You are currently browsing the category archive for the ‘Misceláneos’ category.

NSI a facut public un document care trateaza „sterilizarea-sanitized”  :-)) informatiilor suplimentare continute in metadatele de documentele Word in momentul in care sunt convertite in formatul PDF. Microsoft s-a ocupat de aceasta tema si a pus si el la dispozitie informatii despre stergerea metadatelor. Ceea ce face documentul de la NSI interesant,  este faptul ca trateaza conversia la PDF si ca este scris in asa fel incat poate fi folosit pentru educarea utilizatorilor.. Pana la urma constientizarea de catre utilizatori a pericolului este primul pas. Documentul poate fi citit aici.

Can you read Metadatas. :-))

Youtube s-a hotarit sa converteasca videoclipurile sale le format Hight Definition Format. Pentru a putea privi un videoclip in acest format la sfirsitul linkului adaugati &fmt=6.

Diferenta este remarcabila.

Fara:

si cu &fmt=6.

Nu toate videoclipurile au fost convertite deci nu va merge pentru toate link-urile.

P.S. M-am bucurat sa-l vad pe Motul Florian Pitis vorbind despre istoria rock-ului asha cum o facea numai el la Palatul Copiilor in Bucuresti imediat dupa revolutie. Va mai aduceti aminte???

Articole despre Nigerian Scam s-au scris foarte multe. Acum insa vreau sa scriu despre o versiune aparte pe care am botezato „Cargo Scam”. Si ca in orice poveste am sa incep cu a fost odata …un imparat si imparateasa lui care incercau sa cumpere o masina. Pe site-ul german de intermedieri de cumparari/vinzari auto imparateasa a descoperit „masina zilelor ei”, un Smart din 2005 care costa numai 3000 EUR. Cautind masina sa se uite mai bine la ea, imparatul a observat ca preturile masinilor cu caracteristici asemanatoare erau pe undeva pe la 5800-7000 EUR. Hmmm…un semnal de alarma. Apoi imparatul a incercat sa sune vinzatorul. Dupa jumatate de zi de incercari a raspuns o doamna de la un oficiu guvernamental din tara imparatului nostru..care insa nu are nimic de-a face cu vinzarea de masini. Hmmm…al doilea semnal de alarma. Dar sa ne intoarcem la basmul nostru. Site-ul de intermedieri oferea insa posibilitatea de a contacta pe mail vinzatorul de masini. Zis si facut. Imparatul nostru trimite un mail si cind colo dupa 3 ore primeste urmatorul raspuns:

Hello,
Thank you for your interest in purchasing my car. I have worked in Germany for 3 months and I’ve purchased the car there. My company wanted me back home, so currently I’m in United Kingdom. I’ve brought it home with me but I sell it because the car’s steering wheel is on the left side, and so it’s difficult to drive it in United Kingdom. The car is like new, in perfect condition, no scratches, no damage, never been laid down or required any repairs, no hidden defects, no smoking. Kept inside. It is in showroom condition. Used only on
limited weekend basis. The maintenance schedule has been followed to the letter and all service has been performed by dealer. All maintenance is documented. Technical inspection and emissions testing it’s passed and stamped as well. It has title of ownership cleared of any obligations or fees and comes with all the documents you need to register it.
Let me know if you are interested to buy it?
Thank you.

Wow..gindi imparatul nostru….sansa vietii mele. Deci raspunde imparatul la e-mail si cere un numar de telefon unde ar putea sa-l contacteze pe vinzator. Acesta raspunde:

Hello,
The car will come with all the documets that you need including the contract of sale ,signed by me so will not be a problem for you to transfer the car onto your name. I will ship the car to your home address and I will use for shipping this company World Cargo Ltd .
They will inspect the car and check the legal papers and after that the car will be shipped to your address. I want a safe deal so i propose you to pay the shipping company and i will receive the money from them after you will get the car .I will start the shipping to your home address and you will send them the funds.They will hold the money until you inspect and test the car for 3 days and after that you must confirm that all is OK so i can receive the
payment from them.After delivery i will send you the shipping details (tracking number ) for checking.
I wait your answer.

Mai sa fie isi spuse imparatul in barba lui. O companie de trasnport care nu are macar domeniu propriu de adrese. Hm..alt semn de intrebare. Uitindu-se imparatul pe site-ul respectiv la pagina de contact, observa ca in afara de un formular de e-mail de contact nu exista nici o adresa sau numar de telefon. Hmmm…al patrulea semn de intrebare. Se aduna cam multe. Un search pe google dupa „world cargo ltd” il duce la un forum specializat in inselotorii pe internet unde gaseste aceeasi poveste cu niste detalii interesante. Plata urma sa se faca la….ati gicit o conationala plecata peste mari si tari:

These are our bank details where the down payment must be done:
Bank Account Name: Tudor Mihaela
Bank Account Number: 000000360682
Iban: IT75B 0889911100 000000360682
SWIFT (BIC) : BCCTIT2T
Bank Details: Banca di Credito Cooperativo , Italy

Suparat imparatul se mai uita odata pe google si gaseste urmatoarele site-uri care se ocupau cu aceeasi chestie:

http://www.worldcargostransports.com/

http://www.worldtransportslines.com/

http://cargoes-worldwide.com/

http://world-cargo-ltd.ws43.com/

Si pentru ca era suparat imparatul se duce imediat pe DNStuff si incearca sa afle cui apartin site-urile respective. De fiecare data site-uri creeate la ofertanti de spatiu de internet gratis din Italia si Anglia. O alta cautare pe goolge il duce la site-ul
„Stop escrow fraud, unde sint prezentate site-uri specializate in inselatorie pe internet si cind colo ce sa vada. Site-ul respectiv era listat acolo. Concluziile povestii:

De ce asemenea inselatorii functioneaza. Pentru ca exista oameni care nu stiu ca exista inselatorie pe internet. Ce poate ajuta? Pur si simplu popularizarea inselatoriilor. Acesta este de fapt si motivul pentru care am scris aceasta poveste care mi s-a intimplat mie. Pentru ca oamenii si nu numai specialistii de IT sa invete sa se fereasca de acest tip de inselatorie.

P.S. Astept inca mail-ul cu detalii despre plata. Sper sa nu fie din nou o conationala de-a noastra care a calatorit peste mari si tari.

Mai toata literatura de specialitate care trateaza problema certificatelor SSL pentru serverele Apache recomanda folosirea certificatelor fara parola. Motivul? Pentru ca de fiecare data cind serverul trebuie restartat este nevoie sa se introduca parola pentru certifcate. 😀

Dar de la versiunea 2.1 mod_ssl a implementat optiunea exec pentru „SSLPassPhraseDialog”.Aceasta optiune accepta ca argument calea catre un script care nu faca altceva decit sa scrie parola in <stdout>.

Exemplu:
SSLPassPhraseDialog exec:/etc/httpd/conf.d/echo_passwd.sh

Serverul in sine va furniza 2 argumente acestui script. Primule este combinatia servarename:port si al doilea este tipul de certificat RSA sau DSA. De ce este important?
In cazul in care se ruleaza scenariul Apache in configuratia multihost se pot folosi diferite parole pentru diferite certificate. Cum arata un asemenea script?

#!/bin/sh
case "$1" in
localhost.localdomain*)
echo "Par0lamea"
;;
esac

Acest fisier trebuie bineinteles protejat:

sudo chown root:root echo_password/etc/httpd/conf.d/echo_password.sh
sudo chmod 500 echo_password.sh/etc/httpd/conf.d/echo_password.sh

In cazul distribuitiei Fedora unde Selinux este funtional, este necesar schimbare contextului de securitate:

sudo chcon -h -t httpd_exec_t /etc/httpd/conf.d/echo_passwd.sh

So, let’s do thinks better.

Acum ceva timp am citit un articol destul de interesant pe site-ul organizatiei Honeynet Project. Tema acestui articol este in principal un concept foarte nou folosit de echipele de phishing.

Datorita faptului ca organizatiile internationale au reusit sa puna la punct mecanisme destul de rapide pentru a scoate din retea site-urile „fake” sau drop-zone-urile (site-urile in care se aduna informatiile despre tan-uri, useri si parole pentru internet banking), organizatiile de phising s-au gindit la ceva inovativ. De ce nu am construi o retea de DNS-uri in care informatia despre IP-urile site-urilor implicate sa fie schimbata la fiecare 3-10 min. Pornind de la conceputul  DNS „round-robin” acces, care in principal inseamna ca aceasi adresa de URL (http://www.bancafake.name) poate fii asociata cu diferite adrese de IP,  este implementat acum procesul automat de schimbare a acestor adrese de IP cu un tact de maximun 30 de min.

In acest caz devine aproape  imposibil ca toate serverele sa fie scoase din retea.

Si ca toata infrastuctura sa poata fii vinduta mai frumos este fost oferita pentru 100 USD/an sub numele de „bullet proof domain name”.

Intre timp conceptul a evoluat in asa numita  arhitectura „Duble-Flux”. In aceasta configuratie, adresa serverelor de DNS, care sint responsabile penru translatarea adresa de IP – nume,  se schimba la fiecare 30 de minute.  Deci in acest caz chiar scoaterea din joc a serverului de DNS nu duce la nici un rezultat.

Cine vrea sa citeasca mai mult despre concept recomand articolul de la HoneyNet Project.

Weekend placut si cum spun aia de la guerrila „fiti buni si fiti nebuni”.

Sourcefire, pentru cei care nu stiu este partea comerciala a celebrului IDS Snort. Dupa cum relatam acum ceva timp, Sourcefire se desprinde usor ca fiind una din cele mai inovative firme din domeniul securitatii IT, incercind sa ofere solutii la nivel de enterprise. Intr-un webcast vazut ieri despre noile feature-uri oferite de sistemul comercial 3D versiunea 4.7 aparea o informatie interesanta despre port scanner-ul NMAP. NMAP este integrat in versiunea 4.7 a produsului comercial 3D, oferind posibilitati de scanare direct din interfata de administrare. Dar totodata se spune ca nmap-ul va fii transformat impreuna cu Insecure.org intr-un vulnerability scanner, la fel ca si Nessus, ..si na ca argument au dat…pentru cei care sint obisnuiti cu interfata nmap. Hmmm……….Eu cel putin n-am folosit niciodata front-end-ul. Si daca ne gindim ca Sourcefire a cumparat anul acesta prin august proiectul Open Source ClamAV. Sper ca sourcefire sa suporte si o versiune Open Source a acestui NMAP „2.0” si sa nu se intimple ca si cu Nessus, care cu versiunea 3 a devenit closed source. Let’s hope for the best.

Exploits of a mom

See more on http://xkcd.com/

Bluehat este versiunea proprie a celor de la Microsoft pentru celebra conferinta Blackhat care acum este la versiunea 4.0. La ea participa normal numai angajatii Microsoft, probabil doar citiva invitati alesi pe sprinceana dar cu siguranta nu participa nici un reprezentant al presei. Temele de anul acesta par foarte interesante dar ..na ..pacat ca nu avem access la ce s-a prezentata acolo. Oricum interesant de citit este blogul conferintei si mai ales postul lui Halva despre securitatea sistemului de operare Microsoft Vista si despre care sint noile tinte in domeniul descoperii de bug-uri si dezvoltarii de exploituri.

“As a result I think that most of the security researchers will move on to greener pastures for a while. Why try to chase a difficult overflow out of Vista when you have Acrobat Reader installed, some antivirus software with shoddy file parsing, and the latest iTunes?”

A …si chiar daca sint vechi ascultati podcasturile de anul trecut. Chiar sint interesante.

Odata cu modificarea legii penale germane din (11. August 2007), prin introducerea articolului 202c se inchide poarta tuturor cercetatorilor germani din domeniul securitatii. Ce stipuleaza acest articol si care sint implicatiile modificarii legii()?

(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er

1. Passworte oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a
Abs. 2) ermöglichen, oder

2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist,
herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet
oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit
Geldstrafe bestraft.

O traducere aproximativa ar fii ca: Cei care publica parole sau coduri de acces care permit logarea intr-un sistem informatic sau cei care dezvolta, vind, folosesc sau fac public programe soft, a caror scop poate fi accesarea ilegala a unui sistem informatic sint pasibili de pedeapsa cu privarea de libertate pina la un an sau amenda.

Consecintele a acestei modificari sint inchiderea site-ului german al clubului THC, eliminarea uneia din cele mai buna liste de parole default pentru sisteme informatice de pe sie-ul celor de la Pheneolit si eliminarea tuturor POC pentru PHP de pe site-ul lui Stefan Esser si lista ar putea continua.

Intr-un interviu cu HD Moore, liderul proiectului Metasploit, el declara ca tot framework-ul si documentatia aferenta cad sub incidenta acestei legi si din cauza asta va evita orice calatorie in Germania. Oricum conform lui toate distibutiile de linux ar putea fii considerate ilegale din moment ce majoritate au integrat programul nmap.

