Proposte di progettazione per una maggiore sicurezza per parti di Internet, ad es. per il settore bancario?

6

C'è qualche discussione recente su una sorta di Internet "multilivello", ad es. un livello definito per il settore bancario in cui l'accesso viene concesso solo dopo un'autenticazione speciale con "nomi veri", credenziali speciali e un consenso esplicito per consentire le ricerche di pacchetti:

Ex direttore della CIA: crea un nuovo Internet per migliorare la sicurezza informatica - Nextgov

"The most important value of a dot-secure domain is that, like dot-gov and dot-mil, now we can satisfy consent under the Fourth Amendment search requirements for the government's defenses to do their work within that domain, their work of screening for attack signals, botnets and viruses."

searches of the .gov domain are conducted by the Einstein program, an intrusion prevention and detection system under the direction of the Homeland Security Department that monitors only federal traffic for signs of unauthorized access.

Qualcuno ha visto delle proposte tecniche su come progettare qualcosa lungo quelle linee che potrebbero effettivamente portare a una maggiore sicurezza? O è solo un cattivo rapporto o burocrati senza clamore che parlano?

Talvolta questo è associato a un dominio di primo livello ".secure", ma senza molti altri meccanismi che, naturalmente, non farebbero nulla per aiutare la sicurezza.

E partendo dal presupposto che tutti i siti Web in questo livello .secure di Internet utilizzano SSL in ogni momento, a cosa serve il governo per avere il permesso legale di cercare i pacchetti?

In alternativa immagino di poter immaginare una sorta di grande VPN semi-pubblica a cui l'accesso è controllato - è stato esplorato? Ma trovare meccanismi resistenti al phishing o al DDoS sembra ancora piuttosto difficile.

    
posta nealmcb 11.07.2011 - 18:59
fonte

2 risposte

4

La mia ipotesi, dalla lettura dell'articolo, è che la rete immaginata è principalmente Internet come la conosciamo, tranne che grazie a qualche inganno per quanto riguarda la costituzione (USA), la presenza di un " .secure " a la fine del nome consente a un'agenzia (statunitense) di implementare varie misure di intercettazione. Il sistema proposto dovrebbe consentire solo gli utenti "autorizzati", il che probabilmente significa che chiunque desideri utilizzare una macchina " .secure " dovrà fornire una copia della sua chiave privata SSL alla CIA / NSA / qualsiasi altra cosa, o qualcosa del genere. Potrebbero chiamarlo " Vendetta del chip Clipper ".

Non c'è nulla di veramente tecnico qui; solo legale. Il tutto è impressionante nella sua americanità (un espediente legale degli Stati Uniti a beneficio delle agenzie statunitensi, con il "consenso" derivante dalla parola "sicuro" - che non è .sécurisé o .seguro o .sichern o .terjamin ).

    
risposta data 11.07.2011 - 19:25
fonte
3

A parte il fatto che questo è chiaramente inteso solo come un meccanismo di sorveglianza:

Come fa l'utente a sapere e controlla che si trovi su un dominio ".secure"? In che modo è diverso dal controllare che tu sia su bank.com istantaneo di badbank.com? Hai esattamente gli stessi problemi sul lato client.

Se ora pensi di poter aggiustare questo per OS, hypervisor o applicazione per il client, per la formazione degli utenti, o posizionando grandi finestre di avviso rosse: tutto ciò è stato fatto prima. Non è pratico o ha un impatto pratico molto limitato.

    
risposta data 11.07.2011 - 22:15
fonte

Leggi altre domande sui tag