In un tempo in cui è - quasi - possibile connettersi a reti wifi libere e gratuite ovunque ci si trovi, si dovrebbe avere la certezza che i propri collegamenti siano sicuri.

In alcuni casi non è possibile fidarsi della connessione che stiamo utilizzando, ma non si può fare a meno, che sia per lavoro o per diletto, di andare on-line e leggere alcune mail e/o condividere alcuni documenti. In questo caso alcuni strumenti di base come SSH e il nostro browser di fiducia (nel caso d'esempio utilizzeremo Firefox) possono aiutarci a costruire una connessione sicura a un computer (s)conosciuto in rete di cui ci si può fidare.

Per rendere chiaro il caso d'uso facciamo riferimento all'immagine seguente:

Ci siamo connessi grazie all'uso di una rete pubblica o access point wifi. Ci sono molte persone intorno a noi e tutte stanno usando la stessa connessione e ci ritroviamo nella situazione, paranoica bisogna dirlo, di non conoscere il fornitore del servizio di rete che stiamo utilizzando.

Una cosa che possiamo fare per ottenere una connessione sicura è quella di aprire un tunnel SSH sulla nostra macchina e inviare tutto il traffico generato con il browser web attraverso questo tunnel.

Tutto ciò può essere fatto con un comando SSH in questo modo:

root@host:/# ssh -D 8080 username@host

Come spiegato nel man di ssh:

-D [bind_address:] porta - Specifica un  port forwarding, locale "dinamico" a livello di applicazione . Questo funziona allocando un socket in ascolto sulla porta sul lato locale, a scelta legata al bind_address specificato.

Ogni volta che viene stabilita una connessione a questa porta, la connessione viene inoltrata oltre il canale sicuro, e il protocollo della applicazione viene quindi utilizzato per determinare dove connettersi dalla macchina remota.

Attualmente i protocolli SOCKS4 e SOCKS5 sono supportati, e ssh funge da SOCKS server. Solo root può inoltrare le porte privilegiate. L'inoltro delle porte dinamico può anche essere specicato nel file di configurazione.

Gli indirizzi IPv6 possono essere specificati con una sintassi alternativa: [bind_address/]porta o racchiudendo l'indirizzo tra parentesi quadre. Solo il superutente può inoltrare le porte privilegiate. Per impostazione predefinita, la porta locale è legata in conformità  con l'impostazione della GatewayPorts.

Tuttavia, un esplicito bind_address può essere usato per legare la connessione a un indirizzo specifico. Il bind_address di "Localhost" indica che la porta di ascolto è vincolata per uso locale, mentre un indirizzo vuoto o '*' indica che la porta dovrebbe essere disponibile da tutte le interfacce.


Ora ho una porta locale (8080) attraverso la quale posso inviare il mio traffico. La sola cosa che devo fare è quella di riconfigurare il mio browser, in questo caso Firefox, per utilizzare questa porta e verificare che pure le richieste DNS siano inviate attraverso questa connessione sicura.

Aprire la pagina about:config e impostare il seguente valore booleano:

network.proxy.socks_remote_dns;       default       boolean           true

Happy web a tutti!