src/disclaimer.tex

   1 \newpage
   2 \section{Disclaimer and scope}
   3 \label{section:disclaimer}
   4
   5 \epigraph{``A chain is no stronger than its weakest link, and life is after all a chain''}{William James}
   6 \epigraph{``Encryption works. Properly implemented strong crypto systems are
   7 one of the few things that you can rely on. Unfortunately, endpoint security is
   8 so terrifically weak that NSA can frequently find ways around it.''}{Edward
   9 Snowden, answering questions live on the Guardian's
  10 website~\cite{snowdenGuardianGreenwald}}
  11
  12
  13 This guide specifically does not address physical security, protecting software
  14 and hardware against exploits, basic IT security housekeeping, information
  15 assurance techniques, traffic analysis attacks, issues with key-roll over and
  16 key management, securing client PCs and mobile devices (theft, loss), proper
  17 OPSec\footnote{\url{http://en.wikipedia.org/wiki/Operations_security}}, social
  18 engineering attacks, anti-tempest~\cite{Wikipedia:Tempest} attack techniques,
  19 protecting against different side-channel attacks (timing--, cache timing--,
  20 differential fault analysis, differential power analysis or power monitoring
  21 attacks), downgrade attacks, jamming the encrypted channel or other similar
  22 attacks which are typically employed to circumvent strong encryption.  The
  23 authors can not overstate the importance of these other techniques.  Interested
  24 readers are advised to read about these attacks in detail since they give a lot
  25 of insight into other parts of cryptography engineering which need to be dealt
  26 with.\footnote{An easy to read yet very insightful recent example is the
  27 "FLUSH+RELOAD" technique~\cite{yarom2013flush+} for leaking cryptographic keys
  28 from one virtual machine to another via L3 cache timing attacks.}
  29
  30 This guide does not talk much about the well-known insecurities of trusting a
  31 public-key infrastructure (PKI)\footnote{Interested readers are referred to
  32 \url{https://bugzilla.mozilla.org/show_bug.cgi?id=647959} or
  33 \url{http://www.heise.de/security/meldung/Der-ehrliche-Achmed-bittet-um-Vertrauen-1231083.html}
  34 (german) which brings the problem of trusting PKIs right to the point}. Nor
  35 does this text fully explain how to run your own Certificate Authority (CA).
  36
  37
  38 Most of this zoo of information security issues are addressed in the very
  39 comprehensive book ``Security Engineering'' by Ross Anderson~\cite{anderson2008security}.
  40
  41 For some experts in cryptography this text might seem too informal. However, we
  42 strive to keep the language as non-technical as possible and fitting for our
  43 target audience: system administrators who can collectively improve the
  44 security level for all of their users.
  45
  46
  47
  48 \epigraph{``Security is a process, not a product.''}{Bruce Schneier}
  49
  50 This guide can only describe what the authors currently
  51 \emph{believe} to be the best settings based on their personal experience and
  52 after intensive cross checking with literature and experts. For a complete list
  53 of people who reviewed this paper, see the \nameref{section:Reviewers}.
  54 Even though multiple specialists reviewed the guide, the authors can give
  55 \emph{no guarantee whatsoever} that they made the right recommendations. Keep in
  56 mind that tomorrow there might be new attacks on some ciphers and many of the
  57 recommendations in this guide might turn out to be wrong. Security is a
  58 process.
  59
  60
  61 We therefore recommend that system administrators keep up to date with recent
  62 topics in IT security and cryptography.
  63
  64
  65 In this sense, this guide is very focused on getting the cipher strings done
  66 right even though there is much more to do in order to make a system more
  67 secure.  We the authors, need this document as much as the reader needs it.
  68
  69 \paragraph{Scope:}
  70 \label{section:Scope}
  71
  72 In this guide, we restricted ourselves to:
  73 \begin{itemize}
  74 \item Internet-facing services
  75 \item Commonly used services
  76 \item Devices which are used in business environments (this specifically excludes XBoxes, Playstations and similar consumer devices)
  77 \item OpenSSL
  78 \end{itemize}
  79
  80 We explicitly excluded:
  81 \begin{itemize}
  82 \item Specialized systems (such as medical devices, most embedded systems, etc.)
  83 \item Wireless Access Points
  84 \item Smart-cards/chip cards
  85 %\item Advice on running a PKI or a CA
  86 %\item Services which should be run only in an internal network and never face the Internet.
  87 \end{itemize}
  88
  89
  90 %%% Local Variables:
  91 %%% mode: latex
  92 %%% TeX-master: "applied-crypto-hardening"
  93 %%% End: