Mission Critical Security [chiuso]

Question

Mission Critical Security [chiuso]

Naviga le tue risposte

#1 da (5 voti)
#2 da (1 voti)

-5

Ho pensato che se TLS è ben implementato è sufficiente per la sicurezza.

Oggi ho analizzato PubNub (Global Data Stream Network) e ho trovato questi passaggi per la sicurezza:

comunicazione su TLS
AES-256 per crittografare e amp; decrittografare i dati
e firma dei messaggi con HMAC

Non è ridondante e inutile usare il secondo e il terzo passo? Ho pensato che TLS sia una soluzione tutto in uno.

Per favore mi raccomandi alcuni libri relativi a questo argomento.

Voglio implementare un servizio mission critical per migliaia di persone e voglio imparare come farlo correttamente prima di iniziare.

tls

posta se7en 04.08.2015 - 16:27

fonte

2 risposte

Leggi altre domande sui tag tls

La sfiducia del server migliora la sicurezza? [chiuso] Ho la chiave del testo crittografato, ma non so come usarlo [chiuso]

score 5 · Answer 1

TLS fa una cosa. Lo fa bene (se correttamente implementato), ma lo fa solo. La cosa che TLS fa è proteggere dati in transito . Con buone implementazioni e una ragionevole gestione dei certificati, TLS consente al cliente di essere sicuro che ciò che invia e riceve vada realmente e provenga dal server previsto; i dati non sono stati alterati durante il trasporto e nessun intercettatore ha imparato nulla da questo (*).

Una volta che i dati si trovano sull'altro lato, TLS ha finito e ha svolto il suo lavoro. Ma ciò non significa che ora tutto vada bene. In particolare, archiviazione dati non è coperto da TLS, tuttavia potrebbe avere problemi relativi alla sicurezza.

^{(*) Non è del tutto vero: l'intercettatore può vedere la lunghezza dei dati scambiati. La crittografia in TLS protegge i contenuti - il valore dei singoli byte - ma non la lunghezza .}

score 1 · Answer 2

I metodi di sicurezza non possono mai essere ridondanti se usati insieme. È una protezione per strati. Se nessun livello è stato utilizzato oltre TLS e il protocollo TLS utilizzato era compromesso, l'intero progetto sarebbe stato lasciato aperto. Per questo motivo non dovresti mai dipendere da una soluzione.