 |
|
|
ru.linux- RU.LINUX --------------------------------------------------------------------- From : Vladimir Goncharov 2:5020/400 11 Aug 2005 12:17:45 To : Victor Wagner Subject : Re: очередная особенность Дебиана -------------------------------------------------------------------------------- Victor Wagner <vitus@45.free.net> wrote: VW>Vladimir Goncharov <vgon@mobilae.ru> wrote: VG>>Hi Victor! VG>>Victor Wagner <vitus@45.free.net> wrote: VW>>>А мы тут давеча редактировали требования по защите от HСД для одного нашего VW>>>продукта. Вот после этого редактирования в списке софта, который нельзя VW>>>держать на машине, где работают с криптографией, появился qmail и ряд VW>>>поделок University of Washington. VG>>Интересно. Аргументы какие? VW>Аргументы именно такие - что реально работоспособная система на базе VW>qmail состоит из кучи хаков и обвязок. Которые не отличаются VW>секьюрностью а их взаимодействие - так вообще сам сисадмин, который это VW>ваял, не помнит. Я тогда вообще не понял ничего. У вас требования к клиентской системе строится на негативном принципе? Типа, если есть qmail, то нельзя, а если стоит ну, скажем, smail-3.2.0, то можно? VW>Поэтому qmail в топку. Кроме него в топку sendmail. По причине того, что VW>вероятность появления в конторе где будет применяться данный софт, VW>человека, который умеет грамотно настроить sendmail, близка к нулю. VW>Я лично перестал считать себя таким человеком где-то в районе 8.11 и VW>перебрался на Postfix. Видимо, здесь речь идет об чем-то очень специфическом. Ладно, примем за критерий требование "вменяемости админа" и остановимся на этом. VG>>на компьютере с развернутым CA не должно быть сети. VW>С CA все гораздо интереснее. Если мы ведем речь о S/MIME и TLS, т.е. VW>x509 PKI, то для того чтобы клиенты могли сформировать заявку - сеть на VW>фронтэнде CA должна быть. нет. читай ниже. VW>Что касается бэкэнда, то представь себе CA обслуживающий пару миллионов VW>пользователей с ежегодной плановой сменой ключей и соответствующим VW>количеством компрометаций и новых пользователей. Сколько там должно VW>быть операторов, чтобы они успевали всё это вовремя обработать? Hи капли не волнует. И тем более, должны приниматься спецмеры на CA, которые обслуживают миллионы коммерческих клиентов. Ибо ненулевая вероятность обнаружения exploit'a (см. Lynn-Cisco) заставляет исключить всякую возможность несанкционированного доступа. В качестве автоматизации могу предложить конвейер принтер-сканер. Двухканальный. Это все мое глубокое убеждение и никак, наверное, не корреллирует с текущей практикой. Я сам лично, когда управлял CA довольно крупного банка (почившего в 1998), держал HDD с CA в сейфе и вставлял его в компьютер только для выполнения необходимых операций. Обмен реквествами и сертификатами шел по floppy-net. WBR, Владимир Гончаров -- Отправлено через сервер Форумы@mail.ru - http://talk.mail.ru --- ifmail v.2.15dev5.3 * Origin: Talk.Mail.Ru (2:5020/400) Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
Архивное /ru.linux/64889bcda630.html, оценка из 5, голосов 10
|
|
|