Auteur Sujet: L’IPv6 pas avant 2015 chez Orange ? (Lu 39314 fois)

butler_fr · « **Réponse #24 le:** 12 mars 2013 à 23:52:36 »

Waouh en forme corrector^^

Citation de: corrector

Sauf que ton NAT IPv6, il va falloir commencer par l'implèmenter.

c'est bien possible je ne connais pas ce qui est possible en ipv6

Citation de: corrector

Tu parles d'ouverture TCP passive sur la box, là?

Donc de Destination NAT?

Tu m'expliques comment tu traduis les adresses IPv6 distantes en IPv4.

Ou alors tu veux parler de PROXY?

je parle d'un truc qui jouerais exactement le même rôle qu'un patv4 actuel
dans l'idéal ça aurait été avec un transfert ipv6 pour le wan ipv4 pour le lan (pour le coté pratique d'une ipv4 pas trop complexe à utiliser) mais vus que ça n'a pas l'air possible un truc avec une ipv6 pour le wan et des ipv6 locale (ça éxiste ça???) pour le lan

Citation de: corrector

Mais en pratique certains se sont appuyés là dessus!

Et c'est très malsain parce que la plupart des gens ne comprennent pas les mécanismes en place dans leur box, comme notre ignorant de référence (désolé butler_fr) :Ignorance bien commune, puisque l'administrateur des pages perso de Free ne pensait pas non plus que ça puisse marcher!

étant donné que je n'ai pas la prétention de tout connaitre et n'ayant quasiment pas eu de formation dans le domaine ça ne me dérange pas d'être un ignorant!, j'apprend tous les jours sur ce forum (c'est assez génial d'ailleurs!, une vrai mine de connaissances)

Citation de: corrector

Pour moi on ne peut pas fonder la sécurité informatique sur les systèmes dont on méconnaît la sémantique. Au contraire, selon moi la sécurité informatique vient de la maîtrise par la connaissance profonde des comportements des sous-système.

oui c'est plutôt logique sauf que qui connait comment réagi chaque petit bout des sous systèmes?
il y a toujours quelques chose que tu croyais connaitre qui possède une petite surprise, et ne réagi pas comme tu l'attendais

Citation de: corrector le 12 mars 2013 à 22:04:30

Je suis désolé, mais tu illustres le fait que ces conneries parasites ne font que faire empirer la sécurité informatique :
- un PC n'a pas à ouvrir de services extérieurs qui ne sont pas voulu; c'est juste du bon sens.
- un pare-feu peut à la rigueur avoir un rôle défensif, pour avoir une deuxième barrière dans une défense en profondeur. C'est ce qu'on entend TOUJOURS (et ça me gonfle) dès qu'il est question d'un mécanisme de sécurité passablement inutile : "blabla profondeur blabla". Sauf que l'existence d'une deuxième barrière suppose qu'on en ait déjà mis en place une première (dont on admet qu'elle pourrait être défaillante, buguée, mal configurée, etc.). Donc il faut avant tout se demander si la première barrière a été mise en place, si elle l'a été correctement. L'accumulation de murs en carton-pâte ne remplace pas un mur solide.
- sachant qu'il y a plus loin une deuxième barrière, les gens négligent la première. Le sentiment de protection est DANGEREUX.
Si il faut désactiver le pare-feu, c'est qu'il interfère avec l'usage VOULU du PC. C'est donc une nuisance. Il rend le PC MOINS FONCTIONNEL. Au lieu d'empêcher les dysfonctionnement, il cause un dysfonctionnement.

Si il faut que Mme Michu désactive le pare-feu, c'est parce qu'elle ne sait pas faire sans désactiver le pare-feu, parce qu'elle n'y comprend rien. Pourtant c'est tellement simple!
C'est beau, non? Et encore, je montre le pare-feu avancé de Windows Vista. Le pare-feu pas avancé est tout simplement inutilisable.

je suis d'accord avec toi sur le système, mais franchement tu lui fais assez confiance à windows pour le laisser sans parfeu sur un réseau publique?
pas moi!

linux je lui ferais assez confiance après avoir bien pris le temps de blindé tous les services (cloisonnement des droits utilisateurs, droits sur les fichiers, fail2ban pour le brute force ....)

le parfeu de windows est une plaie à configurer il bloque des trucs sans te le demander, en autorise d'autre idem
il n'est pas intuitif au possible, et surtout ne possède que 2 modes radicalement différents expert et basique:
expert tu as tout jusqu'à la plus petite option utilisée par seulement 2 gus
et basique tu n'a rien (ON/OFF youpi!)

un bon parfeu peu te protèger contre certaines attaques basiques nottament le "man in the middle", certains arrivent à détecter l'usurpation et bloque l'attaque. (attaque totalement transparente en http, https c'est une autre histoire).

