Názory k článku
Informace o Češích tečou do Číny. Stát vůči tomu vydal varování, je nutné ho zohlednit

ano, technicky to je hodně podobné, tady hlavní roli hraje to, že s Čínou nemáme žádné smlouvy, které by tohle řešily. Čínské společnosti mají i zakázané zveřejňovat zranitelnosti třetí straně mimo Čínu (ať už objevené nebo i ty opravené), takže to co je dostupné, je dostupné jen buď jako únik nebo to objevil někdo mimo Čínu. I na tohle to varování NÚKIB poukazuje. Dříve se s Huawei podepisovalo NDA a enterprise zákazníkům dával přístup do databáze CVE, dnes sice ten přístup máš pořád, NDA také, ale prostě se tam ty vážné zranitelnosti neobjevují, za posledních 12 měsíců žádná, přitom bezpečnostní aktualizace chodí pořád, jen nevíš, co v nich je.

Na jednu stranu se teď tlačí na výrobce, aby byly za své díry nějak odpovědní, na druhou stranu se tlačí na produkty ze zemí, s kterými nemáme rozumně nastavené vztahy, aby ty produkty se buď nepoužívaly nebo chovaly jinak. To je přece v pořádku, ne?

Říkáš, že je nikdo neřeší a pak zároveň kritizuješ zkb2, který se právě tyhle konkrétní věci snaží řešit a omezovat, tj. aby ani nemohlo být neaktualizované meraki s cloud přístupem v kritické infrastruktuře.

A co vyresi smlouva v momente, kdy mi data od libovolneho "spravneho" vyrobce utecou diky tomu, ze je jejich aplikace derava jak reseto do Ciny? Ja se muzu stavet na hlavu, ale ty data v Cine skonci. A navic se porad bavime o tom, ze se na vec musi prijit, tedy - musi se explicitne zjistit, ze ty data nekde utikaji. I po systemech statni spravy se tu cinani prochazi cele roky zcela bez povsimnuti (viz treba APT31 na MZV). Mimoto, on ani ten cinan asi nebude zas tak blbej a nebude nutne pouzit zrovna cinske adresy, tak aby to slo identifikovat aspon podle geoIP... za par susni si pronajme infrastrukturu klidne v CR (ci okolo po EU), treba i pres nejakyho nastrcenyho kone a bezny smrtelnik nema sanci zjistit, co je to zac. A samozrejme, cim vetsi "humbuk" kolem bude, tim vice se bude snazit utocnik skryt - a tedy se bude hure ta aktivita vubec identifikovat.

Realne se to delo treba i u utoku NoName057, kdy source byly mimo jine v CR... tam taky primo do Ruska vedlo jen minimum identifikovatelnych stop, samotny utoky litaj spokojene z EU z beznych komercnich sluzeb. A ze se v cervenci pochlubili, jak to rozbili? Bejvavalo, uz to tu zase vesele lita.

Co predvadi NUKIB je cista politika a ne realne reseni bezpecnosti. Protoze tak jednoduche to v dnesnim globalizovanem svete neni - viz i ty auta ad nize - kdy je zrejme, ze ani oni nemaji podchycene detaily - i kdyz tim viditelne nekdo travi cas. A jede se primarne PR - viz vyse odkazane "rozbiti" nounejmiho botnetu, ktere melo jen jepici zivot. Ale ze by nekdo varoval, ze to je zpet... tobychom po uradu chteli moc, ze? :-) Realne resi jen to co je pro ne samotne jednoduche - ukazuji prstem na firmy jen na zaklade zeme puvodu. Ale mozne prusvihy okolo se neresi. Cinan se svym zpusobem musi te nasi neschopnosti smat.

A s tim co predvadi trumpetka bych byl opatrny i ve vyrocich o rozumne nastavenych vztazich - ktere dnes spise funguji systemem nahodnych erupci, kdy se spousta veci spise popira. Mame to ostatne o clanek vedle ve vztahu k cloudovym sluzbam, kde dodavatel... ehm... nemuze zarucit... ze bude vsechno v cajku jak si myslime ze bude. A ano, opet se bavime o prostredi, kam se sype taky kdeco... protoze mit to onprem neni cool & in.

analýza rizik!

Tohle je varování o tom, že se tahle aktivita děje, že to je problém a že si subjekty musí na to dát pozor a zohlednit ve své analýze rizik. Pokud jim to výjde, že to je ještě v pořádku či mají jiné mechanismy, jak tomu zabránit, ok, nic se neděje, když to použijí.

Stejně tak to je s děravým SW od velkých západních výrobců, musím to zohlednit v analýze rizik a podle toho se zařídit. Co si ale budeme povídat, většina průniků je prostě na neaktualizovaných zařízeních.

Za mě je ale velký špatný to, na co jsem už upozorňoval, zákaz zveřejňovat zranitelnosti u čínských produktů. To se pak blbě dělá analýza rizik. Vč. pak naprosto tristní dokumentace, kdy prostě ti spoustu HW a SW věcí ani nezmíní, na to nejspíš zpráva NÚKIBu naráží. To jestli to je řízeno státem nebo jen ty společnosti jsou k tomu liknavé a pak se to může využít je vlastně asi jedno, důsledek je obdobný.

Analyza rizik je takovy krazny buzzword, jo papir toho snese. Ale v praxi muze byt problem ty veci do detailu zanalyzovat - a bohate staci zustat u toho, ze je potreba zjistit jaka rizika jsou spojena s dodavatelem sidlicim mimo CR. Ono ne vse funguje podle "ceske jurisdikce", kde s nejakou mirou jistoty ty informace mame i verejne. Nicmene ani to neni dokonale - staci nejaky bily kun, ktery si necha zaplatit a ten, kdo skutecne taha za nitky je skryt v pozadi. A ne, bezna firma opravdu nema stejny aparat, co maji tajne sluzby - a a ty sve informace moc nebudou, ze? :-) Zjistovat informace o zahranicnich dodavatelich muze byt nemaly problem.

Ano, vetsina pruniku je skrze neaktualizovane veci. A u sofistikovanejsich apliances clovek ani nemusi vedet, ze tam tu diru ma - ono ne kazdej ma cas/prostor na to zkoumat, jaky bordel v tom nekolikagigabaj­tovem slepenci dodaneho nejakym klidne ceskym, nemeckym ci treba americkym dodavatelem vlastne je. Aneb i v Cesku se nam tu za drahe penize prodavaji veci (kupovane i NUKIBem), ktere jsou stale bastlem nad jiz EOL Centos7 a vselijak rucne poflikovane, jen aby to "navenek" vypadalo hezky. O dalsich vendorech prodavajici "cool" management appliance nemluve - za hezkym webikem je skryty softwarovy hnuj. Opet, dostavame se k tomu, ze tohle neni pro spoustu firem realne vubec nejak analyzovat - a tedy vyhodnotit rizika.

Co se (ne)zverejnovani tyce - ono embarga na zranitelnosti mame i v "civilizovanem" svete. Nekdy oprava trva i cele mesice (a do te doby to neni verejne), ale soucasne nikdy neni jistota, ze na tu diru pod embargem neprisel jeste nekdo z tech neprilis hodny - nedejboze, jestli ji rovnou nezneuziva. Ne kazdy chodi po svete s bilym kloboukem na hlave, zeano. Tristni dokumentace... ehm, opet - to je vlastnost hromady produktu, ze dokumentace je takova spartanska. To je takovy nepekny industry standard, jedno kam se clovek podiva (vc. i hloupych manpages, kde obcas neni dohromady nic a cloveku nezbyva, nez zacit zkoumat zdrojak).

není právě ale riziko i to, že to nejsi schopný posoudit do hloubky nebo zjistit informace? :)

Jo, SW v posledních letech narostl do naprosto absurdních rozměrů, aplikace s sebou táhne 2000 jar souborů, docker image má 8 GB pro frontend, SW typu Informatica zabere 50 GB jen instalačky. Chápu to u her, kde mají textury a grafiku, nechápu to u podobných programů.

Dneska opravdu začínáme pracovat s rizikem, že SW je příliš komplexní na to, aby ho šlo rozumně posuzovat. Za ty roky aspoň vidím, že se konečně i tenhle aspekt zohledňuje.

Embargo na zranitelnost, pokud ještě není opravená je ale něco jiného než nezveřejňování ničeho, co je jen trochu vážné. On Huawei a další čínské společnosti mají opravdu zakázané zveřejňovat zrenitelnosti nečínským společnostem. Naši operátoř se sice kasají, jak Huawei je super levnej a funkční, ale pak na poradách se dost eskaluje a řeší, co vlastně s tím, protože to prakticky znamená, že nejsou schopní sledovat zranitelnosti a jejich opravy a nedokážou to smluvě strčit na třetí stranu.

