Krzysztof Katowicz-Kowalewski

Rate limit exceeded; follow on

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 heh, w tym momencie to już jestem całkowicie pewny że robisz to dla zasięgów ;) cóż, gdyby komuś chciało się wejść w linka to znajdzie tam więcej merytorycznego contentu który nie trafił w poglądy autora. Kończę, miłego prowadzenia dalszej rozmowy z innymi których ten temat kręci

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 @BartekSzyma Budując realne systemy musisz wybrać komu ufasz - nie da się praktycznie nie ufać nikomu.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 @BartekSzyma głównie dlatego, że cała Europa jest narażona na supply-chain risk ze strony US jeśli mielibyśmy zakładać wrogie działania z ich strony, i wykorzystanie vendora do WAFa nie ma dużego znaczenia. To dlatego Chiny budują całe systemy operacyjne od zera albo w oparciu o open-source.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 @BartekSzyma wybacz Grzesiek ale nie będę robił ci zasięgów; oceny ryzyka i analiza audytów to usługi komercyjne - tu odpowiadam dla fun’u po godzinach pracy

[Krzysztof Katowicz-Kowalewski @varseand]

@BartekSzyma @gps65 taka dyskusja na X’ie byłaby całkiem ciekawa choć nie wiem czy merytoryczna

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Nie wiem, daleko mi do polityki. Mogę jedynie zgadywać, że jeśli była to intencjonalna decyzja to mogła wynikać z akceptacji ryzyka przez to, że i nie da się go całkowicie wyeliminować i dlatego lepiej przeznaczyć zasoby na inny cel. Dosyć częsta praktyka w zarządzaniu ryzykiem.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Polecam też ciekawy temat jak działają CA, które technicznie są w stanie podpisać certyfikaty dowolnych domen *.pl. Biorąc to pod uwagę kwestia używania vendora z produktem o dobrej renomie, nawet w modelu SaaS, nie brzmi tak złowrogo :)

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Mimo wszystko zmartwię Cię jednak chyba bo jeśli uwzględnimy duże firmy amerykańskie w naszym modelu zagrożeń to nie potrzebują one KSeFu, wystarczy im monopol na systemy mobilne i desktopowe żeby mieć techniczne środki na dostanie się do większości rządowych danych.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Pierwszy wniosek “połączenie TLS kończy się na infrastrukturze Imperva” jest przedwczesny. Może być jak piszesz (to źle), albo może by “połączenie TLS kończy się na infrastrukturze KSeF z zainstalowanym produktem Imperva” (to lepiej).

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Nie mam zbyt dużo czasu tego analizować, ale jedna rzecz która rzuciła mi się w oczy to AWS który jest w dużej mierze wykorzystywany przez rząd USA w ramach AWS GovCloud. Warto tu rozróżnić ryzyko supply-chain i inne (bezpieczeństwo produktu, dojrzałość procesów, etc.)

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 1) niekoniecznie, i to starałem się przekazać wyżej

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Prosiłeś o opinię osoby pracujące nad bezpieczeństwem, wyraziłem swoją. Nie do końca rozumiem pytanie. Reszta w pozostałych odpowiedziach przez limit znaków.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Technicznie masz rację, że dostawca oprogramowania może umieścić w nim luki albo wydobywać przechodzące przez nie informacje ale to samo można powiedzieć o Microsoftcie i Windowsach na których pracuje administracja.

[Krzysztof Katowicz-Kowalewski @varseand]

@gps65 Do potwierdzenia czy zostały tutaj wykorzystane. Jeśli tak, nie brzmi to tak źle bo nie uda się wyeliminować ryzyka łańcucha dostaw (supply-chain risk) z modelu zagrożeń całkowicie.