Citation de: corrector

geek
C'est à dire?

Ceux qui font du P2P?
Ceux qui comprennent les mécanismes en jeu dans chaque couche réseau?

par geek je défini les utilisateurs qui ont une utilisation poussée d'internet, avec usage de nas, serveurs web
la Mme michu qui utilise Icloud/skydrive pour ses fichiers elle s'en fout d'avoir son PC exposé directement sur internet (je pense qu'elle préfèrerai le contraire si elle savais).

Citer

L'intérêt est évident : tous les protocoles P2P marchent directement.

je ne sais pas de quels protocoles P2P tu veux parler mais pour moi je n'ai jamais eu besoin de rediriger un ports vers mon PC perso (torrent &cie marchent directs)
et je préfère de loin me heurter à un problème devoir réfléchir pour comprendre pourquoi ça ne marche pas et agir en conséquence, que ça marche du premier coup ne pas comprendre pourquoi et être avoir une faille béante de sécurité.
pour moi un principe de base de la sécu:
tout ce qui n'est pas explicitement décris comme autorisé doit être bloqué.

Citer

Tu crois vraiment que Mme Michu ne fait que du DNS, HTTP, IMAP, SMTP?

en grande partie oui.
je pense que tu peux rajouter P2P, et jeux en réseaux et tu as fais le tour de la plupart des usages d'internet pour une grande majorité de personnes

Citer

Ah oui, vive l'informatique facile.

Et pour un protocole avec connexion de donnée séparée (comme FTP, RTSP...)? Tu t'amuses avec les plages de ports?

Et pour le P2P qui est totalement dynamique?
Déjà commence par définir "sécuriser un accès internet"!

Si tu trouves, la HADOPI sera bien avancée.

FTP si tu utilisesun serveur en mode passif tu n'a pas à toucher à quoi que ce soit (c'est un peu le but du mode d'ailleurs)
encore une fois pour moi le P2P ça marche directement derrière un PAT

sécuriser complètement n'est pas ce que je voulais dire: ça apporte une sécurité supplèmentaire, qui est invisible pour une bonne partie des utlisateurs

corrector · « **Réponse #25 le:** 13 mars 2013 à 00:35:33 »

Citation de: butler_fr le 12 mars 2013 à 23:52:36

étant donné que je n'ai pas la prétention de tout connaitre et n'ayant quasiment pas eu de formation dans le domaine ça ne me dérange pas d'être un ignorant!, j'apprend tous les jours sur ce forum (c'est assez génial d'ailleurs!, une vrai mine de connaissances)

Il ne s'agit pas d'avoir une connaissance encyclopédique parfaite, il s'agit de ne pas faire d'erreur qui porte à conséquence. Aujourd'hui plus personne ne connait un système complexe au niveau de chaque couche d'abstraction, chaque sous-système : certains travaillent certaines couches, ils ont une vague idée des autres, mais pas une idée précise du moindre composant. C'est vrai quand un PC comme dans un avion moderne. (Peut-être plus dans un PC.)

Tu avais une intuition qui te disait qu'envoyer une suite de nombre sur une socket TCP allait faire apparaître la même données sur le serveur (c'est évidemment l'intuition la plus commune), mais ce n'est vrai que presque tout le temps. Et avec des choses presque tout le temps valable beaucoup de contrôles d'accès ont été contournées. Je ne dis pas qu'il y a là une faille de sécurité, je dis qu'une faille de compréhension peut finir en faille de sécurité.

Citation de: butler_fr le 12 mars 2013 à 23:52:36

oui c'est plutôt logique sauf que qui connait comment réagi chaque petit bout des sous systèmes?
il y a toujours quelques chose que tu croyais connaitre qui possède une petite surprise, et ne réagi pas comme tu l'attendais

Donc pour éviter les surprises je préfère éviter d'introduire des composants complexes dont le comportement est difficile à définir, comme le NAT.

