Merge remote-tracking branch 'upstream/master'
[ach-master.git] / src / disclaimer.tex
1 \newpage
2 \section{Disclaimer and scope}
3 \label{section:disclaimer}
4
5 \epigraph{``A chain is no stronger than its weakest link, and life is after all a chain''}{-- William James}
6
7 \epigraph{``Encryption works. Properly implemented strong crypto systems are
8 one of the few things that you can rely on. Unfortunately, endpoint security is
9 so terrifically weak that NSA can frequently find ways around it.''}{-— Edward
10 Snowden, answering questions live on the Guardian's
11 website\cite{snowdenGuardianGreenwald}}
12
13
14 This guide specifically does not address physical security, protecting software
15 and hardware against exploits, basic IT security housekeeping, information
16 assurance techniques, traffic analysis attacks, issues with key-roll over and
17 key management, securing client PCs and mobile devices (theft, loss), proper
18 OPSec\footnote{\url{http://en.wikipedia.org/wiki/Operations_security}}, social
19 engineering attacks, anti-tempest\cite{Wikipedia:Tempest} attack techniques,
20 protecting against different side-channel attacks (timing--, cache timing--,
21 differential fault analysis, differential power analysis or power monitoring
22 attacks), downgrade attacks, jamming the encrypted channel or other similar
23 attacks which are typically employed to circumvent strong encryption.  The
24 authors can not overstate the importance of these other techniques.  Interested
25 readers are advised to read about these attacks in detail since they give a lot
26 of insight into other parts of cryptography engineering which need to be dealt
27 with.\footnote{An easy to read yet very insightful recent example is the
28 "FLUSH+RELOAD" technique \cite{yarom2013flush+} for leaking cryptographic keys
29 from one virtual machine to another via L3 cache timing attacks.}
30
31 \vskip 0.5em
32 This guide does not talk much about the well-known insecurities of trusting a
33 public-key infrastructure (PKI)\footnote{Interested readers are referred to
34 \url{https://bugzilla.mozilla.org/show_bug.cgi?id=647959} or
35 \url{http://www.heise.de/security/meldung/Der-ehrliche-Achmed-bittet-um-Vertrauen-1231083.html}
36 (german) which brings the problem of trusting PKIs right to the point}. Nor
37 does this text fully explain how to run your own Certificate Authority (CA). 
38
39
40 \vskip 0.5em
41 Most of this zoo of information security issues are addressed in the very
42 comprehensive book ``Security Engineering'' by Ross Anderson
43 \cite{anderson2008security}. 
44
45 For some experts in cryptography this text might seem too informal. However, we
46 strive to keep the language as non-technical as possible and fitting for our
47 target audience: system administrators who can collectively improve the
48 security level for all of their users. 
49
50 \vskip 0.5em
51
52
53 \epigraph{``Security is a process, not a product.''}{-- Bruce Schneier}
54
55 This guide can only describe what the authors currently
56 \emph{believe} to be the best settings based on their personal experience and
57 after intensive cross checking with literature and experts. For a complete list
58 of people who reviewed this paper, see the section \ref{section:Reviewers}.
59 Even though multiple specialists reviewed the guide, the authors can give
60 \emph{no guarantee whatsoever} that they made the right recommendations. Keep in
61 mind that tomorrow there might be new attacks on some ciphers and many of the
62 recommendations in this guide might turn out to be wrong. Security is a
63 process.
64
65 \vskip 0.5em
66
67 We therefore recommend that system administrators keep up to date with recent
68 topics in IT security and cryptography. 
69
70
71 In this sense, this guide is very focused on getting the cipher strings done
72 right even though there is much more to do in order to make a system more
73 secure.  We the authors, need this document as much as the reader needs it.
74
75 \paragraph{Scope:}
76 \label{section:Scope}
77
78 In this guide, we restricted ourselves to:
79 \begin{itemize}
80 \item Internet-facing services
81 \item Commonly used services
82 \item Devices which are used in business environments (this specifically excludes XBoxes, Playstations and similar consumer devices)
83 \item OpenSSL 
84 \end{itemize}
85
86 We explicitly excluded:
87 \begin{itemize}
88 \item Specialized systems (such as medical devices, most embedded systems, etc.)
89 \item Wireless Access Points
90 \item Smart-cards/chip cards
91 %\item Advice on running a PKI or a CA
92 %\item Services which should be run only in an internal network and never face the Internet.
93 \end{itemize}
94