- Telekom otthoni szolgáltatások (TV, internet, telefon)
- Linux Mint
- Kaspersky Antivirus és Internet Security Fórum
- Itt van az eddig legjobban teljesítő kétfiókos NAS a TerraMastertől
- ASUS routerek
- Az EU szerint a ChatGPT még mindig nem felel meg a szabványoknak
- Kiderült, hogy hol veszik a legtöbb kínai EV-t
- Windows 11
- Vodafone otthoni szolgáltatások (TV, internet, telefon)
- Windows 10
-
IT café
Az összefoglalóban igyekeztünk az alapelveket összeszedni mindkét témakörben.
Új hozzászólás Aktív témák
-
inf3rno
Topikgazda
A loggolós vonalat továbbvíve, egy syslog-ng premium mibe kerül? (az oldalukon csak árajánlatot lehet kérni)
Itt írják, hogy a premiumban van csak WEC (igaz azóta már 2-3 év eltelt), és nagyjából arra van szükségem, ami a cikkben le van írva: [link] AD meg gyakorlatilag nem szükséges ezek alapján. Mondjuk megcsinálom agenttel is, csak több meló feltelepíteni a gépekre, mint ez a Windows protocollos pub-sub-os megoldás. Majd utánanézek mindjárt az agentes változatnak is, gondolom az sem egy atomreaktor.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Nagyjából annyi van most, hogy van kb. 15 gép, amin be kell állítani felhasználói fiókokat és jogosultságokat. Van néhány gép, amin 3-4 fiók lesz, a többségén csak 1-2. Nem tudom, hogy van e értelme ide AD-nek, mármint ugye fentebb írtátok, hogy ennek azért ára van üzemben tartói oldalról. Én simán csak beállítanám a fiókokat és feltennék egy klienst minden gépre, ami a központi naplózóval kommunikál. Nem tűnik valami nagy munkának, talán 2-3 óra alatt megvan az összes, ha felkészül rá az ember. A szoftver nem mindegyik gépen egyforma, van néhány gép, amin pénzügyes szoftverek vannak, máshol sima ügyintézés zajlik, a legtöbbön ASP rendszer van. A legtöbbön látni felhasználói csoport specifikusan fájlt megosztást, illetve gondolom megvannak a nyomtatók, hogy ki melyikhez tud nyomtatást küldeni. Úgy nagyjából ennyi, amit most látok, de még az SZMSZ-en sem rágtam át magam és van egy EIR leltár is, amin szintén át kéne.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Nekem a legfőbb bajom, hogy nincs jogköröm, hogy bármit csináljak, és a rendszergazdaság ki lett outsourceolva, és a szerződésben kikötötték, hogy senki más nem nyúlhat a gépekhez. Már körülbelül 10x megcsináltam volna, amit akarok, helyette meg cseszegetnem kell őket, és talán esetleg megcsinálják valamikor 5 éven belül. Baromi frusztráló.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Hát azért 15 gép nem a világ vége. Részben automatizálható a folyamat, ha írok egy shell scriptet rá, hogy ne kelljen végig kattintgatni a telepítőt, vagy ha olyan alkalmazás, akkor repoból is telepíthető, pl chocklatey. Beszórom a scriptet egy megoszott mappába, aztán rendszergazdaként belépek mindegyik gépre és elindítom. Mondjuk ez már üzemeltetés, egy kicsit off topic. Persze, azért értem, hogy jó az AD meg minden, de úgy adtátok elő, hogy baromi sok plusz munkával jár az üzemeltetése, és feleslegesen nem használnám, ha nem muszáj.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ja értem. Szerintem van tapasztalatuk vele, mert ők vetették fel, hogy feltesznek egy AD-t inkább syslog-ng helyett, mert ahhoz értenek, és azon is lehet központilag naplózni. Mondjuk nem tudom az utóbbiba miért nem akarnak beletanulni.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Az AD bevezetésével kapcsolatban nekem igazán az a kérdésem, hogy működnek e a munkaállomások, ha nem működik az AD szerver? Az a benyomásom, hogy erre a válasz nem, és nem tennék be egy ilyen single point of failure-t a rendszerbe, ha meg lehet csinálni máshogy is, amit szeretnék. Ezen kívül a syslog-ng-nek van egy további előnye, hogy mindent is bele lehet gyűjteni, tehát nem kell a szerver, munkaállomások, tűzfal, EDR, stb. logjait, riasztásait külön kikeresnem, ami megkönnyíti a munkát. Mondjuk ezek csak benyomások egyelőre, még nem volt időm foglalkozni a konkrétumokkal.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
