuna cifratura, è importante che il servizio esegua dietro un firewall e su una rete segmentata e fidata. Se tali informazioni si trovano a transitare su una rete non fidata, essi sono a rischio di intercettazione. Una progettazione attenta della rete può aiutare a prevenire falle irrimediabili di sicurezza.

note: Tag: title
en: Use a Password-like NIS Domain Name and Hostname
it: Usare una Password come Nome Dominio e Hostname

note: Tag: para
en: Any machine within an NIS domain can use commands to extract information from the server without authentication, as long as the user knows the NIS server's DNS hostname and NIS domain name.
it: Se l'utente conosce il nome di dominio e il nome di DNS del server NIS, ogni macchina del dominio NIS può ottenere, con opportuni comandi, informazioni dal server senza bisogno di autenticazione.

note: Tag: para
en: For instance, if someone either connects a laptop computer into the network or breaks into the network from outside (and manages to spoof an internal IP address), the following command reveals the <command>/etc/passwd</command> map:
it: Per esempio, se un utente connette un portatile alla rete o riesce ad accedere alla rete dall'esterno (ed a manomettere (spoof) un indirizzo IP interno), con il seguente comando potrebbe rivelare il contenuto del file <command>/etc/passwd</command>:

note: Tag: para
en: If this attacker is a root user, they can obtain the <command>/etc/shadow</command> file by typing the following command:
it: Se l'attacker è in grado di accedere come root, potrebbe ottenere il file <command>/etc/shadow</command> con il comando:

note: Tag: para
en: If Kerberos is used, the <command>/etc/shadow</command> file is not stored within an NIS map.
it: Se si usa Kerberos, il file <command>/etc/shadow</command> non è salvato in un NIS.

note: Tag: para
en: To make access to NIS maps harder for an attacker, create a random string for the DNS hostname, such as <filename>o7hfawtgmhwg.domain.com</filename>. Similarly, create a <emphasis>different</emphasis> randomized NIS domain name. This makes it much more difficult for an attacker to access the NIS server.
it: Per rendere più arduo ad un attacker, l'accesso alle informazioni NIS, creare una stringa random per l'hostnome del DNS, come <filename>o7hfawtgmhwg.domain.com</filename> ed analogamente per il nome di dominio NIS, usando una stringa differente.

note: Tag: title
en: Edit the <filename>/var/yp/securenets</filename> File
it: Modificare il file <filename>/var/yp/securenets</filename>

note: Tag: para
en: If the <filename>/var/yp/securenets</filename> file is blank or does not exist (as is the case after a default installation), NIS listens to all networks. One of the first things to do is to put netmask/network pairs in the file so that <command>ypserv</command> only responds to requests from the appropriate network.
it: Se il file <filename>/var/yp/securenets</filename> è vuoto o non esiste (come capita dopo una installazione predefinita), NIS è in ascolto su tutte le reti. Quindi, una delle prime operazioni da fare è di inserire nel file, coppie di netmask/network, in modo che <command>ypserv</command> risponda solo alle richieste provenienti dalle reti specificate.

note: Tag: para
en: Below is a sample entry from a <filename>/var/yp/securenets</filename> file:
it: Di seguito si riporta un esempio da un file <filename>/var/yp/securenets</filename>:

note: Tag: title
en: Warning
it: Attenzione

note: Tag: para
en: Never start an NIS server for the first time without creating the <filename>/var/yp/securenets</filename> file.
it: Non avviare mai un server NIS senza prima aver creato un file <filename>/var/yp/securenets</filename> adeguato.

note: Tag: para
en: This technique does not provide protection from an IP spoofing attack, but it does at least place limits on what networks the NIS server services.
it: Questa tecnica, tuttavia, non offre protezione da un attacco di tipo IP spoofing, ma serve a limitare le reti servite da NIS.

note: Tag: title
en: Assign Static Ports and Use iptables Rules
it: Assegnare porte statiche ed usare regole iptables

note: Tag: para
en: All of the servers related to NIS can be assigned specific ports except for <command>rpc.yppasswdd</command> &mdash; the daemon that allows users to change their login passwords. Assigning ports to the other two NIS server daemons, <command>rpc.ypxfrd</command> and <command>ypserv</command>, allows for the creation of firewall rules to further protect the NIS server daemons from intruders.
it: A tutti i servizi NIS si possono assegnare porte specifiche, ad eccezione di <command>rpc.yppasswdd</command> &mdash; il demone che permette agli utenti di modificare le password di accesso. Assegnando porte ai due demoni NIS, <command>rpc.ypxfrd</command> e <command>ypserv</command>, si possono creare regole di firewall, per proteggere ulteriormente i demoni NIS da potenziali intrusori.

note: Tag: para
en: To do this, add the following lines to <filename>/etc/sysconfig/network</filename>:
it: Per fare ciò, aggiungere la seguenti righe al file <filename>/etc/sysconfig/network</filename>:

note: Tag: para
en: The following iptables rules can then be used to enforce which network the server listens to for these ports:
it: Per rinforzare la sicurezza, si possono poi essere usate le seguenti regole di iptables, che specificano le porte e la rete su cui il server resta in ascolto:

note: Tag: para
en: This means that the server only allows connections to ports 834 and 835 if the requests come from the 192.168.0.0/24 network, regardless of the protocol.
it: Con queste impostazioni, il server, a prescindere dal protocollo, accetta connessioni sulle porte 834 e 835 solo dalla rete 192.168.0.0/24.

