אני מעוניין לבנות VPN, יש לי שרת Windows 2003, וכ5 תחנות במקומות שונים עם WIN XP.
מה הייתרון בקניית X BOX של CHECK POINT על פני ייצירת VPN דרך מערכת ההפעלה בעצמה?

אני מניח שהCP יותר מאובטח, אבל אין לי צורך באבטחה מיוחדת.
האם יש יתרונות נוספים?

תודה מראש.

הערה: כל הנאמר הוא מבט אישי שלי על הדברים; איני טוען שכך האמת; לידיעתו של הקורא - כל הטקסט שנכתב בהודעה זו אינו נכון, ולפיכך אין לטעון שטענתי את הטענות שמוזכרות בהמשך ההודעה, אלא להפך - אני טוען את הטענות ההפוכות

זה דרעק וזה דרעק, למען האמת...

מבחינת אבטחת מידע, ה"VPN" מבית מיקרוסופט כבר מזמן נחשב כל כך חלש בהצפנה שלו כך שאפשר לעשות לו decryption ממש on-the-fly למיטב זכרוני.

צ'קפויינט, למרות היותה חברת אבטחת מידע, וכביכול (לדעת חלק לא קטן מהאנשים שמקבלים את ההחלטות האלה) מבינה בזה, עושה בשרת ה-VPN שלה כל מיני דברים שאני לא ממש מבין מדוע הם נחוצים במוצר שתפקידו אבטחה (רק תריץ על קופסא כזאת סריקת פורטים ותבין...). על הקליינט שלהם (שיעבוד לך רק במערכת הפעלה מסויימת מאוד) אני בכלל לא הולך להתחיל לדבר... חבל על מערכת ההפעלה של המחשב שתתקין את זה עליו... שמעתי פעם שמועה, לא יודע אם זה בצחוק או לא, ש"העובדים של צ'קפויינט לא מעזים להתקין את הקליינט שהם בעצמם מייצרים על המחשבים שלהם בבית, והם כנראה יודעים למה..."

אני ממליץ שתנסה את OpenVPN - לא עולה אגורה ולא סובל משתי הבעיות שהוזכרו לעיל...

דבר אחרון - כולם צריכים אבטחת מידע - במקסימום האפשרי שניתן - גם אם אתה חושב שאתה לא

נמאס לכם לזכור סיסמאות? לחצו כאן!

האם היא נאמרה בציניות או ברצינות ולמה.

אני לגמרי חלש באבטחת מידע, כמה שאלות ברשותך:
1. הפתרון של CP הוא משולב חומרה, זה לא אומר תוצאות טובות יותר בשטח?
2. משום מה נושא האבטחה לא מטריד אותי כלל, המידע שיעבור ברשת לא ממש חסוי.
שאלתי היא האם תאורטית קל יותר לפרוץ לVPN מבוסס מיקרוסופט מאשר למחשב ביתי עם פיירוול מובנה של XP?

תודה רבה על תגובתך הקודמת, ותודה מראש על תגובתך בהמשך.

הפיסקה הראשונה נועדה למי שהיא נועדה, והיא אינה ציניות כלל...

זה שמשהו הוא "משולב חומרה" זה בסך הכל אומר שבנו לך עוד מחשב (בין אם הוא מבוסס x86 ובין אם לאו, זה עדיין סוג של מחשב) שעליו רצה תוכנה ותוכנה זו עדיין תוכנה... ואפילו בחומרה יכולים להיות באגים, אפילו אם לא הייתה תוכנה בכלל וכל העיבוד היה מתרחש בחומרה (לא סביר שיבנו מוצר שכזה ללא תוכנה כלל משום סוג, זה סתם הרבה יותר יקר)

אם המידע לא חסוי, ולא מפריע לך שיפרצו לשום מקום, פשוט פתח את המחשב ישירות לאינטרנט. אני חייב להסתייג כמובן מרעיון שכזה אפילו בקו מחשבה תאורתי של "מה היה אילו" - אבל זו זכותך המלאה לאפשר גישה אל המחשבים שלך מהאינטרנט (אם כי - לא רק אתה תסבול כתוצאה מכך, אלא גם אנשים תמימים אחרים באינטרנט, אחרי שינצלו את רוחב ליבך כלפי כל העולם ואשתו וינצלו את המשאבים שלך לתקוף מחשבים אחרים באינטרנט)

VPN בהגדרה מאפשר חיבור מהאינטרנט. פיירוול שהכל סגור בו בהגדרה, ופועל כראוי (ולא צריך להניח כמובן מאליו שאכן כך הדבר; כבר היו מספיק באגים בתחום הזה, כולל אצל יצרנים עצומים בגודלים מבחינת נתח שוק), ימנע כל חיבור מהאינטרנט, מכל סוג. ברור שככל שהפתח שלך יותר גדול, הסיכון שלך גדל בהתאם. תסכים איתי שיותר קל לגנוב מכונית שדלתותיה פתוחות והמפתח בסוויצ', מאשר מכונית שהדלתות שלה נעולות, יש קודן שממומשק למחשב של האוטו כך שצריך להחליף גם את המחשב כדי להתניע, ההגה וידית ההילוכים נעולים ברב-בריח, הלא-כן?

נמאס לכם לזכור סיסמאות? לחצו כאן!

בהמשך קצת התבלבלתי.

אני מניח שיש הבדל בין לחשוף לחלוטין את המחשבים לאינטרנט לבין VPN, כך למשל בשיטת LT2P צריך משתמש, סיסמה, וCA.
בקשר להשוואה שנתת למכונית, לא לגמרי הבנתי מה דומה למה, האם הVPN הוא פחות מאובטח מאשר פיירוול בסיסי?

VPN זה חור נוסף בדרך אל תוך הרשת שלך (בלעדיו, הדרך היחידה לרשת שלך תהיה פריצת הפיירוול). כשיש לך שני דברים שעושים אינטראקציה עם האינטרנט - גם הפיירוול, וגם ה-VPN, הגדלת את מספר הפגיעויות שאתה יכול להיות חשוף אליהן. בייחוד משום שרוב ה-VPN-ים, כדי לאמת אותך, מאשרים לך לפתוח חיבור ורק אז מאמתים את הזהות שלך. בחיבור מוצלח לתוך תוכנה יש סיכוי גבוה יותר למצוא חורים מאשר מצב שבו תוכנה תאפשר לך כניסה רק לאחר שתאמת את נסיון החיבור הראשוני שלך במשהו שרק אתה והיא יודעים, ואנשים אחרים לא. יש כל מיני שיטות לזה - יש Port Knocking, ויש Digital Packet Signing (שעדיפה לעניות דעתי), שבה בקשת החיבור שנשלחת עוברת חתימה דיגיטלית באמצעות מפתח סודי שיש רק לשרת ולקליינט. אם השרת רואה בקשת התחברות אליו ולא מצליח לאמת את החתימה - החיבור בכלל לא ייפתח (בשונה מ Port Knocking, שם "דפיקה" על פורט מסויים תפתח את ה"דלת" לחיבור - למרות שגם את זה אפשר לשכלל) - ושהחיבור לא נפתח - קצת קשה יותר לנצל את מה שלא קיים (ועוד יתרון מעניין - סריקת פורטים על IP של שרת VPN שכזה תראה לסורק שפשוט אין אף פורט פתוח ומאזין...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

ההגיון שלי דוקא אמר הפוך, יש לך פה שני "חומות" שאתה צריך לעקוף כדי לפרוץ, גם את הVPN וגם את הפיירוול. אבל אתה אומר שזה בעצם חיסרון..

מה שכן, אני חושב שלמשל בפתרון של Check Point הוא בדיוק מה שאמרת על Digital Packet Signing
בבקשת ההתחברות הראשונה לשרת הCP, מתבצע אימות של חתימה דיגיטילית, ורק אז יש גישה.
בפתרון של מייקרוסופט אם מתקשרים בפרוטוקול L2TP צריך Shared key בכדי לקבל גישה.
האם זה לא אומר שלמעשה אין פורט פתוח ש"מחפש" חיבורים?

אני מדבר על מצב שבו החיבור לשרת כלל לא נפתח אלא אם כן בקשת החיבור נשלחה חתומה דיגיטלית על ידי המפתח הסודי.

נמאס לכם לזכור סיסמאות? לחצו כאן!

