Harden-doc 3.19 - en to it translation catalogue (161 entries)

en: The hardening process step by step
it: Il processo di blindatura passo-passo

en: Below is a post-installation, step-by-step procedure for hardening a Debian 2.2 GNU/Linux system. This is one possible approach to such a procedure and is oriented toward the hardening of network services. It is included to show the entire process you might use during configuration. Also, see <xref linkend="checklist" />.
it: Di seguito viene riportata una procedura passo-passo, post-installazione, per blindare un sistema Debian GNU/linux 2.2. Questo è un possibile approccio a tale procedura ed è orientato a blindare i servizi di rete. Viene incluso per mostrare l'intero processo che potrebbe essere usato durante la configurazione. Vedete in <xref linkend="checklist" />.

en: Using <command>dselect</command>, remove all unneeded but selected packages before doing [I]nstall. Keep the bare minimum of packages for the system.
it: Utilizzando <command>dselect</command>, rimuovete tutti i pacchetti selezionati ma non necessari prima di effettuare l'installazione con il comando [I]nstall. Mantenete il minimo numero di pacchetti per il sistema.

en: Update all software from the latest packages available at security.debian.org as explained previously in <xref linkend="security-update" />.
it: Aggiornate tutti i programmi dal più recente pacchetto disponibile da security.debian.org come spiegato precedentemente in <xref linkend="security-update" />.

en: Implement the suggestions presented in this manual regarding user quotas, login definitions and <command>lilo</command>
it: Applicate i suggerimenti presentati in questo manuale al riguardo delle quote utente, definizioni di login e <command>lilo</command>.

en: Make a list of services currently running on your system. Try:
it: Compilate una lista di servizi attivi al momento sul sistema. Eseguite:

en: In order to remove unnecessary services, first determine what package provides the service and how it is started. This can be accomplished by checking the program that listens in the socket. The following shell script, which uses the programs <command>lsof</command> and <command>dpkg</command>, does just that:
it: Per rimuovere i servizi non necessari, determinate inizialmente quale pacchetto fornisca il servizio e come si avvii. Questo può essere ottenuto controllando quali programmi ascoltano su di un socket. Il seguente script di shell, che utilizza i programmi <command>lsof</command> e <command>dpkg</command>, fa proprio questo:

en: Once you find any unwanted services, remove the associated package (with <command>dpkg --purge</command>), or disable the service from starting automatically at boot time using <command>update-rc.d</command> (see <xref linkend="disableserv" />).
it: Una volta che avete individuato un qualsiasi servizio che non volete fornire, rimuovete il pacchetto che lo genera (con <command>dpkg --purge</command>), o disabilitate la partenza automatica del servizio all'avvio del sistema utilizzando <command>update-rc.d</command> (vedete in <xref linkend="disableserv" />).

en: For inetd services (launched by the superdaemon), check which services are enabled in <filename>/etc/inetd.conf</filename> using:
it: Per i servizi avviati da inetd (lanciati tramite il superdemone), verificate che i servizi siano abilitati in <filename>/etc/inetd.conf</filename>, utilizzando:

en: Then disable those services that are not needed by commenting out the line that includes them in <filename>/etc/inetd.conf</filename>, removing the package, or using <command>update-inetd</command>.
it: Per disabilitare quei servizi che non desiderate è necessario commentare le righe dello script che li avviano in <filename>/etc/inetd.conf</filename>, altrimenti, rimuovere il pacchetto che fornisce il servizio, o utilizzare <command>update-inetd</command>.

en: If you have wrapped services (those using <command>/usr/sbin/tcpd</command>), check that the files <filename>/etc/hosts.allow</filename> and <filename>/etc/hosts.deny</filename> are configured according to your service policy.
it: Se avete servizi wrapped (quelli che usano <command>/usr/sbin/tcpd</command>), verificate che i file <filename>/etc/hosts.allow</filename> e <filename>/etc/hosts.deny</filename> siano configurati in accordo con la vostra politica di sicurezza.

en: If the server uses more than one external interface, depending on the service, you may want to limit the service to listen on a specific interface. For example, if you want internal FTP access only, make the FTP daemon listen only on your management interface, not on all interfaces (i.e, 0.0.0.0:21).
it: Se il server usa più di una interfaccia con l'esterno, in funzione del servizio, potreste voler limitare il servizio all'ascolto su una specifica interfaccia. Per esempio, se si volesse un accesso FTP esclusivamente dall'interno, fate in modo che il demone FTP sia in ascolto solo sull'interfaccia di gestione e non su tutte le interfacce (p.e. 0.0.0.0:21).

en: Re-boot the machine, or switch to single user mode and then back to multiuser using the commands:
it: Riavviate la macchina, o commutate sulla modalità monoutente e quindi tornate a quella multiutente, utilizzando i comandi:

en: Check the services now available, and, if necessary, repeat the steps above.
it: Controllate i servizi adesso disponibili e se necessario, ripetete i passi appena esposti.

en: Now install the needed services, if you have not done so already, and configure them properly.
it: Ora installate i servizi che ritenete necessari, se non avete già agito così e configurateli appropriatamente.

en: Use the following shell command to determine what user each available service is running as:
it: Usate il seguente comando da shell, per determinare con quale identità ogni servizio disponibile sta girando:

en: Consider changing these services to a specific user/group and maybe <command>chroot</command>'ing them for increased security. You can do this by changing the <filename>/etc/init.d</filename> scripts which start the service. Most services in Debian use <command>start-stop-daemon</command>, which has options (<literal>--change-uid</literal> and <literal>--chroot</literal>) for accomplishing this. A word of warning regarding the <command>chroot</command>'ing of services: you may need to put all the files installed by the package (use dpkg -L) providing the service, as well as any packages it depends on, in the <command>chroot</command>'ed environment. Information about setting up a <command>chroot</command> environment for the <command>ssh</command> program can be found in <xref linkend="chroot-ssh-env" />.
it: Valutate l'opportunità di modificare questi servizi associandoli a specifici utenti/gruppi mediante gabbie <command>chroot</command> per avere maggior sicurezza. Potete farlo modificando lo script <filename>/etc/init.d</filename> che avvia il servizio. La maggior parte dei servizi in Debian usano <command>start-stop-daemon</command> che ha l'opzione (<literal>--change-uid</literal> e <literal>--chroot</literal>) per apportare le modifiche di cui sopra. Alcuni avvertimenti al riguardo dei servizi in <command>chroot</command>: potrebbe essere necessario mettere tutti i file installati dal pacchetto (usando dpkg -L) che fornisce il servizio, così come tutti i pacchetti da cui esso dipende, in un ambiente di tipo <command>chroot</command>. Le informazioni per configurare un ambiente <command>chroot</command> per il programma <command>ssh</command> possono essere trovate in <xref linkend="chroot-ssh-env" />.

