И о секьюрности(ТМ):

[-=Shaman=-]

Разнообразные банки, Электронные Платежные Системы, Системы Передачи Электронных Документов и пр. делают все для повышения безопасности, а пользователи старательно с этим борются. Заметим, небезуспешно.
Банк делает Защищенное Соединение между клиентом и своим сервером (Как и через какое место это делает фирма "Амикон" - пожалуй, не будем ))? Юзверь старательно сносит (Ну или ставит галку "запомнить") пин-код.
Банк требует две (Три, четыре и тэ дэ) электронных подписи для отправки документов? Все три дискеты будут защищены одним паролем (1-2-3-4, ога) и лежать будут у одного человека (Оч. может быть даже не у главбуха, а у кассира )).

Обычное дело, в общем. Но примененное очередным клиентом Техническое Решение меня, если честно, удивило: вместо того, чтобы использовать в качестве "ключевых носителей" разные носители информации (Дискеты, флешки и пр.) и переключать их по требованию программы (Сбербанковского банк-клиента, если что) товарищи свалили ключи на жесткий диск и прописали _две_ конфигурации программы, отличающиеся только путем к ключу - с-но, для подписи данных перед отправкой в банк надо было не менять дискеты, а запустить две копии программы с разными конфигурациями. Элегантное решение (О "бе-зо-пас-нос-ти" помолчим), не правда ли? Вот только выяснилось все это в процессе переустановки windows с форматированием диска...

@темы: Работа

Comments

[Pixi]

[скорбно кивает]
Именно так, падре. У нас есть дУве + ещё дУве дискеточки, которые лежат в одной коробочке, которой пользуется кто угодно

Одно время нам техподдержка Казначейства даже программку давала, чтобы множить эти дискеточки

[Twistress]

Шаман, слушай, а вот в целях приближения сокровенного знания к заинтересованному, но игнорамному человечеству, можно это... ну, как это... ну, для тупых и блондинок - рекомендации?
Типа, "нельзя делать вот так" (и далее по пунктам, раз, два, три), а "надо делать вот так" (и тоже по пунктам). А?

Вот, в частности, банковские карты интересуют. И почему нельзя ставить галку в окошке "запомнить пароль". У меня на домашнем компе везде стоит. На рабочих - нет, но на домашнем - да. А не надо?

[*Trisha*]

Работала я как-то в одной IT- шной конторе и работал там в отделе защиты информации один криптограф... хм... из бывших с погонами. Известная, кстати, в наших краях персона. Так вот, однажды зашел у нас разговор примерно о том же самом. Вердикт был таков: те, кому это интересно не разберутся, а те кто сможет разобраться - не заинтересуются. Масштаб не тот.

[-=Shaman=-]

Pixi
\Разводит руками\ Жисть такой!

Twistress
Шаман, слушай, а вот в целях приближения сокровенного знания к заинтересованному, но игнорамному человечеству, можно это... ну, как это... ну, для тупых и блондинок - рекомендации?
Типа, "нельзя делать вот так" (и далее по пунктам, раз, два, три), а "надо делать вот так" (и тоже по пунктам). А?
Эм... это отдельным постом делать надо, пока же у меня скорее ситуативные "дети, не делайте так!" выходит )
Вот, в частности, банковские карты интересуют.
Не специалист от слова "совсем"
И почему нельзя ставить галку в окошке "запомнить пароль". У меня на домашнем компе везде стоит. На рабочих - нет, но на домашнем - да. А не надо?
Если честно - нет. Или даже "нет-нет-нет" ).
1) Хранить все яйца-пароли в одном месте - само по себе не самая лучшая идея. Приходи, кто хочет, бери, что нужно...
2) Разные программы по разному обходятся с сохраненными паролями. Тот же firefox по умолчанию их _вообще_ не шифрует - кодирует в base64 и все тут - с использованием master password'а ситуация меняется к лучшему, но насколько - хрен знает (Может они там 3des используют?); ё-моё использует "защищенное хранилище", которое вроде как тоже вполне ломается, про прочих разных "неведомых зверушек" просто молчу, ибо не знаю (А вот злоумышленник - знает наверняка). В принципе, есть вполне надежные системы управления персональными данными - но - они как правило не интегрированы в пользовательскую среду (Т.е. автоматом "в нужное место" не подставляются) и по этому практически не используются.
3) В большинстве систем аутентификации в настоящее время _вообще_ не используется передача пароля через сеть и перехват, скажем, md5 хэша пароля (Про challenge-response или kerberos ticket и вовсе молчу) злоумышленником совершенно не гарантирует ему доступ к другому ресурсу, пусть даже пароль там тот же самый (Второй ресурс может использовать другой алгоритм хэширования - и привет), но системы управления паролями вынуждены рассчитывать на "худший" (Plain text auth, ага) случай - и хранят именно что сами пароли в "открытом" виде. Т.е. если уж сопрут-расшифруют то все. Приплыли.
4) Стырить пару файлов со "среднеюзерского" (Пейратская винда, хорошо если с СП2, ё-моё 6.0, отключенный "для удобства" файрволл и прочие радости) виндового компа - ну, не то, чтобы "конфетку у ребенка" - но явно не "бином Ньютона".
5) Даже если забыть про возможность кражи информации (Юзаем gnome keyring с афигеть-паролем ) - количество вещей, которые можно натворить находясь у незалоченного компа просто поражают воображение ). Пусть узнать или сменить пароль и не удастся (Смена обычно требует указания старого) - изменение данных профиля или там отсылка пары-тройки писем "от имени" тоже может доставить немало проблем - а ведь это далеко не полный список "возможностей".
Что делать? Тренировать память. Если в оной не уверен (Впрочем, если уверен - тоже ))) - использовать какую-нибудь систему управления персональными данными (Хоть тот же notepad шифровать openssl'ем ), причем сами данные хранить на отдельном носителе, 99% времени вообще не подключенном к компу. Т.е. если вдруг забыл пароль - подключаешь флешку, расшифровываешь, смотришь - отключаешь и работаешь дальше ).

*Trisha*
Система защиты персональных данных модели "авось-небось-нихренась". Проходили . Даже пробовать "пугать" не буду - ибо в 99% "авось" работает, все так и есть. Но тех, кого обули на энную сумму статистика как-то... не радует.