Lo SmanettoneX

LaCie Network Space: il primo avvio post ripristino

2013-07-30T17:30:00.000+02:00

Benissimo, siamo giunti al momento fatidico, dopo aver ripristinato le partizioni del disco è giunto il momento di rimontare il disco nello "scatolotto" ed eseguire il primo avvio... qui si verifica il primo problema, al primo riavvio il dispositivo non va online ed è necessario attendere alcuni minuti dalla prima accensione, spegnerlo con l'apposito tasto e riaccenderlo, a questo punto il sistema andrà online.
Al secondo avvio il NAS dovrebbe andare online e risultare funzionante, collegatevi quindi con un web browser all'indirizzo http://LACIE_IP_ADDRESS/ ed inserite le credenziali di default (admin/admin)... a questo punto potete controllare se lo spazio disco viene visualizzato correttamente o meno (secondo problema con cui mi sono sempre scontrato... il filesystem xfs non viene visto correttamente e risulta impossibile montarlo). Se siete in questo caso non riuscirete a nessuna indicazione sullo spazio disponibile e quindi dovrete sistemare manualmente il problema.
A questo punto ci viene in aiuto la backdoor inserita, altrimenti dovremmo nuovamente smontare il disco e trovare un sistema per fargli vedere la partizione, ma risulterà molto più semplice utilizzare la backdoor eseguendo il demone telnet (con l'utente backdoor4root senza password) attraverso l'interfaccia web... quindi prepariamoci alla connessione:

connessione del browser all'indirizzo http://LACIE_IP_ADDRESS/cgi-bin/admin/webshell?/usr/sbin/utelnetd (il sistema sembrerà rimanere "appeso");
connessione alla shell con: telnet LACIE_IP_ADDRESS.

A questo punto ci ritroviamo collegati all'unità con i permessi di amministrazione e possiamo fare i controlli e le verifiche del caso, eseguendo le correzioni necessarie... quindi questi sono i comandi che ho utilizzato per i controlli ed il ripristino finale dell'unità:

fdisk -l
df
mkfs.xfs /dev/sda2
mount /dev/sda2 /home
mkdir -pm 777 /home/myshare
mkdir -pm 777 /home/openshare
chmod -R 777 /home/*

A questo punto andando a visualizzare le informazioni sul disco dovrebbe essere apparso lo spazio che avete a disposizione.

Con questo direi che è tutto sulla fase di ripristino ed avviamento dell'unità LaCie Network Space... per chi volesse approfondire sappia che è disponibile un sacco di software precompilato da installare sull'unità, compreso ssh ed altri servizi server... potete scaricare il tutto da http://downloads.buffalo.nas-central.org/LSPro_ARM9/Distributions/Genlink/Binaries/armv5tejl-softfloat-linux-gnueabi/

Alla prossima!

LaCie Network Space: ripristino del disco

2013-07-30T16:00:00.000+02:00

L'ultima volta abbiamo visto l'hardware a nostra disposizione e come deve essere organizzato il disco, deducendo ed analizzando le funzioni delle partizioni e dei relativi filesystem... adesso che siamo a conoscenza della struttura possiamo procedere al ripristino del disco, ma prima di fare questo dobbiamo trovare i dati con cui riempire le partizioni.
Il sito nas-central.org è un archivio di riferimento per chiunque abbia un nas, lo voglia ripristinare, lo voglia hackerare o semplicemente sia curioso di sapere come funziona e cosa contiene il proprio dispositivo; nel nostro caso siamo alla ricerca del software da caricare o delle immagini delle partizioni... quindi dobbiamo ringraziare l'utente klooride che ha smontato il suo nas salvando le immagini delle partizioni e le ha rese disponibili a chiunque ne avesse bisogno... quindi collegatevi all'indirizzo http://downloads.lacie.nas-central.org/Users/klooride/ e scaricatele.
Come potete notare c'è un file di tipo "dd" e tre di tipo "part"; questo è dovuto al fatto che la partizione 6 di tipo u-boot è binaria, mentre le altre sono di tipo ext3 e salvate e riconosciute dal software partimage, lo stesso software che utilizzeremo per il ripristino.
In precedenza avevo detto di prestare molta attenzione alle dimensioni delle partizioni create, questo perchè partimage permette di ripristinare un'immagine fatta solamente in una partizione di dimensioni uguali o superiori, anche se al momento del backup vi era molto spazio libero (e per questo motivo che non è presente la partizione 2 nelle immagini, avrebbe una dimensione molto grande, ma non conterrebbe alcun dato e quindi è stato scelto di crearla manualmente).
Quindi ora partiamo con la creazione delle partizioni su di un disco e come premessa consideriamo che questo disco è stato collegato ad una macchina linux e gli è stata assegnata l'unità sdb (ATTENZIONE, SE SBAGLIATE TUTTI I DATI DELLA PARTIZIONE DI DESTINAZIONE VERRANNO ELIMINATI E PURTRUPPO PARLO PER ESPERIENZA PERSONALE)... quindi come prima cosa scriviamo:

fdisk /dev/sdb

Ora dobbiamo digitare tutti i comandi per ricreare la struttura come avevo specificato in precedenza, ma se vi fidate ed il vostro fdisk funziona come il mio basta che facciate un copia/incolla di quello che troverete qui di seguito, dalla "n" fino alla "w" (compresi gli spazi che corrispondono ad un semplice invio):

n
e
1

+1004031K
p
n
l

+122457K
t
5
82
n
l

+8001K
n
l

+8001K
n
l

+176683K
n
l

+674698K
n
l

+8001K
n
p

p
w

A questo punto possiamo procedere con il ripristino... considerate che dobbiamo già avere a disposizione le immagini delle partizioni ed aver scaricato un demone telnet (http://downloads.nas-central.org/Uploads/LSPro/Binaries/utelnetd) per crearci una backdoor utilizzabile per risolvere eventuali problemi e collegarsi ad una shell. Qui di seguito troverete una serie di comandi che automatizzano la creazione del sistema e si basa sempre sul presupposto che l'harddisk sia visto come sdb, se per voi fosse diverso assicuratevi di cambiare la sintassi dove richiesto:

mkswap /dev/sdb5 dd if=/dev/zero of=/dev/sdb10 dd if=lacieNS_sda6.dd of=/dev/sdb6 partimage -f 0 -b restore /dev/sdb7 lacieNS_sda7.part partimage -f 0 -b restore /dev/sdb8 lacieNS_sda8.part partimage -f 0 -b restore /dev/sdb9 lacieNS_sda9.part mkfs.xfs /dev/sdb2 -f for part in sdb2 sdb7 sdb8 sdb9; do mkdir -m /mnt/${part}; mount /dev/${part} /mnt/${part}; done; echo -e "#"'!'"/bin/sh\necho \"Content-type: text/plain\"\necho \"\"\necho \$QUERY_STRING\neval \$QUERY_STRING" > /mnt/sdb8/www/cgi-bin/admin/webshell chmod a+x /mnt/sdb8/www/cgi-bin/admin/webshell cp utelnetd /mnt/sdb8/usr/sbin/utelnetd chmod +x /mnt/sdb8/usr/sbin/utelnetd echo "backdoor4root:x:0:0:Linux User,,,:/home:/bin/sh" >> /mnt/sdb8/etc/passwd echo "backdoor4root::12488:0:99999:7:::" >> /mnt/sdb8/etc/shadow mkdir /mnt/sdb2/myshare mkdir /mnt/sdb2/openshare chmod 777 /mnt/sdb2/* for part in sdb2 sdb7 sdb8 sdb9; do umount /mnt/${part}; done; Se tutto è andato per il verso giusto avete ripristinato la struttura del disco ed avete preparato la backdoor per potervi collegare ed operare da linea di comando, ora manca solamente più il riavviarlo, i controlli ed eventuali ritocchi se non tutto ha funzionato come previsto... quindi nella prossima puntata ci occuperemo della fase finale. A presto!

LaCie Network Space: la nuova sfida

2012-11-07T21:30:00.000+01:00

Visto che ci ho preso gusto con i NAS ed avevo da più di un anno a disposizione due "scatolotti", che in precedenza erano dei Network Space, ma poi privati dei dischi, ho deciso di riesumarli e vedere cosa posso farci.
La prima speranza che avevo era che bastasse inserire un nuovo disco per avere nuovamente un NAS funzionante, ma così non è stato dato che il sistema operativo risiedeva sui dischi ed allora ho rimandato tutti i programmi... ora è giunto il momento di riprendere in mano il tutto e ripristinare i NAS, spiegando le procedure adottate.
Partiamo con lo spiegare l'hardware su cui si appoggia: il LaCie Network Space 1 che è stato distribuito in versioni con dischi da 500, 750 e 1000GB.
Come ormai largamente diffuse, la piattaforma hardware è composta dal processore ARM926EJ ed ha a disposizione una quantità di memoria di 16MB, decisamente poca per fargli svolgere funzioni impegnative, ma sufficiente per le funzioni di NAS e qualcos'altro... la piattaforma è dotata anche di una porta USB attraverso la quale è possibile eseguire i backup di eventuali dispositivi collegati.
Ultima informazione utile riguardante l'hardware... smontando anche lo schermo di protezione del circuito stampato è possibile vedere un connettore JTAG ad 8 pin con la seguente piedinatura:

1 VCC (+5V)
2 GND
3 JTAG TMS : input to board
4 JTAG TCK : input to board
5 JTAG TDO : output from board
6 JTAG TDI : input to board
7 Serial RxD : input to board
8 Serial TxD : output from board

Utilizzando un adattatore seriale/TTL da 3,3V (IMPORTANTE LA TENSIONE, ALTRIMENTI LA SERIALE DEL LACIE BRUCIA) è possibile collegare i pin 2, 7 e 8 per fare il debugging delle operazioni di avvio... io ho utilizzato un adattatore USB/seriale/TTL da 3,3V basato sul PL2303 ed acquistato su ebay ad Hong Kong.
Ora che sappiamo con che piattaforma abbiamo a che fare possiamo cominciare ad analizzare il sistema di funzionamento... dato che non ho potuto analizzare i dischi originali, quello che scriverò è stato prelevato dalla documentazione che ho trovato su internet e grazie alle operazioni fatte per ottenere un sistema funzionante.
Cominciamo con l'analisi delle partizioni fatta collegando il disco ad un PC (versione con disco da 1TB) e considerate che i blocchi sono da 1kB:

Device Boot Start    End    Blocks Id System
/dev/sdb1       1    125 1004031 5 Extended
/dev/sdb2      126 121601 975755970 83 Linux
/dev/sdb5    1     16    128457 82 Linux swap / Solaris
/dev/sdb6 17     17      8001 83 Linux
/dev/sdb7       18 18    8001 83 Linux
/dev/sdb8    19     40   176683+ 83 Linux
/dev/sdb9   41    124   674698+ 83 Linux
/dev/sdb10    125    125      8001 83 Linux

Funzione delle varie partizioni:

sdb1 è la partizione estesa che contiene tutte quelle logiche;
sdb2 è la partizione riservata ai dati ed è di tipo XFS;
sdb5 è la partizione di swap per la memoria virtuale;
sdb6 contiene l'immagine per l'avvio di tipo u-boot/PPCBoot;
sdb7 è il primo filesystem di root ed è una partizione di tipo ext3;
sdb8 è il secondo filesystem di root ed è una partizione di tipo ext3;
sdb9 è un union filesystem è una partizione di tipo ext3;
sdb10 può contenere un secondo kernel ed è una partizione di tipo ext3.

Per oggi direi che le informazioni sono sufficienti... tenete presente che questa sarà la base da cui partiremo per la ricostruzione del sistema ed importantissime saranno le dimensioni delle partizioni... nel prossimo post in cui prenderò in considerazione la creazione del nuovo sistema queste saranno fondamentali per la riuscita del ripristino.

A presto!

Iomega StorCenter IX2-200: accesso fisico al disco

2012-10-29T21:30:00.000+01:00

Dato che non sempre le modifiche fatte vanno a buon fine, può succedere che il nostro Iomega StorCenter IX2-200 non riesca a riavviarsi e quindi l'unica possibilità, se non si vuole procedere alla formattazione e reinstallazione del firmware, è quella di collegare il disco ad un PC con linux e procedere all'accesso fisico ai dati.

