Zdroj: ZDNet
Americká národná bezpečnostná agentúra (NSA) publikovala v závere apríla 2020 dokument, v ktorom hodnotí populárne nástroje pre video konferencie, textový chat či nástroje pre spoluprácu (collaboration tools).
Odporúčanie smerovalo nie len do vládnych a vojenských štruktúr, ale aj do privátneho sektora. Ako uvádza NSA, dôvodom je pomôcť vyhnúť sa chybným očakávaniam a následne aj chybným rozhodnutiam pri výbere nástrojov pre video konferencie a iných nástrojov na spoluprácu.
Pri porovnávaní a hodnotení si NSA stanovila 8 dôležitých kritérií:
- Implementuje uvedená služba End-to-End šifrovanie?
- Je End-to-End šifrovanie založené na silnom, dobre známom štandarde?
- Umožňuje služba multifaktorovú autentifikáciu?
- Môže používateľ kontrolovať, kto sa do komunikácie pripája?
- Zdieľa výrobca nástroja dáta s niekým ďalším (tretia strana, pobočka)?
- Má používateľ možnosť bezpečne odstrániť dáta z úložiska nástroja či už na strane servera alebo na strane klienta?
- Je zdrojový kód nástroja verejný (open source)?
- Spĺňa služba požiadavky FedRAMP (The Federal Risk and Authorization Management Program) https://www.fedramp.gov aby mohla byť oficiálne používaná americkou vládou?
Z platených komerčných nástrojov to vyzerá jednoznačne na víťazstvo Cisco Webex. Ale tak ako uvádzame aj v podcaste č. 71, je dôležité pouvažovať, na akú komunikáciu nástroj potrebujete. To, že Wickr nemá certifikáciu FedRAMP, neznamená, že je pre vás nepoužiteľný. Už len vzhľadom nato, že si ho NSA vzala do hľadáčika a aké má parametre, môže byť Wickr vhodným opensource nástrojom práve pre vás.
V podcaste č. 71 sme rozoberali hodnotenie konferenčných nástrojov Martinom Sheltonom redaktorom FreedomPress zaoberajúcim sa témami kybernetickej bezpečnosti.
Sú tam hodnotené aj iné nástroje na video konferencie, počet kritérií je menší a do úvahy je braná aj otázka počtu účastníkov konferencie a možnosť hostovania konferenčného nástroja na vlastnom servery.
Dôležitou poznámkou na záver je znepokojenie NSA nad prudkým nárastom implementácie nástrojov Office 365 a Microsoft Teams. Dôvodom je, že sa často dejú bez dôrazu na implementáciu kľúčových bezpečnostných čŕt týchto nástrojov – napr. viacfaktorovú autentifikáciu.
Obrázok: Collaboration tool from Redbooth.com
