add quotation mark in add_header HSTS directive
[ach-master.git] / src / disclaimer.tex
index 39ddd9f..2a5089c 100644 (file)
@@ -1,12 +1,93 @@
-\section{Disclaimer}
-This guide specifically does not address physical security issues, protecting software and hardware against exploits, basic IT security housekeeping tasks, anti-tempest\footnote{\url{https://en.wikipedia.org/wiki/Tempest\_(codename)}} attack techniques, protecting against side-channel attacks or other similar attacks which are usually employed to circumvent strong encryption. The authors can not overstate the importance of these other techniques. 
+\section{Disclaimer and scope}
+\label{section:disclaimer}
+\label{sec:disclaimer-scope}
 
-This guide can only describe what the authors currently \emph{believe} to be the best settings based on their personal experience. This guide was cross checked by multiple people. For a complete list, see the appendix section "reviewers". Even though, multiple specialists reviewed the guide, the authors can give \emph{no guarantee} whatsover that they made the right recommendations. Keep in mind that tomorrow there might be new attacks on some ciphers and many of the recommendations in this guide might turn out to be wrong.
+\epigraph{``A chain is no stronger than its weakest link, and life is after all a chain''}{William James}
+\epigraph{``Encryption works. Properly implemented strong crypto systems are
+one of the few things that you can rely on. Unfortunately, endpoint security is
+so terrifically weak that NSA can frequently find ways around it.''}{Edward
+Snowden, answering questions live on the Guardian's
+website~\cite{snowdenGuardianGreenwald}}
 
 
-%% should we keep that sentence?
-%% The authors do not know XXX FIXME XXX list things we don't know which affect the guide? XXX
+This guide specifically does not address physical security, protecting software
+and hardware against exploits, basic IT security housekeeping, information
+assurance techniques, traffic analysis attacks, issues with key-roll over and
+key management, securing client PCs and mobile devices (theft, loss), proper
+Operations Security\footnote{\url{https://en.wikipedia.org/wiki/Operations_security}}, social
+engineering attacks, protection against tempest~\cite{Wikipedia:Tempest} attack techniques,
+thwarting different side-channel attacks (timing--, cache timing--,
+differential fault analysis, differential power analysis or power monitoring
+attacks), downgrade attacks, jamming the encrypted channel or other similar
+attacks which are typically employed to circumvent strong encryption.  The
+authors can not overstate the importance of these other techniques.  Interested
+readers are advised to read about these attacks in detail since they give a lot
+of insight into other parts of cryptography engineering which need to be dealt
+with.\footnote{An easy to read yet very insightful recent example is the
+"FLUSH+RELOAD" technique~\cite{yarom2013flush+} for leaking cryptographic keys
+from one virtual machine to another via L3 cache timing attacks.}
 
-Nevertheless, ignoring the problem at hand and keeping outdated settings for SSL, SSH, PGP is not an option. We the authors, need this document as much as the gentle reader needs it.
+This guide does not talk much about the well-known insecurities of trusting a
+public-key infrastructure (PKI)\footnote{Interested readers are referred to
+\url{https://bugzilla.mozilla.org/show_bug.cgi?id=647959} or
+\url{http://www.h-online.com/security/news/item/Honest-Achmed-asks-for-trust-1231314.html}
+which brings the problem of trusting PKIs right to the point}. Nor
+does this text fully explain how to run your own Certificate Authority (CA). 
 
 
+Most of this zoo of information security issues are addressed in the very
+comprehensive book ``Security Engineering'' by Ross Anderson~\cite{anderson2008security}. 
+
+For some experts in cryptography this text might seem too informal. However, we
+strive to keep the language as non-technical as possible and fitting for our
+target audience: system administrators who can collectively improve the
+security level for all of their users. 
+
+
+
+\epigraph{``Security is a process, not a product.''}{Bruce Schneier}
+
+This guide can only describe what the authors currently
+\emph{believe} to be the best settings based on their personal experience and
+after intensive cross checking with literature and experts. For a complete list
+of people who reviewed this paper, see the \nameref{section:Reviewers}.
+Even though multiple specialists reviewed the guide, the authors can give
+\emph{no guarantee whatsoever} that they made the right recommendations. Keep in
+mind that tomorrow there might be new attacks on some ciphers and many of the
+recommendations in this guide might turn out to be wrong. Security is a
+process.
+
+
+We therefore recommend that system administrators keep up to date with recent
+topics in IT security and cryptography. 
+
+
+In this sense, this guide is very focused on getting the cipher strings done
+right even though there is much more to do in order to make a system more
+secure.  We the authors, need this document as much as the reader needs it.
+
+\subsection*{Scope}
+\label{section:Scope}
+
+In this guide, we restricted ourselves to:
+\begin{itemize*}
+  \item Internet-facing services
+  \item Commonly used services
+  \item Devices which are used in business environments (this specifically excludes XBoxes, Playstations and similar consumer devices)
+  \item OpenSSL 
+\end{itemize*}
+
+We explicitly excluded:
+\begin{itemize*}
+  \item Specialized systems (such as medical devices, most embedded systems, industrial control systems, etc.)
+  \item Wireless Access Points
+  \item Smart-cards/chip cards
+%  \item Advice on running a PKI or a CA
+%  \item Services which should be run only in an internal network and never face the Internet.
+\end{itemize*}
+
+
+%%% Local Variables: 
+%%% mode: latex
+%%% TeX-master: "applied-crypto-hardening"
+%%% End: