|
||
|
Perjantai, 30.4.2004 Red Hat sai EAL2-tietoturvaluokituksenRed Hat Enterprise Linux 3 on saanut Evaluation Assurance Level 2 (EAL2) -tietoturvaluokituksen, jota monet valtionhallinnon asiakkaat edellyttävät tietotekniikkahankinnoissaan erityisesti Yhdysvalloissa. Uudesta luokituksesta huolimatta Red Hat on edelleen jäljessä pahinta kilpailijaan, sillä SuSE Linuxille on myönnetty astetta tiukempi EAL3-tietoturvaluokitus. EAL-luokitukset ovat osa laajempaa Common Criteria -sertifiointia.
Lue juttu oma, 30.4.2004 00:18. Lähde: news.com.com
|
|
|
Copyright © 1998-2007 - Coredump Oy. ISSN 1458-476X. |
||
Anonyymi kommentoija, 30.4.2004 00:42:08
Miksei kukaan tee turvallisuusvaatimuksia vaikka GNKSA -tyyliin? GNKSA on erittäin yksinkertainen ja joka vaatimus on järkeenkäypä ja perusteltu.
Anonyymi kommentoija, 30.4.2004 00:51:00
Anonyymi kommentoija, 30.4.2004 03:14:17
Tämä kertoo jotain tästä alasta..
Anonyymi kommentoija, 30.4.2004 09:30:45
Anonyymi kommentoija, 2.5.2004 04:30:00
Tietotekniikassa voi vielä joutua opettelemaan koodausta (ei välttämätöntä, jos suuntautuu kaupalliselle alalle tai tietoverkkoihin.) Mutta senhän tosi koodari on opetellut jo ala-aste ikäisenä. Niistä joilla koodaus ei ole selkärangassa jo ennen korkeakouluun menoa, ei ikinä tule kunnollisia koodareita.
Bream, 30.4.2004 07:57:03
Tässä tapauksessa ammutaan ehkä vähän yli jos vaikka googlella lyhenteeseen löytyy selitys muutamassa sekunnissa.
Anonyymi kommentoija, 30.4.2004 08:03:44
(ja selitys RTFM-akronyymille löytyy googlesta jos joku ei vielä tiedä mitä se tarkoittaa :)
Bream, 30.4.2004 09:33:55
Anonyymi kommentoija, 30.4.2004 09:49:09
Anonyymi kommentoija, 30.4.2004 12:33:29
Anonyymi kommentoija, 30.4.2004 10:10:43
Sen verran olen minäkin nörtti että voisin yhtä hyvin kymppisormella kirjoittaa sen koko prkl* sanan vaikka suluissa perään. Sen sijaan että alaikäiset nappulat ovat (täällä) keksimässä lisää lyhenteitä tunteakseen (jälleen) olonsa suureksi ja mahtavaksi guruksi?
Onneksi suurin osa ymmärtää että näitä forumeja lukevat muutkin kuin "alan ammattilaiset" ... ja tosi gurut eivät tänne edes välttämättä tule vaan pysyvät slashdotissaan. :)
Anonyymi kommentoija, 30.4.2004 17:27:31
Aloin opettelemaan uutta kieltä. Opettaja puhui adverbeistä ja datiiveista jotka olen saattanut opetella joskus lukiossa, mutta ovat sen jälkeen unohtuneet. Kirjassakaan ei selitetty mitä nuo ovat ja vanhat koulukirjat on hukattu aikoja sitten. Jaksavat vielä syyttää tietotekniikkapuolen ihmisiä vaikeiden termien käytöstä.
feenix, 30.4.2004 17:55:29
Itse saan vähän liian usein kommentteja kun käytän normaalia sanastoani, kuulemma liikaa "sivistyssanoja", mutta minkäs sille voi kun kommun^H^H^H^H^H^Hkeskustelee globa^H^H^H^H^Hympäri maailmaa olevien ihmisten kanssa, tietyt sanat tulevat sitten suomeksikin mieleen "hienompina" kun ovat muissakin kielissä samantyylisiä.
Jokohan ollaan tarpeeksi offtopikkina vai puhutaanko vielä kolmannen infinitiivin partisiipin perfektistä?
Anonyymi kommentoija, 30.4.2004 08:07:40
daimoni, 30.4.2004 08:31:29
-- Anonyymi kommentoija
Anonyymi kommentoija, 30.4.2004 08:34:22
Lueskellessani noita vaatimuksia vaikutti siltä, että suurin osa tuosta sertifikaatista on vain vaatimuksia mitä pitää löytyä, eikä sitä miten turvallinen järjestelmän pitää olla.
Anonyymi kommentoija, 30.4.2004 19:26:50
Moose, 30.4.2004 10:29:20
Anyway pointtini on että miksi ihmiset joilla ei ole oikeasti muuta tietoa Windowsin tietoturvasta, kun se että siitä löytyy aukkoja tasaseen tahtiin (kuten minä...), päättävät tämän tiedon perusteella kommentoida asiaan kuin asiaan joka vaan liittyy etäisestikkin windowsiin.
Maalikkkona ymmärtääkseni EAL luokitus on todistus aivan jostain muusta kun järjestelmän bugittomuudesta...
Anonyymi kommentoija, 30.4.2004 12:19:05
feenix, 30.4.2004 10:49:43
EAL-testin kannalta on muistettava se, että näissä testataan soveltuvuutta tiettyyn asiaan. Esimerkiksi RedHatilla on nyt EAL2 kunhan konetta ei kytketä Intternetskuun. Jos kytketään, ei tuo luokitus meinaa mitään. Jos asennetaan DNS-palvelin, WWW-palvelin, DHCP-palvelin tai joku muu, ei tuo meinaa mitään.
Samoin Windowsin testissä on jätetty nettiin kytkeminen pois. Tämähän helpottaa testaamista, kun ei kaikkia mahdollisia ongelmia yritetä etsiä ja nythän testaus on käytännössä tehty työryhmäpalvelinta tai muuta sisäistä palvelinta silmälläpitäen.
reni, 30.4.2004 15:06:24
Samoin windowsin kanssa. Kyllä sekin on testattu verkosta tulevia murtoyrityksiä vastaan, mutta ei välttämättä kaikkien palvelujen osalta.
feenix, 30.4.2004 17:50:42
A.PEER
Any other systems with which the TOE communicates are assumed to be under the
same management control and operate under the same security policy constraints.
There are no security requirements that address the need to trust external systems or
the communications links to such systems.
Eli jos tässä olisi kytketty intternetskuun niin tämä ei olisi pätenyt sinänsä, tietystihän voidaan kytkeä ja blokata kaikki liikenne, jotta tämä saadaan aikaiseksi (tai sallitaan vain tietystä IP:stä joka on omassa hallinnassa, mutta en sanoisi tällöin tätä samaksi kuin kytketyksi julkisesti intternetskuun, korjataan tuolla sanalla).
Ihanin oletushan näissä on kylläkin A.NO_EVIL_ADMIN:
The system administrative personnel are not careless, wilfully negligent, or hostile, and
will follow and abide by the instructions provided by the administrator documentation.
No, kuinkas monessa paikassa ei ikinä olla huolimattomia ja totellaan admin-dokuja? Kuinka monessa edes luetaan jotain moisia dokuja? ;)
reni, 30.4.2004 09:50:11
Esimerkiksi jotkut valmistajat ovat valinneet tasokseen EAL4+ (missä + tarkoittaa, että jokin vaatimuksista on kovempi kuin mitä taso 4 määrittää), ja ottaneet lisävaatimuksena esimerkiksi juuri paremman turvatestauksen. Tällöin tuotteen on saattanut evaluoijan lisäksi arvioida joku tunnettu ulkopuolinen taho kuten NSA.
Tämän EAL-tason lisäksi täytyy lukea myös tuotteelle tehty Security Target, jossa kerrotaan minkälainen kokonaisuus on testattu ja mitkä ovat toiminnalliset vaatimukset. Joillekin tuotteille (kuten palomuureille) on kirjoitettu valmiita vaatimusdokumentteja (Protection Profile), joita valmistaja voi käyttää Security Targetin pohjana.
RedHatin tapauksessa on evaluoitu tuotteet: Red Hat Enterprise Linux AS (Version 3) with security update RHSA-2003:416, Red Hat Enterprise Linux ES (Version 3) with security update RHSA-2003:416, ja Red Hat Enterprise Linux WS (Version 3) with security update RHSA-2003:416.
Lisäksi on tehty seuraavat olettamukset:
- The TOE provides for a level of protection appropriate for an assumed non-hostile and well managed user community. It provides protection against threats of inadvertent or casual attempts to break system security.
- It is not intended to be applicable to circumstances in which protection is required against determined attempts by well funded hostile attackers to breach security, and it does not fully address the threats posed by malicious system development or administrative personnel.
- The TOE was evaluated in standalone mode . Most of its network facilities (e.g. DNS, NFS, NIS and Xwindows) were excluded from the evaluated configuration, but the Security Target did include Security Functions (IA.9, IA.10 and IA.11) relating to remote login.
Lisäksi mm. seuraavat palvelut suljettiin arvioinnin ulkopuolelle: Apache Web Server, Kerberos, Crypto IP Encapsulation, Nmap, LILO, NFS, DNS.
Windowsista on evaluoitu EAL4+-vaatimusten mukaan Windows 200 Server Server, Advanced Server, ja Professional, jokaiseen oli asennettu Service Pack 3 ja Q326886 Hotfix.
Lisää dokumentteja löytyy osoitteesta http://niap.nist.gov/cc-scheme/vpl_type.html.
reni, 30.4.2004 10:25:03
Myöskään susen evaluointi ei pidä sisällään esim. apachea.
Susen turvatesteistä todetaan: "The penetration testing showed the existence of vulnerabilities but none of the vulnerabilities were exploitable in the intended environment." Eli kun noita testituloksia lukee pitää tarkoin tutustua aina siihen mitä on testattu ja minkälaisessa ympäristössä.
Anonyymi kommentoija, 2.5.2004 04:20:02