IPFire

IPFire è un sistema operativo open source che è stato progettato da zero per fungere da sistema firewall dedicato, sicuro e flessibile basato su alcune delle migliori tecnologie Linux, come iptables, OpenSSL e OpenSSH.

Questo piccolo sistema operativo può essere scaricato tramite Softoware o dal suo sito Web ufficiale (vedi link sopra) come un'unica immagine CD ISO installabile di circa 150 MB di dimensione, contrassegnata solo per l'architettura del set di istruzioni a 32 bit (i586). Mentre la distro si avvierà e installerà su piattaforme hardware a 64 bit, accetterà solo applicazioni a 32 bit.

Il menu di avvio ben progettato e ben organizzato ti consentirà di installare la distribuzione direttamente e permanentemente su un'unità locale. Inoltre, sarai in grado di installare il sistema operativo in modalità testo, eseguire un'installazione automatica, eseguire un test di diagnostica della memoria con l'utility Memtest86 +, nonché visualizzare informazioni hardware dettagliate con l'Hardware Detection Tool (HDT).

Programma di installazione in modalità testo molto facile da usare

L'intero processo di installazione è basato sul testo e richiede all'utente di selezionare solo una lingua (le lingue supportate includono inglese, turco, polacco, russo, olandese, spagnolo, francese e tedesco), accettare la licenza e partizionare il disco (i filesystem supportati includono EXT2, EXT3, EXT4 e ReiserFS).

Dopo l'installazione, è necessario selezionare un layout di tastiera e un fuso orario, inserire il nome host e il nome di dominio della macchina, inserire una password per l'amministratore di sistema (root) e amministratore, oltre a configurare la rete ( include le impostazioni DNS, Gateway, Indirizzo IP, Driver e scheda di rete).

Riassumendo, IPFire è una delle migliori distribuzioni di firewall open source di Linux, progettata per fornire firewall all'avanguardia, componenti gateway VPN e server proxy. Il suo design è modulare e flessibile, il che significa che la sua funzionalità può essere estesa tramite plugin.

Novità in questa versione:

• Proxy solo RAM:
• In alcune installazioni potrebbe essere opportuno lasciare solo il proxy per memorizzare gli oggetti nella memoria e non sul disco. Soprattutto quando la connettività Internet è veloce e l'archiviazione è lenta, questo è molto utile.
• L'interfaccia utente Web ora consente di impostare la dimensione della cache del disco su zero che disabilita completamente la cache del disco. Grazie a Daniel per aver lavorato su questo.
• OpenVPN 2.4:
• IPFire è migrato su OpenVPN 2.4 che introduce nuovi algoritmi della classe AES-GCM che aumenteranno il throughput su sistemi con accelerazione hardware. L'aggiornamento porta anche altri miglioramenti minori.
• Erik ha lavorato all'integrazione, questo ha richiesto un po 'di lavoro sotto il cofano, ma è compatibile con qualsiasi configurazione precedente sia per le connessioni roadwarrior che per le connessioni net-to-net.
• Crittografia migliorata:
• La crittografia è una delle basi per un sistema sicuro. Abbiamo aggiornato la distribuzione per utilizzare l'ultima versione della libreria di crittografia OpenSSL (versione 1.1.0). Questo viene fornito con una serie di nuovi cifrari e sono state condotte importanti rielaborazioni del codice base.
• Con questa modifica, abbiamo deciso di deprecare completamente SSLv3 e l'interfaccia utente web richiederà TLSv1.2, che è anche l'impostazione predefinita per molti altri servizi. Abbiamo configurato una lista di cifrature avanzata che utilizza solo algoritmi recenti e rimuove completamente algoritmi rotti o deboli come RC4, MD5 e così via.
• Controlla prima di questo aggiornamento se stai facendo affidamento su uno di questi e aggiorna i tuoi sistemi dipendenti.
• Vari pacchetti in IPFire dovevano essere riparati per poter usare la nuova libreria. Questo importante lavoro era necessario per fornire IPFire con la più recente crittografia, migrare lontano da algoritmi deprecati e sfruttare la nuova tecnologia. Ad esempio, è disponibile la cipresuite ChaCha20-Poly1305 che offre prestazioni più rapide sui dispositivi mobili.
• La vecchia versione della libreria OpenSSL (1.0.2) è ancora lasciata nel sistema per ragioni di compatibilità e continuerà a essere mantenuta da noi per un breve periodo. Alla fine, questo verrà rimosso completamente, quindi ti preghiamo di migrare eventuali componenti aggiuntivi personalizzati dall'utilizzo di OpenSSL 1.0.2.
• Varie:
• Pakfire ha ora scoperto quali server mirror supportano HTTPS e li contatteranno automaticamente su HTTPS. Ciò migliora la privacy.
• Abbiamo anche avviato la prima fase del nostro rollover di chiavi Pakfire pianificato.
• Path MTU Discovery è stato disabilitato nel sistema. Ciò ha creato continuamente problemi con la stabilità dei tunnel IPsec che hanno scelto percorsi su reti che erano configurate in modo errato.
• Il modello QoS potrebbe calcolare male la larghezza di banda che è stata ora fissata per cui la somma della larghezza di banda garantita su tutte le classi non supera il 100%
• Pacchetti aggiornati:
• binding 9.11.3, curl 7.59.0, dmidecode 3.1, gnupg 1.4.22, hdparm 9.55, logrotate 3.14.0, Net-SSLeay 1.82, ntp 4.2.8p11, openssh 7.6p1, python-m2crypto 0.27.0, non associato 1.7.0, vnstat 1.18
• Add-ons:
• Questi componenti aggiuntivi sono stati aggiornati: clamav 0.99.4, htop 2.1.0, krb5 1.15.2, ncat 7.60, nano 2.9.4, rsync 3.1.3, tor 0.3.2.10, wio 1.3.2

Novità della versione nella versione:

• OpenSSL 1.0.2n:
• Una vulnerabilità moderata e una bassa sicurezza sono state corrette in OpenSSL 1.0.2n. Il servizio di sicurezza ufficiale può essere trovato qui.
• IPsec:
• Ora è possibile definire il timeout di inattività quando viene chiuso un tunnel VPN IPsec inattivo
• Il supporto per i gruppi MODP con sottogruppi è stato eliminato
• La compressione ora è disabilitata perché non è affatto efficace
• strongswan è stato aggiornato alla 5.6.1
• OpenVPN:
• Ora è più semplice instradare i client OpenVPN Roadwarrior alle reti VPN IPsec scegliendo le rotte nella configurazione di ciascun client. Ciò rende i progetti hub-and-spoke più facili da configurare.
• Crea toolchain:
• Alcuni script di build sono stati rifattorizzati per ripulire il processo di compilazione e la toolchain è stata spostata da / tools a / tools_ & lt; arch & gt;.
• nasm, Net Assembler, è stato aggiornato alla 2.13.2
• Varie:
• La compressione SSL e i ticket delle sessioni SSL sono stati disabilitati in Apache. Ciò migliorerà la sicurezza dell'interfaccia utente web.
• In vari luoghi, le informazioni GeoIP sono disponibili dove vengono mostrati gli indirizzi IP e che è utile sapere informazioni
• L'aggiunta di route statiche all'interfaccia utente web è stata corretta
• Alcuni problemi estetici sulle pagine di configurazione del captive portal sono stati corretti e il captive portal ora sta lavorando insieme al proxy in modalità trasparente
• È ora possibile configurare Syslogging su un server di rimozione per utilizzare TCP o UDP
• Add-ons:
• Samba è stato aggiornato per risolvere diversi problemi di sicurezza
• mc è stato aggiornato alla 4.8.20
• nano è stato aggiornato alla 2.9.1
• sslscan, vsftpd e Pound sono stati eliminati perché non sono più mantenuti upstream e incompatibili con OpenSSL 1.1.0

Novità nella versione 2.19 Core 116 / 3.0 Alpha 1:

• openssl 1.0.2m:
• Il progetto OpenSSL ha rilasciato la versione 1.0.2m e ha emesso due avvisi di sicurezza nell'ultima settimana. Le due vulnerabilità scoperte erano di moderata e bassa sicurezza, ma abbiamo deciso di inviarti questo aggiornamento il prima possibile. Quindi si raccomanda di aggiornarlo il prima possibile.
• La vulnerabilità più grave citato come CVE-2017-3736 risolve un problema con i moderni processori Intel Broadwell e AMD Ryzen in cui OpenSSL utilizza alcune moderne estensioni DMI1, DMI2 e ADX e calcola la radice quadrata in modo errato. Questo potrebbe essere sfruttato da un hacker che è in grado di mettere risorse significative per recuperare una chiave privata più facilmente, purtroppo questo attacco è ancora considerato praticamente irrealizzabile dal team di sicurezza di OpenSSL.
• La vulnerabilità meno grave è stata causata dalla sovrascrittura dei dati del certificato quando un certificato ha un'estensione IPAddressFamily malformata. Ciò potrebbe comportare l'errata visualizzazione del certificato in formato testo. Questa vulnerabilità è tracciata in CVE-2017-3735.
• Varie:
• wget ha anche sofferto di due vulnerabilità di sicurezza che consentivano a un utente malintenzionato di eseguire codice arbitrario. Sono indicati sotto CVE-2017-13089 e CVE-2017-13090.
• apache è stato aggiornato alla versione 2.4.29 che corregge un numero di bug.
• snort è stato aggiornato alla versione 2.9.11.
• xz è stato anche aggiornato alla versione 5.2.3 che apporta vari miglioramenti.