Mail Thread Index

[Albert Dengg <a_d@gmx.at>]

hallo,
On Wed, Dec 02, 2009 at 10:40:20AM +0100, Wolfgang wrote:
> 
> Hi,
> 
> [...]
> 
> >solange sich der tunnel ned automagisch per cron oder so aufbaut sollts eignetl harmlos sein?
> gewagte These ;)
naja...wenn der user es gezielt startet hat der admin kein problem mit mir sondern
mit seinem user....
> >> > Mich wundert es, dass es solche Lösungen nicht schon gibt - so kompliziert 
> >> > kann es nicht sein, soetwas dazuzubasteln...
> >> Weil das mitunter keine Lösung sondern eher ein Problem ist - v.a. wenn
> >> man der Firewall-Admin/Security-Admin ist: Da hab ich intern Tools/Apps,
> >> die sich automagisch irgendwo anmelden und von außen Zugriff erlauben
> >> und die Firewall kann genau nichts machen. Ich weiß nicht mal, wann da
> >> was gemacht wird (und kann es deshalb schlecht mit anderen Incidents
> >> korrelieren).
> >> Aber vielleicht bin ich auch nur zu vorsichtig .....
> >ich kenn leut die sowas fuer die fernwartung bei kunden nutzten (auch fuer linux
> >server, da laueft dann ssh getunnelt ueber ssh), da erreichst du dann gnau das
> >das der admin kontrollieren kann wann du rein kannst in dem er das script anwirft
> >das dann erst den backconnect erlaubt.
> >und extrem paranoide admin fahren outgoing sowieso auch filtering (und die unangnehmen
> >man in the middle attacs)....also kann ma auch den outgoing connect filtern...
> 
> ja, oder man macht das zb mit openvpn - dann ist das ganze proxyfähig und
> man braucht keinen FW-Admin, der was freischaltet... hilf dir selbst,
> dann hilft dir Gott ;)
naja dem schmeckt die man in the middel attack ned so recht....

btw hat mir schon mal ein kunde das outgoing openvpn "aus security gruenden"
rausgetreten, er will sich lieber direkt zu unserem service verbinden...
(geht in dem fall ned um zugriff von uns zu ihm sondern in die andrere richtung),
manche leute haben da eigenartige vorstellungen was sicher ist und was ned....

albert

btw: seit neuestem geht bei der luga@ liste "reply to list", das ma braucht kein "reply to all"
mehr machen...wer auch immer dafuer "verantwortlich" ist, danke von meiner seite...

Attachment: signature.asc
Description: Digital signature