Blockera fjärrstyrning av elevdator i hemmanätet
En del saker är ju lite asymmetriska. Jag har knappast rätt att få ansluta min dator till kommunens nätverk och än mindre att använda förbindelsen för något ospecificerat ändamål. Men en elevdator som eleverna får och som de uppmuntras att använda i skolarbetet via Google Apps for education m.m. ska jag minsann inte "oroa" mig för. Att en skola eller IT-avdelning kan ges tekniska möjligheter för att t.ex. använda Web-kameran för att spionera på elever har också förmodligen redan hänt (se tex http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy... ). Men om jag nu inte "oroar" mig utan bara har som policy att inte låta okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning av en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med IP-tables/OpenWRT). Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall? nrz
Jag har samma problem och haft i flera år. Det finns flera sätt att lösa det på. Ett första steg är att blockera så att jobb-plattorna/mobilerna inte kan kommunicera med något annat på nätverket via routern. De kan bara nå internet via routern. Det ger inget heltäckande skydd, utan är ett första steg mot intrång i annan utrustning ansluten till samma nätverk. I teorin skulle kommunen kunna installera vilken spionprogramvara som helst som kommunicerar direkt med andra apparater utan routern, sätta på kamerorna och spela in allt, osv. Men jag väljer att tro att de inte aktivt installerar spionprogramvara. Däremot skulle säkerhetsbrister kunna göra att tredje part installerar den typen av appar/program. Men det kan även ske på ens privata nätverksprylar. För att förhindra viss kommunikation till/från fjärrstyrningen kan man dels blockera domäner, men ofta går fjärrstyrningen via tredje part så man behöver luska reda på tredje partens domäner. Men bäst är nog att även blockera ip-adresser. Då måste sätta på loggningen och stänga av all annan nätverkstrafik som kan fylla loggen. Ha bara kommunens utrustning på och om det går starta upp fjärrstyrningsprogrammen och se om det blir någon kommunikation vid uppstart av appen/programmet som avslöjar IP-adresser. Man kan behöva tvinga det att stängas först eftersom det sannolikt kör i bakgrunden. Så stäng ner, sen starta upp spionage/fjärrstyrningsgrejerna. Då borde de försöka kommunicera med servern och avslöja både IP och domän. En tredje sak man kan göra är att blockera vissa portar om man i loggen såg att appen använde en ovanlig port och de bara använder den porten. Ofta finns det reservlösningar för "restrikriva nätverk" så man får kolla loggen och starta om apparna gång på gång för att se att man fångar upp alla IP-adresser och portar som behöver blockeras. Det är några exempel. Fler kan säker ge andra tips. Mvh, David Den 3 dec 2015 12:53 skrev "Non Return Zero" <non.return.zero@gmail.com>:
En del saker är ju lite asymmetriska. Jag har knappast rätt att få ansluta min dator till kommunens nätverk och än mindre att använda förbindelsen för något ospecificerat ändamål. Men en elevdator som eleverna får och som de uppmuntras att använda i skolarbetet via Google Apps for education m.m. ska jag minsann inte "oroa" mig för. Att en skola eller IT-avdelning kan ges tekniska möjligheter för att t.ex. använda Web-kameran för att spionera på elever har också förmodligen redan hänt (se tex http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy... ).
Men om jag nu inte "oroar" mig utan bara har som policy att inte låta okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning av en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med IP-tables/OpenWRT).
Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall?
