ACADEMIA DE STUDII ECONOMICE BUCURESTICIBERNETICA, STATISTICA SI INFORMATICA ECONOMICA

Studiu de caz- Firewall -

2013

Conţinut:

Conţinut:.............................................................................................................................................21. Introducere........................................................................................................................................32. Securitatea prin firewall...................................................................................................................43. Componentele unui firewall.............................................................................................................64. Tipuri de Firewall.............................................................................................................................8

4.1 Filtru de pachete.........................................................................................................................84.2 Proxy la nivel aplicaţie...............................................................................................................84.3 Inspecţia de tip statefull a pachetelor.........................................................................................94.4 Zonă DeMilitarizată...................................................................................................................9

5. Implementarea securităţii prin firewall..........................................................................................106. Procurarea unui firewall.................................................................................................................117. Probleme ale sistemelor firewall....................................................................................................138. Configurarea sistemului firewall utilizând sistemul de operare Windows XP Professional..........149. Cum funcţionează un firewall?.......................................................................................................1610. Avantajele şi dezavantajele unui sistem firwall...........................................................................17

10.1. Avantajele unui firewall....................................................................................................1710.2 Dezavantajele unui firewall................................................................................................17

12. Firewall: este de ajuns sau nu?.....................................................................................................1913. Limitari si mituri ale Firewall-urilor............................................................................................2014. CentOS.........................................................................................................................................2115. Top 10 vulnerabilitati care pot aparea intr-un sistema informatic...............................................2316. Concluzii......................................................................................................................................23Bibliografie........................................................................................................................................25

2

1. Introducere

În economia actuală informaţia este unul dintre cele mai importante bunuri ale unei organizaţii, probabil inferioară doar resurselor umane. Fiecare aspect al societăţii, inclusiv mediul de afaceri este influenţat de faptul că trăim într-o societate informaţională în care aproape totul este interconectat. Asta nu înseamnă că fiecare aspect al vieţii este online, ci mai degrabă că, indiferent dacă cineva participă sau nu, el este afectat de acest aspect.

Din perspectiva afacerilor, informaţia a devenit unul dintre cele mai de preţ bunuri. Astfel, securitatea informaţiei are o importanţă deosebită pentru companiile care vor să implementeze afaceri electronice. Principala problemă referitoare la securitatea acestora este că însăşi natura informaţiei împreună cu mediul de creare, dezvoltare, stocare şi transmisie - calculatoarele, reţelele de comunicaţii şi în mod special Internetul, care este prin concepţie un mediu deschis şi nesecurizat - sunt foarte greu de controlat. În ziua de astăzi este foarte uşor să creezi, să modifici şi să transmiţi informaţia.

Avansul tehnologic în capacitatea de calcul şi interconectivitatea au dus la o situaţie în care prin eforturi mici e posibil să se poată crea pagube foarte mari. Breşele de securitate accidentale sau intenţionate sunt din ce în ce mai frecvente şi mai uşor de găsit, fiind din ce în ce mai greu să securizezi informaţia. Astfel asigurarea securităţii totale este practic imposibil de realizat. Această situaţie reprezintă în acelaşi timp atât o oportunitate, cât şi o provocare. Este o oportunitate deoarece există posibilitatea de a crea şi exploata o valoare, oferind soluţii viabile la această problemă şi în acelaşi timp o provocare, pentru că fără o soluţie realistă şi fezabilă care să ofere afacerilor siguranţa necesară pentru transformarea în afaceri online, un potenţial economic important rămâne neutilizat. Sondajele arată că lipsa securităţii tranzacţiilor este unul din motivele cheie pentru care clienţii ezită să cumpere online.

Firewall-urile software sunt instalate pe calculatorul care trebuie protejat si limiteaza conexiunile care sunt acceptate intre aplicatiile care ruleaza pe calculator si reteaua (retelele) la care calculatorul este conectat. Este posibil pentru un firewall software sa identifice care aplicatie doreste sa faca o conexiune, care vrea sa trimita sau sa primeasca date. Aceasta se traduce prin posibilitatea implementarii unor reguli care sa permita unor aplicatii sa se conecteze la porturile lor specifice si sa le refuze accesul celor neinregistrate. De exemplu, accesul la serverul de mail local ar putea fi restrictionat pentru un anume tip de client e-mail.    Cea mai mare problema cu firewall-urile software este ca ruleaza pe aceeasi platforma hardware ca si aplicatiile pe care trebuie sa le controleze si sa le protejeze. Acest neajuns face ca si in eventualitatea in care un atac de tip DoS este blocat complet de catre fierwall, atacul va consuma din resursele aceleasi platforme pe care ruleaza si aplicatiile ce trebuiesc protejate putand face executia si raspunsul acestora foarte lente.    Firewall-urile software sunt componente care au drepturi de acces dintre cele mai inalte si de cele mai multe ori sunt parte ale kernelului sistemului de operare unde nu exista un control efectiv al accesului. Din aceasta cauza exploatarea defectelor unui firewall-ului vor conduce in general la compromiterea completa a sistemului.    Folosirea firewall-urilor software ca singura metoda de protectie nu este recomandata pentru echipamentele importante dar reprezinta o solutie foarte buna in conjunctie cu firewall-urile hardware

3

deoarece pot implementa un nivel superior de control al aplicatiilor individuale. Firewall-urile software pot restrictiona accesul catre alte calculatoare din retea, fapt ce altfel ar necesita un numar mare de firewall-uri hardware.

2. Securitatea prin firewall

În literatura de specialitate, în diverse standarde şi referinţe bibliografice au fost identificate o multitudine de definiţii ale conceptului. Câteva definiţii reprezentative ale conceptului de firewall sunt: [1] – un firewall este un agent care îngrădeşte traficul de reţea într-un anumit mod, blocând traficul pe care îl consideră nepotrivit şi/sau periculos; [2] – un firewall este un sistem sau un grup de sisteme care aplică o politică de control al accesului între două reţele; [3] – un firewall creează o barieră prin care traficul, în fiecare direcţie, trebuie să treacă. O politică de securitate a firewall-ului va decide care tip trafic este autorizat să treacă în fiecare direcţie.

Pe baza acestor definiţii se pot extrage câteva caracteristici generale, pe care un sistem firewall trebuie sa le încorporeze şi anume:

a. traficul unei reţele, indiferent de direcţie (interior <–> exterior) trebuie sa treacă prin firewall.

b. doar traficul autorizat poate trece prin firewall.c. firewall-ul implementează politici de securitate.d. firewall-ul permite monitorizarea traficului.

