Podcast 10: Nieuwsoverzicht en IAM

Door Lex Borger | 9 april 2018

Wachtwoorden opzoeken, Cloudflare DNS, TLS V1.3 en IAM

Door: Lex Borger, Eline van Dam en Bram van Pelt | 6 april 2018

In deze tiende editie van de i-to-i podcast praten i-to-i consultant Lex Borger, Eline van Dam en Bram van Pelt je bij over het security nieuws van de afgelopen weken en over identity and access management.

Weetje van de week

Eline:
We hunkeren naar de zon, want de winter heeft ons getreiterd

Als u meer dan ooit snákt naar het lekkere weer van zaterdag, dan is dat niet gek.

Bram:
Salton Sea
The Salton Sea: An accidental oasis-turned-environmental tragedy

Een voorbeeld van een slechte, tijdelijke fix…

Lex:
Tiangong–1: Defunct China space lab comes down over South Pacific
ESA > Our Activities > Operations > Space Debris

Tiangong was certainly on the large size for uncontrolled re-entry objects, but it was far from being the biggest, historically:

The US space agency’s Skylab was almost 80 tonnes in mass when it came back partially uncontrolled in 1979. Parts struck Western Australia but no-one on the ground was injured

Nasa’s Columbia shuttle would also have to be classed as an uncontrolled re-entry. Its mass was more than 100 tonnes when it made its tragic return from orbit in 2003. Again, no-one on the ground was hit as debris scattered through the US states of Texas and Louisiana

Astrophysicist Jonathan McDowell believes Tiangong is only the 50th most massive object to come back uncontrolled.

Nieuwsoverzicht

Wachtwoorden opzoeken
Gotcha?
Verander nu je wachtwoord: 3,3 miljoen Nederlandse wachtwoorden eenvoudig te vinden
Hacker tegen AD: Wachtwoorden miljoenen Nederlanders vindbaar met zoekmachine. Wat nu?
Hacker die wachtwoorden-zoekmachine maakte: ‘Mijn doel is bereikt’
‘Ethisch hacker’ ziet af van zoekmachine, maar doel is bereikt
Juridische vraag: Mag je een zoekmachine voor miljoenen gehackte Nederlandse wachtwoorden online zetten?
Zoekmachine met miljoenen Nederlandse wachtwoorden online verschenen

Een Nederlandse hacker heeft de AD ingelicht dat hij beschikt over erg veel wachtwoorden en bied deze online aan om in te zien via gotcha.pw. Is dit een publiciteitsstunt of nieuw onderzoek?

Cloudflare DNS - vier keer een
Global Managed DNS
Cloudflare Launches Free Secure DNS Service
DNS Resolvers Performance compared: CloudFlare x Google x Quad9 x OpenDNS

Cloudflare is een bekende dienst waarmee DDos aanvallen kunnen worden gemitigeerd. Sinds kort gaan ze ook verder en bieden DNS diensten aan, een verbreding van het portfolio of kan de schoenmaker maar beter bij zijn leest blijven?

De dienst gebruikt DNS over HTTPS (DOH).

TLS V1.3
IETF Approves TLS 1.3
World celebrates, cyber-snoops cry as TLS 1.3 internet crypto approved
An Overview of TLS 1.3 – Faster and More Secure

Na 28 pogingen is hij er dan eindelijk, TLS 1.3! Wat gaat dit voor ons in de toekomst betekenen?

Speed Benefits (“zero round trip”)
Improved Security
Browser Support

Thema: IAM

IAM, oftewel Identity & Access Management,

Ieder systeem regelt de toegangsbeveiliging zelf, waarom zou je IAM centraal regelen?

Het is efficiënter en effectiever voor de business én IT
Het maakt het mogelijk aantoonbaar in-control te zijn van de autorisaties

Wat kan een IAM-tool dan voor je doen?

Vertalen van algemene toegangsregels naar autorisatieinstellingen in systemen
Gebruik maken van een autorisatiemodel, zoals RBAC of ABAC
Administreren van toegangsmiddelen (registratie / uitgifte / intrekken / vervangen)
Inzicht en overzicht geven aan people managers, systeemeigenaren en security managers
Aantonen van procesgang en periodieke controles (attestatie)

Hoe werkt dat dan?

Techniek: Synchroniseren van bronsystemen naar doelsystemen; hierbij autorisatieregels en -modellen toepassen
Processen: Aanvragen en goedkeuren van toegang; aanzetten tot periodieke controles
Mensen: Medewerkers, partners, klanten, maar ook processen, systemen, high-privileged accounts

Wat moet er naast een IAM-tool nog meer geregeld worden?

De bronsystemen en synchronisatiemethoden moeten betrouwbaar zijn
De run-time toegang moet geregeld zijn. De gebruiker moet herkend kunnen worden (authenticeren / inloggen / andere attributen ophalen)

Wat kan er nog meer?

SSO
Federatie

Maar dat zijn onderwerpen voor een andere podcast… 😉

Credits:

Muziek: Jahzzar - 1000 Miles (intro) & Chiefs (outtro)
Contactgegevens: Lex - Twitter: @LexBorger, Eline - Email: e.van.dam@i-to-i.nl, Bram - Emil: b.van.pelt@i-to-i.nl
Website: www.i-to-i.nl
Podcast RSS-feed: www.i-to-i.nl/feed/podcast