[Comm] ALD 4.0 + eToken

[Comm] ALD 4.0 + eToken

[@ 2007-09-24 10:52 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-24 11:54 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-24 16:40 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-24 17:42 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-24 18:33 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-25 12:34 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-25 17:58 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-26 6:08 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[@ 2007-09-25 8:19 UTC (permalink / raw)]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Alex Gorbachenko пишет:
> On Mon, 24 Sep 2007 19:40:53 +0300
> Gennadiy wrote:
> 
>> Другими словами - как правильно бороться с тиражированием паролей 
>> для Альт?
> 
> ключи/сертификаты ?
> 
Они копируются.

Re: [Comm] ALD 4.0 + eToken

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 198 bytes --]

On Tue, 25 Sep 2007 11:45:57 +0300
Gennadiy wrote:

>Они копируются.

а аппаратные ключи - отдаются :)

да и скопировать его наверняка трудно, но можно.

-- 
np: Insomnium - Mortal share

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Alex Gorbachenko пишет:
> On Tue, 25 Sep 2007 11:45:57 +0300
> Gennadiy wrote:
> 
>> Они копируются.
> 
> а аппаратные ключи - отдаются :)
Это другое...
И пин надо сказать...
> 
> да и скопировать его наверняка трудно, но можно.
Не говори "гоп", пока не перепрыгнешь.
(С) Вольный перевод украинской пословицы.
> 

Re: [Comm] ALD 4.0 + eToken

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 428 bytes --]

On Tue, 25 Sep 2007 13:04:00 +0300
Gennadiy wrote:

>> а аппаратные ключи - отдаются :)  
>Это другое...
>И пин надо сказать...

я, скорее всего, недопонимаю ситуацию.

что мешает пользователю "Вася" сообщить пользователю "Петя" свой
пароль ? правильный ответ - ничто не мешает.

что мешает пользователю "Вася" сообщить пользователю "Петя" свой pin, и
отдать аппаратный ключ ?

-- 
np: Insomnium - Mortal share

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Maxim Tyurin]

[-- Attachment #1: Type: text/plain, Size: 1048 bytes --]

Alex Gorbachenko пишет:
> On Tue, 25 Sep 2007 13:04:00 +0300
> Gennadiy wrote:
> 
>>> а аппаратные ключи - отдаются :)  
>> Это другое...
>> И пин надо сказать...
> 
> я, скорее всего, недопонимаю ситуацию.
> 
> что мешает пользователю "Вася" сообщить пользователю "Петя" свой
> пароль ? правильный ответ - ничто не мешает.
> 
> что мешает пользователю "Вася" сообщить пользователю "Петя" свой pin, и
> отдать аппаратный ключ ?

Мешает тем что пользователь "Вася" сам не сможет зайти в систему.

Кроме того большинство таких нарушений безопасности происходит примерно
таким образом:
Вася едет в командировку и потом звонит Пете и рассказывает что у него
на рабочем столе есть очень важный файл который он забыл взять.
Та тебе мои логин/пароль и пришли мне файл.

Это примерно 90% случаев.

Токен от такого защищает.

Кроме того он решает еще одну серьезную проблему:
записывание паролей на бумажке, приклеенной на монитор/под клавиатуру.

-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 372 bytes --]

On Tue, 25 Sep 2007 15:28:48 +0300
Maxim wrote:

>Вася едет в командировку и потом звонит Пете и рассказывает что у него
>на рабочем столе есть очень важный файл который он забыл взять.

те "Васи", которые работают со мной, легко уехав оставят ключ "Пете". а
pin запишут на бумажке, которую прилепят к монитору.

-- 
np: All That Remains - And Death in My Arms

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Alex Gorbachenko пишет:
> On Tue, 25 Sep 2007 15:28:48 +0300
> Maxim wrote:
> 
>> Вася едет в командировку и потом звонит Пете и рассказывает что у него
>> на рабочем столе есть очень важный файл который он забыл взять.
> 
> те "Васи", которые работают со мной, легко уехав оставят ключ "Пете". а
> pin запишут на бумажке, которую прилепят к монитору.
> 
При этом они
1. Не смогут работать удаленно сами.
2. Не смогут потом объяснить компрометацию своей учетной записи 
какими-либо независящими от их воли факторами.

Re: [Comm] ALD 4.0 + eToken

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 574 bytes --]

On Tue, 25 Sep 2007 15:57:59 +0300
Gennadiy wrote:

>1. Не смогут работать удаленно сами.

им и не нужно.

>2. Не смогут потом объяснить компрометацию своей учетной записи 
>какими-либо независящими от их воли факторами.

