Accesso VPN remoto e trasferimento al cloud

Question

Accesso VPN remoto e trasferimento al cloud

#1 da (2 voti)

1

Prima di tutto, la mia domanda è correlata alla sicurezza delle applicazioni Web.

Spesso, quando voglio suggerire ai clienti di passare al cloud per determinate applicazioni, mi viene detto che i nostri clienti sono riluttanti a farlo a causa di considerazioni sulla sicurezza, anche se non sarebbe necessario archiviare i dati nel cloud. Con ciò intendo, i dati vengono memorizzati solo nei loro sistemi back-end. Questi sistemi di back-end sono ospitati sui propri server all'interno della loro rete. I sistemi di back-end offrono servizi Web che possono essere crittografati con SSL. I sistemi di back-end non saranno esposti direttamente a Internet, il traffico verrà instradato su componenti di rete aggiuntivi come proxy inversi, firewall e così via. Inoltre, i dati vengono instradati su una piattaforma cloud di terze parti su cui è ospitata l'applicazione web. La piattaforma cloud è fornita dalla stessa società (SAP.com) che fornisce il software per i sistemi di back-end. E questo scenario dovrebbe non essere sicuro.

Tuttavia, per questi clienti abbiamo un accesso remoto ai loro sistemi di back-end produttivi tramite la VPN del cliente (ad esempio VPN IPSec, Citrix).

Dopo aver letto link sono giunto alla conclusione che sia i dati "crittografati" della VPN sia i dati crittografati TLS può essere decodificato se la crittografia è debole e gli hacker hanno un budget sufficiente per rompere la crittografia. La mia comprensione è che questi due scenari (VPN tramite dati su diversi componenti di rete crittografati con TLS) offrono fondamentalmente gli stessi standard di sicurezza se eseguiti correttamente - Qual è la differenza di sicurezza tra una connessione VPN e SSL? mi ha aiutato in quel contesto . La mia comprensione è corretta o mi mancano alcuni aspetti?

cryptography vpn tls

posta ReG-Mac 01.02.2016 - 05:59

fonte

1 risposta

Leggi altre domande sui tag cryptography vpn tls

In che modo una sola password di hash può essere protetta lato server evitando il DoS? [duplicare] ms08_067_netapi non funziona come previsto su Windows XP SP1 / SP3

score 2 · Accepted Answer

In primo luogo, SSL si è fermato alla versione 3.0, che è gravemente imperfetta. TLS è attualmente a 1,2 (più un sacco di attività nel gruppo di lavoro TLS 1.3). In genere si tratta di un acronimo: si spera che quando si dice crittografia SSL, in realtà si intenda TLS e in particolare si intende TLS 1.2 con crittografi AEAD.

In secondo luogo, per TLS di qualsiasi tipo, sia la versione del protocollo che la selezione della suite di crittografia sono fondamentali. Si prega di consultare La mia risposta a Ora che è il 2015, quali suite di crittografia SSL / TLS dovrebbero essere utilizzate in un ambiente HTTPS ad alta sicurezza? , che in questo caso si riduce a: Utilizzare TLS 1.2 SOLO (nessun downgrade) con DHE o ECDHE, un algoritmo AEAD (AES-GCM, ChaCha20) e SHA-2.

In terzo luogo, la VPN può offrire alcune protezioni come OpenTvN --tls-auth, che è una chiave pre-condivisa che impedisce ai client che non hanno questa chiave di provare a connettersi. Vedi l'articolo di Indurimento su OpenVPN . TLS può provare a utilizzare anche i certificati client per l'autenticazione.

In quarto luogo, mancano diversi punti relativi ai clienti che hanno problemi di sicurezza per le applicazioni nel cloud:

Il "cloud" non è altro che "server che non possiedo"
Pertanto, stanno permettendo ai server che non possiedono l'accesso al proprio back-end
Stai cercando di coprire i canali di comunicazione, ma ciò implica implicitamente che ti fidi sia dei server del cliente che dei server cloud di proprietà di qualcun altro. I clienti chiaramente non si fidano di questi server cloud allo stesso modo.
Affidarsi a un fornitore di software è diverso dal fidarsi di un fornitore di servizi cloud. Il fornitore del software non è in grado di succhiare tutti i dati dai sistemi del cliente senza ulteriore accesso, né può inserire altri dati e che un ulteriore accesso può essere gestito con cura e di portata e durata limitata.
Un provider cloud può fare tutto ciò che consente il collegamento al back-end e questo link è aperto quasi sempre.
Ogni dato inviato a quel fornitore di servizi cloud è un pezzo che può perdere, sia in transito, sia dopo l'arrivo, o giorni, mesi o anni dopo che il fornitore di servizi cloud vende alcuni vecchi hard disk con noncuranza, dopo il loro cloud il servizio era in esecuzione su un sistema operativo che scambiava alcuni RAM con i dati proprietari, finanziari e / o sanitari sul disco a causa della pressione della memoria, quindi non sovrascriveva mai quei settori del disco.
- Pulire i dati è, ovviamente, più costoso che non cancellarli.
- E l'azienda potrebbe sbarazzarsi dei dischi potrebbe non essere l'attuale fornitore di servizi cloud - che le attività potrebbero essere state svendute, la società potrebbe essere crollata come Enron o Leeman Brothers, ecc.
E poi c'è l'ultimo caso, in cui una o entrambe le parti hanno acquistato apparecchi VPN ben noti e molto apprezzati solo per trovare una massiccia backdoor in loro, come il recente caso Juniper . Nessuna quantità di configurazione corretta può esserti d'aiuto.