> > любая аанлогия убога по определению. > > Угу. Вопрос -- насколько. > Фишка в том, что развитОе умение проводить аналогии > является неотьемлимой частью той особенности, что отличает > нас от животных. Надеюсь, ты не будешь отрицать полезность > этой особенности? ;) это уже не по теме форума, тем не менее.
умение проводить аналогии - полезно. но использовать в качестве доказательства - моветон.
> >> ... сильно смахивающая на аффилированную структуру > >> органам же запрещено напрямую торговать ... > > не угадал ;) > Я и не гадал. т.е. ты обвиняешь контору в аффилированности. это надо делать аргументировано, или не делать вообще, в противном случае, это смахивает на клевету.
> Газетные публикации, свидетельствующие об обратном, мне, к > сожалению, сейчас недоступны. Впрочем, не суть важно. Для ;)
> опровержения изначального тезиса (о том, что "Р" -- "это > хорошие/очень хорошие/лучшие [...] специалисты в области > безопасности") достаточно сертифицированности SN и > использования ее в серьезных (вроде как) проектах типа > "Выборов". давайте, мух и котлеты отдельно?
уровень квалификации "Р" ну никак не связан с характеристиками SN и уровнем ее разработчиков.
> Ну невозможно же поверить в то, что они а) не в курсе б) в > белых фраках, хотя коллеги из других госструктур того же > уровня по уши в дерьме ... м-да. весна ;)
> >> 1. Из песни слова не выкинешь -- были пальцы > насчет ГАС > >> "Выборы", были (и есть) всевозможные сертификаты > > у кого? ;) > У НИП "ИНФОРМЗАЩИТА". На SN. От Гостехкомиссии, МинОбороны медленно и печально идем изучать систему сертификации.
hint: сертифицированный замок можно поставить на картонную дверь. и ругать разработчиков замка.
> И в чем же ты видишь принципиальные изменения (кроме > ролевой модели, базирующейся, судя по описанию, на все той > же импотентной схеме ~восьмилетней давности) ? если ты путаешь дискретную и мандатную системы, то объяснить сложно...
> Впрочем, думается, теоретически это вполне можно проделать > прямо в форуме. Ну так ты бы и обрисовал для начала "в общих чертах", как ты себе представляешь защиту этого дела на самописных скриптах и примочках. Я ведь не знаю, какая степень подробности тебе нужна...
> Итак, имеется БД и интерфейсная программа к ней. Доступ к > БД должен осуществляться исключительно через эту программу, > которая производит необходимые специфичные проверки > вводимой информации, оперируя закрытыми для оператора > данными, [отчасти] хранимыми локально (в той же БД). Разработчик этой байды - имбецил?
> Работа с БД -- не единственная обязанность пользователя. > Для обеспечения других выполняемых им задач на машине стоит > масса других программ, включая архиваторы, редакторы, шелл > ("интерпретатор команд", если угодно). Кроме того, по роду > деятельности, этому пользователю необходимо обмениваться > данными с внешним миром. Т.е внешние (отчуждаемые) носители > доступны как на чтение, так и на запись. С точки зрения > исполняемого кода среда замкнутая. > > С тебя описание (в общих чертах) конфигурирования SN. Какие проблемы?
Завести юзеров с разными правами. "Базнику" дать доступ к базе только через приложение, не давать доступа к левым ресурсам/тулзам. Остальным - дать доступ к нужным ресурсам, не давать доступ к базе/приложению.
Хотя, если эта базанастольковажна, я бы ее вынес на отдельный комп и закрыл тем же "Соболем".
