Domanda:
Devo crittografare le connessioni all'interno di una rete aziendale?
Rbjz
2018-06-21 19:58:06 UTC
view on stackexchange narkive permalink

A condizione che io disponga di un livello decente di sicurezza fisica in ufficio, controllo gli indirizzi fisici dei dispositivi connessi alla rete e concedo l'accesso VPN solo a parti fidate, devo crittografare l'accesso alle risorse intranet su HTTP?

C'è un dipendente che si lamenta del fatto che non gli piace inviare le sue credenziali in chiaro sulla rete e che in questo caso non può assumersi la responsabilità della sua identità di rete. Quali sono le possibilità nel mondo reale che qualcuno rubi la sua identità? Non riesco a trovare consigli chiari per la crittografia all'interno di una rete aziendale.

Credo che il dipendente abbia il diritto di presentare reclamo in questo caso.Ho solo pensato di aggiungerlo.Anche quando parli di "parti fidate" a cui ti riferisci esattamente - hai qualche motivo per fidarti di loro oltre al fatto che ti hanno detto che sono affidabili, ecc.?
Se desideri consigli chiari, leggi i documenti BeyondCorp di Google.
Correlato: https://security.stackexchange.com/questions/152019/is-it-acceptable-for-an-internal-hr-site-to-run-over-http
Se volessi rubare le credenziali di un altro dipendente per, ad esempio, curiosare tra i dati aziendali riservati, sabotare i dipendenti che non mi piacciono o effettuare il cryptojack dei nostri computer in modo che qualcun altro si prendesse la colpa, sniffare gli accessi a una intranet http sarebbe una buona cosamodo di procedere, non credi?
Qual è il tuo modello di minaccia?Dipendenti che attaccano l'azienda, l'azienda che attacca i dipendenti, dipendenti che si attaccano a vicenda, terze parti che attaccano i dipendenti, terze parti che attaccano un dipendente e fanno perno in un attacco all'azienda, ...È difficile valutare il rapporto costi-benefici di una misura di sicurezza senza sapere da cosa ci si vuole difendere.
Devo ammettere la colpa di una piccola escursione a traina.Ho parlato a nome dell'organizzazione mentre io sono il ragazzo che si lamenta.Le tue incredibili reazioni possono aiutare a convincere il reparto IT a fare qualcosa: D Grazie a tutti!
Lo lascio qui https://arstechnica.com/information-technology/2013/11/googlers-say-f-you-to-nsa-company-encrypts-internal-network/
Inoltre, lavoravo in un'azienda in cui le credenziali di accesso AD di ogni singolo dipendente venivano passate come autenticazione di base non crittografata al nostro proxy squid.È stato allora che ho cambiato la mia password di lavoro in "Password1"
Tieni presente che per le agenzie governative degli Stati Uniti, la crittografia interna di tutto il traffico è generalmente obbligatoria, così come per gli appaltatori governativi.Le violazioni di più alto profilo degli ultimi dieci anni sono state tutte minacce interne.
Come aggressore hai una sicurezza basata sull'indirizzo IP (non mi interessa), hai una sicurezza basata sull'indirizzo MAC (non mi interessa).Hai messo la colla in tutte le prese di rete.Mi rallenterà, ma mi dice anche che probabilmente ci stai facendo affidamento (non hai altra sicurezza).
Lettura pertinente: https://www.gearbrain.com/iot-hack-on-casino-aquarium-2560513466.html
Per alcune informazioni, sarei nei guai se le inviassi tramite una connessione non crittografata e il mio capo lo scoprisse.
Se hai bisogno di uno slogan tipo adesivo per paraurti: "Firewall. Croccanti all'esterno, gommosi all'interno".
Se stai cercando di venderlo alla direzione, sembra che potresti fare un'analogia con la chiusura delle porte degli uffici e degli schedari nell'edificio.Voglio dire, se sono bravi con comunicazioni interne non crittografate, perché non sbloccare le porte?Inoltre non doversi occupare di fastidiose serrature potrebbe far risparmiare un sacco di tempo!
Buone notizie a tutti, ora stiamo funzionando su HTTPS.
Dodici risposte:
#1
+258
Joe M
2018-06-21 20:19:32 UTC
view on stackexchange narkive permalink

Sì, crittografa, è facile. Inoltre, secondo uno studio del 2014 del Software Engineering Institute, 1 hack su 4 proveniva da qualcuno all'interno dell'azienda con un danno medio superiore del 50% rispetto a un attore esterno.