en: Repeat the steps above in order to check that only desired services are running and that they are running as the desired user/group combination.
it: Ripetete i passi summenzionati al fine di verificare che girino i soli servizi desiderati e che essi stiano girando con la desiderata combinazione utente/gruppo.

en: Test the installed services in order to see if they work as expected.
it: Verificate i servizi installati per controllare che funzionino come avete previsto.

en: Repeat the network scanner step and verify that the intrusion detection systems are working correctly.
it: Ripetete la sequenza dell'esame della rete e verificate che i sistemi di rilevamento delle intrusioni stiano funzionando correttamente.

en: For the truly paranoid, also consider the following:
it: Se siete persone realmente paranoiche dovreste valutare anche quanto segue:

en: Add firewalling capabilities to the system, accepting incoming connections only to offered services and limiting outgoing connections only to those that are authorized.
it: Aggiungere funzionalità "firewall" al sistema, accettando connessioni in ingresso solo per servizi offerti e limitando le connessioni uscenti alle sole autorizzate.

en: Re-check the installation with a new vulnerability assessment using a network scanner.
it: Ricontrollare l'installazione con una nuova verifica di vulnerabilità usando uno scanner di rete.

en: Using a network scanner, check outbound connections from the system to an outside host and verify that unwanted connections do not find their way out.
it: Usando un rilevatore di rete, controllare le connessioni uscenti dal sistema verso una macchina esterna e verificare che nessuna connessione trovi il modo di uscire.

en: FIXME: this procedure considers service hardening but not system hardening at the user level, include information regarding checking user permissions, SETUID files and freezing changes in the system using the ext2 file system.
it: FIXME: questa procedura si occupa della blindatura dei servizi, non della blindatura di sistemi a livello utente, includendo le informazioni per controllare i permessi utente, i file SETUID ed il congelamento dei cambiamenti del sistema utilizzando il filesystem ext2.

en: Configuration checklist
it: Verifica della configurazione

en: FIXME: This is based on v1.4 of the manual and might need to be updated.
it: FIXME: Questa checklist è basata sulla versione 1.4 del manuale e potrebbe aver bisogno di essere aggiornata.

en: Limit physical access and booting capabilities
it: Limitate le capacità di avvio e di accesso fisico

en: Enable a password in the BIOS.
it: Abilitate la password del BIOS

en: Disable floppy/cdrom/... booting in the system's BIOS.
it: Disabilitate l'avvio da floppy/cdrom/ ...

en: Set a LILO or GRUB password (<filename>/etc/lilo.conf</filename> or <filename>/boot/grub/menu.lst</filename>, respectively); check that the LILO or GRUB configuration file is read-protected.
it: Impostate una password per GRUB o LILO (rispettivamente <filename>/etc/lilo.conf</filename> o <filename>/boot/grub/menu.lst</filename>); verificate che i file di configurazione di LILO o GRUB siano protetti da scrittura.

en: Partitioning
it: Partizionamento

en: Separate user-writable data, non-system data, and rapidly changing run-time data to their own partitions
it: Separate i dati scrivibili dagli utenti, i dati non di sistema e i dati run-time che cambiano velocemente, in partizioni distinte.

en: Set <literal>nosuid,noexec,nodev</literal> mount options in <filename>/etc/fstab</filename> on ext2/3 partitions that should not hold binaries such as <filename>/home</filename> or <filename>/tmp</filename>.
it: Impostate le opzioni di mount <literal>nosuid,noexec,nodev</literal> in <filename>/etc/fstab</filename> per partizioni ext2/3 che non dovrebbero bloccare binari come <filename>/home</filename> o <filename>/tmp</filename>.

en: Password hygiene and login security
it: Accuratezza delle password e sicurezza per il login

en: Set a good root password
it: Assegnate a root una buona password.

en: Install and use PAM
it: Installate ed utilizzate PAM.

en: Add MD5 support to PAM and make sure that (generally speaking) entries in <filename>/etc/pam.d/</filename> files which grant access to the machine have the second field in the pam.d file set to <literal>requisite</literal> or <literal>required</literal>.
it: Aggiungete il supporto per MD5 a PAM e assicuratevi che (in generale) le voci nel file <filename>/etc/pam.d/</filename>, che garantiscono l'accesso alla macchina, abbiano il secondo campo nel file pam.d impostato a <literal>requisite</literal> o <literal>required</literal>.

en: Tweak <filename>/etc/pam.d/login</filename> so as to only permit local root logins.
it: Modificate <filename>/etc/pam.d/login</filename> in modo che permetta il login solamente a root solamente in locale.

en: Also mark authorized tty:s in <filename>/etc/security/access.conf</filename> and generally set up this file to limit root logins as much as possible.
it: Inoltre segnate le tty:s autorizzate nel file <filename>/etc/security/access.conf</filename> e in generale configurate il file affinché le login da root siano limitate il più possibile.

en: Add pam_limits.so if you want to set per-user limits
it: Aggiungete pam_limits.so se volete impostare un limite per ciascun utente.

en: Tweak <filename>/etc/pam.d/passwd</filename>: set minimum length of passwords higher (6 characters maybe) and enable MD5
it: Modificate <filename>/etc/pam.d/passwd</filename>: aumentate la lunghezza minima delle passwords (6 caratteri probabilmente) e abilitate l'MD5.

en: Add group wheel to <filename>/etc/group</filename> if desired; add pam_wheel.so group=wheel entry to <filename>/etc/pam.d/su</filename>
it: Aggiungete il gruppo wheel a <filename>/etc/group</filename> se lo desiderate; aggiungete la voce pam_wheel.so group=wheel in <filename>/etc/pam.d/su</filename>.

