LucaTheHacker Buonsalve, il thread è stato aperto proprio per sentire altri pareri.
Ma anche questa volta tu sarai il King Supremo del forum perché hai più messaggi e quindi di conseguenza tu sei più meglio assai, oppure noi comuni mortali al tuo cospetto possiamo dire la nostra?
VLANTony Se invece di fare il compito della sabbia nelle scarpe, postando cagate senza senso, tirassi fuori la tua opinione saremmo tutti (credo) più contenti.
Il thread è stato creato apposta per discuterne, ed anzi, sarei contento di essere contraddetto, visto che tanto l'upgrade ad IPv6 è inevitabile.
P.S. il discorso di messaggi si applica quando qualcuno che non scrive mai esce fuori solo per scassare, se quel qualcuno vuole contribuire con un minimo di logica, ben venga no?
LucaTheHacker Telegram se fai troppi login con lo stesso IP ti blocca, con IPv6, anche solo cambiando da 0002 a 0003 bypassi il limite.
Stessa cosa fa CF per l'identificazione di alcune cose tramite l'attività del singolo IP.
Non puoi farlo anche in IPv4 con un banalissimo IP pubblico dinamico? ( che ha tipo la quasi totalità degli utenti? )
LucaTheHacker Cambia eccome, qui non sono più gli ISP ad avere milioni di IP, sono direttamente gli utenti finali.
E quindi?
Ripeto, non ci sono schiavetti a segnare gli IP uno a uno in blacklist.
Sono sistemi automatici, basta scalarli adeguatamente.
LucaTheHacker Se arrivano 400 segnalazioni per lo stesso IPv4, una qualsiasi BL lo aggiunge alla lista di quelli bloccati, se gli IP cambiano in continuo limitare questi eventi (cosda possibile con IPv6), beccare anche solo due volte lo stesso IP diventa veramente complesso.
Aumenta il traffico, aumentano le segnalazioni e aumenteranno gli IPv6 in BL.
Sarà una crescita fisiologica
LucaTheHacker NAT su IPv6? Cosa mi son perso?
A occhio e croce direi tutto, ma in generale sul IPv6.
LucaTheHacker Spiega, altrimenti che senso ha la discussione?
Mi auguro sinceramente che non sviluppi webapp perché se il tuo metodo di autenticazione è la verifica dell' IP credo tu debba tirare giù tutto immediatamente.
LucaTheHacker è un caso raro che venga data una /128, ma appunto, se qualcuno assegna una /48 e altri una /128, come fai a trovare la subnet giusta? Tiri la monetina?
Non devi trovare nessuna subnet giusta, non devi tirare alcuna monetina.
Se sei in una situazione grave blocchi tutto, altrimenti ti studi sistemi un po' più intelligenti di andare a cercare l'ago nel pagliaio.
Cortesemente mettiamo in OT il thread?
L4ky Non puoi farlo anche in IPv4 con un banalissimo IP pubblico dinamico ( che ha tipo la quasi totalità degli utenti? )
Sì, ma per cambiare un IPv4 ti ci vuole un minimo di tempo, o sbaglio? Con IPv6 invece puoi cambiare anche decine di IP al secondo.
L4ky Aumenta il traffico, aumentano le segnalazioni e aumenteranno gli IPv6 in BL.
Sarà una crescita fisiologica
Quindi secondo te sarà possibile bloccare le cose come lo si faceva con IPv4? Se l'IP cambia ogni volta credo sia molto più complessa come roba
L4ky A occhio e croce direi tutto, ma in generale sul IPv6.
Mhh, a quanto sapevo io l'IPv6 serviva proprio a risolvere il problema del NAT, hai qualche robetta da andarsi a leggere?
L4ky Mi auguro sinceramente che non sviluppi webapp perché se il tuo metodo di autenticazione è la verifica dell' IP credo tu debba tirare giù tutto immediatamente.
Ne sviluppo eccome, ma l'IP non è un sistema di autenticazione, bensì di identificazione, seppur primordiale.
Citando wikipedia: "In informatica e nelle telecomunicazioni, un indirizzo IP è un numero del pacchetto IP che ### identifica univocamente un dispositivo detto host collegato a una rete informatica che utilizza l'Internet"
(Il grassetto è ovviamente mio)
L4ky Se sei in una situazione grave blocchi tutto, altrimenti ti studi sistemi un po' più intelligenti di andare a cercare l'ago nel pagliaio.
Tipo?
L4ky Cortesemente vist
?
LucaTheHacker Il problema che come detto, molte volte ciò non avviene.
Ci sono server, dunque non "servizi casalinghi", che hanno una /128, dunque potenzialmente vai a bloccare un'infinità di gente che non c'entra nulla.
Chi fa così va contro le best practice però (https://www.ripe.net/publications/docs/ripe-690#4--size-of-end-user-prefix-assignment---48---56-or-something-else-). Probabilmente all'aumentare delle lamentele si adeguerà e assegnerà gli indirizzi da standard. I link /127 e /128, da quel che ricordo, sono destinati solo ai point-to-point.
Non credo sia corretto considerare questi casi anomali
LucaTheHacker Eh, ma con IPv4 era l'ISP ad avere tanti IP, non "l'end-user".
Btw, esiste qualcuno che lo fa già? Si risolverebbero tantissimi problemi.LucaTheHacker Cambia eccome, qui non sono più gli ISP ad avere milioni di IP, sono direttamente gli utenti finali.
Come sopra, all'end user viene assegnata una subnet, non il singolo ip. Quindi è sbagliato un blocco a livello di singolo ip.
Esempio (ipv6 preso da Wikipedia): 2001:0db8:85a3:0000:0000:8a2e:0370:7334.
Tu non bloccherai mai una cosa simile, ma bloccherai il prefisso /64 "2001:0db8:85a3:0000", perché da standard assumerai che tutti gli altri 64 bit possano variare e appartengono allo stesso utente/dispositivo. Se l'operatore assegnasse solo una /64, hai ottenuto lo stesso effetto di bloccare un IPv4
Non credo esista al momento un db simile, ma non vedo perché non potrebbe esistere in futuro: le assegnazioni fornite sono pubbliche, quindi basta stabilire "operatore x offre una /y" a ogni cliente e regolarsi di conseguenza.
Secondo me è over-kill e basta bloccare le /64 volta per volta, piuttosto usando techiche alternative per stabilire se la subnet è più grande (machine learning, ad esempio).
LucaTheHacker Telegram se fai troppi login con lo stesso IP ti blocca, con IPv6, anche solo cambiando da 0002 a 0003 bypassi il limite.
Mm non sono convintissimo neanche a livello IPv4, in università (Polimi) Telegram funziona e c'è un natting selvaggio (migliaia di utenti condividono lo stesso exit-IP del campus).
Forse ho inteso male, se intendi lo stesso utente che fa accesso al suo account da più dispositivi allora non ho esperienza.
stemax97 Tu non bloccherai mai una cosa simile, ma bloccherai il prefisso /64 "2001:0db8:85a3:0000", perché da standard assumerai che tutti gli altri 64 bit possano variare.
E fin qui tutti d'accordo, ragioneresti come su IPv4, ma rischi di andare a bloccare anche gente che non segue gli standard, o no?
stemax97 Non credo esista al momento un db simile, ma non vedo perché non potrebbe esistere in futuro: le assegnazioni fornite sono pubbliche, quindi basta stabilire "operatore x offre una /y" a ogni cliente.
Eh, quello sarebbe comodo, così da poter aggiungere un check in più ai sistemi ed evitare ban casuali.
stemax97 Mm non sono convintissimo neanche a livello IPv4, in università (Polimi) Telegram funziona e c'è un natting selvaggio (migliaia di utenti condividono lo stesso exit-IP del campus).