Link alla fonte: https://insights.sei.cmu.edu/insider-threat/2017/01/2016-us-state-of-cybercrime-highlights.html Sebbene questa sia la versione del 2017.

Grazie per aver sostenuto la raccomandazione con i numeri del mondo reale.È esattamente quello di cui avevo bisogno.
beh, "~ facile" in una rete interna e facile su Internet (con Let's Encrypt).A parte questo, sono pienamente d'accordo e +1 per le fonti.
Oltre ad essere di importanza pratica, è anche una solida pratica di sicurezza: difesa in profondità (senza molti costi).
Buon Consiglio.È fin troppo facile per un attore interno annusare la rete.
È facile fintanto che puoi fidarti di una libreria di crittografia da implementare correttamente e non avere bug.Non dimentichiamo [l'incidente di OpenSSL] (https://en.wikipedia.org/wiki/Heartbleed).La crittografia non è facile, ma generalmente lo è l'utilizzo di una libreria di terze parti.
Ma quanti di questi "hack" interni sono stati fatti da MITM a una connessione http intranet?Rispetto, ad esempio, all'inoltro di un foglio di calcolo Excel da un indirizzo di lavoro a un indirizzo gmail?
Ci sono alcune buone risposte, quindi non ne aggiungerò una, ma questa immagine la riassume abbastanza bene "ssl aggiunto e rimosso qui :)" https://blog.encrypt.me/assets/img/posts/2013/11/05/nsa_slide.jpg
@jjanes Penso che tu stia seriamente sovrastimando quanto sia difficile spiare il traffico su un dominio di trasmissione Ethernet.Nel tuo esempio di posta elettronica il frutto più basso in sospeso sarebbe una connessione SMTP a volte non crittografata attraverso la LAN.A parte questo, gli unici attacchi sono lo spionaggio su Internet, l'hacking di Gmail o l'ingegneria sociale ...
#2
+110
trognanders
2018-06-22 01:20:43 UTC
view on stackexchange narkive permalink

Quali sono le reali possibilità che qualcuno rubi la sua identità?

Eseguire un attacco MITM su una connessione HTTP quando si è sulla stessa LAN è fondamentalmente banale. ARP non è progettato per essere sicuro. Alcuni switch di fascia alta forniscono una ragionevole attenuazione, ma per lo più sono piuttosto deboli su tutto ciò che non è incredibilmente costoso.

C'è un dipendente che si lamenta del fatto che non gli piace inviare le sue credenziali in testo normale rete e che in tal caso non può assumersi la responsabilità della sua identità di rete.

Se il ragazzo è responsabile delle azioni intraprese con le sue credenziali, è ingiusto non prendere precauzioni ragionevoli per proteggere tali credenziali da altri dipendenti. Potrebbero essere al sicuro da attori esterni a causa dell'isolamento della rete, ma probabilmente non è questo ciò di cui il ragazzo è preoccupato ...

