Názory k článku
Cena za „S“ v HTTPS

To by mě zajímalo, mám v malé firmě transparentní proxy na které jsem blokoval squidem stránky obsahující porno, hazard, malware, ... Ne že by tam lidi chodili, ale pro jistotu. S přechodem většiny stránek na https mi to přestalo samozřejmě fungovat a není problém napsat do vyhledávače porno a jet. Nějaké řešení?

Dat zamestnancom tolko prace, aby na porno nemali cas :-)

Potvrzuju. Ideální je řešit takový problém lidsky, ne technicky. Jediné, co je opravdu nutné hlídat a blokovat technicky, je odesílání spamů z firemní sítě (stačí zavirovaný NTB nějakého mamlase. Přístupy na web jsou nepodstatné -- když někdo bez problémů stíhá svou práci a ještě u toho půl dne promasturbuje, čemu to vadí? :-)

...když někdo bez problémů stíhá svou práci a ještě u toho půl dne promasturbuje, čemu to vadí?
Spomaluje siet? Treba si uvedomit, ze mala firma nema garantovanych 1Gb/s ako si to moze dovolit velka firma. Pozeranie akychkolvek videi je predsa len trosku zataz v zavislosti od kvality streamu, a ked mame takychto ludi viac, je to o hubu. V poslednej firme sme mali garantovanych 30/15 Mb/s. Na odosielanie mejlov a bezne surfovanie to stacilo, ale ak viaceri ludia pustili nejake HD video z jutubu bola sranda.

Pridelovanie pasma?

A co když je to škola a pro jistotu základní? Tam by na to děti koukat neměly.

A ono to ani ve firemní sféře není až taková prdel, jak tady zaznívá. Před pár lety obletělo asi nejen český internet video, které natočil o přestávce spolužák dívčiny, která se rozhodla, že si bude rozkročená na lavici hrát s pipinou. Pokud se dobře pamatuji, tak podle médií dívčině bylo 16 a vyhodili za to několik desítek lidí ze Škoda auta, protože z toho bylo šíření dětského porna.

Možná jsem to nenapsal úplně jasně. Lidi na tyhle stránky nechodí a když, tak občas nějaké YT, ale vždy si napřed udělají svou práci. Není tu problém, že by byli na webu místo práce. Je tu problém, že občas mohou přes linky, na které se dostanou různě (šikovně napsaný email, ..) doklikat na weby plné malware a všeho a někde to musím blokovat, když chci předcházet následkům. A proč neblokovat v první vlně rovnou ty problémové k práci nepotřebné stránky, když se jejich seznamy dají třeba do toho squidu sehnat, tj. velmi jednoduché řešení, které zabije 90% problémů hned v zárodku. Teď to nefunguje a proto celkem logická otázka, jak se to řeší, když nechci spoléhat jen/až na nějaký antivir na cílové stanici.

Co takto black/whitelist s IP adresami, na ktore mozu/nemozu? HTTPS predsa nesifruje adresu, alebo sa mylim?
Je to dost velke obmedzenie pre ludi, ale ked im nechcete desifrovat ssl ako je tu pisane, je to asi jedina moznost.

Whitelist by byl velmi omezující a pro blacklist nemám zdroj ip adres, toho jsou tisíce. V těch seznamech je sice něco přes ip adresy, ale většina klasicky.

Na https jde pouzit v podstate jediny nastroj, a to ho desifrovat (dulezite je vyvarovat se desifrovani provozu do bank, apod., protoze to narazi na zakony). Desifrovat SSL je mozne pomoci podstrceni firemni "duveryhodne" certifikacni autority na zarizeni zamestnancu (napr. pomoci Active Directory), a pak realizovat v podstate man-in-the-middle utok pomoci podepisovani provozu mezi cilovym serverem a klientskou stanici. Jen pro zajimavost: nektere servery se "tvari" jako https, ale obrazky a videa stahuji pomoci http.

To už je trochu vyšší dívčí, na to asi nemám zkušenosti a teď i čas, uvidíme jak se problém vyvine.