nrz
Non Return Zero <non.return.zero@gmail.com> wrote Thu, 3 Dec 2015 12:53:33 +0100: | Att en skola eller IT-avdelning kan ges | tekniska möjligheter för att t.ex. använda Web-kameran för att spionera på | elever har också förmodligen redan hänt (se tex | http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy...). Mycket intressant fall. Mer om det: https://en.wikipedia.org/wiki/Robbins_v._Lower_Merion_School_District | Men om jag nu inte "oroar" mig utan bara har som policy att inte låta | okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har | tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning av | en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med | IP-tables/OpenWRT). | | Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall? Jag tror att det här är fel väg att gå. Eleven kommer att vara övervakad i sitt eget hem, av sina egna familjemedlemmar. Utrustning som försöker (!) blockera utgående trafik behöver per definition titta i trafik som är känslig ur ett integritetsperspektiv. Risken för att hårdvaran och mjukvaran som skall sköta detta gör något som exponerar känligt data är för stor. Fri programvara (OpenWRT) gör det mindre problematiskt men inte tillräckligt. Motargumentet är naturligtvis att det är bättre för ett barn att vara övervakad av sina egna föräldrar än av ett okänt antal människor som kontrollerar dess dator. En teknisk lösning som beskriven ovan framstår då som sänd från himlen. Byt nu barn mot medborgare och förälder mot myndighet. Medges att liknelsen haltar eftersom barn behöver mer skydd och hjälp än vuxna medborgare och också eftersom förälder/barn har en annan relation än myndighet/medborgare. Föräldrar borde kräva en exakt deklaration av skoldatorns innehåll, från leverantören. Deklarationen verifieras av skola och i möjligaste mån föräldrar. Fristående organisationer kan vara behjälpliga här. Verifikation skall ske kontinuerligt. Upptäcks något fel i deklarationen så innebär det ett kontraktsbrott och leverantören lider skada. Allt det sagt förstår jag att föräldrar vill skydda sina barn. Om inte annat innan vettig kontroll finns på plats och fungerar. Det är en svår avvägning. Nu har jag lagt lite i den andra vågskålen i alla fall. -- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Hej Linus, tack för ditt svar och dina synpunkter. Jag håller inte med dig om att filtrering i routern på domännamn eller ip-adress via IP-tables in någon väsentlig grad skulle öka risken för oönskad exponering av datainnehåll som är integritetskänsligt. OS-kärnan har ju redan paketet i sitt minne för att kunna skicka iväg det till hårdvarugränssnittet. IP-tables är en del av kärnan så om det sker en regelevaluering baserat på destination kommer det snarast att leda till att packet kastas tidigare än att det hanteras av IP-stacken tills ACK från mottagaren erhållits. Om du tänker i banorna Deep packet inspection så går det utanför vad jag kan om Linux, i vilket fall tror jag inte att det är tillgängligt i OpenWrt. Utveckla gärna ditt argument här om du tycker att jag missförstått något. En annan punkt du tog upp är att jag borde kräva in en specifikation av installerade programvaror. Du verkar ha missat att kommunens IT-avdelning inte är i min förtroendezon. Om de fanns där skulle jag inte ha några problem med deras dator i mitt nät. Dokumentation från dem är alltså något jag bör välja att inte lita på. Och jag har förmodligen ändå inte kompetens att utvärdera vad som är problematiska programvaror även om specifikationen är fullständig. Dessutom har ju administratörer möjlighet att ändra i datorn efterhand utan att det finns något garanti för att deklarationen uppdateras. För mig är den här vägen bortkastad tid. Den 3 december 2015 13:40 skrev Linus Nordberg <linus@nordberg.se>:
Non Return Zero <non.return.zero@gmail.com> wrote Thu, 3 Dec 2015 12:53:33 +0100:
| Att en skola eller IT-avdelning kan ges | tekniska möjligheter för att t.ex. använda Web-kameran för att spionera på | elever har också förmodligen redan hänt (se tex | http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy... ).
Mycket intressant fall. Mer om det: https://en.wikipedia.org/wiki/Robbins_v._Lower_Merion_School_District
| Men om jag nu inte "oroar" mig utan bara har som policy att inte låta | okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har | tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning av | en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med | IP-tables/OpenWRT). | | Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall?
Jag tror att det här är fel väg att gå. Eleven kommer att vara övervakad i sitt eget hem, av sina egna familjemedlemmar. Utrustning som försöker (!) blockera utgående trafik behöver per definition titta i trafik som är känslig ur ett integritetsperspektiv. Risken för att hårdvaran och mjukvaran som skall sköta detta gör något som exponerar känligt data är för stor. Fri programvara (OpenWRT) gör det mindre problematiskt men inte tillräckligt.