Non sono d'accordo: imho, eseguire un attacco MITM basato su spoofing ARP su una rete adeguatamente protetta non è possibile (o almeno non "fondamentalmente banale").
@jjmontes - "adeguatamente protetto" non è una frase che puoi presumere sia applicabile alla maggior parte delle reti.
-1
Nelle reti più sicure, gli indirizzi MAC, gli IP, le porte dello switch (e il cablaggio) e le tabelle ARP negli switch e nei router sono statici.Afaik, un utente di tale rete non potrebbe ricevere traffico da nessun'altra porta se non tramite accesso fisico, e qualsiasi utilizzo di un MAC errato bloccherà la porta e verrà segnalato (anche se ammettiamolo, questo non è il caso nella maggior parte delle reti).Inoltre, questo non significa che l'OP non debba crittografare le connessioni intranet.
@jjmontes Static ARP è supportato solo negli switch gestiti, impone problemi di gestione piuttosto estremi e generalmente non è probabile che venga utilizzato in questo scenario.Gli switch da Cisco eseguono lo snooping di livello 3 di ARP e usano * magia speciale * per indovinare quando le risposte ARP sono fasulle ... questo è disabilitato per impostazione predefinita nell'hardware Cisco a causa di _ falsi positivi_.Ci sono cose come 802.11x con un mac / porta ... richiede ancora switch costosi e un server radius.In ogni caso nessuno di questi è nemmeno lontanamente vicino alla sicurezza fornita da HTTPS per quasi nulla fuori dagli schemi.
Lo spoofing ARP di @jjmontes funziona sicuramente attraverso gli switch.La maggior parte degli switch stupidi viene facilmente confusa nel fornire tutto il traffico a una porta anche senza spoofing ARP.
#3
+40
Sayan
2018-06-21 21:26:07 UTC
view on stackexchange narkive permalink

Sì, devi crittografare le tue connessioni. Prendiamo uno scenario in cui ritieni che la tua rete sia fisicamente protetta (con sicurezza fisica richiesta e altre misure di sicurezza richieste) e nessun accesso a Internet (poiché hai indicato di consentire solo l'accesso VPN a fonti attendibili), ma supponiamo che i tuoi dipendenti prendano il loro laptop casa e connessione a Internet. Le possibilità che qualsiasi malware venga implementato senza il loro preavviso sono presenti. E questo malware potrebbe attivarsi quando è connesso alla rete aziendale e ha iniziato a rilevare il traffico. Ciò porterebbe all'esposizione di tutte le comunicazioni aziendali, comprese le credenziali di tutti.

Quindi è sempre consigliabile crittografare il traffico sensibile.

Un ulteriore studio di CA (Insider Threat Report - 2018) indica di seguito le preoccupazioni sulle minacce interne (Riferimento: https://www.ca.com/content/dam/ca/us/files /ebook/insider-threat-report.pdf).

Estratto dal rapporto:

  • Il novanta per cento delle organizzazioni si sente vulnerabile ad attacchi interni. I principali fattori di rischio abilitanti includono troppi utenti con privilegi di accesso eccessivi (37%), un numero crescente di dispositivi con accesso a dati sensibili (36%) e la crescente complessità della tecnologia dell'informazione (35%).
  • La maggioranza del 53% ha confermato attacchi interni contro la propria organizzazione nei 12 mesi precedenti (in genere meno di cinque puntate). Il 27% delle organizzazioni afferma che gli attacchi interni sono diventati più frequenti.
  • Le organizzazioni stanno spostando la loro attenzione sul rilevamento di minacce interne (64%), seguito da metodi di deterrenza (58%) e analisi e analisi forensi post violazioni (49%). L'utilizzo del monitoraggio del comportamento degli utenti sta accelerando; Il 94% delle organizzazioni utilizza metodi di monitoraggio degli utenti e il 93% monitora l'accesso ai dati sensibili.

  • Le tecnologie più diffuse per scoraggiare le minacce interne sono Data LossPrevention (DLP), crittografia e gestione dell'identità e degli accessi soluzioni. Per rilevare meglio le minacce interne attive, le aziende implementano l'Intrusion Detection and Prevention (IDS), la gestione dei log e le piattaforme SIEM.

  • La stragrande maggioranza (86%) delle organizzazioni ha già o sta realizzando un programma per le minacce interne. Il 36% ha un programma formale in atto per rispondere agli attacchi interni, mentre il 50% è concentrato sullo sviluppo del proprio programma.

