- (oduvodnene) bezpecnostni pozadavky,
Druhou moznosti se zabyvat nebudu a s prvni mi nekoreluje zadani (neexistujici segmentace site, server v uzivatelske LAN).
Ale tohle je základní nepochopení bezpečnosti. Na nádražní hajzlíky na vesnici nedám pancéřové dveře, ani zabezpečovačku, ale stejně je budu v době, když je nádraží zavřené zamykat. Proč? Protože chráněná aktíva jsou malá (někdo vykoná potřebu neoprávněně je haléřová položka, maximálně tam může vandal způsobit škodu rozbitím hajzlíku v hodnotě tisícovky v OBI), přesto kdybych to nechal otevřené, tak tam nejspíš bude naděláno od fetek a opilců.
To samé co se týče lokální sítě. Vystrčit cokoli ven do Intrnetu je holý nerozum (pokud to člověk opravdu nepotřebuje, a současně ví co dělá). Když vystrčím server ven, mám tu najednou proti sobě pár miliard potenciálních útočníků, mraky scriptů, každá chyba/0-day/cokoli může být malér.
Na stranu druhou, domácí síť mám obvykle pár trusted lidí, kterým, pravda, se samozřejmě nedá úplně věřit, že někam nekliknou kam nemaj. Ale na tohle obvykle stačí mít rozumně práva na NASce, a riziko je celkem malé (v porovnání s tím vystrčením ven - někdo si musí zabreberkovat PC, současně ta breberka se musí umět na tu NASku dostat a současně na ní musí být nezáplatovaná vulnerabilita).
BTW ono ani ta segmentace není všespásná, zvlášť když ty (potenciálně zabreberkované) užovky stejně na ten server musí mít prostup, a dávat domů IPS je poněkud nereálné.
BTW já tohle řešil vždycky CA, co je součástí OpenSSL (nebo alespoň bejvala, CA.sh nebo CA.pl na vygenerování samotné CA, zbytek klasika openssl keygen, openssl x509, openssl ca)
25 Odpovědí
5274 Zhlédnutí