"Възходът" на измамата със скъпите защитните стени – или как се продава въздух под налягане

[Самуил Арсов]

В последно време пак забелязвам този странен "времеви цикъл на съдбата", в който разни "Ноу-Хау" компании тръгват да "спасяват" от "Големия Лош Интернет" училища, общини и малки фирми. Въоръжени с вълшебни думички като "Кибер секюрити" и "Лиценз за блеклисти", те обещават да предпазят непорочните потребители от "порнографско съдържание" и "сайтове с омраза".

Една друга тема е какво се влага в думата лиценз и как се "самолицензират" тези дуаени в търговията е загадка за мен ...

Всичко това звучи чудесно, но не мога да повярвам, че все още има наивници, които хвърлят хиляди левове (вече евро) на търговски представители, рецитиращи заучени фрази. Обещават ви някаква "кибер-супер-дупер" хардуерна кутия, която уж ще пропуска само пакети във вашата локална мрежа с "пролетно ухание на цветя", а фекалните ще се стичат на WAN порта.

Истината обаче е брутална:

    Тези "стени" са слепи: 99% от съвременния трафик е HTTPS (криптиран). Този скъп хардуер няма как да надникне вътре в пакета и да види "лошото" съдържание, защото всичко е криптирано.

    Плащате за безплатен обяд: Тези скъпи "лицензирани блеклисти" често са просто препакетирани безплатни списъци изтеглени от FireHOL, които всеки може да ползва свободно. Взимат нещо безплатно, слагат му етикет "Enterprise" и ви го продават на цената на лек автомобил.

Вместо тези пари да отидат за реално подобряване на мрежата – нови суичове, точки за достъп в мъртви зони (AP) или окабеляване, те отиват на вятъра.

Истинската мрежова защита на ниво "хардуерна стена" е работа на доставчика (ISP), а не на клиента. За офиса или училището един кадърно конфигуриран Mikrotik може да прави същото DNS филтриране и блокиране на сайтове напълно автоматично и безплатно. Всичко друго е надуване на балон и пладнешки обир.

Защита от DDoS и сериозни атаки трябва да е грижа на доставчика (ISP) преди трафикът да стигне до клиента. Крайният клиент няма нужда от защитна стена за няколко хиляди лева/евро, за да спре достъпа до 5 сайта, при положение, че по телевизията всяка вечер дават филми с насилие и убийства, а родителският контрол е миража в който натискаш четири нули в дистанционното на телевизора ....

Често се обвинява Интернет доставчика за бавната връзка или прекъсванията, но истината е, че повечето проблеми в локалната мрежа идват отвътре-навън (Inside-out) – зона, в която стандартната конфигурация на защитната стена няма такива актуални правила защото търговеца на мечти не е системен администратор който трябва да направи анализ на мрежата ви и след това да конфигурира желязото ! 

Има два основни фактора, които 'изяждат' капацитета на локалната мрежа, без дори да собственика и да подозира:

    Скрит трафик от устройства (IoT Често камери за видеонаблюдение или други умни устройства са заразени и работят като част от бот-мрежи. Те генерират огромен трафик (flood) от локалната мрежа навън, което убива връзката с Интернет.

  Защитната стена не може да 'надникне' в криптирания HTTPS трафик. Така, ако служител неволно тръгне да тегли вирус или малуер от сигурен сайт, "защитата" в кавички го пропуска безпрепятствено.

 

Повечето написани по горе неща се знаят от всички но въпреки това пазара на лъжи си просперира  ...    

[111111]

То и ако има думата "Евро програма" и се лепят като мухи на Л@№.

Липсата на елементарна логика и култура водят до това дередже.

[msboy]

На 6.01.2026 г. at 12:13, Самуил Арсов написа:

В последно време пак забелязвам този странен "времеви цикъл на съдбата", в който разни "Ноу-Хау" компании тръгват да "спасяват" от "Големия Лош Интернет" училища, общини и малки фирми. Въоръжени с вълшебни думички като "Кибер секюрити" и "Лиценз за блеклисти", те обещават да предпазят непорочните потребители от "порнографско съдържание" и "сайтове с омраза".

Една друга тема е какво се влага в думата лиценз и как се "самолицензират" тези дуаени в търговията е загадка за мен ...

Всичко това звучи чудесно, но не мога да повярвам, че все още има наивници, които хвърлят хиляди левове (вече евро) на търговски представители, рецитиращи заучени фрази. Обещават ви някаква "кибер-супер-дупер" хардуерна кутия, която уж ще пропуска само пакети във вашата локална мрежа с "пролетно ухание на цветя", а фекалните ще се стичат на WAN порта.

Истината обаче е брутална:

    Тези "стени" са слепи: 99% от съвременния трафик е HTTPS (криптиран). Този скъп хардуер няма как да надникне вътре в пакета и да види "лошото" съдържание, защото всичко е криптирано.

    Плащате за безплатен обяд: Тези скъпи "лицензирани блеклисти" често са просто препакетирани безплатни списъци изтеглени от FireHOL, които всеки може да ползва свободно. Взимат нещо безплатно, слагат му етикет "Enterprise" и ви го продават на цената на лек автомобил.

Вместо тези пари да отидат за реално подобряване на мрежата – нови суичове, точки за достъп в мъртви зони (AP) или окабеляване, те отиват на вятъра.

Истинската мрежова защита на ниво "хардуерна стена" е работа на доставчика (ISP), а не на клиента. За офиса или училището един кадърно конфигуриран Mikrotik може да прави същото DNS филтриране и блокиране на сайтове напълно автоматично и безплатно. Всичко друго е надуване на балон и пладнешки обир.

Защита от DDoS и сериозни атаки трябва да е грижа на доставчика (ISP) преди трафикът да стигне до клиента. Крайният клиент няма нужда от защитна стена за няколко хиляди лева/евро, за да спре достъпа до 5 сайта, при положение, че по телевизията всяка вечер дават филми с насилие и убийства, а родителският контрол е миража в който натискаш четири нули в дистанционното на телевизора ....

Често се обвинява Интернет доставчика за бавната връзка или прекъсванията, но истината е, че повечето проблеми в локалната мрежа идват отвътре-навън (Inside-out) – зона, в която стандартната конфигурация на защитната стена няма такива актуални правила защото търговеца на мечти не е системен администратор който трябва да направи анализ на мрежата ви и след това да конфигурира желязото ! 

Има два основни фактора, които 'изяждат' капацитета на локалната мрежа, без дори да собственика и да подозира:

    Скрит трафик от устройства (IoT Често камери за видеонаблюдение или други умни устройства са заразени и работят като част от бот-мрежи. Те генерират огромен трафик (flood) от локалната мрежа навън, което убива връзката с Интернет.

  Защитната стена не може да 'надникне' в криптирания HTTPS трафик. Така, ако служител неволно тръгне да тегли вирус или малуер от сигурен сайт, "защитата" в кавички го пропуска безпрепятствено.

 

Повечето написани по горе неща се знаят от всички но въпреки това пазара на лъжи си просперира  ...    

А какво би казал за тези защитни стени, които имат функция SSL Proxy с идеята сертификата да се инсталира на всеки клиентски компютър и да е "видим" HTTPS трафика за защитната стена.  

Редактирано вчера в 13:20 от msboy
допълване

[Самуил Арсов]

Много добър въпрос:

- Ще кажа, че това е пряко нарушение на GDPR (защита на личните данни и правото поверителност на кмуникацията) защото можеш да получиш достъп до онлайн банкиране, лични чатове, здравни данни и др.

В България има два основни пътя за защита – чрез Комисията за защита на личните данни (КЗЛД) или директно през съда.

[stancheff]

Преди 20 часа, msboy написа:

А какво би казал за тези защитни стени, които имат функция SSL Proxy с идеята сертификата да се инсталира на всеки клиентски компютър и да е "видим" HTTPS трафика за защитната стена.  

 

Що за чудо е това нещо, някакъв хардуеър ли е? Иначе, от много отдавна е почти невъзможно да излъжеш някоя банка като подмениш сертификата. Имах случай даже с един телеком, който ми налагаше перманентен бан на IP-то само заради лош фингерпринт на браузера.

[msboy]

Преди 1 час, stancheff написа:

Що за чудо е това нещо, някакъв хардуеър ли е? Иначе, от много отдавна е почти невъзможно да излъжеш някоя банка като подмениш сертификата. Имах случай даже с един телеком, който ми налагаше перманентен бан на IP-то само заради лош фингерпринт на браузера.

Има доста производители на хардуерни защитни стени (NGFW), които поддържат HTTPS/SSL/TLS Inspection – прихващане на криптираната връзка, декриптиране, проверка на съдържанието и повторно криптиране със сертификат, подписан от вътрешен CA сертификат на организацията. Списъка включва:  Fortinet FortiGate (FortiGate 120G), Sophos Firewall (Sophos XGS 138), Grandstream, Cisco Secure Firewall, Palo Alto Networks. В моя случай е Grandstream модел GCC6021. Но самото ползване на тази функция си е отговорност на самата организация и на разписаните правила по GDPR, както по горе Самуил Арсов написа.

Редактирано преди 3 часа от msboy
допълване

[Самуил Арсов]

Когато отвориш сайт, защитната стена се представя пред сайта като теб, тя декриптира трафика, проверява го и го криптира отново като ти го праща. В защитната стена се генерира собствен Root CA сертификат. Този сертификат трябва да се инсталира и в компютъра зад нея, било то ръчно, или автоматично от админа чрез групови политики от Active Directory. Този сценарии предполагам е задължителен в специалните служби но там има отговорности, иерархия, нива а "Ганчо" който иска да разгледа Facebook профила на русата колежка каква отговорност има ?!?!?

[msboy]

За „Ганчо“, който иска да разгледа Facebook профила на колежката си, изобщо няма да коментирам, защото това е въпрос на норма на поведение, независимо дали човекът е шофьор, или е назначен за изпълнителен директор на институция.

Недопустимо е институциите да се разделят на специални служби и всички останали, защото има учреждения (без да конкретизирам) и институции в България, в които HTTPS/SSL/TLS Inspection не е просто препоръчителен, а ЗАДЪЛЖИТЕЛЕН предвид спецификата на комуникацията, порталите и модулите за комуникация, използващи Root CA сертификат, издаден по определен ред и начин.

Отговорностите са строго описани и разпределени, включително по отношение на контрола на достъпа, разделението на отговорностите, одита и управленския надзор. Има дори логове, които се преглеждат от трети и четвърти лица (одитори).

Нещата не са такива, каквито изглеждат отвън. Това не е „разграден двор“. С две думи, на такива места е практически невъзможно някой безконтролно да използва достъпа си до декриптиран трафик за лични цели и да остане безнаказан.