"A server running the Active Directory Domain Service (AD DS) role is called a domain controller. It authenticates and authorizes all users and computers in a Windows domain type network, assigning and enforcing security policies for all computers, and installing or updating software. For example, when a user logs into a computer that is part of a Windows domain, Active Directory checks the submitted password and determines whether the user is a system administrator or normal user.[4] Also, it allows management and storage of information, provides authentication and authorization mechanisms, and establishes a framework to deploy other related services: Certificate Services, Active Directory Federation Services, Lightweight Directory Services, and Rights Management Services.[5]" [link]
Ja úgy tűnik tényleg, hogy valamit valamiért. Baromi kényelmes ezen hozzáadogatni a dolgozókat és jogköröket, állítani a jelszavakat, szoftvereket, konfigurációt, de ha nem működik a szerver, akkor megáll az élet a szervezetnél, és valószínűleg még belépni sem tudnak a munkaállomásokra. Általában egy nagy cégnél ez nem gond, mert tudják a rendelkezésre állást garantálni, viszont itt ki van szervezve az IT, és akár több nap is eltelhet úgy, hogy nem tud dolgozni senki. Azt hiszem ez a része már túlmutat rajtam valamelyest és vagy a menedzsmentnek kéne meghozni ezt a döntést, vagy a törvény az irányadó.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Nincs igazán összehasonlítási alapom. Azt tudtam előre, hogy szinte nulláról kell építeni egy működő rendszert, szóval annyira ez a része nem meglepő. Ha hosszú távon nem lesz benne partner az informatika, akkor hagyom a francba az egészet, és januártól nem kötünk új szerződést, mert nélkülük nem tudok dolgozni csak elméleti síkon. Átvenni nem akarom az üzemeltetést tőlük, mert túl sok munka lenne túl kevés pénzért, és amúgy sem értek hozzá annyira, mint kellene.
Buliban hasznos! =]
-
inf3rno
Topikgazda
No én erre közben kaptam választ, valóban kesseli. Utánajártam, és nem lejárási idő van erre a kessre, vagy legalábbis arról nem tudok, hogy konfigurálható lenne, hanem az utolsó 10 bejelentkezést gyűjti össze, és azon lehet állítani, hogy ne 10 legyen, hanem mondjuk 1. Már értem, hogy miért akar AD-t az informatikus, gondolom könnyebb nekik úgy megcsinálni, hogy több fiók legyen, és egyszerre változzon a jelszó minden gépen, ahogy Shadow kolléga is írta fentebb. Nekem végülis jó így is.
Arról mi a véleményetek, hogy összeszedem egy írásblokkolható adathordozóra a logokat, és otthon elemzem ki őket, hogy van e ismert támadó IP cím, C&C kommunikáció, riasztás, malware-re utaló shell exec, stb. bennük? Olyan szempontból szívesen elkerülném mindezt, hogy biztosítani kell itthon is a biztonságot, illetve megvan a veszélye egy adatszivárgásnak. Gondolom előtte érdemes átnézni őket, hogy lehet e bennük szenzitív adat.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ja nem úgy gondoltam, hogy egy random gépre itthon, hanem külön építenék erre a célra egyet. A hálózat biztonságon most dolgozom itthon, ahogy az OS-ek cseréjén és hardeningen is. Valószínűleg hosszú távon jóval magasabb szint lesz itthon, mint bármelyik szervezetnél, ahol dolgozom. Vállalkozóként dolgozom, nincs ilyenem, hogy munkaidő, és nem is tervezem, hogy visszamegyek valaha is alkalmazottnak bárhová. Ha valami azonnali reagálást követel, akkor vagy olyan, ami nekik tűnik fel, és behívnak, vagy ha a naplókból derül ki és munkaidőn kívül vagyunk, akkor kinyittatom velük az épületet és a szerver szobát.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Szerintem félreérted a munkaszervezésem, általában nem sorban szoktam haladni, hanem több dolgot csinálok párhuzamosan.