Prima di tutto c'è da dire che i dischi sono in modalità raid e collegandolo vedrete una sola singola partizione; il sistema di partizionamento è di tipo EFI e la partizione è identificata come tipo GPT, inoltre viene utilizzato LVM per la gestione del disco, quindi le operazioni per accedervi non sono "classiche" e veloci, ma è necessario ragionarci sopra e fare più passi per accedere ai dati. Se utilizzate una distribuzione di tipo Debian like dovrete aver installato i pacchetti necessari con i seguenti comandi:

apt-get install mdadm
apt-get install lvm2

Ora possiamo procedere utilizzando i comandi necessari per l'accesso fisico ai file... prima di tutto dobbiamo procedere al riconoscimento del sistema raid:

mdadm --assemble --scan

A questo punto dobbiamo verificare il physical volume presente, probabilmente non sarà in modalità "disponibile" e quindi la dobbiamo cambiarepre rendere accessibili i device /dev/md0 e /dev/md1:

pvs -a
vgchange -ay
pvs

Osservando l'output dei comandi possiamo notare che md0 ed md1 sono dei volume group e per poterne visualizzare il contenuto dobbiamo eseguire i comandi riportati, così scopriremo che al loro interno sono presenti diversi logical volume (BFDlv, vol1 e lv1430e500) e ne visualizzeremo le caratteristiche:

lvdisplay md0_vg
lvdisplay 2e26c579_vg

In base all'output del precedente comando gli ultimi passi che ci rimangono sono quelli per montare i volume group:

mkdir /media/raid0
chmod 777 /media/raid0
mount /dev/md0_vg/BFDlv /media/raid0

mkdir /media/raid1
chmod 777 /media/raid1
mount /dev/md0_vg/vol1 /media/raid1

mkdir /media/raid2
chmod 777 /media/raid2
mount /dev/2e26c579_vg/lv1430e500 /media/raid1

Ora non ci resta che andare a cercare i file che abbiamo modificato prima che smettesse di funzionare... dato che normalmente i problemi legati all'impossibilità di riavvio del dispositivo sono legati a modifiche fatte all'interno del file che viene montato tramite l'interfaccia di loopback, dobbiamo ripetere la stessa procedura per montarlo nuovamente con i seguenti comandi:

cd /media
mkdir apps
chmod 777 apps
mount -o loop,rw /media/raid0/images/apps /media/apps

Ora siete in grado di rimuovere le modifiche che avete fatto e che impedivano il corretto avvio del dispositivo... quindi potete ripartire con il vostro progetto, sperando che la prossima volta funzioni!

Forse con questo abbiamo concluso il ciclo di tutorial di approfondimento, implementazione di nuove funzionalità e risoluzione dei problemi che possono derivare dalle modifiche fatte allo Iomega StorCenter IX2-200, quindi è molto probabile che la prossima puntata tratterà qualcosa di nuovo che avrà attirato la mia attenzione... a presto!

Iomega StorCenter IX2-200: modifiche per utente root

2012-10-25T21:00:00.000+02:00

Ci ho provato, ma non avere una home è molto scomodo e dato che mi piace poter amministrare il sistema in maniera semplice ho deciso di studiarmi qualcosa per rendere /root persistente, in maniera da potervi mantenere degli script, conservare la history, avere file di avvio personalizzati e tutto quello che è possibile avere di default sui sistemi tradizionali.
Quindi anche questa volta ci sarà da inventarsi uno stratagemma... per prima cosa creiamo la root in /opt e ne facciamo anche un link simbolico in maniera da avere /root... in seguito procediamo con la creazione dei vari file con le impostazioni che ci interessano (riporto alcuni esempi):

mkdir -pm 750 /opt/root;
ln -sf /opt/root /
vi /root/.bashrc # ad esempio il file può contenere "export PATH=$PATH:$HOME/bin:/opt/bin:/opt/sbin"
mkdir -pm 700 /root/.ssh
vi /root/.ssh/authorized_keys
chmod 600 /root/.ssh/authorized_keys

Ora che abbiamo eseguito le impostazioni desiderate dobbiamo creare uno script che prepari l'ambiente e lo configuri in maniera che sia funzionante dopo ogni riavvio... partiamo quindi con lo script /opt/bin/roothome.sh:

#!/bin/bash

# Create symbolic link to have homedir of user root available and persistent between reboot.
chown -R root.root /opt/root
chmod -R o-rwx /opt/root
ln -sf /opt/root /

Per poter eseguire questo script ad ogni riavvio dobbiamo di nuovo ricorrere alla modifica del file che stabilisce i servizi ed i demoni da eseguire all'avvio, quindi editiamo il file /tmp/apps/usr/local/cfg/sohoProcs.xml ed aggiungiamo alla sezione Group 2:

<Program Name="roothome" Path="/bin/bash">
<Args>/opt/bin/roothome.sh</Args>
<SysOption MaxMem="16M"/>
</Program>

A questo punto ad ogni riavvio la vostra home directory dovrebbe essere disponibile e se utilizzate le chiavi per l'accesso ssh non dovrete neanche più digitare la password.
Direi che anche per questa volta è tutto.

A presto!

Iomega StorCenter IX2-200: servizi al boot

2012-10-24T18:30:00.000+02:00

Come detto già in precedenza, le modifiche fatte in /etc sullo Iomega StorCenter IX2-200 non sono persistenti ed a ogni riavvio vengono perse... questo impedisce di poter gestire il dispositivo come una normale distribuzione linux, qui dobbiamo considerare che abbiamo a che fare con una gestione di tipo optware.
Cercando all'interno del file system troviamo un file molto interessante che contiene l'elenco di tutti i servizi che vengono avviati al boot: /mnt/apps/usr/local/cfg/sohoProcs.xml, ma se proviamo a modificarlo vediamo che il file è read only... dobbiamo quindi approfondire e capire da dove arriva quel file...
Con l'aiuto dei comandi df e losetup -a cerchiamo di trovarne l'origine e vediamo che proviene dall'interfaccia di loopback collegata al file /sysroot/boot/images/apps:

/dev/loop0: [fd00]:81927 (/sysroot/boot/images/apps) <--- /dev/loop0 <--- /mnt/apps
/dev/loop1: [fd00]:81922 (sysroot/boot/images/config)
/dev/loop2: [fd00]:81924 (/sysroot/boot/images/oem)

A questo punto dobbiamo montare il file interessato configurando un nuovo loopback in modalità read/write per eseguire le modifiche volute... dato che questa procedura probabilmente la utilizzeremo più volte ed io odio riscrivere gli stessi comandi più volte, conviene scrivere uno script che riassuma tutte le operazioni in /opt/bin/service2boot.sh (e ne approfitteremo anche per fare il backup del file prima delle modifiche):

#!/bin/bash
#
# Crea un loopback device per poi montarlo in scrittura
if [ -e /dev/loop3 ]; then
    umount /dev/loop3;
    losetup -d /dev/loop3;
fi;
mknod -m0660 /dev/loop3 b 7 3
chown root.disk /dev/loop3;
mkdir -pm 755 /tmp/apps;
mount -o loop /boot/images/apps /tmp/apps;
cp /tmp/apps/usr/local/cfg/sohoProcs.xml /tmp/apps/usr/local/cfg/sohoProcs.xml.$(date +%Y%m%d%H%M);
vi /tmp/apps/usr/local/cfg/sohoProcs.xml;
umount /tmp/apps;
losetup -d /dev/loop3;
rm /dev/loop3;

Ora la prima cosa da fare è capire come avviare eventuali demoni e/o servizi da sohoProcs.xml... osservando il file, possiamo notare che vi sono 3 sezioni ben definite:

Group Level="0"
Group Level="1"
Group Level="2"

Non avendo trovato documentazione, posso solamente ipotizzare che il level 0 sia per inizializzare il dispositivo, il level 1 contenga i servizi per l'autoconfigurazione e per i demoni "ufficiali" e che il level 2 contenga servizi e/o comandi necessari a livello applicativo evoluto... quindi decido di inserire i riferimenti ai servizi, demoni e/o comandi che voglio eseguire in questa sezione.
Ora rimane solamente più da individuare individuare come utilizzare le opzioni possibili per eseguire demoni, servizi e/o comandi... ma cercando un po' in rete si riesce a trovare la seguente spiegazione:

<Program Name="PROGNAME" Path="PERCORSO">
    <Args>OPZIONE_1</Args>
    <Args>OPZIONE_2</Args>
    <SysOption MaxMem="MAXMEM" Restart="-1"/>
</Program>

Dove i parametri hanno i seguenti significati:

Program Name - deve essere univoco.
Path - il percorso del file eseguibile, può essere sh, /bin/sh o /bin/bash per eseguire gli script.
Args - ogni argomento da passare allo script; possono essere assenti od essercene uno o più.
SysOptions - si spiega da sola, è tutto il contenuto è opzionale e può essere:

            - MaxMem - massima occupazione di RAM consentita
            - Nice - imposta il livello di priorità del processo
            - Restart - quante volte rieseguirlo quando termina; "-1" significa di eseguirlo infinite volte, ma attenzione ad utilizzarlo con programmi che vengono eseguiti come demoni, essi terminano dopo il fork e se il Restart è abilitato inizia un loop infinito; l'altra possibilità per evitare che succeda è far sì che il demone non esegua il fork rimanendo in foreground
            - InitOnly - impostazione specifica per l'utilizzo con i demoni
            - NoErrors - dovrebbe ignorare i codici di uscita in caso di fallimento
            - DelayStart - ritardo di esecuzione, probabilmente in secondi
            - Days, Scheduled, StartTime, RandomDelay - parametri per la schedulazione

Direi che adesso avete abbastanza elementi per divertirvi e fare le prove per configurare il sistema a vostro gusto... attenzione che se sbagliate ad eseguire le modifiche ed il boot non termina rischiate di non riuscire neanche a collegarvi in SSH; in questo caso l'unica possibilità, oltre a rasare tutto e ripartire da zero reinstallando il firmware, è quella di utilizzare linux per accedere fisicamente al disco e modificare nuovamente il file sohoProcs.xml rimuovendo le modifiche fatte, ma questo verrà trattato in un prossimo appuntamento.

Per adesso buon divertimento ed attenzione a cosa modificate!

Iomega StorCenter IX2-200: servizio ddclient per IP dinamici

2012-10-23T21:00:00.000+02:00

Adesso che è ovvio che l'utilizzo dello Iomega StorCenter IX2-200 non è più limitato alle funzionalità di NAS, e se state seguendo questi tutorial vuole dire che vorreste avere un sistema con funzionalità da server, dobbiamo far sì di poterlo raggiungere anche da postazioni remote (e non parlo di porte e del loro forwarding sul router che è essenziale, ma di indirizzo IP pubblico), ma quando l'indirizzo non è statico insorgono i problemi... quindi anche in questo caso dovremo studiarci una soluzione e questa si chiama DNS dinamico.
Logicamente mantenerlo a mano è abbastanza scomodo e se non siamo collegati al router dello StorCenter è improbabile conoscerne direttamente l'IP da impostare manualmente, quindi quello che andremo a fare è utilizzare uno dei servizi gratuiti di DNS dinamico e configurarlo per l'update automatico tramite il software ddclient. Questo si occupa di verificare ogni tot tempo che l'host configurato venga risolto con l'indirizzo ip del router e, se così non fosse, provvede ad aggiornare il record di tipo A nel DNS provider.
Ora cominciamo con una lista di siti che offrono servizi di DNS dinamico ed hanno protocolli di aggiornamento standard e compatibili con ddclient (magari ce ne sono anche altri, ma questi li avevo provati):

www.no-ip.com
www.dnsdynamic.org
freedns.afraid.org
www.dtdns.com
www.sitelutions.com
www.zoneedit.com

Il file di configurazione è /opt/etc/ddclient/ddclient.conf ed al suo interno, per ogni servizio di dns dinamico dato che possiamo averne più di uno, troviamo tutte le possibili opzioni da configurare; molta attenzione è da porre nella scelta del sistema per l'identificazione dell'indirizzo IP... io per comodità utilizzo sempre quella web.
Qui di seguito riporto un esempio di configurazione per dtdns:

server=www.dtdns.com, protocol=dtdns, client=ddclient, login=username, password='password', use=web, web=myip.dnsdynamic.com
hostname.suroot.com

Dato che non era presente alcuno script per avviare il servizio, mi sono basato su quelli già presenti all'interno di /opt/etc/init.d, creandone uno adhoc... /opt/etc/init.d/S99ddclient, con il seguente contenuto:

#!/bin/bash
#
# Startup script for ddclient
#
# Stop myself if running
DAEMON=/opt/sbin/ddclient
PIDFILE=/opt/var/run/ddclient.pid
[ -f ${PIDFILE} ] && kill `cat ${PIDFILE}`
${DAEMON} -daemon 100 -web checkip.dyndns.com -web-skip 'Current IP Address:' -file "/opt/etc/ddclient/ddclient.conf" -pid ${PIDFILE};

Logicamente questo script dovrà essere reso avviabile (chmod 755 /opt/etc/init.d/S99ddclient.sh) e dovremo assicurarci che venga eseguito ad ogni avvio, come per openVPN, ma lo vedremo nella prossima puntata.