Citation de: butler_fr le 12 mars 2013 à 23:52:36

je suis d'accord avec toi sur le système, mais franchement tu lui fais assez confiance à windows pour le laisser sans parfeu sur un réseau publique?

Au contraire, comme j'ai indiqué le pare-feu intégré de Vista n'est même pas une deuxième ligne de défense : c'est l'outil de désactivation de certaines fonctions :
- si j'essaie de désactiver le pare-feu, cela réactive la fonction partage de fichier (cela ne veut pas dire que des fichiers en particulier sont accessibles automatiquement, mais la fonction est potentiellement utilisable, et potentiellement vulnérable)
- si j'essaie de désactiver le partage, Windows me dit que ça réactive le pare-feu

Donc je n'ai pas le choix si je ne veux pas activer le partage (il doit y avoir d'autres moyens de désactiver le partage en arrêtant des services, mais c'est moins évident et je ne veux pas m'y risquer).

Citation de: butler_fr le 12 mars 2013 à 23:52:36

le parfeu de windows est une plaie à configurer il bloque des trucs sans te le demander, en autorise d'autre idem

Et puis il a cette notion de réseau privé/public, qui peut sembler intuitive au premier abord, mais qui est en fait horrible puisqu'il :
- faut dupliquer absolument toutes les règles (il n'y a pas d'héritage de règles - en tout cas je ne sais pas comment en faire)
- à cause de ses automatismes qui-facilitent-la-vie bidons, il bascule parfois de public à privé

Citation de: butler_fr le 12 mars 2013 à 23:52:36

il n'est pas intuitif au possible, et surtout ne possède que 2 modes radicalement différents expert et basique:
expert tu as tout jusqu'à la plus petite option utilisée par seulement 2 gus
et basique tu n'a rien (ON/OFF youpi!)

Même en "mode basic" sous Vista tu as une UAC qui te demande une autorisation de réseau pour telle application. (Et entre parenthèses je ne vois pas ce qui empêche un virus quelconque de s'implanter dans un processus autorisé pour faire du réseau.)

Citation de: butler_fr le 12 mars 2013 à 23:52:36

je ne sais pas de quels protocoles P2P tu veux parler mais pour moi je n'ai jamais eu besoin de rediriger un ports vers mon PC perso (torrent &cie marchent directs)

Tu veux dire qu'ils marchent complètement avec toutes les fonctionnalités attendues (pas de "low ID" ou équivalent) et cela sans utiliser UPnP IGD ou équivalent?
Skype y arrive par des contorsions épouvantables.
D'autres y arrivent en utilisant uniquement UDP.
D'autres en TCP en faisant des hypothèses sur TCP qui ne sont pas valables pour toutes les NAT-box.
Etc.

De toute façon, tu ne peux pas défendre un mécanisme en disant : ben de toute façon les programmes dont j'ai besoin arrivent bien à le CONTOURNER. C'est comme de dire : j'ai une porte solide, mais si je perds ma clé c'est pas grave : un coup d'épaule et hop je rentre.

Citation de: butler_fr le 12 mars 2013 à 23:52:36

et je préfère de loin me heurter à un problème devoir réfléchir pour comprendre pourquoi ça ne marche pas et agir en conséquence, que ça marche du premier coup ne pas comprendre pourquoi et être avoir une faille béante de sécurité.

Oui si tu peux réfléchir et agir, donc si tu as une information utilisable sur le blocage.

Moi je fais comme Mme Michu : si ça marche pas, je désactive le pare-feu Windows!

Citation de: butler_fr le 12 mars 2013 à 23:52:36

pour moi un principe de base de la sécu:
tout ce qui n'est pas explicitement décris comme autorisé doit être bloqué.

Mouais, avec ça on est bien avancé. Comment tu décris ce qui est autorisé en terme de paquets IP?

Citation de: butler_fr le 12 mars 2013 à 23:52:36

un bon parfeu peu te protèger contre certaines attaques basiques nottament le "man in the middle", certains arrivent à détecter l'usurpation et bloque l'attaque. (attaque totalement transparente en http, https c'est une autre histoire).