Motargumentet är naturligtvis att det är bättre för ett barn att vara övervakad av sina egna föräldrar än av ett okänt antal människor som kontrollerar dess dator. En teknisk lösning som beskriven ovan framstår då som sänd från himlen.
Byt nu barn mot medborgare och förälder mot myndighet.
Medges att liknelsen haltar eftersom barn behöver mer skydd och hjälp än vuxna medborgare och också eftersom förälder/barn har en annan relation än myndighet/medborgare.
Föräldrar borde kräva en exakt deklaration av skoldatorns innehåll, från leverantören. Deklarationen verifieras av skola och i möjligaste mån föräldrar. Fristående organisationer kan vara behjälpliga här. Verifikation skall ske kontinuerligt. Upptäcks något fel i deklarationen så innebär det ett kontraktsbrott och leverantören lider skada.
Allt det sagt förstår jag att föräldrar vill skydda sina barn. Om inte annat innan vettig kontroll finns på plats och fungerar. Det är en svår avvägning. Nu har jag lagt lite i den andra vågskålen i alla fall.
Hej nrz! Jag håller med dig om att ip-filtrering inte nödvändigtvis behöver vara ett integritetsproblem i sig. Två av de saker det kan medföra gör det dock: loggar och "nästa steg". Loggar. När en filtrerande router ("brandvägg") blockerar ett paket sker ofta loggning. Innehållet i logmeddelandet är ofta integritetskänsligt och lagras på minst ett ställe. Nästa steg, när censorn^Wbeskyddande part upptäcker att simpel portblockering inte duger, är att börja titta djupare i paketen. Angående förtroende så föreslog jag kontinuerlig verifiering av deklarationen, gärna med hjälp av oberoende instans av något slag. Kanske skulle DFRI kunna göra sådant. Med verifiering menar jag att man undersöker datorn och stämmer av att innehållsdeklarationen stämmer med innehållet. Detta gäller inte bara "program X och Y" utan också beteende. Om datorleverantören (ofta ett privat företag som får pengar av skolan) t.ex. lovar att datorn inte "ringer hem" så verifierar man att det stämmer, osv. Det finns också minst två dimensioner av förtroende -- förtroende för att kommunen/skolan/företaget inte gör något dumt med flit och förtroende för att de har kompetensen att uppfylla sina intentioner. Non Return Zero <non.return.zero@gmail.com> wrote Fri, 4 Dec 2015 00:17:57 +0100: | Hej Linus, tack för ditt svar och dina synpunkter. | Jag håller inte med dig om att filtrering i routern på domännamn eller | ip-adress via IP-tables in någon väsentlig grad skulle öka risken för | oönskad exponering av datainnehåll som är integritetskänsligt. OS-kärnan | har ju redan paketet i sitt minne för att kunna skicka iväg det till | hårdvarugränssnittet. IP-tables är en del av kärnan så om det sker en | regelevaluering baserat på destination kommer det snarast att leda till att | packet kastas tidigare än att det hanteras av IP-stacken tills ACK från | mottagaren erhållits. Om du tänker i banorna Deep packet inspection så går | det utanför vad jag kan om Linux, i vilket fall tror jag inte att det är | tillgängligt i OpenWrt. Utveckla gärna ditt argument här om du tycker att | jag missförstått något. | | En annan punkt du tog upp är att jag borde kräva in en specifikation av | installerade programvaror. Du verkar ha missat att kommunens IT-avdelning | inte är i min förtroendezon. Om de fanns där skulle jag inte ha några | problem med deras dator i mitt nät. Dokumentation från dem är alltså något | jag bör välja att inte lita på. Och jag har förmodligen ändå inte kompetens | att utvärdera vad som är problematiska programvaror även om specifikationen | är fullständig. Dessutom har ju administratörer möjlighet att ändra i | datorn efterhand utan att det finns något garanti för att deklarationen | uppdateras. För mig är den här vägen bortkastad tid. | | Den 3 december 2015 13:40 skrev Linus Nordberg <linus@nordberg.se>: | | > Non Return Zero <non.return.zero@gmail.com> wrote | > Thu, 3 Dec 2015 12:53:33 +0100: | > | > | Att en skola eller IT-avdelning kan ges | > | tekniska möjligheter för att t.ex. använda Web-kameran för att spionera | > på | > | elever har också förmodligen