Názory k článku
Malware podepsaný certifikátem společnosti Opera

Su dobra vec ale pri ich zneuziti narobia vela skody. Pouzivanie certifikatov ma vela medzier alebo lepsie malo ale poriadnych. Akos apise v clanku, pri zneuziti certifikatu je uspech zaruceny. Neexistuje ako rychlo a jednoducho zneplatnit certifikat(aspon ja o nom neviem).

Takze aj tu bude musiet prist urcita forma dvojfaktoroveho overovania. Zarucena identita na internete je zatial nedosiahnutelny ciel.

Certificate Revocation List (CRL)?

zneplatnit cez CRL alebo OCSP, LDAP - to su dokonca online sluzby, cize na zneplatnenie nemusite ani synchronizovat CRL file.

Nechapem, preco firma typu Opera nepouziva dajaku formu HSM. Minimalne by sa vyhli tomu, ze im niekto ukradne privatny kluc.

Presne tak. Dodnes som nepochopil preco to firmy takto nerobia. Kolko toho SW vydavaju, nova verzia raz za tyzden?
No a dalsi problem je - nemaju na jeden hlupy HW podpisovac z ktoreho sa privatny kluc proste ukradnut NEDA?

Požadavek obvykle je, aby ten počítač šel spravovat na dálku a aby s tím mohlo pracovat více uživatelů na dálku. Výsledkem je pak řešení, kdy tento "citlivý" počítač je za firewallem a je na něm aplikována přísná kontrola přístupových práv. Z venku je nedostupný.

Skutečností však je, že se obvykle dá vlomit do nějakého jiného počítače v síti a z něj pak zaútočit "z vnitřku sítě". Z těch málo popsaných útoků jich navíc většina není klasický útok "dostanu se tam a vezmu si to", ale spíše "postavím někoho vedle a až to půjde kolem, tak to šlohne". Takže klasické "ve chvíli, kdy to nepotřebuji, to není v zásuvce" nezabere.

No a perličky pak bývají klíče ukradené ze síťově uložené zálohy disku nebo emailu pracovníka IT.

HW podpisovač tohle opravdu řeší, navíc je to řešení levné a efektivní. Teoreticky jich můžete mít více a trvale připojené k několika počítačům. Případný útok pak sice může nechat podepsat i něco, co se podepsat nemá, ale klíče neukradne. Pokud je tedy neukradne fyzicky. Bohužel někteří lidé za HW podpisovač považují "dobře zabezpečené" PC. Ano, pokud by bylo připojeno jen k jednomu jinému počítači pomocí COM/LPT portu se značně omezeným protokolem, pak ano. Ale to jsme zpět u lidí z IT, kteří nevidí důvod se někam třepat s CD v ruce, když žijeme v době sítí a SSH.

Já s vámi souhlasím, požadavek na zabezpečení by měl mít přednost. Ale v praxi nemívá. Důvody bývají různé a já žádný z nich nepovažuji za dostatečně dobrou výmluvu.

Jeden stroj bez pripojenia kamkolvek s HW USB klucom pohodeny v kancelarii. Opravneny clovek pride, vrazi tam iny USB kluc a podpise sw na USB kluci.
Ziadna vzdialena sprava? Co by tam akoze mali spravovat? Ked treba obnova s image mozno najlepsie bezat system z CDromky bez disku. Takto si predstavujem minimalnu konfiguraciu systemu pre podpisovanie SW vo firme s viac ako 500 zamestnancami.

Jo jo, offline PC určené na jedinou věc. To je dobré řešení. Do doby, než přijde někdo z IT, kdo vám vysvětlí, jak ukrutně nesystémové řešení to je, a že je to vlastně zbytečné, protože ON to dokáže udělat bezpečně i u zasíťovaného PC. Případně přidá pár poznámek o tom, jak je vlastně nutné, aby to bylo online a tak mohl neustále monitorovat, kdo tam co dělá. A když nepřesvědčí vás, tak půjde za manažery.

Čest výjimkám.