Comment ça marche?

kgersen · « **Réponse #26 le:** 13 mars 2013 à 00:42:38 »

Corrector, je connais pas ton niveau de connaissance mais vu tes posts et la facon dont tu "quotes" par courtes phrases, soit tu troll a dessein, soit tu cherches je sais pas quoi.

c'est assez pénible a lire et encore plus de répondre point par point. on est pas en discussion vocale, on essai juste d'avoir un débat plus ou moins constructif dans un forum écrit.
mon conseil: essais peut-être d'expliquer ton point de vue sur la question si t'en a un. c'est plus facile a échanger que ces rafales de remarques/questions.

cela dit:

oui un filtre de paquet qui ne comprend pas tous les protocoles est plus utile que rien
oui l'analogie avec le couloir est très utile pour faire comprendre la chose a des gens moins impliqués dans le domaine, on appelle ça pédagogie. je ne vois pas en quoi elle est ridicule.
une faille crédible en IPv6? j'ai déjà donné un exemple avec les tablettes dans un post précédent de ce fil.
niveau de sécurité du PAT : même chose qu'un stateful firewall en config de base. plus de details.
demande explicite = un poste qui demande une page web sur un serveur distant par exemple ou un appli qui demande l'ouverture d'un port (p2p, ftp, etc).

corrector · « **Réponse #27 le:** 13 mars 2013 à 00:49:39 »

Citation de: kgersen le 13 mars 2013 à 00:42:38

Corrector, je connais pas ton niveau de connaissance mais vu tes posts et la facon dont tu "quotes" par courtes phrases, soit tu troll a dessein, soit tu cherches je sais pas quoi.

Citation de: kgersen le 13 mars 2013 à 00:42:38

c'est assez pénible a lire et encore plus de répondre point par point.

Répondre point par point c'est pénible? Répondre des généralités c'est plus facile alors?

Citation de: kgersen le 13 mars 2013 à 00:42:38

mon conseil: essais peut-être d'expliquer ton point de vue sur la question si t'en a un. c'est plus facile a échanger que ces rafales de remarques/questions.

Je viens de le faire. Je le fais depuis les années.

Mais j'ai l'habitude de parler dans le vide. Il m'est arrivé de marteler UNE idée de forte pendant plus d'une heure et que la personne en face de moi après m'avoir écouté "poliment" (enfin sans rien dire), recommence son discours comme si je n'avais RIEN dit du tout.

Citation de: kgersen le 13 mars 2013 à 00:42:38

oui un filtre de paquet qui ne comprend pas tous les protocoles est plus utile que rien

Utile dans quelle mesure?

Citation de: kgersen le 13 mars 2013 à 00:42:38

oui l'analogie avec le couloir est très utile pour faire comprendre la chose a des gens moins impliqués dans le domaine, on appelle ça pédagogie.

Non pas du tout. Moi j'appelle ça raconter n'importe quoi.

Cette analogie n'éclaire rien.

Citation de: kgersen le 13 mars 2013 à 00:42:38

je ne vois pas en quoi elle est ridicule.

Parce que parler de portes plus ou moins solides c'est pertinent?

Citation de: kgersen le 13 mars 2013 à 00:42:38

une faille crédible en IPv6? j'ai déjà donné un exemple avec les tablettes dans un post précédent de ce fil.

Non, tu n'as donné AUCUN exemple précis.

Tu t'en tiens à des généralités, et ça ne me suffit pas. Moi je veux du concret, des choses précises, et des réponses point par point.

Citation de: kgersen le 13 mars 2013 à 00:42:38

niveau de sécurité du PAT : même chose qu'un stateful firewall en config de base. plus de details.

Je donne des arguments précis, tu me dis d'observer l'univers.

Il faut que tu définisses "stateful firewall"!

kgersen · « **Réponse #28 le:** 13 mars 2013 à 01:26:04 »

je pensais que tu connaissais le domaine et trollais a dessein. autant pour moi.

donc je m'explique sur stateful firewall:

stateful firewall = tout trafic sortant est autorisé. tout trafic entrant est interdit sauf s'il correspond au retour d'une requête suite a un trafic sortant (donc ca travail au niveau TCP/UDP , un cran plus haut qu'IP). En gros le firewall maintient pour chaque postes sur le LAN la liste des connections que ce poste a ouvert sur l’extérieur et autorise le trafic de retour correspondant a ces connections et que ca. c'est la même chose qui se passe en PAT sauf qu'au passage l’adresse IP est changée et les ports aussi. d'ailleurs souvent un firewall sait faire le PAT aussi. Le niveau de sécurité est le même. voir même un plus fort pour le PAT a cause du changement des d’adresses et ports.

