ИБ живи

Небольшой субботний пост. Пока некуда спешить.

Складывается впечатление, что ИБ постепенно перестает быть модной если оно и было когда. Несмотря на рост возможного ущерба от инцидентов ИБ во всех отраслях, несмотря на то что проИБ уже практически ежедневно говорят между новостями спорта и погодой - нет адекватного роста интереса к теме, как мне кажется. И тому есть несколько причин.

Во-первых, как мне кажется безопасность в любой сфере - не то чтобы очень зажигательная пожарная безопасность не в счет вещь. Область ИБ во многом "выстрелила" во всём мире за счет конференций по offensive-security т.к. их не успели вовремя запретить. Вы же знаете эти яркие, привлекающие тысячи зевак выставки по экологической безопасности, роад-шоу по хим.безопасности или собрания по безопасности технологий пищевых производств с феерверками и парадами? Вот и по остальным направлениям ИБ также болотисто и тихо. И веселей становится когда приходят offensive-спецы.

Коллективный отраслевой заказ в ТЭК: нужны правила игры

Почему человек должен поумнеть, а люди - не смогут.

Вчера случился день двух конференций. Утром заехал на хардкорно-хардкорную #Zeronights лицом пощелкать всего на час, сегодня обязательно приеду повторно - тусовка сама себя не затусует. Программу, кстати, внимательно изучил, биографии докладчиков и т.д., товарищу полковнику всё сообщил. Но об этом пожалуй что напишу позжее.

Главным событием вчера стала небольшая но представительная встреча в клубе #4CIO, в рамках которой в очередной раз огребли от удовлетворенных потребителей продуктов и услуг говорили по ИБ - "Осенний Совет по ИТ в ТЭК". Идея простая как всё гениальное  на первый взгляд: если заказ будет групповым, то поставляемое решение будет стандартным в рамках индустрии со всеми вытекающими бенефитами: ценой, качеством сервиса (т.к. будут слишком высоки ставки чтобы вендору плохо работать), обучением. Но есть небольшой нюанс.
Надо заказать правильно, нужно чтобы кто-то заявился в исполнители и не оказался как обычно жуликом. По сути эти условия задают окно возможностей, и, как обсудили вчера по ряду ИБ-систем и сервисов - окно это не сходится.

SOCForum 2.0. Технологии SOC and more.

Событие которого ждали и готовились и искрометно шутили шутками - SOCFоrum 2.0  прошло быстро и безболезненно.  Но тут кому как конечно - организаторы - Авангард и Солар (как максимально вкладывающиеся в мероприятие) выглядели потраченными, проинвестировавшими в это короткое яркое мероприятие все накопившиеся силы.

После запуска этого мероприятия в прошлом году(было хорошо!), несмотря на ворчание нескольких блоггеров-поИБэ , я рассчитывал что второй заход получится ещё лучше - насыщенней, энергичнее, ярче. В целом всё так и получилось. Начиная от подготовки - отличная работа команды BizTV и проморолики, думаю заинтересованность и охват широких слоёв специалистов во многом получился благодаря  и площадки - билеты  кончились даже для всеми любимых заказчиков и регуляторов    было тяжело изыскивать уже за неделю до. Отличная площадка, аудитория - активная как в кулуарах так и в слушании докладов.

Бесконечные технологические безинновационные порывы.

Сегодня случилось очередное «открытие глаз» и «срыв очек». На международной конференции в Гааге на экономическом форуме профессор Лорен Грэхем подрывал наши устои на секции «Технологии – пропуск в завтра. Изменись или умри». Если коротко – Россия непрерывно умирает всю нашу современную и не только историю. Цари были ориентированы на чистую технологию (и все умерли), не занимались выстраиванием жизнеспособной экосистемы, способной поддерживать это самое технологическое развитие – то бишь инновациями. И вот опять. Сколково есть, а счастья нет.

Возвращаясь из высоких материй – в технологии информационные, а особливо в инфобезе - ИБ, всё как обычно ещё хуже. ИБ (и эти их непременные угрозы) подрывает веру в светлое и доброе будущее, которое неизбежно оттуда грядёт вместе с правильной технологией. Это огорчает и тормозит внедрение таких заранее любимых технологий ради самого процесса.

Яркий панчлайн разгромного выступления профессора MIT, заставившего временами смущенно улыбаться российских слушателей: «Вы хотите молоко без коровы?» как-бы намекает: нам действительно не собираются предоставлять корову или чертежи от нее, в лучшем случае – молоко, а ещё лучше – продукты его переработки. И здесь ИБ – не очевидная, но возможность сделать «у себя», «для себя» и лучше. Проблема в том, что это не гарантия, а возможность.

Может быть страна, удачно импортоинтегрировавшая придумавшая и под угрозой очередной войны эффективно реализовавшая самые безотказные (безопасные) и ремонтопригодные (обновляемость и патчинг) автоматы и о ирония автомобили внезапно вопреки всем законам рынка и говнокодинга быстрой гибкой разработки породить столь же стабильное и живучее.

Система без планов на будущее

Сильно смущает, когда обсуждается титаническое усилие по созданию чегоугодно. В планах сбор и анализ требований, первое чтение, общее обсуждение, релиз. При этом считается стыдным говорить о том, что революционный прорыв повлечет создание монстра, поддержка которого съест гораздо больше человеко-лет, чем будет сожжено во время блицкрига.

Уже давно стало совершенно очевидно, что генерировать тонны человекочитаемых килобукв – вполне успешно решаемая задача (в отличие скажем от привнесения логики, или осознания прочитанного). Тем более странно видеть чисто-текстовые каталоги ссылок, обновляемые ежегодно несчастными редакторами, политики без разметки и возможностей по навигации при правке и чтении, инструкции без идентификаторов и возможностей по автоматическому скрытию технических деталей для анализа общей картины.

Раз за разом Юный Разработчик ввязывается в битву, победы в которой ему не суждено. Раз за разом решение Молодой Менеджер отложит решение проблемы со структурой на потом, когда наберется материал. Потом никогда не наступает.

Можно много и нудно обсуждать о необходимости и достаточности тех или иных инструментов разработки в условиях низкой гравитации или гибкой разработки – как обычно разруха не в инструментах.

Всё сказанное самым непосредственным образом сказывается на свойствах безопасности создаваемых систем (как следствие проблем в их проектировании) или задаваемых правил: здесь и детские ошибки из-за неструктурированного текста, и несогласованность между элементами, и расхождение между версиями.

Затевая что-то грандиозное всё же следует подумать о том, как оно будет поддерживаться в живом и безопасном состоянии. И сколько боли это принесёт.

TCP Handshake down. Или не скупитесь на RST...

Карл! Они взломали TCP, сволочи! http://lgms.nl/blog-2
Если коротко: теперь можно подделать IP адрес - не только отправить запрос (это можно было и раньше, для UDP даже иногда имело смысл). Теперь есть подозрение, что и TCP опасносте.

Реализация предполагает возможность успеть послать за время ожидания ответа (примерно 20 минут) 150Gb запросов и угадать число (SeqNum), которое использовалось для подтверждения и, как до сих пор предполагалось, надежно отсекает злодеев от настоящих Алис и Бобов.

Вот такой сюрприз от алгоритма из 1981 года. Тогда таких скоростей и представить себе было нельзя.

Атакующий в глобальной сети, впрочем, получит только возможность послать команды установив соединение. Ответы будут уходить настоящему адресату.

PS 
Хотя вот коллега по сетевым технологиям и ИБ Петр Шугалев, как бы намекает на массу нюансов:
Peter Shugalev:" Из статьи The attack is difficult to mitigate due to the nature of the TCP protocol
Это еще почему? TCP не посылает RST в ответ на неправильный ACK в состоянии SYN_RECEIVED только чтобы полудохлые не до конца закрытые соединения не мешали новым. Но в таких нормальных нехакерских ситуациях миллионов пакетов ACK не будет. Можно немного модифицировать реализацию TCP, чтобы, скажем, после 1000 неправильных seq number'ов соедиение сбрасывалось, и все...

 Атака кстати не оригинальная, митниковская, просто с поправкой на современную ширину канала"

Зашифруй братуху, зашифруй.

 TrueCrypt Audit. 347 серия.

Эпопея с аудитом TrueCrypt продолжается. Теперь заключение сделали german-state-sponsored-hackers немецкие исследователи. Утверждается, что серьезных проблем, а тем более умышленных закладок - нет. В целом - рекомендации лучших сабаководов. Если вы конечно хотите довериться именно немецким специалистам - благая весть.

Содержание предыдущих серий - например здесь.