Vlákno názorů k článku Regulace podle NIS2: Evropské certifikáty neřeší strategickou důvěryhodnost od JVr - Nestudoval jsem detail jak, mají to schéma certifikace...

Nestudoval jsem detail jak, mají to schéma certifikace vymyšlené, ale zkrátka vydat jednou certifikaci tvrdit, že je to nadosmrti (myšleno, dokud je to zařízení podporované) bezpečné, je prostě blbost.

Problémem jsou především aktualizace, někdo by musel důkladně prověřovat každou jednotlivou aktualizaci včetně patche, jestli tam náhodou nedochází k nějaké škodlivé změně. Ano je možné to kontrolovat pravidelně, ale to nestačí, muselo by docházet k důkladné kontrole před každým patchem. To je prakticky nemožné, protože by to bylo poměrně dost drahé a k tomu to chvíli trvá (některé patche chcete aplikovat co nejdříve, aby byla co nejdříve odstraněna zranitelnost). Navíc tvořivost útočníků zde může být poměrně vysoká a mohou pracovat i s tím, že patch sám o sobě je neškodný, ale v kombinaci s tím, co je už v zařízení nainstalováno, to vytvoří něco nového – škodlivého.

Nezbývá nic jiného než důvěra v dodavatele, který SW dodává, ale můžeme takovou důvěru vložit do rukou všech dodavatelů? CrowdStrike nám jasně ukázal, jak jedním updatem dat (pozor nikoliv SW) je možné vyřadit z provozu nemalou část světa…

Tzn. důvěra v jakékoliv bezpečnostní certifikační schéma je dobrá v situaci, kdy jde třeba o OT zařízení, která se jednou nasadí a dále se již nemění. V případě dnešních především pak síťových zařízení, která mají aktualizace pomalu každý den, to není myslím reálné.

10. 9. 2024, 08:18 editováno autorem komentáře

Ano, takhto to funguje treba i s FIPS - tam certifikace neni pro zarizeni "nadosmrti", ale naopak je i pro konkretni verzi software. Ale proc to prebirat, kdyz muzeme vynalezat kolo a mit tu nasi specifickou ceskou cestu, ze? ;-)

Co spis muze byt komplikace je rychlost vyvoje takoveho (bezpecneho) software. Proste pak nejde delat to, co spousta vyvojaru dela s nadsenim - tedy chrli nove verze kodu s novymi a casto ani poradne provozne neotestovanymi funkcemi. O bezpecnosti takoveho kodu radsi ani nemluve. Prekontrolovat "patch" verzi je vyrazne jednodussi nez kontrolovat zcela novy release s uplne novymi fancy featurkami.

Mimochodem tady naopak NUKIB dela nezodpovedne frajeriny, kdy naopak nasazuje "horke novinky" rovnou do produkce (a z pohledu transpozice NIS2 na klicove prvky) a jeste se tim verejne chlubi. Pritom zrovna tady ta proverenost kodu z pohledu jeho bezpecnosti logicky velka nebude a i zpusob nasazeni rozhodne nenaznacuje, ze by to z pohledu provozu bylo rozumne udrzovatelne...