donc en IPv6 il suffirait d'un simple stateful firewall dans la box pour retrouver le même niveau de sécurité qu'un PAT. Ce n'est pas le cas aujourd'hui et je trouve ça dommage. c'est juste mon avis.

butler_fr · « **Réponse #29 le:** 13 mars 2013 à 01:26:40 »

Je te trouve un poil utopiste corrector (je sens que je vais me le reprendre à vitesse grand V ça) sur ton analyse sur ce point précis:
OUI il serait vraiment pas mal de ne pas avoir de Nat/PAT ou autres système entre la machine et internet.
mais un truc important qu'il ne faut pas oublier, c'est que la plupart des utilisateurs font tout et n'importe quoi par ignorance, et que les systèmes sont faillibles.
donc pour moi il serait inconscient de mettre tous les pc de tout le monde en open bar sur internet. il faut un minimum les planquer firewall ou PAT ou autre système du genre.

Pour le P2P, tu me fout un doute, faut que je regarde (installé lancé ça a marché j'ai pas été chercher plus loin).

pour les règles de blocages je parlais des ports/protocoles/destination/sources.
tu autorise par exemple le traffic web sur le port 80 vers toutes les destinations depuis toutes les sources (ou pas d'ailleurs)
tu autorise le traffic ssh sur le port 22 vers 1 poste depuis 2 sources (le pc de l'admin système + son collègue par exemple)
bref je supose que je ne t'apprend rien avec ça.

pour le parfeu qui protège des attaques man in the middle, il y a une vérifications du nombre de paquets ARP et de leur provenance. un attaquant va spammer le réseau pour se faire passer pour la passerelle, en donnant à tous le monde son adresse mac pour l'ip de la passerelle avec des paquets arp en permanence.

bon moi je suis entrain de m'endormir devant mon pc donc je vais aller me coucher(si il y a des formulations bizarres c'est que j'étais trop crevé^^)

ps: je trouve l'analogie du couloir avec les portes plutôt pertinente

edit: je vote pour le firewall statefull en lieu et place de mon PATv6 bizarroïde ^^

corrector · « **Réponse #30 le:** 13 mars 2013 à 02:01:09 »

Citation de: butler_fr le 13 mars 2013 à 01:26:40

Je te trouve un poil utopiste corrector (je sens que je vais me le reprendre à vitesse grand V ça)

Exact, il n'y a aucune utopie ici. Je crois que tu confonds plusieurs choses.

Dire "il serait idéal que les programmes n'aient pas de bugs" est de l'ordre de la préférence, du souhait, pas de l'utopie.

Si par contre je dis "considérons un monde où aucun programme n'a le moindre bug, alors on pourrait faire ça et ça", là c'est clairement la description d'une utopie, et en plus ça ne donne pas le début d'une piste pour trouver un moyen de s'en rapprocher.

Si je dis "considérons un monde où les gens passent à IPv6 et n'accordent pas de vertu magique au NAT", alors c'est peut être utopique mais on peut s'en approcher en demandant aux gens ce qu'ils attendent vraiment du NAT et en démontrant que les alternatives sont strictement meilleures.

Je ne retiens pas mon souffle en attendant que les programmes aient moins de bugs, ou que les gens comprennent qu'en IPv6 c'est mieux.

Citation de: butler_fr le 13 mars 2013 à 01:26:40

OUI il serait vraiment pas mal de ne pas avoir de Nat/PAT ou autres système entre la machine et internet.
mais

Il faudrait savoir. Ce serait mieux ou ce ne serait pas mieux?

Citation de: butler_fr le 13 mars 2013 à 01:26:40

un truc important qu'il ne faut pas oublier, c'est que la plupart des utilisateurs font tout et n'importe quoi par ignorance, et que les systèmes sont faillibles.

Sauf qu'en fait je ne vois pas ce que ça apporte de ne pas l'oublier. Une fois qu'on a dit que certains utilisateurs :
- ne liront pas les messages affichés
- ne tiendront pas compte des explications données oralement (avec parfois des répliques hallucinantes : une personne à qui je recommandais, avant de penser à installer un antivirus, de faire preuve d'une prudence élèmentaire avant de télécharger des exécutables, ce que les éditeurs d'antivirus conseillent aussi, cette personne m'a répondu que c'était bien un discours COMMERCIAL de vendeurs d'antivirus - oui, vous avez bien lu, une personne m'a soutenu droit dans les yeux qu'un discours soutenant que le facteur primordial de la sécurité informatique était la prudence et non le fait d'avoir un anti-virus était un discours pour vendre des anti-virus).
- cliqueront sur n'importe quel bouton, même s'il y a marqué "DANGER - voulez-vous continuer?"

