News

IPFire 2.29 - Core Update 189 è ora disponibile  e porta con sé una serie di miglioramenti significativi, tra cui una correzione di sicurezza cruciale e un nuovo grafico per il Sistema di Prevenzione delle Intrusioni (IPS). Questo aggiornamento è uno dei più grandi mai distribuiti, grazie all’inclusione di numerosi file firmware nuovi e aggiornati per vari hardware.

Miglioramenti al Sistema di Prevenzione delle Intrusioni (IPS)

Uno dei punti salienti di questo aggiornamento riguarda il miglioramento della gestione dell’IPS. In caso di arresto anomalo del processo IPS, c’era il rischio che il firewall si aprisse, esponendo i servizi in esecuzione a Internet. Sebbene non siano stati osservati attacchi intenzionali che sfruttassero questa vulnerabilità, su sistemi con poca memoria il processo potrebbe essere interrotto per liberare risorse, rappresentando un rischio per la sicurezza.

Per mitigare questo problema, sono stati implementati vari miglioramenti. Ora, un processo di sorveglianza monitora l’IPS e lo riavvia automaticamente in caso di blocco inaspettato. Inoltre, il traffico inserito nella whitelist non verrà più inviato all’IPS, ma sarà immediatamente escluso tramite le regole di iptables.

È ora possibile filtrare anche il traffico IPsec, che in precedenza era escluso a meno che non passasse attraverso altre interfacce scansionate.

Nuovo Grafico per il Throughput IPS

Un’altra novità è l’introduzione di un grafico nella pagina IPS che mostra il throughput in tre diverse categorie: larghezza di banda scansionata in entrata e in uscita, traffico inserito nella whitelist e traffico bypassato. Questo permette agli utenti di avere una visione chiara e dettagliata delle prestazioni dell’IPS.

Aggiornamenti Vari

Oltre ai miglioramenti all’IPS, l’aggiornamento include un gran numero di aggiornamenti dei pacchetti, rendendo questo uno degli aggiornamenti più completi e significativi rilasciati finora.

In conclusione, IPFire 2.29 - Core Update 189 rappresenta un passo avanti significativo nella sicurezza e nella gestione del firewall, offrendo agli utenti strumenti migliori per proteggere i loro sistemi e migliorare le prestazioni complessive.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da IPFire Italia  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

Oggi abbiamo un enorme aggiornamento per il nostro firewall. Questo aggiornamento include un gran numero di modifiche importanti per ogni utente che utilizza IPFire. Abbiamo lavorato per migliorare i pacchetti, aggiornare il kernel, migliorare la gestione dei lease DHCP, ottimizzare il sistema di build e introdurre una nuova versione di OpenSSL, oltre a correzioni per le ultime vulnerabilità della CPU Intel.

Riduzione dell’utilizzo della CPU per la qualità del servizio

IPFire, dalla versione Core 163, utilizza il servizio CAKE, poiché tutto è migliore con CAKE. E questa è un’affermazione vera, confermata da varie analisi. Tuttavia, abbiamo scoperto che CAKE ha un consumo di CPU molto più elevato e potrebbe diventare un collo di bottiglia sui dispositivi con un processore debole ma con interfacce di rete performanti. Pertanto, stiamo modificando IPFire per utilizzare fq_codel per impostazione predefinita.

Un nuovo modo per ottenere i lease DHCP nel DNS

Quando IPFire assegna un indirizzo IP a un dispositivo sulla rete locale, sarebbe utile se quel dispositivo potesse essere raggiunto anche tramite il suo nome e non solo tramite un indirizzo IP casuale. Questo processo veniva eseguito da un bridge che analizzava tutti i lease e li sincronizzava con Unbound, il proxy DNS. Questo programma è stato ora riscritto per ascoltare gli eventi dal server DHCP, in modo da essere più flessibile e scalare meglio.

Varie

• OpenSSL è stato aggiornato alla versione 3.3.0. Questo è l’ultimo ramo principale.
• Il microcodice Intel è stato aggiornato per risolvere una serie di vulnerabilità di sicurezza nelle CPU:
  • INTEL-SA-01083
  • INTEL-SA-01118
  • INTEL-SA-01100
  • INTEL-SA-01038
  • INTEL-SA-01046
• Sistema di prevenzione delle intrusioni (IPS)
  • È stato corretto un bug per cui l'IPS non si avviava quando l'interfaccia RED è un modem 5G/4G che utilizza QMI
  • Le dettagliate regole Suricata integrate non sono più abilitate per impostazione predefinita, il che creerà meno rumore nei registri
• Questa versione include un nuovo kernel basato su Linux 6.6.47 che è una versione che include molti bug, correzioni di stabilità e sicurezza

