MS (brist) säkerhet ???

[GunnarD]

MS tycker att visa delar av källkoden till Windows är så dålig att den hotar USA's säkerhet om den kommer ut! Eller börjar argumenten ta slut

[CITAT]
A senior Microsoft Corp. executive told a federal court last week that sharing information with competitors could damage national security and even threaten the U.S. war effort in Afghanistan. He later acknowledged that some Microsoft code was so flawed it could not be safely disclosed.
[/CITAT]

Hela artikeln: eWeek

[Toonster]

Eftersom op-systemet används mycket flitigt inom militären och statliga myndigheter (även här i sverige) så är det ju trots allt en säkerhetsrisk om källkoden fanns fri. Visst kan man dissikera programmen med en hexeditor, men det är ju även vissa andra saker som patentfrågor som spelar in.

/T

[sgtpepper]

Om man baserar sin säkerhet på att säkerhetslösningarna inte är öppna så är man rätt rökt samt gravt oseriös.

Alla säkerhetsalgoritmer och liknande måste vara öppna för omvärldens kontroll, det är det enda sättet man säkert kan avgöra om ett system verkligen är säkert och inte bara verkar säkert.

De enda som kan ha råd att "hemlighålla" sina säkerhetslösningar är NSA då de är den enda organisationen med tillräckligt stort antal egna "experter" vilket gör att deras egen kontroll är tillräckligt.

Läs gärna Applied Cryptography av Bruce Eckel, standardverket inom detta ämne, där förklarar han på ett bra sätt vikten av att kryptosystem och andra säkerhetslösningar är öppna. Självklart baseras även Windows säkerhet på öppna standarder, som RSA och Kerberos.

Det som skulle kunna vara en säkerhetsrisk är möjligen att det blir enklare att upptäcka säkerhetsluckor, men å andra sidan så skulle ju dessa snabbare kunna åtgärdas.

[Toonster]

Kan även rekommendera läsning om ITSEC, europeiska gemensamma kriterier för kvalitet och säkerhet. Även TCSEC (USA) och ITSEM. Ibland kallat för "Orange book"

När det rör svenska försvaret, så har vi FA SÄK, där jag själv har korpögonen på mig ständigt, och med den vackra termen "information som kan vara av intresse för rikets säkerhet". Som hämtat ur en Hamilton roman...

/T

[sgtpepper]

Tack för rekommendationerna, jag vet dock inte vad du vill ha sagt med dom? Anser du fortfarande att man bygger god säkerhet genom att basera densamma på att dess implementation är hemlighållen?

RSA t.ex är en ytterst väldokumenterad och välkänd algoritm, vem som helst kan sitta och detaljstudera denna. Det gör dock inte dess skydd svagare, tvärtom.

Står det i FA SÄK att man upprätthåller god säkerhet genom att hemlighålla dåliga implementationer med säkerhetshål och är det i så fall vanligt förekommande? Baseras det svenska försvarets kryptoskydd på icke välkända, ej publika algoritmer?

Är det ur säkerhetsetisk synpunkt förnuftigt att basera sin säkerhet på att källkoden till det kommersiella operativsystemet man använder i drift inte öppnas pga att säkerhetsluckor i så fall skulle kunna identifieras? Är det fönuftigt när man själv varken har insyn eller kontroll över densamma?

Detta är inget pro-tal för OpenSource eller att fösvaret endast skall köra Linux, verkligen inte, men det ter sig för mig rätt hårresande att du påstår att Microsoft, som är ett privatägd icke-svenskt företag, på något sätt säkrar vårt försvars datadrift genom att inte publicera källkoden.

Om det är så man har baserat dagens säkerhet så blir jag rädd, men självfallet är så inte fallet...

Återigen, läs Bruce Eckels bok. Det är ett standardverk och skall man prata om datasäkerhet så borde man ha läst den.

[UlfT]

Ingen anledning till oro över säkerheten. Jag vet inte vad Microsoft tror om säkerheten, men det handlar definitivt inte om att bara installera Windows och tro att allt är säkert Man vidtar naturligtvis alla tänkbara åtgärder för säkerhetens skull. När det gäller sekretessbelagd information har man den på nätverk utan koppling till Internet. Då spelar valet av OS inte någon särskilt stor roll. De datorer som går att nå via internet, får inte innehålla säkerhetsklassad information. Givetvis har vi vidtagit massor av andra säkerhetsåtgärder. Men de tänker jag inte räkna upp. Man bör hålla isär vad som ska vara hemligt i åtgärderna. Det finns ingen anledning att använda en hemlig kryptoalgoritm. Styrkan i en bra kryptoalgoritm ska inte sitta i att algoritmen är hemlig, utan i att kryptot tar extremt lång tid att knäcka, trots att algoritmen är välkänd. Då är det snarast en fördel att algoritmen är känd, så att vem som helst kan granska den och hitta svagheterna, och redovisa dessa öppet. Då kan vi ju välja en annan algoritm. Däremot kan man välja att hemlighålla vilken av alla öppna system och kryptoalgoritmer som just vi har valt. Men det är en helt annan sak.

