security

Każdemu administratorowi systemów zdarzyła się zapewne sytuacja, w której musiał zdalnie zarządzać środowiskiem – bazą danych, serwerem aplikacyjnym czy nawet urządzeniem aktywnym – w odległej, wewnętrznej sieci. W niektórych przedsiębiorstwach pojawia się też potrzeba dostępu pracowników do intranetu z dowolnego miejsca. Niezależnie od powodu wspomniane wymogi łączy potrzeba nawiązywania bezpiecznej łączności z „centralą”, a odpowiedzią na nią jest użycie wirtualnej sieci prywatnej.

Zdalny dostęp do wewnętrznych usług sieciowych to mniejsze koszty funkcjonowania firmy i większa wygoda pracowników pod względem zarządzania informacjami. Administrator systemów jest w stanie szybko zareagować na incydent, bez konieczności dyżurowania na miejscu w późnych godzinach, a przebywający na rozmowie u klienta handlowiec może pobrać potrzebne do przeprowadzenia prezentacji pliki z folderu znajdującego się w intranecie.

Popularny standard SSL i jego rozwinięcie TLS bazują na mechanizmach, które w praktyce uniemożliwiają szybkie rozpoznawanie wadliwych certyfikatów i nie pozwalają sprawnie zarządzać zaufaniem. W efekcie prawie każda agencja wywiadowcza świata może mieć dostęp do naszych danych.

Wpisując nazwę strony WWW w pasku przeglądarki, czasami zdarzają się pomyłki. Zamiast odwiedzić właściwą witrynę trafiamy wtedy na tzw. parking domen lub do zupełnie innego serwisu. Bywają też mniej bezpieczne sytuacje, np. serwisy łudząco podobne do oryginałów, które służą do wyprowadzania danych bądź infekowania komputera szkodliwym oprogramowaniem. Wyobraźmy sobie, że istnieje prawdopodobieństwo wystąpienia podobnej sytuacji nawet wtedy, gdy wpisany adres był poprawny…

Zaproponowana przez Google’a wartość ALLOWALL nagłówka X-Frame-Options trafiła pod strzechy bez standaryzacji. Sęk jednak w tym, że jest to zupełnie niepotrzebna opcja.

Ataki polegające na tworzeniu fałszywych serwerów z aktualizacjami nie są tak trudne do przeprowadzenia, jak mogłoby się wydawać. Głównymi przyczynami są nieostrożność administratorów i brak szczelnych procesów publikowania wersji, chociaż możemy czasem trafić na zdumiewające wektory ataków, którym trudno zapobiegać.

W tym tygodniu w Londynie odbywała się poświęcona bezpieczeństwu IT konferencja organizowana przez RSA. Z racji wykonywanego zajęcia miałem czelność i sposobność uczestniczyć w wydarzeniu, zrobić kilka fotek i przeprowadzić parę wywiadów.

Archiwalny (2007) podcast ze Zbyszkiem Sobieckim – jedną z pierwszych osób w Polsce zawodowo zajmujących się programowaniem aplikacji dla systemu Mac OS X – o bezpieczeństwie Maka. Rozmawiamy o zmianach w zaporze sieciowej, usterce aplikacji Mail i tym, co przyciąga profesjonalistów do systemu Apple'a.

Osławiony esej Chucka Hammilla, w którym na przykładach tłumaczy, jak nowoczesna technologia potrafi zrównoważyć siły między obywatelem a aparatem represji.