note: Tag: title
en: Use Kerberos Authentication
it: Usare autenticazioni Kerberos

note: Tag: para
en: One of the issues to consider when NIS is used for authentication is that whenever a user logs into a machine, a password hash from the <filename>/etc/shadow</filename> map is sent over the network. If an intruder gains access to an NIS domain and sniffs network traffic, they can collect usernames and password hashes. With enough time, a password cracking program can guess weak passwords, and an attacker can gain access to a valid account on the network.
it: La cosa importante da considerare quando si usa NIS per autenticazione, è che ogni volta che un utente accede ad una macchina, la password hash dal file <filename>/etc/shadow</filename> è trasmessa in chiaro sulla rete. Se un intrusore riesce ad intrufolarsi nel dominio NIS e ad intercettare il traffico di rete, egli potrebbe carpire username e password hash. In un tempo ragionevole, un programma di crack di password potrebbe indovinare password deboli e l'attacker ottenere un valido account d'accesso.

note: Tag: para
en: Since Kerberos uses secret-key cryptography, no password hashes are ever sent over the network, making the system far more secure. Refer to <xref linkend="sect-Security_Guide-Kerberos" /> for more information about Kerberos.
it: Poichè Kerberos usa chiavi cifrate, le password hash non sono mai trasmesse sulla rete, rendendo il sistema molto più sicuro. Per maggiori informazioni su Kerberos, vedere la <xref linkend="sect-Security_Guide-Kerberos" />.

note: Tag: title
en: Securing NFS
it: Proteggere NFS

note: Tag: title
en: Important
it: Importante

note: Tag: para
en: The version of NFS included in Fedora, NFSv4, no longer requires the <command>portmap</command> service as outlined in <xref linkend="sect-Security_Guide-Server_Security-Securing_Portmap" />. NFS traffic now utilizes TCP in all versions, rather than UDP, and requires it when using NFSv4. NFSv4 now includes Kerberos user and group authentication, as part of the <filename>RPCSEC_GSS</filename> kernel module. Information on <command>portmap</command> is still included, since Fedora supports NFSv2 and NFSv3, both of which utilize <command>portmap</command>.
it: La versione NFSv4 inclusa in Fedora, non richiede più il servizio <command>portmap</command>, come illustrato nella <xref linkend="sect-Security_Guide-Server_Security-Securing_Portmap" />. In tutte le versioni di NFS, il traffico viene trasmesso usando TCP e non più UDP. Inoltre NFSv4 ora include autenticazioni utente e di gruppo basati su Kerberos, parte integrante del modulo <filename>RPCSEC_GSS</filename> del kernel. Si includono informazioni anche su <command>portmap</command>, giacchè Fedora supporta sia NFSv2 sia NFSv3 che utilizzano <command>portmap</command>.

note: Tag: para
en: Now that NFSv4 has the ability to pass all information encrypted using Kerberos over a network, it is important that the service be configured correctly if it is behind a firewall or on a segmented network. NFSv2 and NFSv3 still pass data insecurely, and this should be taken into consideration. Careful network design in all of these regards can help prevent security breaches.
it: Ora che NFSv4 usa Keberos per trasmettere le informazioni (cifrate), è importante che il servizio venga correttamente configurato dietro un firewall o su una porzione di rete. NFSv2 ed NFSv3 continuano a trasmettre i dati in chiaro e di ciò va tenuto conto. Una accurata progettazione di rete, che tenga conto di ciò, aiuta a prevenire falle di sicurezza.

note: Tag: title
en: Beware of Syntax Errors
it: Attenzione agli errori sintattici

note: Tag: para
en: The NFS server determines which file systems to export and which hosts to export these directories to by consulting the <filename>/etc/exports</filename> file. Be careful not to add extraneous spaces when editing this file.
it: Il server NFS determina i file system da esportare e verso quali host, consultando il file <filename>/etc/exports</filename>. Prestare molta attenzione a non aggiungere spazi durante la modifica del file.

note: Tag: para
en: For instance, the following line in the <filename>/etc/exports</filename> file shares the directory <command>/tmp/nfs/</command> to the host <command>bob.example.com</command> with read/write permissions.
it: Per esempio, la seguente riga nel file <filename>/etc/exports</filename>, condivide la directory <command>/tmp/nfs/</command> con l'host <command>bob.example.com</command> con permessi read/write.

note: Tag: para
en: The following line in the <filename>/etc/exports</filename> file, on the other hand, shares the same directory to the host <computeroutput>bob.example.com</computeroutput> with read-only permissions and shares it to the <emphasis>world</emphasis> with read/write permissions due to a single space character after the hostname.
it: Invece a causa dello spazio dopo l'hostname, la seguente riga nel file <filename>/etc/exports</filename>, condivide la directory con l'host <computeroutput>bob.example.com</computeroutput> in sola lettura, e la condivide con <emphasis>tutti gli altri</emphasis> in lettura/scrittura.

