» »

Ponudniki VPN za Android množično vohunijo

Ponudniki VPN za Android množično vohunijo

Slo-Tech - Uporaba navideznih zasebnih omrežij (VPN) ni več omejena le na računalnike, temveč je čedalje bolj prisotna tudi na pametnih telefonih. Ti se v internet povezujejo prek različnih, tudi nezaščitenih brezžičnih omrežij, kjer ima VPN pomembno funkcijo za varovanje zasebnosti in zaščito. Najlaže je VPN uporabljati tako, da namestimo eno izmed stotin namenskih aplikacij, ki z uporabo v Android vgrajene sistemske funkcije internetni promet preusmerijo v VPN - in žal še kam drugam. Obsežna raziskava, ki so jo opravili na Univerzi Novega Južnega Walesa in Univerzi Berkeley, je pokazala, da več kot tretjina aplikacij aktivno in namerno škoduje uporabnikom.

Testirali so 283 aplikacij, ki so jih sneli z Google Play Stora. Preverili so, kam aplikacije pošiljajo promet, kako ga zaščitijo in ali ga kaj spremenijo. Rezultati so osupljivi. Kar 18 odstotkov aplikacij prometa sploh ni šifriralo, kar je eden izmed temeljnih namenom VPN-ja, saj tako nepovabljenim očem preprečimo kukanje v promet. Da bo mera polna, pa je 38 odstotkov aplikacij v promet vstavljalo malware ali reklame, s katerimi so vohunile za uporabniki. Več kot 82 odstotkov aplikacij pa je zahtevalo dostop do osebnih podatkov na telefonu, denimo slik ali stikov, čeprav za opravljanje svojega poslanstva tega niti najmanj ne potrebujejo. Praktično vse aplikacije imajo takšne ali drugačne pomanjkljivosti, ki jih ponekod lahko pripišemo slabemu programiranju, v večini primerov pa gre za namerno početje, kot je na primer uporaba zunanjih knjižnic za zbiranje in prodajo osebnih podatkov uporabnikov.

Avtorji raziskave so poudarili, da je glavna pomanjkljivost študije omejitev na brezplačne aplikacije. Njihovi avtorji morajo iskati drugačne poti monetizacije kot ponudniki plačljivih aplikacij. Prav tako je verjetno situacija za uporabnike iOS drugačna, ker je tam trgovina aplikacij strože urejena in bolj centralizirana. Najbolj zaskrbljujoče pa je dejstvo, da je samo en odstotek uporabnikov aplikacij imel kakršnekoli pomisleke; ostali so živeli v prepričanju, da aplikacije delujejo po predvidevanjih in da so se z njihovo namestitvijo dobro zaščitili, medtem ko je resnica često nasprotna.

61 komentarjev

strani: « 1 2

brbr21 ::

it's so simple: there's no free lunch.
se bolj sporna in popolnoma nesprejemljiva pa je taka praksa pri placljivih aplikacijah. zal je tudi med placljivimi texas. predvsem glede dovoljenj za dostop do podatkov. ampak kdo se bo ubadal s podrobnostmi.

OK.d ::

Ja in kateri so potem pogojno uporabni vpn-ji:P
LPOK.d

Zgodovina sprememb…

  • spremenil: OK.d ()

WhiteAngel ::

brbr21 je izjavil:

it's so simple: there's no free lunch.


Seveda je free lunch - imenuje se free software. Ampak tega Android/iOS ekosistema ne poznata. Vsaj njuno poslanstvo ni to.

Dr_M ::

Kje je seznam testiranih aplikacij?
Ce ga ni, je vse skup larifari.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.

techfreak :) ::

Verjetno z uradnim OpenVPN clientom ter VPN ponudnikom, ki omogoca OpenVPN streznike, ne mores ravno zgresiti.

EhydraD ::

Ja. kot je nekdo že enkrat rekel. Android je enostavno kaotična greznica. Kaj pričakuješ drugega?

Spura ::

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.

matijadmin ::

techfreak :) je izjavil:

Verjetno z uradnim OpenVPN clientom ter VPN ponudnikom, ki omogoca OpenVPN streznike, ne mores ravno zgresiti.

Zakaj že? Enkrat, ko pride promet k nekemu ponudniku (česar koli že; tudi vrivanja spornih in/ali nezakonitih vsebin), ta lahko z njim počne karkoli.

Hja, na eni strani se mi zdi kar legitimno vprašanje Dr M, kdo so ti ponudniki, ker gre lahko za snake oli ponudnike, ki z imenom VPN privabijo naivne in slabo poučene in v resnici počnejo še vse kaj drugega kot ponujajo zgolj VPN do nekega 3. prehoda.

Po drugi strani pa je jasno, kateri koli ponudnik VPN ima pač dostop do prometa. Tako ali tako ta mora priti nekje ven, ali iz domačega omrežja ali pri komercialnem ponudniku. Za tiste, ki imajo optične priključke doma, malo zmogljivejše usmerjevalnike in dovolj znanja, da kakšen IDS/IPS poženejo na RPi, je domača rešitev čista zmaga!

Ampak promet zmeraj nekje 'pride ven' in tam se zanj začne nemilost. Res je, da tam pač ne bo čisto vsakemu na voljo, a operaterju in še kakšni vladni službi, ki jim je bodisi operater ali pa njegova oprema na dosegu roko, prav gotovo.
Vrnite nam techno!

Ahim ::

Spura je izjavil:

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.


Tisti, ki v clanku omenjeno golazen uproabljajo, nimajo "dostopa nekam". Se slabse, nimajo dostopa do marsicesa, zato zelijo nekaj, kar je se najbolj podobno proxyju, uporablja pa VPN tunel, in s tem dostopajo do cesarkoli ze ... zraven pa dobijo se vse tisto, cesar niso hoteli.

Ne gre za uporabnike, ki bi denimo morali od doma dostopati do sluzbenega omrezja ali kaj podobnega, ampak ruljo, ki zeli gledati Netflix v drzavah, kjer storitev ni na voljo.

matijadmin ::

EhydraD je izjavil:

Ja. kot je nekdo že enkrat rekel. Android je enostavno kaotična greznica. Kaj pričakuješ drugega?

Boljše in uporabne alternative žal ni.
Vrnite nam techno!

Spura ::

Ahim torej ne gre za VPN app, ampak za VPN + lista VPN hostov. Torej nekaj tipa free proxy list, samo da ni plain proxy ampak je VPN. Seveda moras bit moten, da mislis da bos preko zastonjskega VPN vleku netflix. Bandwidth in serverji niso zastonj, so pa lahko "zastonj".

Zgodovina sprememb…

  • spremenil: Spura ()

SeMiNeSanja ::

Ne vem, kako so te 'ugotovitve' lahko neko hudo presenečenje. Že od nekdaj mi ni bilo jasno, kako so eni naivni - na eni strani paranoični za svojo zasebnost, na drugi strani pa gredo brez vsakega pomisleka uporabljati nepreverjene VPN storitve.

matijadmin ::

Ahim je izjavil:

Spura je izjavil:

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.


Tisti, ki v clanku omenjeno golazen uproabljajo, nimajo "dostopa nekam". Se slabse, nimajo dostopa do marsicesa, zato zelijo nekaj, kar je se najbolj podobno proxyju, uporablja pa VPN tunel, in s tem dostopajo do cesarkoli ze ... zraven pa dobijo se vse tisto, cesar niso hoteli.

Ne gre za uporabnike, ki bi denimo morali od doma dostopati do sluzbenega omrezja ali kaj podobnega, ampak ruljo, ki zeli gledati Netflix v drzavah, kjer storitev ni na voljo.

Jaz zato ne uporabljam nobenega VPN, temveč samo ti. smart dns proxy, ki preusmeri le prvi hit in je čisto zadosti. Netflix deluje v vseh ZDA conah BP, pa še nobene dodatne programske opreme mi ni potrebno namestiti. In jasno, to striktno za Netflix uporabljam. Imam spisano skriptno rutino na TV, ki mi spremeni nastavitve, ko jo zaženem.
Vrnite nam techno!

MrStein ::

Spura je izjavil:

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.

Ker sistem podpira le neke prastare brezvezne protokole.
Teštiram če delaž - umlaut dela: ä ?

MrStein ::

SeMiNeSanja je izjavil:

Že od nekdaj mi ni bilo jasno, kako so eni naivni - na eni strani paranoični za svojo zasebnost, na drugi strani pa gredo brez vsakega pomisleka uporabljati nepreverjene VPN storitve.

Potem te lahko razsvetlim!
Gre za dve različni skupini osebkov.
Teštiram če delaž - umlaut dela: ä ?

srus ::

Je vedno potrebno tistih 136 strani license agreementa v oknu velikosti poštne znamke prebrati in razumeti.

Tam je vse v članku našteto tudi zapisano.

pegasus ::

MrStein je izjavil:

Ker sistem podpira le neke prastare brezvezne protokole.

Razsvetli nas, kateri so mladi aktualni protokoli in zakaj so boljši od prastarih :)

carota ::

Uradni OpenVPN client ima 10+ milijovon namestitev iz Playstora, zahteva pa le storage pravico. V študijo pa ga niso zajeli, ker naj bi zahteval root dostop?!? Hmmmm, ...

MrStein ::

pegasus je izjavil:

MrStein je izjavil:

Ker sistem podpira le neke prastare brezvezne protokole.

Razsvetli nas, kateri so mladi aktualni protokoli in zakaj so boljši od prastarih :)

Omenjeno približno 500 krat: OpenVPN

Prodam poceni namizne luči, mimogrede.
Teštiram če delaž - umlaut dela: ä ?

issak ::

Spura je izjavil:

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.


Tudi v tem primeru gre ves promet čez nek VPN strežnik, in če ti dostop ponujajo zastonj, ti verjetno beležijo podatke.

MrStein je izjavil:

Spura je izjavil:

Ni mi jasno zakaj rabis aplikacijo. Ce imas VPN dostop nekam pac v sistemskih nastavitvah vpises VPN.

Ker sistem podpira le neke prastare brezvezne protokole.


L2TP/IPSec je čisto ok, na drugi strani si pa postaviš Softether server.
Desktop: i7-4790K | Asus GTX970 | Asus Z97i-Plus | 16 GB RAM | Acer XF270HUA
Server: Asrock J3160-ITX | 8GB RAM | CM Elite 130
CM MasterKeys Pro S MX Red | Logitech G403 Wireless | Sennheiser HD6XX

Zgodovina sprememb…

  • spremenil: issak ()

Ales ::

Sicer odkrivajo toplo vodo, a vsekakor je dobro, da se uporabnike opozarja na problematiko. Sploh ker so nekateri očitno začudeni nad ugotovitvami...

Na splošno gledano:
- z uporabo prostih in odprtokodnih VPN klientov se v razumni meri izognemo vohunjenju na nivoju aplikacije
- s postavitvijo lastnega VPN strežnika se v razumni meri izognemo vohunjenju na nivoju strežnika.

V povezavi z varnimi end-to-end protokoli se tako naredi kar veliko za lastno zasebnost. Če bi še sam OS na pametnih napravah bil bolj ok, kar se zasebnosti tiče... in modemski del... in... Ampak ok, korak za korakom.

Mogoče se bo komu, ki mu še ni, kot naslednji logičen korak posvetilo, kako pomembna je nevtralnost interneta. Ne smemo dovoliti cenzure prometa (tudi z namenom QOS ne, ker se to lahko zlorabi) glede na vrsto le-tega.
http://www.modronebo.net
Domene, gostovanje, strežniki, design

pegasus ::

MrStein je izjavil:

Omenjeno približno 500 krat: OpenVPN
In kako točno je openvpn boljši od v Android že vgrajenih tehnologij?

MrStein ::

issak je izjavil:


L2TP/IPSec je čisto ok, na drugi strani si pa postaviš Softether server.

IPSec : http://louwrentius.com/why-you-should-n...

pegasus je izjavil:

MrStein je izjavil:

Omenjeno približno 500 krat: OpenVPN
In kako točno je openvpn boljši od v Android že vgrajenih tehnologij?

PPTP: nivo 7 letnega otroka
IPSec: glej zgoraj
Teštiram če delaž - umlaut dela: ä ?

Zgodovina sprememb…

  • spremenil: MrStein ()

SeMiNeSanja ::

MrStein je izjavil:

issak je izjavil:


L2TP/IPSec je čisto ok, na drugi strani si pa postaviš Softether server.

IPSec : http://louwrentius.com/why-you-should-n...

En star članek in zadeva ni več uporabna?
In to članek, ki se sploh ne spušča v kakšne podrobnosti, pri tem pa na koncu pravi, da je glavni problem IPSec-a njegova kompleksnost - ne da bi sploh razložil, v kakšnem smislu naj bi bila ta kompleksnost problematična.

Čudno samo, da 90+% VPN povezav med omrežji poteka preko IPSec protokola, če je varnostno tako hudo problematičen. Najbrž so vsi admini malo za luno, da ga uporabljajo?

Ampak v topicu se govori je o endpoint VPN povezavah. Tu pa ima vse, kar je IPSec bazirano (L2TP,...) eno veliko pomanjkljivost - IPSec marsikje sploh ne deluje, ker hoteli, kafiči,.... nimajo odprtih portov, katere za svoje delovanje potrebuje. Glede na to dejstvo, moram ugibati, če si sploh kdaj uporabljal IPSec.

Skratka, OpenVPN oz. SSL VPN bazirane rešitve imajo bistveno prednost, ker delujejo skoraj povsod. Odpove zgolj v omrežjih, kjer eksplicitno nočejo, da bi se uporabljalo VPN povezave in so v ta namen postavili ustrezne filtre, ki to onemogočajo.

MrStein ::

Ker vsi jejo McDonalds, je McDonalds zelo kvalitetna hrana?

(blog linka na akademski članek, pa še kaj. Schneier in Gutmann , če kdo fura "sklicevanje na lastno avtoriteto")
Teštiram če delaž - umlaut dela: ä ?

Zgodovina sprememb…

  • spremenil: MrStein ()

SeMiNeSanja ::

MrStein je izjavil:

Ker vsi jejo McDonalds, je McDonalds zelo kvalitetna hrana?

(blog linka na akademski članek, pa še kaj. Schneier in Gutmann , če kdo fura "sklicevanje na lastno avtoriteto")

Akademski.... ki akademske trditve postavlja.
Članek izvira iz leta 2003, 'analizira' RFC iz leta 1998 in se sploh ne ukvarja z dejanskimi implementacijami, še najmanj pa z imlementacijami v uporabi leta 2017.

Ampak vedno se kdo najde, ki na internetu vleče ven neke stare zadeve in jih prezentira kot grozljiva dejstva, ne da bi se sploh spuščal v podrobnosti. Članek bi bil cool, če bi ga spisal nekdo, ki se res razume v zadevo in predstavil kaj od očitanega danes še drži - in te očitke tudi podkrepil s kakšnim proof of concept na nekaterih današnjih implementacijah.

Tako pa je brez vrednosti - oz. zavajajoč in škodljiv.

MrStein ::

Gutmann nima pojma? Leta 2016?

Sicer pa: daj argumente, željno jih čakamo
Teštiram če delaž - umlaut dela: ä ?

SeMiNeSanja ::

MrStein je izjavil:

Gutmann nima pojma? Leta 2016?

Sicer pa: daj argumente, željno jih čakamo

2013, ne 2016, če se že sklicuješ na link iz strani.
Pa si zadevo sploh odprl in pogledal? Se mi zdi, da ne. Govori o enkripciji na splošno, da ti ne bo rešila riti.
IPSec se do polovice (naprej nisem gledal) omenja samo na dveh slajdih, pa še tam se gre za implantat, ki ga je NSA uspela vgraditi v router ali firewall, da je 'pokvarila' IPSec.

Skratka, če se že sklicujete na neke zadeve, dajte jih prosim tudi pogledat in biti malo kritični. Drugače lahko takoj spet začnemo razglabljat o tem, ali je zemlja ploščata ali votla.

matijadmin ::

Zastonj ali plačljiv, v vsakem primeru lahko poče s prometom, kar se mu zahoče.:))
Vrnite nam techno!

McMallar ::

IPSec ti odleti ko imas NAT vmes (v IPv4). To je en od glavnih problemov zakaj ti v kaficih ne dela.
Why can't a programmer tell the difference between Halloween and Christmas?
Because OCT31 = DEC25

zmaugy ::

Nemogoče! Le kdo bi sploh lahko pomislil na laj takšnega?! >:D

McMallar ::

Ne bos verjel, se vedno precej ljudi tega ne ve...
Why can't a programmer tell the difference between Halloween and Christmas?
Because OCT31 = DEC25

SeMiNeSanja ::

McMallar je izjavil:

IPSec ti odleti ko imas NAT vmes (v IPv4). To je en od glavnih problemov zakaj ti v kaficih ne dela.

Čudno, meni pa lepo dela preko NAT-a....

Ne, problem v kafičih je ta, da zaprejo 'nepotrebne' porte (da nebi kdo torrente vlekel?) in s tem zaprejo tudi porte in protokole, ki so potrebni za IPSec.
Low-end routerji imajo tudi lahko težave z AH (Authentication Header) in ESP (Encapsulating Security Payload) protokoloma.

OpenVPN oz. SSL VPN pa potrebuje samo odprt port 443, v katerega se kdo preveč ne vtika in zadeva že deluje.

Ales ::

Seveda IPsec dela preko NAT, pogosto tudi v kafičih. Odvisno, koliko je tisti, ki je router nastavljal, izklapljal kaj kar mu ni bilo jasno, kaj je.

Negotiation of NAT-Traversal in the IKE, RFC 3947.
http://www.modronebo.net
Domene, gostovanje, strežniki, design

McMallar ::

To je pa zanimivo. Naceloma IPSec zasciti komplet IP paket, vkljucno z IP naslovom prejemnika in posiljatelja, kar pa NAT spremeni in posledicno digitalni podpis paketa ni vec veljaven.

Mogoce pa uporabljas NAT-T (traversal)? Ampak v tem primeru morata to podpirati obe strani...
Why can't a programmer tell the difference between Halloween and Christmas?
Because OCT31 = DEC25

SeMiNeSanja ::

Zanimivo pri tem je pogledat rešitev, ki jo ponuja NCP.

Nemško podjetje NCP je eden največjih ponudnikov komercialnih IPSec odjemalcev, katere uporablja kar nekaj proizvajalcev (Juniper, WatchGuard,...).
Malo manj znano je, da NCP ponuja tudi lasten VPN gateway. Ta v sebi združuje tako IPSec in SSL VPN povezljivost. To samo po sebi še ni neka posebnost, saj veliko rešitev ponuja več variant povezljivosti.

Zanimiva pa je kombinacija z njihovim 'univerzalnim' odjemalcem. Ta najprej poskusi vzpostaviti povezavo preko IPSec (kvazi premium varianta). Če to ne uspe, gre samodejno poskusiti vzpostaviti povezavo preko SSL VPN.

Zadeva, ki bi se jo lahko naučili tudi drugi proizvajalci, kateri imajo več različnih možnosti implementirane na svojih rešitvah.

Ales ::

@McMallar, IKE v2 protokol privzeto podpira NAT traversal. Se sicer še vedno najde kak star klient, ki IKE v2 ne zmore out of the box, a so zdaj v praksi redki. Sploh na strani klientov od končnih uporabnikov.

Na strežniški strani je recimo Windows Server 2008 ena taka beštija (navaden podpira samo IKE v1, R2 ima IKE v2), ampak tudi to reši dodaten software. Sem recimo lani selil eno dokaj staro škloponcijo iz ZDA sem (celo Exchange gručo) in je z nekaj malega zezanja šlo tudi to povezati na IPsec omrežje...
http://www.modronebo.net
Domene, gostovanje, strežniki, design

MrStein ::

SeMiNeSanja je izjavil:


IPSec se do polovice (naprej nisem gledal) ...

Skratka, če se že sklicujete na neke zadeve, dajte jih prosim tudi pogledat in biti malo kritični.

Znano tudi kot "gejzir argumentov".

Glej, če imaš drugačno mnenje, povej "imam drugačno mnenje".
Izpodbijat drugačna mnenja s puhlicami pa je tak... ej, a je kdo omenil ploščato zemljo?

SeMiNeSanja je izjavil:

MrStein je izjavil:

Gutmann nima pojma? Leta 2016?

Sicer pa: daj argumente, željno jih čakamo

2013, ne 2016, če se že sklicuješ na link iz strani.

Bil je updatan januarja 2016.
Teštiram če delaž - umlaut dela: ä ?

Zgodovina sprememb…

  • spremenil: MrStein ()

SeMiNeSanja ::

Tudi če je bil updejtan januarja 2016 (ne bom šel preverjat), se vsaj do polovice dokumenta NIKJER ne omenja, da bi bilo karkoli narobe z IPSec.
Dokument govori na splošno o enkripciji v vseh njenih pojavnih oblikah, ti si pa to apliciral na IPSec.

Ne vem, zakaj naj bi potem iskal še kakšne argumente, če navajaš 'dokaz', kateri se tematike sploh ne tiče.

Ali, če že glih hočeš, ta dokument tudi lahko interpretiraš kot "nima smisla karkoli kriptirati, ker bodo stvar že kako razbili".
Ker ima gospod Gutmanu neke pomisleke glede kriptografije, naj zdaj kar opustimo vsako kriptiranje?

MrStein ::

IPSec strokovno ocenjen kot slab. <----

SeMiNeSanja čuti na vodi, da ni slab. Argumente ne potrebuje. <----
Teštiram če delaž - umlaut dela: ä ?

Mavrik ::

MrStein je izjavil:

IPSec strokovno ocenjen kot slab. <----

SeMiNeSanja čuti na vodi, da ni slab. Argumente ne potrebuje. <----


Strokovno ocenjen kot slab leta 1999 (originalni članek je tako star) in avtor tvojega članka potem po občutku(tm) reče da je OpenVPN narejen pa bolje :) V 17 letih se je pa "nekoliko" stvari spremenilo.

Poglejmo recmo tole z 31c3: https://nohats.ca/wordpress/blog/2014/1... , ki je nekoliko novejši pregled. Največja ranljivost je kraja certifikatov s tvojega routerja (na kar je jasno občutljiv tudi OVPN).

Je pa IpSec vseeno večinoma nepodprt na domači opremi kar je resen problem za varnost.
The truth is rarely pure and never simple.

Zgodovina sprememb…

  • spremenil: Mavrik ()

SeMiNeSanja ::

Dokaj zanimiva razlaga je tudi tukaj https://nohats.ca/wordpress/blog/2014/1...

Komur se ne da čitati, bo dovolj povedal zaključek:

Conclusion

If anything, I would say that IPsec and IKE have withstood the attacks of the NSA. The fact that the NSA needs implants and needs to use brutce force attacks against IKE PSKs shows that despite its kitchen sink nature, IKE and IPsec are doing quite well if you configure it properly and run it on a secure host. But misconfiguration of IKE is something we did a poor job of preventing. We can and should have more automatic IKE/IPsec deployed using strong default configurations.

brbr21 ::

v tem sporocilu John Gilmore opisuje zakaj bi IPSec lahko bil ranljiv: https://www.mail-archive.com/cryptograp...

SeMiNeSanja ::

@Mavrik - oba gledala isto zadevo?

Ampak ja, se strinjam, da na eni strani je problem, da home oprema ne podpira IPSec-a, po drugi strani pa mislim, da bi marsikateri home user obupal nad IPSec, ker se nebi znašel med parametri. Je le malo drugačna zgodba, kot če se dve podjetji dogovorita, da si bosta promet izmenjevali preko IPSec-a in si pošljeta ustrezen vprašalnik, s pomočjo katerega se dogovorita za točne parametre, tako da kasneje ni ugibanja, kdo bo kaj nastavil.

Ampak po drugi strani smo pa tudi že videli obupane uporabnike, ki so si pulili lase ob konfiguraciji OpenVPN-a....

SeMiNeSanja ::

brbr21 je izjavil:

v tem sporocilu John Gilmore opisuje zakaj bi IPSec lahko bil ranljiv: https://www.mail-archive.com/cryptograp...

Ker je standardizacijski komite 'spodkopan' s strani NSA?
Kot da pri razvoju/standardizaciji drugih protokolov pa nimajo svojih prstov zraven?

Nekako ne razumem argumentacije, da je IPSec preveč kompleksen za kakšno resno varnostno analizo. Potemtakem bi moral biti tudi preveč kompleksen za implementacijo. Pa začuda kar deluje cela vrsta implementacij.

Na splošno pa je treba pri ranljivostih tudi ločiti med takimi, ki so vgrajene zaradi standarda, kakršen je in tistimi, ki se pojavijo v neki določeni implementaciji. Če je ena implementacija gnilo jabolko, to še ne pomeni, da je cela gajba gnila.
Ampak za enkrat je vedno zgolj govora o hipotetičnih možnostih zlorabe, praktično pa jih ni še nihče pokazal. Tudi NSA, sodeče po Snowdenu, si očitno ni uspela standarde tako prikrojiti, da bi jim olajšali delo. Še vedno ti morajo ali nekaj ukrasti ali namestiti, da bi lahko vtikali svoj nos v tvoj promet. Ko si pa enkrat pri kraji in nameščanju, pa takointako ni več nobena zadeva varna.

Lonsarg ::

Jaz pa razumem kaj so hoteli povedati z "IPSec preveč kompleksen za varnostno analizo".

Hoteli so povedati da je IPSec tako močno razširljiv(več avtentikacijskih protokolov, enkripcij,...) in torej ne moreš analizirat IPSec kot takega, ampak bi moral analizirati posamezno IPSec implementacijo, če bi hotel konkretno analizo.

Vse novejše implementacije IPSeca uporabljajo naprimer za avtentikacijo IKEv2, ki je zelo solidna zadeva, ter za enkripcijo AES, ki je tudi solidna zadeva. Je pa še veliko drugih podrobnosti implementacije in je zadevo težko posploševati.

Osebno bi si drznil posplošiti, da so client implementacije v sodobnih operacijskih sistemih zelo solidne. Prav tako bi si drznil trditi da je strongSwap opensource server zelo solidna zadeva.

SeMiNeSanja ::

Lonsarg je izjavil:

Jaz pa razumem kaj so hoteli povedati z "IPSec preveč kompleksen za varnostno analizo".

Hoteli so povedati da je IPSec tako močno razširljiv(več avtentikacijskih protokolov, enkripcij,...) in torej ne moreš analizirat IPSec kot takega, ampak bi moral analizirati posamezno IPSec implementacijo, če bi hotel konkretno analizo.

To je tudi meni jasno, ampak se mi zdi prej prednost, kot slabost.
Če se namreč enega dne pokaže, da je ena od komponent dejansko ranljiva, se jo preprosto zamenja z drugo in problem je (začasno) rešen, dokler se stvari ne pokrpa.
Druge 'manj kompleksne' rešitve te pustijo bosega, dokler se tvoja implementacija ne pokrpa. Pa še potem ti leta in leta naokrog strašijo nepokrpani sistemi (koliko so že zadnjič rekli, da je še ranljivih sistemov na heartbleed?).

Ales ::

Lonsarg je izjavil:

...
Osebno bi si drznil posplošiti, da so client implementacije v sodobnih operacijskih sistemih zelo solidne. Prav tako bi si drznil trditi da je strongSwap opensource server zelo solidna zadeva.

Komot tudi jaz podpišem obe izjavi, preverjeno v praksi...

Aja, strongSwan, če kdo še ne pozna in bo iskal. Azgard se je slučajno zatipk... zaswapal? Memory leak? :D
http://www.modronebo.net
Domene, gostovanje, strežniki, design

Mavrik ::

Lonsarg je izjavil:

Jaz pa razumem kaj so hoteli povedati z "IPSec preveč kompleksen za varnostno analizo".

Hoteli so povedati da je IPSec tako močno razširljiv(več avtentikacijskih protokolov, enkripcij,...) in torej ne moreš analizirat IPSec kot takega, ampak bi moral analizirati posamezno IPSec implementacijo, če bi hotel konkretno analizo.

Vse novejše implementacije IPSeca uporabljajo naprimer za avtentikacijo IKEv2, ki je zelo solidna zadeva, ter za enkripcijo AES, ki je tudi solidna zadeva. Je pa še veliko drugih podrobnosti implementacije in je zadevo težko posploševati.

Osebno bi si drznil posplošiti, da so client implementacije v sodobnih operacijskih sistemih zelo solidne. Prav tako bi si drznil trditi da je strongSwap opensource server zelo solidna zadeva.


Večja kritika je tudi jasno to, da pri vseh teh opcijah brez zelo dobrega domenskega znanja hitro postane set konfiguracije neuporaben za zagotavljanje varnosti. Če se prav spomnim je neka druga raziskava pokazala da večina IPsecov sploh ni pravilno skonfigurirana da bi res zagotavljala varen prenos - kar je precejšnja pomanjkljivost z drugimi rešitvami ki izberejo varne nastavitve privzeto. To je seveda tudi problem zelo razdrobljene dokumentacije.
The truth is rarely pure and never simple.
strani: « 1 2


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Ponudniki VPN za Android množično vohunijo (strani: 1 2 )

Oddelek: Novice / Zasebnost
617666 (4635) rolihandrej
»

Z OpenVPN-jem ven iz MPLS-ja? (strani: 1 2 )

Oddelek: Omrežja in internet
506749 (5693) SeMiNeSanja
»

VPN in oddaljene pisarne (strani: 1 2 )

Oddelek: Omrežja in internet
686283 (4617) SeMiNeSanja
»

full tunnel VPN

Oddelek: Pomoč in nasveti
6774 (499) dvince
»

Odkrita zmikavtska aplikacija za Android

Oddelek: Novice / Android
144543 (3711) Testman42

Več podobnih tem