Letettem az Amazon Web Services AWS Certified Solutions Architect - Associate vizsgáját.

Felkészülésként az Udemy-n végeztem el ezt a tanfolyamot. Ez egy monstre, 26 órás kurzus, de csakis ajánlati tudom. A tanár, Stephane Maarek rendkívül logikusan és érthetően magyaráz, és természetesen AWS-ben is nagyon profi. Végigcsináltam a tanfolyam hands-on gyakorlatainak egy részét (ezek többsége az AWS ingyenes kerein belül marad, kivéve ahol külön szól Stephane, hogy nem), és sokmindent területen ki-ki próbáltam ezt-azt, ahol valami különösen érdekelt. Ezen kívül sok-sok tesztet csináltam. A tanfolyamhoz tartozott egy tesztsor, és ebben a csomagban volt még hat. Ezeket mind megcsináltam.

A vizsgát a Person VUE rendszerén keresztül tettem le, otthonról. Kényelmes volt, hogy nem kellett elmenni egy vizsgaközpontba, de rendkívül macerásak az online vizsgázás szabályai (pl. át kellett rendeznem a szobámat, hogy megfeleljen a követelményeknek), így összességében nagyon stresszes volt az egész, hajlok rá, hogy legközelebb inkább elmegyek egy vizsgaközpontba. Nagyon szimpatikus volt, hogy nem angol anyanyelvűként +30 perce jár nekünk az AWS vizsgákon. Szinte minden kérdés egy szituáció rövid leírása, és ezt alaposan el kell olvasni, mert egy-egy szó dönti el, melyik a helyes válasz.

A három nagy felhő-szolgálató vizsgarendszerei (Amazon AWS, Microsoft Azure, Google GCP) hasonló felépítésűek:

1. A fundamentals a belépő szint, ez kb. annyit jelent, hogy valaki "értelmes beszélgetést tudjon folytatni" felhő területen.

2. Az associate szinthez alaposan ismeri kell a szolgáltató működését és termék-palettáját, és szerintem csak úgy lehet átmenni rajta, ha valaki érdemben is használta a szolgáltatót.

3. Legfelülső a professional szint.

Az associate és professional szinteken van rendszertervező (architect), fejlesztő (developer) és üzemeltető (operations) irány, illetve (általában magas szinteken) vannak specializációk (pl. security).

Mindhárom szolgáltatónál végeztem már el fundamentals kurzust, MS Azure esetében tettem is AZ-900: Microsoft Azure Fundamentals vizsgát (mert kaptam egy kupont ingyen vizsgáhozi xD). Az a tapasztalatom, hogy a fundamentals szintű kurzusok többnyire elképesztően unalmasak, felsorolják a szolgáltatásokat, és amint valami kezdene érdekes lenni, rögtön továbbugranak. Azt javaslom, hogy aki komolyan foglalkozni akar felhővel, az associate szintet célozza meg elsőnek. (Ott is továbbugranak a vizsgához szükséges szint után, de az egyrészt később van, másrészt legalább adnak kiindulópontot a további kísérletezéshez.)

Többször is írtam már felhőkről, és felhő-biztonságról, meggyőződésem, hogy ez a terület az IT jövője, és az IT biztonság sok helyen nagy mértékben a felhő biztonságos használatáról szól majd.

Ingyenesen elérhető Paul van Oorschot Computer Security: Tools and Jewels című angol nyelvű könyve. Az információbiztonság IT, azaz technológiai oldaláról ad tömör, de átfogó áttekintést. Friss munka, 2021 júniusában jött ki a második kiadás. A szerző honlapjáról tölthető le PDF formátumban, a második kiadást célszerű letölteni.

Kerestem már hasonló művet, nem könnyű olyat találni, amely jó összefoglalót ad, könnyen olvasható, friss, és ráadásul ingyenes. Beleolvastam pár fejezetbe, nagyon tetszett.

A fülszöveg szerint lényegében semmilyen előismeretet sem követel meg, de precíz, és belemegy a részletekbe is, ugyanakkor nincsenek benne sem matematikai levezetések, sem hosszú forráskód-részletek.

Úgy gondolom, Oorschot könyve remekül használható IT biztonsági szakemberek számára -- könnyű, magas szintű áttekintésként. Ugyanakkor jó lehet tankönyvnek is az IT biztonság iránt érdeklődő (elszánt) olvasók számára is, bár számukra várhatóan nem könnyű olvasmány -- épp azért mert egyszerre tömör és részletes, sok fogalmat vezet be, és elég gyorsan.

Készül Windowshoz egy parancssoros csomagkezelő, már ki lehet próbálni. Linux alatt régóta léteznek hasonló csomagkezelők (pl. Debian/Ubuntu alatt az apt), és remekül használhatóak telepítés vagy frissítés automatizálására.

