Die Hauptmotivation für HTTPS besteht darin, zu verhindern, dass ein Angreifer Ihre Kommunikation mit einer Website liest und manipuliert. Die Entscheidung, es auf internen Websites bereitzustellen, hängt also davon ab, ob das Risiko besteht, dass jemand Ihren Datenverkehr innerhalb des Unternehmensnetzwerks manipuliert.

Wenn die interne HR-Website nur statische Inhalte bereitstellt, auf die bereits jeder zugreifen kann Im Intranet des Unternehmens könnte man argumentieren, dass HTTPS keine Sicherheit hinzufügt, da das Abfangen des Datenverkehrs auf dieser Seite innerhalb des internen Netzwerks sinnlos wäre.

Wenn die Site jedoch ein Anmeldesystem verwendet und die Mitarbeiter nicht Wenn Sie nicht darauf vertrauen, das interne Netzwerk nicht zu stören, oder Gäste darauf zugreifen dürfen, sollte auf die Site immer über eine sichere Verbindung zugegriffen werden.

Es handelt sich um eine Site, bei der wir uns anmelden (mit einem Passwort, das wir verwenden) Ich bin gezwungen, maximal 8 Kleinbuchstaben zu verwenden, wo wir Lohnabrechnungen, persönliche Adresse / Kontaktdaten usw. anzeigen können.

Das ist besorgniserregend. Nicht nur die künstliche Kennwortlängenbeschränkung ist wirklich niedrig und die Beschränkung nur auf Kleinbuchstaben fraglich. Wenn die Site einfaches HTTP verwendet, kann ein betrügerischer Mitarbeiter (oder Malware auf seinem Computer) Ihre Verbindung zur Seite abfangen, Ihr Kennwort abhören und Ihre Interaktionen mit dieser Site aufzeichnen. Da Sie sagen, dass es sich um ein großes Unternehmen handelt, kann es sein, dass nicht jeder, der darauf zugreift, vollständig vertrauenswürdig ist. Daher sollten sie die Bereitstellung von HTTPS in Betracht ziehen.

Nein, das ist nicht sicher. Sie sagten, es ist kein kleines Unternehmen, was bedeutet, dass es wahrscheinlich Menschen gibt, denen nicht jeder vertraut (was für> 10 Mitarbeiter ziemlich unmöglich ist), und wahrscheinlich sogar, dass es einige Positionen gibt, die von verschiedenen Personen besetzt werden, die in das Unternehmen eintreten und es ganz verlassen häufig. Wahrscheinlich sogar nur ein paar Wochen für Berufserfahrung, einen Sommerjob oder ähnliches.

Diesen Personen kann nicht vertraut werden, dass sie IT-Systeme, auf die sie Zugriff haben, nicht manipulieren. Wenn Sie unverschlüsselte Daten über Ethernet senden, kann jeder dazwischen sie lesen.

Sie verwenden nicht einmal die Challenge-Response-Authentifizierung, sondern ein Kennwort. Dies bedeutet, dass kein aufwändiger Angriff erforderlich ist, bei dem der Datenverkehr live manipuliert oder Pakete abgefangen und nach der Manipulation gesendet werden oder in der Hoffnung, dass dieselben Pakete nach der Manipulation erneut gesendet werden können, wenn sie zuvor an den Server gesendet wurden (die Person, die die Site verwendet, tut dies also nicht) t bemerken, weil sie die Antwort vom Server erhalten). Stattdessen kann man einfach den Datenverkehr aufzeichnen, ihn später analysieren, das Kennwort abrufen und auf die HR-Site zugreifen, bis das Kennwort geändert wird und der Datenverkehr erneut aufgezeichnet werden muss.

Wenn Manipulation von innerhalb des Intranets ist möglich, früher oder später wird es jemand tun. Die Leute machen sogar offizielle Ankündigungen, wenn sie können:

Der Mitarbeiter hatte in diesem Fall die Begrüßungsseite des Unternehmens im Intranet mit der folgenden Meldung geändert: „500 Jobs müssen vor dem Ende des ersten Werks im Werk Waterford weg sein Quartal 2008 ”.

( http://www.cpaireland.ie/docs/default-source/media-and-publications/accountancy-plus/it/email-and -internet-use-by-employee.pdf? sfvrsn = 2)

Es gibt viele Berichte (wie http://www.askamanager.org/2014/02/ive-been-breaking-into-my-companys-computer-network.html) über das Internet, in dem die Leute zugeben, schwache Sicherheitsmaßnahmen gebrochen zu haben. Dies muss nicht einmal bösartig sein. Dies kann aus Langeweile und Neugier resultieren (im Fall Ihres Unternehmens: Verdient Mr. Smith wirklich so viel, dass er sich diese drei schönen Autos leisten kann?), Um sogar die Produktivität durch Zerstörung von Sicherheitsbarrieren zu steigern.

Es gibt viele ähnliche Empfehlungen:

Jeder Arbeitgeber benötigt eine detaillierte Richtlinie zur Verwendung von Unternehmenscomputern und Ressourcen, auf die mit Computern zugegriffen wird, z. B. E-Mail , Internet und das Firmenintranet, falls vorhanden.

( http://www.twc.state.tx.us/news/efte/monitoring_computers_internet.html)

Das ist natürlich sehr wenig wert, wenn die Einhaltung nicht durchgesetzt wird. Und Ihre Verbindung ist innerhalb des Unternehmens so offen wie möglich, da keinerlei Transportverschlüsselung verwendet wird und sogar die Passwörter im Klartext übertragen werden. Der beste Weg, eine Richtlinie durchzusetzen, besteht darin, sie nicht zu ignorieren. Natürlich ist das nicht immer möglich, und manchmal gibt es bessere Wege, aber es scheint sehr, dass dies in diesem Fall sowohl der einfachste, beste als auch der zuverlässigste Weg ist.

Diese Warnung ist sehr In der Nähe dessen, was Ihr Unternehmen vor sich hat:

Neben der Sicherstellung, dass sie nicht gegen HIPAA-Vorschriften verstoßen, müssen sich Unternehmen auf ein anderes kritisches Intranetsicherheitsproblem konzentrieren: interne Sicherheitsverletzungen. Der Internet-Sicherheitsexperte Norbert Kubilus, Mitglied von Tatum CIO Partners, sagte, dass Intranet- "Hacker" in den meisten Fällen unglückliche Mitarbeiter sind, die versuchen, das Unternehmen zu belästigen oder einen persönlichen Vorteil zu erlangen.

"Das meiste von dem, was ich ' Ich habe von internem Missbrauch gehört und beobachtet ", sagte Kubilus. "Sie können einen verärgerten Mitarbeiter bekommen, der in die Intranet und Chaos durch Änderung der Urlaubspläne oder Zeitkarten. Wenn Sie nicht über den richtigen Schutz oder die richtige Ausbildung und den richtigen Prozess verfügen, sind Sie einem verärgerten Mitarbeiter ausgesetzt. "

( http: // www.techrepublic.com/article/intranet-data-requires-a-good-security-review/)

Wenn man bedenkt, dass die gefährdeten Daten sehr wichtig sind, ist dies klar Ein inakzeptables Risiko. Je nachdem, wo sich Ihr Unternehmen befindet, kann es auch illegal sein, die Website auf diese Weise zu betreiben, z. B. weil sie nicht ausreichend gesicherte personenbezogene Daten enthält.

Teilen Sie dem Management mit, dass dies illegal ist (falls dies der Fall ist) is) hat wahrscheinlich höhere Chancen, dass die Sicherheit verbessert wird, als ihnen mitzuteilen, dass das System unsicher ist.

Ich weiß nichts über britisches Recht, aber ich denke, dass Sie ein solches System nach EU-Recht definitiv nicht haben können und daher nicht nach britischem Recht.

Nach einer kurzen Suche fand ich diese EU-Verordnung. Ein Zitat aus Artikel 32, das Ihnen Hoffnung geben könnte, dass es illegal ist:

Unter Berücksichtigung von th Nach dem Stand der Technik, den Kosten der Umsetzung sowie Art, Umfang, Kontext und Verwendungszweck sowie dem Risiko unterschiedlicher Wahrscheinlichkeiten und Schweregrade für die Rechte und Freiheiten natürlicher Personen setzen der für die Verarbeitung Verantwortliche und der Verarbeiter geeignete technische und technische Maßnahmen um organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Sicherheitsniveaus, einschließlich unter anderem:

[...]

(b) die Fähigkeit, die fortlaufende Vertraulichkeit und Integrität sicherzustellen , Verfügbarkeit und Ausfallsicherheit von Verarbeitungssystemen und -diensten;

Sie können weder Vertraulichkeit noch Integrität garantieren, wenn jeder im Unternehmen auf die HR-Website zugreifen kann, nachdem er sich ein 10-minütiges YouTube-Video über das Anschließen von Ethernet-Kabeln angesehen hat, sodass sich sein Laptop zwischen dem Server und einem HR-Computer und einem 5-minütigen YouTube befindet Video, wie wir Wireshark verwenden, um ein Passwort zu erhalten, das über das Netzwerk gesendet wurde. Natürlich kann praktisch jede Person, die jemals mit Wireshark gespielt hat, dies tun, ohne 15 Minuten damit zu verschwenden, sich zuerst YouTube-Videos anzusehen. ;-)

Das Fehlen von HTTPS ermöglicht es einem Angreifer im selben Netzwerk, die Verbindungen zu diesem Server abzuhören und Anforderungen und Antworten zu ändern. Dies kann verwendet werden, um beispielsweise Passwörter zu ermitteln, die von HR-Personen verwendet werden.

Was genau "dasselbe Netzwerk" ist, hängt von Ihrer Netzwerkkonfiguration ab und davon, wie viel Arbeit der Angreifer bereit ist, in dieses Netzwerk zu stecken. Es ist ziemlich wahrscheinlich, dass Sie einen Angriff von Ihrem Firmencomputer aus ausführen können. Manchmal ist ein Man-in-the-Middle-Angriff vom Parkplatz aus über das WLAN des Unternehmens möglich.

Es gibt verschiedene Probleme mit HTTP und HTTPS, und wenn Sie sich in einem internen Netzwerk befinden, sollten einige Probleme gemindert werden.

• Keine starke Serveridentifikation: In einem internen Netzwerk nicht wichtig, es ist unwahrscheinlich, dass eine Fälschung vorliegt Server könnte im internen Netzwerk vorhanden sein. Normalerweise erfordert ein solcher MITM-Angriff Administratorrechte. In einer Unternehmensorganisation müssen Sie den Administratoren bereits vertrauen, da sie alle Netzwerkgeräte und Clientcomputer verwalten.
• Vertraulichkeit der Antworten auf Anfragen autorisierter Mitarbeiter: Dies hängt davon ab, ob alle autorisierten Zugriffe von demselben Büro stammen (nur Administratoren oder Mitarbeiter mit gleichwertigen Zugriffsberechtigungen sollten in der Lage sein, auszuspionieren (*)) oder ob ein Manager Anforderungen ausführen kann. Im letzteren Fall ist das Risiko des Abfangens vertraulicher Daten wichtig, aber der (interne) Angreifer kann nicht im Voraus wissen, welche Informationen er erhalten wird.
• Schutz der Anmeldeinformationen: Wenn selbst das Authentifizierungsverfahren einfaches HTTP verwendet, liegt das Problem darin viel ernster. In diesem Fall könnte ein Angreifer Anmeldeinformationen erhalten und Anforderungen (einschließlich Änderungen) im Namen eines legitimen Benutzers ausstellen: Die Integrität ist nicht mehr garantiert, wenn nicht von Vertraulichkeit gesprochen wird.

Natürlich, wenn Es ist ein schreibgeschützter Server, und wenn die Vertraulichkeit nicht wirklich ein Problem darstellt, kann HTTP verwendet werden. Sobald wir jedoch von HR sprechen, sollte die Vertraulichkeit sofort auf ein mittleres bis hohes Niveau angehoben werden.

(*) In gängigen Unternehmensnetzwerken ermöglicht die Verwendung von Switches und Proxys nur das Ausspionieren des Austauschs dasselbe Subnetz, außer für Netzwerkadministratoren, die den gesamten unverschlüsselten Datenverkehr ihrer Domäne sehen können.

Da es sich um HR handelt und HR normalerweise Leistungen verwaltet, ist es wahrscheinlich, dass diese nicht HIPAA-konform sind.

Mit anderen Worten, die Verwendung von SSL und TLS muss den angegebenen Details entsprechen in NIST 800-52. Dies bedeutet, dass andere Verschlüsselungsprozesse, insbesondere solche, die schwächer sind als in dieser Veröffentlichung empfohlen, nicht gültig sind.

Link

Natürlich ist es keine gute Idee, aber es gibt viele Wenn und Aber, abhängig von der gesamten Netzwerkkonfiguration.

Es ist erwähnenswert, dass ein böswilliger Administrator ein vertrauenswürdiges Zertifikat auf allen Computern und installieren kann fange sowieso den ganzen Verkehr ab. Es gibt fast nichts, was Sie tun können, um einen böswilligen Administrator zu stoppen.

Aus rechtlicher Sicht muss das Unternehmen angemessene Schritte unternehmen, um Ihre Daten zu schützen. Wenn ein Sommerpraktikant die Daten während des Transports abfangen kann, indem er seinen eigenen Laptop anschließt, kommt er seiner gesetzlichen Haftung nicht nach. Wenn ein erfahrener Pentester einen unbeaufsichtigten physischen Zugang benötigt, ist dies wahrscheinlich der Fall.

Nein, dies ist absolut nicht akzeptabel und kann je nach Rechtsprechung bis zur strafrechtlichen Verantwortlichkeit illegal sein.

In den meisten Ländern gibt es Gesetze, die im Grunde sagen, dass sensible personenbezogene Daten - und Beschäftigungsaufzeichnungen fast fallen immer in diese Kategorie - müssen durch "angemessene technische Mittel" geschützt werden.

Während die genaue Bedeutung dieses Begriffs absichtlich interpretiert werden kann, interpretieren Gerichte ihn typischerweise als eine Technologie, die leicht verfügbar ist und gemeinsam und dient dem Schutz der Daten. Mit anderen Worten: Sie müssen keine neue Sicherheitsmaßnahme erfinden, aber wenn andere Benutzer eine einfache Sicherheitsmaßnahme von der Stange verwenden und Sie dies nicht tun, schützen Sie die Daten nicht angemessen. P. >

HTTPS ist sehr, sehr verbreitet und wird normalerweise für genau solche Zwecke verwendet. Nicht zu benutzen ist sehr wahrscheinlich grobe Vernachlässigung. Spezifischere Gesetze in Ihrer Gerichtsbarkeit könnten dies in die Höhe treiben.