EU's Cyber Resilience Act

Ahoj,

zajímavé čtení:

en.wikipedia.org/wiki/Cyber-security_reg...Cyber_Resilience_Act (EN)
www.theregister.com/2023/05/12/eu_cyber_resilience_act/ (EN)
www.heise.de/meinung/Cyber-Resilience-Ac...-Gefahr-8957080.html (DE)

Po GDPR, Cookie, atd. přichází větší kalibr. Pokud by tohle nařízení vešlo v platnost tak jak je navrženo, v podstatě by to znamenalo konec veškerého open source v EU. Velmi stručně a krátce. Vývojáří open source programů by byli zodpovědni za bezpečnost jakéhokoliv programu, který použije jejich open source software. Příklad: Pokud by nějaká firma použila pro svůj program programovací jazyk Python a měla v něm nějakou bezpečnostní chybu, pak by za to byli také zodpovědní (právně a finančně) open source vývojáři jazyka Python. To stejné by samozřejmě platilo pro Joomlu a podobné programy.

EU toho chystá víc. Je to takové "západní" myšlení.
kybez.cz/eu-cyber-resilience-act-aneb-ev...ezpecnost-uzivatelu/
Pokud by tohle vešlo v platnost v přísné verzi a velice přísně se tohle dodrželo, pak i autoři zjistí, že si nenastartují ani auto, nespustí pračku. V zásadě se odpojí od netu (routry atd)
Na stranu druhou, někteří na bezpečnost úplně kašlou a hesla jsou někde v plain textu, včetně zdravotních dat.

Pokud by se to vzalo obecně "Hlavním cílem je dostát takového stavu, aby produkty dostupné na trhu podporovaly adekvátní úroveň kybernetické ochrany během jejich životního cyklu a aby pokud možno byly na trh umisťovány produkty již se sníženým prahem náchylnosti ke kybernetickým hrozbám." tak to nebude tak hrozné.

 

To je zase ptákovina:

Mimo již zmíněné akt definuje produkty vyhovující pro vpuštění do oběhu jako produkty:

• ...
• Schopné chránit dostupnost základních funkcí a zmírňovat dopady útoků, a to i v případě DoS útoků (Denial-of-service-attack).
• ...

To jsem zvědav, jak třeba Microsoft zajistí aby Malování podporovalo ochranu proti DoS útokům Na to přece existují samostatné SW, je nesmysl něco specifikovat takhle... Akorát se zas dá vydělat právníkům
V našem případě, nemusím přeci řešit zabezpečení Joomly proti DoS útokům, když na tom mám nástroje na serveru, nebo CDN. Nemusím řešit zabezpečený přenos dat, když na to mám HTTPS, nemusím řešit zabezpečený přenos dat mezi Joomlou a databází, když ta databáze je dostupná jen na localhost, atd...