Ce consecinte se pot trage? Numarul de tool-uri create pentru analizele de securitate vor fii din ce in ce mai mic si calitatea lor va scade datorita imposibilitatii comunitatii de a-si aduce aportul la imbunatatirea lor. Procurarea unor astfel de tool-uri va fii posibila numai daca ai contact direct cu dezvoltatorul iar detinerea lor va fii ilegala.

Sper ca Romania, odata cu alinierea la Recomandarile 2006/24/EG din 15 martie 2006 privitoare la combaretea criminalitatii in spatiul Internet, sa nu se inchida inchida poarta cercetatorilor romani din acest domeniu cum a fost facut in Germania.

Chiar daca blogul meu este un blog de securitate, nu pot sa nu ma opresc si sa lacrimez pentru omul care m-a invatat sa ascult John Lennon, si care refuza sa pronunte numele celui care l-a impuscat, sau sa-i inteleg pe Stones si care m-a facut sa inteleg si sa iubesc muzica rock de calitate. Dumnezeu sa-ti aiba in paza sufletul de hoinar . Cred ca ar trebui sa deschida cineva un site in care sa scriem toate amintirile despre el.

Uitindu-ma ieri dupa „Linkin Park” am avut parte de unul din cele mai interesante mesaje de „500 Internal Server Error” vazute vreodata. Ingeniosi baietii de la Youtube, pentru ca au gasit o metoda de a permite mesaje de eroare care totusi sa nu poata fi folosite pentru un viitor atac. Ma intreb oare ce algoritm de cripare au folosit, ca base64 nu e ;-)? Voi ce ziceti?

Youtube 500 Internal server Error

Nu de mult am a trebuit sa-mi aduc aminte cam ceea ce era cel mai important in privinta „Security Arhitecture Design”-ului . Dupa aceia, pentru ca nu prea am fost multumit cu ceea ce mi-am adus aminte, m-am hotarit sa le recapitulez si daca tot o fac, sa o si scriu poate mai ajuta si pe altcineva.

Principii de design al aplicatiilor luind in considerare principiile de securitate in viziunea lui Saltzer si Schroeder

a)Economy of mechanism: creeaza un design cit mai simplu.

b)Fail-safe defaults: Autorizeaza pe baza de permisiuni si nu pe baza de liste de excludere. Permite accessul la cei care au dreptul si nu incerca sa-i identifici pe cei care nu au dreptul.

c)Complete mediation: Orice access catre orice obiect trebuie autorizat prima data.

d)Open Design: Design-ul nu trebuie sa fie ascuns in speranta ca nu va fii descoperit. Ar trebui sa existe posibilitatea ca mecanismele de protectie sa fie auditate de cit mai multe persoane.

e)Least Priviledge: Nu acorda mai multe privilegii decit sint necesare.

f)Separation of privilege: Nu permite, cind este cazul, ca o operatie sa fie facuta bazata numai pe o singura cheie, parola. Foloseste doua.

g)Least common mechanism: Limiteaza numarul de mecanisme care sint accesibile unui grup de utilizatori si nu numai unei persoane.

h) Psychological acceptability: Implementeaza securitatea in asa fel incit useri sa o poata folosi usor si transparent.
Link-ul documentului original aici.

In perioada 18-20 mai 2007 a avut loc la Brasov prima conferinta romaneasca de Open Source. O initiativa a grupului ROSI , conferita si-a propus si a reusit sa fie o prima intilnire a oamenilor care cred in solutiile Open Source. Am avut si eu o prezentare despre Resurse Open Source in Computer Forensic. Imi pare rau ca au fost alocate numai 30 de minute pentru prezentare ceea ce nu mi-a permis sa intru in detalii tehnice cum as fii vrut.

Ce mi-a placut cel mai mult:

-Invitatii, organizarea (Agora si in special Gabriela Bartic). Speaker-i romani si straini.
-Prezentari care au fost pline de patos.

-Discutii (panel-uri) despre ideea de open source.
-Prezentarea lui Bogdan Manolea despre legislatie in domeniul de open Source.
-Proiectul Yart (concurentul Asterix-ului).

Ce mi-as dori:

– Conferinta sa ajunga la nivelul de participare a LinuxTag-ului german . Atunci sigur ar fii multi mai multi participanti si automat biletul mai ieftin.

– Mai mult timp pentru prezentari pentru ca evenimentul acesta se adreseaza in marea majoritate oamenilor tehnici care de obicei sint doritori de cit mai multe detalii.
– Un eventual survey printre participanti si pe baza interesului aratat de acestia pentru diversele prezentari sa se aloce timpul si viitoarea locatie.
Prezentare mea de la Eliberatica poate fii downloadata de aici.

Dar cred ca cel mai important pentru mine a fost ca am intilnit romani care cred in ideea de Open Source.

Voi participa si eu la eLiberatica si prezentarea mea va fi despre Resurse Open Source in Computer Forensic . Cand ma intorc, o sa pun prezentarea (la care inca lucrez) si aici.

eLiberatica - The Benefits of Open and Free Technologies Conference

Se pare ca HP s-a orientat catre o noua metoda de marketing ceva mai revolutionara si oricum mai folositoare. Pe site-ul HP Learning Center sint oferite cursuri FREE in domenii cum ar fii „Sofware and Technology”, „IT professionals”, „Bussines Skills”, „In House Marketing” si „Real Estate”. De remarcat in domeniul de securitate IT sint:

Cursurile ofera o buna baza pentru intelegerea si introducerea tehnologiilor din domeniul IT security in procesele de bussines actuale. Cred ca merita sa va aruncati o privire pe ele. Merita daca nu pentru voi poate pentru managerii vostrii mai putin „sensibili” la domeniul de securitate IT. Dar cine poate recomanda un curs sefului sau? 😀

Ieri seara am primit pe mail de la Sourcefire un studiu al firmei Gartner, din 22 decembrie 2006, despre producatorii de sisteme integrate IPS.

Sistemele IPS (Intrusion Prevention System) sint sisteme care implementeaza pe linga tehnologia de detectare a atacurilor bazata pe tipare cunoscute, oferite de mai vechile sisteme IDS (Intrusion Detection System ), si tehnologii de detectare bazate pe descriere de vulnerabilitati si sesizare a anomaliilor in retea. O alta caracteristica importanta a sistemelor IPS este faptul ca actioneaza in timp real (at wirespeed) reusind sa analizeze sesiunile TCP in intregimea lor si sa blocheze sau sa neutralizeze posibile atacuri. Referitor la posibilitatea de a detecta atacuri bazat pe vulnerabilitati, studiul Garner mentioneaza un aspect important. Marea majoritate a ofertantilor prefera sa investeasca cit mai putini bani in propriile laboratoare de cercetare si dezvoltare, cumparind semnaturile de la producatorii de antivirusi. Modul insa in care acestea le sint oferite si integrarea acestora duc la o scadere a calitarii sistemelor de IPS. Cu toate ca acum se poate observa o diferentiere a ofertantiilor in performanta ori in domeniul de networking ori in domeniul de securitate, studiul prevede ca aceste diferente pe termen mediu se vor aplatiza.

Studiul Gartner asupra pietei IPS-urilor. cu vinzari de 225 milioane de dolari a evoluat in 2006 la 700 milioane de dolari, face citeva previziuni ce merita luate in considerare. Astfel se prevede ca in viitor IPS-urile vor disparea ca produse de sine stataroare si vor fi integrate in asa numite NGFW (Next Generation Firewall) . Dar chiar si aceste solutii trebuie sa fie dezvoltate tehnologic mai departe pentru ca dupa cum mentioneza acelasi studiu, in 2010 majoritatea pierderilor la nivel enterprise se vor datora vulnerabilitatilor necunoscute.

O figura buna o face Sourcefire, care dupa ce nu a primit acordul de la “Committee on Foreign Investment in the United States” de fuzionare cu Checkpoint pentru suma de 225 milioane de dolari pe motive ca deal-ul ar putea sa afecteze securitate nationala , se pregateste in 2007 sa fie cotata la bursa. Se pare ca au cistigat puncte si prin faptul ca si-au imbunatatit echipa de cercetare si nu se mai bazeaza pe semnaturile oferite de comunitatea open source din jurul lui Snort. Interesant de vazut care dintre marii producatori de echipamente de retea se va grabi sa cumpere actiunile lor.

Checkpoint pare ca si-a revenit dupa refuzul de a cumpara Sourcefire si a anuntat in decembrie 2006 ca v-a cumpara NFR primind in cazul acesta avizul favorabil de la susnumita comisie americana si va integra IPS-ul celor de la NFR in linia lor de produse firewall.

Iar marea mea dezamagire ramine Cisco care continua sa ramina o speranta in domeniul de produse de securitate.

O singura previziune as dori sa nu se adevereasca: soarta ISS-ului care dupa ce a fost cumparat de IBM va fii obligata probabil sa se reprofileze pe host security. Ar fii pacat.

Cine doreste sa citeasca rapotul integral o poate face aici.

Dupa cum se stie thepiratebay.org este unul din cele mai mari trakere de fisiere bittorent. Serverele si site-ul apartin amindoua unui grup suedez de „oameni de bine”. De aici si multele plingeri din partea companiilor de soft sau studiourilor de muzica impotriva violarii legii de copyright. Dar cei de la thepiratebay.org s-au hotarit sa raspunda la aceste plingeri intr-un mod mai special. Spre exemplificare un raspuns la o plingere a companiei Dreamwork.

As you may or may not be aware, Sweden is not a state in the United States
of America. Sweden is a country in northern Europe.
Unless you figured it out by now, US law does not apply here.
For your information, no Swedish law is being violated.

Please be assured that any further contact with us, regardless of medium,
will result in
a) a suit being filed for harassment
b) a formal complaint lodged with the bar of your legal counsel, for
sending frivolous legal threats.

It is the opinion of us and our lawyers that you are ....... morons, and
that you should please go sodomize yourself with retractable batons.

Please also note that your e-mail and letter will be published in full on
http://www.thepiratebay.org.

Go fuck yourself.

Polite as usual,
 anakata

Cine vrea sa citeasca mai mult aci.

Have a nice weekend 🙂

Daca n-a functionat cu week of Oracle bugs poate merge cu PHP.

Stefan Esser, cofondator al proiectului Hardened-PHP, a anuntat ca are in plan sa organizeze Month of PHP bugs, Evenimentul este planificat in Martiei 2007. Pe tema PHP Security poate fi citit in SecurityFocus un interviu interesant cu Stefan Esser. Nice. Will keep you posted. 😀

Anurag Agarwal a facut public pe blogul lui codul sursa impreuna cu explicatiile necesare pentru a construi un sniffer de parole pentru aplicatii care au la baza AJAX. Idea originala a fost descrisa prima data de Stefano Di Paola in paper-ul „Subverting AJAX”prezental la a 23-a conferinta a „Chaos Communication Congress ” in Berlin. Idei interesante pe care merita sa va arunca-ti privirea.

Am primit acum citeva zile un link de la un blog foarte interesant despre legile romanesti in domeniul IT-ului. Postul care mi-a atras atentia punea in discutie “Cerintele minime in domeniul prelucrarii datelor cu caracter personal”. Cum am scris si acolo intr-un comentariu, consider ca legea cu toate ca prevede lucruri care sint absolut necesare cum ar fii: obligativitatea unui “user roles model”, anonimizarea datelor, modalitatea de access la sistemele care contin datele personale, physical IT security, obligativitatea politicilor si procedurilor, a logurilor de access cit si criptarea liniilor de transmisie, trece cu vederea problemele legate de nevoia de a avea sisteme de operare si aplicatii cit mai sigure.

Legea nu prevede de exemplu ca sistemele de operare si aplicatiile sa fie in asa fel instalate incit sa indeplineasca cerintele unor standarde internationale de computer security cum ar fii (Common Criteria ). Majoritatea sistemelor de operare (Windows, Redhat, Suse sau Solaris) cit si o multitudine de aplicatii sint certificate EAL 3,3+ sau 4.

Totodata nu este prevazuta obligativitatea criptarii datelor in cazul in care ele sint copiate sau exportate pe alte medii de stocare. Este cunoscut cazul unui auditor de la Deloitte & Touche USA care a uitat in avion un CD necriptat cu datele tuturor angajatilor de la McAfee.

In pagina 4 este totusi stipulata obligativitatea unor audituri. Dar daca auditurile se vor margini numai la a verifica daca serverele sint in camere inchise atunci ce mai conteaza daca serverul ruleaza un sistem de operare la care nu s-au mai aplicat patch-uri sau aplicatia este plina de bug-uri de securitate.

De ce inca odata este uitata nevoia de securitate in domeniul IT si se incearca protejarea unor date cu continut atit de sensibil prin inchiderea in pivnita a serverelor? Si asta este o solutie, dar in cazul asta legea ar trebui sa interzica folosirea oricarui fel de networking pentru aceste calculatoare.

Mai 2017
L M M M V S D
« Mar    
1234567
891011121314
15161718192021
22232425262728
293031