Re: FreeBSD-basierter Firewall

Von meinem iPhone gesendet

Am 17.01.2013 um 00:11 schrieb Harold Gutch <logix(at)foobar.franken.de>:

> Hi,
>
> On Wed, Jan 16, 2013 at 10:46:45PM +0100, Bernhard(at)gtkx.de wrote:
>> alle,
>>
>> ich bin entsetzt wie hier argumentiert wird
>>
>> von was reden wir?
>>
>> wir reden wie eine sichere verbidung, aus was für gründen auch immer, beschnüffelt werden soll.
>>
>> beispiel:
>>
>> ein mitarbeiter verbidet sich mit seiner bank um seine kontendaten abzurufen - es ist irrelevant ob das nun im betrieb erlaubt ist oder nicht - und dann wird "heimlich" eine sichere ssl verbidung vorgetäuscht das er nur dann bemerken kann wenn er das sll zertifikat überprüft!
>
> Darf ich weiter argumentieren?
>
> Beispiel: Ein Mitarbeiter startet einen Paketsniffer um im lokalen
> Netz Passwörter mitzulesen - es ist irrelevant ob das nun im Betrieb
> erlaubt ist oder nicht - und dann schaltet sich die Netzwerktechnik
> ein und macht etwas dagegen.
>

in einem gut verwaltetem netzwerk verwendet man switch und keine hub und dann geht da vom client aus nix mit ausspionieren

> Beispiel: Ein Mitarbeiter greift die internen Rechner an -

und, kann er doch versuchen, da passiert nix

> irrelevant ob das nun im Betrieb erlaubt ist oder nicht - und der
> Sysadmin liest Logdateien und kann daraus schließen von welcher
> IP-Adresse und damit von welchem Rechner die Verbindungen kamen und

ist verboten, da personenbezogene analyse .....

> lässt den Mitarbeiter abmahnen.
>
> Beispiel: Ein Mitarbeiter plant mit seinem Nachbarn, dessen Frau
> umzubringen - es ist irrelevant ob das nun in Deutschland erlaubt ist
> oder nicht - und unterhält sich über dieses Thema aus der Arbeit etwa
> via Mail, und jemand erdreistet sich etwas dagegen zu unternehmen

und tut was dagegn. und danach hat er ein problem weil sich herausstellt dass das die probe für ein theaterstück ist. wie soll er dann den verstoßgegen das briefgeheimnis begründen?

>
> Wenn die Firmen-Policy klar sagt dass du keine privaten Sachen im
> Firmennetz machen darfst und dir das nicht passt, dann wechsle den
> Arbeitgeber. Ansonsten mach die privaten Sachen abends von zu Hause.
> Oder beschwer dich nicht wenn deine Sachen mitgelesen werden. Ob das
> nun *moralisch* in Ordnung ist, wenn der Sysadmin mitliest, worüber du
> dich mit deiner Bank unterhältst, ist eine andere Frage. Darum geht es
> hier aber nicht.

es geht hier um firewalls, die die möglichkeit haben sollen die pakete genauer zu untersuchen und da ist https bzw ssl allgmeim inbegriffen. und beim "cracken" von SSL geschützten daten ist die eisdecke in welcher der administrator einbrechen kann sehr sehr dünn.

> Ganz unabhängig davon - wenn du dich mit deiner Bank verbindest, es
> ploppt ein Fenster auf das dir sagt "irgendwas passt mit diesem
> Zertifikat nicht", und du klickst auf "Jaja, OK", dann bist du selbst
> schuld. Es gibt genug Sachen bei denen man in so einem Fall einfach
> auf OK klicken kann ohne nachzudenken. Bei meiner Bank würde ich das
> *NIE* machen. Ein Mitarbeiter, der hier ohne groß nachzudenken auf OK
> klickt würde das auch so machen wenn ein *echter* Angreifer über einen
> MITM-Angriff die Bankdaten abgreifen will. Dass du argumentierst, dass
> der Arbeitgeber hier zusätzliche Unsicherheit schafft, ist absurd. Aus
> Sicht des Mitarbeiters bekommt ein dritter seine Logindaten in die
> Hand. Ihm ist es offensichtlich egal, wenn das ein Bösewicht aus
> Absurdistan ist, aber wenn es Karl-Eugen aus dem Nachbarbüro ist, dann
> ist plötzlich die Hölle los?
>
>
>> Und so ganz neben bei kann nan seine ganzen bank datenverker mitlesen einschließlich den zugangsdaten zur bank - das ist nicht nur verwerflich, das ist auch verboten - zumindest in deutschland und auch das falsche mittel.
>
> Quatsch, das kann die Bank so und so, sie ist der Endpunkt der
> SSL-Kommunikation

können und dürfen sind zwei unterschiedliche dinge.

gesetzt den fall, die bank würde die zugangsdaten unverschlüsselt in einer datenbank abspeichern, da hat sie sich schon strafbar gemacht. im normalfall ist es nicht einmal dem datenbank administrator möglich die zugangsdaten auszulesen bzw. mitzulogen denn die sind wirklich top secret

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Thu 17 Jan 2013 - 00:57:28 CET