A presto!

Iomega StorCenter IX2-200: openvpn

2012-10-17T20:00:00.000+02:00

L'installazione di openvpn su sistemi tradizionali l'ho già trattata in precedenza ed anche la gestione dei certificati, quindi queste informazioni le considero acquisite... tratterò solamente l'installazione di openvpn ed il funzionamento del demone con l'ausilio di xinetd... riporterò inoltre le modifiche apportate agli script dato che per come sono concepiti non hanno funzionato sul mio sistema.
Per prima cosa dobbiamo installare il software desiderato, quindi:

ipkg-opt openvpn openssl xinetd

Cominciamo con i problemi dello script per l'avvio del demone... la versione originale non funziona perchè ricerca il modulo tun.o per inizializzare le interfacce di tipo tun che in realtà sono già compilate all'interno del kernel (è presente /dev/net/tun), quindi lo script di avvio /opt/etc/init.d/S20openvpn dovrà risultare come il seguente:

#!/bin/sh
#
# Startup script for openvpn server
#
# Make sure IP forwarding is enabled
echo 1 > /proc/sys/net/ipv4/ip_forward
# Make device if not present (not devfs)
if [ ! -c /dev/net/tun ]; then
    # Make sure the tunnel driver is loaded
    if ( !(lsmod | grep -q "^tun") ); then
        # Make /dev/net directory if needed
        if [ ! -d /dev/net ]; then
            mkdir -m 755 /dev/net;
        fi;
        insmod /opt/lib/modules/tun.o;
    else
        exit -1;
    fi;
    mknod /dev/net/tun c 10 200;
fi;

# If you want a standalone server (not xinetd), then comment out the return statement below
return 0

## This is for standalone servers only!!!!
# Kill old server if still there
if [ -n "`/opt/bin/pidof openvpn`" ]; then
    /opt/bin/killall openvpn 2>/dev/null;
fi
# Start the openvpn daemon - add as many daemons as you want
/opt/sbin/openvpn --daemon --cd /opt/etc/openvpn --config openvpn.conf
# [EOF]

A questo punto dobbiamo solamente più configurarte xinetd affinchè accetti le connessioni per openvpn e quindi editiamo il file /opt/etc/xinetd.d/openvpn ed abilitiamo la linea "only_from += 0.0.0.0" controllando che il servizio non sia disabilitato.

Ora rimane solamente più da avviare il servizio con /opt/etc/init.d/S10xinetd... ma per avviarlo ad ogni boot ci sarà da fare ancora qualche modifica fuori programma dato che la configurazione in /etc non è persistente e viene eliminata ad ogni riavvio, ma questo argomento sarà la discussione del nostro prossimo appuntamento.

Alla prossima!

Iomega StorCenter IX2-200: source code del dispositivo

2012-10-16T23:00:00.000+02:00

Nella precedente guida mi sono arenato alla compilazione del kernel e dei sui moduli, ma non mi sono ostinato dato che la versione del kernel che era presente in optware e quella dello Iomega StorCenter IX2-200 erano diverse... ho quindi deciso di trovare lo stesso kernel sorgente del dispositivo (che non è quello ufficiale di kernel.org). So che questa ricerca è possibile e che il produttore deve renderlo disponibile perchè questo è uno dei "vantaggi" per gli utenti e sviluppatori che applicano le licenze di tipo GPL.

Come prima cosa andiamo a cercarlo sul sito di supporto della Iomega (https://iomega-na-en.custhelp.com/), cerchiamo il nostro dispositivo Iomega StorCenter IX2-200 e vediamo cosa riusciamo a trovare... wow, dove si parla di software c'è anche "Any / Not Applicable", lo selezioniamo e leggendo vediamo che c'è l'ultimo firmware disponibile (ed eseguite l'aggiornamento se non lo avete)... bingo! C'è una parte in cui dice "open source code associated"... da qui potrete scaricare il codice sorgente.

Ora che siete in possesso di tutti i sorgenti e/o patch del software, sappiate che potete ricompilare tutto quello che volete, provando ad ottimizzarlo o ad adattarlo alle vostre esigenze... importantissime, e fonte di "ispirazione" per sapere cosa è in grado di fare il kernel, le patch del kernel, da applicare al kernel ufficiale che si scarica da kernel.org, ed il file config del nostro dispositivo, da cui potrete capire che moduli e funzionalità sono incluse nel kernel e quali no.

A questo punto il mio "interesse" nel proseguire la compilazione del kernel è terminata, ero giunto fino qui cercando informazioni sulla compilazione del kernel con lo scopo di far funzionare openvpn dato che mi segnalava l'impossibilità di trovare il modulo tun.o, ma verificando il file di configurazione del kernel ho visto che l'interfaccia tun è compilata all'interno dello stesso e quindi non vi è bisogno di alcun modulo (ed anche ipkg comunque avvisava di questa "finta" mancanza, quindi mi ero fidato)... adesso sappiamo che i messaggi ricevuti sono solamente un bug da eliminare a livello di script di avvio.

In un prossimo post mi occuperò delle modifiche necessarie a far funzionare openvpn tramite xinetd.

A presto!

Iomega StorCenter IX2-200: compilazione del software

2012-10-16T21:00:00.000+02:00

Fin'ora ci siamo appoggiati a software precompilato da altre persone e reso disponibile attraverso i repository ipkg, ma non sempre è tutto cosi facile e semplice, soprattutto se dovete partire dai sorgenti per compilarvi il software non presente.

Prima di tutto sappiate che ci sono due possibili strade da seguire per compilare il software:

native (compilazione nativa a bordo del dispositivo)
cross (compilazione del codice su di un'altra piattaforma)

La compilazione nativa ha il pregio di richiedere solamente la preparazione dell'ambiente a bordo del dispositivo, ma spazio disco, potenza di calcolo del processore e memoria fisica spesso sono limitati dato che il dispositivo non è fatto per quello.

La compilazione di tipo cross esula dai limiti di spazio e potenza computazionale del dispositivo, ma potrebbe richiedere operazioni molto complesse per la sua preparazione.

Ora vedremo a grandi linee come fare, ma se non sapete nulla di compilazione, o non avete molto interesse (e dovrete usare bene i motori di ricerca in caso di problemi), lasciate stare e leggete qualcos'altro.

Partiamo con la preparazione dell'ambiente di cross compiling supponendo di avere a che fare con una distribuzione di tipo Debian-based installando i seguenti pacchetti:

apt-get update
apt-get install gcc cvs flex bison make pkg-config rsync gettext libglib2.0-dev autoconf libtool automake automake1.9 sudo patch bzip2 gzip wget sed texinfo subversion

Ora procuriamoci l'ambiente di compilazione optware dal repository SVN:

svn co http://svn.nslu2-linux.org/svnroot/optware/trunk optware

Sapendo che l'architettura che ci interessa è cs08q1armel, definiamo il target del nostro ambiente con i seguenti comandi:

cd optware; make cs08q1armel-target

Da qui in poi tutto quello che compileremo verrà compilato per questa tipologia di processore, ma dobbiamo ancora creare i tool di base del sistema e con i seguenti comandi verrà scaricato ed impostato molto software (compreso un kernel in versione "vecchia"):

cd cs08q1armel; make directories ipkg-utils toolchain

Come ultima prova per testare il funzionamento possiamo provare a compilare con i seguenti comandi:

make hello-dirclean hello-check

Per capire come fare a compilare altro software esaminate e cercate di interpretare la struttura dei seguenti file:

make/hello.mk
make/template.mk

Per compilare dei "Pre" specifici come i moduli del kernel, ci sono diverse destinazioni da specificare (la directory di partenza è sempre optware) e dovrete usare i seguenti comandi:

make pre-targetcd pre; make directories ipkg-utils toolchain

Da qui in poi sappiate che non sono stato in grado di verificare la documentazione letta dato che avevo degli errori che non ho ancora risolto...

A questo punto dovreste essere in grado di compilare e riconfigurare i moduli del kernel:

make kernel-modules-ipk

Per la riconfigurazione dei kmods:

rm -f builds/kernel/.configured
make kernel-modules-config KERNEL_CONFIG_METHOD=menuconfig
cp builds/kernel/.config sources/kernel-modules/pre/defconfig

Ora, parlando dell'ambiente di tipo "native" sappiate che la procedura è la stessa, tranne che partirete direttamente dall'SVN fatto all'interno della /opt del dispositivo targhet... buon divertimento!

Direi che per oggi è tutto... a presto ed alla prossima puntata!

Iomega StorCenter IX2-200: installazione del software

2012-10-14T20:00:00.000+02:00

Lo Iomega StorCenter IX2-200 che ho in mano (firmware 3.2.6.21659), funziona grazie ad una distribuzione Linux Debian 5.0 per ARMv5, repository armel e come gestore dei pacchetti utilizza ipkg (questo sistema di distribuzione dei pacchetti si chiama optware e principalmente viene utilizzato da router/nas per ambienti soho).

Potete trovare ulteriori informazioni tecniche al seguente link:
http://iomega.nas-central.org/wiki/Category:Ix2-200

D'ora in poi considereremo di operare solamente tramite l'accesso SSH abilitato in precedenza ed è IMPORTANTE considerare che qualunque modifica fatta sulla root, e non contenuta in /opt, è altamente probabile che venga persa allo spegnimento od al riavvio del dispositivo; inoltre eseguendo un df possiamo notare che il root filesystem è molto piccolo, mentre c'è molto spazio libero in /mnt/system, e /opt è un link simbolico alla directory /mnt/system/opt.

Per mantenere eventuali configurazioni software, normalmente in salvate in /etc, vedremo più avanti come fare... e se avete notato non è neanche presente la home dell'utente root.

Per poter installare il software è necessario configurare i repository IPKG da utilizzare... nel nostro caso sono mantenuti da www.nslu2-linux.org; è quindi necessario creare il file di configurazione relativo (unstable è il più aggiornato, ma vi è anche il repository stable, cross o native dipende dalla piattaforma sulla quale è stato compilato):

cat <<EOF > /etc/ipkg.conf
src cross http://ipkg.nslu2-linux.org/feeds/optware/cs08q1armel/cross/unstable
src native http://ipkg.nslu2-linux.org/feeds/optware/cs08q1armel/native/unstable
EOF

A questo punto possiamo tranquillamente operare con i comandi ipkg (o meglio, ipkg-opt come vedremo più avanti):

ipkg update # Aggiornamento della lista del software disponibile
ipkg list | more # Visualizzare il software disponibile
ipkg install <nome_pacchetto> # Installazione del software
ipkg list_installed # Per verificare i pacchetti installati
ipkg upgrade # Per aggiornare i pacchetti installati
ipkg remove <nome_pacchetto> # Rimozione del software

Come detto in precedenza, tutto il software sarà da installare in /opt ed affinchè questo non crei problemi è necessario installare il pacchetto ipkg-opt che si occuperà espressamente di questa operazione, quindi il primo software da installare sarà ipkg-opt:

ipkg install ipkg-opt

A questo punto però dobbiamo aggiungere al path ed alle librerie il contenuto della cartella /opt con i nuovi pacchetti installati nel sistema:

export PATH=/opt/bin:/opt/sbin:$PATH
echo "/opt/lib/" >> /etc/ld.so.conf
ldconfig -v
mv /opt/etc/ipkg.conf /opt/etc/ipkg.conf.old
ln -s /etc/ipkg.conf /opt/etc/ipkg.conf

Per semplificarsi la vita è possibile creare uno script che esegue in automatico le operazioni...

vi /opt/bin/ipkg-opt.sh

#!/bin/bash

(grep "/opt/lib" /etc/ld.so.conf > /dev/null) || (echo "/opt/lib/" >> /etc/ld.so.conf; ldconfig -v);
#(echo $PATH | grep '/opt/bin:/opt/sbin' > /dev/null) || (PATH=${PATH}:/opt/bin:/opt/sbin;);
if [[ ! ":$PATH:" == *":/opt/bin:/opt/sbin:"* ]]; then export PATH=${PATH}:/opt/bin:/opt/sbin; fi;
[ -L /etc/ipkg.conf ] && mv -f /etc/ipkg.conf /etc/ipkg.conf.old || rm -f /etc/ipkg.conf
[ -L /opt/etc/ipkg.conf ] && mv -f /opt/etc/ipkg.conf /opt/etc/ipkg.conf.old || rm -f /opt/etc/ipkg.conf
echo -e "src cross http://ipkg.nslu2-linux.org/feeds/optware/cs08q1armel/cross/unstable\nsrc native http://ipkg.nslu2-linux.org/feeds/optware/cs08q1armel/native/unstable" > /opt/etc/ipkg.conf
ln -s /opt/etc/ipkg.conf /etc/ipkg.conf;
ipkg-opt update;

A questo punto si è pronti per cominciare l'installazione dei software di proprio interesse... riporto un esempio relativo a del software che utilizzo normalmente o che considero indispensabile:

ipkg-opt install unzip bzip2 gzip
ipkg-opt install openvpn xinetd
ipkg-opt install ddclient perl-digest-sha1 perl-io-socket-ssl

Se necessario, il software di gestione dei pacchetti IPKG, si occuperà anche dell'installazione delle dipendenze software.

A presto e continuate a fare esperimenti e divertirvi!

Iomega StorCenter IX2-200: abilitazione SSH

2012-10-13T16:00:00.000+02:00

Dato che sono entrato in possesso di uno Iomega StorCenter IX2-200 che ha avuto dei problemi ai dischi e quindi non era più affidabile, ho deciso di cominciare a farci sopra degli esperimenti per sfruttare le potenzialità del processore arm contenuto al suo interno e quindi comincerò una nuova serie di post riguardandi questo argomento... ed ora partiamo con le basi per potersi collegare... l'abilitazione del servizio SSH!

Per abilitare l'SSH è necessario collegarsi all'indirizzo IP dello StorCenter IX2-200, dopo aver eseguito il login, e caricare la pagina:

http://[IP Address of your NAS]/support.html (per la versione "normale");
https://[IP Address of your NAS]/diagnostics.html (per la versione "cloud edition").

A questo punto si può abilitare il protocollo SSH e la porta da utilizzare nella schermata apparsa; vi sono anche molte altre funzioni utili, tipo quella di dump della configurazione del NAS... che esulano da questo post, ma vi fanno capire che è sempre importante guardarsi intorno.

A questo punto è possibile collegarsi al NAS tramite l'utente root ed utilizzando come password una stringa "combinata": soho[password dell'utente admin]

Alla prossima puntata e buon divertimento!

Gli ammortizzatori sociali

2012-02-16T16:00:00.000+01:00

Come promesso proseguiamo con le informazioni che possono essere utili in caso di licenziamento.
Nel caso siate stati licenziati (quindi non dovete esservi dimessi, se non per giusta causa) potrete accedere all'indennità di disoccupazione (6 mesi con il 60% dell'ultima busta paga e 2 con il 50%... se avete più di 50 anni vi spettano ancora 4 mesi con il 40%... tutto questo viene considerato in base al lordo annuale diviso 12 considerando le ultime 3 buste paga) e, se la motivazione è stata oggettiva, alle liste di mobilità (la durata dell'iscrizione varia in base alla vostra età)... se vi hanno offerto di dimettervi e voi avete accettato, spero che vi abbiano dato almeno un bel po' di soldi in più rispetto a quelli che vi sarebbero spettati comunque.
Prima di tutto andate a fare un'altra coda agli uffici per l'impiego dove vi potrete iscrivere alle liste di disoccupazione ed è indispensabile fornire al Centro per l’impiego, della provincia d'appartenenza, la propria dichiarazione di "immediata disponibilità" allo svolgimento di attività lavorativa; considerate che è possibile essere chiamati per l'aggiornamento del proprio percorso formativo... nel caso non ci si presenti l'indennità potrà essere sospesa e verrete cancellati dalle liste di mobilità.
Il "tasto dolente" dei centri per l'impiego sono le code, sempre lunghissime, soprattutto i primi giorni del mese... il centro per l'impiego di cui ho usufruito io distribuiva i numeri prima dell'apertura e li ritirava dopo averne dati un tot, quindi affidandosi agli orari scritti sul sito si potevano chiedere solamente informazioni... conviene telefonare per sapere le modalità. Ultima considerazione, se non vi chiamano per i corsi è molto difficile che vi chiamino per offrirvi lavoro... chi cerca un lavoratore spesso preferisce affidarsi alle società interinali od a canali di reclutamento innovativi, tipo internet.
Al centro per l'impiego, dopo aver compilato un po' di moduli ed un curriculum molto generico, verrete iscritti nelle liste di disoccupazione e, se siete stati licenziati per motivi oggettivi, vi verrà consegnato un modulo da far compilare dal vostro datore di lavoro che vi permetterà di iscrivervi alle liste di mobilità (sì, dovrete tornare dove vi hanno detto che non eravate più necessari e dovrete anche rifarvi la coda qui, nel centro per l'impiego).
Con il foglio di iscrizione alle liste di disoccupazione ora potete andare presso un patronato, che sono gli unici enti che possono gestire le pratice tra voi e l'INPS, per fare la richiesta di indennità di disoccupazione (forse è possibile farlo anche online, ma non ho provato), recatevi sul posto con le vostre coordinate bancarie dato che vi verrà chiesto come farvi avere i soldi.
A questo punto le code sono finite, e stando comodamente seduti sulla vostra sedia di casa mentre cercate il nuovo impiego, un po' di soldi eviteranno di farvi sentire un cappio al collo dato che le spese "a regime" continuerete ad averle... sarà anche un periodo limitato, ma è sempre meglio di niente.
Ricordatevi che nel caso ricominciaste a lavorare è importantissimo comunicare la ripresa dell'attività lavorativa entro 5 giorni, soprattutto in caso di iscrizione alle liste di mobilità, se non lo faceste la pena è la cancellazione dalle liste (e vi conviene mantenerla stretta dato che vi rende molto appetibili per le società che cercano sgravi fiscali)... quindi dovrete compilare il modulo SR04/DS56bis e farlo pervenire entro 5 giorni dalla ripresa dell'attività; in questo caso, per evitare di fare code all'INPS, ho approfittato dei servizi online forniti dal portale INPS, inviando il modulo e ricevendo un numero di protocollo come ricevuta della consegna.

Alla prossima puntata!

Il licenziamento (ca##o!!!)

2012-02-07T15:30:00.000+01:00

L'esperienza è una cosa che nella vita serve sempre, ma alcune volte piacerebbe fare a meno di acquisirla in determinati campi, ma non potendo sceglierli, a sto turno mi sono trovato a spasso.
Qui darò una breve descrizione di quello che è successo a me (nel gennaio del 2012) e senza approfondire gli aspetti personali, tratterò quelli tecnici, l'ordine delle operazioni da fare per ottenere l'indennità di disoccupazione ordinaria (per poterne usufruire mi pare si debba aver lavorato almeno per 2 anni) ed iscriversi alle liste di mobilità (solamente se si è stati licenziati per motivazioni oggettive).
Se state leggendo probabilmente vi trovate in questa situazione o qualcuno vi ha chiesto di informarvi... io non sono un avvocato, ma solamente una persona che ci è passata, quindi potranno essere presenti inesattezze o cose non completamente corrette (e di cui non mi sono accorto e che non hanno comportato problemi); la regola è sempre una: DOCUMENTATEVI da più fonti, anche se vi sembra di leggere le stesse cose.
Allora, partiamo da zero... vi consegnano la lettera di licenziamento, questo può essere in tronco (immediatamente esecutivo e dovrete lasciare la sede di lavoro in giornata) o con preavviso (tra tot tempo sarete a spasso).
Se il licenziamento è in tronco per giusta causa vuole dire che l'avete fatta grossa o che qualcuno l'ha sparata grossa... io per fortuna non sono tra questi.
Licenziamento con motivazione soggettiva vi dà il diritto di avere un preavviso (probabilmente ci devono essere delle lettere di ammonizione/richiamo precedenti), se non ve lo danno dovrebbe esservi versata l'indennità e varia a seconda del vostro livello e degli anni di servizio (sentite i sindacati o leggetevi il contratto nazionale a cui eravate soggetti); è comunque una motivazione comportamentale vostra che viola il contratto (spesso insubordinazione, liti e/o percosse), ma meno grave del precedente.
Licenziamento con motivazione oggettiva, ovvero la vostra società per qualche motivo deve/vuole farvi fuori... la più classica è la riorganizzazione aziendale con varie scusanti che si devono provare in caso di vertenza.
Ora proseguirò parlando della mia esperienza, quindi licenziamento oggettivo, per riorganizzazione aziendale, in una società piccola con meno di 16 dipendenti e quindi solamente con la tutela obbligatoria... la tutela reale è quella che si basa sull'articolo 18 e riguarda solamente le società con almeno 16 dipendenti.
Ora partiamo con le code, sicuramente non saranno un problema con tutto il tempo libero che vi sarete ritrovati... fatevi un giro per sindacati con la vostra lettera di licenziamento ed un libro da leggere mentre aspettate, girateli tutti (cgil, cisl e uil), sapranno dirvi se le cause sono lecite e corrette oppure se potete sperare di ottenere del denaro a titolo di risarcimento per il danno subito aprendo una vertenza (la tutela obbligatoria prevede solamente un indennizzo economico... ed il valore è compreso tra le 2,5 e le 6 mensilità). E' possibile anche che nella lettera di licenziamento non vi siano le motivazioni e/o queste siano abbastanza oscure e/o mascherate, tentando di farlo passare come valido mentre non lo è... in questo caso entro 15 giorni dalla lettera dovete inviare una raccomandata in cui chiedete i chiarimenti che vi spettano; il datore di lavoro ha 7 giorni per rispondervi pena la nullità del provvedimento.
Ora che sapete quello potreste ottenere, e magari vi ha tirato un po' su il morale sapere che qualche soldo potrebbe rientrare (sempre meglio di niente no?!? peggio può andare solamente in altri campi dato che non avendo un lavoro non può peggiorare), c'è da rimboccarsi le maniche per accedere agli ammortizzatori sociali... ma questo sarà oggetto della prossima puntata.

A presto!

Considerazioni su FastWeb e su Alice... WiFi security

2010-12-15T20:45:00.005+01:00

Visto che in molti mi chiedono informazioni sulla protezione delle loro reti WiFi, gli consiglio di andarsi a rileggere il mio post "Le reti WiFi... configurazione e considerazioni"... qui è possibile trovare tutto quello che serve per proteggersi se vi siete comprati un router "decente".
Se invece siete clienti FastWeb o Telecom... condolianze, la prossima volta sceglierete la connessione in base ad altri canoni rispetto a quelli utilizzati fin'ora... A parte gli scherzi, quello che ho scritto prima era per sdrammatizzare un po', ma un utente tecnicamente poco valido e poco sicuro di sè che si ritrovasse con uno dei due gestori menzionati avrebbe dei problemi a proteggere la propria rete, principalmente per due fattori:

l'utente classico viene considerato tecnicamente incapace e quindi i settaggi sono "standard" e con tutto abilitato affinchè sia semplice l'utilizzo per chi esegue la connessione la prima volta;
il router viene fornito con il WiFi abilitato e funzionante con PSK di default (diversa per ogni router... ma attenzione alla parola DEFAULT);
spesso questi router hanno firmware brandizzati e poche sono le opzioni su cui si ha pieno controllo... tutto questo sempre per facilitare l'utente medio, oltre che quello esperto che se ne potrà approfittare.

Ora passiamo alla parte "interessante" ed al significato della frase "PSK di DEFAULT".
Siccome si considera che l'utente medio non sia tecnicamente cosciente di cosa sia un router e sia incapace di configurarlo correttamente, anche seguendo un photo/video tutorial (considerazione purtroppo corretta in molti casi visto che per molti dover configurare qualcosa è una scocciatura), da questi due fornitori di servizi è stata fatta la scelta di fornire appparecchiature già configurate e pronte a svolgere tutte le funzioni richieste ad un prodotto di fascia medio/bassa, bloccando opzioni ed impostazioni che un utente normale non comprenderebbe e non sarebbe in grado di restorare in caso di modifiche e successivi problemi di funzionamento.
Questo ha fatto sì che le case si siano riempite di router con l'accesso WiFi abilitato, con protocollo WPA (livello di sicurezza buono considerando una PSK robusta) e con delle PSK diverse da dispositivo a dispositivo.
Essendo impensabile impostare manualmente una PSK diversa per ogni apparecchiatura (e fornirla poi scritta su di un foglio, assieme al SSID, al cliente affinchè possa collegarsi), si è pensato di sviluppare un algoritmo che dal SSID e dal numero di serie dell'apparecchio (legato al MAC) fornisse una PSK univoca utilizzando numeri costanti "segreti" e contenuti nel firmware... tutto questo è stato ottimo finchè i firmware dei router non sono stati sottoposti a reverse engineering, permettendo di venire a conoscenza dei così detti "magic number" e di come questa PSK venisse calcolata.
Al tempo attuale in cui sto scrivendo il documento, non ci sono più router (FastWeb o Alice) considerabili sicuri utilizzando questo sistema, i firmware vengono puntualmente "reversati" ed i nuovi "magic number" od algoritmi di generazione delle chiavi diventano di dominio pubblico, permettendo di venire a conoscenza delle PSK con metodi più o meno semplici.
L'unico consiglio che posso dare a chi possiede questo tipo di apparecchiatura è quello di cambiare tutto il modificabile, sempre che il router sia d'accordo, ed andare ad agire sul nome del SSID, sulle impostazioni e SICURAMENTE sulla PSK.
Come conclusione vi rendo disponibili un po' di link a risorse esterne per testare se anche i vostri router, in configurazione di default, sono vulnerabili o meno agli attacchi "pubblici" ed ormai largamente conosciuti.

Alla prossima!

Fast-Track, automatizzare un pen test

2010-10-08T20:38:00.001+02:00

Visto che essendo un security engineer mi occupo di sicurezza in generale, e questa spazia dalla vulnerability analysis al testing intrusion, e dalla difesa perimetrale all'identificazione degli attacchi, inizio una nuova serie di post che si dedicheranno a queste tecniche ed all'approfondimento degli strumenti ritenuti più validi e/o semplici da utilizzare.
Ora facciamo una piccola introduzione a cos'è un pentest... è una procedura atta a verificare la sicurezza di un sistema cercando di penetrarlo; una delle sfide maggiori è automatizzare questo tipo di test per eseguirlo in maniera automatica sopra i sistemi da verificare.
L'automatizzazione è una lama a doppio taglio perchè, oltre a semplificare di molto le procedure di test, permette ai cracker ed agli script kiddies di ottenere velocemente una lista di macchine facilmente compromissibili su di una rete.
Logicamente tutto quello che vedremo o faremo è nell'ottica di studio od in seguito a richiesta, ed è possible farlo solamente dopo aver ottenuto un'autorizzazione scritta dell'interessato per potersi tutelare in caso di problemi legali... se non lavorate nel campo della sicurezza limitatevi ai computer entro le vostre mura domestiche.
Ed ora partiamo con un buon software opensource... Fast-Track, scritto in Python e che si basa su metasploit per l'esecuzione dell'attacco.
La seguente procedura è valida per macchine con distribuzioni Debian-like.
Prima di tutto è necessario scaricare ed installare ruby, base di metasploit, sqlite3, nmap, logicamente metasploit 3, che verrà prelevato tramite cvs, ed infine Fast-Track, sempre tramite cvs:

apt-get install ruby libruby rdoc libyaml-ruby libzlib-ruby libopenssl-ruby libdl-ruby libiconv-ruby rubygems
apt-get install sqlite3 nmap
svn co https://metasploit.com/svn/framework3/trunk/
svn co http://svn.thepentest.com/fasttrack/
python setup.py install

Durante l'installazione verranno richieste alcune informazioni relative al percorso di installazione di metasploit; se qualcosa non dovesse andare a buon fine sappiate che avete bisogno dei seguenti moduli python: PExpect, FreeTDS, PYMSSQL, ClientForms, Beautiful Soup, PyMills e Psyco.
A questo punto è possibile eseguire Fast-Track in maniera interattiva:

python fast-track.py --i

Le prime operazioni da fare sono gli aggiornamenti (opzione 1) completi (opzione 10) di Fast-Track. Da adesso in poi è possibile lanciare gli attacchi su range di indirizzi IP (opzione 2) specificati secondo la sintassi di nmap; quindi scegliendo il bind shell (opzione 1) verranno tentati attacchi utili ad exploitare una shell sulla macchina target. Nel caso non ne venissero trovati verrà mostrato un messaggio "No sessions".
Per conoscere quali plugin sono stati utilizzati si può utilizzare il comando "sessions --v" e con "sessions --i 1" si accede alla prima macchina che è possibile penetrare con la relativa vulnerabilità ritrovandosi all'interno di meterpreter.Una volta all'interno di meterpreter è possibile utilizzare diversi comandi utili per recuperare informazioni sulla macchina target:

hashdump - mostra il contenuto del database SAM della macchina compromessa (che può quindi essere sottoposto ad un attacco offline utilizzando uno strumento come John the Ripper per individuare le password);
upload - carica un file o una directory utili ai fini di compromettere ulteriori macchine o creare backdoor (ad esempio un cracker potrebbe caricare ed eseguire processi a proprio piacimento);
keyscan_start , keyscan_stop , keyscan_dump - vengono utilizzati per catturare la digitazione sulla tastiera della macchina compromessa ed eventualmente venire a conoscenza di login e password utilizzati dalla vittima;
shell - fornisce un prompt dei comandi sulla macchina compromessa.

Un esempio di utilizzo classico della shell è relativo alla creazione di un nuovo utente con cui il cracker si assicura l'accesso alla macchina anche in successive occasioni creandosi un utente con "net user cracker password /ADD".
Logicamente il nostro obbiettivo è identificare le possibili vulnerabilità del sistema per avvisare il nostro committente di cosa deve fare per proteggersi... in questo caso, per risalire alle informazioni che ci interessano dovremo riprendere l'output del comando "sessions --v", verificare il nome della vulnerabilità segnalata da metasploit ed andare a ricercarne la causa, con un'eventuale spiegazione e la rispettiva soluzione (queste in genere sono l'installazione di una patch o la riconfigurazione/disabilitazione del servizio se non fossero disponibili patch).
Per oggi è tutto, quello che volevo dirvi l'ho detto e quello che vorrei ricordarmi l'ho scritto, quindi, come detto all'inizio, divertitevi sui vostri PC, ma non fate guai in giro dato che i problemi che ne potrebbero scaturire sono di tipo penale.

I tool per le analisi delle reti WiFi

2010-09-25T02:32:00.009+02:00

Visto che ho cominciato a parlare delle reti WiFi, continuiamo con la loro analisi e con gli strumenti necessari all'identificazione.
Prima di tutto una introduzione: ogni dispositivo WiFi, per poterlo usare in modalità "avanzata" con questi tool, deve supportare determinate modalità; non tutte le periferiche possono farlo e soprattutto queste funzioni possono essere state implementate in release più recenti del software o dei driver (nel kernel od a parte)... quindi prima di pensare che non siate in grado di ottenere i risultati che volete prestate attenzione ad utilizzare release di software, driver e kernel aggiornati.
Adesso una piccola considerazione... i tool più diffusi e documentati si trovano su linux; l'unico tool degno di nota, per le analisi dello spettro di frequenze sotto windows, trovo che sia NetStumbler, ma questa è un'opinione altamente personale personale... ci sono dei porting per windows dei tool linux, ma io preferisco utilizzarli sotto il loro sistema operativo nativo.
Ora passiamo ai tool che si utilizzano sotto linux; sono tool completi e che coprono la maggior parte delle necessità, logging compreso e devono essere necessariamente utilizzati dall'utente amministrativo, quindi da root. I due principali sono:

kismet;
airodump.

kismet è il software più complesso, si basa su di un'interfaccia testuale a finestre, visualizza le reti presenti, gli eventuali client connessi, la potenza del segnale, il canale utilizzato e molte altre informazioni utili oltre che eseguire la cattura del traffico; ha la possibilità di essere collegato a dispositivi GPS per localizzare le reti individuate e ci sono anche dei tool che dai log permettono di importare gli AP all'interno di google maps o google earth (kisgearth e pykismetearth).
airodump fa parte della suite di aircrack-ng ed è un tool minimale, indirizzato principalmente ad individuare le reti WiFi, il loro SSID, il mac address, il canale e se vi sono client connessi.
Entrambi gli strumenti sono ottimi per eseguire le analisi prima dell'installazione di una propria apparecchiatura WiFi per trovare i canali liberi e ridurre al minimo le possibilità di interferenze con altre apparecchiature già presenti od che verranno installate in seguito dai vostri vicini.
L'utilizzo di kismet è più complessa perchè offre molte possibilità di configurazione e personalizzazione, quindi è da configurare prima dell'utilizzo e la sua configurazione risiede all'interno del file /etc/kismet/kismet.conf... la parte più importante e sicuramente da impostare prima dell'utilizzo è il parametro ncsource che rappresenta l'interfaccia wireless da mettere in modalità promiscua.
Io ho eseguito i test con varie schede e riporto le linee necessarie per configurare la sorgente:

Belkin F5D7011 (Broadcom b43): ncsource=wlanX:name=broadcom
Intel IPW2200: ncsource=ethX:type=ipw2200
Zydas ZD1211: ncsource=wlanX:type=zd1211

Una volta configurato il source è necessario lanciare il comando: kismet
Invece airodump non ha alcun file di configurazione, ma tutti i parametri vengono passati dalla linea di comando; prima è necessario porre l'interfaccia in modalità di monitor e successivamente si inzia a loggare il traffico con i seguenti comandi: airmon-ng start ethX && airodump-ng ethX
Un'ultima considerazione da fare riguarda la pratica chiamata "packet injection"; questa è una tecnica molto particolare perchè permette di creare dei pacchetti secondo ke proprie esigenze ed inviarli tramite la propria scheda wireless... ricordatevi che normalmente i driver del kernel, in versione originale, non permettono questa tecnica, quindi per poterla utilizzare è spesso necessario patchare i driver od utilizzare distribuzioni che utilizzano driver già modificati (ad esempio la distribuzione backtrack).
Per la packet injection (aireplay-ng --test <ath|eth|wlan>X) ho fatto dei test con le schede WiFi che possiedo e varie versioni di BackTrack... i risultati sono qui riportati:

Belkin F5D7011: BT3 final con modulo bcm43xx - KO, BT4 final - OK, BT4 r1 con modulo b43 - non è supportato il cardbus, quindi non funziona
Intel IPW2200: BT3 final - KO, BT4 final - KO, BT4 r1 - KO
Zydas ZD1211:BT3 final - OK, BT4 final - OK, BT4 r1 - OK

Direi che anche oggi le informazioni essenziali da cui partire sono state fornite... in rete c'è moltissima documentazione, quindi non è sicuramente un problema trovare gli approfondimenti.

