ISP IP-bannad; Påverkar samtliga användare bakom samma NAT?

Permalänk
Medlem

ISP IP-bannad; Påverkar samtliga användare bakom samma NAT?

Hej hej!

Sitter i slutfasen på en ASP.net kurs och har under kursen byggt ett större system för hantering av ärenden. Är i slutfasen nu och håller på med inloggning och säkerhet. Använder mig av sessioner för att hålla koll på inloggningar och kom in på ämnet session hijacking och Session Fixation.

Jag satt alltså och skrev om olika sätt som man kan skydda sig mot den här typen av attacker. Det första sättet att skydda sig var att man kontrollerar ip-adressen på den som försöker använda sig av sessionen. Stämmer den inte överens med ip-adressen som användes vid skapandet av sessionen så dödar man sessionen. Nu kommer det uppenbara problemet att ett kontor ligger ofta bakom en NAT och samtliga datorer i nätverket har samma globala ip-adress vilket möjliggör en attack inifrån.

När jag satt och funderade kring det här med NAT, så har jag för mig att jag läste en tråd här på sweclockers där bahnhof har börjat köra större områden bakom en NAT och fick tanken; Vad händer om någon av alla användarna bakom den här NAT:en blir ip-bannad, då blir alla (bakom NAT:en) påverkade vilket resulterar i att IP-bans inte längre är legitimt.

Jag är medveten om att det här bara är en temporär lösning tills dess att IPv6 slår igenom hos samtliga!

Fungerar det såhär? Om en av bahnhof's NAT:ar blir ip-bannad blir alla påverkade då?
Många sidor har idag skydd mot bruteforce attacker. Till exempel; Om användaren skriver fel lösenord 5 gånger så blir ip-adressen låst i 10 minuter. Om man är 200 (antalet är taget ur luften) personer bakom samma NAT så är det ganska många som påverkas. Om inte annat känns det som om det kan missbrukas.

Visa signatur

~. Citera så jag hittar tillbaka .~

Permalänk
Medlem

Vad jag förstått och läst det som så kommer ju flera individer sitta på samma globala ip och få en intern ip innanför den globala dvs de kommer fungera som ett lokalt nätverk men med flera lokala nätverk i de, dvs varje router från en intern ip som sedan leder ut till en global ip.

Så svaret e ja blir en person bannad eller man hamnar med ett rötägg på samma globala ip så blir den individen ip bannad från något så blir ju alla de på samma globla ip.

Sen finns ju möjligheten också kontakta bahnhof och be om egen ip adress idag.

Men jag har ingen som helst lösning på hur något sådant skulle kunna undvikas, för att se dom interna ip adresserna innanför den globala är ju som att se lokala adresserna i normala människors nätverk dvs att ända sättet att säkert ip banna någon utan att alla andra individer blir lidande på en globalnivå är väll att kontakta bahnhof och be dom blockera den interna ip adressen från tjänsten(om dom nu har ett sådant system uppsatt).

Visa signatur

Stationär 1: I7 3770K 4,5Ghz | Corsair H100I|Sapphire 7970|Asus P67 Sabertooth|Corsair Vengeance 16GB|XFX 750W|Samsung 840 PRO 256GB| Corsair Obsidian 650D|
Stationär 2: I7 4790K|Corsair H60|Asus STRIX 970|Asus Maximus VI Impact|Kingston Savage 16GB 2400Mhz|Fractal Design Integra M 650W|Samsung 850 EVO 250GB|Fractal Design Node 304|

Permalänk
Medlem
Skrivet av BaZZe:

Vad jag förstått och läst det som så kommer ju flera individer sitta på samma globala ip och få en intern ip innanför den globala dvs de kommer fungera som ett lokalt nätverk men med flera lokala nätverk i de, dvs varje router från en intern ip som sedan leder ut till en global ip.

Så svaret e ja blir en person bannad eller man hamnar med ett rötägg på samma globala ip så blir den individen ip bannad från något så blir ju alla de på samma globla ip.

Sen finns ju möjligheten också kontakta bahnhof och be om egen ip adress idag.

Men jag har ingen som helst lösning på hur något sådant skulle kunna undvikas, för att se dom interna ip adresserna innanför den globala är ju som att se lokala adresserna i normala människors nätverk dvs att ända sättet att säkert ip banna någon utan att alla andra individer blir lidande på en globalnivå är väll att kontakta bahnhof och be dom blockera den interna ip adressen från tjänsten(om dom nu har ett sådant system uppsatt).

Jag sitter inte bakom ett sådant nätverk. Jag blev bara intresserad av tesen och att det kanske är lite föråldrat idag att förlita sig på ip-adresser! Hur ska man på annat sätta kontrollera använder utan att behöva använda krypterad anslutning?

Visa signatur

~. Citera så jag hittar tillbaka .~

Permalänk
Medlem
Skrivet av KeVVa:

Jag sitter inte bakom ett sådant nätverk. Jag blev bara intresserad av tesen och att det kanske är lite föråldrat idag att förlita sig på ip-adresser! Hur ska man på annat sätta kontrollera använder utan att behöva använda krypterad anslutning?

Jadu det är en bra fråga det man skulle behöva då är ju möjligen något globalt system där man loggar in som fungerar med många sidor osv och som är användarbaserat och inte ip baserat, men samtidigt problemet med en sån lösning är ju förmodligen att om den blir tillräckligt stor osv så kan de ju bli väldigt mycket loggning av saker osv vilket jag är lite emot.

Andra alternativet är väll att varje enskild tjänst eller hemsida har någon form av egen tjänst eller program som har hand om användarna de vill säga att dom måste göra någon form av digital signering varje gång dom kommer in på en hemsida osv och att dom bara har ett ID som e bundet till dom inte kan skapa massa konto osv, detta är gör ju dock också surfandet väldigt personligt och mindre anonymt så på ett sätt är de ju positvt för att förmodligen så kommer ju individer sköta sig som kanske inte annars gjort de men vissa individer kanske inte tar upp diskuterar frågor eller tar upp saker som dom hade gjort om de varit anonymt, så på ett sätt kan de ju begränsa lite få folk själv censurera.

Somsagt det e svårt det här hela med vad som ska loggas vad som inte ska och hur man ska utgå ifrån ip adresser eller användare och hur man ska gå tillväga för att t.ex. banna dessa från en tjänst är en himla svår fråga, men inför fler system som bahnhof håller på med så kommer de ju förmodligen bli en betydligt större fråga som de behövs en lösning på i framtiden.

Visa signatur

Stationär 1: I7 3770K 4,5Ghz | Corsair H100I|Sapphire 7970|Asus P67 Sabertooth|Corsair Vengeance 16GB|XFX 750W|Samsung 840 PRO 256GB| Corsair Obsidian 650D|
Stationär 2: I7 4790K|Corsair H60|Asus STRIX 970|Asus Maximus VI Impact|Kingston Savage 16GB 2400Mhz|Fractal Design Integra M 650W|Samsung 850 EVO 250GB|Fractal Design Node 304|

Permalänk
Medlem

Läser man wikipedia artikeln som du länkade till, under "Prevention", så finns det ju fler sätt nämnda där. T.ex. använda SSL/TLS eller generera en ny sessions id efter login för att skydda mot "session fixation".

Se också "What is the best way to prevent session hijacking?".

Bannar man en IP-adress blir alla som har den IP-adressen utåt också blockerade.

Permalänk
Medlem

Tekniskt sett så är det en PAT och inte en NAT.

En NAT gör att alla datorer i det privata nätverket får en extern IP även utåt.
En PAT använder slumpgenrerade portar för varje session och dator. Precis som din dator gör mot routern.

Även om de flesta vanliga människor kallar detta för NAT, då det är det som används av 99% av privatbefolkningen. Så är det alltså PAT.

Är det så att du har flera hushåll som sitter bakom samma PAT så kommer alla bli blockade om du gör en IP-ban.
Är det NAT så är givetvis inte detta fallet.

Det du kan göra istället är ju att mac-banna. I båda fallen är det ju lätt att komma runt. Mac-banning är dock lättare imo. Eftersom du bara behöver byta mac-adress i routern.
Vid ip-banning så måste du ju ofta vänta tills ditt "lån" tagit slut. Det varierar rätt mycket hur lång tid det kan ta.

Visa signatur

*Citera för svar*
Work smart, not hard.

Permalänk
Medlem
Skrivet av Sushifrukt:

Tekniskt sett så är det en PAT och inte en NAT.

En NAT gör att alla datorer i det privata nätverket får en extern IP även utåt.
En PAT använder slumpgenrerade portar för varje session och dator. Precis som din dator gör mot routern.

Även om de flesta vanliga människor kallar detta för NAT, då det är det som används av 99% av privatbefolkningen. Så är det alltså PAT.

