In questa lezione esploriamo come sono suddivise le porte nei sistemi di rete. Comprendere la distinzione tra porte Well-known, Registered e Dynamic è fondamentale per gestire correttamente le connessioni TCP/IP.
Analizzeremo le caratteristiche e le funzioni di ogni categoria per capire come il protocollo identifica le applicazioni e i servizi sulla rete.
Nella lezione precedente abbiamo esplorato come il sistema operativo leghi un numero di porta a un preciso processo software (PID) per smistare i dati. Ma chi decide quali numeri debbano essere usati? Immagina il caos se Google decidesse di erogare il suo sito sulla porta 1234, Amazon sulla 8942 e Wikipedia sulla 500. Gli utenti dovrebbero digitare a mano il numero di porta nel browser a ogni singola visita, e i firewall mondiali sarebbero impossibili da configurare.
Per garantire l'interoperabilità globale di Internet, un ente supremo chiamato IANA (Internet Assigned Numbers Authority) ha preso il controllo matematico dei 16 bit a disposizione nell'header di Trasporto. Avendo 65.536 combinazioni possibili (da 0 a 65535), la IANA ha diviso chirurgicamente questo spazio in tre categorie rigorose e non sovrapponibili. In questa lezione analizzeremo la logica tecnica e le implicazioni di sicurezza dietro ciascuna di queste tre fasce.
La prima fascia, che va dalla porta 0 alla 1023, è denominata Well-known Ports (Porte ben note) o System Ports. Questi numeri sono intoccabili e sono stati assegnati storicamente ai protocolli che costituiscono le fondamenta stesse di Internet. Troviamo qui i giganti del networking: l'HTTP (80), l'HTTPS (443), il DNS (53), l'SSH (22), l'FTP (21) e l'SMTP (25 per le email).
Tuttavia, l'appartenenza a questa fascia non è solo una convenzione formale, ma ha un impatto profondo a livello di architettura del Sistema Operativo.
Il blocco dei privilegi di Root: Sui sistemi operativi Unix/Linux, esiste una regola di sicurezza scolpita a livello di Kernel: nessun utente standard può avviare un software in ascolto (Listening) su una porta inferiore a 1024 . Per fare il binding (l'aggancio) su una porta Well-known, il processo deve essere eseguito con i privilegi massimi di Amministratore (Root). Questo previene un attacco banalissimo: impedisce a uno studente o a un dipendente non autorizzato di avviare un server Web fasullo sulla porta 80 della sua postazione per rubare le credenziali dei colleghi.La seconda fascia è enormemente più vasta e va dalla porta 1024 alla 49151. Prende il nome di Registered Ports (Porte Registrate) o User Ports. A differenza delle porte di sistema, i numeri in questo intervallo non richiedono i privilegi di Amministratore per essere utilizzati . Qualsiasi utente standard può avviare un software su una di queste porte.
Queste porte vengono ufficialmente registrate presso la IANA dalle aziende produttrici di software per i loro prodotti commerciali. Ad esempio, Microsoft ha registrato la porta 3389 per il Remote Desktop Protocol (RDP). Oracle ha registrato la porta 1521 per il suo Database, e MySQL utilizza la porta 3306.
[tooltip]La porta 8080 (e la 8443) appartengono a questa fascia. Vengono usate spessissimo dagli sviluppatori come porte HTTP/HTTPS "Alternative". Permettono di testare un web server locale senza dover usare l'utente Root, aggirando il blocco della porta 80 imposto dai sistemi Unix.[/tooltip]L'ultima fascia, che copre dalla porta 49152 alla 65535 (anche se storicamente su Linux partiva dalla 32768), è conosciuta come Dynamic Ports o Porte Effimere. Questa porzione dello spazio di indirizzamento ha una regola fondamentale e assoluta: non viene MAI utilizzata dai server per mettersi in ascolto.
Questa fascia è il regno esclusivo dei Client. Quando tu apri una nuova scheda del browser e ti colleghi a Facebook (che ascolta in modo statico sulla Well-known 443), il tuo computer deve inserire una Source Port nel pacchetto TCP. Il sistema operativo pesca a caso un numero libero da questa fascia effimera (es. 51004) e lo usa per la durata della connessione. Non appena chiudi la scheda del browser, la porta 51004 viene considerata "morta", viene immediatamente liberata e rimessa nel pool del Kernel a disposizione per future connessioni.
Port Obfuscation (Sicurezza tramite oscurità):
Un'altra tecnica avanzata riguarda lo spostamento strategico dei servizi. I botnet su Internet eseguono costantemente scansioni automatiche sulla porta Well-known 22 cercando di penetrare nei server tramite SSH. Molti amministratori modificano i file di configurazione per spostare l'ascolto dell'SSH su una porta Registered casuale, ad esempio la 22222. Questo non rende il protocollo crittograficamente più sicuro, ma abbatte del 99% il "rumore di fondo" e i tentativi di attacco automatizzati, nascondendo il servizio agli scanner più superficiali.
La divisione in tre blocchi (Well-known, Registered, Dynamic) operata dallo IANA ha messo ordine nell'anarchia iniziale delle reti. Le prime 1024 porte garantiscono che i servizi vitali (Web, Email, DNS) siano sempre dove ce li aspettiamo e siano protetti a livello di privilegi del Kernel. La vastissima zona centrale permette alle aziende di creare nuovi protocolli commerciali senza pestarsi i piedi, mentre l'ultima fascia fornisce un serbatoio dinamico e inesauribile per le connessioni in uscita dei Client.
Mettiti alla prova con un caso reale di configurazione Firewall. L'amministratore di sistema della scuola configura il router di frontiera per bloccare tutte le connessioni in ingresso verso le porte Well-known (0-1023), convinto in questo modo di aver impedito agli studenti di ospitare server non autorizzati. Se tu volessi dimostrargli che la sua regola è incompleta e facilmente bypassabile, su quale fascia di porte andresti a configurare un tuo server Minecraft o un tuo server web personale per renderlo perfettamente accessibile da casa, e perché il router non lo bloccherebbe?
Contatti Supportaci Chi siamo Cookies
La possibilità di poter ascoltare l'audio è offerto da ResponsiveVoice-NonCommercial
licensed under
Questo sito è un'idea di Francesco
Statistics