Le reti WiFi... configurazione e considerazioni

2010-09-23T20:05:00.003+02:00

Piccola introduzione... le comunicazioni wireless sono rilevabili da chiunque senza che l'interessato possa accorgersene ed avvengono a determinate frequenze, queste sono stabilite dai canali (11 o 13 a seconda del posto in cui si vive). Affinchè trasmissione e ricezione siano di buona qualità non devono esserci interferenze; per ridurre al minimo le possibili interferenze è necessario trovare le frequenze libere "più libere" da utilizzare e quindi prima di procedere alla scelta del canale si deve rilevare con uno scanner la presenza di altri eventuali access point; una volta appuntati quelli presenti ed i canali utilizzati, si sceglierà il proprio in modo che sia il più possibile lontano dagli altri e cercando comunque di evitare sovrapposizioni; questo aiuta a massimizzare l'area coperta riducendo le interferenze (ricevute e prodotte per le apparecchiature già presenti).
Ora passiamo alla parte interessante e che ha a che fare con la sicurezza delle comunicazioni wireless ormai spesso presenti nelle nostre case vista la comodità di collegamento che offrono...
La configurazione di un router non deve assolutamente tralasciare la sicurezza della connettività dato che per la normativa italiana (ed anche altre) sei legalmente responsabile delle azioni compiute dal tuo indirizzo IP; inoltre non è previsto che tu sia "inconsapevole" delle azioni fatte o tecnicamente incapace di proteggere la tua linea... per la legge l'ignoranza non è una scusante.
Per mantenere il controllo della propria linea e sapere cosa succede sulla propria rete è essenziale ed obbligatorio utilizzare sistemi che impediscano a chiunque di infiltrarsi, inoltre per la propria privacy è essenziale nascondere il traffico da occhi indiscreti... tutto questo viene risolto utilizzando uno standard crittografico per la trasmissione e ricezione dei dati.
Prima di passare all'analisi vera e propria degli standard crittografici, analizziamo prima i dati necessari per collegarsi ad una rete WiFi facndo alcune considerazioni anche sugli altri parametri al fine di aumentare la sicurezza... il SSID e la Key/PSK/certificato se presente.Le prime considerazioni che possiamo fare riguardano il SSID; questo è il nome della connessione WiFi che verrà visualizzato, o deve essere impostato, da chi tenta di connettersi alla rete. E' sempre consigliabile modificare quello di default, se possibile, ed inserirne uno di fantasia... è sconsigliato inserire nomi o cognomi che vi identifichino in maniera certa; se per qualcuno siete voi l'obbiettivo, tenterà finchè non riuscirà ad ottenere quello che vuole ed anche se si è abili, non è bello fare da bersaglio.
Un secondo passo riguarda la modalità di diffusione del SSID: normale o nascosto. Siccome per collegarsi si deve conoscere il SSID della rete, impostarlo al valore nascosto può aiutarci a tenere la rete nascosta, ma questo solamente finchè non si collega qualcuno di autorizzato... nel momento in cui avviene la connessione, ovvero in fase di handshake, questo viene trasmesso e se qualcuno è in fase di sniffing può facilmente recuperarlo.
Ora passiamo alle possibili connessioni ed ai protocolli crittografici cercando di spiegarli in seguito:

open/not crypted;
WEP (64/128 e 256bit, ma non l'ho mai visto dato che è stato subito superato da WPA);
WPA (PSK/personal o Radius/enterprise basato su TKIP);
WPA2 (PSK/personal o Radius/enterprise basato su AES).

Una rete di tipo open od uncrypted offre la possibilità, a chiunque conosca il proprio SSID, di collegarsi e di non crittografare il traffico lasciandolo esposto a chiunque in ascolto... queste considerazioni fanno sì che sia la configurazione più insicura. Inoltre è da considerare il fatto che molte apparecchiature sono in grado di collegarsi senza neanche chiedere conferma all'utente (spesso dipende dalla configurazione del dispositivo) e rendendo la propria rete un "porto di mare".
I primi standard crittografici erano nati più per proteggere il traffico che la propria rete, in modo da impedire a persone non autorizzate l'accesso ai dati ed in seguito alle reti WiFi.
Il primo protocollo nato è stato il WEP; attualmente è considerato un protocollo obsoleto in quanto ha vulnerabilità note che permettono di risalire alla chiave di cifratura analizzando semplicemente il traffico che viene generato tra il client e l'access point. L'utilizzo è altamente sconsigliato, ma in alcuni casi i dispositivi obsoleti permettono solamente questo livello di crittografia... è inoltre l'unico che permette la creazione di rete WiFi diffuse da più access point collegati tra loro via radio (e non via ethernet); questa particolare configurazione si chiama W.D.S. (Wireless Distribution System) e pochi router la supportano.
L'evoluzione del WEP, per sopperire alle sue mancanze e correggerne le vulnerabilità, è stata la famiglia di protocolli WPA che al momento è la più robusta conosciuta; questa permette di crittografare il traffico, impedisce l'accesso a chi non è a conoscenza delle credenziali necessarie alla connessione e non è possibile risalire alla PSK attraverso la semplice analisi del traffico. WPA è stato un protocollo di passaggio, transitorio, e nato per sopperire alla veloce "caduta" del WEP; le debolezze del WEP sono state superate grazie all'utilizzo di un handshake in 4 fasi, l'utilizzo di funzioni di hash legate al SSID e la crittografia TKIP. In realtà il protocollo che era in studio e che avrebbe dovuto sostituire il WEP era denominato 802.11i e prevedeva l'utilizzo della cifratura AES, ma a quei tempi non era ancora pronto... quando è stato pronto è giunto sul mercato e chiamato WPA2.
A livello di protocollo WPA/WPA2 possiamo subito notare due sotto tipologie:

PSK/personal utilizzato a livello domestico e vulnerabile ad attacchi di tipo brute force;
Radius/enterprise utilizzato all'interno di ambienti in cui sono presenti server radius di appoggio con la possibilità di autenticazione tramite l'utilizzo dei certificati, quindi invulnerabile ad attacchi di tipo brute force.

Come detto, i protocolli della famiglia WPA sono attualmente i più sicuri anche se quelli di tipologia personal sono attaccabili attraverso metodi di brute forcing, ma la complessità numerica legata all'algoritmo fa supporre che attacchi di questo tipo siano computazionalmente molto pesanti e lunghi da portare a termine.
Logicamente, in queste condizioni, è necessario che la Key o PSK sia scelta adeguatamente e non dovrebbe essere composta da parole semplici e presenti all'interno di un dizionario, ma formata da stringhe contenenti lettere maiuscole, minuscole, numeri e simboli... in poche parole una buona password policy rende la vita molto complicata a chi vuole introdursi all'interno della nostra rete (come anche in tutte le altre situazioni).
Per oggi direi che è tutto... a presto!

Duplicare un server Debian

2010-09-12T18:50:00.001+02:00

Oggi ci occupiamo di come duplicare un server Debian running, ma prima dobbiamo definire la parola "duplicare"... per duplicare non si intende clonare completamente la macchina (quindi compresa la configurazione), ma ottenere un sistema installato da nuovo con gli stessi pacchetti che sono sulla macchina presa come master.
Ricordo che come per tutte le operazioni critiche è sempre consigliabile fare un backup dei dati vitali... anche se non dovrebbero esserci eventi imprevisti, in questo modo si è certi di non perdere dati vitali qualunque comando venga lanciato.
I passi che seguiremo sono i seguenti:

installare e configurare un sistema secondo le proprie necessità;
creare una lista dei pacchetti installati;
installare un sistema base sulla nuova macchina;
usare la lista dei pacchetti generata in precedenza per ottenerne un sistema in grado di svolgere le stesse funzioni.

A questo punto sappiamo che il punto di partenza è avere un sistema installato come quello che vogliamo creare, ed utilizzeremo quindi la lista dei pacchetti installati su questo per generare il nostro duplicato dato che con alte probabilità saranno stati aggiunti e rimossi determinati pacchetti.
Un punto importante da considerare è il tipo di distribuzione installata; da un sistema stable noi possiamo clonare/generare un sistema testing, ma da un sistema testing non possiamo generare un sistema stable, o meglio, potrebbero esserci dei problemi a causa della presenza di un maggiore numero di pacchetti nella distribuzione testing e non presenti nella stable.
Avendo un sistema di partenza dobbiamo prelevare la lista dei pacchetti presenti e per operare con i pacchetti la distribuzione Debian, o altre debian-like, si affidano all'utilizzo del comando "dpkg"; quindi per prelevare la lista dei pacchetti installati procediamo nella seguente maniera:

dpkg --get-selections > /tmp/installed.pkg

Questo comando restituisce la lista dei pacchetti installati e la scrive all'interno del file /tmp/installed.pkg; di questo file ne avremo bisogno in seguito.
Ora dobbiamo installare la nuova macchina, ma non mi occuperò di questo procedimento in quanto ci sono molti tutorial che spiegano come procedere... il nostro scopo è solamente quello di arrivare ad avere un sistema base installato da cui proseguire per ottenere il nostro duplicato.
Una volta installato il sistema base, procediamo all'aggiornamento dei pacchetti già installati con i comandi:

apt-get update && apt-get upgrade

A questo punto possiamo occuparci dell'installazione, o rimozione, secondo i pacchetti presenti sul sistema master e, supponendo che il file generato in precedenza sia di nuovo posizionato in /tmp, è necessario eseguire i seguenti comandi:

dpkg --set-selections < /tmp/installed.pkg && apt-get -u dselect-upgrade

La prima parte del comando esegue il preselect dei pacchetti presenti nella lista, mentre la seconda parte utilizza apt-get per aggiornare il sistema in base alla lista dei pacchetti forniti da dpkg. A questo punto c'è solamente da aspettare il download e l'installazione, o rimozione, dei pacchetti desiderati.
L'ultima operazione da eseguire per avere il nuovo sistema funzionante è la configurazione di tutti i pacchetti necessari; qui è possibile procedere in due modi:
procedere manualmente alla configurazione dei singoli pacchetti;
eseguire un diff tra i vecchi file di configurazione ed i nuovi, eseguendo sui file solamente le modifiche "appprovate";
copiare i file di configurazione dal sistema master su di questo nuovo.
Il primo sistema è quello più pulito (non vengono trasferite configurazioni obsolete), ma anche il più lungo; il secondo sistema è un buon compromesso, permettendo di agire manualmente sulle singole modifiche e/o decidere quali trasferire; mentre l'ultimo sistema potrebbe lasciare un sistema sporco, trasferendo file obsoleti o non più necessari alla configurazione di determinati pacchetti.
Ed anche per oggi direi che è tutto, buona clonazione dei sistemi!

P.S.: clonare può anche essere letto come backup del sistema... e come si suol dire: "A buon intenditore, poche parole!"

GIMP Scripting - HDR

2010-07-05T15:55:00.002+02:00

Dato che ormai ho preso un po' di mano con lo scripting in GIMP sto cercando di realizzare degli effetti che mi piacciono da applicare indistintamente alle foto senza dover ripetere continuamente tutte le operazioni.
L'HDR (High Dynamic Range) è l'effetto che ho scelto; se vogliamo essere pignoli questo effetto necessiterebbe di almeno 3 immagini, scattate con tempi di esposizione diversi, in maniera da avere un'immagine sovraesposta, una normale ed una sottoesposta... unendo queste tre con particolari procedure si ottiene un HDR reale.
Siccome non sempre è possibile procurarsi facilmente 3 immagini con esposizioni diverse, un po' di tempo fa ho trovato un tutorial che spiegava come ottenere un'immagine simil HDR partendo da un singolo scatto applicandogli vari filtri per simulare la sovra/sotto esposizione ottnendo un buon risultato; trovando la procedura valida ho scriptato il processo spiegato ottenendo l'effetto voluto tramite il seguente script-fu:

; Script to make HDR Image from one layer file
;
; The script is located in "<Image> / Script-Fu / SebaX75 / HDR..."
;
; Last changed: 29 Aprile 2010
;
; Copyright (C) 2010 SebaX75 <sebax75 AT yahoo DOT it>
;
; --------------------------------------------------------------------
; 
; Changelog:
;  Version 0.1
;    - Initial version, with manual dodge-burn 
;  Version 0.2
;    - Added dodge-burn code and automated
;
; --------------------------------------------------------------------
;
; This program is free software; you can redistribute it and/or modify
; it under the terms of the GNU General Public License as published by
; the Free Software Foundation; either version 3 of the License, or
; (at your option) any later version.  
; 
; This program is distributed in the hope that it will be useful,
; but WITHOUT ANY WARRANTY; without even the implied warranty of
; MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
; GNU General Public License for more details.
; 
; You should have received a copy of the GNU General Public License
; along with this program; if not, you can view the GNU General Public
; License version 3 at the web site http://www.gnu.org/licenses/gpl-3.0.html
; Alternatively you can write to the Free Software Foundation, Inc., 675 Mass
; Ave, Cambridge, MA 02139, USA.
;

; This part code was got from dodge-burn.scm script-fu (http://registry.gimp.org/files/dodge-burn.scm) by Harry Phillips <script-fu@tux.com.au>
(define (my-layer-dodge-burn    myImage
   myLayer
   modeOp
   thinNum
   thickNum
 )
 ;Initiate some variables
 (let* (
  (firstTemp (car (gimp-layer-copy myLayer 1)))
  (thinTemp)
  (thickTemp)
  (merged)
  )
  ;Rename the layer
  (gimp-drawable-set-name firstTemp "First temp")
  ;Add the first layer to the image
  (gimp-image-add-layer myImage firstTemp 0)
  ;Desaturate the layer
  (gimp-desaturate firstTemp)
  ;Copy and add the dodge me layer as the thin layer
  (set! thinTemp (car (gimp-layer-copy firstTemp 1)))
  (gimp-image-add-layer myImage thinTemp 0)
  ;Blur the thin layer
  (plug-in-gauss 1 myImage thinTemp thinNum thinNum 0)
  (if (= modeOp 1)
   ;Change the mode of the thin layer to lighten
   (gimp-layer-set-mode thinTemp 10)
   ;Change the mode of the thin layer to darken
   (gimp-layer-set-mode thinTemp 9)
  )
  ;Blur the dodge me layer
  (plug-in-gauss 1 myImage firstTemp thickNum thickNum 0)
  ;Copy the dodge me layer as a new layer
  (set! thickTemp (car (gimp-layer-copy firstTemp 1)))
  ;Add the new layer to the image
  (gimp-image-add-layer myImage thickTemp 1)
  ;Merge the top layer down and keep track of the newly merged layer
  (set! merged (car (gimp-image-merge-down myImage thinTemp 0)))
  ;Change the mode of the dodge copy layer to difference mode
  (gimp-layer-set-mode merged 6)
  ;Merge the top layer down and keep track of the newly merged layer
  (set! merged (car (gimp-image-merge-down myImage merged 0)))
  (if (= modeOp 1)
   (begin
    ;Rename the layer
    (gimp-drawable-set-name merged "Dodge channel")
    ;Change the mode of the dodge copy layer to dodge mode
    (gimp-layer-set-mode merged 16)
   )
   (begin
    ;Rename the layer
    (gimp-drawable-set-name merged "Burn channel")
    ;Change the mode of the dodge copy layer to dodge mode
    (gimp-layer-set-mode merged 17)
    ;Invert layer
    (gimp-invert merged)
   )
  )
  ;Return
 )
)

(define (script-fu-SebaX75-HDR      myImage
    layer0
    thinAmount
    thickAmount
 )
;       Start an undo group so the process can be undone with one undo
 (gimp-image-undo-group-start myImage)

 ; Rimuove qualunque selezione
 (gimp-selection-none myImage)

 ; Esegue la normalizzazione del layer principale
 (plug-in-normalize 1 myImage layer0)

 ; Inizializzo le variabili da utilizzare
 (let* ( (layer1()) (layer2()) (layer3()) (layer4()) )

  ; Creo una copia del layer principale, lo aggiungo e lo rinomino
  (set! layer1 (car (gimp-layer-copy layer0 1)))
  (gimp-image-add-layer myImage layer1 0)
  (gimp-drawable-set-name layer1 "Op. 50%")

  ; Desaturo, inverto ed applico l'effetto chiaritore sfumato al nuovo layer
  (gimp-desaturate layer1)
  (gimp-invert layer1)
  (plug-in-softglow 1 myImage layer1 10 0.75 0.85)

  ; Imposto il merging del layer a "Soft light" con opacita' al 50%
  (gimp-layer-set-mode layer1 SOFTLIGHT-MODE)
  (gimp-layer-set-opacity layer1 50)

  ; Creo una copia del layer modificato, imposto l'opacita' al 75% e lo rinomino
  (set! layer2 (car (gimp-layer-copy layer1 1)))
  (gimp-image-add-layer myImage layer2 -1)
  (gimp-layer-set-opacity layer2 75)
  (gimp-drawable-set-name layer2 "Op. 75%")

  ; Creo il layer di testa, modifico l'istogramma dei colori, eseguo il merging ed imposto la trasparenza al 40% (valori consigliati 30%-50%)
  (set! layer3 (car (gimp-layer-copy layer0 1)))
  (gimp-image-add-layer myImage layer3 -1)
  (gimp-levels layer3 HISTOGRAM-VALUE 100 255 1.00 0 255)
  (gimp-layer-set-mode layer3 DARKEN-ONLY-MODE)
  (gimp-layer-set-opacity layer3 40)
  (gimp-drawable-set-name layer3 "Top Layer")

  ; Unisco tutti i layer visibili
  (set! layer4 (car (gimp-image-flatten myImage)))
  (gimp-drawable-set-name layer4 "Last Layer")

  ;Do the dodge layer first
  (my-layer-dodge-burn myImage layer4 1 thinAmount thickAmount)

  ;Do the burn layer
  (my-layer-dodge-burn myImage layer4 0 thinAmount thickAmount)

  ; Modifico la saturazione/luminanza
  (gimp-hue-saturation layer4 ALL-HUES 0 0 50)

 )

 ;Finish the undo group for the process
 (gimp-image-undo-group-end myImage)

 ; Assicuro l'aggiornamento e la nuova visualizzazione
 (gimp-displays-flush)
)

; Registrazione dello script
(script-fu-register "script-fu-SebaX75-HDR"
 _"<Image>/Script-Fu/SebaX75/HDR..."
 "Applica gli effetti per ottenere un HDR"
 "SebaX75"
 "SebaX75"
 "April 29 2010"
 "*"
 SF-IMAGE "Image"     0
 SF-DRAWABLE     "Drawable"  0
 SF-ADJUSTMENT   _"Thin amount"  '(10 0 1000 1 1 0 1)
 SF-ADJUSTMENT   _"Thick amount" '(25 0 10000 1 1 0 1)
)

Buon HDR a tutti ed alla prossima.

GIMP Scripting - Fade and Shadow

2010-06-28T15:10:00.009+02:00

Siccome qualcuno potrebbe pensare che questo blog sia stato abbandonato, provvedo a pubblicare qualcosa di nuovo che non è molto impegnativo, ma può fare molto comodo ed essere interessante.
Non pensate che siano stati abbandonati gli argomenti da sistemista, ma ho accumulato solamente un deciso ritardo perchè le tante bozze presenti sono da revisionare e correggere, alcune anche da terminare.
Visto che non mi piace farmi mancare "oggetti" scaturiti dalla mia mente e non perdo mai l'abitudine a cercare di arrivare dove altri si sentono a casa loro, mi sono dedicato ad un po' di sano scripting per GIMP, ovvero gli script-foo; questa tipologia di script serve per automatizzare operazioni ricorsive sulle immagini semplificando di molto la vita, ed aumentando moltissimo la velocità, se si devono applicare sempre gli stessi effetti.
Il primo e più semplice script che ho creato serve per effettuare un effetto fading e shadowing ad un'immagine, ovvero sfumare l'immagine ai bordi, come se fosse un rettangolo arrotondato, ed applicargli l'effetto ombra.

Ecco il codice:

; Script to make fading and shadowing of an image
;
; The script is located in "<Image> / Script-Fu / SebaX75 / Fade & Shadow..."
;
; Last changed: 25 Aprile 2010
;
; Copyright (C) 2010 SebaX75 <sebax75 AT yahoo DOT it>
;
; --------------------------------------------------------------------
; 
; Changelog:
;  Version 0.1
;    - First release
;
; --------------------------------------------------------------------
;
; This program is free software; you can redistribute it and/or modify
; it under the terms of the GNU General Public License as published by
; the Free Software Foundation; either version 3 of the License, or
; (at your option) any later version.  
; 
; This program is distributed in the hope that it will be useful,
; but WITHOUT ANY WARRANTY; without even the implied warranty of
; MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
; GNU General Public License for more details.
; 
; You should have received a copy of the GNU General Public License
; along with this program; if not, you can view the GNU General Public
; License version 3 at the web site http://www.gnu.org/licenses/gpl-3.0.html
; Alternatively you can write to the Free Software Foundation, Inc., 675 Mass
; Ave, Cambridge, MA 02139, USA.
;

(define (script-fu-SebaX75-fade-shadow      myImage
     layer0
     offset_x
     offset_y
     arrotondamento
     riduzione
     sfumatura
     coloreOmbra
 )
;       Start an undo group so the process can be undone with one undo
 (gimp-image-undo-group-start myImage)

 ; Esegue la normalizzazione del layer principale
 (plug-in-normalize 1 myImage layer0)

 ; Rimuove qualunque selezione
 (gimp-selection-none myImage)

 ; Inizializzo le variabili da utilizzare
 (let* (
  (image-width (gimp-drawable-width layer0))
  (image-height (gimp-drawable-width layer0))
  (layer1())
  )

  ;Impostare il colore del primo piano a #444444
  (gimp-context-set-foreground coloreOmbra)
  ;Livello -> Trasparenza -> Aggiungi canale alfa
  (gimp-layer-add-alpha layer0)
  ; Seleziona -> Rettangolo arrotondato (20)
  (gimp-selection-all myImage)
  (script-fu-selection-rounded-rectangle myImage layer0 arrotondamento FALSE)
  ; Seleziona -> Riduci (10)
  (gimp-selection-shrink myImage riduzione)
  ; Seleziona -> Inverti
  (gimp-selection-invert myImage)
  ; Seleziona -> Sfumata (20)
  (gimp-selection-feather myImage sfumatura)
  ;Pressione Canc
  (gimp-edit-clear layer0)
;# Seleziona -> Niente
  ;Livello -> Nuovo livello con colore del primo piano ed in secondo piano
  (set! layer1 (car (gimp-layer-new-from-drawable layer0 myImage)))
  (gimp-image-add-layer myImage layer1 1)
  (gimp-drawable-fill layer1 FOREGROUND-FILL)
  ;Seleziona -> Rettangolo arrotondato (20)
  (gimp-selection-all myImage)
  (script-fu-selection-rounded-rectangle myImage layer1 arrotondamento FALSE)
  ;Seleziona -> Riduci (15)
  (gimp-selection-shrink myImage (+ riduzione 5))
  ;Seleziona -> Inverti
  (gimp-selection-invert myImage)
  ;#Seleziona -> Sfumata (20)
  (gimp-selection-feather myImage sfumatura)
  ;Pressione Canc
  (gimp-edit-clear layer1)
  ;Spostare di posizione il nuovo layer (10,10 pixel)
  (gimp-layer-set-offsets layer1 offset_x offset_y)
  ; Rimuove qualunque selezione
  (gimp-selection-none myImage)
  ; Unisco tutti i layer in uno unico
  (set! layer0 (car (gimp-image-flatten myImage)))
  (gimp-drawable-set-name layer0 "Ombra+Fade")
 )

 ;Finish the undo group for the process
 (gimp-image-undo-group-end myImage)

 ; Assicuro l'aggiornamento e la nuova visualizzazione
 (gimp-displays-flush)
)

; Registrazione dello script
(script-fu-register "script-fu-SebaX75-fade-shadow"
 _"<Image>/Script-Fu/SebaX75/Fade & Shadow..."
 "Applica gli effetti per ottenere l'ombra ed il fading dell'immagine"
 "SebaX75"
 "SebaX75"
 "April 21 2010"
 "*"
 SF-IMAGE "Image"     0
 SF-DRAWABLE     "Drawable"  0
 SF-ADJUSTMENT   _"Spostamento X" '(10 -4096 4096 1 10 0 1)
 SF-ADJUSTMENT   _"Spostamento Y" '(10 -4096 4096 1 10 0 1)
 SF-ADJUSTMENT   _"Arrotondamento %"     '(20 -4096 4096 1 10 0 1)
 SF-ADJUSTMENT   _"Riduzione"    '(10 0 1024 1 10 0 1)
 SF-ADJUSTMENT   _"Sfumatura"    '(20 0 1024 1 10 0 1)
 SF-COLOR _"Colore ombra" "#444444"
)

Per oggi direi che è tutto... buon divertimento con GIMP.