redan hänt (se tex | > | | > http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy-on-students-Feds-won-t-press-charges> ). | > | > Mycket intressant fall. Mer om det: | > https://en.wikipedia.org/wiki/Robbins_v._Lower_Merion_School_District> | > | > | Men om jag nu inte "oroar" mig utan bara har som policy att inte låta | > | okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har | > | tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning | > av | > | en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med | > | IP-tables/OpenWRT). | > | | > | Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall? | > | > Jag tror att det här är fel väg att gå. Eleven kommer att vara | > övervakad i sitt eget hem, av sina egna familjemedlemmar. Utrustning | > som försöker (!) blockera utgående trafik behöver per definition titta | > i trafik som är känslig ur ett integritetsperspektiv. Risken för att | > hårdvaran och mjukvaran som skall sköta detta gör något som exponerar | > känligt data är för stor. Fri programvara (OpenWRT) gör det mindre | > problematiskt men inte tillräckligt. | > | > Motargumentet är naturligtvis att det är bättre för ett barn att vara | > övervakad av sina egna föräldrar än av ett okänt antal människor som | > kontrollerar dess dator. En teknisk lösning som beskriven ovan framstår | > då som sänd från himlen. | > | > Byt nu barn mot medborgare och förälder mot myndighet. | > | > Medges att liknelsen haltar eftersom barn behöver mer skydd och hjälp än | > vuxna medborgare och också eftersom förälder/barn har en annan relation | > än myndighet/medborgare. | > | > | > Föräldrar borde kräva en exakt deklaration av skoldatorns innehåll, från | > leverantören. Deklarationen verifieras av skola och i möjligaste mån | > föräldrar. Fristående organisationer kan vara behjälpliga | > här. Verifikation skall ske kontinuerligt. Upptäcks något fel i | > deklarationen så innebär det ett kontraktsbrott och leverantören lider | > skada. | > | > | > Allt det sagt förstår jag att föräldrar vill skydda sina barn. Om inte | > annat innan vettig kontroll finns på plats och fungerar. Det är en svår | > avvägning. Nu har jag lagt lite i den andra vågskålen i alla fall. | > -- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Hej Linus. De "risker" du fantiserar är likvärdig med att jag använder en sten på gården eller morakniv i garaget på ett sätt som är skadligt för andra familjemedlemmar. Jag känner att jag klarar av både stenar, knivar och datorer i mitt hem utan att det är några som helt risker förenade med dessa för övriga familjemedlemmar. Jag vill helst inte fortsätta moraldiskussionen kring förslag jag inte själv lagt. Min tanke med den öppna frågan var nog mest om/hur man ska isolera maskinen från andra maskiner i hemmanätverket som exempel i syfte att undvika att det komprometteras av gästmaskinen. För min egen del så kör jag mestadels mot min VPN-leverantör men det finns ju alltid olika former att meta-data som läcker ut som man kanske bör begränsa (t.ex. vilka MAC-id som finns i nätverket eller nätverksnamn som enheterna använder, spånar här vet inte om det behövs). Det är i alla fall inte så lätt att förutse allt som borde spärras eller vad som är tillräckligt. I en WR703N som jag använder som barn-AP är loggminnet begränsat. Det finns 32 MByte RAM och 4 MB NV-minne som idag är fullt till 60 %. Vill man logga på det sätt som föreslås (observera att det är inget förslag som jag har kommit med) så måste man vad jag förstår göra det på en extern maskin. Trafikloggning av det slag du (och andra) diskuterar är inte heller förvalt installerat (i den version jag använder) utan man får klura ut själv hur man gör. Jag tror inte ens är möjligt att få den typen av loggning i det web-baserade användargränssnittet, Luci. Men visst quick and dirty är väl tcpdump och netcat. nrz Den 4 december 2015 14:17 skrev Linus Nordberg <linus@nordberg.se>:
Hej nrz!
Jag håller med dig om att ip-filtrering inte nödvändigtvis behöver vara ett integritetsproblem i sig. Två av de saker det kan medföra gör det dock: loggar och "nästa steg".
Loggar. När en filtrerande router ("brandvägg") blockerar ett paket sker ofta loggning. Innehållet i logmeddelandet är ofta integritetskänsligt och lagras på minst ett ställe.
Nästa steg, när censorn^Wbeskyddande part upptäcker att simpel portblockering inte duger, är att börja titta djupare i paketen.
Angående förtroende så föreslog jag kontinuerlig verifiering av deklarationen, gärna med hjälp av oberoende instans av något slag. Kanske skulle DFRI kunna göra sådant. Med verifiering menar jag att man undersöker datorn och stämmer av att innehållsdeklarationen stämmer med innehållet. Detta gäller inte bara "program X och Y" utan också beteende. Om datorleverantören (ofta ett privat företag som får pengar av skolan) t.ex. lovar att datorn inte "ringer hem" så verifierar man att det stämmer, osv.
Det finns också minst två dimensioner av förtroende -- förtroende för att kommunen/skolan/företaget inte gör något dumt med flit och förtroende för att de har kompetensen att uppfylla sina intentioner.
Non Return Zero <non.return.zero@gmail.com> wrote Fri, 4 Dec 2015 00:17:57 +0100:
| Hej Linus, tack för ditt svar och dina synpunkter. | Jag håller inte med dig om att filtrering i routern på domännamn eller | ip-adress via IP-tables in någon väsentlig grad skulle öka risken för | oönskad exponering av datainnehåll som är integritetskänsligt. OS-kärnan | har ju redan paketet i sitt minne för att kunna skicka iväg det till | hårdvarugränssnittet. IP-tables är en del av kärnan så om det sker en | regelevaluering baserat på destination kommer det snarast att leda till att | packet kastas tidigare än att det hanteras av IP-stacken tills ACK från | mottagaren erhållits. Om du tänker i banorna Deep packet inspection så går | det utanför vad jag kan om Linux, i vilket fall tror jag inte att det är | tillgängligt i OpenWrt. Utveckla gärna ditt argument här om du tycker att | jag missförstått något. | | En annan punkt du tog upp är att jag borde kräva in en specifikation av | installerade programvaror. Du verkar ha missat att kommunens IT-avdelning | inte är i min förtroendezon. Om de fanns där skulle jag inte ha några | problem med deras dator i mitt nät. Dokumentation från dem är alltså något | jag bör välja att inte lita på. Och jag har förmodligen ändå inte kompetens | att utvärdera vad som är problematiska programvaror även om specifikationen | är fullständig. Dessutom har ju administratörer möjlighet att ändra i | datorn efterhand utan att det finns något garanti för att deklarationen | uppdateras. För mig är den här vägen bortkastad tid. | | Den 3 december 2015 13:40 skrev Linus Nordberg <linus@nordberg.se>: | | > Non Return Zero <non.return.zero@gmail.com> wrote | > Thu, 3 Dec 2015 12:53:33 +0100: | > | > | Att en skola eller IT-avdelning kan ges | > | tekniska möjligheter för att t.ex. använda Web-kameran för att spionera | > på | > | elever har också förmodligen redan hänt (se tex | > | | > http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy-on-students-Feds-won-t-press-charges> ). | > | > Mycket intressant fall. Mer om det: | > https://en.wikipedia.org/wiki/Robbins_v._Lower_Merion_School_District> | > | > | Men om jag nu inte "oroar" mig utan bara har som policy att inte låta | > | okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har | > | tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning | > av | > | en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med | > | IP-tables/OpenWRT). | > | | > | Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall? | > | > Jag tror att det här är fel väg att gå. Eleven kommer att vara | > övervakad i sitt eget hem, av sina egna familjemedlemmar. Utrustning | > som försöker (!) blockera utgående trafik behöver per definition titta | > i trafik som är känslig ur ett integritetsperspektiv. Risken för att | > hårdvaran och mjukvaran som skall sköta detta gör något som exponerar | > känligt data är för stor. Fri programvara (OpenWRT) gör det mindre | > problematiskt men inte tillräckligt. | > | > Motargumentet är naturligtvis att det är