Vlákno názorů k článku
Malware podepsaný certifikátem společnosti Opera od Jarda_P - Hm, asi by bylo chtre, kdyby stroj, na...

Presne tak. Dodnes som nepochopil preco to firmy takto nerobia. Kolko toho SW vydavaju, nova verzia raz za tyzden?
No a dalsi problem je - nemaju na jeden hlupy HW podpisovac z ktoreho sa privatny kluc proste ukradnut NEDA?

Požadavek obvykle je, aby ten počítač šel spravovat na dálku a aby s tím mohlo pracovat více uživatelů na dálku. Výsledkem je pak řešení, kdy tento "citlivý" počítač je za firewallem a je na něm aplikována přísná kontrola přístupových práv. Z venku je nedostupný.

Skutečností však je, že se obvykle dá vlomit do nějakého jiného počítače v síti a z něj pak zaútočit "z vnitřku sítě". Z těch málo popsaných útoků jich navíc většina není klasický útok "dostanu se tam a vezmu si to", ale spíše "postavím někoho vedle a až to půjde kolem, tak to šlohne". Takže klasické "ve chvíli, kdy to nepotřebuji, to není v zásuvce" nezabere.

No a perličky pak bývají klíče ukradené ze síťově uložené zálohy disku nebo emailu pracovníka IT.

HW podpisovač tohle opravdu řeší, navíc je to řešení levné a efektivní. Teoreticky jich můžete mít více a trvale připojené k několika počítačům. Případný útok pak sice může nechat podepsat i něco, co se podepsat nemá, ale klíče neukradne. Pokud je tedy neukradne fyzicky. Bohužel někteří lidé za HW podpisovač považují "dobře zabezpečené" PC. Ano, pokud by bylo připojeno jen k jednomu jinému počítači pomocí COM/LPT portu se značně omezeným protokolem, pak ano. Ale to jsme zpět u lidí z IT, kteří nevidí důvod se někam třepat s CD v ruce, když žijeme v době sítí a SSH.

Já s vámi souhlasím, požadavek na zabezpečení by měl mít přednost. Ale v praxi nemívá. Důvody bývají různé a já žádný z nich nepovažuji za dostatečně dobrou výmluvu.

Jeden stroj bez pripojenia kamkolvek s HW USB klucom pohodeny v kancelarii. Opravneny clovek pride, vrazi tam iny USB kluc a podpise sw na USB kluci.
Ziadna vzdialena sprava? Co by tam akoze mali spravovat? Ked treba obnova s image mozno najlepsie bezat system z CDromky bez disku. Takto si predstavujem minimalnu konfiguraciu systemu pre podpisovanie SW vo firme s viac ako 500 zamestnancami.

Jo jo, offline PC určené na jedinou věc. To je dobré řešení. Do doby, než přijde někdo z IT, kdo vám vysvětlí, jak ukrutně nesystémové řešení to je, a že je to vlastně zbytečné, protože ON to dokáže udělat bezpečně i u zasíťovaného PC. Případně přidá pár poznámek o tom, jak je vlastně nutné, aby to bylo online a tak mohl neustále monitorovat, kdo tam co dělá. A když nepřesvědčí vás, tak půjde za manažery.

Čest výjimkám.