Är det så att du har flera hushåll som sitter bakom samma PAT så kommer alla bli blockade om du gör en IP-ban.
Är det NAT så är givetvis inte detta fallet.

Det du kan göra istället är ju att mac-banna. I båda fallen är det ju lätt att komma runt. Mac-banning är dock lättare imo. Eftersom du bara behöver byta mac-adress i routern.
Vid ip-banning så måste du ju ofta vänta tills ditt "lån" tagit slut. Det varierar rätt mycket hur lång tid det kan ta.

Nu förstår jag inte riktigt varför du tar upp MAC-banning? En MAC-adress används bara för att "flytta" information mellan samma nätverk. Så fort man hoppar från en router till en annan byts MAC-adressen ut. Det är därför omöjligt för en webb applikation (läs: utomstående server) att ta reda på den anslutande maskins MAC-adress och blockera den.

Permalänk
Keeper of Traditions
Skrivet av Sushifrukt:

Tekniskt sett så är det en PAT och inte en NAT.

En NAT gör att alla datorer i det privata nätverket får en extern IP även utåt.
En PAT använder slumpgenrerade portar för varje session och dator. Precis som din dator gör mot routern.

Även om de flesta vanliga människor kallar detta för NAT, då det är det som används av 99% av privatbefolkningen. Så är det alltså PAT.

Är det så att du har flera hushåll som sitter bakom samma PAT så kommer alla bli blockade om du gör en IP-ban.
Är det NAT så är givetvis inte detta fallet.

Det du kan göra istället är ju att mac-banna. I båda fallen är det ju lätt att komma runt. Mac-banning är dock lättare imo. Eftersom du bara behöver byta mac-adress i routern.
Vid ip-banning så måste du ju ofta vänta tills ditt "lån" tagit slut. Det varierar rätt mycket hur lång tid det kan ta.

Varför skulle det inte gälla för NAT?

Flera privata adresser blir en publik adress. Om den publika adressen bannas kommer ju alla privata som görs om till den publika adressen att påverkas.

Visa signatur

|| Intel 8700K || Asus RTX 4070 TI Super TUF || Samsung 750 EVO 500GB & Kingston A2000 1TB & Samsung 960 EVO 250GB || Corsair RM 850x || Antec P183 || Asus G-Sync RoG Swift PG279Q || Dell XPS 15 || Thinkpad X220

The Force is like Duct Tape, it has a light side, a dark side, and holds the universe together.

Permalänk
Medlem
Skrivet av Dunder:

Varför skulle det inte gälla för NAT?

Flera privata adresser blir en publik adress. Om den publika adressen bannas kommer ju alla privata som görs om till den publika adressen att påverkas.

Jag tror han menar att eftersom Static NAT och Dynamic NAT är mappade 1:1, så påverkas bara en maskin. Det gäller ju för Static NAT, men om man använder Dynamic NAT så kan ju en annan maskin få den blockerade IP-adressen utåt.

Permalänk
Keeper of Traditions
Skrivet av yakideo:

Jag tror han menar att eftersom Static NAT och Dynamic NAT är mappade 1:1, så påverkas bara en maskin. Det gäller ju för Static NAT, men om man använder Dynamic NAT så kan ju en annan maskin få den blockerade IP-adressen utåt.

Det beror ju på hur många publika adresser du har tillgängliga... Har du bara en adress kommer ju alla datorer bakom routern att påverkas, oberoende av om du kör dynamiskt eller statiskt.

Huruvida det är statiskt eller dynamiskt påverkar ju bara när mappningen sker, inte hur många adresser du har tillgång till.

Visa signatur

|| Intel 8700K || Asus RTX 4070 TI Super TUF || Samsung 750 EVO 500GB & Kingston A2000 1TB & Samsung 960 EVO 250GB || Corsair RM 850x || Antec P183 || Asus G-Sync RoG Swift PG279Q || Dell XPS 15 || Thinkpad X220

The Force is like Duct Tape, it has a light side, a dark side, and holds the universe together.

Permalänk
Medlem
Skrivet av Dunder:

Det beror ju på hur många publika adresser du har tillgängliga... Har du bara en adress kommer ju alla datorer bakom routern att påverkas, oberoende av om du kör dynamiskt eller statiskt.

Huruvida det är statiskt eller dynamiskt påverkar ju bara när mappningen sker, inte hur många adresser du har tillgång till.

Det är det Sushifrukt försöker förklara, att det som vi kallar NAT till vardags (och som kallas NAT av många om inte de flesta konsument router skaparna(?)) heter egentligen PAT.

Om jag kommer ihåg rätt nu så finns det Statisk NAT, Dynamisk NAT och PAT.

  • Statisk NAT är att nätverksadministratören manuellt skriver in vilka interna IP adresser som skall kopplas till vilka externa IP adresser, bara en intern IP adress kan kopplas till en extern IP adress.

  • Dynamisk NAT är att nätverksadministratören har lagt in ett antal externa IP adresser som automatiskt blir utdelade till de interna IP adresserna, problemet är att det fortfarande bara är en intern IP adress per extern IP adress så de kan inte dela.

  • PAT/NAPT/NAT Overload är likt Dynamisk NAT fast den tillåter flera interna IP adresser att koppla till en extern IP adress genom att använda portar.

OBS: Vet inte om ovan är 100% korrekt men är väl mer eller mindre i den stilen, man kan väl sammanfatta med att statisk och dynamisk NAT bara kan ha en intern IP adress per extern IP adress medans PAT kan ha flera interna IP adresser per extern IP adress.

Edit: Här finns lite mer information: https://en.wikipedia.org/wiki/Network_address_translation

Edit 2: Men sen tycker jag väl inte direkt att det är något man måste veta fören man kommer bakom en "riktig" router. Det är väl kanske som att påpeka hela grejen med Mb och MB vs Mib och MiB.

Permalänk
Medlem
Skrivet av yakideo:

Nu förstår jag inte riktigt varför du tar upp MAC-banning? En MAC-adress används bara för att "flytta" information mellan samma nätverk. Så fort man hoppar från en router till en annan byts MAC-adressen ut. Det är därför omöjligt för en webb applikation (läs: utomstående server) att ta reda på den anslutande maskins MAC-adress och blockera den.

I just went full retard, I blame the cold ... Damn nose!

Skrivet av SanyaIV:

Det är det Sushifrukt försöker förklara, att det som vi kallar NAT till vardags (och som kallas NAT av många om inte de flesta konsument router skaparna(?)) heter egentligen PAT.

Om jag kommer ihåg rätt nu så finns det Statisk NAT, Dynamisk NAT och PAT.

  • Statisk NAT är att nätverksadministratören manuellt skriver in vilka interna IP adresser som skall kopplas till vilka externa IP adresser, bara en intern IP adress kan kopplas till en extern IP adress.

  • Dynamisk NAT är att nätverksadministratören har lagt in ett antal externa IP adresser som automatiskt blir utdelade till de interna IP adresserna, problemet är att det fortfarande bara är en intern IP adress per extern IP adress så de kan inte dela.

  • PAT/NAPT/NAT Overload är likt Dynamisk NAT fast den tillåter flera interna IP adresser att koppla till en extern IP adress genom att använda portar.

OBS: Vet inte om ovan är 100% korrekt men är väl mer eller mindre i den stilen, man kan väl sammanfatta med att statisk och dynamisk NAT bara kan ha en intern IP adress per extern IP adress medans PAT kan ha flera interna IP adresser per extern IP adress.

Edit: Här finns lite mer information: https://en.wikipedia.org/wiki/Network_address_translation

Edit 2: Men sen tycker jag väl inte direkt att det är något man måste veta fören man kommer bakom en "riktig" router. Det är väl kanske som att påpeka hela grejen med Mb och MB vs Mib och MiB.

Precis

Jo det kanske är oväsentligt, men om han nu ska göra ett arbete på det så kanske det ska stå rätt där?

Visa signatur

*Citera för svar*
Work smart, not hard.

Permalänk
Medlem
Skrivet av Sushifrukt:

Jo det kanske är oväsentligt, men om han nu ska göra ett arbete på det så kanske det ska stå rätt där?

Jo det kanske är sant, måste erkänna att jag inte tänkte på vad tråden egentligen handlade om utan ville bara klargöra det där med NAT och PAT så när jag tog upp det där om att det inte är något man behöver veta så tänkte jag mer på en vanlig hemmaanvändare och inte någon som gör ett arbete på det.

Till TS: Som andra har sagt så är det ett problem med att banna IP adresser, man riskerar då att banna ett bra antal användare när internetleverantörer gör som Bahnhof har börjat göra. Sedan om man bannar någon med en normal dynamisk IP så kan ju vem som helst få IP adressen efter denna person, då blir en helt annan person plötsligt bannad. <- Därför jag är emot att man bannar IP adresser.