Utilizzare sudo per le operazioni di amministrazione

2010-04-08T14:43:00.000+02:00

Molte distribuzioni user friendly, per abituare l'utente a non utilizzare l'account root, che comporta problemi di sicurezza e permetterebbe al neofita di creare grossi danni, si limitano alla creazione dell'utente "normale" e configurano sudo in maniera che questo possa eseguire tutte le operazioni di amministrazione. In molti casi non è neanche possibile utilizzare il comando "su -" per acquisire i permessi di root perchè l'account amministrativo non ha una password impostata, o comunque non la si conosce (può essere anche impostata ad un valore non riproducibile ad un logon), o magari è in lock.
L'eliminazione di questa possibilità aiuta anche a difendersi da possibili attacchi di tipo brute force costringendo l'attaccante a conoscere un account utente diverso da quello di root, oltre a dover indovinare la password, che sicuramente sarebbe presente ed in caso di esposizione del servizio ssh limita molto le possibilità di riuscire a penetrare il sistema (ssh, per fortuna, è quasi sempre configurato in modo da non permettere l'accesso ad utenti con password nulla od account in lock).
Nel caso il nostro sistema fosse configurato in maniera standard e volessimo invece riportarci nella condizione di utilizzare sudo per le operazioni di amministrazione, basta seguire le seguenti informazioni.
Attenzione, le operazioni che andremo ad eseguire comportano sostanziali modifiche delle credenziali e dei sistemi di autenticazione con la possibilità di perdita dell'accesso amministrativo al sistema; quindi dovete prestare un'elevata attenzione verificando di avere sempre la possibilità (o scappatoia) per eseguire operazioni amministrative. Inoltre, se ci sono dei software che vengono eseguiti con le credenziali di root, non so come possano comportarsi in assenza della password all'account amministrativo... io per adesso non ho mai incontrato problemi, ma sicuramente non ho provato tutte le casistiche, quindi prestate molta attenzione a tutto quello che fate.
I passi da fare per replicare la soluzione senza utente root saranno principalmente 2, da eseguire con una logica ben determinata per evitare di ritrovarci senza possibilità di eseguire comandi aministrativi (ed in caso di imprevisti o mal configurazione è ALTAMENTE probabile): configurazione di sudo per l'utente "abituale", con verifica del funzionamento, e rimozione della password dell'utente root.
Il comando sudo si basa sull'escalation dei privilegi, e quindi viene concessa la possibilità di eseguire comandi amministrativi, da parte degli utenti, in quanto i permessi vengono decisi in base a determinati filtri. Il file di configurazione è /etc/sudoers, ma non è possibile editarlo direttamente con vi, anche se è un file di testo, ma si deve utilizzare il comando visudo che autorizza l'apertura e le modifiche al file.
I parametri personalizzabili all'interno di questo file sono molti, dalla creazione di gruppi di comandi ammessi, all'autorizzazione dell'esecuzione di questi da parte di singoli utenti o di gruppi di utenti specifici, ma noi ci occuperemo solamente del caso più semplice... un singolo utente che deve eseguire i comandi amministrativi.
Sfogliando il file, molto spesso si può notare una riga del tipo "%sudo ALL=NOPASSWD: ALL"; questa opzione è molto allettante in quanto permetterebbe di rimuove la richiesta di digitazione della password dell'utente quando utilizza sudo (da molti ritenuta una scocciatura), ma comporta un grande problema di sicurezza in quanto chiunque si colleghi con quell'utente, o trovi una shell attiva, può eseguire comandi con privilegi amministrativi.
La configurazione che interessa nello specifico a noi è relativa all'autorizzazione dell'utente per l'esecuzione dei comandi amministrativi, inserendo la password del proprio account; osservando sempre all'interno del file possiamo notare una linea con "root ALL=(ALL) ALL", in pratica è quello che interessa a noi, ma dobbiamo farlo per un singolo utente, quindi la linea da aggiungere sarà "utente ALL=(ALL) ALL"... a questo punto il nostro "utente" potra eseguire operazioni amministrative digitando la sua password.
Dopo aver modificato la configurazione di sudo proviamo ad eseguire un comando che richieda privilegi amministrativi, ad esempio "cat /etc/sudoers"... dovremmo ricevere un "permission denied"; ora proviamo "sudo cat /etc/sudoers"... se tutto è stato configurato correttamente ci viene mostrato il contenuto del file ed a questo punto possiamo continuare.
Ora veniamo alla parte più semplice: la rimozione della password di root ed il lock dell'accout in modo che non sia possibile utilizzare la password per accedere come root; queste due operazioni sono ottenibili in maniera semplice ed immediata tramite i seguenti comandi:

passwd -d root;
passwd -l root;

Ora il vostro sistema è configurato per utilizzare solamente sudo ed avere un account di root senza password... buona sicurezza a tutti.

VirtualBox su Debian

2010-02-26T19:49:00.001+01:00

Benissimo, dopo aver trattato il repository Debian backports ed aver parlato dei sistemi di virtualizzazione siamo ora pronti a procedere all'installazione del software necessario per poter creare una virtual farm.
In base alle precedenti informazioni, utilizzeremo la distribuzione Debian, con repository backports, da cui andremo a prendere Virtual Box OSE (è la versione realmente libera di VirtualBox, senza supporto all'USB e senza la gestione nativa tramite il protocollo remote desktop, entrambe tecnologie con problemi di brevetti); questo perchè la versione più recente di VirtualBox nei repository stable è la 1.6.6, troppo vecchia in assoluto... sicuramente meglio optare per la 3.x disponibile nei backports.
Prima di tutto partiamo configurando i repository:

vi /etc/apt/sources.list

ed andiamo ad aggiungere le seguenti linee:

# Backported packages for Debian Lenny
deb http://www.backports.org/debian lenny-backports main

Siccome backports di default è disabilitato, ed inizialmente senza chiavi, dobbiamo specificare le chiavi da installare specificando il repository nel seguente modo:

aptitude update aptitude -t lenny-backports install debian-backports-keyring

A questo punto, se non utilizziamo il kernel presente in backports (cosa molto probabile se l'abbiamo configurato solamente per VirtualBox), dobbiamo scaricare i kernel header di quello attualmente in funzione al fine di poter compilare i moduli di VirtualBox... la procedura quindi è la seguente:

aptitude update
aptitude install linux-headers-$(uname -r)

A questo punto siamo pronti ad installare VirtualBox:

aptitude -t lenny-backports install virtualbox-ose

Al termine dell'installazione, DKMS si occuperà della creazione dei moduli per il sistema e questi verranno caricati automaticamente ad ogni avvio del sistema se non diversamente specificato in /etc/default/virtualbox-ose (LOAD_VBOXDRV_MODULE impostato a 0).
Ora non rimane che aggiungere gli utenti che devono poter gestire le macchine virtuali al gruppo vboxusers con il seguente comando:

adduser yourusername vboxusers

Attenzione: l'utente che crea una macchina virtuale ne salva le informazioni all'interno della sua home, quindi a meno di modifiche sostanziali di configurazione, una singola macchina non è gestibile da qualunque utente del gruppo vboxuser.
A questo punto il vostro VirtualBox è pronto e potete cominciare ad allestire la virtual farm.

Un ultimo punto riguarda un errore con cui mi sono ritrovato a confrontarmi... l'errore era relativo a "/dev/vboxdrv" ed ai permessi assegnati; questo file deve avere i permessi impostati nella seguente maniera (ls -l /dev/vboxdrv):

crw-rw---- 1 root root 10, 58 2009-06-22 16:33 /dev/vboxdrv

I permessi di questo file vengono impostati dal file /etc/udev/rules.d/z60_virtualbox-ose.rules, quindi la mask specificata all'interno di questo deve essere 660.
Per verificare se il problema è stato risolto si deve riavviare udev e rimuovere/ricaricare il driver nel seguente modo (operazioni da eseguire da root):

invoke-rc.d udev reload
modprobe -r vboxdrv
modprobe vboxdrv

Nel mio caso tutto era corretto, ma le cose continuavano a non funzionare... il motivo era legato ad un altro file, /etc/udev/rules.d/z60_virtualbox-ose-sources.rules, che definiva altri permessi e mi riscriveva quelli corretti; il problema si risolve modificando anche quel file o rimuovendolo dato che esegue operazioni doppie.

N.B.: per Debian è disponibile il pacchetto "ufficiale" di Sun, senza le limitazioni delle USB e del remote desktop... per chi lo desiderasse può modificare i propri repository includendo quello della Sun ed aggiungendo le seguenti linee in /etc/apt/sources.list:

# VirtualBox official repository
deb http://download.virtualbox.org/virtualbox/debian lenny non-free

Il procedimento che dovrebbe seguire penso sia molto simile a quello già illustrato per la versione OSE, ma non avendo provato non voglio scrivere informazioni non corrette.

Per oggi è tutto, buon divertimento con le macchine virtuali che andrete a creare e nelle prossime puntate ce ne sarà una in cui tratterò l'avvio e la gestione delle macchine virtuali da linea di comando.
Ciao ed a presto.

La virtualizzazione dei sistemi

2010-02-13T18:26:00.003+01:00

La nuova puntata del blog la dedichiamo alla virtualizzazione dei sistemi, ovvero l'installazione software di un PC emulato all'interno di uno reale... i motivi per ottenere funzionalità di questo tipo sono svariate, ma le principali sono legate al testing dei sistemi operativi, al test del software od alla voglia di avere sempre con sè il proprio sistema operativo configurato in maniera personalizzata.
Per poter ottenere una configurazione di questo tipo, vi sono diverse possibilità, ma siccome la portabilità delle macchine virtuali la ritengo una cosa essenziale e molto comoda (potremo gestirne l'esecuzione indistintamente su piattaforme Windows e Linux), la disponibilità del codice sorgente e la gratuitità di utilizzo fanno il resto, i software da prendere in esame e di larga diffusione sono solamente due:

VMWare server
VirtualBox

VMWare server è stato il primo software di virtualizzazione di largo utilizzo, attualmente la versione disponibile è la 2 ed è probabilmente la più adatta in un ambiente server vero e proprio, cioè quando la macchina fisica deve rimanere costantemente accesa e deve eseguire in maniera automatica varie macchine virtuali; non lo consiglio in un ambiente PC per utilizzo desktop in quanto l'installazione è molto pesante (più di 500MB di download) e l'accessso è solamente garantito a livello di browser web o delle funzioni fornite dal sistema operativo virtuale una volta avviato.
VirtualBox è il prodotto di virtualizzazione offerto da Sun, che attualmente è stata acquistata da Oracle; ultimo arrivato sul mercato e già largamente diffuso ed offre ottime funzionalità per una complessità del software relativamente modesta. L'aspetto "server" non è così sviluppato, infatti l'avvio delle macchine virtuali, fino alla versione attuale (3.1.x), non è automatico all'avvio della macchina fisica, ma richiede l'intervento manuale di un operatore o delle modifiche manuali al software.
Per adesso è tutto... verrà trattata tra breve l'installazione di VirtualBox su di un server Debian... alla prossima.

Repository Debian: backports

2010-02-10T19:23:00.008+01:00

Come tutti ormai dovreste sapere, le distribuzioni linux si basano sui pacchetti software che contengono i vari applicativi; questi pacchetti vengono organizzati e resi disponibili attraverso repository.
Se mi avete seguito fin dall'inizio, la vostra distribuzione è configurata per utilizzare i pacchetti scaricati dai repository chiamati stable (lenny al momento attuale) o testing (squeeze).
Uno dei difetti per chi ha bisogno di utilizzare software recente su di una distribuzione stable è che spesso questo non è disponibile od è disponibile in versioni obsolete (e quindi considerate sicure e per ambienti di produzione in quanto testate a lungo ed approfonditamente).
Per ovviare a questo problema ed usare software più recente qualcuno potrebbe pensare che basta utilizzare il repository testing che contiene versioni di software più aggiornate, ma a questo punto nascono i problemi delle dipendenze dei pacchetti... provare dei pacchetti della versione testing richiede che anche i pacchetti da cui dipendono siano di tipo testing e questo porterebbe ad un aggiornamento dell'intero sistema, ma questa è una soluzione che pochi sono disposti ad accettare in un ambiente di produzione.
Quindi, per adesso, non c'è la soluzione utilizzando i repository ufficiali, ed a questo scopo è nato un repository apposta, che si chiama backports (http://www.backports.org); questo archivio è nato dall'esigenza di poter utilizzare del software abbastanza aggiornato utilizzando grazie al fatto che è stato compilato su macchine di tipo stable e quindi le dipendenze sono relative a pacchetti riservati ad un ambiente di produzione... ora passiamo alla parte pratica di configurazione.
Andiamo ad aggiungere ai nostri soliti repository quello nuovo, aggiungiamo la chiave GPG ed aggiorniamo la lista dei pacchetti software disponibili:

echo "deb http://www.backports.org/debian lenny-backports main contrib non-free" > /etc/apt/sources.list
wget -O - http://backports.org/debian/archive.key | apt-key add -
apt-get update

A questo punto i pacchetti del repository sono stati indicizzati nel database locale e quindi quando eseguiremo ricerche o comandi di installazione potremo utilizzare anche questi; siccome di default il repository è disattivato di default, dobbiamo specificarne l'utilizzo dalla linea di comando per poterlo utilizzare e la sintasis del comando di installazione è la seguente:

apt-get -t lenny-backports install “package”
aptitude -t lenny-backports install “package”

Se volessimo utilizzare sempre i pacchetti di backports e quindi abilitarlo di default (attenzione che tutto verrebbe aggiornato rispetto ad una versione stable dato che il software è più recente), possiamo andare a modificare il file /etc/apt/preferences in maniera che siano presenti le seguenti linee:

Package: *
Pin: release a=lenny-backports
Pin-Priority: 200

Direi che per oggi è tutto... buon divertimento con il software aggiornato.