QU'EST-CE QU'ON FAIT DE CELA?

On bride les ordinateurs pour qu'ils ne puissent pas faire de bêtise?

C'est en cours malheureusement :
- sous le logiciel libre (mais opposé à l'exercice de cette liberté par les utilisateur) Firefox : le fait de naviguer sur un site HTTPS présentant un certificat invérifiable a été rendu extrêmement pénible, AU NOM des utilisateurs crétins dont tu parles; et tu sais quoi? et bien une utilisatrice a passé cette interface pénible pour

La RÉFUTATION de la pertinence de cette approche de nuisance à l'utilisateur par cette utilisatrice a été utilisée comme argument pour montre la PERTINENCE de cette approche!!!

Comme dans d'autres domaines politiques, un ÉCHEC est montré comme preuve qu'on avait RAISON : puisque cela n'a servit à rien, c'est bien qu'il faut aller encore plus loin dans la débilité!

On constate que la folie a atteint Mozilla - cet observation n'a en fait pas échappé à grand monde.

- sous un autre logiciel libre mais privateur de liberté, Android : le fait de définir globalement un proxy HTTP a été INTERDIT. Il faut maintenant définir un proxy pour chaque connexion Wifi!

Cette politique délirante de Google est censée protéger contre les interceptions, ou bien contre les bloqueurs de pub. Si il s'agit bien de protéger l'utilisateur contre lui-même, cela signifie que le système MAC inventé par Google de contrôle d'accès fin par application avec des permissions qui sont présentées à l'utilisateur NE MARCHE PAS parce que l'utilisateur ne peut pas lire et comprendre une liste de permissions.

Il y a des utilisateurs irresponsables, incompétents, et surtout les deux à fois.

EN QUOI UN PARE-FEU PEUT PROTÉGER UN UTILISATEUR INCOMPÉTENT CONTRE LUI-MÊME?

corrector · « **Réponse #31 le:** 13 mars 2013 à 02:17:57 »

Citation de: butler_fr le 13 mars 2013 à 01:26:40

mais un truc important qu'il ne faut pas oublier, c'est que la plupart des utilisateurs font tout et n'importe quoi par ignorance, et que les systèmes sont faillibles.
donc pour moi il serait inconscient de mettre tous les pc de tout le monde en open bar sur internet. il faut un minimum les planquer firewall ou PAT ou autre système du genre.

La faille qui consiste à ce qu'un PC qui n'est pas supposé activer en service réseau accessible depuis l'extérieur le fasse quand même me semble :
- énorme, au point que le risque est vraiment très faible
- grossière : si ce genre de chose arrive, c'est que le système est tellement obscur/incompréhensible/incontrôlable que je ne peux de toute façon pas lui faire confiance
- pas assez vraisemblable pour que je m'en inquiète sérieusement

Citation de: butler_fr le 13 mars 2013 à 01:26:40

pour les règles de blocages je parlais des ports/protocoles/destination/sources.
tu autorise par exemple le traffic web sur le port 80 vers toutes les destinations depuis toutes les sources (ou pas d'ailleurs)
tu autorise le traffic ssh sur le port 22 vers 1 poste depuis 2 sources (le pc de l'admin système + son collègue par exemple)

Pour ça je ne vais pas sortir un truc lourd et centralisé comme un pare-feu!

Si je veux faire cela, je configure le sshd (ou le tcpwrapper ou le xinetd qui lance le in.sshd) pour n'autoriser que certaines adresses.

Citation de: butler_fr le 13 mars 2013 à 01:26:40

ps: je trouve l'analogie du couloir avec les portes plutôt pertinente

Ben moi je la comprends pas du tout!

Ça représente quoi la solidité d'une porte dans cette analogie?

Et c'est quoi la serrure dans l'analogie? Et la clef? S'il y a des clefs, est-ce que c'est une analogie avec un crypto-système? Avec IPsec?

corrector · « **Réponse #32 le:** 13 mars 2013 à 02:34:29 »

Citation de: butler_fr le 12 mars 2013 à 23:52:36

Waouh en forme corrector^^
c'est bien possible je ne connais pas ce qui est possible en ipv6je parle d'un truc qui jouerais exactement le même rôle qu'un patv4 actuel

Tu veux dire que tu prendrais tout le code NAT de netfilter (celui qui sert dans nos NAT-box IPv4 comme la Freebox) et tu mettrais des paquets et des adresses IPv6 partout, pour avoir le même fonctionnement, mais en IPv6?