IBSZ természetesen van, oldalszámra nagyjából annyi, amennyit írsz, a felülvizsgálata folyamatban van, vannak dolgok, amikkel ki szeretném egészíteni.
Maga a központi naplózás nem prioritás, csak mellékszál, amit viszont súlyosnak tartok, és úgy gondolom, hogy azonnal reagálni kell rá, hogy a felhasználók egy része tudja egymás jelszavát és egymás fiókjaiban lépkednek be. Aztán ha már ezt megoldjuk pl egy AD-vel, akkor jó lenne legalább a naplókat összeszedni egy a munkaállomásoknál védettebb helyre, mert onnan bármelyik malware lazán törli őket, hogyha esetleg egy incidens van, akkor vissza lehessen nyomozni, hogy miből és kitől indult.
Szerintem az idei évben elmolyolok az itteni rendszerrel, bőven lesz időm beletanulni az IBF témakörbe, annyi munkát látok magam előtt. Ha viszont egyszer rendbe raktam, akkor onnantól már nem lesz olyan sok meló vele, és csinálhatok mellette másikat. Nagyjából ez a terv. Fizetni biztosan nem fognak más cégnek auditért, mert ennyi erővel szerződést is bonthatnánk, aztán megcsinálja más helyettem. Betanítani sem fognak mások konkurenciának. Nekem kell kitapasztalni.[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ja amúgy a cselekvési terv az jó ötlet, én is gondoltam rá, hogy lassan össze kellene írni a dolgokat, de amíg az IBSZ felülvizsgálata nincs meg, addig nehéz bármilyen tervet prezentálni. Ez a fiókos AD-s móka csak azért lett külön szál, mert annyira súlyos hibának tartom, hogy muszáj foglalkozni vele kb. azonnal.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Az AD-vel van tapasztalata a cégnek, megoldják, ha sikerül összeszedetnem, hogy ki melyik géphez és milyen szoftverekhez akar hozzáférni. Ami kimondottan frusztráló, hogy extrém lassan haladnak a dolgok minden téren, ezért is megyek be holnap, hogy egy kicsit cseszegessem őket.
Buliban hasznos! =]
-
inf3rno
Topikgazda
-
inf3rno
Topikgazda
Kösz a tanácsot, igyekszem majd ezt is figyelembe venni. Holnap beszélek a jegyzővel, hogy ő hogy látja, hogyan lehetne jól szerepkörökre bontani a gárdát és utána újra az informatikusokkal, hogy milyen ütemezéssel lehetne ezt bevezetni. Ami nálam igény biztonsági szempontból, és amiből nem engedek, hogy mindenki csak a saját fiókjába tudjon belépni.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Az SZMSZ-t most olvasom pont emiatt. A felhasználói csoportok már megvannak a megosztott mappák miatt szükség volt rájuk, valszeg tovább lehet vinni AD-re ugyanazt, a rendszergazdai jogok így sincsenek sehol normál felhasználóknál. Igen, a hálózat szegmentálására gondoltam, mint következő lépésre, de ahhoz majd hardver is kelleni fog, és eléggé odébb van még. A többinek, amit említettél majd utána járok, hogy hogyan áll. Nem mondanám, hogy nulla védelmünk van, de azt sem, hogy szakértők lennének a rendszergazdák ilyen téren. Van 1-2 nyilvánvaló hiba, amit korrigálok, mert úgyis úgy lesz, minden mást az IBSZ és az osztályok felülvizsgálata után csinálok majd.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Access control terén egyébként ez az RBAC a bevett gyakorlat manapság mindenhol? Sok éve nézegettem olyat, hogy ABAC és PBAC, amik elvileg fejlettebbek, és attribútumok alapján lehet szabályokat hozni velük, ahelyett, hogy csak azt mondanánk, hogy ilyen szerepkörben lévők ehhez férhetnek hozzá. Használja valaki közületek ezeket? Mik a tapasztalatok? Mikor éri meg továbblépni az RBAC-ról?
Buliban hasznos! =]
-
inf3rno
Topikgazda
Beszélgettem közben a jegyzővel az osztályozás felülvizsgálatáról és hogy csináljunk egy RBAC jellegű rendszert, szedjük össze a szerepköröket, és hogy ki mihez férhet hozzá, aztán majd a rendszergazdákkal megtárgyaljuk, hogy mi legyen a konkrét megvalósítás. Úgy érzem, hogy haladunk, úgyhogy ez egy jó nap volt.
Ami szóba került még, hogy le kéne papírozni ezeket a javaslatokat. Létezik erre valami forma nyomtatvány, vagy ti milyen formában szoktátok? Az a bajom, hogy információ hiány van sok dologgal kapcsolatban. Pl hogy van e VPN szerverünk vagy nincsen. Ha nincsen, akkor a laptopok miatt kell egy, ha van, akkor meg nincs teendő. Nekem az a benyomásom, hogy egy cselekvési tervben nem szerepel az a szó, hogy "ha", de lehet én gondolom rosszul. Én inkább az ilyen eldöntendő dolgokat valami issue trackerben szedném össze, és csak ha bejött az információ, akkor csinálnék cselekvési tervet belőlük.
Egyébként is kellene valamilyen issue tracker ez alá az egész alá, mert lassan annyi minden felgyűlik, hogy már nehezen látom át, hogy mivel kéne foglalkozni milyen határidővel. Talán nem elvetélt ötlet betenni egy verziókezelőt mondjuk egy git-et és a hozzá való issue trackert, pl gitea-t használni, de mondjuk egy DOC vagy egy PDF azért elég rosszul verziózható egy gittel, amit inkább forráskód verziózásra fejlesztettek. TODO list, amire még gondoltam, de az meg túl fapados. Esetleg tudtok valamit, amit direkt ilyen célra fejlesztettek?
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
"Erre jó az audit, mert ott kiderülnek a dolgok, mi van és mi nincs."
Ja én arra gondoltam, hogy megkérdem a rendszergazdát, hogy mi hogyan van beállítva, vagy megkérem, hogy adjon jogot a megnézésére."Ez mondjuk nem igaz, hogy nincs teendő. Annak megfelelőssgét is ellenőrizni kell. Mondjuk egy sima PPTP szervert úgy vágnék ki az ablakon, hogy kerettel együtt menne."
Ja igazad van."Cselekvési tervben nincs ha, ott csak a hiányosságok kezelésére előírt megoldás szerepel + 1-2 szükséges infó."
Én is így gondoltam."Na erre való a kockázatelemzés, hogy meghatározd a prioritásokat, határidőket."
Jó, de milyen dokumentum ennek a kimenete? Én azt tudom, hogy például szoftverfejlesztésben vagy akár csak security-ben a ticketingnél erre vannak célszoftverek, amiknél hozzáadhatsz egy új issuet vagy ticketet és végig lehet követni, hogy hogyan oldottad meg a problémát, milyen határidőt tűztél ki, mikor zártad le. Biztos, hogy létezik erre is célszoftver, aminél hozzá tudom csapni a feladatokat és a határidőket vagy legalább a prioritásokat. Az excelt messzire kerülöm ilyen célokra. Legrosszabb esetben gitea lesz és a doksikat gittel verziózom egy repoban, csak akkor HTML vagy MD formátumok kell használnom náluk, hogy szöveges, ne bináris legyen. Viszont az issue trackereket sem kimondottan erre találták ki, kell, hogy legyen valami jobb. Rákérdezek máshol, kíváncsi vagyok.[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Értem. Hát én szoftvernél is úgy szoktam, hogy már a terveket is dokumentálom, amin agyalok, mert sokszor akkora méretű a dolog, hogy nem lehet minden részletet fejben tartani. Ott sem szokás ez, vagy UML diagramokat szokás csinálni, esetleg már eleve teszteket írni. Ízlések is pofonok. Én mindenesetre kipróbálom ezt a Jirát, amit ajánlottak, aztán meglátom, hogy kell e ez nekem a szekus munkához is, vagy csak a szoftvereshez. [link]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Közben új dolog, hogy valaki több száz önkormányzatnak kiküldött közérdekű adatigénylést. Biztos sok ideje van, vagy szivatni akarja az embereket, passz. Hozzánk is jött ilyen, de az összes környező önkormányzatnak is. Szerződéseket, szabályzatokat kérnek, de csak holnap fogok konkrétumokat tudni.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
"Miért jó ha egy doksiból van 15-20 verziód? A dokumentumok változáskövetéséhez mondok jobb szoftvert. Word, Excel bekapcsolt változáskövetéssel. 1 doksi, de minden változás percre pontosan benne van."
Azért, mert tudom belőle, hogy melyik módosítás mikor és miért került bele ellentétben a word verziókezelésével, ami full automatikus, és nem írok hozzá megjegyzést.
"Ha valamit 1 nap alatt meg lehet oldani papíron ceruzával arra minek bevezetni új IT rendszert, szolgáltatást? Nem csoda, ha a rendszergazdáknak nem akaródzik segiteni."
Értettem elsőre is, hogy szerinted a papír és ceruza vagy az MS Office jobb egy project tracking rendszernél, amit direkt ilyen célra terveztek, de továbbra sem értek egyet vele. És ez úgy az elmúlt 10 év tapasztalata mióta gitet és githubot használok. Számomra nyilvánvaló, hogy elég hasonló elveket rá lehet húzni bármilyen projektre és tasklistre. Azért a vitakultúrádról sokat elmond, hogy egy ettől teljesen független témát próbálsz beemelni, mint érvet, mert a kérdés a munkavégzésemre vonatkozik, mint vállalkozó úgy általában, amit felhoztál, az meg az információbiztonságra egy konkrét szervezetnél, és úgy kb. köszönőviszonyban nincs a kettő egymással.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ja szoktam gittel verziózni, hosszú távon mindenkinek melegen ajánlom, nagyon jó, főleg ha csapatban kell szerkeszteni bármilyen szöveges formátumú dokumentumot, forráskódot, stb. A privát repoba syncelés is jó ötlet backupra, ha olyan a dolog, ami felmehet felhőbe.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Amennyire én tudom gyakorlatilag ezt kapta az összes önkormányzat:
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 28. § (1) bekezdése alapján a következő adatigénylést terjesztem elő.
Kérem, szíveskedjen megküldeni a következő adatokat:
Az Infotv. 30. § (6) bekezdése szerinti, közérdekű adatok megismerésére irányuló igények teljesítésének rendjére vonatkozó szabályzat.
Az Infotv. 35. § (3) bekezdése szerinti, közérdekű adatok elektronikus közzétételére vonatkozó szabályzat.
Az Infotv. 1. melléklet II. 13. pont szerinti illetékes szervezeti egység neve, elérhetősége, valamint az információs jogokkal foglalkozó személy neve.
A nyilvánosság környezeti információkhoz való hozzáférésének rendjéről szóló 311/2005. (XII. 25.) Korm. rendelet 3. § szerinti legutóbbi éves környezetállapot-jelentést;
A szervezet által megkötött, az államháztartás pénzeszközei felhasználásával, az államháztartáshoz tartozó vagyonnal történő gazdálkodással összefüggő, egymillió és ötmillió forint közötti értékű árubeszerzésre, építési beruházásra, szolgáltatás megrendelésre, vagyonértékesítésre, vagyonhasznosításra, vagyon vagy vagyoni értékű jog átadására, valamint koncesszióba adásra vonatkozó szerződések alábbi adatait:a. a szerződés megnevezését,
b. a szerződés tárgyát,
c. a szerződést kötő felek nevét,
d. a szerződés értékét,
e. határozott időre kötött szerződés esetében annak időtartamát, valamint
f. az említett adatok változásait.A szerződés értékeként a szerződés tárgyáért kikötött – általános forgalmi adó nélkül számított – ellenszolgáltatást kérem feltüntetni, ingyenes ügylet esetén a vagyon piaci vagy könyv szerinti értéke közül a magasabb összeget kérem figyelembe venni. Az időszakonként visszatérő – egy évnél hosszabb időtartamra kötött – szerződéseknél az érték kiszámításakor az ellenszolgáltatás egy évre számított összegét kérem alapul venni. Az egy költségvetési évben ugyanazon szerződő féllel kötött azonos tárgyú szerződések értékét kérem egybeszámítani.
Az adatokat a szervezet által a 2020. évben megkötött szerződések vonatkozásában kérem megküldeni.
6. Az önkormányzat feladatkörébe tartozó közszolgáltatások ellátására irányuló, Mötv. 41. § (6) szerinti hatályban lévő szerződések alábbi adatait:a. a szerződés megnevezését,
b. a szerződés tárgyát,
c. a szerződést kötő felek nevét,
d. a szerződés értékét,
e. határozott időre kötött szerződés esetében annak időtartamát, valamint
f. az említett adatok változásait.Az Infotv. 30. § (2) bekezdése szerint kérem, hogy az igényelt adatokat elektronikusan kereshető másolatban a feladó e-mail címére szíveskedjék megküldeni.
