Diseñar propuestas para mejorar la seguridad de partes de Internet, por ejemplo. para la banca?

6

Hay una discusión reciente sobre algún tipo de Internet "multinivel", por ejemplo, un nivel definido para la banca en el que el acceso solo se otorga después de una autenticación especial con "nombres verdaderos", credenciales especiales y un consentimiento explícito para permitir búsquedas de paquetes:

Ex Director de la CIA: construya un nuevo Internet para mejorar la ciberseguridad - Nextgov

  

"El valor más importante de un dominio de punto seguro es que, como dot-gov y dot-mil, ahora podemos satisfacer el consentimiento bajo los requisitos de búsqueda de la Cuarta Enmienda para que las defensas del gobierno hagan su trabajo dentro de ese dominio, su trabajo de detección de señales de ataque, botnets y virus ".

     

las búsquedas del dominio .gov las realiza el programa Einstein, un sistema de prevención y detección de intrusos bajo la dirección del Departamento de Seguridad Nacional que supervisa solo el tráfico federal en busca de señales de acceso no autorizado.

¿Alguien ha visto alguna propuesta técnica sobre cómo diseñar algo en ese sentido que pueda resultar en una mejor seguridad? ¿O es esto simplemente un mal informe o los burócratas despistados hablan?

Esto a veces se asocia con un dominio de nivel superior ".secure", pero sin muchos otros mecanismos que, por supuesto, no harían nada para ayudar a la seguridad.

Y suponiendo que los sitios web en este nivel seguro de Internet usan SSL todo el tiempo, ¿de qué sirve que el gobierno tenga permiso legal para buscar paquetes?

Alternativamente, supongo que podría imaginar algún tipo de gran VPN semi pública a la que se controle el acceso, ¿se ha explorado? Pero encontrar mecanismos que sean resistentes al phishing o DDoS todavía parece bastante difícil.

    
pregunta nealmcb 11.07.2011 - 18:59
fuente

2 respuestas

4

Mi opinión, al leer el artículo, es que la red prevista es en su mayor parte Internet como la conocemos, excepto que gracias a algunos trucos con respecto a la constitución (de EE. UU.), la presencia de un " .secure " en el final del nombre le permite a una agencia (de EE. UU.) implementar varias medidas de espionaje. El sistema propuesto debería permitir solo a usuarios "autorizados", lo que probablemente signifique que quien quiera operar una máquina " .secure " deberá entregar una copia de su clave privada SSL a la CIA / NSA / lo que sea, o algo así. Podrían llamarlo " Revenge of the Clipper Chip ".

No hay nada realmente técnico aquí; solo legal Todo esto es impresionante en su americanidad (un truco legal de EE. UU. En beneficio de las agencias de EE. UU., Con el "consentimiento" derivado de la palabra "seguro": no es .sécurisé ni .seguro o .sichern o .terjamin ).

    
respondido por el Thomas Pornin 11.07.2011 - 19:25
fuente
3

Aparte del hecho de que esto claramente se entiende solo como un mecanismo de vigilancia:

¿Cómo sabría el usuario y comprobará que está en un dominio ".secure"? ¿En qué se diferencia esto de verificar que estás en el instante de bankbank de badbank.com? Tiene exactamente los mismos problemas en el lado del cliente.

Si ahora cree que puede solucionarlo mediante el sistema operativo, el hipervisor o el cumplimiento del cliente, la educación del usuario o colocando grandes diálogos de advertencia de color rojo: todo esto se ha hecho antes. No es práctico o tiene un impacto práctico muy limitado.

    
respondido por el pepe 11.07.2011 - 22:15
fuente

Lea otras preguntas en las etiquetas