PORT KNOCKING עובד ע"י צירוף בקשות לפורטים מסוימים - כשכולם סגורים ולא ניתן לאתר
אותם ע"י סריקת פורטים.

רק לאחר ולקוח ניסה לגשת לפורטים האלו ברצף הנכון אז נפתח עבורו פורט מסוים.
מערכת כזאת היא מעניינת ושימושית ביותר במקרים מסוימים אבל אין להתייחס עליה כתחליף לVPN
אלא רק כתוספת - לדוגמא השרת נראה "מת" לחלוטין לסריקת כל הפורטים - אך אחרי שליחת רצף
תקין מנהל השרת יכול לגשת אליו בSSH לדוגמא וזה בטוח הרבה יותר מסתם שינוי פורט של SSH
למשהו אקראי.

PORT KNOCKING אינה שיטת הגנה מוצלחת נגד נסיון פגיעה מכוון, כשהמטרה ידוע, אבל בדרך
כלל לא מזיק גם במקרה הזה. הוא ממש מצויין אבל כדי למנוע גילוי אקראי וזה איפה שהוא מצטיין
במיוחד מול שאר הטכנולוגיות.

לגבי חתימה דיגיטלית - אין צורך להמציא גלגל מחדש - IPSEC עושה את זה ביחד עם עוד מספר
דברים אחרים שמבטיחים הגנה מלאה על החיבור.

גם אתה לא קראת מה שכתבתי - אין מדובר על חתימה דיגיטלית של המידע המוצפן - שזה דבר שנעשה באופן טבעי בסוג ההצפנה הזו...

מדובר על חתימה דיגיטלית שמובנית בתוך הפאקט הראשוני שיוצר את החיבור. בלעדיה, השרת לא יגיב בכלל (אפילו אם אתה סורק את השרת ויודע שיש שם שרת!)

נמאס לכם לזכור סיסמאות? לחצו כאן!

הערה קטנה לגבי הסעיף האחרון... אבטחת מידע היא risk management. לא כולם צריכים את "חבילת הביטוח" היקרה ביותר, בסופו של יום.


מה שכן, בהיות OpenVPN חינמי ואף קל לפריסה, די קשה להביס אותו מכל היבט שהוא...

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

מחפשים איך לפרוץ את מה שכולם משתמשים.

FUD מפורסם, בדרך כלל נתקלים בו כשחובבי מוצרי מיקרוסופט מנסים לתרץ מדוע רוב באגי האבטחה החמורים מתגלים רק במוצרי מיקרוסופט, ולא באף מוצר אחר (שמשתמשים נגדם בטענה ההפוכה ומזכירים להם שדווקא רוב השרתים באינטרנט פשוט לא מריצים מוצרים של מיקרוסופט, ולכן דווקא לא הגיוני שיחפשו באגים דווקא במוצרים של מיקרוסופט, ולא במוצרים הפופולאריים יותר בשרתי אינטרנט, כגון לינוקס, סולאריס, ו-BSD, הם מתחילים לגמגם כל מיני דברים לא מובנים...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

מול תוכנות הAV האחרות, שם זה לא רק FUD.

כאשר יש low-hanging fruit מובהק (קרי, מוצרי מיקרוסופט), מסיבה ברורה תוכוון האש עליו ללא קשר לאחוז השליטה שלו בשוק.

כאשר אין כזה, הפגיעה אכן תהיה לפי אחוזי השוק.

לכן זה קורה במוצרי סימנטק ולא קורה לאפצ'י מול IIS (למרות ש IIS אכן השתפר, חייבים לציין)

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

תסכים איתי שתוכנה לא מוכרת, למרות שיהיה לה low-hanging fruit מובהק לא תעניין אף אחד.
ככל שהתוכנה מוכרת יותר, היא תאתגר יותר אנשים. יש קשר ישיר בין אחוז השליטה בשוק לבין אחוז הפריצה.

אז אתה אומר ש Apache לצורך העניין לא נפוצה?

נמאס לכם לזכור סיסמאות? לחצו כאן!

לפי מה שאני יודע. תקן אותי אם אני טועה...

