Crypto AG: umazana obveščevalna zgodba bajnih zaslužkov

Mene bi zanimale implikacije. Kakšni varnostni problemi nastajajo, če imaš kontaktne podatke na http?

Poldi112 je 14. feb 2020 ob 16:19 izjavil:

Mene bi zanimale implikacije. Kakšni varnostni problemi nastajajo, če imaš kontaktne podatke na http?

Lahko ti preko MITM ugrabijo povezavo in podtaknejo napačno telefonsko.
Pač ni certifikata, ki bi jamčil, da podatki, katere ti vidiš v brskalniku, dejansko izvirajo s strežnika, katerega misliš, da si obiskal.

A tu samo https tudi še ne reši problema (hijack)- če imaš self-signed certifikat si namreč skoraj na istem, kot če bi stran gledal preko http....

matijadmin je 14. feb 2020 ob 16:39 izjavil:

Jaz to počnem in mnogi drugi, ki uporabljajo znan in razširjen app EFF.

znan? razširjen?

Ali se ti delaš norca?

In koliko krat smo že slišali, da je v časih, ko je svetu vladal samo http, nekdo nekomu podtaknil napačno telefonsko na spletni strani?

In kaj vraga, če ti ugrabijo DNS in te pošljejo na xy strežnik, tudi tega lahko preparirajo tako, da boš preko https in prepričan, da si na pravemu.

En velik sranje je s tem http vs. https, ker je ena cela armada paranoikov vtikala svoje prste zraven. Me tako zelo spomnja na paniko okoli 5G tehnologij.

Veš kdo je najbolj hvaležen za https? Vsi tisti, ki želijo zares delati sranje!
Ta, ki je paničar in vpije "HTTPS Everywhere!" namreč zaradi 'verskega prepričanja' ne bo vklopil https preverjanje prometa na požarni pregradi (če sploh ima tako, ki bi bila tega zmožna). Nefiltrirano bo spuščal ves malware na notranjo stran, proti zunanji pa dovolil prosto komunikacijo vsem mogočim botom in trojancem.

Ko bo pa kaj šlo narobe, bodo pa krive vse tiste strani, ki so še vedno na navadnem grdem http, ne pa njegovo neznanje in ignoranca.

Če bi znal karikature risat, bi narisal sliko WC-ja, ki namesto dišave uporablja https za enkriptiranje smradu. Enkriptaš pa ne smrdi več....mar ne?
Tako kot tudi virus preko https ni več nevaren. Ali pač? A? A?

Torej, da pojasnim par zadev.

Moj članek se nanaša IZKLJUČNO na analizo spletni strani (konkretno HTTPS) in ne na analizo njihovih šifrirnih rešitev. To sem tudi jasno zapisal.

Šifrirne rešitve je preveril UVTP - in jim dal potrdilo, da so OK. Sicer tole nima veze, ampak slučajno poznam nekatere konkretne izdelke treh od navedenih podjetij. Za nekaj teh sem zelo prepričan, da so odlični izdelki, pri enem sem našel kar resno napako in jih o tem tudi obvestil (že pred leti). Kdo je kdo, vedo že sami. Ne vem, če so potem tudi dejansko popravili.

Kar se tiče ideje "vse na HTTPS", pa jaz mislim, da je to dobro. Sicer je res, da ni vredno šifrirati vsega, ampak če se šifrira samo pomembne stvari, je to že neke vrste "samooznaka", kaj je pomembno. Pred leti so šifriranje uporabljali samo tisti, ki so imeli nek konkreten razlog za to. Ampak s tem so si sami narisali tarčo na čelo. In to je seveda problem. Če se šifrira VSE, pa se to izgubi. Napadalec težje ugotovi katere so pomembne informacije in katere nepomembne.

Ja, seveda HTTPS ni magična rešitev za vse. Tudi preko HTTPS lahko dobiš servirano bedno vsebino. Ali pa malware. Razumem tudi, da je problem, če hočeš delati DPI in loviti malware, pa ti TLS 1.3 pokvari igro. Ampak po drugi strani je pa tudi zanašanje na DPI oz. IDS tehnike neustrezno. Konec koncev lahko malware uporablja obfuskacijske tehnike, pa ga celo na HTTP ne boš zaznal.

Ampak da gremo nazaj.

Dejstvo je, da ima danes spletna stran marsikaterega javnega (!) medija bolje postavljen HTTPS kot so ga imele nekatera teh podjetij. Je smiselno šifrirati informacije, ki so itak namenjene široki javnosti? Če bi gledali tako, potem se lahko večina spletnega prometa neha šifrirati.

Ampak kar želim poudariti je tole. Od direktorja avtomobilskega podjetja pričakuješ, da se bo na sestanek pripeljal v brezhibnem avtu, ne v razmajani kripi. Od direktorja tiskarne pričakuješ, da ti bo v roke potisnil brezhibno izdelano vizitko, in ne nekaj, kar je šlo v škart. In od ponudnika šifrirnih rešitev čisto upravičeno pričakuješ, da bo tudi na spletni strani pokazal, da obvlada svoj posel. Še posebej, če se hvali da sledi novim trendom in tehnologijam ter se redno izobražuje na področju svoje dejavnosti. Saj lahko verjamem, ampak potem pa to tudi pokažite.

In ja, če se vrnemo k Šparu in krofom... imamo dve trgovini, ki prodajata verificirano okusne krofe. Ko stopiš v eno, so police urejene kot iz škatlice, čiste, itd... v drugi pa odpada zidna barva, zaudarja po plesni in imaš občutek, da si v kotu videl miško. Ja, krofi so v obeh trgovinah zapakirani v lepo plastično škatlo. Ampak kje dobiš boljši vtis?

In točno to je bil namen mojega članka. Verjamem pa, da malomarnost (ali splošna zanemarjenost) za slovenski zasebni sektor ne predstavlja neke težave...

Aja, pa še tole... kako bi gledali na predstavitveno stran novinarja, kjer bi objavljal vsebine s kupom slovničnih napak. Hkrati bi se pa hvalil, da je odličen raziskovalni novinar.

Saj ni problema, ne? Časopis ima itak lektorja...

Traparija. Obešate se na trivialnosti.

> Nekako je to njihova primarna dejavnost.

Nekako ni, razen če so v biznisu izdelave spletnih strani...

poweroff je 14. feb 2020 ob 21:36 izjavil:

Saj nihče ni ocenjeval designa in vsebine spletne strani. Ocenjeval sem kvaliteto šifriranja.

Prav tako pa tudi ne kakovost "vrhunsjih šifrirnih rešitev", kot je to navedeno v naslovu.

poweroff je 14. feb 2020 ob 19:53 izjavil:

Kar se tiče ideje "vse na HTTPS", pa jaz mislim, da je to dobro. Sicer je res, da ni vredno šifrirati vsega, ampak če se šifrira samo pomembne stvari, je to že neke vrste "samooznaka", kaj je pomembno. Pred leti so šifriranje uporabljali samo tisti, ki so imeli nek konkreten razlog za to. Ampak s tem so si sami narisali tarčo na čelo. In to je seveda problem. Če se šifrira VSE, pa se to izgubi. Napadalec težje ugotovi katere so pomembne informacije in katere nepomembne.

Ja, seveda HTTPS ni magična rešitev za vse. Tudi preko HTTPS lahko dobiš servirano bedno vsebino. Ali pa malware. Razumem tudi, da je problem, če hočeš delati DPI in loviti malware, pa ti TLS 1.3 pokvari igro. Ampak po drugi strani je pa tudi zanašanje na DPI oz. IDS tehnike neustrezno. Konec koncev lahko malware uporablja obfuskacijske tehnike, pa ga celo na HTTP ne boš zaznal.

Sorry, se ne morem strinjati s tem.

Še nisem slišal, da bi nek strežnik nenadoma pričeli na veliko napadati, samo zato, ker se je na njemu uvedel HTTPS. Kdor ima namen napadati nek strežnik oz. komunikacijo z njim, bo že v naprej vedel, kaj je njegova tarča - če ta potem uporablja http ali https pa je zgolj dodatna informacija. Na splošno pa se išče "low hanging fruits" - kar bi pomenilo, da uvajanje https kvečjemu povzroča več napadov na 'stari' http protokol, ker bi predpostavljal, da so to slabše vzdrževani strežniki z več ranljivostmi.

Tvoja razlaga 'smiselnosti' za https povsod, da se potem lažje 'skrivajo' taki, ki imajo občutljive podatke je zelo čudna. Skrivati se ne moreš ne tako ne drugače, če imaš javno izpostavljen strežnik. Ne glede na protokol, se ga bo vsako uro skeniralo po dolgem in počez. Če ima ranljivosti, ti tudi https protokol ne bo pomagal - ali boš rekel, da je npr. SQL injection težji, če komuniciraš preko https?

Omenjaš obfuskacijo...
Danes je klasični, na signaturah bazirani AV, samo ena od možnih metod preverjanja vsebin. Že kar nekaj let se množično uporablja sandbox analitika, vse bolj pa se uveljavlja tudi strojno učenje za prepoznavo malware-a - brez signatur, kakršne ima AV.

Prej bi rekel, da so to krasni izgovori za tiste, ki uporabljajo crap rešitve za katere so zmetali kup denarja, katere pa niso niso vredne piškavega oreha, ker ne znajo in še lep čas ne bodo znale delati z TLS 1.3. Če so potem bili še dodatno nategnjeni, da so kupovali samo precenjeno 'firmo', škrtarili pa na licencah za različne varnostne storitve, potem se seveda začne kvasiti bedarije o tem, da DPI ne reši nič, da TLS 1.3 ne moreš nadzirat, itd. itd.

Odvisno od tega, s katerim področjem se nekdo ukvarja, bo tudi pogled na to področje imel drugačnega. Raznorazni 'raziskovalci' se bolj ukvarjate z nekimi odprtokodnimi igračkarijami, pre-pogosto pa nimate pregleda nad tem, kaj danes komercialni sektor na tem področju zmore ali ne zmore.

Tukaj so pogosto zelo glasni raznorazni postavljalci spletišč. Ti imajo spet čisto svoje poglede in jim prepogosto sploh ni jasno, zakaj bi nekdo pravzaprav hotel zganjati DPI inšpekcijo prometa. Tako in tako v mislih vse projicirajo na tisti 'svoj' strežnik, na katerem pa 'tako in tako ni nič slabega'. Zanje je 'OWASP biblija', kaj dosti drugega pa jih niti ne zanima več. 'Uporabniki' so zanje le tisti, ki obiščejo njihov spletni strežnik, nimajo pa kaj dosti pojma o realnih težavah z uporabniki v lokalnih omrežjih.

Popolnoma druga zgodba pa je, če si odgovoren za delovanje omrežja z X uporabniki, ki vsak dela bedarije, tudi take, ki presegajo domišljijo povprečnega administratorja.
Zadnjič je bil cel rompompom, ko je sesulo Lekarne Ljubljana, danes ste pa že pozabili, da te grožnje še vedno čakajo za vsakim vogalom interneta. Ne le pozabili - ste že pričeli pridigat, da inšpekcija prometa tako in tako ni učinkovita - presneto pa začnite že enkrat uporabljati učinkovite rešitve! Ali pa se vsaj izobraževati o tem, kaj je dejansko učinkovito in kaj ni. Testirajte, pa potem govorite, kaj je učinkovito in kaj ni. Kar pavšalno trditi, da 'itak ne gre' ni ravno na nekem resnem nivoju, na katerega bi lahko bil ponosen, ker je taka trditev povsem zgrešena in priča zgolj o preslabem poznavanju tega področja.

Ne vem, kako naj bom vesel nad TLS 1.3, če vem, da bo 95% požarnih pregrad tam zunaj gladko prepustilo kakršenkoli virus, ki jim ga boš postregel preko TLS 1.3?
No, pa ko bi bil problem le TLS 1.3 - za nekatere bi celo SSL v2 zadoščal, da bi ga še vedno lahko okužil, ker preprosto VSE spustijo do uporabnikov. Potem pa molijo, da bo AV na desktopu kaj 'polovil' in preklinjajo, ker imajo neprestano neko sranje z virusi.

Sem hotel predlagati, da naj ljudje poskusijo prenesti Eicar testni 'virus' - a žal eicar.org ne podpira TLS 1.3, da bi lahko preverili, kako klavrno jim odpovedo požarne pregrade.

Ampak če smo realni - v primeru, da AV 'odpove', lahko 'zaščitenost' enačimo z možnostjo prenašanja izvršljivih datotek. Če torej lahko uporabnik prenese poljubno izvršjivo datoteko s spleta, to pomeni, da lahko prenaša tudi 0day malware. Ne vem, za katero okolje je to lahko sprejemljivo - če se ve, da se da to preprečiti. Glede na to, kako se večinoma pristopa do varnosti, je to očitno povsem sprejemljivo - dokler se ljudem ne zgodi 'lekarna'? Kaj je res treba na najbolj kruti način spoznavat, da nekaj z razumevanju 'varnosti' ni tako, kot bi moralo biti?

Vse preveč vas je, ki vam je fokus izključno na zasebnosti. Zasebnost je potrebna, je pa daleč od tega, da je dovolj. Problematično pa postane, če zaradi zasebnosti varnost trpi. Oboje mora iti z roko v roki. Če torej hočeš TLS 1.3 zaradi zasebnosti, potem tudi investiraj v varnostne rešitve, ki podpirajo TLS 1.3, ne pa da s tem narediš luknjo v celotno varnost.

Zdi se mi, da niste razumeli, da večina rešitev, ki ne podpirajo TLS 1.3 degradirajo protokol na TLS 1.2 ali nižji. Tako se povežeš na 'super varni strežnik' - vmes pa ti 'varnostna rešitev' vse skupaj degradira na lame protokol.

No, potem pa še nagradno vprašanje za liziko: ali tvoja požarna pregrada podpira TLS 1.3? Moja ga že lep čas! Koliko jih še poznaš, ki podpirajo DANES TLS 1.3?
Meraki danes sploh šele uvaja TLS - ampak le v verziji 1.2 ! Vprašanje, če bodo sploh kdaj imeli 1.3 verzijo pokrito. Kaj pa drugi? Sophos? Itd. itd....?

Se pravi, da se veselo ignorira, da 'svet' po varnostni plati tehnološko še ni pripravljen za 'vse na https' - ampak to 'privacy freak-e' ne moti, ker očitno ne razumejo bistva security-ja v omrežjih z 'naivnimi uporabniki'. Ravno tako ti freak-i ne razumejo, da je vse skupaj jalovo, če potem slabe varnostne rešitve degradirajo vso to superduper 'zasebnost' - ne da bi uporabnik to sploh vedel!

Kot sem rekel, vsakdo ima glede na svojo specialnost drugačen vidik in pogled na te tehnologije - odvisno od tega, kakšne težave mu povzročajo. MENI TLS ne povzroča težav, ker imam podporo zanj - ampak mene skrbijo tisti, ki te podpore nimajo. Skrbijo me tisti, ki niti ne razumejo, kaj je problem tega, da imajo backdoor do svojega omrežjao, preko katerega se lahko pretaka karkoli.
Skrbi me splošni pristop do varnosti, ki še vedno pridiga zgolj to, da poskrbi za backup, za ostalo pa ne rabiš skrbeti (razen za https). Seveda, zaradi takih pridig se potem 'zgodi Lekarna' in podobni incidenti, ki nebi bili potrebni, če bi se uporabljale prave tehnologije z pravilno konfiguracijo.

Ampak saj vidiš kakšen je nivo - glavno da imaš nek tool, da ja ne boš slučajno prenesel malware preko nekriptirane povezave. Če ga preneseš preko https, pa je vse v redu. Jaz sicer še nisem slišal za malware, ki bi se ustrašil https-a in postal krotek. Očitno imajo neki eksperti tu gor drugačne izkušnje.

SeMiNeSanja je 15. feb 2020 ob 02:48 izjavil:

poweroff je 14. feb 2020 ob 19:53 izjavil:

Kar se tiče ideje "vse na HTTPS", pa jaz mislim, da je to dobro. Sicer je res, da ni vredno šifrirati vsega, ampak če se šifrira samo pomembne stvari, je to že neke vrste "samooznaka", kaj je pomembno. Pred leti so šifriranje uporabljali samo tisti, ki so imeli nek konkreten razlog za to. Ampak s tem so si sami narisali tarčo na čelo. In to je seveda problem. Če se šifrira VSE, pa se to izgubi. Napadalec težje ugotovi katere so pomembne informacije in katere nepomembne.

Ja, seveda HTTPS ni magična rešitev za vse. Tudi preko HTTPS lahko dobiš servirano bedno vsebino. Ali pa malware. Razumem tudi, da je problem, če hočeš delati DPI in loviti malware, pa ti TLS 1.3 pokvari igro. Ampak po drugi strani je pa tudi zanašanje na DPI oz. IDS tehnike neustrezno. Konec koncev lahko malware uporablja obfuskacijske tehnike, pa ga celo na HTTP ne boš zaznal.

Sorry, se ne morem strinjati s tem.

Še nisem slišal, da bi nek strežnik nenadoma pričeli na veliko napadati, samo zato, ker se je na njemu uvedel HTTPS. Kdor ima namen napadati nek strežnik oz. komunikacijo z njim, bo že v naprej vedel, kaj je njegova tarča - če ta potem uporablja http ali https pa je zgolj dodatna informacija. Na splošno pa se išče "low hanging fruits" - kar bi pomenilo, da uvajanje https kvečjemu povzroča več napadov na 'stari' http protokol, ker bi predpostavljal, da so to slabše vzdrževani strežniki z več ranljivostmi.

Tvoja razlaga 'smiselnosti' za https povsod, da se potem lažje 'skrivajo' taki, ki imajo občutljive podatke je zelo čudna. Skrivati se ne moreš ne tako ne drugače, če imaš javno izpostavljen strežnik. Ne glede na protokol, se ga bo vsako uro skeniralo po dolgem in počez. Če ima ranljivosti, ti tudi https protokol ne bo pomagal - ali boš rekel, da je npr. SQL injection težji, če komuniciraš preko https?

Omenjaš obfuskacijo...
Danes je klasični, na signaturah bazirani AV, samo ena od možnih metod preverjanja vsebin. Že kar nekaj let se množično uporablja sandbox analitika, vse bolj pa se uveljavlja tudi strojno učenje za prepoznavo malware-a - brez signatur, kakršne ima AV.

Prej bi rekel, da so to krasni izgovori za tiste, ki uporabljajo crap rešitve za katere so zmetali kup denarja, katere pa niso niso vredne piškavega oreha, ker ne znajo in še lep čas ne bodo znale delati z TLS 1.3. Če so potem bili še dodatno nategnjeni, da so kupovali samo precenjeno 'firmo', škrtarili pa na licencah za različne varnostne storitve, potem se seveda začne kvasiti bedarije o tem, da DPI ne reši nič, da TLS 1.3 ne moreš nadzirat, itd. itd.

Odvisno od tega, s katerim področjem se nekdo ukvarja, bo tudi pogled na to področje imel drugačnega. Raznorazni 'raziskovalci' se bolj ukvarjate z nekimi odprtokodnimi igračkarijami, pre-pogosto pa nimate pregleda nad tem, kaj danes komercialni sektor na tem področju zmore ali ne zmore.

Tukaj so pogosto zelo glasni raznorazni postavljalci spletišč. Ti imajo spet čisto svoje poglede in jim prepogosto sploh ni jasno, zakaj bi nekdo pravzaprav hotel zganjati DPI inšpekcijo prometa. Tako in tako v mislih vse projicirajo na tisti 'svoj' strežnik, na katerem pa 'tako in tako ni nič slabega'. Zanje je 'OWASP biblija', kaj dosti drugega pa jih niti ne zanima več. 'Uporabniki' so zanje le tisti, ki obiščejo njihov spletni strežnik, nimajo pa kaj dosti pojma o realnih težavah z uporabniki v lokalnih omrežjih.

Popolnoma druga zgodba pa je, če si odgovoren za delovanje omrežja z X uporabniki, ki vsak dela bedarije, tudi take, ki presegajo domišljijo povprečnega administratorja.
Zadnjič je bil cel rompompom, ko je sesulo Lekarne Ljubljana, danes ste pa že pozabili, da te grožnje še vedno čakajo za vsakim vogalom interneta. Ne le pozabili - ste že pričeli pridigat, da inšpekcija prometa tako in tako ni učinkovita - presneto pa začnite že enkrat uporabljati učinkovite rešitve! Ali pa se vsaj izobraževati o tem, kaj je dejansko učinkovito in kaj ni. Testirajte, pa potem govorite, kaj je učinkovito in kaj ni. Kar pavšalno trditi, da 'itak ne gre' ni ravno na nekem resnem nivoju, na katerega bi lahko bil ponosen, ker je taka trditev povsem zgrešena in priča zgolj o preslabem poznavanju tega področja.

Ne vem, kako naj bom vesel nad TLS 1.3, če vem, da bo 95% požarnih pregrad tam zunaj gladko prepustilo kakršenkoli virus, ki jim ga boš postregel preko TLS 1.3?
No, pa ko bi bil problem le TLS 1.3 - za nekatere bi celo SSL v2 zadoščal, da bi ga še vedno lahko okužil, ker preprosto VSE spustijo do uporabnikov. Potem pa molijo, da bo AV na desktopu kaj 'polovil' in preklinjajo, ker imajo neprestano neko sranje z virusi.

Sem hotel predlagati, da naj ljudje poskusijo prenesti Eicar testni 'virus' - a žal eicar.org ne podpira TLS 1.3, da bi lahko preverili, kako klavrno jim odpovedo požarne pregrade.

Ampak če smo realni - v primeru, da AV 'odpove', lahko 'zaščitenost' enačimo z možnostjo prenašanja izvršljivih datotek. Če torej lahko uporabnik prenese poljubno izvršjivo datoteko s spleta, to pomeni, da lahko prenaša tudi 0day malware. Ne vem, za katero okolje je to lahko sprejemljivo - če se ve, da se da to preprečiti. Glede na to, kako se večinoma pristopa do varnosti, je to očitno povsem sprejemljivo - dokler se ljudem ne zgodi 'lekarna'? Kaj je res treba na najbolj kruti način spoznavat, da nekaj z razumevanju 'varnosti' ni tako, kot bi moralo biti?

Vse preveč vas je, ki vam je fokus izključno na zasebnosti. Zasebnost je potrebna, je pa daleč od tega, da je dovolj. Problematično pa postane, če zaradi zasebnosti varnost trpi. Oboje mora iti z roko v roki. Če torej hočeš TLS 1.3 zaradi zasebnosti, potem tudi investiraj v varnostne rešitve, ki podpirajo TLS 1.3, ne pa da s tem narediš luknjo v celotno varnost.

Zdi se mi, da niste razumeli, da večina rešitev, ki ne podpirajo TLS 1.3 degradirajo protokol na TLS 1.2 ali nižji. Tako se povežeš na 'super varni strežnik' - vmes pa ti 'varnostna rešitev' vse skupaj degradira na lame protokol.

No, potem pa še nagradno vprašanje za liziko: ali tvoja požarna pregrada podpira TLS 1.3? Moja ga že lep čas! Koliko jih še poznaš, ki podpirajo DANES TLS 1.3?
Meraki danes sploh šele uvaja TLS - ampak le v verziji 1.2 ! Vprašanje, če bodo sploh kdaj imeli 1.3 verzijo pokrito. Kaj pa drugi? Sophos? Itd. itd....?

Se pravi, da se veselo ignorira, da 'svet' po varnostni plati tehnološko še ni pripravljen za 'vse na https' - ampak to 'privacy freak-e' ne moti, ker očitno ne razumejo bistva security-ja v omrežjih z 'naivnimi uporabniki'. Ravno tako ti freak-i ne razumejo, da je vse skupaj jalovo, če potem slabe varnostne rešitve degradirajo vso to superduper 'zasebnost' - ne da bi uporabnik to sploh vedel!

Kot sem rekel, vsakdo ima glede na svojo specialnost drugačen vidik in pogled na te tehnologije - odvisno od tega, kakšne težave mu povzročajo. MENI TLS ne povzroča težav, ker imam podporo zanj - ampak mene skrbijo tisti, ki te podpore nimajo. Skrbijo me tisti, ki niti ne razumejo, kaj je problem tega, da imajo backdoor do svojega omrežjao, preko katerega se lahko pretaka karkoli.
Skrbi me splošni pristop do varnosti, ki še vedno pridiga zgolj to, da poskrbi za backup, za ostalo pa ne rabiš skrbeti (razen za https). Seveda, zaradi takih pridig se potem 'zgodi Lekarna' in podobni incidenti, ki nebi bili potrebni, če bi se uporabljale prave tehnologije z pravilno konfiguracijo.