en: For custom per-user controls, use pam_listfile.so entries where appropriate
it: Per personalizzare i controlli relativi a ciascun utente, usate un'apposita voce pam_listfile.so dove appropriato.

en: Have an <filename>/etc/pam.d/other</filename> file and set it up with tight security
it: Create un file <filename>/etc/pam.d/other</filename> e configuratelo con un'alta sicurezza.

en: Set up limits in <filename>/etc/security/limits.conf</filename> (note that <filename>/etc/limits</filename> is not used if you are using PAM)
it: Impostate i limiti <filename>/etc/security/limits.conf</filename> (notate che <filename>/etc/limits</filename> non viene utilizzato se usate PAM).

en: Tighten up <filename>/etc/login.defs</filename>; also, if you enabled MD5 and/or PAM, make sure you make the corresponding changes here, too
it: Limitate i permessi al file <filename>/etc/login.defs</filename>; inoltre, se avete abilitato MD5 e/o PAM, assicuratevi di fare i cambiamenti corrispondenti.

en: Disable root ftp access in <filename>/etc/ftpusers</filename>
it: Disabilitate l'accesso root via ftp in <filename>/etc/ftpusers</filename>.

en: Use PAM to enforce additional constraints on logins?
it: Usate PAM per rendere più sicuri gli accessi con login?

en: Other local security issues
it: Altri suggerimenti sulla sicurezza locale

en: Kernel tweaks (see <xref linkend="kernel-conf" />)
it: Adattamenti del kernel (vedete in <xref linkend="kernel-conf" />).

en: Kernel patches (see <xref linkend="kernel-patches" />)
it: Patch per il kernel (vedete in <xref linkend="kernel-patches" />).

en: Tighten up log file permissions (<filename>/var/log/{last,fail}log</filename>, Apache logs)
it: Rendete più restrittivi i permessi ai file di log (<filename>/var/log/{last,fail}log</filename>, i log di Apache)

en: Verify that SETUID checking is enabled in <filename>/etc/checksecurity.conf</filename>
it: Verificate che il controllo SETUID sia abilitato in <filename>/etc/checksecurity.conf</filename>.

en: Consider making some log files append-only and configuration files immutable using chattr (ext2/3 file systems only)
it: Considerate la possibilità di rendere alcuni file di log append-only e alcuni file di configurazione immutabili con il comando chattr (solo per il file system ext2/3).

en: Log everything to a local printer?
it: Loggare tutto su una stampante locale?

en: Burn your configuration on a boot-able CD and boot off that?
it: Scrivere su un CD avviabile la propria configurazione e fare il boot da CD?

en: Disable kernel modules?
it: Disabilitare i moduli del kernel?

en: Limit network access
it: Limitate l'accesso alla rete

en: Install and configure <command>ssh</command> (suggest PermitRootLogin No in <filename>/etc/ssh/sshd_config</filename>, PermitEmptyPasswords No; note other suggestions in text also)
it: Installate e configurate <command>ssh</command> (si suggerisce di impostare a No le voci PermitRootLogin e PermitEmptyPasswords nel file <filename>/etc/ssh/sshd_config</filename>; notate anche gli altri suggerimenti nel testo).

en: Disable or remove <command>in.telnetd</command>, if installed
it: Considerate la possibilità di disabilitare o rimuovere <command>in.telnetd</command>, se installato.

en: Generally, disable gratuitous services in <filename>/etc/inetd.conf</filename> using <command>update-inetd --disable</command> (or disable <command>inetd</command> altogether, or use a replacement such as <command>xinetd</command> or <command>rlinetd</command>)
it: In linea di massima, disabilitate i servizi inutili in <filename>/etc/inetd.conf</filename> usando <command>update-inetd --disable</command> (oppure disabilitate <command>inetd</command> completamente, o ancora usate un sostituto come ad esempio <command>xinetd</command> o <command>rlinetd</command>).

en: Disable other gratuitous network services; ftp, DNS, WWW etc should not be running if you do not need them and monitor them regularly. In most cases mail should be running but configured for local delivery only.
it: Disabilitate altri servizi di rete inutili; ftp, DNS, WWW etc. non dovrebbero essere eseguiti se non sono necessari e peraltro, tenuti regolarmente sotto controllo.

en: For those services which you do need, do not just use the most common programs, look for more secure versions shipped with Debian (or from other sources). Whatever you end up running, make sure you understand the risks.
it: Per i servizi di cui avete bisogno, non vi limitate ad usare i programmi più comuni ma cercatene versioni più sicure contenute all'interno di Debian (o di altre fonti). Qualsiasi cosa finiate per eseguire, assicuratevi di capirne i rischi.

en: Set up <command>chroot</command> jails for outside users and daemons.
it: Impostate gabbie <command>chroot</command> per utenti e demoni esterni.

en: If you run ftp, set up your ftpd server to always run <command>chroot</command>'ed to the user's home directory
it: Se eseguite ftp, impostate il server ftpd per essere eseguito sempre in <command>chroot</command> nella home directory dell'utente.

en: If you run X, disable xhost authentication and go with <command>ssh</command> instead; better yet, disable remote X if you can (add -nolisten tcp to the X command line and turn off XDMCP in <filename>/etc/X11/xdm/xdm-config</filename> by setting the requestPort to 0)
it: Se usate X, disabilitate l'autenticazione xhost ed usate <command>ssh</command> come sostituto; ancora meglio, disabilitate, se possibile, la possibilità di autenticarsi in X da remoto (aggiungete -nolisten tcp alla riga di comando di X e disabilitate XDMCP nel file <filename>/etc/X11/xdm/xdm-config</filename> impostando a 0 la requestPort).

en: Disable remote access to printers
it: Disabilitate l'accesso dall'esterno alle stampanti.

en: Tunnel any IMAP or POP sessions through SSL or <command>ssh</command>; install stunnel if you want to provide this service to remote mail users
it: Effettuate il tunneling di qualsiasi sezione POP o IMAP attraverso SSL o <command>ssh</command>; installate stunnel se volete fornire questo servizio agli utenti remoti del servizio di posta.

en: Set up a log host and configure other machines to send logs to this host (<filename>/etc/syslog.conf</filename>)
it: Impostate un log host e configurate tutti gli altri host a spedire i log a questo host (<filename>/etc/syslog.conf</filename>).

en: Secure BIND, Sendmail, and other complex daemons (run in a <command>chroot</command> jail; run as a non-root pseudo-user)
it: Rendete sicuri BIND, Sendmail e altri demoni complessi (eseguiteli in una gabbia <command>chroot</command>; eseguiteli come pseudo-utente non-root).

en: Install tiger or a similar network intrusion detection tool.
it: Installate tiger o un simile strumento di logging.

en: Do without NIS and RPC if you can (disable portmap).
it: Se possibile, fate a meno di NIS ed RPC (disabilitate portmap).

en: Policy issues
it: Documenti sulle politiche adottate

en: Educate users about the whys and hows of your policies. When you have prohibited something which is regularly available on other systems, provide documentation which explains how to accomplish similar results using other, more secure means.
it: Educate gli utenti a comprendere i perché ed i come delle vostre politiche. Quando proibite qualcosa che è regolarmente disponibile su altri sistemi, fornite documentazione che spieghi come raggiungere i risultati voluti utilizzando altri mezzi più sicuri.

en: Prohibit use of protocols which use clear-text passwords (<command>telnet</command>, <command>rsh</command> and friends; ftp, imap, http, ...).
it: Proibite l'uso di protocolli che usano password in chiaro (<command>telnet</command>, <command>rsh</command> e simili; ftp, imap, http, ...).

en: Prohibit programs which use SVGAlib.
it: Proibite i programmi che usano SVGAlib.

en: Use disk quotas.
it: Usate la gestione delle quote disco.

en: Keep informed about security issues
it: Tenetevi informati circa le notizie riguardanti la sicurezza

en: Subscribe to security mailing lists
it: Iscrivetevi a mailing list di sicurezza.

en: Also remember to periodically run <command>apt-get update ; apt-get upgrade</command> (perhaps install as a <command>cron</command> job?) as explained in <xref linkend="security-update" />.
it: Ricordatevi anche di eseguire periodicamente <command>apt-get update; apt-get upgrade</command> (potreste farlo eseguire ad un job <command>cron</command>?) come spiegato in <xref linkend="security-update" />.

en: Setting up a stand-alone IDS
it: Configurazione ed installazione di un sistema autonomo IDS

en: Install a base Debian system and select no additional packages.
it: Installare un sistema di base Debian senza selezionare pacchetti aggiuntivi.

en: Install one of the Snort versions with database support and configure the IDS to log alerts into the database.
it: Installare una versione di Snort con supporto ai database e configurare l'IDS per registrare gli avvisi in un database.

en: Download and install BASE (Basic Analysis and Security Engine), or ACID (Analysis Console for Intrusion Databases). Configure it to use the same database than Snort.
it: Scaricare ed installare BASE (Basic Analysis and Security Engine), o ACID (Analysis Console for Intrusion Databases). Configurare il software scelto per utilizzare lo stesso database usato da Snort.

en: Download and install the necessary packages<footnote><para>Typically the needed packages will be installed through the dependencies</para></footnote>.
it: Scaricare ed installare i pacchetti necessari<footnote><para>Solitamente i pacchetti di cui avete bisogno vengono installati come dipendenza.</para></footnote>.

en: This system should be set up with at least two interfaces: one interface connected to a management LAN (for accessing the results and maintaining the system), and one interface with no IP address attached to the network segment being analyzed. You should configure the web server to listen only on the interface connected to the management LAN.
it: Questo sistema dovrebbe essere configurato con almeno due interfacce: una connessa ad una LAN gestionale (per avere accesso ai risultati e gestire il sistema) e l'altra senza indirizzo IP collegata al segmento di rete che state analizzando. Dovreste configurare il server web per rimanere in ascolto solo sull'interfaccia connessa alla LAN gestionale.

en: You should configure both interfaces in the standard Debian <filename>/etc/network/interfaces</filename> configuration file. One (the management LAN) address can be configured as you would normally do. The other interface needs to be configured so that it is started up when the system boots, but with no interface address. You can use the following interface definition:
it: Dovreste configurare entrambe le interfacce nel file di configurazione standard di Debian <filename>/etc/network/interfaces</filename>. Un indirizzo (quello di gestione della LAN) può essere configurato come fareste solitamente. L'altra interfaccia dovrebbe essere inizializzata all'avvio del sistema, ma senza indirizzo d'interfaccia. Potete usare la seguente definizione d'interfaccia:

en: Setting up a bridge firewall
it: Impostare un bridge firewall

en: To configure the kernel with necessary support, run <literal>make menuconfig</literal> or <literal>make xconfig</literal>. In the section <emphasis>Networking options</emphasis>, enable the following options:
it: Per configurare il kernel con il necessario supporto, eseguite <literal>make menuconfig</literal> o <literal>make xconfig</literal>. Nella sezione <emphasis>Networking options</emphasis>, abilitate le seguenti opzioni:

en: Caution: you must disable this if you want to apply some firewalling rules or else <command>iptables</command> will not work:
it: Attenzione: dovete disabilitare questa opzione se volete applicare delle regole di firewall, altrimenti <command>iptables</command> non funzionerà.

en: Once these steps are complete, you can complete the configuration of your bridge. The next section presents two different possible configurations for the bridge, each with a hypothetical network map and the necessary commands.
it: Una volta completati questi passaggi, potete completare la configurazione del vostro bridge. La sezione successiva mostra due diverse possibili configurazioni per il bridge, ognuna con un'ipotetica mappa di rete ed i comandi necessari.

en: A bridge providing NAT and firewall capabilities
it: Un bridge con funzionalità NAT e firewall

en: The first configuration uses the bridge as a firewall with network address translation (NAT) that protects a server and internal LAN clients. A diagram of the network configuration is shown below:
it: La prima configurazione utilizza il bridge come un firewall con traslazione degli indirizzi di rete (NAT), che protegge un server ed i client della LAN interna. Un diagramma della configurazione di rete viene mostrato qui sotto:

en: The following commands show how this bridge can be configured.
it: Le seguenti istruzioni mostrano come sia possibile configurare questo bridge.