Oui, conceptuellement je ne vois rien qui t'en empêche. C'est un peu un boulot de dingue, mais pourquoi pas.

Avec ça tu pourrais masquer le nombre de machines derrière ta box : toutes les connexions auraient pour IP source l'adresse de la box, comme en IPv4. Tu gagnes ainsi un peu de "vie privée" (que tu perds immédiatement si tu utilises un navigateur Web avec les cookies).

Mais tu peux arriver au même résultat de "vie privée" avec un proxy applicatif, par exemple un proxy HTTP anonymisant.

Citation de: butler_fr le 12 mars 2013 à 23:52:36

dans l'idéal ça aurait été avec un transfert ipv6 pour le wan ipv4

Ce qui n'a rien à voir avec ce qui précède! Là j'ai l'impression d'une très grosse incompréhension sur ce qu'est le NAT.

Si tu adaptes les algorithmes du NAT IPv4 mutatis mutandis, tu as du NAT IPv6, et pas du NAT IPv6 vers IPv4!

IPv4 vs. IPv6 c'est un peu comme la route vs. le rail, ou des rails d'un écartement et d'un autre. C'est pas les mêmes véhicules (les paquets c'est les véhicules).

Mettons qu'un chaque wagon sur une voie est envoyé à l'adresse qui se trouve sur une affiche collée sur le wagon, et que certains wagon utilisent un codage dont la signification n'est pas universelle : le wagon est routable sur le réseau de chemin de fers privé d'une société, mais s'il venait à en sortir il serait perdu parce qu'on ne comprendrait plus où il faut l'envoyer.

Le fonctionnement d'une NAT-box c'est pas adapter entre deux écartements de rails différents. C'est juste de modifier les code de routage sur l'affichette sur le wagon. C'est bien plus rapide!

Il faut distinguer :

Le SNAT = Source NAT

Le fonctionnement habituelle d'une NAT-box, les "connexions" sortantes sont possibles.

Pour cela on traduit l'adresse source d'une "connexion" par l'adresse interne "privée" par l'adresse de la box. L'adresse destination ne change pas!

Le DNAT = Destination NAT

Les "connexions" entrantes sont rendues possibles, c'est la "redirection de port" (ce que les zozos appellent "ouvrir un port sur la box").

Pour cela on traduit l'adresse destination d'une "connexion" par l'adresse l'adresse de la box par interne "privée" pré-configurée. L'adresse source ne change pas!

(Quand je dis traduit c'est bien de traduction qu'on parle : si chaise se traduit chair en anglais, alors chair en anglais se traduit en français par ...)

(pour faire simple, pensez : "connexion" = une connexion TCP)

Citation de: butler_fr le 12 mars 2013 à 23:52:36

et des ipv6 locale (ça éxiste ça???) pour le lan

Oui, il existe des adresses lien-locales en IPv6, c'est même sur ces adresses spéciales que tout le système repose.

Mais enfin le NAT ne suppose pas l'existence d'adresses "locales" ou "pas locales". Le NAT repose uniquement sur le fait que toutes les adresses utilisées sont routables. Mais un NAT a deux coté, qu'on peut appeler "public"/"privé" ou bien "extérieur"/intérieur", et les adresses de routage IP des machines coté intérieur ne sortent jamais comme adresses de routage IP coté extérieur (c'est à dire qu'elles ne sortent jamais dans les en-têtes IP, mais si elles apparaissent dans la charge utile, alors évidemment elles peuvent sortir).

corrector · « **Réponse #33 le:** 13 mars 2013 à 03:04:12 »

Citation de: butler_fr le 12 mars 2013 à 23:52:36

FTP si tu utilisesun serveur en mode passif tu n'a pas à toucher à quoi que ce soit (c'est un peu le but du mode d'ailleurs)

Mouais, et si tu fais du P2P entre 3 PC reliés branchés sur le switch de la Freebox, ça marche aussi... mais c'est de la triche!

Le FTP est un exemple ancien, donc largement connu et standard. Ce n'est pas un bon exemple de protocole utile (pour faire quelque chose de sérieux on utilisera plutôt scp par exemple).

Quand on parle de FTP c'est parce que c'est un cas emblématique. L'intérêt n'est pas de dire "ça marche sous certaines conditions raisonnables" ni "FTP ça pue" (ces deux affirmations sont exactes) mais d'expliquer pourquoi ça marche ou pas en FTP.

L'intérêt de parler de FTP est de parler, pas de s'en servir. En l'occurrence c'est inutile de savoir qu'on peut faire du FTP en mode ceci cela parce qu'on je veux pas faire du FTP, je veux utiliser le protocole FTP pour illustrer une problématique générale.

L'accessibilité de clients et de serveurs FTP est une aide précieuse pour illustrer pratiquer cette histoire. Tout ce qui m'intéresse dans cette histoire c'est 4 commandes de FTP (PORT, PASV...).

Citation de: butler_fr le 12 mars 2013 à 23:52:36

FTP si tu utilisesun serveur en mode passif tu n'a pas à toucher à quoi que ce soit (c'est un peu le but du mode d'ailleurs)

Si tu as un serveur FTP derrière un NAT, ce n'est pas si simple; c'est justement le mode passif qui pose problème.

Compare un serveur FTP à un serveur HTTP ou SSH derrière un NAT.

Citation de: butler_fr le 12 mars 2013 à 23:52:36

sécuriser complètement n'est pas ce que je voulais dire: ça apporte une sécurité supplèmentaire, qui est invisible pour une bonne partie des utlisateurs

Pour que ça soit invisible il faut que cela n'interfère pas avec le fonctionnement normal des applications, y compris celles qui ne sont pas simplement sur le modèle client-serveur avec le client à l'intérieur d'un NAT et le serveur à l'extérieur.

corrector · « **Réponse #34 le:** 13 mars 2013 à 03:06:48 »

Citation de: kgersen le 13 mars 2013 à 01:26:04

donc je m'explique sur stateful firewall:

stateful firewall = tout trafic sortant est autorisé. tout trafic entrant est interdit sauf s'il correspond au retour d'une requête suite a un trafic sortant (donc ca travail au niveau TCP/UDP , un cran plus haut qu'IP). En gros le firewall maintient pour chaque postes sur le LAN la liste des connections que ce poste a ouvert sur l’extérieur et autorise le trafic de retour correspondant a ces connections et que ca. c'est la même chose qui se passe en PAT sauf qu'au passage l’adresse IP est changée et les ports aussi. d'ailleurs souvent un firewall sait faire le PAT aussi. Le niveau de sécurité est le même. voir même un plus fort pour le PAT a cause du changement des d’adresses et ports.

donc en IPv6 il suffirait d'un simple stateful firewall dans la box pour retrouver le même niveau de sécurité qu'un PAT. Ce n'est pas le cas aujourd'hui et je trouve ça dommage. c'est juste mon avis.

Et on se retrouve avec quelque chose de passablement complexe par rapport au simple routage.

Et concernant le client FTP en mode actif (commande PORT), il se passera quoi?

corrector · « **Réponse #35 le:** 13 mars 2013 à 03:23:36 »

Citation de: Snickerss le 12 mars 2013 à 13:59:42

A partir du moment ou on parle de Mme Michu on ne parle pas de redirection de port.

Merci securiteinfo.com

Le NAT modifie les paquets IP et cela a pour conséquence directe de casser tout contôle d'intégrité au niveau IP et même aux niveaux supérieurs puisque TCP par exemple inclue les adresses dans ses checksums. Concrètement, on se rend compte qu'un protocole de sécurisation des datagrammes comme IPSec est totalement incompatible avec le NAT, que ce soit en mode tunneling ou transport.

Un NAT évolué a tendance à remonter les couches pour étudier les protocoles de transport afin de rassembler assez d'informations pour chaque contexte. Tout chiffrement à ce niveau empêcherait donc le NAT de fonctionner, puisque les informations seraient alors cryptées.

Mme Michu n'a pas à comprendre cela, mais ce serait bien que pour ceux qui en parlent, le NAT soit autre chose qu'une redirection de port

De façon générale les dispositifs placés à la frontière du réseau interne (et qui scrutent le trafic à la recherche de choses "anormales") n'aiment pas trop le chiffrement.

Donc pour les rendre plus efficaces, on s'interdit la sécurité de bout en bout d'un transport chiffré garantissant l'intégrité et la confidentialité.