Zanimivosti
Zapisi iz prakse: aplikacije Access, njihovo razdeljevanje uporabnikom, posodobitev podedovanih sistemov in varnost programske opreme, ki jo dobavljate nemškim naročnikom.
Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte.
Kaj vam nalaga zakon, kaj CRA in kaj podpišete s pogodbo. Tretji del serije »Ko dobra koda ni več dovolj«.
»Nas NIS2 ne zadeva, premajhni smo.« Ta stavek je pogosto pravno povsem pravilen. In vseeno lahko podjetje, ki ga izreče, čez pol leta izpolnjuje skoraj vse, kar NIS2 zahteva od zavezancev. Ne zaradi zakona, ampak zaradi pogodbe.
O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj?
O razliki med pravno informacijo in operativnim znanjem. Drugi del serije »Ko dobra koda ni več dovolj«.
Ta članek ni namenjen samo podjetjem. Namenjen je tudi nam, ki o kibernetski varnosti pišemo, predavamo in svetujemo. Vprašanje ni, ali smo o NIS2 in CRA obveščali. Vprašanje je, ali je bralec po naših besedilih znal narediti kaj drugače kot prej.
Nemški naročnik ne kupuje več vaše kode. Kupuje odsotnost vašega tveganja.
Zakaj tehnična usposobljenost brez dokazljivega obvladovanja tveganj morda ne bo več zadoščala. Prvi del serije »Ko dobra koda ni več dovolj«.
Slovenska IT-podjetja so si mesto v nemških dobavnih verigah prislužila z znanjem, zanesljivostjo in pošteno ceno. Nič od tega ni izgubilo vrednosti. Spremenilo pa se je, kaj mora dobavitelj pokazati, preden sploh pride do pogovora o ceni.
ML-KEM ni čarobna zamenjava za RSA.
Izdaja 14 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za omrežne strokovnjake in razvijalce, ki nastavljajo ali programirajo povezave do nemških naročnikov.
»RSA ni kvantno odporen, zato ga bomo zamenjali z ML-KEM.« Stavek se sliši logično, a drži le deloma. RSA v vaših sistemih namreč ne opravlja ene naloge, ampak tri: prenaša ključe, podpisuje in včasih, čeprav ne bi smel, šifrira podatke. ML-KEM zna samo prvo.
Če je vaš kriptografski algoritem del poslovne logike, imate problem.
Izdaja 13 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za razvojne arhitekte in izvajalce, ki gradijo ali vzdržujejo programsko opremo za nemške naročnike.
Poiščite v svoji kodi niz »RSA«, »SHA256withRSA« ali »ECDSA«. Če ga najdete v razredu, ki se imenuje InvoiceService, OrderExport ali DeliveryNoteSigner, imate odgovor na vprašanje, koliko bo stal prehod na nov postopek. Ne zato, ker bi bila koda slaba. Ampak zato, ker o kriptografiji odloča poslovna logika, in ta se spreminja počasi, previdno in drago.
Postkvantna migracija bo stala. Nepripravljenost lahko stane več.
Izdaja 12 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstva podjetij in zunanje IT-izvajalce, ki morajo prehod načrtovati in plačati.
Direktor dobi od nemškega naročnika vprašalnik o postkvantni kriptografiji in vpraša svojega IT-izvajalca, koliko bo to stalo. Izvajalec reče: »Težko rečem, najprej moramo pogledati, kaj sploh imate.« Direktor sklene, da se bo s tem ukvarjal, ko bo naročnik zahteval. Leto pozneje naročnik zahteva, z rokom šest mesecev. Zdaj je isto delo dražje, ker ga je treba narediti naenkrat in pod pritiskom.
TLS, VPN, API Gateway: kje se vaša kriptografska zaščita dejansko konča?
Izdaja 11 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za skrbnike omrežij in sistemov, ki vzdržujejo povezave do nemških naročnikov.
Nemški naročnik vam sporoči, da njegov portal za dobavitelje zdaj podpira hibridni dogovor o ključu z ML-KEM. Odprete portal v brskalniku, pogledate podrobnosti povezave in vidite klasični X25519. Brskalnik je nov, portal tudi. Vmes pa stoji vaš požarni zid, ki odhodni promet zaradi pregleda vsebine razbije in znova vzpostavi. In vaš požarni zid hibridnega postopka ne pozna.
Postkvantna PKI: zakaj zamenjava certifikata ne zadostuje
Izdaja 10 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za sistemske skrbnike in arhitekte, ki skrbijo za potrdila, imenike in dostope do nemških naročnikov.
Vaš strežnik ima novo potrdilo, izdano včeraj, veljavno dve leti. Na prvi pogled je vse v redu. Toda podpisal ga je izdajatelj, ki ste ga postavili leta 2016 na strežniku z Active Directory Certificate Services, z ključem RSA-2048 v datoteki na disku. Ta izdajatelj velja do leta 2031. Zamenjava potrdila je opravek za pet minut. Zamenjava izdajatelja je projekt.
Imate SBOM? Še vedno morda ne veste, katero kriptografijo uporabljate.
Izdaja 09 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za interne IT-oddelke in razvojne ekipe, ki programsko opremo razvijajo ali vzdržujejo za nemške naročnike.
Vaš cevovod gradnje ob vsaki izdaji izdela popis programskih komponent. Ponosni ste nanj, in upravičeno: nemški naročnik ga je pohvalil. Nato vpraša: »Kateri postopek za dogovor o ključu uporablja vaša aplikacija pri povezavi z nami?« Popis o tem ne pove ničesar.
PQC v pogodbi: ste prevzeli odgovornost, ki je ne morete izpolniti?
Izdaja 08 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstvo dobaviteljev in IT-izvajalcev, ki podpisujejo pogodbe in dodatke z nemškimi naročniki.
Lani ste podpisali dodatek k okvirni pogodbi. V njem je stavek: „Der Auftragnehmer stellt sicher, dass sämtliche eingesetzten Verfahren jederzeit dem aktuellen Stand der Technik entsprechen, ohne Mehrkosten für den Auftraggeber.“ Takrat se je zdel samoumeven. Danes, ko stanje tehnike vključuje postkvantne postopke, ki jih vaš proizvajalec ERP še ne podpira, se zdi drugače.