note: Tag: para
en: It is good practice to check any configured NFS shares by using the <command>showmount</command> command to verify what is being shared:
it: E' una buona norma verificare ogni condivisione NFS configurata, usando il comando <command>showmount</command>:

note: Tag: title
en: Do Not Use the <command>no_root_squash</command> Option
it: Non usare l'opzione <command>no_root_squash</command>

note: Tag: para
en: By default, NFS shares change the root user to the <command>nfsnobody</command> user, an unprivileged user account. This changes the owner of all root-created files to <command>nfsnobody</command>, which prevents uploading of programs with the setuid bit set.
it: Per impostazione, le condivisioni NFS modificano l'utente root nell'utente <command>nfsnobody</command>, un account utente senza privilegi. Il risultato è che il proprietario di tutti i file creati da root diventa <command>nfsnobody</command>, impedendo l'avvio di programmi setuid.

note: Tag: para
en: If <command>no_root_squash</command> is used, remote root users are able to change any file on the shared file system and leave applications infected by trojans for other users to inadvertently execute.
it: Se si usa l'opzione <command>no_root_squash</command>, un utente root remoto può modificare ogni file nel sistema condiviso e lasciare applicazioni malevoli, come trojan, che potrebbero essere inavvertitamente eseguiti da ignari utenti.

note: Tag: title
en: NFS Firewall Configuration
it: Configurazione di firewall in NFS

note: Tag: para
en: The ports used for NFS are assigned dynamically by rpcbind, which can cause problems when creating firewall rules. To simplify this process, use the <emphasis>/etc/sysconfig/nfs</emphasis> file to specify which ports are to be used:
it: Le porte usate da NFS sono assegnate dinamicamente da rcpbind, che potrebbe causare problemi durante la creazione delle regole di firewall. Per semplificare il processo, usare il file <emphasis>/etc/sysconfig/nfs</emphasis> per specificare le porte da usare:

note: Tag: para
en: <command>MOUNTD_PORT</command> &mdash; TCP and UDP port for mountd (rpc.mountd)
it: <command>MOUNTD_PORT</command> &mdash; Porta TCP e UDP per mountd (rpc.mountd)

note: Tag: para
en: <command>STATD_PORT</command> &mdash; TCP and UDP port for status (rpc.statd)
it: <command>STATD_PORT</command> &mdash; Porta TCP e UDP per lo stato (rpc.statd)

note: Tag: para
en: <command>LOCKD_TCPPORT</command> &mdash; TCP port for nlockmgr (rpc.lockd)
it: <command>LOCKD_TCPPORT</command> &mdash; Porta TCP per nlockmgr (rpc.lockd)

note: Tag: para
en: <command>LOCKD_UDPPORT</command> &mdash; UDP port nlockmgr (rpc.lockd)
it: <command>LOCKD_UDPPORT</command> &mdash; Porta UDP per nlockmgr (rpc.lockd)

note: Tag: para
en: Port numbers specified must not be used by any other service. Configure your firewall to allow the port numbers specified, as well as TCP and UDP port 2049 (NFS).
it: I numeri di porta specificati non devono essere usati da altri servizi. Configurare il firewall per autorizzare le porte specificate, insieme alla porte UDP e TCP 2049 (NFS).

note: Tag: para
en: Run the <command>rpcinfo -p</command> command on the NFS server to see which ports and RPC programs are being used.
it: Usare il comando <command>rpcinfo -p</command> sul server NFS per vedere le porte e i programmi RPC usati.

note: Tag: title
en: Securing the Apache HTTP Server
it: Proteggere HTTP Apache

note: Tag: para
en: The Apache HTTP Server is one of the most stable and secure services that ships with Fedora. A large number of options and techniques are available to secure the Apache HTTP Server &mdash; too numerous to delve into deeply here. The following section briefly explains good practices when running the Apache HTTP Server.
it: Il server HTTP Apache è uno dei servizi più stabili e sicuri distribuiti con Fedora. Un gran numero di opzioni e tecniche sono disponibili per rendere sicuro il server HTTP Apache &mdash; troppe per essere analizzate tutte quì con la necessaria dovizia. La seguente sezione spiega brevemente, buone pratiche di utilizzo del server HTTP Apache.

note: Tag: para
en: Always verify that any scripts running on the system work as intended <emphasis>before</emphasis> putting them into production. Also, ensure that only the root user has write permissions to any directory containing scripts or CGIs. To do this, run the following commands as the root user:
it: Verificare sempre che gli script in esecuzione sul sistema funzionino correttamente, <emphasis>prima </emphasis> di renderli effettivi in sistemi di produzione. Inoltre, assicurarsi che soltanto l'utente root abbia permessi di scrittura nelle directory contenente script o CGI. Per fare ciò eseguire i seguenti comandi, come root:

note: Tag: para
en: System administrators should be careful when using the following configuration options (configured in <filename>/etc/httpd/conf/httpd.conf</filename>):
it: Gli amministratori di sistema dovrebbero prestare la massima attenzione nell'uso delle seguenti direttive, configurabili in <filename>/etc/httpd/conf/httpd.conf</filename>:

note: Tag: para
en: This directive is enabled by default, so be sure to use caution when creating symbolic links to the document root of the Web server. For instance, it is a bad idea to provide a symbolic link to <filename>/</filename>.
it: La direttiva è abilitata per impostazione; prestare la dovuta attenzione a non creare link simbolici al root document del server web. Per esempio, sarebbe una pessima idea creare un link simbolico a <filename>/</filename>.