Possibili soluzioni / controlli di mitigazione per attacchi interni sarebbero: enter image description here Fonte: 2018 Insider Threat Report, CA Technologies

Info-grafica vendono :) e questo report sarà molto digeribile per la gestione.Grazie.
Grafica sempre facile da catturare l'attenzione e facile da trasmettere il messaggio ... :)
#4
+29
AllInOne
2018-06-22 03:08:15 UTC
view on stackexchange narkive permalink

Rischio di ripudio

Oltre a tutte le belle risposte sui dipendenti come minaccia e sui visitatori come minaccia, penso che si debba considerare che il semplice fatto che il il traffico non è crittografato è di per sé una vulnerabilità anche in totale assenza di hacker .

Ti stai preparando a una situazione in cui qualsiasi dipendente che lo fa qualcosa che non dovrebbero fare (per errore o apposta) e poi viene chiamato in causa può negare che siano stati effettivamente loro. Normalmente, il manager diceva semplicemente "sappiamo che sei stato tu perché hai effettuato l'accesso". In questo caso il dipendente accusato può ragionevolmente rispondere "il login è inutile e tu lo sai. Chiunque sulla LAN potrebbe aver fiutato la mia password e aver fatto questa brutta cosa fingendosi me."

Sì, ma non del tutto.Di solito ci sono altri fattori che possono aiutare a identificare l'origine di una connessione: l'indirizzo IP di origine è un esempio.Ad esempio, alcune reti collegano gli indirizzi IP agli indirizzi MAC e cambiano le porte, rendendo molto difficile o impossibile per chiunque utilizzare un indirizzo IP che non è stato loro assegnato.Inoltre, questo argomento può essere utilizzato anche se il traffico è crittografato.
#5
+14
multithr3at3d
2018-06-21 22:22:10 UTC
view on stackexchange narkive permalink

Alcune aziende, specialmente quelle più grandi che esistono da abbastanza tempo da sviluppare cattive abitudini, hanno più o meno il seguente modello di sicurezza fallace:

La rete è sicura finché nessun altro si collega ad essa e nessuno all'interno è tecnologicamente sufficientemente abile da abusarne.

È possibile proteggerlo in tutti i casi? No, ma adeguati controlli dell'accesso fisico / dell'edificio possono aiutare a ridurre il rischio. Ma cosa succede se gli ospiti sono ammessi in ufficio per riunioni, ecc.? ci sono porte ethernet facilmente accessibili nelle sale conferenza o reti wireless di facile accesso, oppure queste reti sono separate da quelle in cui le credenziali potrebbero volare?

Dipende anche da cosa si sta cercando di proteggere. Considera lo scenario peggiore in cui qualcuno (dall'interno o dall'esterno dell'organizzazione) ruba credenziali in chiaro per un altro utente. Cosa sono in grado di fare; accedere a infrastrutture critiche o solo ad alcuni server di sviluppo di basso profilo? Se un'identità viene rubata, sei in grado di determinare chi sta utilizzando il login?

Idealmente, tutti userebbero la crittografia ovunque. Ma se le minacce di cui sopra rientrano nella tua tolleranza al rischio, forse non è urgente crittografare le risorse intranet. A seconda delle dimensioni dell'organizzazione, potrebbe esserci un sovraccarico nella distribuzione di certificati CA e SSL a tutte le risorse. Chiediti cosa c'è di peggio: lo scenario peggiore o mettersi al lavoro per crittografare tutto?

Se un utente malintenzionato è in grado di utilizzare le credenziali per "accedere ad alcuni server di sviluppo di basso profilo", cosa vuol dire che non può utilizzare quelle stesse credenziali per controllare una modifica aggiungendo una sorta di backdoor?
#6
+14
Tom
2018-06-22 06:12:42 UTC
view on stackexchange narkive permalink

Nel 2018, la risposta dipende dai risultati dell'analisi delle minacce e dei rischi. Che, ovviamente, hai eseguito, identificato i probabili scenari, valutato e preso una decisione aziendale in base all'impatto e alla frequenza, secondo un metodo statistico o quantitativo adeguato.

