Und deswegen machen bzw. glauben wir lieber proprietären Kram bzw. Closed Source?
Die Aussage "jeder kann das überprüfen" beinhaltet neben einem autistischen Wunderkind, das die 40 Mio Zeilen in 100'000 Files auswendig kann auch die Fälle, wo sich eine Gruppe von Fachexperten einzelne Fragmente des Kernels vornimmt, gerne auch inkrementell, mit Computerunterstützung und einer Prise KI.
Volker
58-bit?
*duck*
Das Account-Nuking wird auch gemacht. Dafür gibt es dann Break-Glas-Accounts, die sich nur von einer bestimmten IP-Range aus anmelden dürfen, aber auch nach beliebig vielen Fehlversuchen nicht gesperrt werden. Bei meinen Kundinnen richten wir 2FA ein wo wir können und verzichten dann komplett auf Kontensperren.
Symmetrische Transportverschlüsselungen haben in der Regel auch eine Sub-Session Schlüsselrotation mit echtem Zufall. Ab TLS 1.2 ist das Handshaking ebenfalls Teil der verschlüsselten Kommunikation.
Vor allem muss man alle n Pakete den nächsten Schlüssel knacken.
Falk D.
Das Problem ist, dass sowohl ISO 27001:2022 Annex A Control 5.17 als auch BSI Grundschutz ORP.4.A17 dieses Muster nicht erwähnen und spätestens bei den Branchen-Standards ist die Sperre nach n Versuchen vorgeschrieben.
Bei meinen Kundinnen richten wir GeoDB-basiertes Greylisting ein: Anmeldeversuche aus neuen oder unbekannten AS bekommen beim ersten Versuch einen Auth Fail. IPs aus Risikostaaten blocken wir ganz.
Ich habe schon mal von IPv6-VPN-Gateways und IPv6 in Enterprise gehört, aber halte diese Erzählungen so glaubwürdig wie die über den Osterhasen, den Weihnachstmann und die Zahnfee.
Um den CIO eines großen Amerikanischen Techkonzern zu zitieren "IPv6 ist toll... außer im Netzwerk."
Falk D.
Wer solche Manager hat braucht echt keine guten Netzwerker mehr.
--
---------------------------------------------------------------------------- Marc Haber | " Questions are the | Mailadresse im Header Rhein-Neckar, DE | Beginning of Wisdom " | Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402
Dafür gibt es SSH over HTTPS.
Falk D.
Derzeit sind die Quantenrechner weit unter 4k Qubits (2000+irgendwas). Allein um eine AES-Operation auf einem 128k Block vorzunehmen braucht der Quantenrechner also 6.3443466e+88 Durchläufe.
Die bessere Takteffizienz hilft dem Quantenrechner nicht, wenn es ein Shift&Shuffle Algorithmus ist.
Falk D.
Ist aber selbst bei den kleinen Checkpoints und Fortinet Standard und wir richten überall ein, wo auf unbekannte IPs zugegriffen werden darf.
Falk D.
Krypto-Algorithmen zur Verschlüsselung, Random und Hash haben zumeist massiv Operationen wie Shift, Rotate, Or, Xor, sowie Add, Mul mit weggeworfenem Überlauf in Verwendung. Das dürfte maximal unbequem für Quanten-Computer sein. Insbesondere, weil das derartig intensiv angewandt wird, daß eine hohe /Verstärkung/ resultiert.
Ich finde das schlimm. Wenn ich auch einsehe dass die Kunden das wollen. Ist halt Securitytheater wie die Welt es will.
oder den "Ein" Schalter am LTE-Router. Aber dafür mietet man keinen Raum mit WLAN.
Grüße Marc
Oder man schaltet im TCP-Stack die Hochgeschwindigkeitspakete frei. Die sind in der Lage die Firewall zu durchschlagen. Und schon hat man wieder vollen Netzzugriff.
Vorsicht! Kann zum Austritt des magischen Rauches in der Firewall führen!
;)
Gerrit
Das ist weniger wollen als müssen. Aktuell habe ich viele Themen mit AI-Detektion im Rennen. Die Content-Inspection wird damit noch aufwendiger. TLS1.3 Dosenöffner sind nur ein Aspekt.
Teilweise wird der Video-Feed von z.B. Youtube oder Videokonferenzen noch mal extrahiert um die GANS-Detektoren drüberzujagen. Dabei schickt man die durchaus noch mal in eine Cloud und ggf. wieder zurück.
Falk D.
Diesen Job würde ich keine Woche aushalten.
Grüße Marc
Mir wird gerade dezent übel. Es ist doch mittlerweile üblich Vorstellungsgespräche mit durchaus in den "höchstpersönlichen" Bereich gehörigen Informationen (z.B. Krankheiten, biographische Ereignisse die man vielleicht weniger explizit in den Lebenslauf schreibt) in Videocalls zu führen.
"What could possibly go wrong"
/ralph
Und wenn man sich nicht gerade auf einen Job in der IT-Security bewirbt, will man auch nicht mit "bitte bestätigen Sie mir kurz, dass niemand, auch keine KI, und auch keiner Ihrer Dienstleister, außer Ihnen dieses Gespräch mithört" anfangen.
Grüße Marc
Rolf Bombach, 2024-05-05 19:36:
Die hat halt jemand mal ausgerechnet auf Basis einer bekannten Zahl an möglichen Schlüssen pro Sekunde, die man ausprobieren kann und später wurde das auf der genannten hirntoten Werberuine falsch übernommen.
Solche Sachen gehören in kein Vorstellungsgespräch!
Josef
Marc Haber, 2024-05-05 08:17:
Wenn die IPv4-only-Systeme nicht einfach ersetzbar sind, ist es eben so.
Ich schmeiße sicher ein halbes Dutzend Geräte weg, nur weil Tasmota kein IPv6-only beherrscht:
"Tasmota does not support IPv6 only networks, and it will yield to a crash after some time (may be fixed in the future)."
Yep.
Immerhin beherrscht Docker mittlerweile IPv6, wenn auch noch "experimentell".
Helmut Schellong, 2024-05-05 20:34:
[...]Das ist Seite 35, nicht 41. Weiterhin ist diese Tabelle nicht komplett ohne Kontext, sondern bezieht sich ganz konkret auf AES.
Have something to add? Share your thoughts — no account required.
Ask the community — no account required