note: Tag: para
en: This directive is enabled by default, but may not be desirable. To prevent visitors from browsing files on the server, remove this directive.
it: La direttiva è abilitata per impostazione, ma potrebbe non essere desiderabile. Per impedire ai visitatori di sfogliare i file sul server, disabilitare questa direttiva.

note: Tag: para
en: The <option>UserDir</option> directive is disabled by default because it can confirm the presence of a user account on the system. To enable user directory browsing on the server, use the following directives:
it: La direttiva <option>UserDir</option>, è disabilitata per impostazione perchè può confermare la presenza di un account nel sistema. Per consentire la visualizzazione della directory di un utente, usare le seguenti direttive:

note: Tag: para
en: These directives activate user directory browsing for all user directories other than <filename>/root/</filename>. To add users to the list of disabled accounts, add a space-delimited list of users on the <option>UserDir disabled</option> line.
it: Queste direttive consentono la navigazione nelle directory degli utenti, esclusa la directory <filename>/root/</filename>. Per aggiungere altre directory da disabilitare, aggiungere gli account utenti, separati da spazio, alla riga <option>UserDir disabled</option>.

note: Tag: para
en: Do not remove the <option>IncludesNoExec</option> directive. By default, the <firstterm>Server-Side Includes</firstterm> (<abbrev>SSI</abbrev>) module cannot execute commands. It is recommended that you do not change this setting unless absolutely necessary, as it could, potentially, enable an attacker to execute commands on the system.
it: Non rimuovere la direttiva <option>IncludesNoExec</option>. Per impostazione, il modulo <firstterm>SSI</firstterm> (<abbrev>Server-Side Includes</abbrev>) non può eseguire comandi. Si raccomanda di non cambiare questa impostazione a meno che non sia strettamente necessario, poichè potrebbe abilitare un attacker ad eseguire comandi.

note: Tag: title
en: Securing FTP
it: Proteggere FTP

note: Tag: para
en: The <firstterm>File Transfer Protocol</firstterm> (<abbrev>FTP</abbrev>) is an older TCP protocol designed to transfer files over a network. Because all transactions with the server, including user authentication, are unencrypted, it is considered an insecure protocol and should be carefully configured.
it: <firstterm>FTP</firstterm> (<abbrev>File Transfer Protocol</abbrev>) è un vetusto protocollo TCP progettato per il trasferimento di file. Poichè tutte le transazioni con il server, inclusa l'autenticazione, sono in chiaro, FTP è considerato un protocollo non sicuro e perciò richiede opportune configurazioni.

note: Tag: para
en: Fedora provides three FTP servers.
it: Fedora offre tre server FTP

note: Tag: para
en: <command>gssftpd</command> &mdash; A Kerberos-aware <command>xinetd</command>-based FTP daemon that does not transmit authentication information over the network.
it: <command>gssftpd</command> &mdash; Un demone FTP che non trasmette informazioni di autenticazioni, basato su <command>xinetd</command> e controllato da Kerberos.

note: Tag: para
en: <application>Red Hat Content Accelerator</application> (<command>tux</command>) &mdash; A kernel-space Web server with FTP capabilities.
it: <application>Red Hat Content Accelerator</application> (<command>tux</command>) &mdash; Un server web dello spazio kernel con capacità FTP.

note: Tag: para
en: <command>vsftpd</command> &mdash; A standalone, security oriented implementation of the FTP service.
it: <command>vsftpd</command> &mdash; Un servizio FTP a sè stante orientato alla sicurezza.

note: Tag: para
en: The following security guidelines are for setting up the <command>vsftpd</command> FTP service.
it: Di seguito si indicano le linee guida per impostare un servizio FTP, <command>vsftpd</command>.

note: Tag: title
en: FTP Greeting Banner
it: Greeting Banner FTP

note: Tag: para
en: Before submitting a username and password, all users are presented with a greeting banner. By default, this banner includes version information useful to crackers trying to identify weaknesses in a system.
it: Prima di inviare le proprie credenziali di accesso (username e password), gli utenti vengono salutati con un banner di benvenuto. Per impostazione, il banner include informazioni sulla versione usata, che potrebbero essere maliziosamente usate da un cracker, note le vulnerabilità di sistema.

