Re: FreeBSD-basierter Firewall

On Thu, Jan 17, 2013 at 12:57:12AM +0100, Bernhard(at)gtkx.de wrote:
>
>
> Von meinem iPhone gesendet
>
> Am 17.01.2013 um 00:11 schrieb Harold Gutch <logix(at)foobar.franken.de>:
>
> > Hi,
> >
> > On Wed, Jan 16, 2013 at 10:46:45PM +0100, Bernhard(at)gtkx.de wrote:
> >> alle,
> >>
> >> ich bin entsetzt wie hier argumentiert wird
> >>
> >> von was reden wir?
> >>
> >> wir reden wie eine sichere verbidung, aus was für gründen auch immer, beschnüffelt werden soll.
> >>
> >> beispiel:
> >>
> >> ein mitarbeiter verbidet sich mit seiner bank um seine kontendaten abzurufen - es ist irrelevant ob das nun im betrieb erlaubt ist oder nicht - und dann wird "heimlich" eine sichere ssl verbidung vorgetäuscht das er nur dann bemerken kann wenn er das sll zertifikat überprüft!
> >
> > Darf ich weiter argumentieren?
> >
> > Beispiel: Ein Mitarbeiter startet einen Paketsniffer um im lokalen
> > Netz Passwörter mitzulesen - es ist irrelevant ob das nun im Betrieb
> > erlaubt ist oder nicht - und dann schaltet sich die Netzwerktechnik
> > ein und macht etwas dagegen.
> >
>
> in einem gut verwaltetem netzwerk verwendet man switch und keine hub und dann geht da vom client aus nix mit ausspionieren

Das gut verwaltete Gehirn eines Clients wird die SSL-Fehlermeldung
erkennen und nicht auf "OK" klicken.

> > Beispiel: Ein Mitarbeiter greift die internen Rechner an -
>
> und, kann er doch versuchen, da passiert nix

Der Admin kann doch versuchen, die SSL-Verbindung zwischen Client und
Server abzufangen, da passiert nix (gibt ja eine Fehlermeldung).

> > irrelevant ob das nun im Betrieb erlaubt ist oder nicht - und der
> > Sysadmin liest Logdateien und kann daraus schließen von welcher
> > IP-Adresse und damit von welchem Rechner die Verbindungen kamen und
>
> ist verboten, da personenbezogene analyse .....

In deinem Beispiel war die private Internetnutzung auch verboten,
dennoch hast du darauf bestanden, dass der Mitarbeiter das macht.
Bitte bleib stimmig. Entweder wir reden davon was *möglich* ist oder
davon was *erlaubt* ist.

> > lässt den Mitarbeiter abmahnen.
> >
> > Beispiel: Ein Mitarbeiter plant mit seinem Nachbarn, dessen Frau
> > umzubringen - es ist irrelevant ob das nun in Deutschland erlaubt ist
> > oder nicht - und unterhält sich über dieses Thema aus der Arbeit etwa
> > via Mail, und jemand erdreistet sich etwas dagegen zu unternehmen
>
> und tut was dagegn. und danach hat er ein problem weil sich herausstellt dass das die probe für ein theaterstück ist. wie soll er dann den verstoßgegen das briefgeheimnis begründen?

Seufz.

Der Punkt war, dass jemand etwas verbotenes macht, und das
Ansicht nach absolut irrelevant ist, weil es ja nicht stört.

Wenn du unbedingt willst, dann argumentiere ich jetzt ebenso, dass
jeder alles machen kann was er will. Schließlich stört das ja die
gesamte Welt an sich nicht (im Sinne - es verletzt keine
Naturgesetze). Ja, das ist *kompletter* Blödsinn. Es gibt Spielregeln,
und die sind dafür da dass man sich an sie hält. Im ursprünglichen
Beispiel waren das die Regeln im lokalen Netz, in diesem Beispiel sind
das von mir aus lokale Gesetze. Wenn jemand diese Regeln überschreitet,
dann ist es legitim dagegen vorzugehen.

In diesem Beispiel ist übrigens jede Firma deutlich vorsichtiger als
der Staat, ein Arbeitgeber wird normalerweise sichergehen dass der
Arbeitnehmer tatsächlich unterschrieben hat, dass Privatnutzung des
Internets am Arbeitsplatz verboten ist. Beim Staat gilt dagegen
"Unwissenheit schützt vor Strafe nicht".

> > Wenn die Firmen-Policy klar sagt dass du keine privaten Sachen im
> > Firmennetz machen darfst und dir das nicht passt, dann wechsle den
> > Arbeitgeber. Ansonsten mach die privaten Sachen abends von zu Hause.
> > Oder beschwer dich nicht wenn deine Sachen mitgelesen werden. Ob das
> > nun *moralisch* in Ordnung ist, wenn der Sysadmin mitliest, worüber du
> > dich mit deiner Bank unterhältst, ist eine andere Frage. Darum geht es
> > hier aber nicht.
>
> es geht hier um firewalls, die die möglichkeit haben sollen die pakete genauer zu untersuchen und da ist https bzw ssl allgmeim inbegriffen. und beim "cracken" von SSL geschützten daten ist die eisdecke in welcher der administrator einbrechen kann sehr sehr dünn.

Ja, er kann. Er kann noch viel mehr. Das Einbrechen in HTTPS bzw. SSL
gibt Fehlermeldungen. Andere Sachen nicht. Wo ist nochmal die Eisdecke
dünner?

> >> Und so ganz neben bei kann nan seine ganzen bank datenverker mitlesen einschließlich den zugangsdaten zur bank - das ist nicht nur verwerflich, das ist auch verboten - zumindest in deutschland und auch das falsche mittel.
> >
> > Quatsch, das kann die Bank so und so, sie ist der Endpunkt der
> > SSL-Kommunikation
>
> können und dürfen sind zwei unterschiedliche dinge.

Ich möchte auch mal ganz frech behaupten, dass die Bank deine
SSL-Verbindung entschlüsseln *darf*. Wenn nicht, wüsste ich nämlich
nicht wie sie deine Überweisungen weiterverarbeitet.

> gesetzt den fall, die bank würde die zugangsdaten unverschlüsselt in einer datenbank abspeichern, da hat sie sich schon strafbar gemacht. im normalfall ist es nicht einmal dem datenbank administrator möglich die zugangsdaten auszulesen bzw. mitzulogen denn die sind wirklich top secret

Wo genau hab ich denn was von speichern gesagt?

Abgesehen davon - *natürlich* hat die Bank deine Zugangsdaten
gespeichert (bzw. von mir aus hat sie die andere Hälfte eines
"öffentlichen Schlüssels" gespeichert). Oder wie sonst meinst du dass
deine TANs verifiziert werden? (Ja, via public crypto könnte man da
ein paar Sachen ein Quentchen weniger "öffentlich" machen - aber auch
dann erzeugt die Bank diese Daten selbst, insofern sind die etwas
komplett anderes als z.B. dein Mail-Passwort).

Gruß,
  Harold

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Thu 17 Jan 2013 - 01:21:28 CET