Jak na bezpečnější internet?

Pindal

Re:Jak na bezpečnější internet?
« Odpověď #15 kdy: 19. 03. 2012, 13:00:54 »
No a právě proto je to na státní úrovni nesmysl.

Ale zpět k té "výběrové" síti, tam jen blackboxy a i když máme neomezený budget, tak použijeme stávající systémy, aby to bylo v rozumném čase :-)


Re:Jak na bezpečnější internet?
« Odpověď #16 kdy: 19. 03. 2012, 13:10:03 »
@Miro: mne tak nejde ani o persekuovani utocnika. Mne jde o bezpecnost site - v nasi siti, jak by byl identifikovan, byl by odpojen - pro bezpeci ostatnich. O exekutivu ted nejde :) ale minimlane bychom vedeli odkud to jde a jak ho odpojit.

Ja se ti ale snazim rict, ze bezpecnost nebo nebezpecnost cehokoli je dana kontextem a politikou (co nekde povazuji za bezpecne, je jinde nebezpecne). Neexistuje zpusob, jak neco obecne zmerit (bez ohledu na kontext) a prohlasit za bezpecne/nebezpecne.

Ta idea s tim odpojenim je samozrejme spravna, tak se to ve velkych firmach dela - mas nejaky IDS a kdyz dostanes alert, tak ten dany system odpojis od zbytku site.

Ale plati tady to, co jsem ti rikal v minulym tematu - pokud bys trval na 100%ni bezpecnosti, tak bys z takoveho systemu nemohl ani na Facebook, prijimat emaily z venku apod.

Oliver GGG

Re:Jak na bezpečnější internet?
« Odpověď #17 kdy: 19. 03. 2012, 13:42:59 »
miro: Tak ale na facebook preci v nejakem systemku kde nemam zadna prava preci muzu a moc mi toho nehrozi ne?

pindal: ja to nepsal abych te odradil :) od myslenky ale abych znal jak by sis to treba predstavoval dal. kvuli cemu myslis ze by to na statni urovni nemelo smysl? moc robustni? nakladne? neprehledne?

Oliver GGG

Re:Jak na bezpečnější internet?
« Odpověď #18 kdy: 19. 03. 2012, 13:48:35 »
Miro: jako priklad uvedu banku v ktere pracuji - mas pocit ze muzes vsecko, ve skutecnosti nemas zadna prava a nemuzes nic co nebylo testovano 1000x, kazda tva komunikace je strezene tak IN jak OUT a pokazde jak vypnes pocitac se lokalne vsecko smaze, a jeste je to na tom sifrovane za behu. USB nenapojis, mechaniku to nema, biosem je vsetko externi zakazano a zaheslovano, proste tam toho moc nenadelas, a stejne muzu skypovat, jit na FB, a delat svoji praci .... je to LUXUS - krasne spojeni bezpecnosti a volnosti -jedina cena kterou zaplatis je cena obrovska - v EUR :), za testery, systemy, IT speciality atd atd ...

no a ja chci docilit teoreticky neceho takoveho pro hocikoho kto by o to mel zajem, a to tak doma, jak ve firme

Pindal

Re:Jak na bezpečnější internet?
« Odpověď #19 kdy: 19. 03. 2012, 13:54:30 »
Proč? Protože to tak nefunguje třeba ani v Íránu nebo Číně. O Severní Koreji nemluvím neb tam se de facto zařídili právě dle paní Pohlové ;-)

A porušovalo by to Listinu základních práv a svobod. Proto to není v současné době možné. A pokud se prolomí Listina, pak budeme mít zcela jiné problémy :-)


Pindal

Re:Jak na bezpečnější internet?
« Odpověď #20 kdy: 19. 03. 2012, 14:10:58 »
No vidíš v bance to máš vyřešené. Jsou to borci. Dešifrujou skype komunikaci o https facebooku ani nemluvě. BIOS si resetnout nemůžeš, ba ani ethernet kabel zřejmě nemůžeš vyndat :-) A ten software prost všech chyb, toť ráj na pohled :-) Právě jen na ten pohled :-)

Re:Jak na bezpečnější internet?
« Odpověď #21 kdy: 19. 03. 2012, 14:11:24 »
miro: Tak ale na facebook preci v nejakem systemku kde nemam zadna prava preci muzu a moc mi toho nehrozi ne?

No to je prave otazka, jestli to vyhodnotis tak, ze ti nic nehrozi. Jak vis, ze v prohlizeci nemas zneuzitelnou diru, kterou zneuzije nejaka FB aplikace? Neni pravda, ze nemas "zadny" prava. Mas prava ke svym dokumentum - malware na webu je muze smazat, odcizit nebo pozmenit bez tvyho vedomi. Nalepka "100% bezpecnost" tak muze byt sama o sobe nebezpecna jako falesny pocit bezpeci.

K te posledni vete: slysel jsem peknou historku o tom, ze v jakesi zemi zavedli povinne "detem-odolne" vrsky na leky, s tim, ze pak bude mene otrav deti leky. Skutecny efekt byl presne opacny - zatimco leky s normalnimi vrsky lidi peclive davali mimo dosah deti, na leky s bezpecnostnimi vrsky si davali min pozor a doslo k VETSIMU mnozstvi otrav. (dolozit to neumim, klidne to muze byt urban legend, ber to jako ilustraci)

USB nenapojis, mechaniku to nema, biosem je vsetko externi zakazano a zaheslovano, proste tam toho moc nenadelas, a stejne muzu skypovat, jit na FB, a delat svoji praci .... je to LUXUS - krasne spojeni bezpecnosti a volnosti -jedina cena kterou zaplatis je cena obrovska - v EUR :), za testery, systemy, IT speciality atd atd ...

no a ja chci docilit teoreticky neceho takoveho pro hocikoho kto by o to mel zajem, a to tak doma, jak ve firme

Jasne, vsak jsem rikal, ze tohle je podle me spravny zpusob mysleni - jednotlivci a male firmy by mely pouzivat outsourcing, aby dostaly stejne kvalitni peci, jaka je bezna ve velkych firmach. ANO, souhlasim, tohle je urcite spravna cesta, tohle je budoucnost.

Jenom muze mit trochu jine parametry, nez si predstavujes - muze to treba vypadat tak, ze vetsina lidi nebude mit doma plnohodnotny pocitac, ale jenom nejaky "tablet" (v uvozovkach, protoze o formu PC nejde, jde o zpusob spravy), ktery bude bezudrzbovy a s presne definovanou mirou bezpecnosti.

Oliver GGG

Re:Jak na bezpečnější internet?
« Odpověď #22 kdy: 19. 03. 2012, 14:20:19 »
Pindal: chlavni rozdil vidim v tom ze v cine je to dane prikazem, a musi vsichni a proto berou ohled na lidska prava, u nas by to clenove chteli, nebo by by byla podminka pro firmy - tam se na lidkse rpava hledet nemusi a taky by nechteli... vychazdjme z toho ze oni souhlasi se vsim co neni nejak extra namahave a zvladne to ledajaky uzivatel :)

A k te bezpecnostni:
- na uzamcenem tenkem klientovi toho s biosem moc nenadelas
- na FB toho taky moc neudelas, pac je zamezen pristup browsera k filesystemu - kvuli uploadu souboru
- skype komunikace detto - rict a napsat muzes co chces, ale jak chces poslat nejaky file tak ti to nepujde
- ethernet kabel klidne u nas vytahni ale bude ti to k nicemu pac tenky klient nic nepamatuje a ani se nenaloguje bez aktivniho pristupu na domain controller
- a k moznosti bootovat neco jineho nez to co tam je - taky bios - taky seknuto ....

u nas toho opravdu moc nenadelas ....


Miro: ano tak at maji doma a v praci polohodnotne pocitace - ja vychazim z toho z to chteji a chteji to outsourcovat a ja mam teoreticky pripravit system ktery by tohle vsechno nejako manazoval a spravoval.

Takze zatim sme dosli na to ze:

- to bude nejaka VPN
- stanice budou manazovany autoritou

co mam jeste otevrene sou zony: byly by neajke? co komunikaze ven - dnu, a dnu - ven? co s statnima hranicema? jiny kraj jiny mrav - jiny zakon?

a co s hardwarem ktery je "privatni" a zamestnanci si ho do firmy chteji donest ... nebo si treba cist maily z exchange taky doma? smeli by? jak? jenom webmail?

Re:Jak na bezpečnější internet?
« Odpověď #23 kdy: 19. 03. 2012, 14:24:53 »
Mozna jeste drobnost: ja osobne bych si to umel predstavit treba tak, ze by uzivatel nabootoval ze site (v budoucnu klidne pres internet) nejnovejsi verzi OS se vsemi zaplatami + aplikace by bud pouzival kompletne hostovane jinde (pres web, pres rdp apod.), nebo by si je treba nejakym zpusobem primountoval opet ze vzdaleneho uloziste - v nejnovejsi plne opatchovane verzi. Zadne aplikace by sam instalovat nemohl.

Uz jenom takovahle blbost by zvysila bezpecnost bezneho domaciho pocitace (nebo pocitace v male firme) imho o nekolik radu.

Problem je, ze takovehle cary jdou sice snadno delat s Unixovymi systemy, ale s Windows je to o dost slozitejsi.

Dalsi moznost (ktera se postupne stava cimdal realnejsi) je mit doma jenom tenkyho klienta a pripojovat se kamsi do cloudu... V pripade, ze nepotrebuju pracovat s velkymi daty (strih videa) by to uplne v pohode slo zrealizovat uz dneska.

Oliver GGG

Re:Jak na bezpečnější internet?
« Odpověď #24 kdy: 19. 03. 2012, 14:28:03 »
2Miro: tak tak :) tenky klient - to me taky napadlo ... bylo by to aj levne ... nekde bych postavil nejaky mainframe za par milionu treba a pak jenom tenke klienty za 50 EUR a byl by klid ... taky jako varianta skvele ale premyslim nad plusy a minusy ...

velike data vidim jako minus, rychlost jako minus ... a obrovske minus zatim - skalovatelnost...

jelikoz by toto reseni bylo MASIVNE - urcite by se objevil klient se specialni pozadavkou a ja by mu chcel vyhovet ... ci uz vlastni hardware, nebo velika data nebo tak ... co s nima? povolit? nepovolit? pokud ano - za jakych podminek? co extra by musel udelat?


Pindal

Re:Jak na bezpečnější internet?
« Odpověď #25 kdy: 19. 03. 2012, 14:32:10 »
Mě by, ale ten tenkej klient nezajímal, mě by zajímal ten DC ;-) S BIOSem nic? Šroubovák a JTAG? :-) Kabel vytáhnu, připojím hub a NB a koukám :-) Jo prohlížeč má vyplej přístup, ale taky má plno chyb, kterými ho donutím pustit svůj kód a ten už přístup mít bude :-) Prostě spousta zábavy. Neříkám, že neexistuje pořádná bezpečnost, ale na počítači kde máš skype a běžný prohlížeč jí opravdu nehledej.

Re:Jak na bezpečnější internet?
« Odpověď #26 kdy: 19. 03. 2012, 14:32:32 »
Takze zatim sme dosli na to ze:

- to bude nejaka VPN
- stanice budou manazovany autoritou

No na to jsi dosel ty, ja si myslim, ze VPN nicemu nepomuze :)

Ja osobne bych to videl zhruba takhle:
je (nejak) zabezpeceno, ze
1. uzivatel vzdy nabootuje nejnovejsi plne opatchovanou verzi OS
2. muze pouzivat jenom urcite aplikace, jine instalovat proste nemuze
3. nekdo sleduje advisories pro vsechny aplikace, ktere maji uzivatele moznost pouzivat - jakmile se najde v nektere z nich nejaka zavazna chyba, uzivatelum se to da jasne najevo (napr. kdyz aplikaci spusti, prvne se zobrazi okynko, ze je v aplikaci chyba, at si da pozor), nebo se spousteni aplikace az do opraveni proste zakaze (to by asi zalezelo na tom, jakou uroven bezpecnosti by si uzivatel nasmlouval)
4. vsechna ostatni data (dokumenty, nastaveni, ...) jsou korektnim zpusobem zalohovana bez zasahu uzivatele a je mozne je snadno obnovit

- to jsou podle me zakladni veci, ktere by uplne stacily. Nektere je ale technicky trochu problematicke dosahnout v prostredi domaciho pocitace, ktery k serverum pristupuje pres internet...

Re:Jak na bezpečnější internet?
« Odpověď #27 kdy: 19. 03. 2012, 14:35:01 »
2Miro: tak tak :) tenky klient - to me taky napadlo ... bylo by to aj levne ... nekde bych postavil nejaky mainframe za par milionu treba a pak jenom tenke klienty za 50 EUR a byl by klid ... taky jako varianta skvele ale premyslim nad plusy a minusy ...

velike data vidim jako minus, rychlost jako minus ... a obrovske minus zatim - skalovatelnost...

Skalovatelnost mi prijde jako nejmensi problem - dalo by se to resit klidne nejakymi bladeservery, kde 1 blade=1 uzivatel.

Me by spis zajimalo, jakym zpusobem by se dalo zabezpecit, ze image, ze ktereho by ty blady bootovaly, by byl plne opatchovany. Docela by me zajimalo, jak neco takoveho udelat na Windowsech. Na unixech si to predstavit umim.

Oliver GGG

Re:Jak na bezpečnější internet?
« Odpověď #28 kdy: 19. 03. 2012, 14:42:13 »
2pindal: Ok :) nebudu se s tebou hadat nema smysl :) musel by sis overit .. ale kdybych te posedil za nasi vyplou masinu a dal ti hodinu tak stavim 100 k 1 ze neudelas nic :) ... ale to je jedno ... ale az by si prisel na to jak na to :) tak by te Deuts.che Bank urcite hodne odmenila :) mame na to oddeleni asi 200+ IT Security specialistu jenom ve Frankfurtu a pak asi 2-3 lokalne v kazdem velkym meste a minimlane 1ho roaming na kazdou lokaci .... ale nebudu se hadat .. takze pokud hledas bezpecnost tak nevim kde kdyz ne tady :) a ano 100% neexistuje ale 99,99'''' ano :P


2miro: bez VPN? A jak by si kontroloval sit? Druhe kabely tahnout nechceme :) to vime takze potrebujeme reseni kde bude strezen provoz dat a taky bude kazdy uzivatel autorizovan a autentifikovan :)

Re:Jak na bezpečnější internet?
« Odpověď #29 kdy: 19. 03. 2012, 14:45:30 »
2miro: bez VPN? A jak by si kontroloval sit? Druhe kabely tahnout nechceme :) to vime takze potrebujeme reseni kde bude strezen provoz dat a taky bude kazdy uzivatel autorizovan a autentifikovan :)

To si myslis ty, ze by to nejakou bezpecnost prineslo, ja si to nemyslim :)