Korábban is voltak már windowsos csomagkezelő kezdeményezések, én is írtam a chocolatey-ről, de ez most a Microsoft "bábáskodása" mellett jön létre. (Úgy látom, a Microsoft támogatja, de hivatalosan közösségi fejlesztés és nyílt forráskódú. Bárki írhat hozzá modult, amivel hozzáadhatja a saját alkalmazását, hogy az is telepíthető legyen így.)

Innen telepítheted fel a gépedre a csomagkezelőt, illetve a Microsoft blogbejegyzésében a "how to get" fejezet ír más telepítési módszereket.

Kipróbáltam, egész egyszerű használni. Nyitsz egy command prompt-ot, és beírod, hogy

winget install notepad++

és már települ is a gépedre a Notepad++ nevű editor. Nem kérdez semmit, nem kell kattintani, feltételeket elfogadni stb. Természetesen rendszergazdai jogot vagy jelszót kérhet a telepítéshez. Szintén automatizálható egy csomag frissítése (winget upgrade vagy egy újabb winget install) és az eltávolítása is. Szétnézve, elég sok alkalmazás elérhető rajta: találtam Acrobat Readert, Gimpet, Firefoxot, Operát, Pythont, de telepíthető így Steam kliens és még GOG is.

Még nem minden tökéletes. A Gimp telepítése során felugrott egy grafikus ablak, ami furcsa volt, és nem illett a képbe. Egy másik próbálkozásom a Geany nevű editor telepítése volt, ment is csont nélkül. De amint el akartam távolítani (winget uninstall geany), rögtön kiírta a winget hogy nincs telepítve ilyen csomag. Kénytelen voltam megkeresni az uninstall exe fájlt...

Biztonsági szempontból:

• Az egyik legfontosabb biztonsági jótanács, hogy mindig tartsd frissen a gépeden futó alkalmazásokat. Ez alapból nagyon macerás, a különböző programok különböző pillanatokban akarnak frissíteni, és sokszor neked kell kézzel letöltened az új verziót is. Ha ezt egy kézben tudod tartani, és tudod, mikor fut le, frissebb és így biztonságosabb lesz a rendszered. (Nagyvállalati környezetben léteznek erre más jó megoldások is.)

• Ugyanakkor mindig az a legbiztonságosabb, ha közvetlenül a gyártó honlapjáról töltöd le a telepítő/frissítő csomagot (http kapcsolaton), és minden közbeiktatott fél, így a csomagkezelő is egy lehetséges gyenge láncszem. Itt jobb, hogy ez legalább Microsoft "közeli" projekt, hiszen a Microsoftban úgyis meg kell, hogy bízz, ha Windowst használsz. (Igaz, ez a csomagkezelő is közösségi fejlesztés, a harmadik féltől származó csomagokért pedig biztosan nem vállal a Microsoft semmilyen felelősséget.)

Úgy gondolom, biztonsági szempontból összességében előrelépést jelent egy parancssoros csomagkezelő.

Hosszasan kerestem olyan titkosító eszközt, amely nagyon egyszerű felhasználó felülettel rendelkezik, minden platformon elfut (különösen mobilon), és nyílt formátumot használ, így szükség esetén másik programmal is kititkosíthatom a fájljaimat. Emellett fontos szempont volt, hogy megbízzak a választott eszközben.

Elsősorban annak a néhány különösen érzékeny fájlnak a védelmére kerestem megoldást, amelyet nem szeretnék nyíltan feltölteni a felhőbe.

Miután jópár androidos appot kipróbáltam és elvetettem, végül készítettem egy saját megoldást. Íme:

https://kript.berta.hu

Ez pusztán egy HTML fájl némi JavaScripttel, a böngésződ futtatja kliens oldalon, semmit nem tölt fel sehova. Lényegében csak egy wrapper a CryptoJS könyvtárhoz. Amit betitkosítok, azt OpenSSL-lel is ki tudom nyitni. Kb. 10 megás fájlokon használtam, ami ennél sokkal nagyobb, azt úgyis jobb nem böngészőben kezelni.

Hajrá! :)

A myaccount.google.com címen tekintheted át Google fiókod beállításait. Néhány nagyon érdekes funkció is elérhető innen:

• myaccount.google.com/security: Itt találhatóak a biztonsági beállítások. Jelszót változtathatsz, bekapcsolhatod a kétfaktoros autentikációt (utóbbit javaslom, mindenképp kapcsold is be), áttekintheted, milyen készülékekről léptél be, és erővel kiléptethetsz eszközöket. Áttekintheted, mely oldalakra léphetsz be a Google bejelentkezés segítségével, és akár jelszókezelőként is működik (bár javaslom, offline jelszókezelőt használj inkább).

• myaccount.google.com/find-your-phone: Megkeresheted az elveszett telefonodat, megmutatja térképen, hogy hol van (hol volt utoljára), megcsörgetheted, és távolról le is törölhetsz róla mindent. Természetesen csak addig működik, amíg a telefon a Google fiókodat használja, így egy tolvaj várhatóan kikapcsolja majd ezt. (Akinek profibb megoldás kell, az választhat külön telefon-biztonsági alkalmazást, vagy nagyvállalati környezetben vannak telefon-menedzselő rendszerek.)

• myaccount.google.com/data-and-personalization: Áttekintheted, milyen Google szolgáltatásokban tárolsz adatokat, milyen eszközökön. Beállíthatod, hogy a Google személyre szabott reklámokat adjon-e, és innen tekintheted át adatait történetét és itt töltheted le adataidat (utóbbi kettőről külön pontban is szólok). Itt tudod átállítani a Google szolgáltatások nyelvét, illetve itt tudod letörölni az adataidat a Google rendszeréből (e funkció GDPR előírás).

• myactivity.google.com/myactivity: Áttekintheted, mit csináltál korábban. Ez jámbor funkciónak tűnik, de valójában ijesztő, ahogy a rendszer megmutatja (esetleg ábrázolja térképen), hogy mikor merre jártál, de lekérdezheted, mikor milyen kereséseket adtál ki, mikor milyen youtube videókat néztél meg, stb stb. Mivel a telefonod mindig nálad van, akár részletekbe menően rekonstruálhatja életed elég jelentős részét. Mikor akarod mindezt lekérdezni? Akarod-e, hogy esetleg bárki más lekérdezze? A Google célzott reklámokból él, itt belepillanthatsz, milyen alapos profilt készíthetnek valakiről.

  Van itt egy különösen hasznos funkció: kikapcsolhatod mindezt. Ha használsz Google szolgáltatásokat, akkor nem árt, ha tudsz erről a funkcióról (amely alapból be van kapcsolva), és KAPCSOLD KI!

  Lényegében ugyanezek állíthatóak a privacy checkup oldalon, de ott az is állítható, hogy a Google Photos felismerje-e ismerőseid arcát a fényképeken, és kereshess-e a fényképek között arc alapján (pl. "Géza születésnap").

• takeout.google.com: Egy mozdulattal lementheted/exportálhatod adataidat a Google szolgáltatásokból, akár ha biztonsági mentést akarsz készíteni, akár ha át akarnál költözni valahova máshova. Lementheted a GDrive-od tartalmát, a Chrome könyvjelzőidet és beállításaidt, a GMail leveleidet, a Google Photos-ban tárolt képeket, videókat, a Google Keep-ben lévő jegyzeteidet, stb, stb. Az összes Google szolgáltatásból exportálhatsz itt, köztük egészen egzotikus szolgáltatásokból is. Feltételezem, ez az oldal is a GDPR miatt készült.

  A képeket az eredeti jpg vagy png formátumban, a videókat mp4-ben adja vissza, a levelezésedet mbox formátumban töltheted le, de néhol be is állíthatod, hogy mit milyen formátumban kérsz. Például a Google Docs dokumentumaidat kérheted pl. MS Word formátumban vagy PDF-ben is. A beállításokat többnyire json formátumban exportálhatod.

  Miután kiválasztottad, hogy mely szolgáltatások adatait akarod letölteni, általában időt kér, hogy összecsomagolja a letöltendő fájlokat. Nálam pár perc múlva jelentkezett e-mailen, és adott néhány linket, ahonnan monstre tömörített állományokat tölthettem le. A linkek pár napig élnek.

  Korrekt eszköz, biztonsági mentéseket célszerű ezen keresztül végezni.

• admin.google.com: Ez egyrészt azért kakukktojás, mert csak fizetős Google fiókokhoz (ún. GSuite fiókokhoz) tartozik, másrészt pedig itt jellemzően mások fiókjait menedzselhetünk és nemcsak biztonsági szempontból. Itt pl. egy vállalat írhatja elő felhasználóinak, hogy milyen erősségű jelszót választhatnak, milyen információkat hozhatnak nyilvánosságra profiljukban, milyen appokat használhatnank, menedzselhetjük eszközeiket, és lényegében a teljes online irodai környezetüket is. Erről most nem beszélek bővebben.

Akit kellően megijesztett a myactivity oldal, az már tudja, hogy a takeout segítségével könnyen kimentheti az adatait, majd a data and personalization oldalon töröltetheti le őket a fiókjával együtt. xD

További bejegyzések a blogomban...