аналогично предыдущему.

резюме: eToken хорош там, где реально работает некая политика
безопасности, утверждённая руководством. к сожалению, во многих случаях
"большой" менеджер, сказавший "мне так неудобно", сводит на нет все
усилия по обеспечению безопасности работы с информацией.

-- 
np: All That Remains - And Death in My Arms

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Alex Gorbachenko пишет:
> On Tue, 25 Sep 2007 15:57:59 +0300
> Gennadiy wrote:
> 
>> 1. Не смогут работать удаленно сами.
> 
> им и не нужно.
> 
В таком случае давайте тему закроем.

Re: [Comm] ALD 4.0 + eToken

[Maxim Tyurin]

[-- Attachment #1: Type: text/plain, Size: 1458 bytes --]

Alex Gorbachenko пишет:
> On Tue, 25 Sep 2007 15:57:59 +0300
> Gennadiy wrote:
> 
>> 1. Не смогут работать удаленно сами.
> 
> им и не нужно.
> 
>> 2. Не смогут потом объяснить компрометацию своей учетной записи 
>> какими-либо независящими от их воли факторами.
> 
> аналогично предыдущему.
> 
> резюме: eToken хорош там, где реально работает некая политика
> безопасности, утверждённая руководством. к сожалению, во многих случаях
> "большой" менеджер, сказавший "мне так неудобно", сводит на нет все
> усилия по обеспечению безопасности работы с информацией.

Такие резюме это бред.
Полная аналогия:
Сейфы нужны только там, где реально работает некая политика
безопасности, утвержденная руководством.
Мне же никто не мешает дать Васе свой ключ от сейфа и сказать ему код.

Конечно есть организации где все работают под одной администраторской
учетной записью и любые токены и смарт-карты в таком случае помогут как
мертвому припарки.


Но вот проблему с паролями токен решает четко.
Поясняю: пароли у пользователей должны быть сложными;
пароли у пользователей должны регулярно меняться.

И вот после этого начинаются проблемы.
От достаточно безобидной "забыл пароль", до записи паролей на
клавиатурах и мониторах.
Требования к пинкоду токена не такие высокие как к паролю.
Поэтому его себе может установить и запомнить любой пользователь.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Maxim Tyurin пишет:
> Alex Gorbachenko пишет:
>> On Tue, 25 Sep 2007 15:57:59 +0300
>> Gennadiy wrote:
>>
>>> 1. Не смогут работать удаленно сами.
>> им и не нужно.
>>
>>> 2. Не смогут потом объяснить компрометацию своей учетной записи 
>>> какими-либо независящими от их воли факторами.
>> аналогично предыдущему.
>>
>> резюме: eToken хорош там, где реально работает некая политика
>> безопасности, утверждённая руководством. к сожалению, во многих случаях
>> "большой" менеджер, сказавший "мне так неудобно", сводит на нет все
>> усилия по обеспечению безопасности работы с информацией.
> 
> Такие резюме это бред.
> Полная аналогия:
> Сейфы нужны только там, где реально работает некая политика
> безопасности, утвержденная руководством.
> Мне же никто не мешает дать Васе свой ключ от сейфа и сказать ему код.
> 
> Конечно есть организации где все работают под одной администраторской
> учетной записью и любые токены и смарт-карты в таком случае помогут как
> мертвому припарки.
> 
> 
> Но вот проблему с паролями токен решает четко.
> Поясняю: пароли у пользователей должны быть сложными;
> пароли у пользователей должны регулярно меняться.
> 
> И вот после этого начинаются проблемы.
> От достаточно безобидной "забыл пароль", до записи паролей на
> клавиатурах и мониторах.
> Требования к пинкоду токена не такие высокие как к паролю.
> Поэтому его себе может установить и запомнить любой пользователь.
А у Вас авторизация на чем выполнена?
Альт/неальт, локальный/внешний CA
Если не секрет :)

Re: [Comm] ALD 4.0 + eToken

[Maxim Tyurin]

[-- Attachment #1: Type: text/plain, Size: 449 bytes --]

Gennadiy Redko пишет:
> Maxim Tyurin пишет:
> А у Вас авторизация на чем выполнена?
> Альт/неальт, локальный/внешний CA
> Если не секрет :)

Не секрет, но у меня пока пилотник.
Альт/неальт, локальный CA.

Над авторизацией я еще думаю и окончательно не решил что это будет.
Походу какая именно авторизация не так уж и важно. Главное чтоб через
pam работала.

