( SzBlackY | 2020. 02. 22., szo – 01:54 )

Hasznosabb, igen. Ha meg adatbiztonsági szempontból nézzük, akkor az actortól (és akár céltól) függően lehet biztonságosabb, de ahogy fentebb több olyan példát hoztam, az új rendszer hozott be potenciális új szereplőket (így például az EÜ kormányzat, amiben kb. 0 bizalmam van). Ráadásul a nagyságrendekkel megnövekedett haszon miatt egy külső támadási kísérletnél a kísérletre "megfizethető" módon szánható idő is nő, kérdés, hogy ennek megfelelő biztonsági rendszer van-e körülötte (értsd: random háziorvos gépe régen egy "nmap-et megér" kategóriás volt, az ország teljes lakosságának az összes orvosi adataira rá lehet szánni pár hónapot, akár helyszíni látogatással együtt).

biztonságosabb, mint a korábbi rendszer.

És akkor egy masszív off-topic, kategória és terméknevek említése nélkül: a szoftverkategóriában kb. kétszereplők piacról pár éve váltott a környékemen egy intézmény, a régi rendszerben egyesével be kellett regisztráltatni a központtal az összes IP-t, amiről elérhetőnek kellett lennie. Jött az új rendszer, hát-ez-milyen-szuper-jó, titkosítva kommunikál a kliens a szerverrel, úgyhogy ki lehet engedni az intézmény teljes hálózatára - ráeresztettem egy wiresharkot, és néztem azt a szuper titkosítást: sima HTTP felett valami nagyon házi tákolmány, nem fejtettem vissza, ott feladtam, hogy copy-pasteltem a kérést és hívtam vele egy curl-t, amire megkaptam bitre pontosan ugyanazt a választ, mint amit a wiresharkban láttam; vagyis a gyáró fogta magát és saját cryptot csinált, ami triviálisan egy replay attack ellen sem véd. Technikailag biztonságosabb az új rendszer, mert titkosított, cserébe erre a biztonságosságra hivatkozva gyakorlatilag megszüntettek egy korábban létező védelmi vonalat [IP szerinti szűrés], amivel szerintem az egész rendszer biztonsági szintjét lejjebb vitték.

BlackY