Presne toto nám teraz nasadili a hádame sa kvôli tomu s nimi. IMHO je to kompletne nezákonné. Nakoľko dôverná komunikácia nie je len s bankami ale i emailom, facebookom... Pri všetkom tomto komunikujú minimálne 2 strany a aj keď si zamestnávateľ "vynúti" súhlas zamestnancov, stále nemá súhlas druhej strany. Vystavuje sa tak hrozbe žaloby.

Mňa by skôr zaujímalo ako sa tomuto man-in-the-middle vyhnúť. Osobne mi je jedno, že sa nedostanem na facebook (aj tak ho nemám), nepotrebujem ísť ani na youtube, gmail... ale to že mi to bráni ísť aj na samotný google, to mi už vadí.

Hovori sa tomu GnuPG.

Malware este blokovat, ale ostatne sa lepsie robi osobne.

V malej firme, kde sa vsetci pozname, staci ist upozornit osobne dotycneho a vysvetlit mu dovody, pripadne to delegovat na sefa. Ak sa to nedeje prvykrat, tak treba cez stenu zakricat na dotycneho menom, nech vypne to porno.

Znova, to porno byl jen příklad, nikdo na něj ani jiné problémové stránky cíleně nechodí. Ale stane se, že přijde email od jejich známého "tohle musíš vidět", vede na zábavné video, to vypadá jako běžný videoserver ale jede někde z .ru, pak stačí jeden dva kliky okolo a už může být problém. Nebo vede na divnou stránku odkaz z výsledků vyhledávače, často sám koukám, kam se celkem nevinným dotazem dostanu. Antivir neuhlídá vše, stanice nechci omezovat tak, že si uživatel ani nezmění pozadí, byla to z mého pohledu celkem dobrá a jednoduše realizovatelná další vrstva ochrany.

Teď z hlavy nevím odkud to tahám, ale existují předpřipravené aktualizované seznamy (obsahují jak celé domény, subdomény, konkrétní url, rozsahy ip) rozdělené do skupin (porno, hazard, drogy, ...) a člověk si jen zaškrtne, které skupiny chce blokovat, případně se k tomu doplní whitelist, pokud bych chtěl např. blokovat sociální sítě, ale povolit LinkedIn. Zkusil jsem potom lézt všude možně a blokovalo to vše co jsem chtěl aby bylo blokované, zároveň nijak neomezovalo běžné věci. Není to určitě neprůstřelné, určitě neobsahuje vše (jako antivir nechytne vše), ale jak píšu, jako další vrstva to myslím fungovalo víc než dobře.

U nás ve firmě přijdou každé pondělí prostitutky a každého tak uhoní, že na porno nemá nikdo celý týden náladu.

U nas honi sef.

Vyuzijte navrhu DNS - prvni odpoved je spravna a na zbytek se nehledi. Tedy necht Vam v siti bezi nejaky daemon, ktery jakmile zachyti DNS query obsahujici "youtube" nebo proste neco z blacklistu, tak vrati IPcko nejake bedny se strankou "nelezte prosim na tenhle web, tady jste v praci", pripadne proste localhsot. easy peasy. Nemusite ani nekde nastavovat DNS servery, proste daemon posadte na sit a frcite :) samozrejme pak ale nebude fungovat DNSSEC, ktery se presne tomuhle snazi zabranit

Drive ci pozdeji vsechny nesifrovane protokoly z internetu zmizi. Ten trend je jasny. Poskytovatel obsahu nema zajem, aby se mu po ceste nekdo stoural v obsahu, ruzneho vylepsoval (reklamy), analyzoval a podobne. Google uz to udelal davno. Seznam presel na HTTPS, jak jsem si vsiml, uz take. Bolehlav z toho maji velci poskytovatele internetu a mobilni operatori, a hlavne jejich marketingova oddeleni. Ti se za kazdou cenu a celkem pochopitelne snazi nebyt jen trubkou do internetu a neustale vymysli ruzna vylepseni. Sifrovani provozu tohle vsechno zarizne.

Mimochodem, Google v telefonech uz v nekterych svych aplikacich nepouziva ani siti pridelelne DNS servery, prave kvuli DNS poisoningu. Chytnete si nekdy provoz ze sveho Androida Wireshakrem :)