leo_sosnine (![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png)
leo_sosnine) wrote2021-11-22 08:46 pm
leo_sosnine) wrote2021-11-22 08:46 pm
Entry tags:
Аналогия data-in-use и data-in-motion
Существуют различные состояния информации в которых она может быть атакована различными способами. Например, два состояния на которые я хотел бы обратить внимание это data-in-use и data-in-motion.
К нынешнему дню data-in-motion хорошо защищена, большинство протоколов перепроложили поверх TLS или они поддерживают нативную аутентификацию и шифрование. И всё это делается ради уменьшения простого риска -- якобы сервис провайдер будет нюхать наши пакеты и копировать себе, чем создаст утечку, а то и подменит важную информацию на лету и изменит смысл пересылаемого сообщения. Классика "Man in the middle".
Ничего подобного в практическом инфобезе не происходит: MITM атаки крайне редки. Случаи практической эксплуатации, допустим, BEAST атаки на TLS равны нулю. Причина номер один этого в том, что хозяева роутеров, лежащих между источником и назначением, в этом особого интереса не видят. И по сей день можно годами, допустим, аутентифицироваться по чистому HTTP через, допустим, формы или базовую, при которых пароль передаётся открытым текстом, и буквально всем будет на это похуй и наш пароль никому не будет нужен. Я проводил такой эксперимент (ну, например, на сервере можно отслеживать факты аутентификации) годами с нулевым результатом.
Таким образом, МИТМ атаки это удел маргинальных сценариев типа "открытая или PSK вай-фай сеть" или комбинации со спуфом сервера.
Тем не менее, кажного тупого инфобезничка в америчке обымет трясунец, если вдруг ему предложить одобрить дизайн приложения, которое обменивается сообщениями в открытом тексте, даже если это всё происходит внутри одного датацентра. "Усё должно быть зашифровано во время передачи", ггг.
При этом абсолютно аналогичные и я бы даже сказал большие по размеру риски для data-in-use в облаках полностью игнорируются и вся проблема спускается на тормозах. Как я уже много раз писал в этом бложеке, если информация обрабатывается в облаках, облачный провайдер не может избавиться от доступа к ней, причём доступа неконтролируемого. Попробуйте на митингах с агитаторами переезда в облака задать простой вопрос -- имеют ли ваши собственные сотрудники и сотрудники Амазона, где вы хостите своё говноподелие, доступ к нашим данным и послушать их бессмысленные заверения в полной зашифрованности и даже доступности технологий Bring Your Own Key. Это всё -- полнейшая туфта, доступ они имеют, доступ неконтролируемый и избавиться от него они не могут. И проверяется это простым вопросом: "...but, for you, in order to process our information, it has to be decrypted first, right? RIGHT, MOTHERFUCKER? ANSWER ME!"
Каким образом это существенно отличается от рисков для состояния data-in-motion в отношении которых все знают, что незашифрованные соединения абсолютно недопустимы в наше время и любой трафик должен быть зашифрован и через TLS? Ну, например, любой икоммерс прямо запрещён, если трафик не зашифрован, через соотв. положения PCI DSS, которые энфорсятся на любого процессора данных кредитных карт. И при этом он же в облаках (причём нередко с многослойным пирогом различных провайдеров от инфраструктуры через платформу до софта) разрешён.
Все эти хуесосы являются сертифицированными специалистами, читают соответствующие книжки и торчат на соответствующих конференциях. Проблема в том, что все эти источники "знаний" оплачиваются теми самыми облачными провайдерами которым не хотелось бы, чтобы эта информация была широко известна.
Это абсолютно неизбежно ведёт к скандалу уровня Сноуден 2.0 в котором окажется что все поголовно и без исключения облачные провайдеры шпионят за своими покупателями, как в собственных интересах, так и в интересах трёхбуквенных агентств.
К нынешнему дню data-in-motion хорошо защищена, большинство протоколов перепроложили поверх TLS или они поддерживают нативную аутентификацию и шифрование. И всё это делается ради уменьшения простого риска -- якобы сервис провайдер будет нюхать наши пакеты и копировать себе, чем создаст утечку, а то и подменит важную информацию на лету и изменит смысл пересылаемого сообщения. Классика "Man in the middle".
Ничего подобного в практическом инфобезе не происходит: MITM атаки крайне редки. Случаи практической эксплуатации, допустим, BEAST атаки на TLS равны нулю. Причина номер один этого в том, что хозяева роутеров, лежащих между источником и назначением, в этом особого интереса не видят. И по сей день можно годами, допустим, аутентифицироваться по чистому HTTP через, допустим, формы или базовую, при которых пароль передаётся открытым текстом, и буквально всем будет на это похуй и наш пароль никому не будет нужен. Я проводил такой эксперимент (ну, например, на сервере можно отслеживать факты аутентификации) годами с нулевым результатом.
Таким образом, МИТМ атаки это удел маргинальных сценариев типа "открытая или PSK вай-фай сеть" или комбинации со спуфом сервера.
Тем не менее, кажного тупого инфобезничка в америчке обымет трясунец, если вдруг ему предложить одобрить дизайн приложения, которое обменивается сообщениями в открытом тексте, даже если это всё происходит внутри одного датацентра. "Усё должно быть зашифровано во время передачи", ггг.
При этом абсолютно аналогичные и я бы даже сказал большие по размеру риски для data-in-use в облаках полностью игнорируются и вся проблема спускается на тормозах. Как я уже много раз писал в этом бложеке, если информация обрабатывается в облаках, облачный провайдер не может избавиться от доступа к ней, причём доступа неконтролируемого. Попробуйте на митингах с агитаторами переезда в облака задать простой вопрос -- имеют ли ваши собственные сотрудники и сотрудники Амазона, где вы хостите своё говноподелие, доступ к нашим данным и послушать их бессмысленные заверения в полной зашифрованности и даже доступности технологий Bring Your Own Key. Это всё -- полнейшая туфта, доступ они имеют, доступ неконтролируемый и избавиться от него они не могут. И проверяется это простым вопросом: "...but, for you, in order to process our information, it has to be decrypted first, right? RIGHT, MOTHERFUCKER? ANSWER ME!"
Каким образом это существенно отличается от рисков для состояния data-in-motion в отношении которых все знают, что незашифрованные соединения абсолютно недопустимы в наше время и любой трафик должен быть зашифрован и через TLS? Ну, например, любой икоммерс прямо запрещён, если трафик не зашифрован, через соотв. положения PCI DSS, которые энфорсятся на любого процессора данных кредитных карт. И при этом он же в облаках (причём нередко с многослойным пирогом различных провайдеров от инфраструктуры через платформу до софта) разрешён.
Все эти хуесосы являются сертифицированными специалистами, читают соответствующие книжки и торчат на соответствующих конференциях. Проблема в том, что все эти источники "знаний" оплачиваются теми самыми облачными провайдерами которым не хотелось бы, чтобы эта информация была широко известна.
Это абсолютно неизбежно ведёт к скандалу уровня Сноуден 2.0 в котором окажется что все поголовно и без исключения облачные провайдеры шпионят за своими покупателями, как в собственных интересах, так и в интересах трёхбуквенных агентств.
no subject
no subject
no subject
Только неясно каким образом мусор в VPN
no subject
no subject
Это же легко понять, если есть DPI.
no subject
впн сконфигурирован так, что сначала запрашивается днс провайдера, а потом, при NOTFOUND/SERVFAIL днс работодателя/сетки впн.
no subject
Этого нет в стандарте.
no subject
И я не знаю, что бы пытаетесь доказать. Что я не понял того, что происходило, и чему был свидетелем? Что вы лучше меня все знаете и понимаете? Хули вы, так сказать, доебываетесь? Не в первый раз, кстати.
no subject