Bezpieczeństwo

Mirek Maj zaprosił mnie dzisiaj do podcastu fundacji bezpieczna cyberprzestrzeń aby skomentować ostatni “komunikat pełnomocnika rządu ds. cyberbezpieczeństwa”. pozwolę sobie to oświadczenie przytoczyć w całości bo nie jest długie: W związku z rosnącym zagrożeniem atakami typu DDoS (niedostępność usługi) CSIRT GOV przekazał na przełomie lutego i marca bieżącego roku wytyczne dotyczące działań wyprzedzających mających na celu minimalizację skutków ewentualnego cyberataku. W związku z kolejnymi informacjami, które wpłynęły do instytucji odpowiedzialnych za cyberbezpieczeństwo, w dniu 23 marca do instytucji administracji państwowej i operatorów infrastruktury krytycznej została przekazana rekomendacja dotycząca wdrożenia ww. wytycznych, tj. zablokowania ruchu z wybranych krajów. Blokada powinna obowiązywać do 27 marca, przy czym, jeżeli zaistnieją ku temu przesłanki, może zostać wydłużona. ...

…ale narzędzi należy używać odpowiedzialnie. po pierwsze, niech wolno mi będzie złożyć pewne oświadczenie - dla tych, którzy mnie nie znają, żeby uniknąć nieporozumień, które może zrodzić pobieżna lektura tego postu: jestem wielkim fanem dyskusji o zaletach technologii. wierzę głęboko, że możliwość tworzenia sieci, rozwiązań które naprawdę pozwalają ludziom zbliżyć się do siebie i komunikować na odległość to coś co robię i mogę robić przez resztę życia z całym zaangażowaniem ...

w związku z epidemią COVID-19, zostaliśmy dosłownie zalani prośbami o pomoc we wdrożeniu połączeń RA VPN. u niektórych naszych Klientów, ilość zdalnych pracowników w ciągu tygodnia podskoczyła z 0 do 7000. inni świadczą już dzisiaj usługi dla ponad 30,000 użytkowników. a w Cisco pracujemy dzisiaj prawie wszyscy zdalnie - to ponad 100,000 użytkowników na całym świecie skupionych wokół paru wysoko dostępnych i wysokowydajnych koncentratorów VPN. dzięki bardzo szybkiej mobilizacji, napisaliśmy i opublikowaliśmy wraz z inżynierami i specjalistami z wielu różnych organizacji poniże poradniki, opisy wdrożeń - w oparciu zarówno o rozwiązania sprzętowe i wirtualne: ...

ARPA, założona w 1958, była pierwszą i w obecnych czasach jedyną agencją kosmiczną w Stanach Zjednoczonych. do dzisiaj rozbudza fantazje i jest jednoznacznie utożsamiana z powstaniem Internetu, ale czy wiedzieliście, że ARPA (jeszcze zanim stała się w 1972’gim roku DARPA), prowadziła prace nad wybuchami jądrowymi pod ziemią (sejsmologia pozwalała ustalić czy inne kraje gdzieś na Ziemi prowadziły swoje testy jądrowe), walką partyzancką (przedstawiciele ARPA jeździli i przebywali w Wietnamie, Tajlandii, Laosie i innych krajach regionu długo zanim Stany Zjednoczone pod sfingowanym pretekstem napadły na Wietnam Północny) czy budową karabinka, który w przyszłości miał być znany jako M16? ...

…gdy wszyscy się na Ciebie czają. parę tygodni temu odświeżyłem FreeBSD na którym stoi mój prywatny serwer pocztowy. od pewnego czasu ilość spamu po prostu rosła. stary spamassassin nieco nie dawał już sobie rady z poprawnym markowaniem. enter spamd z projektu OpenBSD. uaktualniony postfix ma wbudowany serwer realizujący greylisting działający dosyć dobrze. osobiście delikatnie go dopasowałem zwiększając znacznie czas, który musi upłynąć od ostatniej próby dostarczenia maila (1200 sekund, czyli 20 minut): ...

w trakcie dyskusji z jednym z naszych Klientów, miałem ostatnio okazję porozmawiać trochę o wykorzystaniu anycastu oraz skalowaniu treści przez CDN. ponieważ jednak coraz więcej reklam serwowanych nawet na popularnych stronach to tak naprawdę oprogramowanie złośliwe (ang. malware), w tym minery różnych kryptowalut, powstaje naturalne pytanie - jak mam się przed tym zabezpieczyć? skorzystanie z renomowanego CDNu to dobry pierwszy krok. innym ciekawym, o którym nie wiedziałem (choć gdyby się nad tematem zastanowić, wydaje się jednym z prostszych do wdrożenia) jest sprawdzanie skrótów kryptograficznych dołączanych zasobów. ten obrazek zamienił się w inny albo JavaScript został ‘zmodyfikowany’? sprawdź go. ...

idziemy w ciekawą stronę jako ludzkość. kolejny dowód na to, że żyjemy w ciekawych czasach. AI uczy się rozmawiać jak zmarły na podstawie archiwum z Telegram a CIA używa już tego typu mechanizmów do określenia parę dni przed wybuchem niepokojów społecznych, że takie faktycznie wybuchną. zakładam zatem, że nauczania maszynowego używa się już dzisiaj do innych zadań - nie wszystkich opisanych gdziekolwiek w internecie :) ...

trudno nie zgodzić się z artykułem Bruce’a. czy rozwiązaniem, które warto rozważyć, nie byłoby zastosowanie rozwiązań opartych o blockchain? spisanych dostępach do danych, spisanych transakcjach… coś się musi zmienić. nie radzimy sobie z danymi.

ta dyskusja toczy się od dłuższego czasu. kto zapłaci za dziury w sofcie? do tej pory z reguły mówiło się trudno i żyło się dalej, zwykle żądając dodatkowych pieniędzy, żeby problemy spowodowane przez wadliwe oprogramowanie dodatkowo załatać. powoli oprogramowanie zaczyna jeździć samochodami. samo. i trzeba zacząć rozwiązywać trudne problemy. na razie liczba opcji jest prosta do wyobrażenia. a co będzie za 10 lat? ...

…rządom. a w szczególności tym, którym udowodniono masowy i nieuprawniony dostęp do danych swoich i zagranicznych obywateli. warto przeczytać ten artykuł żeby zrozumieć, jak PR (tutaj rękami autorki przemówień Camerona) próbuje obrócić projektujących i używających zabezpieczenia w tych, którzy pomagają terrorystom. bo teraz już wystarczy rzucić na kogoś epitet - ’terrorysta’ i mamy pozamiatane. bombardowanie, podsłuchiwanie, śledzenie - wszystko jest nagle dozwolone i poprawne. na szczęście rządy nie mają pomysłu na matematykę. jedynie na słabe implementacje. warto o tym pamiętać. ...