Ahoj,

ve věci považuji za nutné sdělit tyto skutečnosti:

    V polovině dubna jsem zaregistroval na mém pracovním stroji Chromebox podivné aktivity na stránkách http://www.pirati.cz a forum.pirati.cz, které neodpovídaly použitým systémům phpBB a DokuWiki. Požádal jsem proto Filipa Oščádala filip@mxd.cz o zjištění zdroje těchto aktivit, protože na mém stroji nemám pro kontrolu vhodné nástroje.
    Podle jeho vyjádření jsou v zabezpečení našeho serveru chyby umožňující proniknutí a doporučil řadu opatření včetně zneplatnění všech hesel, která mohou být kompromitována:

        Moje bezpečnostní doporučení:

        * okamžitě vyměnit SSL certifikát


    Neni potreba. Heartbleed nas nepostihnul.

        * všem uživatelům zneplatnit heslo


    Neni potreba.

        * zapnout podporu TLS 1.2
        * zapnout podporu Perfect Forward Secrecy


    Bude, az upgradujeme debian, neni priorita.

        * všechny weby servírovat pomocí https://


    Neutahneme zdroji, co je potreba, to jde pres SSL, davame pozor.

        * zapnout podporu HSTS


    Mame.

        To jde udělat za pár hodin a pár litrů za wildcard certifikát.

        Volitelně:

        * servery projet rkhunterem


    Kazdy den.

        * udělat bezpečnostní audit databází


    Kazdorocne.

        * přejít pod Cloudflare Pro
        * přejít pod Dome9 Security


    Ne. Pro politickou stranu primo nevhodne.

        * nastavit korektní zálohovací a bezpečnostní politiku


    V planu...

    Statut TO neobsahuje žádná pravidla pro řízení bezpečnosti stranických systémů a není mi znám žádný předpis o zajištění bezpečnosti stranických systémů, postupu v kritických situacích či kontrole bezpečnosti. Stejně tak chybí popis zálohovací politiky.
    V této souvislosti připomínám http://www.pirati.cz/rules/stto:

        §3 Systémy strany

        (1) Technický odbor administruje

        a) podepisování serverových certifikátů u certifikační autority,

    Prohlížeče dlouhodobě při přístupu na systémy strany upozorňují na neplatnost certifikátu.


XXX