Solo con i nuovi login, non con l'utilizzo in generale.
LucaTheHacker ma rischi di andare a bloccare anche gente che non segue gli standard, o no?
sì, ma quello che ti dicevano sopra è che è lo stesso rischio che c'è oggi con CGNAT (usato praticamente da tutti gli utenti mobili). Quindi cambia poco
handymenny hai ragione, ora che ci penso instagram non banna, tranne casi particolari, gli IP mobile.
handymenny E non solo nelle reti mobili, reti di campus, grandi aziende e anche piccoli/nuovi operatori.
LucaTheHacker E fin qui tutti d'accordo, ragioneresti come su IPv4, ma rischi di andare a bloccare anche gente che non segue gli standard, o no?
Sì, ma sarebbe un effetto collaterale a mio parere adeguato. Se gli standard esistono, devono venire rispettati.
Chi non li rispetta si adeguerà. Tutto qua, sic et simpliciter.
handymenny sì, ma quello che ti dicevano sopra è lo stesso rischio c'è oggi con CGNAT (usato praticamente da tutti gli utenti mobili). Quindi cambia poco
Direi che cambia in meglio, perché bloccare una /64 (assegnata a utente) nella stra-grande maggioranza dei casi vorrà dire bloccare solo l'attaccante, a differenza del CGNAT in cui si colpisce chiunque abbia lo stesso IP.
stemax97 Direi che cambia in meglio, perché bloccare una /64 (assegnata a utente) nella stra-grande maggioranza dei casi vorrà dire bloccare solo l'attaccante, a differenza del CGNAT in cui si colpisce chiunque abbia lo stesso IP.
Diciamo che almeno in italia, anche con gli IPv4 è così
Comunque una presunta botnet che cambia IP ogni secondo sarebbe un po' troppo invasiva, si farebbe notare facilmente
Mentre per i web scrapers, alla fine è lo stesso rischio che abbiamo con gli ip dinamici oggi, anche da quel punto di vista cambia poco
LucaTheHacker Sì, ma per cambiare un IPv4 ti ci vuole un minimo di tempo, o sbaglio? Con IPv6 invece puoi cambiare anche decine di IP al secondo.
Non capisco..
LucaTheHacker Quindi secondo te sarà possibile bloccare le cose come lo si faceva con IPv4? Se l'IP cambia ogni volta credo sia molto più complessa come roba
Si cambia che devi salvare 96 bit in più per elemento..
LucaTheHacker Mhh, a quanto sapevo io l'IPv6 serviva proprio a risolvere il problema del NAT, hai qualche robetta da andarsi a leggere?
Google -> NAT6
LucaTheHacker Ne sviluppo eccome, ma l'IP non è un sistema di autenticazione, bensì di identificazione, seppur primordiale.
Citando wikipedia: "In informatica e nelle telecomunicazioni, un indirizzo IP è un numero del pacchetto IP che ### identifica univocamente un dispositivo detto host collegato a una rete informatica che utilizza l'Internet"
(Il grassetto è ovviamente mio)
Abbi pazienza ma wikipedia non mi pare esattamente una fonte affidabile per definizioni tecniche.
In un mondo ideale ogni device avrebbe il suo IP. Fortunatamente, nel mondo reale, non è così e sinceramente mi auguro che con l'avvento di IPv6 si mantenga la buona abitudine di nattare salvo casi di reale necessità.
Fixed, mi era partito l'invio.
L4ky Non capisco..
Probabilmente è una boiata, ma richiede meno tempo ottenere 100 IPv6 sullo stesso device che 100 IPv4 diversi .-.
L4ky Si cambia che devi salvare 96 bit in più per elemento..
Mi sa che non hai capito dove volevo andare a parare col mio dsicorso
L4ky Google -> NAT6
Mi trova solo una docs di openwrt e nient'altro, magari dopo butto un occhio su quello, ma non credo sia quello che serve.