Il tuo singolo dipendente, tuttavia, ha fatto la sua personale analisi dei rischi ed è arrivato al risultato che hai indicato, ovvero:

non può assumersi la responsabilità della sua identità di rete in tal caso

Ed è perfettamente corretto in quella valutazione. Anche uno sguardo superficiale alla situazione rende chiaro che qualcuno diverso da lui, con competenze tecniche minime, potrebbe impersonarlo.

Per te il rischio aziendale è accettabile (ovviamente, io significa che è il 2018, che la rete interna non è crittografata è una decisione intenzionale e non, diciamo, un caso in cui l'abbiamo sempre fatto così, giusto?) e potresti avere ragione in quella decisione. Accettare un rischio è un'opzione perfettamente valida.

Per lui il rischio non è accettabile. Si noti che non prende una decisione commerciale per l'azienda con la sua dichiarazione. Prende una decisione personale per se stesso. Questo è il motivo per cui le due analisi del rischio possono portare a risultati diversi: contesto, propensione al rischio, impatti diversi.

La risposta corretta è che ti stai assumendo la responsabilità che lui rifiuta di assumersi. Eseguendo la rete in chiaro e accettando il rischio, l'azienda si assume la responsabilità dell'identità di rete degli utenti di quella rete, poiché ha deciso di non proteggerli.

Potrei anche sbagliarmi nelle mie ipotesi sulla gestione del rischio aziendale, nel qual caso consiglio di fare un'analisi del rischio di questo particolare fatto (rete interna non crittografata) e della minaccia (rappresentazione degli utenti) in modo da poter rivedere la decisione di avere una rete non crittografata o consolidarla con risultati che dimostrano che la protezione della rete sarebbe più costosa della perdita prevista.

#7
+9
JesseM
2018-06-22 03:11:35 UTC
view on stackexchange narkive permalink

Sì, è necessario crittografare all'interno della rete aziendale "sicura".

Qualsiasi penetrazione nella rete porterà a traffico di ficcanaso e tutto ciò che non è crittografato è una scelta facile per l'attaccante. Credenziali, password, informazioni sullo stipendio, piani aziendali, qualunque cosa.

Per le storie dell'orrore del mondo reale, cerca semplicemente "sicurezza del movimento laterale" Guscio duro e croccante, interno morbido e gommoso non è più un atteggiamento di sicurezza valido per nessuno azienda.

Sebbene il GDPR abbia pochi requisiti tecnici rigorosi, se gestisci le informazioni personali per i cittadini dell'UE, una soluzione comune per soddisfare la conformità al GDPR consiste nel mostrare che hai la crittografia sui dati in volo (sulla tua rete )

La realtà è, a parte la tua sicurezza fisica, non è troppo difficile ottenere l'accesso all'interno della rete, sia collegandoti fisicamente a una porta (stai monitorando il tuo personale di pulizia notturna ogni notte? - come sulla visita ai fornitori?) o, più probabilmente, attraverso una qualche forma di intrusione nella rete.

Altri hanno citato il documento BeyondCorp di Google, che merita una lettura. https://cloud.google.com/ beyondcorp /

In sostanza, la tua rete "interna" non dovrebbe essere considerata attendibile molto di più dello stagista esterno et.

La crittografia è una posizione difensiva a basso costo e ad alto rendimento. Perché non lo faresti?

Sicuramente questo;l'idea della "rete aziendale sicura" sta diventando obsoleta.Non c'è motivo di abbassare la guardia presumendo che una rete sia sicura;vigilanza extra minima == molta più sicurezza che le tue comunicazioni siano private.
#8
+7
Patrick Horn
2018-06-22 01:42:23 UTC
view on stackexchange narkive permalink

Sì. Dovresti sempre crittografare le connessioni su qualsiasi intranet, proprio come faresti su Internet pubblico.

L ' attacco DNS Rebinding pubblicizzato ieri consente a un utente malintenzionato di accedere completo a qualsiasi risorsa HTTP su una vittima intranet, mediante l'uso di un rebind DNS da un indirizzo IP controllato da un utente malintenzionato a un IP intranet corporeo (ad esempio 10.0.0.22). (La scansione di uno spazio IP intranet per i servizi HTTP può essere eseguita con altre tecniche, resa più semplice con conoscenza dell'indirizzo IP privato dell'utente.)

