Несколько штатов США в рамках DMCA (Digital Millennium Copyright Act) выдвинули законопроекты с настолько расплывчатыми формулировками, что в случае их принятия незаконным будет считаться использование таких систем защиты, скрывающих информации об IP конечного пользователя, как Firewall, прокси серверов или даже трансляторов адресов. Наказывать нужно за openrelay и openproxy, а не "отрубать голову для лечения головной боли".Но это еще не все, уже подписан указ который относит информацию об интернете к категории, подлежащей засекречиванию.
PS.Информация датирована не 1 апреля :-(
URL: http://www.theinquirer.net/?article=8595
Новость: http://www.opennet.me/opennews/art.shtml?num=2294
Это вредно, и технически не реализуемо.
Открытые proxy и relay конечно проблема, но их не так много и все это мелкие непряитности.
Большей проблемой являются незащишенные Win* компьютеры. Уже мы получили массу неприятностей от распределенной сети, созданной на основе Win* PC, с подсаженным софтом, который получает управляющие команды на DDoS атаки (возможны и другие гадости ) с IRC каналов.
Атака кончилась сама собой, нам так и не удалось что-то реальное противопоставить. Если у кого-то есть идеи/советы, буду благодарен.
В свою очередь могу дать информацию, которую мы накопали. Однако по командам с IRC-а софт атакующих может быть быстро изменен.
Не удалось достоверно оценить размер сети, возможно 16 тыс. Возможно мы получили только легкий щелчок от этой махины.
>Большей проблемой являются незащишенные Win* компьютеры.Особенно в свете повального высокоскоростного соединения конечных клиентов. Dialup пользователь был как комар, а xDSL уже на крокодила похож :-(
Вот-вот... вся зараза (вирусы, сканы, спам) идет именно оттуда - из США и Южной Кореи - где сидит огроооооомная сеть класса А с подключенными к ней миллионами юзеров с маздаем, и на нее 1 админ (если вообще таковой есть - хотя наверное есть - за циской следит), и у подобных юзеров там и имеется рассадник всякой нимды и прочего барахла.
сколько ни смотрим сканы - *.verizon.net, *.attbi.com, Китай, Корея...
им бы лучше задуматься об этом - а не файрволлы запрещать...
поставить на циске на весь этот миллион юзеров нормальный файрволл чтобы хоть по 25 порту не выпускал - ну, далее вариации на тему
Совет простой - если вышестоящий провайдер не может закрыть - отвечать так же - грубой силой на грубую силу (естественно что бы были логи на случай вопросов - почему так поступили). Или создавать свою контр сеть - что бы было чем ответит :-)
не знаю кому как, а мне как владельцу сайта фаерволы и прокси очень даже мешают -- невозможно блокировать пользователей по IP -- приходится по провайдерам баннировать или оставлять безнаказанными. Да и для инета как одноранговой сети отсутствие фаерволов и прокси намного лучше чем нышешнее состояние, когда инет больше похож на телик чем на инет.
Я с трудом представляю чем FireWall мешает добрым людям, совершенно не представляю где взять интернетовские адреса для наших 5000 компьютеров, и потом хоть как-то рулить порно трафиком без Proxy.
А что касаемо идиотских открытых proxy - списки имеются. А гадить могут, просто перезвонив на модемный пул и тем самым сменить свой IP.
тем, что сокрытие и частая смена IP-адресов помогает плохим людям, 5000 адресов вы можете взять в IPv6, а порнотрафиком рулить на роутере или на фаерволе, на том, который фильтрует , а не на том, который трансляцию адресов осуществляет.
>тем, что сокрытие и частая смена IP-адресов помогает плохим людям, 5000 адресов
>вы можете взять в IPv6, а порнотрафиком рулить на роутере или
>на фаерволе, на том, который фильтрует , а не на том,
>который трансляцию адресов осуществляет.Как я буду рулить порнографию на Layer 3 устройстве? Устройства, пониающие протоколы уровня приложения уже не просто роутеры, обычно их называют FireWall-ы. Также FireWall-ами называют устройства, которыми филтруется трафик по характеристикам 3,4 уровня - тобишь простая пакетная фильтрация.
FireWall весьма общее название для систем ЗАЩИТЫ !!!
IPv6 замечательно, но Internet щас работает на IPv4. Как одназначно преобразовать IPv6 -> IPv4 - ответ : никак. Технология аля Nat может как-то соглосовать это.
Вред от свободных прокси и релеев очевиден. Также вполне очевидна польза от Proxy серверов и Nat, так как это помогло дать всем желающим строить свои внутренние сети без оглядки на Интернет. Официально в RFC прописано три сети 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16, которых в инете НИКОГДА не будет. Можешь эти сети использовать по собственному усмотрению. Одно это гарантирует не доступность злоумышленников на прямую во внутренние сети. Proxy и Nat решают вопрос работы с Интернет в условиях использование частных сетей. Для IPv4 давно уже бы кончились адреса, если бы ни частные сети.Мой совет, найдите списки свободных PROXY и закройте их на сервере.
Остально похоже на борьбу с дверными замками - за дверью ведь может быть кто-то не хороший. Реально же большинству это позволяет спать спокойно.
>Мой совет, найдите списки свободных PROXY и закройте их на сервере.
А если достающий меня прокси -- это прокси крупнейшего провайдера, который на жалобы малых и средних поставщиков контента плевать хотел?У меня альтернатива -- блокировать провайдера и кучу добропорядочных пользователей или оставлять безнаказанными сидящих за прокси негодников?
>А если достающий меня прокси -- это прокси крупнейшего провайдера, который на
>жалобы малых и средних поставщиков контента плевать хотел?
>
>У меня альтернатива -- блокировать провайдера и кучу добропорядочных пользователей или оставлять
>безнаказанными сидящих за прокси негодников?Если негодники имеют статический IP: HTTP Proxy должен честно выставлять переменную с адресом клиента, что-то вроде Proxied-For или нечто подобное, эту переменную можно проанализировать в любом CGI. На сетевом оборудовании такое не заблокируешь, хотя если денег много, то фильтрация по контенту вполне возможна.
Если адреса получают динамически, то тут уже ничего не поможет, без разницы с proxy или без. Адреса в запросе будут видны, но сменяться при перезаходе на можемный пул.
Если Proxy работает на уровне TCP ( socks ), то тут никаких данных не выжмешь.
Если ребята нарушили закон, то вероятность их найти весьма высокая. Все-таки это отечественный proxy. Но это к Органам.
>не знаю кому как, а мне как владельцу сайта фаерволы и прокси
>очень даже мешают -- невозможно блокировать пользователей по IP -- приходится
>по провайдерам баннировать или оставлять безнаказанными.Вам мешают, по кр. мере, 2-е вещи: 1 -- отсутствие знаний, и 2 -- то, что вы этого не понимаете.
/poige
--
http://www.morning.ru/~poige/
пусто запрещают. зарплаты админов будут выше, рабочих мест многократно больше :)