Un firewal (zid de protecţie, perete antifoc) este un sistem de protecţie plasat între două reţele care are următoarele proprietăţi :

- obligă tot traficul dintre cele două reţele să treacă prin el şi numai prin el, pentru ambele sensuri de transmisie ;

- filtrează traficul şi permite trecerea doar a celui autorizat prin politica de securitate ;- este el însuşi rezistent la încercările de penetrare, ocolire, spagere exercitate de diverşi.

Un firewall nu este un simplu ruter sau calculator care asigură securitatea unei reţele. El impune o politică de securitate, de control a accesului, de autentificare a clienţilor, de configurare a reţelei. El protejează o reţea sigură din punct de vedere al securităţii de o reşţea nesigură, în care nu putem avea încredere.

Fiind dispus la intersecţia a două reţele, un firewall poate fi folosit şi pentru alte scopuri dcât controlul accesului :

4

Reţea protejată Internet

FirewallTrafic

autorizat

Fig.1. Dispunerea unui firewall

- pentru monitorizarea comunicaţiilor dintre reţeaua internă şi cea externă (servicii folosite, volum de trafic, frecvenţa accesării, distribuţia în timp de etc.);

- pentru interceptarea şi înregistrarea tuturor comunicaţiilor dintre cele două reţele ;- pentru criptare în reţele virtuale.

Există patru tehnici generale pe care un firewall le utilizează, pentru controlul accesului, si anume:

a. controlul serviciului – determină tipurile de servicii Internet care pot fi accesate, filtrarea lor putându-se realiza pe baza adreselor IP; a numărului de port; prin utilizarea unor proxy care vor interpreta cererile serviciilor, înainte de a le înainta;

b. controlul direcţiei - determină direcţia pe care un anumit tip de serviciu are acces prin firewall;

c. controlul utilizatorilor – controlează accesul utilizatorilor interni ai reţelei la anumite tipuri de servicii; pentru utilizatorii externi este necesară implementarea unor tehnici de autentificare securizată.

d. controlul comportamentului – controlează modul în care anumite servicii sunt folosite;

Firewall-urile nu sunt sisteme infailibile, acestea având anumite limitări. Un sistem firewall nu poate proteja reţeaua împotriva unor atacuri venite din interior sau care ocolesc sistemul, datorită unor drepturi speciale. Firewall-ul nu este un sistem antivirus, deoarece în atribuţiile sale nu se regaseşte opţiunea de scanare a mesajelor. Sistemele antivirus se utilizează în mod complementar, pentru a nu supraîncarca activitatea specifică sistemelor firewall.

5

3. Componentele unui firewall

Componentele fundamentale ale unui firewall sunt:- politica de control a acesului la servicii;- mecanismele de autentificare;- filtrarea pachetelor;- serviciile proxy şi porţile de nivel aplicaţie.

Politica de control a acesului la servicii defineşte în mod explicit acele servicii care sunt permise şi carte sunt refuzate, precum şi cazurile de exepţii şi condiţiile în care pot fi acceptate. O politică realistă trebuie să asigure un echilibru între protejarea reţelei faţă de anumite riscuri cunoscute şi asigurarea accesului utilizatorilor la resurse. Mai întâi se defineşte politica de acces la serviciile reţelei, ca politică de nivel înalt, după care se defineşte politica de proiectare a firewall-ului ca politică subsidiară.

Se pot implementa diverse politici de acces la servicii:- interzicerea accesului din Internet la reţeaua proprie şi accesul invers, din reţea spre

Internet;- accesul din Internet dar numai spre anumite staţii din reţeaua proprie, cum ar fi

serverele de informaţii, serverele de e-mail;- accesul din internet spre anumite sisteme locale dar numai în situaţii speciale ţi

numai după autentificare reciprocă.

Politica de proiectare a firewall-ului se bazează pe două sub-politici:1. ceea ce nu este interzis în mod explicit este permis2. ceea ce nu este permis în mod explicit este interzis. Prima subpolitică este mai puţin oportună deoarece oferă posibiulităţi de a ocoli sistemul de

securitate prin firewall. Pot apărea servicii noi, necunoscute, se pot folosi porturi TCP/UDP nestandard etc. Eficienţa unui sistem firewall de protecţie a unei reţele depinde de de politica de acces la servicii, de politica de proiectare a firewall-ului şi de arhitectura acestuia.

Un serviciu securitate foarte eficient relizabil prin firewall este filtrarea pachetelor. El permite sau blochează trecerea unor anumite tipuri de pachete în funcţie de un sistem de reguli stabilite de administratorul de securitate. De exemplu filtrarea pachetelor IP se poate face după diferite câmpuri din antetul său: adresa IP a sursei, adresa IP a destinaţiei, tipul protocol (TCP sau UDP), portul sursă sau portul destinaţie etc.

Filtrarea se poate face într-o varietate de moduri: blocare conxiuni spre sau dinspre anumite sisteme gazdă sau reţele, blocarea anumitor porturi etc.

Filtrarea de pachete se realizează, de obicei, la nivelul ruterelor. Multe rutere comerciale au capacitatea de a filtra pachete pe baza câmpurilor din antet.

Filtrarea pachetelor se face după reguli care fac parte din configurarea ruterului şi care pot fi reguli explicite sau implicite. De exemplu, interzicerea a tot ce nu este permis în mod explicit este o interzicere implicită. Regula filtrării implicite este mai bună din punct de vedere al securităţii deoarece ne asigură că în afara cazurilor pe care le dorim să treacă, celelalte sunt filtrate, deci sunt eviitate situaţii neprevăzute de acces. Regulile fac parte din configuraţia ruterului. Pentru a decide trimiterea sau blocarea unui pachet, regulule sunt parcurse pe rând, până se găseşte o concordanţă şi se conformeză acesteia. Dacă nu se găseşte o asemenea concordanţă, pachetului i se aplică regula implicită. În cazul filtrării după adresă, există următoarele riscuri:

1. simpla filtrare nu poate fi sigură deoarece adresa sursă poate fi falsificată. Un răuvoitor poate simula că trimite pachete de la un utilizator de încredere. El nu va primi răspuns, dar simplul acces în reţea poate reprezenta o ameninţare.