L'unica cosa necessaria affinché un tale attacco funzioni è indurre la vittima a caricare una pagina web controllata da un utente malintenzionato (o javascript o iframe ecc.).

Questo attacco è meglio mitigato con HTTPS, poiché il rebind DNS non corrisponderà al dominio del certificato presentato. Mentre la rimozione degli host virtuali predefiniti sembra anche mitigare questo particolare attacco, questo attacco mostra solo come l'esposizione di risorse interne su connessioni non crittografate possa trasformarsi in una responsabilità con una vulnerabilità di sicurezza da qualche altra parte. (Non sto nemmeno parlando della sfilza di vulnerabilità Wi-Fi 802.11 che abbiamo avuto alla fine dell'anno scorso. Per favore, non esporre le risorse intranet tramite Wi-Fi!)

#9
+7
Falco
2018-06-22 12:34:49 UTC
view on stackexchange narkive permalink

Difesa in profondità

Ci sono molte buone risposte qui, ma anche se ti fidi completamente di tutti i tuoi dipendenti (cosa che molto probabilmente non dovresti), apri la porta a un aggressore esterno e fai in modo che la sicurezza molto più difficile.

Normalmente un utente malintenzionato deve prima entrare in qualche modo nella tua rete (questo potrebbe essere fatto in una varietà di modi) e poi ha bisogno di ottenere un login da qualche parte per accedere effettivamente ai dati sensibili. Fornendo password di accesso non crittografate che volano ovunque, hai reso il secondo passaggio molto più semplice. Ora, ogni volta che un utente malintenzionato ottiene l'accesso alla tua rete, ha immediatamente accesso a credenziali di alto livello.

Il concetto di difesa in più livelli è chiamato difesa in profondità: se un attaccante può compromettere un livello, ha ancora per rompere ulteriori barriere e causare danni.

Quindi per favore CREDENZIA LE TUE CREDENZIALI!

All'università mi è stato insegnato questo.Il suo opposto, utilizzando solo il firewall e il presupposto che la rete interna fosse delimitata e "sicura", è stato soprannominato l'approccio "Chocolate Soft Center", un termine che penso sia accurato e che uso ancora oggi.
#10
+3
symcbean
2018-06-21 20:04:10 UTC
view on stackexchange narkive permalink

devo crittografare l'accesso alle risorse intranet su HTTP?

Sì, se le persone si autenticano in base al servizio.

Quali sono le reali possibilità che qualcuno rubi la sua identità?

Non lo so, non ho mai incontrato persone che lavorano nel tuo ufficio / si trovano nel raggio della sua rete Wifi / potrebbero essere in grado di intercettare la tua rete. Non so cosa consideri un "livello decente di sicurezza fisica". Non so quanto ti fidi delle "parti fidate". Certamente, il monitoraggio degli indirizzi MAC fa ben poco per proteggere dallo sniffing di rete.

Quanto sarebbe dannoso implementare TLS?

"Quanto sarebbe dannoso implementare TLS?"È necessario creare un'autorità di certificazione, distribuire il certificato CA radice interno a tutti i computer, utilizzare un sistema per aggiornare i certificati ogni volta che scadono e configurare ogni servizio e server sensibile per utilizzare i certificati.O forse potresti collegare tutte le macchine per ottenere e installare certificati da Let's Encrypt !.Alla fine, potrebbe costare un bel po '.
Sì, costa una somma ENORME competere con i fornitori commerciali esistenti.Costa pochissimo impostare il software (un paio d'ore di fatica).La distribuzione nella tua azienda non dovrebbe costare molto: se hai molte macchine, dovresti avere strumenti di distribuzione automatizzati.La revoca può essere un po 'complicata, ma è improbabile che sia richiesta su piccola scala.
@JohnDeters con un po 'di pianificazione, può essere impostato in modo abbastanza economico o addirittura gratuito, con minima invasività e implementato in modo incrementale.Ho creato internamente una CA autofirmata, il che significa che posso aggiungere i server secondo necessità, quindi distribuire una singola chiave pubblica di cui fidarsi (che può essere revocata facilmente) e tutti i miei sistemi funzionano su HTTPS.
@Gargravarr, puoi farlo quando la tua organizzazione è abbastanza piccola.Ma il poster utilizzava la frase "rete aziendale", che implica un numero maggiore di macchine.La capacità di gestirli tutti con successo diminuisce con l'aumentare del numero di macchine nella rete.Il costo complessivo include la gestione di problemi come la scadenza dei certificati e il numero di persone che subiranno un'interruzione quando lo faranno.O il rischio di ciò che accade all'azienda quando l'unico esperto di PKI se ne va e il capo cerca di assumersi i suoi compiti e fa un pasticcio.Questo non è né "economico" né "gratuito".
@JohnDeters Tranne che ci sono soluzioni pronte per questo.La maggior parte delle reti aziendali utilizza ad esempio AD che consente di inviare i certificati CA ai client.Mi aspetto che sia più difficile per le piccole organizzazioni in cui ci sono più cose ad hoc.
@MaciejPiechotka Ti stai perdendo (ignorando deliberatamente?) Le complessità della scala e della ridondanza globale, ecc. Nessuno sta dicendo che è impossibile o addirittura una cattiva idea, ma quello che non è è un progetto part-time per chiunque si occupi dell'infrastruttura.Una PKI corretta e ben distribuita su larga scala richiede un'architettura e un design adeguati e una distribuzione ben congegnata.I certificati scadono, le CA intermedie scadono, la CRL deve essere distribuita e così via.Il rilascio di certificati è una piccola parte della creazione di un'infrastruttura globale.Non esiste affatto una "soluzione pronta" per questo.
Se l'OP è responsabile della sicurezza di una società multinazionale che non utilizza la crittografia, allora dovrebbe davvero pianificare di configurare una capacità di CA adeguata, anche se si esce e si acquista una CA aziendale anziché utilizzare xipki, openca oanalogamente, i costi sono per il personale per gestirlo - ma non sappiamo nulla della portata dell'operazione - "rete aziendale" non ci dice se si tratta di 3 host o 3000. Le "due ore di lavoro" che ho citato sopraera il costo per me per configurare una CA che coprisse 80 siti e circa 300 dispositivi.
#11
+1
Dmitry Grigoryev
2018-06-30 12:42:48 UTC
view on stackexchange narkive permalink

La critica del tuo dipendente è azzeccata.

Pensaci in questo modo: se ti fidi della tua rete fino al punto in cui la crittografia delle credenziali sembra non necessaria, allora perché hai bisogno delle credenziali? Pensi di poter sostituire un modulo di accesso con un semplice campo in cui gli utenti possono digitare il loro nome?

Se la risposta è no, anche l'invio di credenziali non crittografate non è un'opzione, perché non lo fai Non ti fidi così tanto delle tue parti fidate, dopotutto, e una password inviata tramite HTTP non è un gran segreto.

#12
-1
Jan Hertsens
2018-07-01 23:51:12 UTC
view on stackexchange narkive permalink

Per citare una maglietta: "Fallo e basta!"

  • Stai spendendo ore in cambio di pile per una giustificazione di non spendere $ 7 per un certificato e 20 minuti per assicurarti il tuo server.

  • Una cosa a cui non hai pensato: come fa il dipendente a sapere che sta inserendo le sue credenziali nel sito web reale e non in un clone del sito che gira su un arduino nascosto dietro la fotocopiatrice che sta falsificando ARP?

  • La parola "conformità" significa qualcosa? PCI / HIPAA / GDPR arriverà a bussare ogni giorno. Se un utente "amministratore" accede al tuo sito web, DEVI crittografare tutte le connessioni o dovrai affrontare seri problemi.
Non sono sicuro che questo risponda alla domanda.Puoi chiarirlo per favore.
"Sì" è la risposta breve. È facile, economico, consigliato.


Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 4.0 con cui è distribuito.
Loading...