6.2 Sicurezza degli switch

Alcuni paragrafi fa avevo parlato di switch e della loro sicurezza. La differenza principale tra uno switch ed un hub, è che gli hub rimandano tutti i dati ricevuti a tutti i computer collegati all'hub stesso, mentre gli switch si limitano ad inviare i dati ricevuti ai soli computer coinvolti in una trasmissione. Teoricamente, quindi, utilizzando uno switch non sarebbe possibile in una rete effettuare lo ``sniffing'' dei dati trasmessi nelle connessioni tra altri computer.

In pratica però, gli switch sono in grado di isolare le connessioni mantenendo in memoria una sorta di tabella che associa ad ogni cavo un computer. Per cui, quando due computer devono comunicare, lo switch consulta questa tabella ed in base a questa sceglie su quali cavi dovrà trasmettere il traffico.

Questo modello presenta diversi problemi:

• Prima di tutto, questa tabella viene creata in base al traffico che inizialmente viene visto transitare. Per cui, generando traffico fasullo, è possibile imbrogliare lo switch facendogli credere che un altro computer è collegato al cavo cui si è in realtà collegati (e se su due cavi risulta uno stesso computer, lo switch, normalmente, riinvierà i dati trasmessi su entrambi i cavi).
• In secondo luogo, gli switch sono collegabili in cascata. Questo comporta che nella tabella nella memoria dello switch ad ogni cavo possa essere associato più di un computer. La memoria di uno switch, però, ha dimensione limitata e la maggior parte degli switch si comporterà esattamente come un hub nel caso esaurisse la memoria e non fosse più in grado di mantenere tale tabella.

  Questo principalmente per evitare malfunzionamenti in reti di grosse dimensione.

• In terzo luogo, è possibile collegare più switch tra di loro utilizzando collegamenti multipli. Per esempio, una rete di medie dimensioni potrebbe utilizzare qualcosa come 20/30 switch, tutti collegati tra di loro. Se fossero tutti collegati in cascata, il guasto di uno switch comporterebbe il malfunzionamento di buona parte della rete (probabilmente, dividerebbe la rete in due parti).

  Normalmente quindi, si stabiliscono più connessioni tra gli stessi switch (stendendo più cavi) in modo che il guasto di un solo apparecchio comprometta la funzionalità dei soli computer connessi a tale apparecchio.

  Per consentire l'utilizzo di percorsi multipli, gli switch devono costruirsi una sorta di ``mappa'' della rete in modo da sapere che percorso far fare ai vari pacchettini per evitare che si vengano a creare dei loop (pacchetti che continuano a rimbalzare da uno switch ad un altro senza mai arrivare a destinazione). Per costruire questa mappa, gli switch devono comunicare tra di loro con un protocollo chiamato spanning tree protocol (IEEE 802.1d, scambiandosi quelli che vengono detti BPDU). In questo caso, quindi, un computer collegato allo switch potrebbe falsificare i dati del protocollo spanning tree in modo da far credere di essere a sua volta uno switch e di costituire il percorso più breve per raggiungere determinati computer, in modo da intercettare il traffico di tali computer.

• Infine, gli switch possono essere solitamente configurati tramite interfacce web o telnet, che non fanno uso di alcun protocollo crittografico o di particolari protezioni, se non un username ed una password.

  Allo stesso modo vengono spesso utilizzati protocolli come l'snmp (``Simple Network Management Protocol'' - le prime versioni del protocollo, definito dall'RFC1157), che non richiedono nemmeno una password, se non un semplice nome di comunità.

• VLAN (IEEE 802.1q) -- questa tecnologia vi consente di assegnare un numero ad ogni porta di uno switch. Una volta fatto questo, solo le porte con lo stesso numero potranno comunicare tra di loro. In più, i collegamenti tra uno switch ed un altro passeranno per quelli che alcuni produttori chiamano ``trunk'', ovvero dei collegamenti dove tutti i dati, indipendentemente dal numero di VLAN, possono essere trasmessi. Attenzione però, che alcuni switch supportano una modalità di apprendimento, dove ad una porta è assegnata una particolare VLAN in base alle caratteristiche dei pacchetti trasmessi. Un utente malizioso, con questa funzionalità abilitata, potrebbe fingersi un altro switch e farsi inviare tutti i pacchetti delle VLAN che gli interessano. Inoltre, linux supporta il VLAN tagging (802.1Q), ovvero è in grado di creare delle interfacce virtuali su diverse VLAN, senza bisogno di hardware aggiuntivo.

  Un altro vantaggio delle VLAN consiste nel fatto che alcuni switch possono essere configurati in modo che esista una VLAN amministrativa: in questo caso, le configurazioni potranno essere cambiate e visualizzate soltanto da computer connessi ad una di queste VLAN.

• Alcuni switch supportano delle funzionalità di sicurezza relative alle porte ethernet. Per esempio, alcuni switch possono essere configurati in modo che se su una determinata porta viene visto un indirizzo ip o un mac address (o una coppia dei due) diversi da quelli impostati, la porta viene spenta. In più, possono essere normalmente indicate delle associazioni statiche tra porte ed indirizzi ip o mac address, senza che per questo venga bloccata la porta.
• A volte, lo spanning tree protocol può essere semplicemente disabilitato o perchè l'hardware utilizzato consente di impostare dei percorsi alternativi manualmente, o perchè non è necessario per la topologia della rete. In altre situazioni, alcuni switch supportano restrizioni (normalmente basate su VLAN) sull'invio e sulla ricezione di questi pacchetti.