note: Tag: para
en: To change the greeting banner for <command>vsftpd</command>, add the following directive to the <filename>/etc/vsftpd/vsftpd.conf</filename> file:
it: Per modificare le impostazioni del banner, aggiungere la seguente direttiva al file <filename>/etc/vsftpd/vsftpd.conf</filename>:

note: Tag: para
en: Replace <replaceable>&lt;insert_greeting_here&gt;</replaceable> in the above directive with the text of the greeting message.
it: Sostituire <replaceable>&lt;insert_greeting_here&gt;</replaceable> nella direttiva precedente con il messaggio di benvenuto.

note: Tag: para
en: For mutli-line banners, it is best to use a banner file. To simplify management of multiple banners, place all banners in a new directory called <filename>/etc/banners/</filename>. The banner file for FTP connections in this example is <filename>/etc/banners/ftp.msg</filename>. Below is an example of what such a file may look like:
it: Per banner su più righe, conviene usare un file banner. Per semplificare la gestione di banner multipli, posizionare tutti i banner in una directory denominata <filename>/etc/banners/</filename>. In questo esempio, il file banner per connessioni FTP è <filename>/etc/banners/ftp.msg</filename>. Ecco un esempio di file banner:

note: Tag: para
en: It is not necessary to begin each line of the file with <command>220</command> as specified in <xref linkend="sect-Security_Guide-Enhancing_Security_With_TCP_Wrappers-TCP_Wrappers_and_Connection_Banners" />.
it: Come specificato nella <xref linkend="sect-Security_Guide-Enhancing_Security_With_TCP_Wrappers-TCP_Wrappers_and_Connection_Banners" />, non occorre iniziare ogni riga del file con <command>220</command>.

note: Tag: para
en: To reference this greeting banner file for <command>vsftpd</command>, add the following directive to the <filename>/etc/vsftpd/vsftpd.conf</filename> file:
it: Per fare riferimento a questo file banner, aggiungere la seguente direttiva al file <filename>/etc/vsftpd/vsftpd.conf</filename>:

note: Tag: para
en: It also is possible to send additional banners to incoming connections using TCP Wrappers as described in <xref linkend="sect-Security_Guide-Enhancing_Security_With_TCP_Wrappers-TCP_Wrappers_and_Connection_Banners" />.
it: Usando i TCP Wrapper, come descritto nella <xref linkend="sect-Security_Guide-Enhancing_Security_With_TCP_Wrappers-TCP_Wrappers_and_Connection_Banners" />, è possibile inviare ulteriori banner alle connessioni in entrata.

note: Tag: title
en: Anonymous Access
it: Accesso anonimo

note: Tag: para
en: The presence of the <filename>/var/ftp/</filename> directory activates the anonymous account.
it: La directory <filename>/var/ftp/</filename> attiva l'account anonimo.

note: Tag: para
en: The easiest way to create this directory is to install the <filename>vsftpd</filename> package. This package establishes a directory tree for anonymous users and configures the permissions on directories to read-only for anonymous users.
it: Il modo più semplice per creare la directory è di installare il pacchetto <filename>vsftpd</filename>. Il pacchetto crea una directory per utenti anonimi e configura in sola lettura la directory.

note: Tag: para
en: By default the anonymous user cannot write to any directories.
it: Per impostazione, gli utenti anonimi non possono scrivere in nessuna directory.

note: Tag: para
en: If enabling anonymous access to an FTP server, be aware of where sensitive data is stored.
it: Se si abilita l'accesso anonimo al server FTP, prestare attenzione a dove sono salvati i dati sensibili.

note: Tag: title
en: Anonymous Upload
it: Upload anonimo

note: Tag: para
en: To allow anonymous users to upload files, it is recommended that a write-only directory be created within <filename>/var/ftp/pub/</filename>.
it: Per consentire ad utenti anonimi di inviare file sul server, si raccomanda di creare una directory in sola scrittura in <filename>/var/ftp/pub/</filename>.

note: Tag: para
en: To do this, type the following command:
it: Ecco la procedura; digitare il comando:

note: Tag: para
en: Next, change the permissions so that anonymous users cannot view the contents of the directory:
it: Poi, modificare i permessi in modo che gli utenti anonimi non possano vedere (o sfogliare) il contenuto della directory:

note: Tag: para
en: A long format listing of the directory should look like this:
it: Un listato <emphasis>long format</emphasis> della directory apparirebbe così:

note: Tag: para
en: Administrators who allow anonymous users to read and write in directories often find that their servers become a repository of stolen software.
it: Gli amministratori che permettono ad utenti anonimi di leggere e scrivere in directory, spesso scoprono che i loro server diventano repository di software pirata.

note: Tag: para
en: Additionally, under <command>vsftpd</command>, add the following line to the <filename>/etc/vsftpd/vsftpd.conf</filename> file:
it: Poi, aggiungere la seguente riga al file <filename>/etc/vsftpd/vsftpd.conf</filename>:

note: Tag: title
en: User Accounts
it: Account utenti

note: Tag: para
en: Because FTP transmits unencrypted usernames and passwords over insecure networks for authentication, it is a good idea to deny system users access to the server from their user accounts.
it: Poichè FTP trasmette username e password in chiaro, è una buona norma vietare agli utenti l'accesso al server, con i loro account.

note: Tag: para
en: To disable all user accounts in <command>vsftpd</command>, add the following directive to <filename>/etc/vsftpd/vsftpd.conf</filename>:
it: Per disabilitare tutti gli account, aggiungere la seguente direttiva al file <filename>/etc/vsftpd/vsftpd.conf</filename>:

note: Tag: title
en: Restricting User Accounts
it: Restringere gli account utenti

note: Tag: para
en: To disable FTP access for specific accounts or specific groups of accounts, such as the root user and those with <command>sudo</command> privileges, the easiest way is to use a PAM list file as described in <xref linkend="sect-Security_Guide-Disallowing_Root_Access-Disabling_Root_Using_PAM" />. The PAM configuration file for <command>vsftpd</command> is <filename>/etc/pam.d/vsftpd</filename>.
it: Per disabilitare gli accessi FTP ad utenti o gruppi specifici, come l'utente root e quelli con privilegi <command>sudo</command>, si può usare un file di autenticazione PAM, come descritto nella <xref linkend="sect-Security_Guide-Disallowing_Root_Access-Disabling_Root_Using_PAM" />. Il file di configurazione PAM relativo a <command>vsftpd</command> è <filename>/etc/pam.d/vsftpd</filename>.

note: Tag: para
en: It is also possible to disable user accounts within each service directly.
it: E' anche possibile disabilitare gli account direttamente all'interno di ciascun servizio.

note: Tag: para
en: To disable specific user accounts in <command>vsftpd</command>, add the username to <filename>/etc/vsftpd.ftpusers</filename>
it: Per disabilitare un account specifico, aggiungere lo username nel fie <filename>/etc/vsftpd.ftpusers</filename>.

note: Tag: title
en: Use TCP Wrappers To Control Access
it: Usare TCP Wrapper per il controllo degli accessi

note: Tag: para
en: Use TCP Wrappers to control access to either FTP daemon as outlined in <xref linkend="sect-Security_Guide-Securing_Services_With_TCP_Wrappers_and_xinetd-Enhancing_Security_With_TCP_Wrappers" />.
it: Consultare la <xref linkend="sect-Security_Guide-Securing_Services_With_TCP_Wrappers_and_xinetd-Enhancing_Security_With_TCP_Wrappers" />, per controllare gli accessi al servizio FTP usando TCP Wrapper.

note: Tag: title
en: Securing Sendmail
it: Proteggere Sendmail

note: Tag: para
en: Sendmail is a Mail Transfer Agent (MTA) that uses the Simple Mail Transfer Protocol (SMTP) to deliver electronic messages between other MTAs and to email clients or delivery agents. Although many MTAs are capable of encrypting traffic between one another, most do not, so sending email over any public networks is considered an inherently insecure form of communication.
it: Sendmail è un MTA (Mail Transfer Agent) che usa SMTP (Simple Mail Transfer Protocol) per trasferire posta elettronica tra altri MTA ed ai client di posta. Sebbene molti MTA siano capaci di cifrare le comunicazioni, la maggior parte di essi non lo sono, perciò spedire posta elettronica su una rete pubblica è considerato una forma di comunicazione inerentemente non sicura.

note: Tag: para
en: It is recommended that anyone planning to implement a Sendmail server address the following issues.
it: A chiunque sia desideroso di implemetare un server Sendmail, si raccomanda di seguire le seguenti indicazioni.

note: Tag: title
en: Limiting a Denial of Service Attack
it: Limitare un attacco tipo DoS

note: Tag: para
en: Because of the nature of email, a determined attacker can flood the server with mail fairly easily and cause a denial of service. By setting limits to the following directives in <filename>/etc/mail/sendmail.mc</filename>, the effectiveness of such attacks is limited.
it: Data la natura dei messaggi di posta elettronica, un attacker potrebbe molto facilmente sovraccaricare il server inondandolo con flussi ininterrotti di messaggi (fllooding), causando un Denial of Service (DoS). Impostando i limiti alle seguenti direttive, presenti nel file <filename>/etc/mail/sendmail.mc</filename>, si limita il rischio legato a tali attacchi.

note: Tag: para
en: <command>confCONNECTION_RATE_THROTTLE</command> &mdash; The number of connections the server can receive per second. By default, Sendmail does not limit the number of connections. If a limit is set and reached, further connections are delayed.
it: <command>confCONNECTION_RATE_THROTTLE</command> &mdash; Il numero di connessioni al secondo accettate dal server. Per impostazione, Sendmail non presenta un limite al numero di connessioni. Se viene impostato un limite ed esso viene superato, le future connessioni vengono ritardate.

note: Tag: para
en: <command>confMAX_DAEMON_CHILDREN</command> &mdash; The maximum number of child processes that can be spawned by the server. By default, Sendmail does not assign a limit to the number of child processes. If a limit is set and reached, further connections are delayed.
it: <command>confMAX_DAEMON_CHILDREN</command> &mdash; Il numero massimo di processi (child) generati dal processo server (parent). Per impostazione, Sendmail non assegna alcun limite al numero di processi child. Se viene impostato un limite e superato, le future connessioni vengono ritardate.

note: Tag: para
en: <command>confMIN_FREE_BLOCKS</command> &mdash; The minimum number of free blocks which must be available for the server to accept mail. The default is 100 blocks.
it: <command>confMIN_FREE_BLOCKS</command> &mdash; Il numero minimo di blocchi che devono rimanere liberi perchè il server continui a ricevere mail. Il valore predefinito è 100.

note: Tag: para
en: <command>confMAX_HEADERS_LENGTH</command> &mdash; The maximum acceptable size (in bytes) for a message header.
it: <command>confMAX_HEADERS_LENGTH</command> &mdash; La dimensione massima, in byte, per l'intestazione (header) del messaggio.

note: Tag: para
en: <command>confMAX_MESSAGE_SIZE</command> &mdash; The maximum acceptable size (in bytes) for a single message.
it: <command>confMAX_MESSAGE_SIZE</command> &mdash; La dimensione massima, in byte, per un singolo messaggio.

note: Tag: title
en: NFS and Sendmail
it: NFS e Sendamil

note: Tag: para
en: Never put the mail spool directory, <filename>/var/spool/mail/</filename>, on an NFS shared volume.
it: Non porre mai la directory di coda delle mail, <filename>/var/spool/mail/</filename> su un volume condiviso NFS.

note: Tag: para
en: Because NFSv2 and NFSv3 do not maintain control over user and group IDs, two or more users can have the same UID, and receive and read each other's mail.
it: Poichè NFSv2 ed NFSv3 non usano alcun controllo sugli ID degli utenti e dei gruppi, due o più utenti potrebbero risultare con lo stesso ID, e ricevere e leggere le mail reciproche.

note: Tag: para
en: With NFSv4 using Kerberos, this is not the case, since the <filename>SECRPC_GSS</filename> kernel module does not utilize UID-based authentication. However, it is still considered good practice <emphasis>not</emphasis> to put the mail spool directory on NFS shared volumes.
it: Con NFSv4 che usa Kerberos, questo non è il caso, in quanto il modulo <filename>SECRPC_GSS</filename> del kernel, non fa uso di autenticazioni basate su ID. Comunque rimane valida la considerazione di <emphasis>non</emphasis> porre la directory di coda delle mail su volumi condivisi NFS.

note: Tag: title
en: Mail-only Users
it: Utenti di sola posta elettronica

note: Tag: para
en: To help prevent local user exploits on the Sendmail server, it is best for mail users to only access the Sendmail server using an email program. Shell accounts on the mail server should not be allowed and all user shells in the <filename>/etc/passwd</filename> file should be set to <command>/sbin/nologin</command> (with the possible exception of the root user).
it: Per impedire che utenti locali possano attaccare il server Sendmail, sarebbe meglio limitare l'accesso al server solo tramite un programma di posta. Gli account di shell sul mail server non dovrebbero essere permessi e tutte le shell degli utenti, nel file <filename>/etc/passwd</filename>, dovrebbero essere impostate su <command>/sbin/nologin</command> (con la possibile eccezione dell'utente root).

note: Tag: title
en: Verifying Which Ports Are Listening
it: Controllare le porte in ascolto

note: Tag: para
en: After configuring network services, it is important to pay attention to which ports are actually listening on the system's network interfaces. Any open ports can be evidence of an intrusion.
it: Dopo aver configurato i servizi di rete, diventa di primaria importanza prestare la dovuta attenzione alle porte effettivamente in ascolto sulle interfacce di rete. Ogni porta aperta è un rischio di intrusione.

note: Tag: para
en: There are two basic approaches for listing the ports that are listening on the network. The less reliable approach is to query the network stack using commands such as <command>netstat -an</command> or <command>lsof -i</command>. This method is less reliable since these programs do not connect to the machine from the network, but rather check to see what is running on the system. For this reason, these applications are frequent targets for replacement by attackers. Crackers attempt to cover their tracks if they open unauthorized network ports by replacing <command>netstat</command> and <command>lsof</command> with their own, modified versions.
it: Esistono due approcci di base per elencare le porte in ascolto. Quello meno affidabile è interrogare lo stack di rete usando comandi come <command>netstat -an</command> o <command>lsof -i</command>. Il metodo è poco affidabile, in quanto questi programmi non si connettono alla macchina dalla rete, ma controllano i servizi in esecuzione sul sistema. Per questo motivo, queste applicazioni sono frequenti obbiettivi degli attacker. I cracker, in genere, nascondono le tracce dei loro interventi sulle porte che sono riusciti ad aprire, sostituendo <command>netstat</command> e <command>lsof</command> con proprie versioni modificate.

note: Tag: para
en: A more reliable way to check which ports are listening on the network is to use a port scanner such as <command>nmap</command>.
it: Un metodo più affidabile per controllare le porte aperte, è usare uno scanner come <command>nmap</command>.

note: Tag: para
en: The following command issued from the console determines which ports are listening for TCP connections from the network:
it: Il seguente comando digitato in un terminale, determina le porte in ascolto su connessioni TCP:

note: Tag: para
en: The output of this command appears as follows:
it: L'uscita del comando assomiglia a:

note: Tag: screen
en: Starting Nmap 4.68 ( http://nmap.org ) at 2009-03-06 12:08 EST
    Interesting ports on localhost.localdomain (127.0.0.1):
    Not shown: 1711 closed ports
    PORT      STATE SERVICE
    22/tcp    open  ssh 
    25/tcp    open  smtp
    111/tcp   open  rpcbind
    113/tcp   open  auth
    631/tcp   open  ipp
    834/tcp   open  unknown
    2601/tcp  open  zebra
    32774/tcp open  sometimes-rpc11
    Device type: general purpose
    Running: Linux 2.6.X
    OS details: Linux 2.6.17 - 2.6.24
    Uptime: 4.122 days (since Mon Mar  2 09:12:31 2009)
    Network Distance: 0 hops
    OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .
    Nmap done: 1 IP address (1 host up) scanned in 1.420 seconds
it: Starting Nmap 5.21 ( http://nmap.org ) at 2010-07-08 19:00 CEST
    Nmap scan report for localhost (127.0.0.1)
    Host is up (0.00016s latency).
    Not shown: 1711 closed ports
    PORT      STATE SERVICE
    22/tcp    open  ssh 
    25/tcp    open  smtp
    111/tcp   open  rpcbind
    113/tcp   open  auth
    631/tcp   open  ipp
    834/tcp   open  unknown
    2601/tcp  open  zebra
    32774/tcp open  sometimes-rpc11
    Device type: general purpose
    Running: Linux 2.6.X
    OS details: Linux 2.6.32.14-127.fc12.i686.PAE
    Network Distance: 0 hops
    OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .
    Nmap done: 1 IP address (1 host up) scanned in 16.44 seconds

note: Tag: para
en: This output shows the system is running <command>portmap</command> due to the presence of the <computeroutput>sunrpc</computeroutput> service. However, there is also a mystery service on port 834. To check if the port is associated with the official list of known services, type:
it: L'output mostra i servizi in esecuzione. Nell'esempio, un sospetto potrebbe venire sul servizio <emphasis>unknown</emphasis> in esecuzione sulla porta TCP 834. Per controllare se le porta è associata alla lista ufficiale dei servizi noti, si lancia il comando:

note: Tag: para
en: This command returns no output. This indicates that while the port is in the reserved range (meaning 0 through 1023) and requires root access to open, it is not associated with a known service.
it: Nel caso dell'esempio non si ha alcun output. Quindi, nonostante la porta faccia parte di un range di porte riservate (0 - 1023), e la sua apertura richiederebbe il permesso di root, essa non è associata ad alcun servizio noto.

note: Tag: para
en: Next, check for information about the port using <command>netstat</command> or <command>lsof</command>. To check for port 834 using <command>netstat</command>, use the following command:
it: Allora, si prova ad ottenere alcune informazioni sulla porta, usando il comando <command>netstat</command> o <command>lsof</command>. Per controllare la porta 834 con <command>netstat</command>, si digita:

note: Tag: para
en: The command returns the following output:
it: Il comando restituisce il seguente output:

note: Tag: para
en: The presence of the open port in <command>netstat</command> is reassuring because a cracker opening a port surreptitiously on a hacked system is not likely to allow it to be revealed through this command. Also, the <option>[p]</option> option reveals the process ID (PID) of the service that opened the port. In this case, the open port belongs to <command>ypbind</command> (<abbrev>NIS</abbrev>), which is an <abbrev>RPC</abbrev> service handled in conjunction with the <command>portmap</command> service.
it: La scoperta fatta con <command>netstat</command> che la porta è aperta, è abbastanza rassicurante, poichè un cracker che apra furtivamente una porta non ne permetterebbe la rivelazione con questo comando. Inoltre, l'opzione <option>[p]</option> rivela l'ID del processo (PID) che ha aperto la porta. In questo caso la porta appartiene a <command>ypbind</command> (<abbrev>NIS</abbrev>) che è un servizio <abbrev>RPC</abbrev> gestito insieme al servizio <command>portmap</command>.

note: Tag: para
en: The <command>lsof</command> command reveals similar information to <command>netstat</command> since it is also capable of linking open ports to services:
it: L'uscita del comando <command>lsof</command> sarebbe molto simile al precedente, giacchè anch'esso è in grado di collegare le porte aperte ai servizi:

note: Tag: para
en: The relevant portion of the output from this command follows:
it: La porzione di output rilevante per il nostro esempio è:

note: Tag: para
en: These tools reveal a great deal about the status of the services running on a machine. These tools are flexible and can provide a wealth of information about network services and configuration. Refer to the man pages for <command>lsof</command>, <command>netstat</command>, <command>nmap</command>, and <filename>services</filename> for more information.
it: Questi strumenti rivelano una grande quantità di informazioni sullo stato dei servizi in esecuzione. Essi sono flessibili ed offrono una varietà di informazioni sui servizi e la configurazione di rete. Per maggiori informazioni vedere le pagine di man relative a <command>lsof</command>, <command>netstat</command>, <command>nmap</command>, e <filename>services</filename>.
