keal Sunday, November 25, 2018

petterg Sunday, November 25, 2018

Et godt prinsipp innenfor IT-sikkerhet er å sperre alt, og lage unntak for det som trengs.

Amen. Men en gammel talemåte var "å spare på skillingen og la daleren gå". Det kan godt overføres til IT-sikkerhet:

"De virkelig store sikkerhets-hullene får vi ikke gjort noe med uansett, men vi må ha minst ti punkter på lista over sikkerhetstiltak, så la oss ta med 'sperring av BT' som ett av tiltakene. Selv om det egentlig ikke betyr noe som helst i praksis, kan vi vise til at det i henhold til et godt prinsipp, og høste ære for det!"

Det er få nærings-aktiviterer i det moderne Norge som kan fortsette uforstyrret om du sperrer for HTTP-aksess; det kan du rett og slett ikke gjøre! Heller ikke kan du sperre for SMTP. Uansett hvor mye branvegger og virussjekkere du setter opp: Den gjenstående risikoen er dramatisk større enn risikoen ved BT.

BT-signaler rekker knapt ut av rommet (særlig i næringsbygg som normalt har betongvegger) - en avlytter må allerede være inne i lokalene han skal avlytte (mus og tastatur sender typisk med 0,5-1 mW effekt, som knapt rekker til pulten ved siden av). Kryptering er standard. Den informasjonen som sendes er svært ufullstendig og fragmentarisk, og kan svært vanskelig utnyttes ("mus flyttet tre punkter til venstre og to opp" er helt nytteløs info for en avlytter som ikke aner hva som står på skjermen). Frekvenshoppingen gjør avlytting vanskeligere; avlytteren kan ikke bare stille inn på rett kanal og tappe bitstrømmen. Kommnikasjonen styres av en sentral master, og en utenforstående kan ikke mate inn "falsk" trafikk i nettet uten å ha blitt tildelt kapasitet av masteren - det ville bli oppfattet som støy, og kanalen tatt ut av bruk. Skadeverk er begrenset til å sabotere trafikken og passiv avlytting.

Som hovedregel gir avlytting av BT-trafikk omtrent like mye nyttig informasjon som avlytting av naboens fjernkontroll til TVen.

Det finnes selvsagt unntakstilfeller der det ihvertfall i prinsipp kan sendes "følsomme" data over BT som det i prinsipp er mulig for en avlytter med avansert lytteutstyr, og som har fått lurt det inn i lokalene, å fange opp krypterte meldinger som formidler avslørende tastetrykk ... hvis avlytteren får knekt krypteringen. I slike tilfeller kan naturligvis policy være at man ikke bruker BT til følsom trafikk; BT skal kun brukes for (f.eks.) periferiutstyr til PC, evt. også mobiler. Men å blokkere for trådløs BT-mus fordi det i prinsippet er mulig å overføre hemmeligstemplet info over samme nett, er ganske hysterisk og ukontrollert.

Hos oss skal alle møter med eksterne kontakter holdes i en "DMZ", der det ikke er dekning for vårt interne WiFi-nett, kun for et "eksternt" WiFi-nett. Vi bruker ikke trådløst utstyr i disse møterommene; alt utstyr er kablet. Slikt kan forsvares. Og vi får lov til å ha mobilen med oss inn i de ordinære kontorlokalene, selv med BT påslått!