L4ky Abbi pazienza ma wikipedia non mi pare esattamente una fonte affidabile per definizioni tecniche.
Era preso così alla veloce, ma devo darti ragione.
L4ky In un mondo ideale ogni device avrebbe il suo IP. Fortunatamente, nel mondo reale, non è così e sinceramente mi auguro che con l'avvento di IPv6 si mantenga la buona abitudine di nattare salvo casi di reale necessità.
Sarei felice di sentire altre opinioni in merito, perché probabilmente non c'ho capito una mazza io, ma non doveva sevire proprio a rimuoverlo?
Anzi, proprio ora che mi stavo vedendo quella roba del ripe parlano male, anzi malissimo del nat.
Citando il punto 1.3: "The larger address space makes old address saving techniques, like NAT, unnecessary. This makes networks simpler to configure and manage, because there is less complexity in the network hardware and software. It also translates into better network performance, as there is no overhead for the NAT operation."
L4ky Fortunatamente, nel mondo reale, non è così e sinceramente mi auguro che con l'avvento di IPv6 si mantenga la buona abitudine di nattare salvo casi di reale necessità.
Ti prego, no.
IPv6 è nato proprio per eliminare il problema alla radice e evitare di nattare.
Per la privacy ci sono le privacy extension, ormai attive di default su tutti gli OS moderni.
A ogni device vengono assegnati due IPv6 pubblici (nella /64), uno random per uscire su internet che cambia ogni volta e uno statico generato dal MAC address se si vuole contattare il dispositivo dall'esterno.
L4ky la buona abitudine di nattare
In ogni caso, bannare IP al massimo è fare defence in depth. Non può e non deve essere l'unico bastione, e nemmeno uno troppo importante. Con IPv6 si "sacrifica" questa possibilità in favore di altre caratteristiche più favorevoli. Ci deve sempre essere un discorso di costi/benefici, altrimenti basta staccare la corrente e il tuo server è al sicuro.
edofullo Ensomma, il nat su IPv6 non andrebbe messo, giusto?
Perché uno dice una cosa, uno un'altra e io nel dubbio mi dissocio
LucaTheHacker Ensomma, il nat su IPv6 non andrebbe messo, giusto?
No, ma questo non vuol dire lasciare aperta la tua rete al mondo. NAT ≠ Firewall
Il firewall c'è sempre, che (almeno su router domestici) consente di default dall'esterno solo i pacchetti relativi a connessioni related ed established e la "apertura delle porte" va fatta manualmente come in IPv4.
Però se vuoi hai la possibilità di prendere uno o più host che devono essere raggiungibili dall'esterno e metterli in DMZ (una vera DMZ) su cui il firewall non agisce o agisce in modo diverso.
Se poi l'utente per avere NAT 1 sulla PS4 prende e disattiva il firewall e si fa bucare tutti i dispositivi, cavoli suoi.
Ah, se Google, facebook & Co fanno più fatica a tracciarmi, meglio.
Ma loro IPv6 lo hanno tutti, quindi dubito sia quello il problema della scarsa diffusione (in Italia)
LucaTheHacker Non dovrebbe essere il contrario? Nel senso, a quanto sapevo gli IPv6 dovevano essere assegnati staticamente per evitare di scassare altre robe.
I prefissi devono essere assegnati staticamente dagli ISP, gli IP ai singoli device no.
edofullo Per la privacy ci sono le privacy extension, ormai attive di default su tutti gli OS moderni.
A ogni device vengono assegnati due IPv6 pubblici (nella /64), uno random per uscire su internet che cambia ogni volta e uno statico generato dal MAC address se si vuole contattare il dispositivo dall'esterno.
Informativa privacy
-
Informativa cookie
-
Termini e condizioni
-
Regolamento
-
Disclaimer
-
🏳️🌈
P.I. IT16712091004 - info@fibraclick.it
♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile
