Podcast 10: Nieuwsoverzicht en IAM
Wachtwoorden opzoeken, Cloudflare DNS, TLS V1.3 en IAM
Door: Lex Borger, Eline van Dam en Bram van Pelt | 6 april 2018
In deze tiende editie van de i-to-i podcast praten i-to-i consultant Lex Borger, Eline van Dam en Bram van Pelt je bij over het security nieuws van de afgelopen weken en over identity and access management.
Weetje van de week
Eline:
We hunkeren naar de zon, want de winter heeft ons getreiterd
Als u meer dan ooit snákt naar het lekkere weer van zaterdag, dan is dat niet gek.
Bram:
Salton Sea
The Salton Sea: An accidental oasis-turned-environmental tragedy
Een voorbeeld van een slechte, tijdelijke fix…
Lex:
Tiangong–1: Defunct China space lab comes down over South Pacific
ESA > Our Activities > Operations > Space Debris
Tiangong was certainly on the large size for uncontrolled re-entry objects, but it was far from being the biggest, historically:
- The US space agency’s Skylab was almost 80 tonnes in mass when it came back partially uncontrolled in 1979. Parts struck Western Australia but no-one on the ground was injured
- Nasa’s Columbia shuttle would also have to be classed as an uncontrolled re-entry. Its mass was more than 100 tonnes when it made its tragic return from orbit in 2003. Again, no-one on the ground was hit as debris scattered through the US states of Texas and Louisiana
Astrophysicist Jonathan McDowell believes Tiangong is only the 50th most massive object to come back uncontrolled.
Nieuwsoverzicht
Wachtwoorden opzoeken
Gotcha?
Verander nu je wachtwoord: 3,3 miljoen Nederlandse wachtwoorden eenvoudig te vinden
Hacker tegen AD: Wachtwoorden miljoenen Nederlanders vindbaar met zoekmachine. Wat nu?
Hacker die wachtwoorden-zoekmachine maakte: ‘Mijn doel is bereikt’
‘Ethisch hacker’ ziet af van zoekmachine, maar doel is bereikt
Juridische vraag: Mag je een zoekmachine voor miljoenen gehackte Nederlandse wachtwoorden online zetten?
Zoekmachine met miljoenen Nederlandse wachtwoorden online verschenen
Een Nederlandse hacker heeft de AD ingelicht dat hij beschikt over erg veel wachtwoorden en bied deze online aan om in te zien via gotcha.pw. Is dit een publiciteitsstunt of nieuw onderzoek?
Cloudflare DNS - vier keer een
Global Managed DNS
Cloudflare Launches Free Secure DNS Service
DNS Resolvers Performance compared: CloudFlare x Google x Quad9 x OpenDNS
Cloudflare is een bekende dienst waarmee DDos aanvallen kunnen worden gemitigeerd. Sinds kort gaan ze ook verder en bieden DNS diensten aan, een verbreding van het portfolio of kan de schoenmaker maar beter bij zijn leest blijven?
De dienst gebruikt DNS over HTTPS (DOH).
TLS V1.3
IETF Approves TLS 1.3
World celebrates, cyber-snoops cry as TLS 1.3 internet crypto approved
An Overview of TLS 1.3 – Faster and More Secure
Na 28 pogingen is hij er dan eindelijk, TLS 1.3! Wat gaat dit voor ons in de toekomst betekenen?
- Speed Benefits (“zero round trip”)
- Improved Security
- Browser Support
Thema: IAM
IAM, oftewel Identity & Access Management,
Ieder systeem regelt de toegangsbeveiliging zelf, waarom zou je IAM centraal regelen?
- Het is efficiënter en effectiever voor de business én IT
- Het maakt het mogelijk aantoonbaar in-control te zijn van de autorisaties
Wat kan een IAM-tool dan voor je doen?
- Vertalen van algemene toegangsregels naar autorisatieinstellingen in systemen
- Gebruik maken van een autorisatiemodel, zoals RBAC of ABAC
- Administreren van toegangsmiddelen (registratie / uitgifte / intrekken / vervangen)
- Inzicht en overzicht geven aan people managers, systeemeigenaren en security managers
- Aantonen van procesgang en periodieke controles (attestatie)
Hoe werkt dat dan?
- Techniek: Synchroniseren van bronsystemen naar doelsystemen; hierbij autorisatieregels en -modellen toepassen
- Processen: Aanvragen en goedkeuren van toegang; aanzetten tot periodieke controles
- Mensen: Medewerkers, partners, klanten, maar ook processen, systemen, high-privileged accounts
Wat moet er naast een IAM-tool nog meer geregeld worden?
- De bronsystemen en synchronisatiemethoden moeten betrouwbaar zijn
- De run-time toegang moet geregeld zijn. De gebruiker moet herkend kunnen worden (authenticeren / inloggen / andere attributen ophalen)
Wat kan er nog meer?
- SSO
- Federatie
Maar dat zijn onderwerpen voor een andere podcast… 😉
Credits:
- Muziek: Jahzzar - 1000 Miles (intro) & Chiefs (outtro)
- Contactgegevens: Lex - Twitter: @LexBorger, Eline - Email: e.van.dam@i-to-i.nl, Bram - Emil: b.van.pelt@i-to-i.nl
- Website: www.i-to-i.nl
- Podcast RSS-feed: www.i-to-i.nl/feed/podcast
Podcast: Play in new window | Download
