Internet2: Bezpecie, Otvorenost a Spolahlivost

[Oliver GGG]

Dobry den,


mam za ulohu spracovat predstavu jedneho projektu a kedze dlho chodim na ROOT pride mi to skvela komunika ako zozbierat mozne nazory.

Poviem vam o co ide v nasledujucich bodoch.

PROBLEM DNESNEHO SVETA: Dnes Internet vnimam ako "nebezpecne" miesto, pred ktorym sa clovek musi patricne chranit. Ist na siet bez routru, firewallu s verejnou IP, so starym Windowsom - je saomvrazda. Preto kazdy dnes sedime za nejakym routrom, mame nejaky Firewall, patche na nasom OS - a tieto veci nas chrania od toho tam vonku.

Ok mozete si povedat ano, je to tak a funguje to. Jasne "sused" odvedla sa vam do PC len tak nedostane, a nikoho vase sukromne veci takci tak nezauimaju. Idea - co ak ale ano. V pripade ze by sa teraz niekomu - napriklad aj vlade, velmi velmi chcelo tak sa vam do PC (ak ste bezny uzivatel, teraz prosim hovorim o vacsine nie o archlinux useroch napriklad ) dostane a vasich dat sa skor ci neskor zmocni...

Ved uz staty ako nemecko a USA platia miliony na kybervojnu a chvalia sa skvelym SW trojskym konom a podobne.

To su uzivatelia doma, korporatne spolocnosti - ako napriklad banky (v jednej pracujem) su podla mna chranene ekvivalentne k tomu ake je nebezpecie prieniku. Nasa banka - je ako nedobytna pevnost a ked niekto prerazi to tak sa potom podla mna dostane uplne vsade... Takze ak su raz v hre miliardy tak sa investuju miliony ok...

Otazka ALE - a to je tema mojeho projektu - co s malym a strednym podnikanim?

Male a stredne spolocnosti nemaju peniaze, a ani volu kupovat si najnovsi HW a SW, platit IT-Security odbornika 24/7 atd...

Na poslednom IT zraze malych a strednych podnikatelov padla dokonca uvaha: "Ano urcite sa da nejako ku nam dostat, ked si to niekto precita, alebo zmaze - tak to prezijeme. Horsie je keby tie data manipuloval." - to mi pride ako uplne sialene. Ako moze niekto ist do niecoho s tym ze nema 100% istotu - ok 100% neni nikdy, ale preco do toho nemoze ist maly a stredny podnikatel minimalne s podobnym zabezpecenim ako banky alebo korporatne firmy? Koli comu? A ked ano tak ako... AKO?

Prva myslienka pre mna bolo : CLOUD Computung - ved tam su data v poriadku, zabezpecene - dokonca niektore banky zveruju GOOGLU svoje data... Leze mne nejde len o DATA ale aj o samotne systemy - samotne desktopy s trojanmi, a inym softom... Banky maju balickove systemy, karantenne 3-mesacne testovanie noveho SW, domenove prava delegovane a iba 2-3 super domain adminov .... Taketo cosi si predsa ale maly a stredny podnikatel nemoze dovolit ....

Ako by sa to dalo?

Povedzme ze:
- mame dnesnu infrastrukturu (ziadne dalsie kable sa tahat nebudu)
- mame dnesne systemy v malych a strednych firmach
- okrem toho ako "prevadzkovatel" Internetu 2.0 mame neobmedzene zdroje...

Ako by sa dala zabezpecit systemova a internetova bezpecnost?

Ako by sa dalo docielit ze komunikacia medzi A a B bude bezpecna lebo mame istotu ze to co B od A dostane je VIRUS FREE?

Tolko k otazkam, aby som vas do toho vtiahol a naladil vas na moju vlnu, vam poskytnem moje myslienky ktore mi dnes za par hodin k danej teme napadli... Prosim o kritiku, popripade konstruktivne napady


INTERNET 2.0:

PROBLEM DNESNEHO INTERNETU:
- je to "globalna zbran"
- clovek z najvacsieho rohu ugandy s dobrym netom, technologiou a znalostami moze polozit hocico

PRE KOHO:
- By bol hlavne pre firmy, stredne a male
- Aj pre korporatne firmy a banky
- Uzivatelia by sa mohli ale nemuseli zapojit, stratili by (v case vyuzivania - docasne) svoju anonymitu

NACO:
- aby sa vedelo to je kto - to pri obchodnom styku tak ci tak je dolezite
- aby v pripade utoku (vedomeho nevedomeho) by sa vedelo od koho to je a dana stanica by sa dala odpojit/ignorovat
- aby sa dalo "doverovat" tomu co je vonku
- Podvody by boli vypatratelne(jsie...)

KTO JE ZA TYM:
- Spravovala by to autorita, ci uz sukromna alebo statna, mohla by byt kontrolovana statom (pravdepodobne by musela, niektori firemny uzivatelia dokonca tvrdia - to ze ma nas stat pravo vidiet moje data nam az tak nevadi, horsie je to s hackermi a konkurenciou)

CO:
- alternativa k internetu
- pridavne "zabezpecenie" ... na urcite veci uz by nestacila biometrika, sifrovanie, hesla - ale by dany ucastnik musel byt NEanonymny a autorizovany - povoleny
- co pride je zarucene virus free
- systemy ktore su zapojene do danej siete - su virus free


AKO:
- kazdy kto by chcel vstupit by musel mat certifikovane a autorizovany HW a SW
- kazdy kto by vstupil by delkaroval sovje komunikacie - porty atd atd..
- kazdy by bol zodpovedny za svoje stanice, popripade svoju zonu
- cele by to bolo ako jedna velka "Microsoft Domena" ktoru by spravovala nejaka autorita
- kazdy by svoje poziadavky deklaroval, preslo by t oschvalovacim procesom a bolo umoznene v internete 2.0
- kazdy by mal nejakym sposobom doma nejaky blackbox do ktoreho by siel jeho traffic a z neho by siel "podpisany" von smerom k inym uzivatelom ktory by "podpisany"  traffic aj cakali - ostatny by zahadzovali

- v pripade ze by niekto z vonka (nepodpisany) chcel komunikovat s niekym alebo niecim z vnutra - boli by tam restrikcie ... napriklad len webove sluzby alebo tak...

- existovali by zony - a prietok zo zony do zony by bol kontrolovany (statne hranice, kraje, obce, spolocnosti, autorita)

- vic layerov kontroly a komunikacie:
o P2P - nieco ako onion pritup, jeden s druhym bodom len sifrovane
o Client-Server(Autorita)-Client - alebo komunikacie cez Autoritu - este bezpecnejsie, v pripade potreby


DETAIL:
Mali a stredni podnikatelia: si HW a SW "prenajmu" od autority ... nechcu platit adminov - dokonca usetria aj peniaze. Dajme tomu povedia - chceme 5x LENOVO DESKTOP s tym a tym a tym SW, autorita to schvali, pripravi, dopravi a bude spravovat za mesacny poplatok ....

alebo

Uz ma hardware - tak by sa napisali presne rules ktore by sa museli na danu domenu aplikovat - proste by sa firemna domena "ocistila" zaviedli by sa prisnejsie pravidla a boli by certifikovany a autorizovany...


CELA IDEA:

Myslim ze keby sa nieco takeho podarilo co i len teoreticky spisat, znacne by to zabezpecilo kazdeho vnutri oproti tomu co je vonku. To co je vonku by uz nebol cierny lez z ktoreho hocikde moze prist letiaci sip a zasiahnut ta do krku... Ten kto by chcel participovat by sa mohol citit bezpecnejsie, lebo "vnutri" by boli len overene a bezpecne veci ....

No uz som napisal tak ci tak dost ....

Ja viem ze to pre private userov neni az take zauimave ale firmam by sa to pacit mohlo ...

Co vy na to? Nejake skusenosti? Mate nejake odkazy kde by som nasiel nieco take?

Dakujem !

Tesi sa na diskusiu


Oliver

[Reklama]

[DgBd]

> - okrem toho ako "prevadzkovatel" Internetu 2.0 mame neobmedzene zdroje...

pokud máte jako provozovatel Internetu 2.0 neomezené zdroje, tak postavte každému uživateli za záda policajta a máte to vyřešené.

imho je to celé blbost. Odkud přicházejí ty zdroje? Pokud zevnitř, tj. od uživatelů, pak pro ně bude méně nákladné svoji současnou agendu spravovat samostatně, ať už svými IT odborníky nebo outsourcovat nějaké firmě.

[KapitánRUM]

Internet 2.0 tu už dávno je:
http://www.abclinuxu.cz/blog/bystroushaak/2010/9/internet-2.0-zaloz-i-ili-pedofilove
Jestli chceš o něčem uvažovat, tak zkus Internet 3.0 nebo 2.1 

Podívej se, ty ani neumíš psát Česky a já Slovenštině sice rozumím, ale pochop, že na její čtení musím vynaložit víc úsilí, než na čtení textu mojí řečí. Stejné mozkové centrum, které používám na překlad, používám i na myšlení
Víš, já problematiku malých podniků znám velice dobře, jsou to naši zákazníci a myslím, že bych ti k tématu mohl napsat i něco zajímavého, ale někde v polovině jsem ztratil chuť to číst dál.
Uvaž to, možná nestojíš o můj názor, ale možná podobnou "nechuť" vzbudíš i v dalších lidech.
A neber to, co jsem napsal, jako urážku.
Kdybys napsal slovensky technický dotaz - srozumitelně - normálně bych ti odpověděl.
Tak se neurážej, ber to tak, že jsem si dal tu práci s doufám slušnou odpovědí.

Zkus jádro své myšlenky napsat co nesrozumitelněji, +1 když to bude Česky

[JardaP .]

Fuj, chlape, prestante si hrat na Orwela. Kdyby bylo po vasem, tak si budu jednou o autority i najimat certifikovany mixer. Krome toho neomezene zdroje nastesti nemate. A i kdybyste udelal z Internetu jednu velkou fizlarnu, jistotu stejne nikdy mit nebudete. Nikdy treba nebudete moci verit te autorite.

[Mirek Prýmek]

Na poslednom IT zraze malych a strednych podnikatelov

Tohle mě hodně zajímá - to je nějaká konkrétní akce? Veřejná? Můžeš o tom napsat víc?

Jinak k tomu textu (budu psát bez zbytečných servitků, jestli vadí, dál nečti): Ve zkratce: nezlob se, ale přijde mi to jako dost zbrklé plácání pátého přes deváté, navíc s trochu mesiášským komplexem ("koukejte, co jsem vymyslel, to spasí celý Internet"), což je tady bohužel dost časté.

Pokud jsem dobře pochopil, základní myšlenka je oddělená, striktně neanonymní síť s unifikovaným certifikovaným vybavením. To se dalo napsat jednou větou, zaměřit se na tohle jádro a ne"obohacovat" to marketingovou omáčkou.

Problém je v tom, že:

1. pokud bych měl striktně neanonymní a centrálně ovládanou síť, už moc nepotřebuju to unifikované vybavení, protože když nějaká část začne zlobit (což při centralizaci poznám rychle), tak ji prostě odstřihnu a je po problému.

2. bezpečnostní řešení je klasicky vyvažování použitelnosti proti bezpečnosti. Ty jsi to vyřešil po dilbertovsku ( http://goo.gl/ZCZGA ) tak, že jsi vsadil 100% na bezpečnost - z takové sítě by se totiž lidi nemohli dostat ani na přiblblej Facebook, protože ten samozřejmě může obsahovat ne-bezpečné aplikace. Takže jo, když si dám pár panáků, tak si takové řešení umím představit, ale neumím si představit, k čemu by ho kdo používal. Jednodušší zabezpečení tohodle typu je vytáhnout z PC ethernetový kabel...

Zároveň si ale myslím, že máš pravdu v jiné věci: malé a střední podniky by měly víc sázet na unifikované, standardizované IT služby, poskytované formou outsourcingu. To myslím ještě moc zavedené není, běžnější je "jo, vo ty počítače se nám tady stará Frantův mladej, von tomu rozumí".

[Reklama]

[Waseihou]

KTO JE ZA TYM:
- Spravovala by to autorita, ci uz sukromna alebo statna, mohla by byt kontrolovana statom (pravdepodobne by musela, niektori firemny uzivatelia dokonca tvrdia - to ze ma nas stat pravo vidiet moje data nam az tak nevadi, horsie je to s hackermi a konkurenciou)

Toto schéma má jednu základní vadu - musíte důvěřovat autoritě. Pokud nastane problém na straně autority, třeba chyba nebo zlý úmysl, vaše data jsou v háji. Více se mi líbí idea co nejmenší autority třetí strany, tedy poskytovatel služby poskytuje pouze nutné minimum. Takže pokud někam zákazník ukládá data, potom ani ten u koho se úložiště bude fyzicky nacházet nebude mít k datům přístup.

Takže pro váš podnikatelský záměr bude dobré, pokud budete zajišťovat službu která bude zaručovat, že nebudete mít možnost udělat cokoliv navíc. Takových služeb můžete samozřejmě nabízet více, ale možnost řízení musí být na straně zákazníka.

Třeba pro datové úložiště můžete skusit použít toto, nahoďte tak dvacet serverů a doufejte, že to prodáte:
https://tahoe-lafs.org/trac/tahoe-lafs

ale bacha ani takovéto věci se nevyhnou problémům, nějací maníci to hackli:
https://tahoe-lafs.org/hacktahoelafs/
a nějakou tu chilku trvalo než se na to oběvil patch, dočasným řešením byl downgrade.

Teď jen záleží jestli jste schopni vytvořit bezpečnější produkt než kdejaký open source.

Co se bezpečnosti proti trojanům a virům týče, tak je to o bezpečnostní politice firmy. Můžete použít TPM modul a povolit spouštění pouze podepsaných .exe aplikací, pokud chcete experimentovat tak na existující počítače zkuste nainstalovat emulátor TPM a doufejte že to žádný virus neodstraní, a nebo vynuťte jinou politiku antiviru. Zaměstnanci takového podniku mít radost asi ale nebudou, protože to bude dost otravné, a je otázkou co to udělá se skripty, ono i takové makro nebo webový skriptík dovede někdy udělat paseku. Jinak uživatelé by přirozeně neměli pracovat v účtu s právy administrátora.

Nic není bezpečné, žádné řešení neexistuje, a ani nejlepší bezpečnost neochrání před chybami uživatelů, které jsou nejčastější příčinou problémů. Při návrhu musíte předpokládat, že uživatel je zákeřný a škodlivý a podle toho to nastavit.

Co brání tomu vytvořit VPN a zcela zamezit přístupu na internet? Potom bude stačit odmítnout vše co nejde přes VPN a je to, stačí virtuální intranet. Na prohlížení netu dát uživatelům virtualizované ubuntu a to hnát přes proxynu jako je squid, bude to pro ně pěkný dojeb, ale jinou možnost mít nebudou. Druhou možností je vzdálené připojení na remote kde bude po přihlášení firefox, Windows 7 prý umí spustit aplikaci na Windows 2008 serveru v seamless módu.

Nepotřebujete nový internet, stačí si správně nastavit ten stávající...

[Waseihou]

Jinak s tahoe-lafs můžete jít až do extrému, dá se totiž použít s anonymní sítí I2P:
http://www.i2p2.de/

a pokud nějak zajistíte anonymitu plateb, třeba přes Western Union, Xoom a nebo předplacené dárkové karty které v některých zemích existují (musíte si tam zřídit účet), tak můžete za patřičný bakšiš poskytovat datové úložště aniž byste věděli kdo to je a jaká skladuje data.

Nikdo nedohledá komu jste data nabízel a asi ani že jste věděl co obsahují, leda že by získal šifrované klíče onoho zákazníka, ale i tak se můžete potom hájit že jste neměli možnost zjistit, co se u vás ukládalo.

Nahodit to pouze na předem stanovené počítače nepřímo propojené mezi sebou by to také šlo, ale přinos oproti VPN moc nevydím, spíš problémy...

[Oliver GGG]

Dakujem za odpovede, rozhodol som sa ze to neurobim tymto sposobom - ze budem od kazdeho chciet detailny popis a ani sem svoj nebudem tlacit - zle sa to cita. Vytvoril som novu temu:

http://forum.root.cz/index.php?topic=4014.0

Zapojte sa tam.

Dakujem

Oliver

P.S.: Prosim adminov o lock

[YF]

Oli - tobe hrablo!

[Oliver GGG]

Sup do druhe temy a napis mi proc .

Nejsem diktator ani nemam takove ambice ale je to myslenka kterou mam rozebrat tak mi napis co mas proti a proc by to nemohlo fungovat