bättre för ett barn att vara | > övervakad av sina egna föräldrar än av ett okänt antal människor som | > kontrollerar dess dator. En teknisk lösning som beskriven ovan framstår | > då som sänd från himlen. | > | > Byt nu barn mot medborgare och förälder mot myndighet. | > | > Medges att liknelsen haltar eftersom barn behöver mer skydd och hjälp än | > vuxna medborgare och också eftersom förälder/barn har en annan relation | > än myndighet/medborgare. | > | > | > Föräldrar borde kräva en exakt deklaration av skoldatorns innehåll, från | > leverantören. Deklarationen verifieras av skola och i möjligaste mån | > föräldrar. Fristående organisationer kan vara behjälpliga | > här. Verifikation skall ske kontinuerligt. Upptäcks något fel i | > deklarationen så innebär det ett kontraktsbrott och leverantören lider | > skada. | > | > | > Allt det sagt förstår jag att föräldrar vill skydda sina barn. Om inte | > annat innan vettig kontroll finns på plats och fungerar. Det är en svår | > avvägning. Nu har jag lagt lite i den andra vågskålen i alla fall. | >
Leta efter en inställning som heter "IP isolated" "block taffic between devices" "device isolation" eller liknande. Det är ett bra första steg. Då tror varje pryl att den är ensam på nätverket och kan inte kommunicera med de andra via routern/APn. Det andra jag föreslog med att logga saker fungerar även med en kort logg. Förutsatt att man bara har en enda maskin ansluten till APn (plus en ickepratig dator som varit påslagen en stund för att kolla loggen) och så kollar man loggen samtidigt som man startar upp och stänger ner de eventuella fjärranslutnings-/spionageprogrammen/-apparna. Det borde gott och väl räcka med det utrymme du har. Om man inte kan starta om fjärrprogrammen så får man starta upp och stänga ner plattan/datorn/mobilen och filtrera igenom mängder med loggrader efter att man sparat ner loggen på sin dator. Man får helt enkelt hålla på tills man ser trafik som kan vara från/till fjärrstyrningen. I en iPad (från kommunen) som vi hade tidigare kunde man själv via kommunens hemsida få kontakt och göra administrativa saker på sin platta, men det är inte säkert att det finns samma inloggning i ert fall. Men om det finns blir det väldigt enkelt att kolla loggen och se vilka IP-addresser plattan kommunicerar med just då. Lycka till! Den 5 dec 2015 15:06 skrev "Non Return Zero" <non.return.zero@gmail.com>:
Hej Linus. De "risker" du fantiserar är likvärdig med att jag använder en sten på gården eller morakniv i garaget på ett sätt som är skadligt för andra familjemedlemmar. Jag känner att jag klarar av både stenar, knivar och datorer i mitt hem utan att det är några som helt risker förenade med dessa för övriga familjemedlemmar.
Jag vill helst inte fortsätta moraldiskussionen kring förslag jag inte själv lagt. Min tanke med den öppna frågan var nog mest om/hur man ska isolera maskinen från andra maskiner i hemmanätverket som exempel i syfte att undvika att det komprometteras av gästmaskinen. För min egen del så kör jag mestadels mot min VPN-leverantör men det finns ju alltid olika former att meta-data som läcker ut som man kanske bör begränsa (t.ex. vilka MAC-id som finns i nätverket eller nätverksnamn som enheterna använder, spånar här vet inte om det behövs). Det är i alla fall inte så lätt att förutse allt som borde spärras eller vad som är tillräckligt.
I en WR703N som jag använder som barn-AP är loggminnet begränsat. Det finns 32 MByte RAM och 4 MB NV-minne som idag är fullt till 60 %. Vill man logga på det sätt som föreslås (observera att det är inget förslag som jag har kommit med) så måste man vad jag förstår göra det på en extern maskin. Trafikloggning av det slag du (och andra) diskuterar är inte heller förvalt installerat (i den version jag använder) utan man får klura ut själv hur man gör. Jag tror inte ens är möjligt att få den typen av loggning i det web-baserade användargränssnittet, Luci. Men visst quick and dirty är väl tcpdump och netcat.
nrz
Den 4 december 2015 14:17 skrev Linus Nordberg <linus@nordberg.se>:
Hej nrz!
Jag håller med dig om att ip-filtrering inte nödvändigtvis behöver vara ett integritetsproblem i sig. Två av de saker det kan medföra gör det dock: loggar och "nästa steg".
Loggar. När en filtrerande router ("brandvägg") blockerar ett paket sker ofta loggning. Innehållet i logmeddelandet är ofta integritetskänsligt och lagras på minst ett ställe.
Nästa steg, när censorn^Wbeskyddande part upptäcker att simpel portblockering inte duger, är att börja titta djupare i paketen.
Angående förtroende så föreslog jag kontinuerlig verifiering av deklarationen, gärna med hjälp av oberoende instans av något slag. Kanske skulle DFRI kunna göra sådant. Med verifiering menar jag att man undersöker datorn och stämmer av att innehållsdeklarationen stämmer med innehållet. Detta gäller inte bara "program X och Y" utan också beteende. Om datorleverantören (ofta ett privat företag som får pengar av skolan) t.ex. lovar att datorn inte "ringer hem" så verifierar man att det stämmer, osv.
Det finns också minst två dimensioner av förtroende -- förtroende för att kommunen/skolan/företaget inte gör något dumt med flit och förtroende för att de har kompetensen att uppfylla sina intentioner.
Non Return Zero <non.return.zero@gmail.com> wrote Fri, 4 Dec 2015 00:17:57 +0100:
| Hej Linus, tack för ditt svar och dina synpunkter. | Jag håller inte med dig om att filtrering i routern på domännamn eller | ip-adress via IP-tables in någon väsentlig grad skulle öka risken för | oönskad exponering av datainnehåll som är integritetskänsligt. OS-kärnan | har ju redan paketet i sitt minne för att kunna skicka iväg det till | hårdvarugränssnittet. IP-tables är en del av kärnan så om det sker en | regelevaluering baserat på destination kommer det snarast att leda till att | packet kastas tidigare än att det hanteras av IP-stacken tills ACK från | mottagaren erhållits. Om du tänker i banorna Deep packet inspection så går | det utanför vad jag kan om Linux, i vilket fall tror jag inte att det är | tillgängligt i OpenWrt. Utveckla gärna ditt argument här om du tycker att | jag missförstått något. | | En annan punkt du tog upp är att jag borde kräva in en specifikation av | installerade programvaror. Du verkar ha missat att kommunens IT-avdelning | inte är i min förtroendezon. Om de fanns där skulle jag inte ha några | problem med deras dator i mitt nät. Dokumentation från dem är alltså något | jag bör välja att inte lita på. Och jag har förmodligen ändå inte kompetens | att utvärdera vad som är problematiska programvaror även om specifikationen | är fullständig. Dessutom har ju administratörer möjlighet att ändra i | datorn efterhand utan att det finns något garanti för att deklarationen | uppdateras. För mig är den här vägen bortkastad tid. | | Den 3 december 2015 13:40 skrev Linus Nordberg <linus@nordberg.se>: | | > Non Return Zero <non.return.zero@gmail.com> wrote | > Thu, 3 Dec 2015 12:53:33 +0100: | > | > | Att en skola eller IT-avdelning kan ges | > | tekniska möjligheter för att t.ex. använda Web-kameran för att spionera | > på | > | elever har också förmodligen redan hänt (se tex | > | | > http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy-on-students-Feds-won-t-press-charges> ). | > | > Mycket intressant fall. Mer om det: | > https://en.wikipedia.org/wiki/Robbins_v._Lower_Merion_School_District
| > | > | Men om jag nu inte "oroar" mig utan bara har som policy att inte låta | > | okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har | > | tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning | > av | > | en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med | > | IP-tables/OpenWRT). | > | | > | Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall? | > | > Jag tror att det här är fel väg att gå. Eleven kommer att vara | > övervakad i sitt eget hem, av sina egna familjemedlemmar. Utrustning | > som försöker (!) blockera utgående trafik behöver per definition titta | > i trafik som är känslig ur ett integritetsperspektiv. Risken för att | > hårdvaran och mjukvaran som skall sköta detta gör något som exponerar | > känligt data är för stor. Fri programvara (OpenWRT) gör det mindre | > problematiskt men inte tillräckligt. | > | > Motargumentet är naturligtvis att det är bättre för ett barn att vara | > övervakad av sina egna föräldrar än av ett okänt antal människor som | > kontrollerar dess dator. En teknisk lösning som beskriven ovan framstår | > då som sänd från himlen. | > | > Byt nu barn mot medborgare och förälder mot myndighet. | > | > Medges att liknelsen haltar eftersom barn behöver mer skydd och hjälp än | > vuxna medborgare och också eftersom förälder/barn har en annan relation | > än myndighet/medborgare. | > | > | > Föräldrar borde kräva en exakt deklaration av skoldatorns innehåll, från | > leverantören. Deklarationen verifieras av skola och i möjligaste mån | > föräldrar. Fristående organisationer kan vara behjälpliga | > här. Verifikation skall ske kontinuerligt. Upptäcks något fel i | > deklarationen så innebär det ett kontraktsbrott och leverantören lider | > skada. | > | > | > Allt det sagt förstår jag att föräldrar vill skydda sina barn. Om inte | > annat innan vettig kontroll finns på plats och fungerar. Det är en svår | > avvägning. Nu har jag lagt lite i den andra vågskålen i alla fall. | >
Hej, Att svartlista kan, som påpekats tidigare, vara lätt eller svårt beroende på hur många tjänster det rör sig om och vilka endpoints respektive tjänst har. Blir nog extra lurigt att urskilja trafiken då tjänsterna är passiva -- plus att Windows är väldigt pratigt i sig själv. Försök ringa in: - Källportar (sannolikt random) - Målportar - Protokoll (mja ...) - Måladresser (DNS/IP) - Processer På serversidan: Undersök med nmap, dns-loggar. Blockera med iptables. På klientsidan: Windows egna "Resource Monitor" (visualiserar faktiskt väldigt bra vilka processer som har aktiva nätverksanslutningar), wireshark. Blockera med Windows Firewall eller annat alternativ (har inga tips). Ett andra angreppssätt vore kanske att istället skapa en vitlista. På serversidan: Blockera allt, tillåt port 53, 80 och 443 bör räcka ganska långt. Risken finns förstås att tvivelaktig trafik tunnlas därigenom men det kan du potentiellt motverka genom att kombinera med en lista på tillåtna domäner. På klientsidan: Blockera allt och tillåt specifika program). En tredje metod är att dual- eller live-boota ett isolerat operativsystem via USB (eller PXE). Om större delen av arbetet sker i webbläsaren/"molnet" bör det fungera ganska bra. Med lite konfiguration kan du även göra innhållet på USB-stickan persistent samt montera Windowsenheten för åtkomst av filer lagrade på disken. T 2015-12-03 12:53 GMT+01:00 Non Return Zero <non.return.zero@gmail.com>:
En del saker är ju lite asymmetriska. Jag har knappast rätt att få ansluta min dator till kommunens nätverk och än mindre att använda förbindelsen för något ospecificerat ändamål. Men en elevdator som eleverna får och som de uppmuntras att använda i skolarbetet via Google Apps for education m.m. ska jag minsann inte "oroa" mig för. Att en skola eller IT-avdelning kan ges tekniska möjligheter för att t.ex. använda Web-kameran för att spionera på elever har också förmodligen redan hänt (se tex http://www.csmonitor.com/USA/Justice/2010/0817/Did-school-use-laptops-to-spy... ).
Men om jag nu inte "oroar" mig utan bara har som policy att inte låta okända maskiner verka okontrollerat på mitt nätverk. Är det någon som har tips på lämpliga brandväggsregler som kan förhindra t.ex. fjärrstyrning av en elevdator (Windows OS)? (Elevdatorn ansluter till en egen router med IP-tables/OpenWRT).
Borde policyn mer innefatta mer punkter än fjärrstyrning? Vad i så fall?
nrz
participants (4)
-
David Kronlid -
Linus Nordberg -
Non Return Zero -
Thomas E