Ampak saj vidiš kakšen je nivo - glavno da imaš nek tool, da ja ne boš slučajno prenesel malware preko nekriptirane povezave. Če ga preneseš preko https, pa je vse v redu. Jaz sicer še nisem slišal za malware, ki bi se ustrašil https-a in postal krotek. Očitno imajo neki eksperti tu gor drugačne izkušnje.

Škoda besed za tale PR. Varnostni strokovnjaki se pač ne strinjajo s teboj. V množici zelo podobnih metrik se je lažje skrivati. AV na delovnih postajah ze dolgo lahko tudi behavioristicno prepoznavajo groznje in na sploh imajo tudi hevristiko, sploh pa so to v vecini primerov endpoint sec. klienti, ki so tudi sami po sebi lahko povrsina/vektor napada. Sploh, ce ni uredu postimana varnost streznika in, ce je povezava z njim NESIFRIRANA. Drugace, pa se nisi slisal za acl, peskovnike, virtualizacijo, omejevanje dostopa do resursov na nivoju jedra ipd. Ja sifriranje vsega je korak h varnosti in ne obeatno. DPI pa je zelo omejeno uporaben in lahko pomeni resni varnostno tveganje, ce se ga posiljuje kot univerzalno resitev za vse.

@Matthai - in spet sva pri tem, da vsak gledava s popolnoma drugega zornega kota oz. interesa.

Tvoja priljubljena tematika, ki tebi pomeni vse, je "kako se bom obvaroval pred oblastniki, da me ne bodo mogli preganjati kot političnega disidenta".

To je 'individualistična' problematika, nekaj kar povprečnega network admina ne zanima, ker ima popolnoma druge skrbi - namreč kako obdržati omrežje podjetja delujoče 24/7, brez okužb, brez odtekanja podatkov.

Želje / zahteve / potrebe takega admina so v popolnem nasprotju s tem, kar je tvoje interesno področje. Vse povezave, ki gredo ven iz podjetja in jih ni možno prirediti konkretni aplikaciji in namenu predstavljajo določeno tveganje. Zato se v podjetju nočeš ukvarjati s tem, kdo 'si riše tarčo na hrbet', ampak mu boš pobral svinčnike, da si tarče niti mogel ne bo narisati. Posledično pa tudi ne bo mogel jamrat, da mu posegaš v zasebnost. Zasebne stvari naj počne doma ali na svojem 'zasebnem' telefonu. Službene pa so službene.

Seveda se veliko stvari lahko nadzira (in tudi mora!) na samih endpoint-ih. Je pa to spet nočna mora svoje vrste, sploh če se v zgodbo prične vpletati še BYOD kolobocija. Kakorkoli obrneš, je veliko bolj preprosto nadzirati kdo vstopa in izstopa iz stavbe ter kaj s seboj prinaša in odnaša in tako poskrbeti za PREVENTIVO. To seveda ne jamči, da se izza vhoda ne more 'dogajati'.

Toda tukaj se pogovarjamo o tem, da na sodišču ali letališču brezveze uporabljajo rentgen in detektorje kovin - medtem ko se navija za čim bolj široko uporabo posebnih škatel, skozi katere rentgen ne posveti in po možnosti prevarajo detektor kovin, če v njej skrijemo pištolo! To pa se potem opravičuje z 'varovanjem zasebnosti', ker je to kvazi hud poseg v zasebnost, če varnostnik vidi na rentgenu, da v službo nosiš vibrator.

bajker je 14. feb 2020 ob 14:39 izjavil:

Tukaj dam Matthaiu čisto prav. Ne, ni normalno, da je kovačeva kobila bosa.

V bistvu je to precej normalno. Tako normalno, da obstaja celo pregovor o tem.

MrStein je 15. feb 2020 ob 16:31 izjavil:

jukoz je 14. feb 2020 ob 12:46 izjavil:

poweroff je 13. feb 2020 ob 21:46 izjavil:

"Nadaljevanje" zgodbe: https://telefoncek.si/2020/02/13/2020-0...

Kaj točno je smisel linkanja tvojega članka oz nadaljevanja v to temo?

Kot si sam napisal - "Uporaba ali neuporaba HTTPS na spletnem strežniku in kvaliteta HTTPS povezave seveda ne pove kaj dosti o kvaliteti šifrirnih rešitev, ki so jih omenjena podjetja akreditirala v Sloveniji."

Hja, malo sojenja knjige po ovitku, pa malo samohvale. Bum, članek!

Že že....ampak ne smeš pozabiti, da pri različnih akreditacijah, standardih, itd itd ni bistven samo izdelek, temveč tudi vse okoli njega.

Ko se gre za neke kritične high-end rešitve, ti nič ne pomaga, če je proizvod vrhunski, da mu ni para v svetu - če pa potem lahko podkupljena snažilka z ustrezno pripravljenim USB ključkom odnese vso intelektualno lastnino in omogoči konkurentom / sovražnikon / .... da najdejo nek 'how to', ki lahko to vrhunsko rešitev onemogoči / onesposobi / ....

Tako da v bistvu ne drži vedno, da platnice niso pommbne.

SeMiNeSanja je 15. feb 2020 ob 16:07 izjavil:

@Matthai - in spet sva pri tem, da vsak gledava s popolnoma drugega zornega kota oz. interesa.

Tvoja priljubljena tematika, ki tebi pomeni vse, je "kako se bom obvaroval pred oblastniki, da me ne bodo mogli preganjati kot političnega disidenta".

To je 'individualistična' problematika, nekaj kar povprečnega network admina ne zanima, ker ima popolnoma druge skrbi - namreč kako obdržati omrežje podjetja delujoče 24/7, brez okužb, brez odtekanja podatkov.

Želje / zahteve / potrebe takega admina so v popolnem nasprotju s tem, kar je tvoje interesno področje. Vse povezave, ki gredo ven iz podjetja in jih ni možno prirediti konkretni aplikaciji in namenu predstavljajo določeno tveganje. Zato se v podjetju nočeš ukvarjati s tem, kdo 'si riše tarčo na hrbet', ampak mu boš pobral svinčnike, da si tarče niti mogel ne bo narisati. Posledično pa tudi ne bo mogel jamrat, da mu posegaš v zasebnost. Zasebne stvari naj počne doma ali na svojem 'zasebnem' telefonu. Službene pa so službene.

Seveda se veliko stvari lahko nadzira (in tudi mora!) na samih endpoint-ih. Je pa to spet nočna mora svoje vrste, sploh če se v zgodbo prične vpletati še BYOD kolobocija. Kakorkoli obrneš, je veliko bolj preprosto nadzirati kdo vstopa in izstopa iz stavbe ter kaj s seboj prinaša in odnaša in tako poskrbeti za PREVENTIVO. To seveda ne jamči, da se izza vhoda ne more 'dogajati'.

Toda tukaj se pogovarjamo o tem, da na sodišču ali letališču brezveze uporabljajo rentgen in detektorje kovin - medtem ko se navija za čim bolj široko uporabo posebnih škatel, skozi katere rentgen ne posveti in po možnosti prevarajo detektor kovin, če v njej skrijemo pištolo! To pa se potem opravičuje z 'varovanjem zasebnosti', ker je to kvazi hud poseg v zasebnost, če varnostnik vidi na rentgenu, da v službo nosiš vibrator.

Pri vsej tej zapisani solati si po eni strani toliko korekten, da priznaš svoj (parcialni) interes (saj take rešitve prodajaš). Po drugi strani pa pozabiš omeniti, da je DPI z razlogom zakonsko oz. s pravnimi pravili na sploh omejen. Raba v večini primerov brez konsenza uporabnika, ki ga tko zelo sovražiš in zaničuješ, je protipravna, saj bi tak poseg pomenil kratenje ČP oz. svoboščin. Tudi pisem se ne odpira kar vsepovprek. Toliko o tem, kaj je parcialno. In sprijazni se, da je tvoj biznis model zanič, sploh, če sicer uporabnih tehnologij ne znaš ne prodajati ne propagirati.

poweroff je 15. feb 2020 ob 16:37 izjavil:

Seminesanja - seveda, gledava vsak iz svojega stališča. Ampak stvar je v tem, da je mogoče omrežje zaščititi tudi s precej manj drastičnimi ukrepi. Pri nas recimo je omrežje zelo odprto, pa kar funkcionira, brez večjih težav (krptovirusov, itd.).

Je pa res, da naši sistemci zelo dobro vedo kaj delajo.

MrStein, mogoče je to normalno v Sloveniji. Ampak kot si lahko videl, firme, ki so usmerjene v tujino, imajo do tega drugačen odnos. Ne pozabit, da imata 2 firmi dobro urejene stvari.

Pa najbrž tudi v edukacijo uporabnikov vlagate ...

SeMiNeSanja je 15. feb 2020 ob 16:43 izjavil:

Ko se gre za neke kritične high-end rešitve, ti nič ne pomaga, če je proizvod vrhunski, da mu ni para v svetu - če pa potem lahko podkupljena snažilka z ustrezno pripravljenim USB ključkom odnese vso intelektualno lastnino in omogoči konkurentom / sovražnikon / .... da najdejo nek 'how to', ki lahko to vrhunsko rešitev onemogoči / onesposobi / ....

Pri nas ne gre nič ven preko usb ključka/diska če ni kriptirano. Ključka sistem sploh ne prebere, če nima prej vnešenega hasha iz strani admina. :) Pri nas bo morali podkupiti admina + čistilko, pa še ključek bi se moral kriptirati z 12 mestnim geslom. :D

>Koliko jih poznaš, ki imajo enako strog režim? Mislim, da jih moraš kar z lupo iskat.

Enako kot one, ki furajo UTM.

>Samo pazi, ker se bodo pričeli oglašat šalabajzerji, ki bodo trdili, da je to nezakonito, če ti uporabnik ni podal svojega konsenza!

Boš rekel, da dejansko ne vidiš razlike med dekripcijo uporabnikovega prometa ter dolgim geslom?

>Brihtneži si očitno razlagajo zakonodajo na način, da moraš kot delodajalec prositi uporabnike, če smeš uvajati kakršnekoli varnostne rešitve in omejitve.

Ti vklopiš DPI, brez da bi od uporabnikov dobil soglasje? Ali zgolj mutiš?

>Potem ti pa še očitajo, da prodajaš varnostne rešitve. Nisem vedel, da je to danes neke vrste slabost, pregreha, malodane zločin. Ker prodajaš rešitve, kvazi nimaš pojma?

Problem je, da zgolj ponavljaš marketinško sranje, nimaš pa resnih argumentov.

>Res bi bilo včasih bolje, če bi se ljudje držali svojih vrtičkov in se manj vtikali v stvari, v katere se ne razumejo.

In česa ne razumemo? Ter zakaj potem ne razložiš? Sklicevanje na lastno avtoriteto ni ravno znak razumevanja.

SeMiNeSanja je 16. feb 2020 ob 02:55 izjavil:

111111111111 je 15. feb 2020 ob 21:03 izjavil:

Pri nas ne gre nič ven preko usb ključka/diska če ni kriptirano. Ključka sistem sploh ne prebere, če nima prej vnešenega hasha iz strani admina. :) Pri nas bo morali podkupiti admina + čistilko, pa še ključek bi se moral kriptirati z 12 mestnim geslom. :D

Koliko jih poznaš, ki imajo enako strog režim? Mislim, da jih moraš kar z lupo iskat.

Samo pazi, ker se bodo pričeli oglašat šalabajzerji, ki bodo trdili, da je to nezakonito, če ti uporabnik ni podal svojega konsenza! Kako morete tako grobo posegat v uporabnikove "človekove pravice". Resnično sovražite svoje uporabnike! Pa še 12 mestno geslo? Sadisti! Ljudomrzneži!

Brihtneži si očitno razlagajo zakonodajo na način, da moraš kot delodajalec prositi uporabnike, če smeš uvajati kakršnekoli varnostne rešitve in omejitve. Čudi me le to, da ne trdijo tudi za AV na desktopu, da ti mora uporabnik podati svoj blagoslov, da mu ga smeš namestiti. Tako kot DPI namreč tudi AV prebere vse 'osebne podatke' in komunikacije. Pri kriptiranju na ključek pa sistem ravno tako 'prebere' vse, kar prenašaš. Bog ne daj, da bi imel še kakšno DLP funkcionalnost vključeno!

V bistvu je žalostno, da se oglašajo osebe, ki več kot očitno nimajo pojma o sodobnem varovanju omrežij in potem tukaj za povrhu trosijo napačne interpretacije zakonodaje. Dejansko se potem sprašuješ, kaj jim je agenda, čemu trosijo bedarije - ali res nimajo pojma, ali se namerno delajo butaste, samo da bi drugim 'srali na glavo', če jim iz bilo katerega razloga gredo 'na jetra'.

Potem ti pa še očitajo, da prodajaš varnostne rešitve. Nisem vedel, da je to danes neke vrste slabost, pregreha, malodane zločin. Ker prodajaš rešitve, kvazi nimaš pojma?
Glede na to, da s temi rešitvami delam od zgodnjih beta testov, pa vse do podpore in inštruiranja uporabnikov, sem si drznil domišljati, da se vsaj malo spoznam na to področje. No, potem pa pride nek xxxadmin in mi soli pamet, da baje nimam pojma o zadevah.

Se počutiš, kot heretik, ki ga obtožuje nek verski fanatik, ki ne dovoljuje uporabe zdravil.... Naj zmolim tri zdravemarije ali pa me bodo zažgali na grmadi, grdega grdega zeliščarja!?! Pa še vpijem naj, da je zemlja ploščata...?

Ne razumem, kako si lahko nekdo v nick da 'admin', nima osnovnega pojma o sodobnih požarnih pregradah, potem pa še nekaj na veliko jezika. Enkrat videl ASA napravo, potem namestil pfSense, in že misli, da je videl vse, kar je za videti? Kar je pa komercialnega, se pa demonizira in proglaša za 'ilegalno'? WTF?

Res bi bilo včasih bolje, če bi se ljudje držali svojih vrtičkov in se manj vtikali v stvari, v katere se ne razumejo. Če se pa že želijo vtikati, pa bi bilo dobro, da bi se najprej malo podučili, kaj je danes 'state of the art', kaj je dejansko 'standard', ko se pogovarjaš o naprednih rešitvah na nekem področju. Ne pa da nimajo pojma, potem še menijo, da morajo soliti pamet nekomu, ki se že leta vsakodnevno ukvarja z rešitvami, ki sodijo v sam vrh tega področja.

Celo med uporabniki sodobnih rešitev najdemo cel kup takih, ki nimajo pojma, kaj tista 'škatla' pravzaprav zmore in kako se iz nje izvleče največ, kar se da. Poleg tega zelo pogosto nimajo kupljenih niti osnovnih varnostnih servisov in niti dobro ne vedo, čemu ti pravzaprav služijo - istočasno pa se proglašajo za 'eksperte'.

Če jaz ne pametujem programerjem, kako naj programirajo, ali serverskim adminom, kako naj zrihtajo group policy, sql server in nevem kaj še, kakor tudi ne pametujem web adminom, kako naj nastavljajo spletne strežnike in aplikacije - zakaj se potem vsi ti vtikajo v področje požarnih pregrad, če tam niso 'doma'?
Namesto da bi poslušali in se kaj novega naučili, raje v nič dajejo ves razvoj zadnjih 20 let na tem področju. Razvoj, ki je bil strahoten, morda eden najhitrejših v informatiki. A kaj češ o tem diskutirati z osebki, katerih poznavanje področja je na nivoju stanja izpred 20-30 let in jih niti ne zanima, kaj se je v tem času spremenilo. Informacijski Amiši...?

V tem postu si samo clearly pokazal, da so tvoji odzivi čustveni in še enkrat, predvsem, da ne poznaš slovenske zakonodaje, ki ureja področe, na katerem furaš biznis. Too bad.

https://telefoncek.si/2009/12/02/dpi-te...

SeMiNeSanja je 16. feb 2020 ob 02:55 izjavil:

... Brihtneži si očitno razlagajo zakonodajo na način, da moraš kot delodajalec prositi uporabnike, če smeš uvajati kakršnekoli varnostne rešitve in omejitve. ...

Zveni kot da bi ti zakonodajo vrgel skozi okno z izgovorom "varnosti". V zadnjem obdobju gledamo kup takih usmeritev, meni to diši na totalitarizem in prikladen izgovor za ukinitev državljanskih pravic lastnih državljanov.

V bistvu je žalostno, da se oglašajo osebe, ki več kot očitno nimajo pojma o sodobnem varovanju omrežij in potem tukaj za povrhu trosijo napačne interpretacije zakonodaje. Dejansko se potem sprašuješ, kaj jim je agenda...

No ja, isto se človek vpraša pri tebi. A naj rečemo, da je žalostno, da se oglašaš? Sploh nisem opazil, da bi glede zakonodaje povedal kaj konkretnega, a jo pri svojem delu sploh upoštevaš?

Potem ti pa še očitajo, da prodajaš varnostne rešitve. Nisem vedel, da je to danes neke vrste slabost, pregreha, malodane zločin. Ker prodajaš rešitve, kvazi nimaš pojma?

Tvoj poklic te dela pristranskega. Saj nisi edini. Bi bilo pa fajn, da bi se tega zavedal in uravnotežil pristop. Namesto tega pa dobimo dolg rant brez kakršnih koli dejanskih argumentov.

poweroff je 16. feb 2020 ob 09:50 izjavil:

Naj bo nekaj jasno - lastnik seveda lahko kadarkoli določi ukrepe, za zavarovanje svojega omrežja ali infrastrukture. Ampak.

Ukrepi morajo biti sorazmerni (kamere v navadni pisarni niso OK, kamere v visoko občutljivem varnostnem območju pač so).

In pa: zaposleni morajo biti SEZNANJENI s tem kaj se dela.

Odvisno čigavo je to omrežje, za operaterje in ponudnike veljajo nekoliko drugačna pravila. Delodajalci pa morajo sprejeti ustrezne notranje akte, obvestiti uporabnike in še vse to le kadar govorimo o sorazmernem ukrepu tveganjem.

Še nekaj....

Očitno nimate pojma, da SSL/TLS inšpekcija prometa počne popolnoma isto, kot vsak malo boljši desktop antivirus.

Razlika je le v toliko, da je v primeru požarne pregrade nadzor na eni centralni točki namesto decentraliziran, ter da se vodi loge komunikacij.

Tem logom pa se tako in tako ne moreš izogniti, če želiš biti skladen z določenimi varnostnimi standardi.

Ploscata zemlja ja. A res more biti omenjena v vsaki temi? Ni fora, da so vas preprical, da obstaja ploscata zemlja. Fora je, da so vas vsaj 3/4 vseh vas preprical, da taksno masovno gibanje o ploscati zemlji sploh obstaja. Ne. Obstaja samo fejk gibanje in fejk boti, lajki. Nek raziskovalec je podrobno raziskal zadevo in objavil na kripto platformi, kjer se ne da zbrisat podatkov. Gre se za mocno organizacijo, ki stoji za tem. Glede na komentarje na stevilnih svetovnih straneh so zgleda uspeli.

GSM enkripcija for the win!

SeMiNeSanja je 16. feb 2020 ob 17:41 izjavil:

Še nekaj....

Očitno nimate pojma, da SSL/TLS inšpekcija prometa počne popolnoma isto, kot vsak malo boljši desktop antivirus.

Razlika je le v toliko, da je v primeru požarne pregrade nadzor na eni centralni točki namesto decentraliziran, ter da se vodi loge komunikacij.

Tem logom pa se tako in tako ne moreš izogniti, če želiš biti skladen z določenimi varnostnimi standardi.

Katerimi standardi točni? ISO 27001, PCI DSS, SOC2? A da ne gre brez DPI?

SeMiNeSanja je 16. feb 2020 ob 17:34 izjavil:

matijadmin je 16. feb 2020 ob 17:11 izjavil:

poweroff je 16. feb 2020 ob 09:50 izjavil:

Naj bo nekaj jasno - lastnik seveda lahko kadarkoli določi ukrepe, za zavarovanje svojega omrežja ali infrastrukture. Ampak.

Ukrepi morajo biti sorazmerni (kamere v navadni pisarni niso OK, kamere v visoko občutljivem varnostnem območju pač so).

In pa: zaposleni morajo biti SEZNANJENI s tem kaj se dela.

Odvisno čigavo je to omrežje, za operaterje in ponudnike veljajo nekoliko drugačna pravila. Delodajalci pa morajo sprejeti ustrezne notranje akte, obvestiti uporabnike in še vse to le kadar govorimo o sorazmernem ukrepu tveganjem.

In kaj je po tvoje sorazmerno v času izsiljevalskih virusov, ob sočasni grožnji,da te bodo zaradi GDPR obesili za jajca?

Po tvoje je očitno 'sorazmerno', da plačaš odkupnino, dogodek pa pometeš pod preprogo, da se ne bo slučajno IP RS vtaknil v to, kako si ti 'sorazmerno' varoval omrežje.

Čestitam "admin" .....

1) Da se drugače, z drugimi prijemi in morda celo bolje.
2) Da je DPI bolj učinkovit (ali včasih sploh), ga moraš izvajati na nešifriranih povezavah. Ali pa izvajati MITM z nekim certom org. Oboje je zelo tvegano.

SeMiNeSanja je 17. feb 2020 ob 18:41 izjavil:

In koliko krat je treba še ponoviti, da DPI nima NOBENE veze z SSL/TLS dekripcijo? DPI se lahko izvaja nad katerimkoli prometom in pomeni zgolj to, da se 'analizira' protokol/vsebina/payload/...
DPI lahko izvajaš tako nad DNS prometom, kot nad HTTP ali HTTPS. Edina razlika je v tem, da moraš HTTPS promet najprej dekriptirati, da bi ga lahko analiziral.

Kaj je zdaj, ima kaj veze, nima veze? Mora biti HTTPS promet za analizo dekriptiran ali ne? Odloči se. (retorična vprašanja, ne se trudit)

Skratka, način, na katerega uporabljate izraz DPI, že sam po sebi priča o tem, da nimate pojma o celi zadevi in kar nekaj nabijate, samo da nabijate.

Luba duša, nehaj se napihovati in žaliti vse po vrsti. Nimaš nobenega razloga.

Če bi samo videl skozi oči kakega drugega bralca, kako v tej temi zgleda tvoj odnos in tvoji posti... Uau.

Glede na to, da je tukaj SSLTest od Qualisa tako visoko cenjen, pripenjam sliko Client SSL testa (Firefox) ob vključeni SSL/TLS inšpekciji.

Ja, imam 'pomanjkljivost' - na požarni pregradi imam izključene vse verzije TLS-a, ki so nižje od 1.2 in ne podpiram SSL-a.

Kaj pa vaši brskalniki? Tudi pridejo skozi z oceno 'good'?
Ali vam oceno sesuje že desktop antivirus?

SeMiNeSanja je 17. feb 2020 ob 20:16 izjavil:

Glede na to, da je tukaj SSLTest od Qualisa tako visoko cenjen, pripenjam sliko Client SSL testa (Firefox) ob vključeni SSL/TLS inšpekciji.

Ja, pa saj je jasno zakaj je tako.

SeMiNeSanja je 17. feb 2020 ob 20:16 izjavil:

Kaj pa vaši brskalniki? Tudi pridejo skozi z oceno 'good'?

Jasno.

SeMiNeSanja je 17. feb 2020 ob 20:16 izjavil:

Ali vam oceno sesuje že desktop antivirus?

Jaz ne uporabljam antivirusov. In ne poganjam kakršnegakoli zaprtega programa s sistemskimi privilegiji.

SeMiNeSanja je 17. feb 2020 ob 23:17 izjavil:

Priloženo jim je bilo v dokaz, da očitno le ni tako 'grozno', če z mojim brskalnikom preživim priljubljeni SSL/TLS test, kot bi rekli "with flying colors".

Ja, ampak to ne dokazuje tega.

To samo dokazuje, da se je tvoj brskalnik sposoben varno (šifrirano) povezati na požarno pregrado. Kaj se pa tam dogaja pa nima veze s tem testom.

Kaj če recimo požarna pregrada potem vmes vriva zlonameren promet? Tega ta test nič ne kaže.

V bistvu je to isto kot če preko HTTPS strani dobiš malware. To, da stran uporablja HTTPS, še ne pomeni, da ti ne more servirat malwera. In to, da tvoj brskalnik podpisa samo TLS1.3, če ne pomeni, da ne more dobiti šifriranega malwera.