en: A bridge providing firewall capabilities
it: Bridge con funzionalità di firewall

en: A second possible configuration is a system that is set up as a transparent firewall for a LAN with a public IP address space.
it: Una seconda configurazione possibile è un sistema configurato come un firewall trasparente per una LAN con spazio di indirizzi IP pubblici.

en: If you traceroute the Linux Mail Server, you won't see the bridge. If you want access to the bridge with <command>ssh</command>, you must have a gateway or you must first connect to another server, such as the "Mail Server", and then connect to the bridge through the internal network card.
it: Se eseguite un traceroute verso il Linux Mail Server, non vedrete il bridge. Se volete accedere al bridge con <command>ssh</command>, dovete avere un gateway, altrimenti dovreste prima connettervi ad un altro server, come il "Mail Server" ed in seguito connettervi al bridge tramite la scheda di rete interna.

en: Basic IPtables rules
it: Regole base di IPtables

en: This is an example of the basic rules that could be used for either of these setups.
it: Questo è un esempio delle regole base che potreste usare indistintamente per queste due configurazioni.

en: Basic Iptables rules
it: Regole base di IPtables

en: Sample script to change the default Bind installation.
it: Script di esempio per modificare l'installazione predefinita di Bind

en: This script is here for historical purposes and to show how you can automate this kind of changes system-wide. The script will create the user and groups defined for the name server and will modify both <filename>/etc/default/bind</filename> and <filename>/etc/init.d/bind</filename> so that the program will run with that user. Use with extreme care since it has not been tested thoroughly.
it: Questo script viene qui riportato per ragioni storiche e per mostrare come si possa automatizzare questo tipo di cambiamenti per tutto il sistema. Lo script creerà l'utente ed i gruppi definiti dal server dei nomi e modificherà entrambi i file <filename>/etc/default/bind</filename> e <filename>/etc/init.d/bind</filename>, così il programma verrà eseguito con quell'utente. Usate estrema cautela poiché non è stato collaudato estensivamente.

en: The previous script, run on Woody's (Debian 3.0) custom <command>bind</command> (version 8), will modify the initd file after creating the 'named' user and group and will
it: Lo script precedente, che funziona sulla versione 8 di <command>bind</command> per Woody (Debian 3.0), modificherà il file in init.d dopo aver creato l'utente ed il gruppo 'named'.

en: Security update protected by a firewall
it: Aggiornamenti di sicurezza protetti da un firewall

en: After a standard installation, a system may still have some security vulnerabilities. Unless you can download updates for the vulnerable packages on another system (or you have mirrored security.debian.org for local use), the system will have to be connected to the Internet for the downloads.
it: Dopo un'installazione standard, la sicurezza di un sistema potrebbe presentare ancora delle vulnerabilità. A meno che voi non scarichiate gli aggiornamenti da un altro sistema (o abbiate fatto il mirror di security.debian.org per un uso locale), il sistema dovrà essere collegato ad internet per i download.

en: When doing an update on a system not protected by an external system like a firewall, it is possible to properly configure your local firewall to restrict connections involving only the security update itself. The example below shows how to set up such local firewall capabilities, which allow connections from security.debian.org only, logging all others.
it: Quando si esegue un aggiornamento, su di un sistema non protetto da un altro sistema esterno, come un firewall, è possibile configurare adeguatamente il vostro firewall locale per limitare le connessioni alle sole riguardanti gli aggiornamenti per la sicurezza. L'esempio qui di seguito mostra come configurare un tale firewall, per autorizzare solo le connessioni da security.debian.org e registrare tutte le altre.

en: The following example can be use to setup a restricted firewall ruleset. Run this commands from a local console (not a remote one) to reduce the chances of locking yourself out of the system.
it: Il seguente esempio può essere utilizzato per impostare un insieme di regole restrittive del firewall. Eseguite questi comandi da una console locale (non da remoto) per ridurre il rischio di rimanere tagliati fuori da un eventuale blocco del sistema.

en: FIXME: This needs DNS to be working properly since it is required for security.debian.org to work. You can add security.debian.org to /etc/hosts but now it is a CNAME to several hosts (there is more than one security mirror)
it: Questo richiede che il DNS funzioni correttamente, dato che serve per far funzionare security.debian.org. Potete aggiungere security.debian.org ad /etc/hosts ma attualmente è un CNAME a svariati host (c'è più di un mirror di sicurezza).

en: FIXME: this will only work with HTTP URLs since ftp might need the ip_conntrack_ftp module, or use passive mode.
it: FIXME: ciò funzionerà solo con le URL HTTP poiché ftp potrebbe richiedere il modulo ip_conntrack_ftp module, oppure utilizzare la modalità passiva.

en: You have two options to setup a restricted remote shell:
it: Avete due opzioni per impostare una shell remota con restrizioni:

en: Chrooting the ssh users, by properly configuring the ssh daemon you can ask it to chroot a user after authentication just before it is provided a shell. Each user can have their own environment.
it: Confinare gli utenti ssh in un ambiente chroot; configurando correttamente il demone ssh potete chiedergli di confinare un utente in un ambiente chroot dopo l'autenticazione, subito prima che gli venga fornita una shell. Ogni utente può avere il proprio ambiente.

en: Chrooting the ssh server, since you chroot the ssh application itself all users are chrooted to the defined environment.
it: Mettere il server ssh in chroot poiché, se l'applicazione ssh stessa viene messa in chroot tutti gli utenti sono in chroot all'interno dell'ambiente definito.

en: The first option has the advantage of making it possible to have both non-chrooted and chrooted users, if you don't introduce any setuid application in the user's chroots it is more difficult to break out of it. However, you might need to setup individual chroots for each user and it is more difficult to setup (as it requires cooperation from the SSH server). The second option is more easy to setup, and protects from an exploitation of the ssh server itself (since it's also in the chroot) but it will have the limitation that all users will share the same chroot environment (you cannot setup a per-user chroot environment).
it: La prima opzione ha il vantaggio di rendere possibile la compresenza di utenti non in chroot ed utenti in chroot; se non vengono introdotte applicazioni setuid negli ambienti chroot dell'utente, è più difficile evaderne. Comunque, potrebbe essere necessario impostare ambienti chroot individuali per ciascun utente e quindi sarebbe più difficile da configurare (perché richiede cooperazione da parte del server SSH). La seconda opzione è più facile da configurare e protegge dallo sfruttamento di un possibile baco nel server ssh stesso (dal momento che anch'esso è all'interno del chroot) ma avrà una limitazione che consiste nell'obbligo della condivisione, da parte di tutti gli utenti, del medesimo ambiente chroot (non si può configurare un ambiente chroot utente per utente).

en: Chrooting the ssh users
it: Mettere gli utenti ssh in chroot

en: You can setup the ssh server so that it will chroot a set of defined users into a shell with a limited set of applications available.
it: &Egrave; possibile impostare il server ssh in modo che metta in chroot un certo insieme di utenti dentro una shell con una scelta limitata di applicazioni disponibili.

en: Modify <filename>/etc/pam.d/ssh</filename> to use this PAM module, add as its last line<footnote><para>You can use the <emphasis>debug</emphasis> option to have it send the progress of the module to the <emphasis>authpriv.notice</emphasis> facility</para></footnote>:
it: Modificare <filename>/etc/pam.d/ssh</filename> per usare questo modulo PAM, ed aggiungere come ultima riga<footnote><para>Potete usare l'opzione <emphasis>debug</emphasis> per fare in modo che spedisca il progresso raggiunto dal modulo al sistema <emphasis>authpriv.notice</emphasis>.</para></footnote>:

en: Configure <filename>/etc/security/chroot.conf</filename> so that the users you determine are chrooted to the directory you setup previously. You might want to have independent directories for different users so that they will not be able to see neither the whole system nor each other's.
it: Configurate <filename>/etc/security/chroot.conf</filename>, così che determinati utenti siano in chroot nella directory che avete configurato precedentemente. Potreste anche voler avere diverse directory indipendenti per utenti diversi così che non siano in grado di vedere né il sistema nella sua interezza né i file l'uno dell'altro.

en: Configure SSH: Depending on your OpenSSH version the chroot environment might work straight of the box or not. Since 3.6.1p2 the <emphasis>do_pam_session()</emphasis> function is called after sshd has dropped privileges, since chroot() needs root priviledges it will not work with Privilege separation on. In newer OpenSSH versions, however, the PAM code has been modified and do_pam_session is called before dropping priviledges so it will work even with Privilege separation is on. If you have to disable it modify <filename>/etc/ssh/sshd_config</filename> like this:
it: Configurate SSH: a seconda della versione di OpenSSH, l'ambiente in chroot potrebbe funzionare direttamente appena installato oppure no. Dalla versione 3.6.1p2 la funzione <emphasis>do_pam_session()</emphasis> viene chiamata dopo che sshd ha ridotto i privilegi, poiché, siccome chroot() necessita dei privilegi di root, naturalmente non funzionerà con l'opzione Privilege separation on. In versioni più recenti di OpenSSH, invece, il codice PAM è stato modificato e <emphasis>do_pam_session()</emphasis> viene chiamato prima di ridurre i privilegi, cosi funzionerà anche con Privilege separation on. Se dovete disabilitarlo, modificate come segue <filename>/etc/ssh/sshd_config</filename>:

en: If you don't disable <emphasis>Privilege Separation</emphasis> you will need an <filename>/etc/passwd</filename> which includes the user's UID inside the chroot for <emphasis>Privilege Separation</emphasis> to work properly.
it: Se non disabilitate l'opzione <emphasis>Privilege Separation</emphasis> avrete bisogno di un <filename>/etc/passwd</filename> che includa l'UID dell'utente all'interno del chroot perché <emphasis>Privilege Separation</emphasis> funzioni correttamente.

en: This is because the ssh daemon, which is running as 'sshd', is not be able to make the chroot() system call. To disable Privilege separation you have to modify the <filename>/etc/ssh/sshd_config</filename> configuration file as described above.
it: Questo perché il demone ssh, che viene eseguito come 'sshd', non è in grado di eseguire la chiamata di sistema chroot(). Per disabilitare l'opzione Privilege separation, dovrete modificare il file di configurazione <filename>/etc/ssh/sshd_config</filename>, come descritto in precedenza.

en: Notice that if any of the following is missing the users will not be able to logon to the chroot:
it: Notate che se uno dei seguenti manca, gli utenti non saranno in grado di autenticarsi in chroot:

en: The <filename>/proc</filename> filesystem needs to be mounted in the users' chroot.
it: Il filesystem <filename>/proc</filename> dev'essere montato nel chroot dell'utente.

en: The necessary <filename>/dev/pts/</filename> devices need to exist. If the files are generated by your running kernel automatically then you have to manually create them on the chroot's <filename>/dev/</filename>.
it: I file dispositivo necessari in <filename>/dev/pts/</filename> devono esistere. Se i file vengono generati automaticamente dal kernel in esecuzione allora devono esser creati manualmente nella <filename>/dev/</filename> del chroot.

en: The user's home directory has to exist in the chroot, otherwise the ssh daemon will not continue.
it: La home directory dell'utente deve esistere nel chroot, altrimenti il demone ssh smetterà di funzionare.

en: You can debug all these issues if you use the <emphasis>debug</emphasis> keyword in the <filename>/etc/pam.d/ssh</filename> PAM definition. If you encounter issues you might find it useful to enable the debugging mode on the ssh client too.
it: Si può correggere dai vari errori ognuna di queste questioni se usate la parola chiave <emphasis>debug</emphasis> nella definizione PAM di <emphasis>/etc/pam.d/ssh</emphasis>. Se incontrate altre questioni potreste trovare interessante abilitare il modo di debug anche nel client ssh.

en: Note: This information is also available (and maybe more up to date) in <filename>/usr/share/doc/libpam-chroot/README.Debian.gz</filename>, please review it for updated information before taking the above steps.
it: Notate che queste informazioni sono disponibili (e probabilmente anche più aggiornate) nel file <filename>/usr/share/doc/libpam-chroot/README.Debian.gz</filename>, per favore controllatelo per aggiornarvi sulle ultime novità prima di eseguire la suddetta procedura.

en: Patching the <command>ssh</command> server
it: Applicare una patch al server <command>SSH</command>

en: After applying the patch, modify <filename>/etc/passwd</filename> by changing the home path of the users (with the special <literal>/./</literal> token):
it: Dopo aver applicato la patch, modificate il file <filename>/etc/passwd</filename>, cambiando il percorso della directory home degli utenti (utilizzando la combinazione di caratteri speciale <literal>/./</literal>):

en: This will restrict <emphasis>both</emphasis> remote shell access, as well as remote copy through the <command>ssh</command> channel.
it: In questo modo viene limitato <emphasis>sia</emphasis> l'accesso remoto alla shell <emphasis>che</emphasis> la copia remota attraverso il canale <command>ssh</command>.

en: Make sure to have all the needed binaries and libraries in the <command>chroot</command>'ed path for users. These files should be owned by root to avoid tampering by the user (so as to exit the <command>chroot</command>'ed jailed). A sample might include:
it: Bisogna accertarsi di avere tutti i binari e le librerie necessarie nel path soggetto a <command>chroot</command> per gli utenti. Questi file dovrebbero essere di proprietà di root per evitare che gli utenti li manomettano (per sfuggire dalla gabbia <command>chroot</command>). Un esempio potrebbe comprendere:

en: Chrooting the ssh server
it: Eseguire un chroot del server ssh

en: If you create a chroot which includes the SSH server files in, for example <filename>/var/chroot/ssh</filename>, you would start the <command>ssh</command> server <command>chroot</command>'ed with this command:
it: Se create un ambiente chroot che contiene al suo interno i file usati dal server ssh, per esempio <filename>/var/chroot/ssh</filename>, potrete avviare il server ssh contenuto in tale ambiente con il seguente comando:

en: That would make startup the <command>sshd</command> daemon inside the chroot. In order to do that you have to first prepare the contents of the <filename>/var/chroot/ssh</filename> directory so that it includes both the SSH server and all the utilities that the users connecting to that server might need. If you are doing this you should make certain that OpenSSH uses <emphasis>Privilege Separation</emphasis> (which is the default) having the following line in the configuration file <filename>/etc/ssh/sshd_config</filename>:
it: Questo avvierebbe il demone <command>sshd</command> all'interno dell'ambiente chroot. A tal fine dovrete assicurarvi che la directory <filename>/var/chroot/ssh</filename> contenga il server SSH e tutti i programmi che gli utenti che si collegheranno tramite ssh potrebbero voler usare. In tal caso, dovrete anche controllare che SSH usi la <emphasis>separazione dei privilegi</emphasis> (normalmente nella configurazione base è così) e che la seguente riga sia presente nel file <filename>/etc/ssh/sshd_config</filename>:

en: That way the remote daemon will do as few things as possible as the root user so even if there is a bug in it it will not compromise the chroot. Notice that, unlike the case in which you setup a per-user chroot, the ssh daemon is running in the same chroot as the users so there is at least one potential process running as root which could break out of the chroot.
it: In tal modo il server SSH eseguirà come utente root solo le operazioni strettamente indispensabili; conseguentemente, verranno minimizzate le possibilità che un baco nel server SSH permetta di compromettere l'intero sistema. Notate che, a differenza della configurazione in cui assegnate ad ogni utente il proprio ambiente chroot, in questa configurazione il demone ssh condivide l'ambiente di chroot con altri utenti, perciò vi è almeno un processo con privilegi di root che, se compromesso, potrebbe essere usato per uscire fuori dalla gabbia chroot.

en: Notice, also, that in order for SSH to work in that location, the partition where the chroot directory resides cannot be mounted with the <emphasis>nodev</emphasis> option. If you use that option, then you will get the following error: <emphasis>PRNG is not seeded</emphasis>, because <filename>/dev/urandom</filename> does not work in the chroot.
it: Notate inoltre che, per assicurare il corretto funzionamento del demone ssh nell'ambiente chroot, la partizione dove risiede la directory usata dall'ambiente chroot non può essere montata con l'opzione <emphasis>nodev</emphasis> attiva: in tal caso, poiché <filename>/dev/urandom</filename> non funziona in chroot, otterreste il seguente errore: <emphasis>PRNG is not seeded</emphasis> (NdT: il generatore di numeri pseudo-casuali non riesce a ottenere un punto da cui partire).

en: Setup a minimal system (the really easy way)
it: Come creare un sistema minimale (nella maniera più semplice possibile)

en: Automatically making the environment (the easy way)
it: Creazione automatica dell'ambiente chroot (nella maniera più semplice possibile)

en: The advantage of programs that automatically generate <command>chroot</command> environments is that they are capable of copying any package to the <command>chroot</command> environment (even following the package's dependencies and making sure it's complete). Thus, providing user applications is easier.
it: Il vantaggio dei programmi che sono in grado di generare automaticamente un ambiente <command>chroot</command> risiede nella loro capacità di inserire un qualsiasi pacchetto (ed eventualmente le dipendenze di tale pacchetto) automaticamente nell'ambiente <command>chroot</command>. In questo modo, fornire al demone i pacchetti di cui ha bisogno risulta molto più semplice.

en: To set up the environment using <command>makejail</command>'s provided examples, just create <filename>/var/chroot/sshd</filename> and use the command:
it: Per creare un ambiente chroot per il demone ssh sfruttando gli esempi forniti con <command>makejail</command>, create la directory <filename>/var/chroot/sshd</filename> ed usate il comando :

en: This will setup the chroot in the <filename>/var/chroot/sshd</filename> directory. Notice that this chroot will not fully work unless you:
it: Tale comando creerà l'ambiente chroot richiesto nella directory <filename>/var/chroot/sshd</filename>. Notate che affinché il tutto funzioni correttamente è necessario che voi:

en: Mount the <emphasis>procfs</emphasis> filesystem in <filename>/var/chroot/sshd/proc</filename>. <command>Makejail</command> will mount it for you but if the system reboots you need to remount it running:
it: Montiate il filesystem <emphasis>procfs</emphasis> nella directory <filename>/var/chroot/sshd/proc</filename>. Il programma <command>Makejail</command> effettua automaticamente tale operazione, ma in caso di riavvio del sistema il filesystem dovrà essere rimontato usando il comando :

en: You can also have it be mounted automatically by editing <filename>/etc/fstab</filename> and including this line:
it: Si può anche farlo montare in automatico modificando il file <filename>/etc/fstab</filename> e aggiungendo questa riga:

en: Read the sample file to see what other changes need to be made to the environment. Some of these changes, such as copying user's home directories, cannot be done automatically. Also, limit the exposure of sensitive information by only copying the data from a given number of users from the files <filename>/etc/shadow</filename> or <filename>/etc/group</filename>. Notice that if you are using Privilege Separation the <emphasis>sshd</emphasis> user needs to exist in those files.
it: Leggete il file di esempio per vedere quali altre modifiche all'ambiente devono essere fatte. Alcuni di questi cambiamenti, come la copia della directory home dell'utente, non possono essere fatti automaticamente. Inoltre, limitate l'esposizione di informazioni sensibili copiando solo i dati di un dato numero di utenti dai file <filename>/etc/shadow</filename> o <filename>/etc/group</filename>. Notate che se state usando Privilege Separation l'utente <emphasis>sshd</emphasis> deve esistere in questi file.

en: For Debian release 3.1 you have to make sure that the environment includes also the common files for PAM. The following files need to be copied over to the chroot if <command>makejail</command> did not do it for you:
it: Per la distribuzione di Debian 3.1, assicuratevi che l'ambiente includa anche i file comuni per PAM. I seguenti file devono essere copiati all'interno del chroot se <command>makejail</command> non lo ha fatto per voi:

en: Manually creating the environment (the hard way)
it: Ambiente fatto a mano (nella maniera più brutale)

en: Introduction
it: Introduzione

en: The <command>chroot</command> utility is often used to jail a daemon in a restricted tree. You can use it to insulate services from one another, so that security issues in a software package do not jeopardize the whole server. When using the <command>makejail</command> script, setting up and updating the chrooted tree is much easier.
it: L'utilità <command>chroot</command> viene usata spesso per imprigionare un demone in un settore sottoposto a limitazioni, per isolare reciprocamente dei servizi, in modo che problemi di sicurezza in un pacchetto software non mettano in pericolo l'intero server. Usando lo script <command>makejail</command>, impostare ed aggiornare la zona sottoposta a chroot è più facile.

en: Licensing
it: Licenza

en: Installing the server
it: Installare il server

en: Log in as <command>root</command> and create a new jail directory:
it: Autenticatevi come <command>root</command> e creare una nuova directory-gabbia:

en: Create a new user and a new group. The chrooted Apache server will run as this user/group, which isn't used for anything else on the system. In this example, both user and group are called <command>chrapach</command>.
it: Create un nuovo utente ed un nuovo gruppo. Il server Apache sottoposto a "chroot" sarà attivo in qualità di nuovo utente/gruppo, usato, nel sistema, solo a questo fine. In questo esempio, entrambi vengono chiamati <command>chrapach</command>.

en: FIXME: is a new user needed? (Apache already runs as the apache user)
it: FIXME: Occorre un nuovo utente? Apache è già attivo come utente Apache.

en: Install Apache as usual on Debian: <literal>apt-get install apache</literal>
it: Installate Apache come d'uso, su Debian: <literal>apt-get install apache</literal>.

en: Set up Apache (e.g. define your subdomains, etc.). In the <filename>/etc/apache/httpd.conf</filename> configuration file, set the <emphasis>Group</emphasis> and <emphasis>User</emphasis> options to <literal>chrapach</literal>. Restart Apache and make sure the server is working correctly. Now, stop the Apache daemon.
it: Impostate Apache (definite i vostri sottodomini, etc.) e, nel file di configurazione <filename>/etc/apache/httpd.conf</filename>, impostate <emphasis>Group</emphasis> ed <emphasis>User</emphasis> come <literal>chrapach</literal>. Riavviate Apache ed assicuratevi che funzioni correttamente. A questo punto, fermate il demone Apache.

en: Install <command>makejail</command> (available in Debian/testing for now). You should also install <command>wget</command> and <command>lynx</command> as they will be used by <command>makejail</command> to test the chrooted server: <literal>apt-get install makejail wget lynx</literal>
it: Installate <command>makejail</command> (disponibile, per ora, in Debian/testing) ed anche <command>wget</command> e <command>lynx</command>, giacché vengono usati da <command>makejail</command> per collaudare il server sottoposto a "chroot": <literal>apt-get install makejail wget lynx</literal>.

en: Copy the sample configuration file for Apache to the <filename>/etc/makejail</filename> directory:
it: Copiate il file della configurazione esemplificativa per Apache nella cartella <filename>/etc/makejail</filename>:

en: Edit <filename>/etc/makejail/apache.py</filename>. You need to change the <emphasis>chroot</emphasis>, <emphasis>users</emphasis> and <emphasis>groups</emphasis> options. To run this version of <command>makejail</command>, you can also add a <command>packages</command> option. See the <ulink name="makejail documentation" url="http://www.floc.net/makejail/current/doc/" />. A sample is shown here:
it: Modificate <filename>/etc/makejail/apache.py</filename>, cambiando le opzioni di <emphasis>chroot</emphasis>, <emphasis>users</emphasis> e <emphasis>groups</emphasis>. Per eseguire questa versione di <command>makejail</command>, potete aggiungere anche l'opzione <command>packages</command>. Vedete nella <ulink url="http://www.floc.net/makejail/current/doc/" name="documentazione di makejail" />. Un esempio potrebbe essere questo:

en: <emphasis>FIXME:</emphasis> some options do not seem to work properly. For instance, <filename>/etc/shadow</filename> and <filename>/etc/gshadow</filename> are not copied, whereas <filename>/etc/password</filename> and <filename>/etc/group</filename> are fully copied instead of being filtered.
it: <emphasis>FIXME:</emphasis> pare che alcune opzioni non funzionino correttamente. Per esempio, <filename>/etc/shadow</filename> e <filename>/etc/gshadow</filename> non vengono copiate, mentre <filename>/etc/password</filename> e <filename>/etc/group</filename> sono state copiate completamente, invece di essere filtrate.

en: Create the chroot tree: <literal>makejail /etc/makejail/apache.py</literal>
it: Create il sottoalbero sottoposto a chroot: <literal>makejail /etc/makejail/apache.py</literal>

en: If <filename>/etc/password</filename> and <filename>/etc/group</filename> were fully copied, type:
it: Qualora <filename>/etc/password</filename> ed <filename>/etc/group</filename> siano stati copiati completamente, per sostituirli con copie filtrate, digitate:
