Názory k článku Regulace podle NIS2: Utajený Portál NÚKIB si zatím vybírá uživatele a nepodporuje IPv6

Firewall si spousta organizaci jeste ohlidat zvladne, neaktualizovany bordel byva skryt prave az za nim. V duchu hesla, ze firewall to prece ochrani :-)

Občas se vyčtou dobré věci i z Certificate Transparency:
https://crt.sh/?q=nukib.cz
a
https://crt.sh/?q=nukib.gov.cz

Třeba zmenahesla.nu­kib.cz, sso.nukib.gov.cz, iam.nukib.gov.cz docela vyčnívají. Zdá se, že nukib používá současně posta.nukib.cz a mail.nukib.cz.
Netuším, co provozují na openpgpkey.nu­kib.cz, ale já tam minimálně na webu nic nevidím. Certifikáty odkazující na různé státní instituce/ ministerstva jsou taky zajímavé.

tohle je hit poslední doby, evidence na certificate transparency zpravidla předčí interní dokumentace a seznamy.

Za pozornost samozřejmě stojí, ty s platným certifikátem, to dává často pěkný přehled o samotné infrastruktuře. Pro penetrační testování jsou pak hodně zajímavé ty staré, zpravidla zapomenuté servery, které už nikdo neaktualizuje a bývají plné děr a dvířek, např. https://nahlizeni.nukib.cz může být zajímavý začátek.

Po první pohledu to mají docela čisté, spousty těch očividně neveřejných domén mají schované za FW, jejich webové servery namátkou nereagují na ručně zaslané hlavičky. Zranitelnonst CVE-2024-21762 mají očividně na svém https://vpn.nukib.cz/ vyřešenou, když už na to sami upozorňovali, byl by to dobrý fail.

za FW se dostat chvilku trvá a hlavně již to může být trestný, bez smlouvy bych to nezkoumal :)

Pri extenzivnim vykladu prava muze byt trestny i zkoumani toho, zda ten FW maji opatchovany :-)

Jen jestli to je fakt oddelene... :-) A vsak rikam "pri extenzivnim vykladu"... aneb vime, jak na jinem urade pracovali se zajistovacimi prikazy, ze? A diskutovany urad se stale vic projevuje tim, ze spis prahne po te moci... nez aby resil tu nudnou otrocinu, kterou v praxi i ta bezpecnost je.

SSL Labs má imho slabší test. Lepší použít ImmuniWeb: https://www.immuniweb.com/ssl/nukib.gov.cz/IgVo22Ff/

myslíš VPN a ne FW, že jo?

Poslat jednorázově nějaká data v GET požadavku lze velice těžko kategorizovat jako obejítí zabezpečení a trestat za to. Naopak vniknutí za chráněnou část a skenování vnitřní sítě už může být skoro na basu.

Krom toho jsem použil data z shodanu a sám jsem nic neposílal.

Co jsou "ručně zadaně hlavičky' a " nereaguje na ně"?