Merge branch 'master' of github:BetterCrypto/Applied-Crypto-Hardening
authorPepi Zawodsky <git@maclemon.at>
Sun, 29 Mar 2015 20:35:56 +0000 (22:35 +0200)
committerPepi Zawodsky <git@maclemon.at>
Sun, 29 Mar 2015 20:35:56 +0000 (22:35 +0200)
1  2 
presentations/org-training/agenda.md

@@@ -16,7 -16,7 +16,7 @@@
  
    1. **Part 1:** Intro to bettercrypto & Motivation
    2. How we got started, how we work, what's there, what's missing, how to use the guide
-   2. Q&A round: what's needed for the organisation?
+   2. Brainstorming round: what's needed for the organisation?
    3. **Part 2:** Background
    3. History of Crypto in a nutshell
    4. Theory
@@@ -24,6 -24,7 +24,7 @@@
    5. Theory (cont.)
    5. Practical settings
    6. **Part 3:** Testing, tools, finding a process for improvement
+   6. Brainstorming round: finding an internal testing strategy
    7. wrap up & next steps
      
  
@@@ -45,12 -46,6 +46,12 @@@ Please note
    * If politicians in other countries did not know how to do this, now they know!
    * If criminals did not know how to do this, now they know!
  
 +# Motivation (3)
 +![Klaus Landefeld](img/Klaus_Landefeld.jpg)  
 +Ende-zu-Ende-Verschlüsselung das Einzige, das funktioniert. Leitungen verschlüsseln auch schwierig, gibt keine Standards. Und Problem mit ausländischen Anbietern bleibt. Bereits beim Endkunden verschlüsseln, alles andere wird nicht helfen.  
 +— Klaus Landefeld, 2015-03-26
 +NSA Untersuchungssausschuß im deutschen Bundestag
 +
  # The reaction
  
  \centering { \textbf{Don't give them anything for free}\par
@@@ -188,7 -183,7 +189,7 @@@ How
  
  (Taking notes on infrastructure, legacy systems, inventory, etc.)
  
- # What's needed in your organisation? 
+ # Brainstorming: what's needed in your organisation? 
  (interactive session)
  
  Some points to get us thinking:
@@@ -448,7 -443,7 +449,7 @@@ Only clients which support TLS1.2 are c
  * GnuPG
  * SSH
  * IM servers (jabber, irc)
- * _DANE_
+ * _DANE_ (this section is still WIP)
  * _Configuration code snippets_
  
  
@@@ -560,6 -555,19 +561,19 @@@ etc
  
  ![sslyze-screenshot2](img/sslyze-scan-sample2.png)
  
+ # Brainstorming: finding an internal testing strategy
+ Some questions to think about:
+   * Which tests are non-intrusive? Which should be avoided?
+   * Do we need a full inventory? Can we generate the inventory?
+ Does the inventory match the scanned results (hosts & ports)?
+   * Should any  mismatch raise alarms?
+   * Once we identified all ips:ports - do we need to know hostnames? (SNI)?
+   * Defining a common base-line level which MUST be supported
+   * automatic testing against that base-line level? How?
+   * Integration into existing monitoring solutions?
  # Wrap-up