Falsches Sicherheitskonzept?

[AlexanderSchäfer]

Wenn der Verlust eines Schlüssels ausreicht um Kundendaten zu entschlüsseln, dann läuft doch etwas grundlegendes bei denen falsch. Wie können sie z.B. nicht wissen ob eine Entschlüsselung möglich ist oder nicht?

Wie kann jemand externes überhaupt auf deren interne Infrastruktur zu greifen? Selbst mit allen Keys sollte ein vollständiger Zugriff auf eine Datenbank nur über ein internes Netz erreichbar sein.

[Trockenobst]

AlexanderSchäfer schrieb:
--------------------------------------------------------------------------------
> Wie kann jemand externes überhaupt auf deren interne Infrastruktur zu
> greifen? Selbst mit allen Keys sollte ein vollständiger Zugriff auf eine
> Datenbank nur über ein internes Netz erreichbar sein.

Es dauert drei Tage eine Infrastruktur nach Schema F zu skizzieren, die für solche Angriffe abzusichern. Es dauert weitere zwei Tage es so sicher zu planen dass auch mit etwas Mithilfe eines "umgedrehten" Mitarbeiters dies sehr schwer wird (und dann auch mit Gefängnis bestraft). Wer sich in dem Business auskennt, weiß wie schwer das ist das Supersicher zu machen.

Es gibt immer einen neuen Vektor, wenn man nicht auf den Zehenspitzen steht. Dazu gibt genügend gut finanzierte Angreifer für die solche "Fort Knox" Simulationen einfach zu leckere Ziele sind.

Die meisten dieser Passwortverwalter sind eigentlich nichts anderes als gut gemachte Frontends vor sehr archaischen Rechteverwaltungssystemen. Die Großkunden sind in der Regel sehr froh, wenn sie jemanden haben der eine modernere API hat sie selbst, dass gibt auch sofort einen Businesscase des "Quick Win" wo das investierte Geld sofort in einen besseren Service umgemünzt wird.

Im Kleingedruckten steht dann deutlich, dass man kein Passwortverwalter und kein Zertifikatsspezialist ist. Man ist nichts anderes als ein politisches Feigenblatt für Firmen denen die Lösung dieser Probleme in House einfach zu teuer ist. Gerade in den USA muss man davon ausgehen dass diese Firmen alle mit den Behörden zusammenarbeiten und das die Firmen deine Passwörter jederzeit entschlüsseln können.

Und dann muss man sich auch nicht wundern, wenn Aluhutträger dann behaupten, dass die Firmen jedes mal - huch!! - "einen Hack" haben, wenn wichtige Passwörter gestohlen werden die man dann, leider leider, auch encrypten kann.