Vlákno názorů k článku
Španělský Orange byl hodinu a půl odpojený od internetu kvůli úniku účtu do RIPE
od Danny - RIPE sice 2FA ma, ale je to implementovane...
-
DannyStříbrný podporovatelRIPE sice 2FA ma, ale je to implementovane na dnesni dobu tak trochu drevacky a jeste jak tu padlo jen s opt-inem. A podporuji tam akorat TOTP a max. jeden prostredek pro druhy faktor. O nejakem FIDO/WebAuth ci vice tokenech si clovek muze stale nechat jen zdat :-)
-
DannyStříbrný podporovatel
Na RIPE neni problem mit k organizaci vice uctu a klidne pro kazdeho zamestnance zvlast, s ruznymi rolemi. Ale to je zase moc prace to resit.
-
Necekejte ze se za spanelske platy ve spanelsku nekdo predre.
Asi zrovna zacala siesta. Neni vyjimkou kdy pri telefonatech se spanelskymi kolegy u konkurencniho operatora tito hned zavesili ze zacina siesta (nejednalo se o ops).
Inu jiny kraj jiny mrav. My cesi se zas predreme zadarmo i v dobe obeda coz take neni idealni. -
Ani neni treba, vetsina autentikatoru umi export.
Na jednu stranu skvela vec, kdy si sam umim obstarat zalozni autentikator, na stranu druhou to neni idealni z hlediska bezpecnosti.
Trochu se bojim, ze celkem bezny stav bude, ze je nekde ulozeno, jak se ke sluzbe prihlasit, treba v nejake slozce, kde je vedle sebe obrazek s QR kodem a textovy dokument s heslem, kdyz toto unikne, tak cely dvoufaktor ztraci smysl.Ale samozrejme nechci nijak komentovat, co se stalo v konkretnim pripade ve zpravicce, o tom nemam zadne informace ani nevim, jake jsou moznosti prihlaseni k RIPE, zpravy uctu atd.
-
DannyStříbrný podporovatel
No, jedna vec je ten portal... SSO ucet a aspon nejaka moznost MFA. A tim ochranite ty RPKI ROA, ktere sejmuli Orange. Ale to je jen cast podstatne sirsiho problemu. Ono pak existuje tradicni databaze... design 20+let stary, co mimo jine slouzi jako podklad pro automaticke generovani filtru u IXP i upstreamu (route zaznamy & spol), kde ale jde napachat podobne skody.
Ano, tam jako moznost mate moznost pro autorizaci zmen pouzit SSO ucet (ale jen na webove aktualizace), X509/PGP certifikaty (ale ty take ne vsude) ... no a nebo heslo (jedina moznost pro restAPI) zadratovane v maintainer objektu. A ted pozor, ta hesla se tam stale ukladaji v MD5. Ne, to neni vtip... sice od roku 2011 uz nejsou verejne dostupne (a co bylo se zneplatnilo), ale porad se to interne pouziva. A nic jineho na ulozeni hesla v te databazi pouzit ani nejde.
Je to v realu jeste horsi, nez si myslime :-)
-
Tak víte co, ideální z hlediska bezpečnosti by taky bylo, kdyby domů vedlo patero mříží, laserový zabezpečovač a'la James Bond, čtyři čtečky sítnice, pět čteček otisků prstů a na každých dveřích ještě ověření kartou -- a na závěr pak nutnost zatelefonovat vrátnému. Problém je, že by se v tom nedalo žít.
Zabezpečovat je třeba natolik, nakolik to, co zabezpečuju to zabezpečení potřebuje. Zrovna u RIPE by se to, ano, z logiky věci dost hodilo, ale obecně se to říci ani náhodou nedá.
-
Filip JirsákStříbrný podporovatelNení potřeba ani ten QR kód. V tom QR kódu je zakódovaný jenom klíč, takže stačí sdílet ten klíč. A každý rozumný autentizátor vám ten klíč dokáže zobrazit/vyexportovat.
-
Ondřej CaletkaZlatý podporovatelPokud je pravda, že to heslo uniklo z uložených hesel v prohlížeči, která si přečetl nějaký malware, pak je vlastně úplně irelevantní, jestli to heslo bylo
ripeadminnebo třebam#P52s@ap$V. -
DannyStříbrný podporovatel
Porad je ale take pravda, ze unikem hesla na strane koncoveho uzivatele nelze ospravedlnovat chronicky mrzke zabezpeceni na strane poskytovatele sluzby. A tady proste ma RIPE historicky fatalni mezery. Netvrdim, ze to je chyba jen lidi tam pracujicich - hodne veci ridi komunita, ale tahouni co by tu bezpecnost na strane infrastruktury posouvali proste chybi a urcite komunita ma lidi, co by svym hlasem tohle dokazala posunout k lepsimu.
A ano, je na miste se bavit o tom, ze ukladat hesla v MD5 je v roce 2023 proste fail. Snaha schovat se tady "za komunitu" je obycejny alibismus. Realne dnes RIPE jede security through obscurity, kdy se spoleha na to, ze ty MD5 hashe z internich systemu neutecou. A takovych "hrdinu" uz bylo v historii take spousta, ze?
-
DannyStříbrný podporovatel
Porad je nutne znat i jmeno uzivatele. A trefit jmeno uzivatele se spravnym opravneni samo o sobe take jednoduche neni - skoro bych tipoval, ze v pripade Orange slo o nejakeho byvaleho zamestnance a ucet byl sdileny - coz samo o sobe je take chyba (k videni v praxi celkem casto). MFA ochranit v takovem pripade muze. Poznamka smerovala nicmene k tomu, ze v roce 2023 by se sluselo implementovat trosku modernejsi a uzivatelsky privetivejsi metody MFA, nez je TOTP - RIPE rozhodne neni chuda organizace a podobne malickosti se rady prehlizi.