Segítő együttműködését előre is köszönöm.
Első blikkre úgy tűnik, hogy ezeket kérhetik is, de majd utána nézek mindnek egyesével. Mi azt mondjuk majd első körben, hogy túlórával járna az alkalmazottaknak, mert nem vagyunk sokan, és x összeget fizessenek érte. A "kereshető formátum" alatt gondolom azt értik, hogy ne valami képként szkennelt dolgot küldjünk. Végülis ezek ránézésre excel táblákba bemehetnek, úgyhogy ez talán nem lesz probléma.
Ami még izgi, hogy ezzel kapcsolatban szinte azonnal kaptunk olyan levelet is, hogy a "Nemzeti Adatvédelmi Szövetség" szívesen segít nekünk az anyag összeállításában, ha valami kérdésünk van. Lövésem sincs, hogy mennyire "legit" ez a szervezet.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ha már szóba került a felhő. Mi a folyamata annak, ha egy állami szervezet Azure-ba akar áttelepíteni dolgokat, pl a teljes levelezést, ilyesmiket? Úgy tudjuk, hogy már egy ideje lehetséges ez, mert a Microsoft Európában tartja az adatokat december óta és kórházaknak már csináltak ilyet és az NKI megengedte pl a MedinnoScan felhős működését, de konkrétumot nem nagyon tudni ennek az egésznek a mikéntjéről információbiztonsági szempontból...
Buliban hasznos! =]
-
inf3rno
Topikgazda
Nem teljesen ide vág, vagy talán egy kicsit a 2FA-hoz. Én most csináltattam újra személyit, és olyat kértem, ami tud digitális aláírást. Második faktornak tudom ezt használni valahogyan, vagy jobb vennem valami USB-s kulcsos micsodát? Ha az utóbbi, akkor tudtok ajánlani valamit? Egész konkrétan magán célra kell ez, az itthoni VPN-re akarok így bejelentkezni, hogy ne csak jelszó legyen. Illetve később valószínűleg kelleni fog melóhoz is, hogy értsek hozzá. Még biztonsági szempontból is kérdés ez, hogy vajon jobb e a személyit ilyen kevésbé fontos célokra felhasználni? Mert gondolom minél többet használja az ember ilyen kevésbé fontos célokra, annál jobban kompromittálódik úgymond, és talán egy picit könnyíti a kulcs kitalálását, ha egy hozzá értő sok aláírást lát vele.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Ha már szóba került, van egy olyan problémánk aminél adatot kérnénk be, és sajnos ez tartalmaz elég sok személyes adatot. Most emailben megy mindez, amit én kimondottan rossznak gondolok személyes adat küldésre, mert titkosítatlan. Inkább átvinném a honlapra, mert ott van SSL, viszont nem szeretném a honlapon adatbázisban tárolni, mert valahol felhőben vagy ki tudja hol van, még nem beszélgettem az üzemeltetővel, de nincs is értelme ott tárolni, mert nem társul hozzá semmilyen webes szolgáltatás, csak a covid miatt kérjük be most így. Inkább valami olyasmi lenne jó, mint egy kapcsolatfelvételi űrlap, ami küld egy emailt egy megadott címre. Arra gondoltam, hogy aszimmetrikusan titkosítanánk még a böngészőben egy publikus kulccsal javascripttel, elküldené a szerver emailben, és csak az email fogadója tudná a privát kulcsot a kibontásához. Ez így szerinted korrekt megoldás a problémára? Van erre ajánlott algoritmus, ha már az RSA nem annyira fájn?
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Próbálom a minimumra leszorítani a függőségeket, azért nem akarok ilyen multikat bevonni. Én le tudom ezeket fejleszteni egyedileg, csak összeférhetetlenség van, mert én mint IBF javasolnám az alábbi alkalmazást saját magamtól megrendelni...