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da IPFire Italia  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

Video sul canale SecurityCert tenuto da Davide Baraldi di CR1PT0 che speiga le funzionalita di IPFire

 Un grazie a tutti per il contributo

In piena estate non poteva mancare l’aggiornamento di IPFire. Con questo aggiornamento, abbiamo aumentato la protezione contro gli attacchi Denial-of-Service e utilizzato le istruzioni SIMD per il sistema di prevenzione delle intrusioni su ARM, migliorando così l’efficienza e la velocità di rilevamento delle minacce.

Inoltre, viene fornito con una serie di correzioni di sicurezza in OpenSSH, Suricata e Apache2, oltre al consueto pacchetto di correzioni di bug e aggiornamenti software, garantendo una maggiore stabilità e sicurezza del sistema.

Protezione avanzata (distribuita) contro la negazione del servizio

Poiché IPFire è comunemente utilizzato nei data center, dove si verificano regolarmente attacchi di tipo Denial of Service, ora abbiamo aggiunto una migliore protezione contro questo tipo di attacchi. Precedentemente, il sistema si proteggeva piuttosto bene dagli attacchi (D)DoS, ma questo era limitato solo se le connessioni TCP terminavano sul firewall stesso, come nel caso dei proxy inversi, ecc.

Ora, IPFire può utilizzare i cookie TCP SYN per proteggere meglio l’infrastruttura sottostante dagli attacchi SYN Flood. Ciò è particolarmente utile in scenari con larghezza di banda elevata e distribuzioni cloud e può essere attivato con una sola casella di controllo separata per ciascuna regola firewall.

Leggi una spiegazione approfondita su come funziona sul blog di IPFire.

Varie

• La funzione IP Blocklist supporta ora altri due elenchi: 3CORESec e Abuse.ch Botnet C2, ampliando così la capacità di bloccare indirizzi IP malevoli.
• Poiché la libreria Hyperscan di Intel non è più disponibile come software gratuito, siamo passati a Videoscan, che è un fork dell’Hyperscan originale. Oltre a supportare l’architettura x86_64, Videoscan supporta anche ARM64, il che dovrebbe apportare miglioramenti alle prestazioni del sistema di prevenzione delle intrusioni.
• Il firewall ora creerà più regole se configurato nella modalità più restrittiva per consentire il flusso del traffico IPsec per qualsiasi connessione locale, migliorando così la sicurezza delle comunicazioni.
• Non è possibile creare connessioni IPsec utilizzando un FQDN come ID locale/remoto invece del consueto indirizzo IP, garantendo una maggiore flessibilità nella configurazione delle VPN.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da IPFire Italia  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

Finalmente è arrivato l’aggiornamento di IPFire 2.29 - Core Update 186! Questo pacchetto include alcune modifiche interessanti:

1. Kernel Aggiornato: L’aggiornamento porta con sé un kernel IPFire basato su Linux 6.6.30. Questo kernel include mitigazioni per l’ultima vulnerabilità Register File Data Sampling (RFDS, nota anche come CVE-2023-28746) nei processori Intel e risolve problemi con il grafico della CPU quando alcuni core virtuali sono offline. Inoltre, il Raspberry Pi ora supporta il ridimensionamento della frequenza della CPU.
2. Supporto Sperimentale per Btrfs: IPFire ora include il supporto sperimentale per il filesystem Btrfs. Questo nuovo design consente la compressione di tutti i dati contenuti nel filesystem e permette di creare istantanee utili per il processo di sviluppo e per semplificare i rollback.
3. Varie Miglioramenti:
   • Blocklist del Firewall: Spamhaus EDROP è stato incorporato in DROP. Gli utenti che avevano EDROP abilitato avranno automaticamente DROP abilitato dopo l’installazione di questo aggiornamento. Inoltre, l’elenco Alienvault, che è fuori produzione, è stato rimosso.
   • Suricata e Linux Landlock: Suricata è stato abilitato a utilizzare Linux Landlock, che protegge da accessi non autorizzati al filesystem da parte di exploit.
   • Avvisi di Avvio Silenziati: Alcuni avvisi non necessari durante il processo di avvio sono stati silenziati.

Questo aggiornamento migliora la sicurezza e l’efficienza del sistema IPFire.

Ricordate sempre di mantenere il vostro sistema aggiornato per proteggervi dalle minacce informatiche.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da IPFire Italia  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti