NAVARA: Nejsou to data v DB. Je to mix, dokumenty, doc, pdf atp.

LIBORO: Co je to za data? Pokud by to bylo třeba něco uloženého v databázi, tak můžou být ty záznamy šifrované, s tím že privátní klíč pro dešifrování budou mít jen ty konkrétní stanice. Databázový server jako takový pak nikdy nemá dešifrovaná data, po cestě cestují také šifrovaná - a teprve až na stanici se objeví jejich čitelná podoba. Což musí tak jako tak, jestli ji chceš někomu zobrazit, ať už bys to dešifroval kdekoli.

ZAPPO: Chci si na toho někoho najmout, ale než to udělám, tak se v tom chci trochu orientovat, abych sám měl nějaký názor a rozuměl alespoň principům. Moc děkuju za nástřel, takhle mi to pro další googlení stačí.

LIBORO: Hele, na to si někoho najmi. Ne že by to byla raketová věda, ale začít z nuly je prostě těžký.
Navíc říkáš, že to bude menší firemní síť - čili předpokládám nemnoho peněz (na postavení a hlavně na provoz - lidi) a hlavně mizivý význam. Což je klíčový z pohledu řízení rizik, prostě náklady by neměly převážit potenciální riziko.
Zkusím nahodit, jak bych to co jsi obecně popsal obecně řešil.

1. Centrální firewall na perimetru, jednoduchý pravidla propouštějící nezbytný minimum dovnitř, ven, co je libo, s maškarádou.
2. Pokud jsou nějaký pobočky, sestavit VPN tunely tak, aby všechno chodilo přes centrálu ->nebudou připojený k internetu přímo
3. Na koncových stanicích rozjet enkrypci disku, typicky Bitlocker.
4. Připojování zvenku do firmy jen přes klientskou VPN, terminovanou na tom firewallu.

Pokud máš čas, chuť a peníze, tak dovnitř ještě udělat DMZku s proxy, antivirem, mailovou gatewayi a podobnýma, ale to je nadstavba. Princip ale bude, že vnitřní prostředí pokládáš za bezpečný, máš pod kontrolou přístup do a z něj a koncový stanice jsou kryptovaný (důležitý při ztrátě laptopu). Komunikace se tak děje buď uvnitř bezpečnýho prostředí - nebo přes VPN (takže taky jakoby uvnitř).

ZAPPO: To je v pořádku, mě to neuráží a máš úplnou pravdu. Budu chtít řešit menší firemní síť a rád bych měl předtím, než to někomu zadám nějakou alespoň základní představu, jak data nejlépe chránit. Budu rád i za nasměrování na nějakou literaturu nebo server se základy o této problematice.

LIBORO:
LIBORO: Máš nějakou představu o čem mluvíš? Nechci tě urazit, jen mám dojem, že máš nějakou vágní vizi, ale vlastně netušíš o čem mluvíš.
Velmi, velmi zhruba (pokud jsem pochopil o čem mluvíš).
Pokud hacker úspěšně napadne místo (a to nejen hardware, ale konkrétní aplikaci v čase a stavu v operační paměti), kde data nejsou zašifrovaná (tedy koncová stanice, kde se zpracovávají, server když se ukládají), tak k nim má přístup. Data jsou data. To co je chrání je enkrypce - když ji obejdeš, tak je nechrání. A z principu věci, při zpracování dat musí existovat nějakou dobu v nekryptovaném stavu.
Pokud hacker napadne jiné místo v systému, tak enkrypce funguje stále stejně dobře. Když napadnu a získám kontrolu nad routerem, přes který jde šifrovaná komunikace, tak data nezjistím.

PROFOR: Je to laický dotaz a spíš bych případně prosil o nasměrování na nějaké další zdroje, nebo co mám hledat. Ale z toho, co píšeš, mi přijde řešením mít data šifrovaná na serveru a dešifrovat v reálném čase jen ta data, se kterými pracují jednotlivé stanice. Toto řešení je možné?

LIBORO: No - ta otazka neni uplna. Jedna se ti o napadeni ceho? Serveru? Site (ve smyslu utocnik ma bud pristup do site (zvenci to muze byt treba pres wifi, pres tunel od nekoho jineho, kdo je napaden a umoznuje split tunneling nebo napadl nejakou stanici, ktera neni autorizovana podle tvoji definice)? Jakou sitovou infrastrukturu mas? Pokud se ti jedna o napadeni serveru, potom bys musel - logicky - sifrovat data uz na tom serveru a nemit je tam v otevrene podobe. Pokud se ti jedna o sniffovani site, muzes sifrovat spojeni mezi serverem a stanicemi - cim chces ta data prenaset (ve smyslu protokol). Muzes sifrovat na L2, L3... Mas tuny kombinaci.

LIBORO: To je na otevřených platformách principiálně nemožné.

Nenapadá vás někoho, jestli existuje řešení pro de/šifrování v reálném čase, kdy dešifrovaná data může zobrazit pouze autorizovaná stanice? Tzn. i při napadení hackerem zvenčí jsou data, která stáhne k v šifrované podobě. Děkuji.

Ve složce "Sítě" se mi v poslední době několikrát objevil router, který neznám - nemám ho v domácí síti. A domácí síť taky párkrát přestala šlapat. Mám se něčeho obávat?

CRS1138: a novacek co se tyka googlu:) http://tor.stackexchange.com/questions/733/can-i-exit-from-a-specific-country-or-node

Jsem novacek co se tyka Toru, jak nastavim na Mac OSX ExitNode country na UK, pripadne CZ (jsme v Spanelsku). Zkousel jsem se koukat do /usr/local/etc/tor/torrc, ale tam jsem nic takoveho, co pise KOBUK nenasel.

schovavam k prozkoumani, prislo mi od meho poskytovatele emailu, tedy or riseup.net

---------------------------------
One way that you can secure your communications is to use OpenPGP to encrypt your email. We recently overhauled our help pages on the best practices for using OpenPGP. If you haven't ever used OpenPGP before, you can take a look at the guide and get started. If you are already an OpenPGP user, you can follow the guide to see how to improve your use of this important tool.

So head on over and take a look at http://help.riseup.net/security/message-security/openpgp/best-practices

schovavam k prozkoumani, prislo mi od meho poskytovatele emailu, tedy or riseup.net

---------------------------------
One way that you can secure your communications is to use OpenPGP to encrypt your email. We recently overhauled our help pages on the best practices for using OpenPGP. If you haven't ever used OpenPGP before, you can take a look at the guide and get started. If you are already an OpenPGP user, you can follow the guide to see how to improve your use of this important tool.

So head on over and take a look at help.riseup.net/security/message-security/openpgp/best-practices

KRISHNA: na macu se za vsechno plati, ale je tam i kompilovatelna verze

OVERDRIVE: Na 30 dní?

darek od jednoho nejmenovaneho id

Little Snitch 3
http://www.obdev.at/products/littlesnitch/index.html