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Inkább a bizalmasság indokolja szerintem, mint a rendelkezésre állás. A bekért adatok között van úgy egy tucat személyes adat és van közte különleges személyes adat is. Arra gondoltam, hogy menjen az egész úgy, hogy már a böngésző titkosítja, utána vagy emailben vagy egy REST API-n oda kerül a helyi gépre, aztán akkor már ott is titkosítva tárolom, és csak a memóriába bontom ki amíg felviszik egy másik rendszerbe, utána pedig törlésre is kerül. Közben bejött egy olyan input, hogy az email-nél nem garantált a kézbesítés, és talán jobb a szerveren tárolni ideiglenesen a ciphertext-et. Ennek van egy minimális kockázata, mert mégiscsak letároljuk, de van előnye is, hogy garantált a kézbesítés, és a kézbesítés HTTPS-el is le van titkosítva.
[ Szerkesztve ]
Buliban hasznos! =]
-
inf3rno
Topikgazda
Én ezt úgy próbálom megközelíteni most normál adatokkal, hogy mire használjuk fel őket, és menny idő után válnak szinte teljesen irrelevánssá. Mondjuk ha önéletrajzokról van szó, akkor arra jutottam, hogy sokkal jobb egy levlista email címekkel, mint letárolni az önéletrajzokat. Aztán minden levlistásnak kiküldjük az aktuális álláshirdetéseket, ők meg eldönthetik, hogy pályáznak e rájuk. Ha igen, akkor beküldik az aktuális CV-jüket, amit törlünk amikor megtaláltuk az új embert. Így csak addig kell a személyes adatokat tartalmazó CV-t tárolni, amíg ténylegesen szükség van rá. Agyaltunk amúgy, hogy mi van, ha megtartjuk későbbre. Akkor például lehetne úgy, hogy olyan 2 évente értelmét veszti, mert annyi idő elég komolyabb munkatapasztalat összeszedésére, vagy arra, hogy valaki magasabb fizetési kategóriába lépjen. Szerintem a naplóknál is ugyanígy végig kell gondolni, hogy pontosan mit tartalmaz, mire és hogyan tudjátok felhasználni, és mikor válik teljesen elavulttá. Még esetleg technikai szempontból is meg lehet közelíteni, hogy van x pénz az adattárolókra, és mi az a mennyiség, ami után már rotálni kell a naplókat, mert különben betelne a tárhely. Azon is el lehet gondolkodni, hogy mindenképp meg akarjátok e tartani a nyers naplókat, vagy csak valamilyen feldolgozott változatot.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Hát nekem alig van időm a fórumra mostanában. Csinálom az adatvédelmi szabályzatokat, IBSZ-eket több intézménynél is. Most jutottam el odáig, hogy az adatvagyon leltár pipa, a hardverek és szoftverek lel leltárja is nagyjából megvan, és el lehet kezdeni foglalkozni a tényleges szabályozással. Azt hiszem az önkormányzathoz csinálok mégis egy közös szabályzatot pl jelszó kezelésről, ilyesmikről, és az intézmény specifikus szabályok ebből fognak leágazni.
Buliban hasznos! =]
-
inf3rno
Topikgazda
Szerintetek ha a hivatal épületében van anyakönyvvezető, választási információkat kezelő külön NISZ-es saját hálózaton, akkor azzal nekem van teendőm? Nem vagyok szerződésben csak az önkormányzattal, szóval nem kéne, hogy legyen, a gyakorlatban mégis relevánsnak érzem. Ugyanazon a gépen kezelik egy apróbb intézmény ügyeit is, de ott meg szinte nulla a nem közérdekből nyilvános személyes adat.
Buliban hasznos! =]
Új hozzászólás Aktív témák
- HP 14-em0001ne - ÚJ - 14" FullHD IPS notebook - Ryzen 3-7320U, 8GB
- Új bontatlan Sandisk Ultra 3d SSD 4TB és Samsung 2.5 870 Evo 500GB SATA3 (MZ-77E500B)
- BONTATLAN ÚJ iPad Pro 2021 2022 M1 M2 Chip 11 és 12,9 128-2000GB DEÁK TÉRNÉL AZONNAL ÁTVEHETŐ
- Új! Lenovo IdeaPad Slim 5 Prémuim Laptop 16" -AMD Ryzen 5 7530U 8/512 AMD Radeon Graphics 2GB ! FHD+
- Samsung Galaxy Book2 Pro 360 Evo 13,3 makulátlan állapotban
Állásajánlatok
Cég: Ozeki Kft.
Város: Debrecen
Cég: Ozeki Kft.
Város: Debrecen