6

2. atacul de tip “omul din mijloc” în care un atacator de interpune pe calea dintre sursă şi destinaţie şi interceptează pachetele venind din ambele sensuri. Evitarea unei asemenae situaţii se poate face prin autentificare reciprocă folosind mecanisme criptografice avansate.

7

4. Tipuri de Firewall

Trei tipuri principale de firewall-uri sunt descrise în literatura de specialitate: filtre de pachete, proxy-uri la nivel aplicaţie şi filtre bazate pe inspecţia de tip statefull a pachetelor.

4.1 Filtru de pachete

Acest tip de sistem firewall se bazează pe aplicarea unui set de reguli asupra tuturor pachetelor IP care sunt recepţionate sau transmise. Setul de reguli se bazează pe verificarea informaţiilor conţinute în cadrul pachetelor şi aplicarea unei politici de tip discard/forward.

Figura 2. Filtru de pachete

Informaţiile verificate pot cuprinde câmpurile:- adresa IP sursă;- adresa IP destinaţie;- interfaţa;- protocolul de nivel transport;- numărul portului sursă/destinaţie;

Avantajul acestei metode este dat de simplitatea şi rapiditatea sa fiind, de regulă, transparent faţă de utilizatori.

4.2 Proxy la nivel aplicaţie

Acest tip de firewall presupune existenţa unei entităţi intermediare, care va prelua cererile clienţilor, le va procesa şi le va înainta în numele clientului către hosturile remote. Proxy-ul va respinge acele cereri de servicii pentru care nu există reguli, sau care încalcă regulile definite.

Avantajul acestei metode este reprezentat de nivelul de izolare, introdus pentru clienţi, faţă de exteriorul reţelei. Astfel, staţiile clienţilor îşi vor pastra anominatul, deoarece toate cererile acestora vor fi prelucrate prin intermediul proxyului. Aceasta este o măsură pentru creşterea securităţii clienţilor reţelei. Un dezavantaj al acestui sistem de firewall îl reprezintă overheadul de procesare introdus pe fiecare conexiune.

Figura 3. Proxy la nivel aplicaţie

8

4.3 Inspecţia de tip statefull a pachetelor

Inspecţia de tip statefull a pachetelor aduce îmbunatăţiri de securitate filtrelor de pachete, fără a introduce în reţea o încarcare de procesare care să conducă la scăderea vitezei de transmisie. Acest tip de filtru va păstra o evidenţă a sesiunilor de reţea active. De asemenea, se utilizează timeout-uri configurabile pentru eliminarea, din evidenţă, a sesiunilor inactive.

Un exemplu de firewall care utilizează inspecţia de tip statefull a pachetelor este ICMP Pachetele ICMP sunt folosite pentru a raporta informaţii legate de starea reţelei. Însă

pachetele ICMP pot fi utilizate de utilizatorii externi pentru a afla topologia reţelei interne, sau pentru a încerca atacuri de tip DoS (Denial Of Service). Pentru evitarea acestor probleme, ruterele vor păstra o tabelă cu cererile ICMP care sunt originare din interiorul reţelei private, pentru a putea face o potrivire cu răspunsurile ICMP care vor sosi din exteriorul reţelei. Astfel, doar pachetele ICMP care au un corespondent în tabela ruterului vor fi permise.

Principalul avantaj al acestei metode este reprezentat de viteza de procesare şi de flexibilitate la introducerea unor noi tipuri de protocoale. Însă, inspecţia de tip statefull a pachetelor este mai puţin sigură comparativ cu proxyurile la nivel aplicaţie.

4.4 Zonă DeMilitarizată

Sistemele firewall descrise anterior presupuneau existenţa a două tipuri de interfeţe, şi anume interfaţa interioară (cea sigură) şi interfaţa exterioară (cea nesigură). Însă, odată cu dezvoltarea serviciilor de reţea s-a dovedit că este necesară adăugarea unui nou tip de interfaţă, o interfaţă neutră, denumită DMZ (Zonă DeMilitarizată).

Figura 4. Concept DMZ

Accesul la noua zonă este filtrată de firewall, atât pentru utilizatorii externi, cât şi pentru cei externi. Zona DMZ joacă rolul unui proxy, permiţând expunerea unor servicii către utilizatorii externi (ex. servicii web, servicii de mail), fără a permite accesul în cadrul reţelei private. În acest mod, se obţine un grad mai ridicat de securitate al reţelei private.

9

5. Implementarea securităţii prin firewall

Implementarea securităţii printr-un sistem firewall se poate face respectând următorii paşi:- Definirea politicii de securitate prin firewall- Definirea cerinţelor de funcţionare şi securitate prin firewall- Procurarea unui firewall- Administrarea unui firewall.

Politica de securitate prin firewall are două niveluri de abordare: politica de acces la servicii şi politica de proiectare a firewall-ului. Gradul de îndeplinire a securităţii pe cele două nivele depinde în mare măsură de arhitectura sistemului firewall. Pentru a defini o politică de proiectare a firewall-ului, trebuie examinate şi documentate următoarele:

Ce servicii urmează a fi folosite în mod curent şi ocazional Cum şi unde vor fi folosite (local, la distanţă, prin Internet, de la domicilui) Care este gradul de sensibilitate al informaţiei, locul unde se află şi ce persoane au

acces au ‚acces ocazional sau curent Care sunt riscurile asociate cu furnizarea accesului la aceste informaţii Care este costul asigurării protecţiei

În vederea procurării componenetelor soft şi hard ale unui sistem firewall, trebuie definite cât se poate de concret cerinţele de funcţionalitate şi de securitate ale acestuia. Pentru aceasta este recomandabil să se ţină seama de următoarele aspecte:

În ce măsură poate fi suportată o politică de securitate impusă de organizaţie şi nu de sistem în sine

Flexibilitatea, gradul de adaptabilitate la nio servicii sau ceinţe determinate de schimbările în politica de securitate

Să conţină mecanisme avansate de autentificare sau posibilităţi de instalare a acestora Să foloseească tehnici de filtrare de tip permitere/interzicere acces la sisteme, aplicaţii,

servicii Regulile de filtrare să permitpă selectarea şi combinarea cât mai multor atribute (adrese,

porturi, protocoale) Pentru servicii ca TELNET, FTP etc să permită folosirea serviciului proxy individuale sau

comune Firewall-ul şi accesul public în reţea trebuie corelate astfel încât serverele informaţionale

publice să poată fi portejate de de firewall, dar să poată fi separate de celelalte sisteme de reţea care nu furnizează acces public

Posibilitatea ca firewall-ul şi sistemul de operare să poată fi actualizate periodic

10

6. Procurarea unui firewall

Există două variante de procurare a unui firewall: realizare proprie sau de pe Internet variante libere şi cumpărarea unui produs profesional la cheie. Ambele au avantaje şi dezavantaje. Un firewall de firmă este puternic, verificat şi oferă multe facilităţi dar este mai scump. Unul construit pentru o anumită organizaţie sau reţea permite ca specialiştii firmei să înţeleagă specificaţiile de proiectare şi de utilizure a acestuia.

Înainte de a se lua decizia de procurare trebuie să se afle răspunsuri la intrebări de felul:- cum se va verifica dacă produsul firewall respectă cerinţele funcţionale- cum poate fi testat împotriva diverselor atacuri- cine, cum şi cu ce mijloace va face întreţinerea, repararea, actualizarea sa- cum şi cine va face instruirea utilizatorilor- cun vor fi rezolvate eventuale incidente de securitate.

Un exemplu de produs firewall de firmă este CISCO IOS Firewall care include următoarele funcţii:

- filtrarea traficului IP şi protejarea reţelei impotriva atacurilor din exterior;- filtrarea traficului la nivelul aplicaţie;- controlul accesului la resurse pe baza informaţiilor furnizate de serviciul de AAA

(Authentication, Authorization, and Accounting);Stateful Packet Inspection (SPI) reprezintă componenta de bază a CISCO IOS Firewall. SPI

asigură detecţia şi protecţia împotriva atacurilor DoS, ca de exemplu: scanarea porturilor, iniţializarea abuzivă de conexiuni TCP (SYN Flooding), trimiterea de pachete modificate cu scopul de a bloca accesul legitim la servicii.

CISCO IOS Firewall este capabil să trimită alerte în timp real, să semnaleze şi să preîntâmpine utilizarea nelegitimă a resurselor.Accesul din internet la resursele intranet poate fi protejat prin utilizator şi parola şi acţiunile utilizatorilor înregistrate cu ajutorul serviciului de AAA (authentication, authorization, and accounting).

CISCO IOS Firewall oferă analiza traficului la nivelul aplicaţie, preîntâmpină utilizarea abuzivă a unora dintre cele mai cunoscute servicii: HTTP (Hypertext Transfer Protocol), POP (Post Office Protocol), IMAP (Internet Message Access Protocol), SMTP (Simple MailTransfer Protocol).

Exemple de implementare a CISCO IOS Firewall:Exemplul 1

Angajaţii au acces securizat la resursele companiei aflate în sediul central. Vizitatorii au acces doar la reţeaua internet. Aplicaţiile P2P (DC++, Torent) şi aplicaţiile de chat pot fi restricţionate.

11

Figura 5. CISCO IOS Firewall

Exemplul 2 Angajaţii au acces securizat la resursele companiei aflate în sediul central. Vizitatorii au acces doar la reţeaua internet. Aplicaţiile P2P (DC++, Torent) şi aplicatiile de chat pot fi restricţionate. Traficul către serverele WEB este analizat, asigură protecţia impotriva atacurilor DoS.

Fig 6. CISCO IOS Firewall

Exemplul 3Accesul angajaţilor la serverele WEB se face cu o autentificare prealabilă, autentificare

gestionată de către serverul care asigură serviciul de AAA.

Fig 7. CISCO IOS Firewall

12

7. Probleme ale sistemelor firewallPrincipalele cauze ale eşuărilor sistemelor firewall sunt:

1. Probleme de neglijenţă

Unele probleme legate de sistemele firewall apar datorită neglijenţei utilizatorilor sau a administratorilor, fără a exista o intenţie maliţioasă. Cauza principală a problemelor de firewall este reprezentată de greşelile administrative. Aceste probleme apar datorită următorilor factori:

a. seturi de reguli foarte mari;b. schimbările de personal (administratorii firewal-urilor);c. reguli neactualizate/învechite;d. lipsa documentaţiei pentru politicile de securitate/seturile de reguli implementate;

2. Corupere intenţionată

Datorită faptului că unii utilizatori doresc o mai mare funcţionalitate decât le permite firewall-ul, sau datorită faptului că o persoană din exterior doreşte acces la resursele interne ale reţelei, apar problemele legate de coruperea intenţionată a firewall-ului.

3. Probleme legate de modalitatea de funcţionare a reţelelor de calculatoare

Acest tip de probleme apare datorită modului în care reţelele de calculatoare au fost proiectate, şi anume:

a. probleme legate de fragmentarea pachetelor IPb. probleme legate de accesul prin intermediul serviciului ftpc. probleme legate de pachetele de dimensiuni foarte mici

13

8. Configurarea sistemului firewall utilizând sistemul de operare Windows XP Professional

Paşii necesari pentru accesarea sistemului firewall sunt:1. Start2. Settings3. Control Panel4. Security Center5. Windows Firewall

a. Tab-ul General

Cele trei moduri de operare ale Windows Firewall sunt:- OnFirewall-ul va bloca, în mod implicit, toate cererile nesolicitate, cu excepţia celor definite în tab-ul Exceptions.- On with no exceptionsFirewall-ul va bloca, în mod implicit, toate cererile nesolicitate, inclusiv cele definite în tab-ul Exceptions. Utilizarea acestui mod de operare este recomandat dacă computerul este conectat la o reţea publică, unde este nevoie de o protecţie maximă, şi se realizează prin selectarea opţiunii Don't allow exceptions.- OffFirewall-ul va fi deactivat.

b. Tab-ul Exceptions

În mod implicit, firewall-ul blochează conexiunile de intrare în reţea. Windows Firewall permite configurarea unor excepţii pentru servicii şi programe. Aceste excepţii sunt prezentate în secţiunea Programs and Services.

Adăugarea unor excepţii pentru programe:- Click butonul Add Program.- Se va deschide fereastra Add a Program.- Se va selecta un program din cadrul listei, sau se va adăuga un alt program prin selectarea opţiunii Browse.

- Pentru fiecare program selectat se poate alege aria de aplicare (selectarea computerelor pentru care programul selectat nu va fi blocat), prin selectarea butonului Change Scope. Cele trei opţiuni disponibile sunt:

- Any computer;- My network (subnet) only;- Custom list – specificarea unei liste de adrese IP;

Adăugarea unor excepţii pentru servicii, prin selectarea porturilor şi a protocoalelor care nu vor fi blocate de către firewall:

- Click butonul Add Port;- Se va deschide fereastra Add a Port;

- Se va completa câmpul Name cu un nume sugestiv;- Se va completa câmpul Port Number;- Se va selecta protocolul (UDP/TCP);

14

- Pentru fiecare serviciu selectat se poate alege aria de aplicare (selectarea computerelor pentru care serviciul definit nu va fi blocat), prin selectarea butonului Change Scope.

Fiecare dintre excepţiile definite pot fi modifcate prin selectarea excepţiei şi apoi a butonului Edit sau pot fi şterse prin selectarea butonului Delete.c. Tab-ul Advanced

Permite selectarea conexiunilor de reţea care vor fi protejate de către firewall. De asemenea, prin selectarea butonului Restore Defaults, se vor reseta opţiunile firewall-ului la un nivel implicit.

Pentru testarea funcţionalităţilor sistemului Windows Firewall se vor rula diferite aplicaţii de reţea, utilizând cele trei tipuri de funcţionare descrise în tab-ul General. Se vor defini excepţii, atât pentru programe, cât şi pentru servicii.

15

9. Cum funcţionează un firewall?

Un firewall, lucrează îndeaproape cu un program de routare, examinează fiecare pachet de date din reţea (fie cea locală sau cea exterioară) ce va trece prin serverul gateway pentru a determina daca va fi trimis mai departe spre destinaţie. Un firewall include de asemenea sau lucrează împreună cu un server proxy care face cereri de pachete în numele staţiilor de lucru ale utilizatorilor. În cele mai întâlnite cazuri aceste programe de protecţie sunt instalate pe calculatoare ce îndeplinesc numai această funcţie şi sunt instalate în faţa routerelor.

Există doua metode de blocare a traficului folosite de firewall-uri. Astfel, un firewall permite orice fel de trafic atâta timp cât nu este îndeplinită o anumită condiţie sau blochează traficul atâta timp cât nu este îndeplinită o condiţie. Paravanele de protecţie pot să se ocupe de tipul de trafic sau de adresele şi porturile sursei sau destinaţiei. Acestea pot să folosească un set de reguli pentru analizarea datelor aplicaţiilor pentru a determina dacă traficul este permis.

Felul în care un firewall determină ce trafic este permis depinde de stratul reţelei (network layer) la care operează.. În următoarea diagramă este prezentată funcţionarea firewall-urilor.

Figura 8. Funcţionarea Firewall

Soluţiile firewall se împart în două mari categorii: prima este reprezentată de soluţiile profesionale hardware sau software dedicate protecţiei întregului trafic dintre o reţea şi Internet, iar cea de a doua categorie este reprezentată de firewall-urile personale dedicate monitorizării traficului pe calculatorul personal.

Utilizând o aplicaţie din cea de a doua categorie se pot preîntâmpină atacurile venite din partea celor care încearcă să acceseze prin mijloace mai mult sau mai puţin ortodoxe resurse de pe PC-ul utilizatorului. În situaţia în care este disponibilă o conexiune la Internet, un firewall personal va oferi un plus de siguranţă transmisiilor de date.

Cum astăzi majoritatea utilizatorilor tind să schimbe clasica conexiune dial-up cu modalităţi de conectare mai eficiente (cablu, ISDN, xDSL sau telefon mobil), pericolul unor atacuri reuşite asupra sistemului conectat la internet creşte. Astfel, mărirea lărgimii de bandă a conexiunii la Internet facilitează posibilitatea de "strecurare" a intruşilor nedoriţi.

Astfel, un firewall este folosit pentru doua scopuri: pentru a păstra în afara reţelei utilizatorii rău intenţionaţi (viruşi, viermi cybernetici, hackeri,

crackeri) pentru a păstra utilizatorii locali (angajaţii, clienţii) în reţea

16

10. Avantajele şi dezavantajele unui sistem firwall

10.1. Avantajele unui firewall

Într-un mediu fără firewall securitatea reţelei se bazează exclusiv pe securitatea calculatoarelor gazdă care trebuie să coopereze pentru realizarea unui nivel corespunzător de securitate. Cu cât reţeaua este mai mare, cu atât este mai greu de asigurat securitatea fiecărui calculator. Folosirea unui firewall asigură câteva avantaje:

1) Protecţia serviciilor vulnerabile prin filtrarea (blocarea) acelora care în mod obişnuit sunt inerent mai expuse. De exemplu un firewall poate bloca intrarea sau ieşirea dintr-o reţea protejată a unor servicii expuse cum ar fi NFS, NIS etc. De asemenea mecanismul de dirijare a pachetelor din Internet poate fi folosit pentru rutarea traficului către destinaţiii compromise. Prin intermediul ICMP firewall-ul poate rejecta aceste pachete şi informa administratorul de reţea despre incident.

2) Impunerea unei politici a accesului în reţea deoarece un firewall poate controla accesul într-o reţea privată. Unele calculatoare pot făcute accesibile dei exterior şi altele nu. De exemplu, serviciile de poştă electronică şi cele informaţionele pot fi accesibile numai pe unele calculatoare din reţeaua internă protejându-le pe celelalte de expuneri la atacuri.

3) Concentrarea securităţii pe firewall reduce mult costurile acestei faţă de cazul în care ar fi distribuită pe fiecare staţie. Folosirea altor soluţii cum ar fi Kerberos, implică modificări la fiecare sistem gazdă, ceea ce este mai greu de implementat şi mai costisitor.

4) Întărirea caracterului privat al informaţiei care circulă prin reţea. În mod normal o informaţie considerată pe bună dreptate nesenzitivă (navigarea pe Web, citirea poştei electronice etc.) poate aduce atacatorilor informaţii dorite despre utilizatori : cât de des şi la ce ore este folosit un sistem, dacă s-a citit poşta electronică, site-urile cele mai vizitate etc. Asemenea iformaţii sunt furnizate de serviciul finger, altfel un serviciu util în Internet. Folosirea unui firewall poate bloca asemenea servicii cum ar fi finger, DNS etc. Blocarea ieşirii în exterior a informaţiei DNS referitoare la sistemele gazdă interne, numele şi adresele IP, ascunde informaţie foarte căutată de atacatori.