-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Maxim Tyurin пишет:
> Gennadiy Redko пишет:
>> Maxim Tyurin пишет:
>> А у Вас авторизация на чем выполнена?
>> Альт/неальт, локальный/внешний CA
>> Если не секрет :)
> 
> Не секрет, но у меня пока пилотник.
> Альт/неальт, локальный CA.
> 
> Над авторизацией я еще думаю и окончательно не решил что это будет.
> Походу какая именно авторизация не так уж и важно. Главное чтоб через
> pam работала.
> 
Понятно.
Нам что-то сейчас соорудить нужно.
А безопасники предлагают какие-то шалаши под винду, не выдерживающие 
здоровой критики ;)

Re: [Comm] ALD 4.0 + eToken

[Gennadiy Redko]

Maxim Tyurin пишет:
> Gennadiy Redko пишет:
>> Maxim Tyurin пишет:
>> А у Вас авторизация на чем выполнена?
>> Альт/неальт, локальный/внешний CA
>> Если не секрет :)
> 
> Не секрет, но у меня пока пилотник.
> Альт/неальт, локальный CA.
> 
> Над авторизацией я еще думаю и окончательно не решил что это будет.
> Походу какая именно авторизация не так уж и важно. Главное чтоб через
> pam работала.
> 
А ключи - именно eToken?
Или нечто не такое "сертифицированное"?

Re: [Comm] ALD 4.0 + eToken

[Maxim Tyurin]

[-- Attachment #1: Type: text/plain, Size: 698 bytes --]

Gennadiy Redko пишет:
> Maxim Tyurin пишет:
>> Gennadiy Redko пишет:
>>> Maxim Tyurin пишет:
>>> А у Вас авторизация на чем выполнена?
>>> Альт/неальт, локальный/внешний CA
>>> Если не секрет :)
>> Не секрет, но у меня пока пилотник.
>> Альт/неальт, локальный CA.
>>
>> Над авторизацией я еще думаю и окончательно не решил что это будет.
>> Походу какая именно авторизация не так уж и важно. Главное чтоб через
>> pam работала.
>>
> А ключи - именно eToken?
> Или нечто не такое "сертифицированное"?

Именно eToken Pro 32
Оно работает в linux.
Причем двумя путями.
Причем одним из них из коробки.

-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] ALD 4.0 + eToken

[Ivanov Maxim]

В сообщении от Tuesday 25 September 2007 19:52:49 Maxim Tyurin написал(а):
> Gennadiy Redko пишет:
> > Maxim Tyurin пишет:
> > А у Вас авторизация на чем выполнена?
> > Альт/неальт, локальный/внешний CA
> > Если не секрет :)
>
> Не секрет, но у меня пока пилотник.
> Альт/неальт, локальный CA.

Вот по поводу СА под Linux сам интересуюсь. Есть ли более менее вменяемые 
варианты? Вроде как всё для криптографии есть, должен же быть СА? Мельком 
смотрел tinyCA но он только локальный похоже.

Re: [Comm] ALD 4.0 + eToken

[Maxim Tyurin]

Ivanov Maxim writes:

> В сообщении от Tuesday 25 September 2007 19:52:49 Maxim Tyurin написал(а):
>> Gennadiy Redko пишет:
>> > Maxim Tyurin пишет:
>> > А у Вас авторизация на чем выполнена?
>> > Альт/неальт, локальный/внешний CA
>> > Если не секрет :)
>>
>> Не секрет, но у меня пока пилотник.
>> Альт/неальт, локальный CA.
>
> Вот по поводу СА под Linux сам интересуюсь. Есть ли более менее вменяемые 
> варианты? Вроде как всё для криптографии есть, должен же быть СА? Мельком 
> смотрел tinyCA но он только локальный похоже.

Раньше делал все скриптами.
Теперь как раз на TinyCA и перешел :)
А какой функциональности тебе не хватает?
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Comm] ALD 4.0 + eToken

[Ivanov Maxim]

В сообщении от Tuesday 25 September 2007 15:48:27 Alex Gorbachenko написал(а):
> On Tue, 25 Sep 2007 13:04:00 +0300
>
> Gennadiy wrote:
> >> а аппаратные ключи - отдаются :)
> >
> >Это другое...
> >И пин надо сказать...
>
> я, скорее всего, недопонимаю ситуацию.
>
> что мешает пользователю "Вася" сообщить пользователю "Петя" свой
> пароль ? правильный ответ - ничто не мешает.
>
> что мешает пользователю "Вася" сообщить пользователю "Петя" свой pin, и
> отдать аппаратный ключ ?

Тем что если та же смарт карта используется например для входа в здание и в 
рабочий кабинет, то вася отдав смарткарту просто не попадёт на работу =)