Ale ono se neco nezverejnuje i cilene. Mame tu i primo firmy, co se primo zivi tim ze prodavaji software krom jineho samotnym bezpecnostnim slozkam, jehoz cilem je se nekam prolomit... a to stoji na cem... inu, krom jineho i na nepublikovanych zranitelnostech. Jejich zajmem nebude o zjistenych zranitelnostech mluvit, notabene se zasazovat o jejich opravu. Kaprici si svuj rybnik nevypusti, zejo. Aneb ono dnes muze byt i byznysovym zajmem (i na te "lepsi" strane) zranitelnost nepublikovat vubec... a vydelat na te znalosti jinak. Proc by nekdo delal charitu, kdyz muze trhnout balik jinde.

Cela teze o zverejnovani zranitelnosti stoji na tom, ze vsichni okolo nas jsou ti hodni, kterym jde o nejake obecne blabo. Ale pak tu mame tuhle sedou zonu, ktera se tise prechazi. A ano, smluvni alibismus stylem "hlavne to mit na nekoho hodit" je sice (formalne) pekny, ale merit veci - tedy zda se citliva data do te Ciny (ne)dostanou to jaksi neresi. A problem roste geometrickou radou prave tim, jak software "kyne", kdy si kazdej s sebou tahne privatni sadu knihoven se kterymi to kdysi nekdo ubehal a od te doby se na to i tvurci boji sahnout.

A realita je takova, ze tu mame pruniky do infrastruktur, kde by clovek apriori ocekaval, ze to maji obednene dukladne - MZV, MVCR... je strasne fajn, ze urednik to alibisticky hodi na smluvniho dodavatele, mozna padne i nejaka ta smluvni pokuticka, ale utekly data uz ten Cinan vracet nebude, zeano :D

ale tohle dělá třetí strana a ne samotný výrobce. Číně legislativa zakazuje čínským společnostem zveřejňovat vážné a kritické zranitelnosti, ať už ty neopravené, tak i ty opravené. To o čem mluvíš je naprosto diametriálně něco jiného.

Pořád píše dokola to stejné. Podívej se jak třeba zmiňované cisco zveřejňuje zranitelnosti, řekne její číslo, popíše větou o co se jedná (memory overflow whatever), v kterých produktových řadách byla a jaký patch jí opravuje. Tohle není nic, co by mohl nějak efektivně a přímo využít útočník, ale ani tohle ti Huawei nemůže zveřejnit.

Dříve jsi býval v oboru poměrně informovaný, věděl jsi, dnes ale hodně mluvíš a vlastně to vypadá, že s tím už nepracuješ. Pohádky o tom, že si někdo nebude vypouštět rybník není nic jiného než konspirace převlečená v argument.

NIS2 neumožňuje přenést odpovědnost za zranitelnost jen tím, že za to může dodavatel a má smluvní pokutu.

To je hezke, ale ona nase legislativa zrovnatak nikomu neprikazuje zname zranitelnosti hlasit vyrobci. Mozna se to drobne lisi - ale vysledek je stejny, koncovy uzivatel se o zranitelnosti nedozvi i v situaci, kdy je aktivne zneuzivana. Rozhodne bych netvrdil, ze je to diametralne jine, dopady jsou stejne.

Rozhodne taky neplati, ze by na Huwaei zadne zranitelnosti neexistovala. Nejaky zakon mozna existuje, ale informace dostupne v praxi jsou. To si fakt nejsou lidi schopni aspon vygooglit neco a jen papouskuji nejake politicky motivovane plky odjinud? :-) Protoze tohle je primarne o politice... ano, muzeme licitovat o tom, jestli je publikovane vse, ale to nevime nikdy a u nikoho.

Takze ano, muzu oponovat i tim, ze ty sam jsi neinformovany a podlehas politicky motivovanym plkum, aniz by sis overoval fakta :-) Lhat se nema - a to ani o nepriteli, protoze to proste smrdi propagandou a s resenim (technicke) bezpecnosti to nic spolecneho nema.

Co se samotneho NIS2 tyce - uz i v EU zaznivaji hlasy mj. ohledne nekonzistenci ve vztahu k dalsim smernicim - aneb uz ted se mluvi o tom, ze nektere veci bude nutne revidovat. Zrovnatak se mluvi o tom, ze je nutne mit politiky v ramci EU harmonizovane, do cehoz progamove NUKIB hazi vidle svymi lokalnimi vymysly, zeano.

Třeba Mini Cooper EV "J01" (označení modelu z roku 2024) a Aceman EV "J05" od BMW jsou vždy z Číny. Teprve příštího roku by je chtěli dělat i v Británii.
Z opačného konce je Dacia Spring také čistá Čína (Renault-Dongfeng plant in Shiyan, China)