5) Monitorizarea şi realizarea de statistici privind folosirea reţelei sunt mult uşurate dacă întregul trafic spre şi dinspre Internet se face printr-un singur punct (firewall).

10.2 Dezavantajele unui firewall

Folosirea unui firewall are şi unele limitări şi dejavantaje, inclusiv unele probleme de securitate pe care nu le poate rezolva.

1. Restricţionarea accesului la unele servicii considerate vulnarabile care sunt des solicitate de utişlizatori : FTP, telnet, http, NSf etc. Uneori politica de securitate poate impune chiar blocarea totală a acestora.

2. Posibilitatea existenţei “unor uşi secrete” Un firewall nu poate proteja împotriva unor trape care pot apărea în reţea, de exemplşu accesul prin modem la unele cailculatoare gazdă. Folosirea modemuri de viteză mare pe o conexiune PPP sau SLIP deschide o “uşă” neprotejabilă prin firewall.

3. Firewall-ul nu asigură protecţie faţă de atacurile venite din interior. Scurgerea de informaţii, atacurile cu viruşi, distrugerea intenţionată din interiorul reţelei nu pot fi protejate de firewall.

17

4. Reducerea vitezei de comunicaţie cu exteriorul (congestia traficului) este o problemă majoră a unui firewall. Ea poate fi depăşită prin alegerea unor magistrale de mare viteză la interfaţa acestuia cu reţeaua internă şi cea externă.

5. Fiabilitatea reţelei poate fi redusă dacă şi chiar dezastruoasă dacă sistemul firewall nu este fiabil.

Comparând avantajele şi limitările securităţii prin firewall se poate concluziona că protejarea resurselor unei reţele este bine să se facă atât prin sisteme firewall cât şi prin alte meeanisme şi sisteme de securitate.

18

12. Firewall: este de ajuns sau nu?

Un firewall poate sa apere un server de multe probleme cum ar fi atacuri, incercari de brute force, port scanning, etc., insa nu este de ajuns de obicei. Trebuie gasit un echilibru pentru a sti cand sa te bazezi doar pe un firewall sau cand ai nevoie si de alte masuri de protectie.

Spunem acest lucru deoarece exista persoane care cred ca daca un server este securizat la maximum, cu reguli stricte si cu politici de securitate aspre, nu se poate intampla nimic rau cu siteul lor. Am intalnit clienti care considera ca o politica de securitate a serverului poate sa ii salveze de probleme generate de pierderea sau furtul parolei de pe calculatorul propriu.

Nu, un server bine securizat va poate proteja doar de problemele sau actiunile ce au loc asupra serverului, nu va va proteja parola de la mail daca va logati de la un calculator public de exemplu si niciodata nu o sa va protejeze scripturile daca dvs nu le tineti actualizate, mai ales atunci cand apar updateuri de securitate. Degeaba este un server dedicat securizat la maxim daca o persoana rauvoitoare are parola de la sectiunea de administrare a siteului dumneavoastra: logandu-se cu date de acces legitime/valide, nu va fi blocat de catre server

Atacatorii scaneaza vulnerabilitatile din servere si cauta posibile brese de securitate sau “porti de intrare”. De obicei astfel de portite sunt porturile de retea de pe server. Cu cat mai multe porturi sunt deschise pe un server dedicat, cu atat mai mult este expus acel server. Cu toate astea, nu se pot opri toate porturile de pe server, unele trebuie sa ramana deschise, cum sunt porturile pentru serviciul de mail: 25 si 110 sau portul 80 pentru serverul web ca sa vi se poata incarca websiteul.

De cele mai multe ori exista masuri de protectie si din partea data centerului unde se afla acel server, la nivel de routere sau alta aparatura de retea. Si firewall de tip software este util sa ruleze pe un server si sa aiba in actiune si masuri proactive cum ar fi blocarea automata a scanarii de porturi sau unele atacuri de tip DDoS.

Se mai pot practica si alte masuri de securitate cum ar fi software de “hardening” sau imbunatatirea securitatii aplicatiilor, un exemplu este Suhosin pentru PHP hardening.

In concluzie: indiferent cat de multe firewalluri sau masuri de securitate exista pe un server dedicat sau in datacenter, nu veti fi protejati niciodata in cazul in care folositi o parola usor de ghicit, o aplicatie web neactualizata si cu vulnerabilitati sau scripturi scrise gresit sau nesecurizate. Deci masuri de protectie trebuie sa existe si la nivelul utilizatorului final: posesorul websiteului sau al contului de hosting.

Un firewall poate să:• monitorizeze căile de pătrundere în reţeaua privată, permiţând în felul acesta o mai

bună monitorizare a traficului şi deci o mai uşoară detectare a încercărilor de infiltrare;• blocheze la un moment dat traficul în şi dinspre Internet;• selecteze accesul în spaţiul privat pe baza informaţiilor conţinute în pachete.• permită sau interzică accesul la reţeaua publică, de pe anumite staţii specificate;• şi nu în cele din urmă, poate izola spaţiul privat de cel public şi realiza interfaţa între

cele două.De asemeni, o aplicaţie firewall nu poate:• interzice importul/exportul de informaţii dăunătoare vehiculate ca urmare a acţiunii

răutăcioase a unor utilizatori aparţinând spaţiului privat (ex: căsuţa poştală şi ataşamentele);• interzice scurgerea de informaţii de pe alte căi care ocolesc firewall-ul (acces prin

dial-up ce nu trece prin router);• apăra reţeaua privată de utilizatorii ce folosesc sisteme fizice mobile de introducere a

datelor în reţea (USB Stick, dischetă, CD, etc.)

19

• preveni manifestarea erorilor de proiectare ale aplicaţiilor ce realizează diverse servicii, precum şi punctele slabe ce decurg din exploatarea acestor greşeli.

13. Limitari si mituri ale Firewall-urilor

Limitari ale firewall-urilor

Datorita complexitatii unui firewall pot exista si unele defecte neprevazute (vulnerabilitati) care pot fi exploatate. Daca astfel de defecte sunt descoperite o actualizare a firewall-ului este necesara. in cazul firewall-urilor hardware, de cele mai multe ori aceasta presupune un upgrade de firmware.

Un firewall este atat de bun pe cat este configuratia sa. Regulile ar trebuie sa permita accesul doar acelor protocoale de care este nevoie. Una din problemele uzuale este ca regulile speciale care sa permita acces aditional sunt aplicate temporar pentru un proiect sau o activitate pe termen scurt dar ulterior nu mai sunt indepartate. Cand servicii sau echipamente nu mai sunt necesare configuratia nu este intotdeauna "inasprita" pentru a indeparta accesul redundant acum. Defectul nu este aparent deoarece serviciile permise vor continua sa functioneze. Aceasta este dificultatea de baza in intretinerea firewall-urilor -cand accesul ramane permis nimeni nu observa. Un bun control al proceselor de configurare pot ajuta la reducerea acestor probleme.

Chiar daca un firewall a fost configurat corect si functioneaza asa cum ar trebui nu poate oferi protectie completa. Tot ceea ce poate face este sa restranga natura amenintarii doar la acele protocoale de care este nevoie. Amenintari care sunt transportate de protocoalele permise vor trece de firewall. Un exemplu bun il reprezinta e-mail-ul; un firewall poate restrictiona conexiunile astfel incat doar traficul e-mail legitim sa poata patrunde in retea, dar nu va fi capabil sa opreasca date daunatoare care vor fi atasate e-mail-ului decat daca scaneaza aceste date si poate face diferenta intre date bune si date rele.

O greseala comuna care este facuta atunci cand se configureaza un firewall este de a concentra efortul exclusiv pe amenintarile venite din afara si de a presupune ca traficul care isi are originea in reteaua protejata este automat legitim. Aceasta nu mai este o presupunere corecta de cand virusi, troieni sau alte categorii de programe malware pot sa incerce sa trimita date de interes din interior, prin firewall, de cele mai multe ori folosind protocoale des utilizate. Regulile unui firewall ar trebui sa restranga in mod obligatoriu traficul ce iese din retea doar la acele date care sunt necesare.

Un firewall corect configurat face parte, dar doar o singura parte, din modul de aparare a unui sistem. In cel mai bun caz un firewall poate reduce efectele unui atac la minimum pastrand functionalitatea serviciilor, dar nu va putea niciodata rezolva toate problemele care tin de securitatea unui sistem. Prezenta unui firewall poate induce automultumire care duce la neglijarea altor masuri vitale de securitate. Administratorii de sistem, utilizatorii si cei care creaza politicile trebuie sa inteleaga riscurile care exista totusi chiar si cu un firewall configurat si mentinut in conditiile de functionare cele mai bune.

Mituri ale Firewall

»» Un firewall este un dispozitiv hardwareCele mai multe firewall-uri sunt fie hardware, fie software sau o combinaţie între cele două. Un router wireless este firewall de tip hardware.

»» Un firewall poate “apăra” calculatorul de orice posibilă ameninţareUn firewall nu protejează şi de atacurile din interiorul reţelei.

20

»» Un firewall protejează orice schimb de informaţiiUn firewall protejează doar schimburile de informaţii care trec prin “porţile” lui.

»» Un firewall poate proteja un computer şi de ameninţările nou apăruteUn firewall este construit să protejeze numai împotriva ameninţărilor cunoscute. Noi modalităţi de atac informatic sunt concepute mult mai repede decât poate industria IT să creeze noi utilitare dedicate protecţiei şi securităţii.

14. CentOS

CentOS este un sistem de operare bazat pe Linux cu ajutorul caruia se pot adauga reguli de firewall intr-o retea. Acest sistem de operare permite printr-o interfata de management instalarea mai multor reguli de firewall, modificarea acestora, adaugarea exceptiilor, accesul sau interzicerea la anumite porturi etc..

Scopul principal al acestui sistem de operare este de a proteja informatiile dintr-o retea, pe baza unor reguli de firewall, reguli ce sunt actualizate de pluginul Snort ( plugin creat si actualizat de o comunitate online cu ultimele defintii ale vulnerabilitatilor descoperite in materie de securitate ).

21

Aceste seturi de reguli contin definitii de firewall pentru dns, exploit, ftp, scan, smtp, sql etc... Pe baza acestor reguli sistemul poate oprii atacuri ce au ca scop infectarea retelei de calculatoare ( ex: ddos, sql-injection, network scan exploits )

Avantajele principale ale acestui sistem de operare sunt:

Configurare proxy server ce permite adaugarea exceptiilor si blocarea anumitor cuvinte din cadrul unei pagini folosindu-se de serviciul DansGuardian

Server DHCP ce permite alocarea dinamica a IP-urilor in cadrul retelei si blocarea unor calculatoare ce nu apartin retelei astfel reducand riscul de a infecta o retea.

Intrusion Detection – plugin ce actioneaza la toate actiunile ce sunt realizate de catre posibili atacatori pe server. Acesta verifica fiecare actiune dupa care blocheaza accesul in cazul in care anumite reguli sunt incalcate

Gateway Antivirus & Antiphising – pluginuri ce verifica fiecare pagina accesata daca aceasta este virusata sau daca are ca scop furtul de date confidentiale ( conturi de email, parole, carduri etc... )

Firewall – plugin ce contine optiuni pentru adaugarea manuala a unor reguli ( ex: deschiderea unor porturi, port forwarding, DMZ etc ... )

OpenVPN - unul dintre cele mai importante pluginuri ce permite pe baza unui certificat digital si a unei chei de acces conexiunea in retea. Tot traficul ce se realizeaza dinter server si client este criptat prin SSH

Mai jos este un printscreen ce arata cat de des se scaneaza activitatea serverelor si incercarea de a patrunde in acestea:

22

Acest printscreen arata actiunile pe care le ia plugin-ul Snort pe baza regulilor de firewall:

23

15. Top 10 vulnerabilitati care pot aparea intr-un sistema informatic

1. Parole și alte date confidențiale, stocate neprotejat. Anumite date confidențiale din cadrul unei companii pot ajunge în situația de a fi stocate fără nici un fel de protecție sau folosindu-se metode de protejare insuficiente.2. Fișiere publice. În unele situații există fișiere cu date importante ce pot fi accesate foarte ușor din internet, acestea fiind practic publice. Fie că acest lucru se datorează neglijenței sau unei scăpări de securitate, aceste fișiere pot conține date sensibile sau informații utile ce pot fi obiectul unor atacuri informatice.3. Versiuni de software depășite. În producție sunt folosite versiuni de software depășite, cu probleme de securitate critice cunoscute și remediate în versiuni ulterioare. Problemele de securitate cunoscute pot fi exploatate foarte ușor chiar de persoane fără cunoștinte tehnice avansate, existând chiar și aplicații specializate în exploatarea acestor breșe de securitate.4. Dezvăluirea unor detalii tehnice. Există anumite cazuri în care o aplicație dezvăluie detalii tehnice sensibile atunci când una din componentele ei nu funcționează, informații confidențiale fiind făcute publice prin intermediul mesajelor de eroare afișate.5. Lipsa validării datelor pe partea de server. O altă vulnerabilitate a unui sistem informatic, găsită cu regularitate de specialiștii Zitec în audit-urile realizate, este aceea în care se descoperă că validarea datelor introduse de un utilizator se face doar în interfața afișată de browser, nu și la nivel de server. Acest lucru expune aplicația pentru mai multe tipuri de atacuri.6. Conectarea la baza de date se face cu un utilizator care are permisiuni mult peste necesitățile aplicației. Odată compromise datele de acces, atacatorul poate câștiga ușor acces la toate bazele de date, unde pot exista și informații ce aparțin de alte aplicații ale companiei.7. Datele confidențiale nu se transmit folosind un protocol securizat. Uneori se securizează doar câteva pagini (login, register, checkout etc.) și nu tot site-ul, ceea ce face furtul de sesiune/identitate la fel de ușor ca pe un site neprotejat printr-un certificat de securitate.8. Servicii care pot fi vectori de atac. Serverul de producție are pornite servicii neutilizate, care, la rândul lor, au deschise port-uri. Aceste servicii sunt posibili vectori de atac (mai ales că, fiind neutilizate, de obicei nu sunt actualizate la cele mai recente versiuni).9. Fișierele de configurare ale aplicației sunt stocate în directoare publice. Riscul ca datele de configurare, incluzând uneori parole de acces sau alte date sensibile, să fie accesate de personal neautorizat crește foarte mult în acest caz.10. Vulnerabilități în fața unor atacuri de tip Denial of Service. Un exemplu ar fi stabilirea unei limite de memorie per conexiune de 10% (uneori considerabil mai mult) în memoria disponibilă a serverului. Astfel, 10 utilizatori concurenți pot consuma întreaga memorie a serverului.

16. Concluzii

În trecut singurele persoane care accesau reţelele unei afacerei electronice erau angajaţii şi unii parteneri Astăzi cu e-business, nu ştii cine accesează reţelele şi nu ştii dacă poţi să ai încredere în ei. Pentru aceasta e necesară o protecţie a acestei.

Tehnologiile de securitate a informaţiei nu vizează doar prevenirea dezastrelor, ci ele reprezintă mijloace de realizare a obiectivelor de afaceri. Sistemele de securitate sunt absolut necesare pentru asigurarea succesului, prin urmare ele trebuie incluse în procesul de gândire strategică a firmelor. Securitatea informatică trebuie văzută ca un proces care este esenţial în îndeplinirea nevoilor legitime ale partenerilor şi clienţilor şi nu ca ceva care “poate fi adăugat”. Pe de altă parte, companiile trebuie să se asigure că departamentele lor de marketing şi relaţii cu

24

publicul sunt versate în principiile tehnologiilor de securitate a informaţiei pentru a putea comunica efectiv publicului măsurile care sunt luate pentru a proteja banii şi intimitatea clientilor.

În afară de raţiuni comerciale, firmele au obligaţii legale să asigure protecţia datelor personale ale clienţilor lor. Securitatea reprezintă o funcţie care vizează un control complet şi administrarea vulnerabilităţilor şi riscurilor societăţii interconectate. Ele trebuie să asigure confidenţialitatea, posesia (sau controlul), integritatea, autenticitatea, disponibilitatea şi utilitatea informaţiilor şi sistemelor.O soluţie este instalarea unui Firewall.

Astăzi, ca rezultat al reţelelor globale şi al extinderii firmelor dincolo de hotarele tradiţionale apar ca facilitator de oportunităţi,ca un creator de valoare, în particular prin inducerea încrederii în cei implicaţi

Principalul efect nedorit al unei afaceri electronice este pierderea de informatii, care se poate intampla prin scurgeri de date confidentiale, in mod intentionat sau neintentionat (prin phishing sau social engineering).

Fără existenţa unui Firewall se poate ajunge foarte usor la pierderi de contracte, la intreruperea unor relatii de afaceri, la compromiterea unor licitatii sau la pierderea increderii clientilor sau partenerilor companiei in cauza.

De aceea o asigurare a securitatii afacerii duce la o câştigare a încrederii clienţilor şi la o dezvoltarea a afacerii.

După cele prezentate mai sus, o primă concluzie este că un firewall poate securiza total un computer sau o reţea de PC-uri conectate la Internet. Această afirmaţie este eronată din două puncte de vedere. În primul rând un firewall este, la urma urmei, un filtru a cărui rezistenţă şi compoziţie depinde de setările efectuate de utilizator, iar în al doilea rând, programul nu poate împiedica accesul viruşilor de tip troian ce folosesc clientul de mail impicit, programele de chat (ICQ, MSN, Y!, etc.) sau browser-ul de Internet utilizat. Odată rulaţi aceşti viruşi (fie cu ajutorul unei persoane neavizate sau fie prin instalarea directă a acestora în Task Manager), se pot pierde resurse şi timp pentru devirusarea calculatorului sau chiar o mare parte din informaţiile prezente pe harddisk. O educaţie bună a user-ului, blocarea unor anumite porturi şi stabilirea unor proceduri riguroase de control din partea administratorului de reţea, sunt elemente ce duc alături de un echipament firewall hard şi/sau soft la creşterea securităţii unei reţele conectate la Internet, micşorând astfel riscul unor accese nedorite atât din exterior către interior cât şi în sens opus.

25

Bibliografie

Dumitru, George Programe Antivirus Ed. Teora 1997 Victor Valeriu Patriciu Criptorafia şi securitatea reţelelor de calculatoare Ed.

Tehnică 1994 Bucureşti Peter Norton Reţele de calculatoare Ed. Teora 2002 Bucureşti, Terry William Ogletree Firewalls, protecţia reţelelor conectate la Internet, Ed.

Teora 2001 Bucureşti, Tim Parker, Mark Sportack, TCP/IP, Ed. Teora 2002 Bucureşti, Pagini şi publicaţii online de pe Internet pe tema securităţii:

www.symantec.comwww.microsoft.comhttp://www.anbar.co.uk/products/ccsa/home.htmlhttp://www.kumite.com/myths/myths.htm

26