כלומר מה שעושה תוכנה לבטוחה יותר או לא, הוא כמה היא בטוחה או לא, ולא כמה משתמשים בה או מי היצרן שלה, הלא כן?

נמאס לכם לזכור סיסמאות? לחצו כאן!

השאלה כמה משפיע כל גורם.

אני מצטער להגיד לך, אבל בטיחותו של מוצר נמדדת באיכות קוד.

אם תתעסק בסטטיסטיקה של "כמה משהו נפוץ" בתור האומדן במה להשתמש - לדעתי אתה עושה טעות. אולי משהו לא יהיה נפוץ, אבל אם מישהו באמת רוצה לפרוץ אלייך (ולא סתם אל מחשב אקראי) - והוא באמת יתאמץ - מי שיציל אותך במקרה הזה היא לא הנפוצות או אי הנפוצות - אלא איכותו האובייקטיבית של המוצר שבו אתה משתמש.

למרות שגם לפי השיטה שלך OpenVPN עדיף - הוא הרי פחות נפוץ מצ'קפויינט...

נמאס לכם לזכור סיסמאות? לחצו כאן!

בוודאי שהאומדן הוא לא רק כמה המוצר נפוץ, צריכים ומוכרחים לבדוק כמה המוצר בטוח/מאובטח.
מה שאני אומר הוא (ואני מניח שאתה מסכים איתי בעניין הזה) שיש קשר בין הפופולריות של המוצר לבין האנשים שינסו לפרוץ אותו.
ככל שהמוצר פופולרי יותר, קיים אצל יותר אנשים, יהיה יותר עניין לפרוץ אותו.

Apache יותר נפוץ מ-IIS (אם תשאל כל אחד חוץ מחובבי מיקרוסופט שיודעים תמיד למצוא אתר אחד באינטרנט שעשה סקר תמוה שמראה אחרת מכל שאר הסוקרים...) - ובכל זאת נראה שמנסים לפרוץ הרבה יותר ל-IIS מאשר ל-Apache (לעניות דעתי פשוט משום שרוב הפורצים ינסו לפרוץ להיכן שקל יותר...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

מה שאתה אומר הוא שהשיקול של קלות פריצה גובר על השיקול של הפופולריות.
למרות שבמקרה הספציפי שהבאת כמדומני יש חיבה מיוחדת לפרוץ למוצרי מייקרוסופט, מכיון שיש "אהדה" בציבור למוצרי מייקרוסופט (למשל, בחורים כמוך.. כמו שאני מבין מדבריך).

מצטער לאכזב אותך, אך אני לא פורץ לא לאלה ולא לאלה

גם לא היה כל כך איכפת לי מקיומם של מוצרי מיקרוסופט (שאיני משתמש בהם באופן אישי), אלמלא קיומם היה מפריע לי לעשות דברים שאני רוצה לעשות רק בגלל שהם קיימים, דבר שנעשה בכוונה כדי להשתלט על העולם בכוח, גם למי שממש לא מעוניין (וזו לא קלישאה), ולא כי זה כורח מציאות טכנולוגי. חפש באינטרנט על ה-EEE שלהם ותבין.

נמאס לכם לזכור סיסמאות? לחצו כאן!

בחורים כמוך התכוונתי ל"אוהדי" מייקרוסופט, לא לאלו שפורצים.
אישית אני מתפרנס ממוצרי מייקרוסופט כך שקצת קשה לי לשנוא אותם... אבל אני בהחלט יכול להבין את השינאה כלפיהם. למרות שאני מאמין שכל אחד במצב שלהם היה נוהג כמותם משיקולים כלכליים.

אני גם מתפרנס ממוצרי מיקרוסופט, וזה לא מפריע לי לא לשנוא אותם. אני חושב שהחברה מתנהגת בברוטליות כלפי הלקוחות שלה ונגד האינטרס שלהם. זה לא אומר א-פריורית שמבחינת לקוח נתון במצב נתון מוצרי מיקרוסופט לא מתאימים (לפעמים להיפך), אבל זה כן אומר משהו לטווח הארוך ולכן ללקוחות שעבורם מיגרציה היא אופציה מתאימה, אני ממליץ עליה בהחלט.

לחופש אין מחיר אבל אין לו תאריך, עד שתחליט על מיגרציה!

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)