Собственно, защиту чего угодно начинают с планирования, т.е. составляют план доступа к ресурсам, а потом смотрят, чем реализовать. Ты не сделал первого шага, а предлагаешь мне набросать реализацию? Так для этого ты не дал исходных данных ;) Не говоря уже о том, что это и есть та часть работы, которая требует квалификации безопасника - дальнейшую реализацию может сделать любой технарь. И она, как правило, дороже остальных ;)
> > платы я в свое время снимал "защиту от изъятия > аппаратной части" за 7 > > минут ;) это был не SecretNet, другое изделие, н осути > не меняет... ;) > > Еще одно доказательство ламерства SN-щиков ... да ну? ну-ка, г-не "не-ламер", порази концептуальной идеей, как сделать защиту от изъятия, которую не обойдешь? ась?
вот и не надо извращать тезис. чисто программная защита обьходится по определению...
> > м-да. rsbac на винде - мсье знает толк в половых > извращениях ;)) > > Отчего же "извращениях"-то (особенно сравнивая с SN)? оттого, что Rsbac - RULE SET BASED ACCESS CONTROL, разработанная исключительно под линукс. что-то я не слышал про ее портирование на винду.
> > а dprot - даже не замочек от честных людей, а > шпингалет. даже на то > > время... > > Возможно, я его с чем-то попутал ... времени-то сколько > прошло ... Ленты ворошить лень ... > Разумеется, в сколь-нибудь серьезных задачах я такого рода > (шифрование "на лету") утиль не использовал. Просто ничего > бОльшего SN не представляет -> аналогии проводить не с > чем. мсье, вы бредите. "такого рода утиль" - dprot? и там было шифрование на лету?
а после заявления, что СН предоставляет только это, я не поверю, что документация прочитана хотя бы по диагонали...
> > какие, в %опу, скрипты на винде?! мы ничего не путаем? > > На этот раз нет. Скрипты на "родном" cmd, 4nt, tcl, perl. > Портированное по принципу минимальных затрат -- на bash. > Разумеется, не все так элегантно, шустро и ловко, как в > родной среде, но для данных целей в большинстве случаев > вполне приемлимо. "скрипты на cmd" - единственная родная вещь. хотя, не разгонишься там сильно. все остальное - привнесенное, со всеми вытекающими (разработчик интерпретатора накосячил, плюс разработчик скрипта, да все это вместе никто не проверял независимо...).
> > не, можно, конечно и зайца научить курить, но зачем? > > Ровно затем же, зачем и весь этот виндовс вообще. См. ниже вы не любите виндовс? ;) а может, просто не умеете готовить? ;)
мы ведь о ситуации, когда нет возможности пользоваться юникс, и надо защитить задачу на винде.
> твой же собственный пассаж про "давно используемый > виндозный софт". Если уж взялись его поддерживать, и не > дело не сводится к "быстренько решил сиюминутную проблемку, > получил деньги, попрощался", то почему бы не потратить > толику времени на повышение производительности собственного > труда? IMNSHO, нынешние виндовсы NT-вого разлива, при всех > своих недостатках, в этом плане не хуже коммерческих унихов > 8-10-летней давности ... ну-ну. вот именно о производительности труда я и забочусь. я предпочитаю не вытачивать детали из самостоятельно отлитых заготовок ;) а использовать "конструктор", составные части которого сделаны профессионалами и прошли независимую проверку.
> > кроме того, ты стоимость такого решения прикинул? > > Мне такие прикидки приходится делать регулярно. И потом > озвучивать их клиентам. я себе представляю: "не, нафиг вам нормальное средство защиты от НСД за $300, я вам за $20 на коленке из скриптов рулез соберу не хуже!"
знаешь, сколько мне приходилось возить фейзом по клавиатуре разработчиков доморощенных защит системы "рулез немерянный, самособранный"? даже если ты умнее и образованее каждого отдельно взятого разработчика SN, я не поверю, что твои разработанные за несколько дней скрипты и примочки будут лучше, чем результат многолетнего труда коллектива разработчиков, после его экспертизы другим коллективом.
> > его надо продумать, > Точно. Как и любое другое. И полагаться в этом > ответственном деле на всякие там информзащиты -- глупо. а на никому неизвестных кулибиных, пишущих скрипты на коленке?
> > сделать, настроить, документировать - > > SN не надо настраивать? Произведенную конфигурацию > документировать? И чем написание скриптов хуже поиска > нужной функциональности (зачастую безуспешного) в таких вот > монолитных монстрах? Речь ведь не о том, чтобы "взять и насчет монолитности - см. выше насчет "конструктора".
документировать, естесвенно, проще SN, чем тучу скриптов.
искать нужную функциональность не нужно, ее нужно знать. а вот в скриптах ее придется создавать...
> написать все с нуля", но о добавлении к готовым базовым > модулям специфичных для данного конкретного случая мелочей. > То, что напихано "до кучи" в SN, один черт в половине > случаев в том их виде непригодно или недостаточно. ну так и не используй не нужное ;)
> > специалист, который может это сделать стоит больших > денег. > > И которой по-любому нужен для обеспечения безопасности > уровня "high". > А для уровня "нехай" нет смысла тратиться на сей > навороченный "усилитель атрибутов Hidden и Read-Only". а, ну так и не сравнивай мухрайку для скрывания порнокартинок от коллег с нормальной ситсемой разграничения доступа. тебя никто не заставляет ставить дома SN или на систему, в которой информация стоит $1 :))
> Хотя, может, магическое слово "сертификат" и отпугнет пару > малолеток, верующих в искренность намерений государства > защитить таким образом неквалифицированных пользователей от > некачественных продуктов ;-\ молодой человек, "сертификат" нужен не для отпугивания малолеток, это так, jfyi :)
> > а если он задумает уйти? > > То он оставит после себя документацию. И, как приличный > человек, перед уходом введет в курс дела преемника. кремлевский мечтатель...
> > от кого ждать поддержки? > От следующего специалиста. Которого, если он, конечно, который начнет все переделывать по-своему. в сад...
> впрочем, и из документации SN ... > > > и аппаратную часть ты на коленке сваяешь? > Что ты имеешь в виду под "аппаратной частью"? то и имею. эл. замок "Соболь", SN-card.
> К оборудованию для авторизации минимально необходимое > обычно прилагается изготовителем. ЧИГО?! во-первых, давай не будем путать термины идентификаци, аутентификация и авторизация - это суть вещи разные. и про какое железо конкретно ты говоришь?
> Для предотвращения загрузки с внешних носителей в > подавляющем большинстве случаев установка отдельной платы > -- явный оверкилл. расскажи способ лучше. только не надо про пароли в биос - сильно зависит от модели, да и обходится без вскрытия корпуса...
> > или попытаешься мне доказать, что существует стойкая > программная > > защита? ;) > > Стойкость -- понятие относительное. Что именно и от чего > (кого) защищаем? от квалифицированнго злоумышленника, который может написать и принести с собой любую программу. без аппаратной блокировки - нечего делать.
> Ну, почему обозвал, я обьясню: распальцовки не > соответствуют реальным потенциям, продукт явно не > оправдывает затраченных усилий. можно по пунктам? что из заявленнго в доке ("распальцовки") не соответствует реальным возможностям продукта ("потенциям").
> >> > ты лично видел эту систему, > >> Да. > > > какую версию? > > Не помню уже. Какое это имеет значение? Неужели при виде приплыли... самому не смешно?
> Ты, судя по всему, претендуешь на знание того, "что она > может обеспечить при грамотной настройке" ... Приведенный > выше пример задачи (про БД), надеюсь, поможет установить > обоснованность этих претензий ;-\ ответ выше. если хочешь подробнее, то мое время стоит $30-$40 в час. готов заключить контракт? ;)
> Да если бы он хотя бы юниксовый уровень обеспечивал ... > А насчет безболезенности спору нет -- "главное, поменьше > думать", да? ;) главное - достичь результата в срок и с мин. затратами...
|