Acceso VPN remoto y traslado a la nube

Question

Acceso VPN remoto y traslado a la nube

#1 de Anti-weakpasswords (2 votos)

1

En primer lugar, mi pregunta está relacionada con la seguridad de la aplicación web.

A menudo, cuando quiero sugerir a los clientes que se trasladen a la nube para ciertas aplicaciones, me dicen que nuestros clientes son reacios a hacerlo debido a consideraciones de seguridad, aunque no sea necesario almacenar los datos en la nube. Con eso quiero decir, los datos se almacenan solo en sus sistemas de back-end. Estos sistemas de back-end están alojados en sus propios servidores dentro de su red. Los sistemas de back-end ofrecen servicios web que pueden ser cifrados SSL. Los sistemas de back-end no estarán expuestos directamente a Internet, el tráfico se enrutará a través de componentes de red adicionales como proxies inversos, firewalls y otros. Además, los datos se enrutan a través de una plataforma en la nube de terceros en la que se aloja la aplicación web. La misma plataforma (SAP.com) proporciona la plataforma en la nube que proporciona el software para los sistemas de back-end. Y se espera que ese escenario no sea seguro.

Sin embargo, para estos clientes, tenemos un acceso remoto a sus sistemas back-end productivos a través de la VPN del cliente (por ejemplo, IPSec VPN, Citrix).

Después de leer enlace llegué a la conclusión de que tanto los datos "cifrados" de VPN como los datos cifrados TLS se puede descifrar si el cifrado es débil y los atacantes tienen suficiente presupuesto para romper el cifrado. Tengo entendido que estos 2 escenarios (VPN a través de datos a través de varios componentes de red con codificación TLS) ofrecen básicamente los mismos estándares de seguridad si se realizan correctamente: me ayudó en ese contexto . ¿Mi entendimiento es correcto o me pierdo algunos aspectos?

cryptography tls vpn

pregunta ReG-Mac 01.02.2016 - 05:59

fuente

1 respuesta

Lea otras preguntas en las etiquetas cryptography tls vpn

¿Cómo se puede hacer hash de forma segura en el lado del servidor de contraseñas y evitar el DoS? [duplicar] FTP plano (sin cifrado)

score 2 · Accepted Answer

Primero, SSL se detuvo en la versión 3.0, que tiene fallas masivas. TLS se encuentra actualmente en 1.2 (más una gran cantidad de actividad en el grupo de trabajo TLS 1.3). Esto generalmente es una cuestión de acrónimo: es de esperar que cuando diga SSL encriptado, realmente se refiera a TLS, y específicamente se refiera a TLS 1.2 con cifrados AEAD.

En segundo lugar, para TLS de cualquier tipo, la selección de la versión de protocolo y del conjunto de cifrado es fundamental. Consulte Mi respuesta a Ahora que es 2015, ¿qué conjuntos de cifrado SSL / TLS se deben usar en un entorno HTTPS de alta seguridad? , que en este caso se reduce a: Use TLS 1.2 SOLAMENTE (sin degradar) con DHE o ECDHE, un cifrado AEAD (AES-GCM, ChaCha20) y SHA-2.

Tercero, VPN puede ofrecer algunas protecciones como OpenVPN's --tls-auth, que es una clave precompartida que evita que los clientes que carecen de esta clave intenten conectarse. Consulte el artículo sobre Hardening en OpenVPN . TLS también puede intentar usar certificados de cliente para la autenticación.

Cuarto, le faltan varios puntos con respecto a los clientes que tienen problemas de seguridad con respecto a las aplicaciones en la nube:

La "nube" no es más que "servidores que no tengo"
Por lo tanto, permiten que los servidores que no poseen acceso a su back end
Estás tratando de cubrir los canales de comunicación, pero eso implícitamente significa que confías tanto en los servidores del cliente como en los servidores en la nube que son propiedad de otra persona. Los clientes claramente no confían en esos servidores en la nube de la misma manera.
Confiar en un proveedor de software es diferente a confiar en un proveedor en la nube. El proveedor de software no puede extraer todos los datos de los sistemas del cliente sin acceso adicional, ni puede ingresar otros datos, y ese acceso adicional puede ser administrado cuidadosamente y de alcance y duración limitados.
Un proveedor de la nube puede hacer lo que permita el enlace al back-end, y ese enlace está abierto casi todo el tiempo.
Cada pieza de datos enviada a ese proveedor de nube es una pieza que puede filtrarse, ya sea en tránsito o después de su llegada, o días, meses o años después de que ese proveedor de nube venda descuidadamente algunos discos duros viejos, después de su nube. el servicio se estaba ejecutando en un sistema operativo que intercambiaba parte de la memoria RAM que contenía los datos de propiedad, financieros y de atención médica del cliente debido a la presión de la memoria, y nunca sobreescribía esos sectores del disco.
- El borrado de datos es, por supuesto, más costoso que no borrarlo.
- Y es posible que la empresa que se deshace de los discos no sea el proveedor actual de la nube. Es posible que el negocio se haya vendido, la compañía se haya colapsado como Enron o Leeman Brothers, etc.
Y luego está el último caso, donde una o ambas partes compraron aparatos VPN muy conocidos y de gran prestigio, solo para encontrar una puerta trasera masiva en ellos, como el reciente caso de Juniper . Ninguna cantidad de configuración correcta puede ayudar con eso.