Osaisiko kukaan kertoa miksi Live Ubuntuni (10.04.4) ottaa heti netin auettua yhteyden Elisa Hostmasteriin osoitteeseen 193.184.164.139 porttiin 80? Näin siis suoraan cd-bootin jälkeen ilman mitään nettiohjelmia, vain verkkojohto kytkemällä. Ufw loggaa siitä seuraavan tapahtuman:
Nov 28 18:20:45 ubuntu kernel: [ 730.397114] [UFW BLOCK] IN= OUT=eth0 SRC=192.168.xxx.xxx DST=193.184.164.139 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=34044 DF PROTO=TCP SPT=46935 DPT=80 WINDOW=5840 RES=0x00 SYN URGP=0
Ennen tuota tapahtumaa Ubuntu käyttää sekä DNS että Multicast DNS protokollia, joten se ilmeisesti itse ensin hakee tuon Elisa Hostmasterin osoitteen. Mitä toimintoa Live Ubuntuni ylläpitää Elisan Hostmasterin kautta? Defaultisti siis?
Miten tuon yhteydenoton voi estää ilman UFWtä?
Nov 28 18:20:45 ubuntu kernel: [ 730.397114] [UFW BLOCK] IN= OUT=eth0 SRC=192.168.xxx.xxx DST=193.184.164.139 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=34044 DF PROTO=TCP SPT=46935 DPT=80 WINDOW=5840 RES=0x00 SYN URGP=0
Ennen tuota tapahtumaa Ubuntu käyttää sekä DNS että Multicast DNS protokollia, joten se ilmeisesti itse ensin hakee tuon Elisa Hostmasterin osoitteen. Mitä toimintoa Live Ubuntuni ylläpitää Elisan Hostmasterin kautta? Defaultisti siis?
Miten tuon yhteydenoton voi estää ilman UFWtä?
Vastaukset 29
Vanhimmat
Ubuntu muodostaa nettiyhteyden jo käynnistyksessä, varsinkin piuhalla olevan.
Mikä on operaattorisi?(tuota verkkojohdon kytkemistä ajattelin)
Operaattori on Elisa, mutta minusta se ei oikein riitä syyksi roikkua Elisan palvelimessa portissa TCP-80 (html). DNS-palvelin on eri juttu ja silloin yhteys on UDPtä.
Olen blokannut koko Elisa Hostmasterin UFWllä ja seurauksena oli Firefoxin juuttuminen odottamaan vastauksia useista sekundääriosoitteista kuten esim www.google-analytics.com. Jotta sain sivut latautumaan ilman piitkiä viiveitä jouduin ottamaan käyttöön Adblock-lisäosan ja nyt Firefox pelittää kohtalaisesti, mutta ei vieläkään hyvin.
Vielä siis kysyn, jotta miksi Ubuntuni roikkuu väkisin Elisa Hostmasterissa portissa 80?
Mikä osoite on aloitussivuna Firefoxissa? portti 80 on yleensä http portti.
"about:startpage" on Firefoxin aloitussivu, mutta Firefox ei ole käynnissä kun kernel jo ottaa yhteyden Elisa Hostmasteriin.
Firefoxissa ei ole vikaa. Ubuntu muodostaa yhteyden, koska näin on tarkoituskin kiinteillä yhteyksillä. Klikkaa yläpaneelin verkkokuvakkeesta ja muokkaat kiinteää yhteyttä ja poista rastit kohdista yhdistä automaattisesti ja saatavilla kaikille käyttäjille, jotenkin noin menee...
Olen blokannut ufw:llä koko Elisa Hostmasterin pois eli Ubuntuni ei saa siihen mitään yhteyttä. Niinpä ko yhteyttä ei tarvita nettiin pääsemiseksi. Mihin tarkoitukseen Ubuntu sitä sitten tarvitsee jo ennen Firefoxin käynnistymistä (kernelin päätöksellä)? Ja millä tavalla kernel osaa päätellä että se haluaa ottaa yhteyden nimenomaan Elisa Hostmasteriin? Kyseessähän on Live Ubuntu joka ajetaan suoraan cd-levyltä.
Verkkokortin välityksellä Linux tarkistaa yhteyden.
oletuksena ubuntu hakee kellonajan ntp-palvelimelta. sauli ja pauli sitten vastaa välittämäänsä liikenteeseen ihan mitä haluaa.
mutta miksiköhän?
Totta, ntp-haku näyttää tapahtuvan kernelin toimesta ilman Firefoxia, mutta se kohdistuu osoitteisiin 91.189.89.199 ja 91.189.94.4 (portti 123). Ne näyttävät olevan Ubuntun omia palvelimia Lontoon alueella.
"unity-lens-shopping "
Ei 10.04:ä sellaista ole.
OK. En puutu enää tähän aiheeseen.
Älä puutu mihinkään aiheeseen.
1. kommenttisi on näköjään sensuroitu samoin kuin minun vastaukseni siihen, mutta muistaakseni puhuit ZenMapista ja AkamaiGHostista? Olit oikeassa. Löysin ja asensin ZenMapin ja sehän antoi AkamaiGHostin ko koneen palvelun nimeksi porteissa 80 ja 443. (AkamaiGHost (Akamai's HTTP Acceleration/Mirror service)
Nyt kun vielä selviäisi miksi Ubuntuni kernel ottaa yhteyden tuohon Elisa Hostmasterin Akamai-palveluun vaikka se ei ole ehtona nettiyhteydelle.
Kernelini lakkasi yllättäen yrittämästä osoitteeseen 193.184.164.139. Nyt se yrittää osoitteeseen 193.184.164.228 portti 80 samalla tavalla kernelin päätöksellä ilman Firefoxia. Myös tämä osoite kuuluu näköjään Elisa Hostmasteriin ja portin takana odottaa AkamaiGHost.
Myöskään Flash Player Offline-lataukset http://www.adobe.com/products/flashplayer/distribution3.html eivät onnistu jos blokkaa Akamain IP-numerot.
Ja uskomatonta, myös F-Secure on Akamain alla
http://keskustelu.suomi24.fi/node/12062677
..meni usko NSA:ta vastaan pelaavaan F-Secureen.
Blokkaa Akamai blokkaa open source
http://keskustelu.suomi24.fi/node/11953616
Miksi Akamai on haalinut kaikki tärkeimmät open source sivustot ja tiedostonlautaussivut taakseen mm. Firefox, sourceforge.net sekä Javan ym. ym.
On tärkeää seurata open source -liikennettä ja tarvittaessa lähettää muokattuja paketteja varsinkin onnline-asennuksissa.
Sinänsä mitä paluuviestin sisältö näyttää ?
http://www.blacksheepnetworks.com/security/resources/pentest/2043.html
Millähän ohjelmalla tuon sisällön pääsee katsomaan?
tcpdump
wireshark (gui)
http://openmaniak.com/tcpdump.php
Löysin ja asensin molemmat. Tcpdumpin terminaalitulosteet meni yli hilseen, mutta Wireshark näyttää hienolta ohjelmalta. Helppejä on ja selväkielistä raportointiakin. Sitä täytyy nyt tulevina viikkoina opetella ymmärtämään jos vaikka tämä kernelin oudon roikkumishalun mekanismi selviäisi. Nyt live-kernelini käyttäytyy kuin troijalainen vaikka se (10.04.4) on poltettu cdlle mitään muuttamatta. Olisiko tuo kaikkeen pystyvä NSA puukottanut cdtäni? :) Olisiko mahdollista muuttaa jo poltetun ja suljetun CD-R:n sisältöä "polttamalla päälle"? ??
Ei ole mahdollista.
Mutta tuohan riippuu vain romputtimesta. Jos nyt oikein olen ymmärtänyt, niin romputin lopettaa cdn lukemisen luettuaan jonkinlaisen loppumerkin jonka täytyy olla esim piitkä jono ykkösiä. Valmistamalla romputin, joka ohittaa tuon lopetusmerkin, voidaan suljetulle cdlle lisätä polttamalla mitä tahansa dataa, jota voi tietysti lukea vain tuolla puukotetulla romputtimella. Tavallisella romputtimella, joka tottelee lopetusmerkkiä, ei voi lukea tuota lisättyä dataa cdltä. Luulisin, että tätä mahdollisuutta on jo aikaa sitten hyödynnetty esim vakoilumaailmassa. :)
Tee samanlainen CD ja vertaa eroja.
Hm. Siihen tarvitaan ohjelma ja romputin, jotka osaavat lukea myös lopetusmerkin jälkeen. Jos koneessani jo on sellainen romputin, niin se eron paljastava ohjelma tarvitaan kumminkin. Jos kuitenkin tarkoitit erojen tutkimista tehokkaalla vertailumikroskoopilla suoraan cdn pinnasta, niin sellaista minulla ei valitettavasti ole.
Jos muuten ulkoministeriön verkkovastaavat olisivat ennakoineet asioita tähän tapaan, niin heillä ei pipo nyt kiristäisi. :)
Meinasin esim. aluksi md5sum tarkistusta ja muuta vastaavaa. Summien pitää täsmätä, muuten on erit. Jos on eroa niin Ubuntulla voit verrata tiedostojen eroavaisuuksia. En muista ohjelman nimeä, mutta se kyllä löytyy sovellusvalikoimasta tietyillä hakusanoilla. Unohda nyt aluksi romputtimet sun muut...
Ahaa, tarkoitit että normaalin cdn normaali sisältö olisi ylipoltettu (ennen lopetusmerkkiä). Teoriassa niin voi tehdä, koska biitiykköstä vastaa muutos polttamaton>poltettu tai poltettu>polttamaton. Cd-levyn uran polttamattomiin kohtiin voi siis lisätä bittiykköspareja uudestaanpolttamalla erikoispolttimella. Tuntuvan lisäongelman aiheuttavat kuitenkin cdlle poltetut tarkistussummat, joiden täytyy vastata datalohkojen sisältöä vaikka noita tarkistussummiakin voi tietysti ylipolttaa. Vielä ongelmaksi tulee koko cdn (md5sum, sha1, sha256 jne) tarkistussumma, joka usein on julkaistu netissä eikä saisi muuttua ylipoltossa.
Noista kaikista johtuen vain hyvin pieniä työläitä muutoksia voidaan tehdä cdn normaaliin sisältöön ilman että se näkyisi cdn (puukottamattomissa) virheentarkistuksissa. Lisäksi riippuu kustakin tapauksesta mitä yksityiskohtaisia muutoksia cdlle voi poltella. Sen selvittäminen vaatii ohjelmiston, joka analysoi koko cdn sisältöä bittitasolla niin, että tarkistukset menevät läpi puukotuksen jälkeenkin.
Niinpä voinee olettaa, että paras tapa puukottaa cdtä on polttaa siihen jatkoa lopetusmerkin jälkeen ja vaihtaa kohteen cd-asema puukotettuun versioon, jonka firmware osaa lukea lopetusmerkin jälkeistä dataa ja korvata sillä osan cdn normaalista datasta.
Mielipiteeni tietysti maallikon ominaisuudessa. :)
En vaan että tarkastaisit imagen summan ja poltetun imagen summan kahdella eri kerralla. Jos poltat windowsilla, voi olla että summat ei täsmää, vaan haittaohjelma on niitä turmellut. Käske jonki kaverisi jolla on Ubuntu, niin polttaa sulle puhdas levy ja vertaa sitä polttamaasi.
Saako 10.04 päivityksiä. Eikö toi nyt ole aika vanha versio, eikä siis tuettu. Ei silti, itselläkin on 11.10 ja näyttää toimivan ihan hyvin. Senkin voisi päivittää uudempaan pitkän tuen versioon, mutta kone ilmoittaa, että koneen oma bios pitää päivittää. Ja pitäis olla uus akku, kun kuulemma sitä tarvitaan IBM:n bioksen päivitykseen. En tiedä miten se tehdään se bioksen päivitys, mutta akkua en ainakaan osta vanhaan romuun.
onhan ubuntu 10.04 palvelimen osalta tuettu 2015/04 saakka, joten kyllä siihen varmasti tietoturvapäivitykset tulee työpöytäkäyttäjällekin..
mutta tosiaan, ois niitä uudempiakin. eikä ole hirveä kustannuskysymyskään varmaan :D
Kyllä 10.04.4DTlle toimii synapticin päivityspalvelu vielä. Käytän tätä versiota, koska koneeni ei toimi uudempien kanssa.
Tietääkö kukaan linux-ohjelmaa, jolla voisi tutkia verkkopakettien sisältöä vähän administraattorin tapaan? Haluaisin tietää millä tavalla live-kernelini päättelee, että sen täytyy ottaa yhteys Elisa Hostmasterin html-porttiin ilman Firefoxin apua. Sitä opastusta ei kaiken järjen mukaan pitäisi olla sillä live-cdllä, jolta ajan ubuntuani. Cdn tarkistus sanoo sen olevan kunnossa.