[Toonster]

Datasäkerhet är mycket mer än bara kryptering. Allt ifrån dagliga backuper till illojala anställda.
ITSEC spänner över ett ganska stort område bla. användarverifiering och rättigheter osv.
Krypteringsalgoritmer i sig är ju beroende av nycklar, och det spelar ju ingen roll om man ser koden.

Genom att använda programvara från ett företag, så kan man ställa höga krav på funktion och säkerhet. Naturligtvis efter kravspecifikation, test och uppköpsavtal. Detta är oftast billigare än att utgå från ett Open Source projekt, anställa programmerare, och snickra ihop något själv. Sen finns den som sagt färdig.

Egentligen spelar val av op-system eller Open source programvara ingen roll, för ett säkert system skall inte vara beroende av detta.

Dessutom så vet jag inte hur det går med säkerhetsklassningsnivån på *Nix systemen?

FASÄK är ingen teknikbunden lag, utan handlar mer om "hemligheter" i sig. Dvs hur information skall behandlas i sig.

/T

[sgtpepper]

Men jag pratar inte om OpenSource kontra Windows. Jag pratar om ditt uttalande: "Eftersom op-systemet används mycket flitigt inom militären och statliga myndigheter (även här i sverige) så är det ju trots allt en säkerhetsrisk om källkoden fanns fri".

Det låter som att du vill basera någon slags säkerhet på att använda ett slutet system från ett kommersiellt, icke-svenskt företag där kontrollen över koden endast ligger hos företaget.

Jag förstår inte hur detta kan sägas vara ett argument för hög säkerhet. Om det nu finns allvarliga säkerhetsluckor i implementationen så vore det förmodligen betydligt säkrare om koden fanns tillgänglig så att både försvaret och andra intressenter fick granska detta och ta beslut om åtgärd.

[citat]Datasäkerhet är mycket mer än bara kryptering.[/citat]
Visst är det så, men jag tog upp det som ett exempel. Inom kryptografin anses INGET vara säkert om inte implementationen är känd och har utsatts för en ordentlig granskning. Att basera säkerheten på att implementationen är hemlig är det sämsta tänkbara.

[Toonster]

Det handlar nog inte om vem som har kontrollen, utan att det är ett certifierat system först och främst. Komersiell programvara är oftast utvecklad under olika kvalitet och säkerhetsnormer (ITSEC och ISO bla.) och detta är en slags kvalitetsstämpel. Skulle säkert gå att använda programvara med fri och öppen kod, bara den är certifierad och granskad. Mig veterligen existerar inte det.
Kanske mest för att den fria koden inte har ett företag bakom sig som kan betala för certifieringsprocesssen.

Värt att tillägga är att alla kvalitetssäkrade företag, måste använda sig av kvalitetssäkrade produkter och tjänster, i den utsträckning de existerar.

/T

[GunnarD]

Det räcker inte att programvaran/utrustningen är certifierad.

Man måste ha någon som har kontrollen över programvaran/utrustningen och som vet hur dessa fungerar på sina fem fingrar.

Det hälper inte om man har en cerifierad produkt om den är felkonfigurerad eller används på fel sätt.

Min åsikt är att kunskap om programmvaran/utrustningen är betydligt viktigare än om den har en certifiering, en certifiering säger egentligen ingenting om man inte vet hur det gått till och vad resultatet för just denna programmvaran/utrustningen var.

Iofs ett snyggt certifieringsdiplom kan vara snyggt att visa upp när man äskar pengar

[jt]

Har för mig att NSA håller på med något dom kallar LinuxSE(Secure Linux), och att källkoden är öppen.

[Toonster]

[citat]
Det räcker inte att programvaran/utrustningen är certifierad
[/citat]

Nej, men det är ofta ett krav för att överhuvudtaget köpa produkten.
I en kvalitetssäkrad organisation så är "tjänsterna" och personalen kvalitetssäkrade, och de arbetar efter uppställda kvalitetsdokument.

Det betyder att ett kvalitetssäkrat företag använder kvalitetssäkrade produkter/tjänster. Det är ett krav. Är inte produkten säkrad, så köps den inte.

Det finns alltså inga självlärda IT-gurus som endast gått en 6 månaders it utbildning betalad av arbetsförmedlingen, i en kvalitetssäkrad organisation, utan kompetent personal.

Fasst det förekommer säkert också, men du har rätt GunnarD, inget system är säkrare än vad administratören gör det till.

/T

[Reefer]

Ursprungligen av jt Har för mig att NSA håller på med något dom kallar LinuxSE(Secure Linux), och att källkoden är öppen.

http://www.nsa.gov/selinux/index.html

Det är egentligen kernel patchar till en befintlig Linux installation;

[citat]Can I install Security-enhanced Linux on an existing Linux system?
Yes. You actually need to have an existing Linux system[/citat]

http://www.nsa.gov/selinux/faq.html#I5

[Toonster]

Visst verkar det som ett säkrare Linux men:

[CITAT]Security-enhanced Linux has not been evaluated and there are no current plans to have it evaluated. [/CITAT]

Det kommer antagerligen inte att bli någon säkerhetstest/certifiering.

/T

[UlfT]

[citat]Det kommer antagerligen inte att bli någon säkerhetstest/certifiering.[/citat]Då är frågan vad du litar på mest. En certifiering eller NSA:s kompetens på säkerhetsområdet.