Oggi arrivo dal cliente, e trovo un muletto in appoggio a una videoconferenza che ha problemi a collegarsi alla rete. Un’occhiata distratta: il cavo è collegato e sull’interfaccia c’è traffico, ma il notebook non “vede” nulla e non accede a nessuna risorsa.

Controllo l’indirizzo, e in effetti è una roba tipo 192.168.100.blabla. Ecco il problema: la rete aziendale è 10.yadda.yadda.bla e il solito Kevin Mitnick mancato deve aver toccato la configurazione, mi dico, ma in realtà c’è di meglio. La macchina è a posto, solo che sulla rete c’è collegato qualcosa che fa da DHCP server e ruba il lavoro agli onesti server che tirano la carretta tutti i giorni. E ciò è male: se gli si lascia fare così, nel giro di poche ore potrebbe scatenarsi una grave rottura di scatole.

Sul notebook offeso lancio un prompt dei comandi e trovo l’IP dell’usurpatore: 162.168.100.245. Tanto per non sapere né leggere né scrivere(*), ci punto un browser e viene fuori l’interfaccia troglodita di un access point portatile Digicom. (Io ho una gioiosa antipatia per la roba Digicom, credo ricambiata). Ammetto che il mio primo istinto BOFH sarebbe stato di cambiare la password, ma per fortuna non era il default e non avevo tempo di cercare eventuali vulnerabilità.

Trovare un aggeggio del genere non è semplice su una rete con centinaia di punti rete, sparsa su diversi piani e con diverse decine di utenti, ma la pigrizia è amica del sagace sistemista che non vuole scarpinare. Un’occhiata alla cache ARP del portatile mi rivela il MAC address del piccolo rompiballe e una conferma del fatto che è un apparato Digicom la trovo sul solito sito apposito.

La rete dispone di ottimi switch layer 3 indegnamente mal configurati da me, mi collego in sequenza a tutti gli chassis di piano finché, tramite il comando show mac-address, non trovo la porta a cui è collegato il piccolo invasore. A questo punto una visita in sala switch per individuare il punto rete incriminato e staccare brutalmente il cavo. Avrei potuto limitarmi a disattivare la porta, ma c’è più soddisfazione a sradicare il cavo.

Ulteriori indagini sveleranno poi il colpevole sotto forma di un buontempone, fornitore del cliente, che per una consulenza di progetto si è installato in una saletta e ha pensato bene di fornire accesso di rete ai suoi colleghi.

Non sono esente da colpe: avrei dovuto attivare il DHCP snooping sugli switch, ma questa cosa non è mai successa in anni, ed è una di quelle cose di cui si dice sempre: “Appena ho un momento lo faccio.” D’altra parte esiste una esplicita e rigida normativa a proposito del collegamento alla rete aziendale, talvolta disattesa.

(Il NAC? Sì, è in cantiere.)

(*)genovesismo