Комментарии 95
Остается открытым главный вопрос: что делать с этим знанием? То есть как быть человеку, осознавшему проблему, но не компетентному в области написания криптографического программного обеспечения, при условии что этот человек вроде бы не прочь сохранить свою персональную информацию персональной.
Я знакомым не советую расплачиваться карточкой под Windows, использовать для этого Android или iOS устройство, у них с безопастностью всё же получше.
НЛО прилетело и опубликовало эту надпись здесь
Я на днях умножил скорбь, узря вот это:
maps.google.com/locationhistory
У кого смартфон на андроиде, можно ввести свой пароль от гуглоаккаунта и увидеть логи геолокации за любой день.
Конечно, и так понятно, что гугель собирает эти данные, Google Now знает, где у меня работа, дом и т.д. и подробности хранятся где-то в закромах для спецслужб и правозахоронительных органов. Но чтоб прям, зная только гуглопароль, узнать где я был в любое время — я был удивлен. Берегите пароль от гмейла пуще данных кредитки.
maps.google.com/locationhistory
У кого смартфон на андроиде, можно ввести свой пароль от гуглоаккаунта и увидеть логи геолокации за любой день.
Конечно, и так понятно, что гугель собирает эти данные, Google Now знает, где у меня работа, дом и т.д. и подробности хранятся где-то в закромах для спецслужб и правозахоронительных органов. Но чтоб прям, зная только гуглопароль, узнать где я был в любое время — я был удивлен. Берегите пароль от гмейла пуще данных кредитки.
You have no location history for August 11, 2014Весь день ходил с включенным GPS. Samsung XCover 2. Не все так плохо?
Возможно, вы где-то отказались от обработки геолокационных данных, где я согласился? Я с июня 13 года свою историю по часам вижу.
> У вас нет доступа к этому сервису. Чтобы его включить, войдите в консоль администратора
Внезапное счастье. Домен когда-то был подключён (и не был отлючён) к Google Apps.
Внезапное счастье. Домен когда-то был подключён (и не был отлючён) к Google Apps.
Просто отключите Location History https://www.google.com/settings/accounthistory и используйте 2-х факторную аутентификацию.
«Меньше знаешь — крепче спишь.»
«Счастье в неведении.»
«Счастье в неведении.»
Исходя из посыла статьи, даже компетентный в написании крипто-по человек не сможет защититься полностью так как, предположим, если ваша программа написана идеально, на вашем компьютере присутствует ещё сотни тысяч программ написанных как попало и через них ваши данные потенциально могут быть получены, и это не учитывая кучи софта в компьютерах с которыми ваш компьютер взаимодействует через интернет(+роутеры итп), и ещё, предположим, если ваш компьютер идеально защищён — то вашу переписку с бабушкой можно украсть из компьютера бабушки, то есть защита одного ПК ещё не решение проблемы.
Честно говоря я слабо представляю как можно решить данную проблему не отказываясь от использования ПК вообще и не уходя жить в тайгу.
(/me поглядывает на зрачок камеры заклеенный синей изолентой).
Честно говоря я слабо представляю как можно решить данную проблему не отказываясь от использования ПК вообще и не уходя жить в тайгу.
(/me поглядывает на зрачок камеры заклеенный синей изолентой).
Можно рассматривать любые транзакции в интернете как публичные. Что бы и где бы вы не написали, нужно считать вывешенным на всеобщее обозрение дацзыбао. Включая пароли к банковским картам, аккаунтам в соцсетях, любые записи, сделанные на личном компьютере или смартфоне, имеющем доступ в интернет. Более-менее надежным можно считать только устройство, физически отключенное от интернета. Более или менее — потому что вредоносное ПО может распространяться и через съемные носители. За съемными носителями, подключаемыми к физически отвязанному от интернета дивайсу, нужно следить. Для съема данных можно например подключать только не форматированные носители и форматировать их на развязанном устройстве непосредственно перед записью данных. Банковских карт нужно иметь как минимум две — одну нигде и никогда не засвечивать, и держать на ней основные деньги, а другую использовать для покупок в интернете и пр, периодически переводя на нее небольшие суммы с «не засвеченной» карты.
Очень много букв. Плач Ярославны. Нет самого главного — что с этим теперь делать-то?
Отказаться от компьютеров, мобильников и банковских карт? Назад в пещеры?
За все приходится платить. Хочешь посидеть в уютном красивом кафе, не готовить самому и не мыть посуду — рискуешь кушать то, что приготовила очень грязная женщина без санитарной книжки (это не абстрактный пример, это одно из лучших кафе нашего города, а знаю эту женщину я совершенно случайно). «Если вы любите колбасу и уважаете закон, вам лучше не знать, как делается и то, и другое». Не хочешь ходить пешком — будь готов к ДТП, даже если ездишь аккуратно и по правилам. А представляете — кушают люди колбасу, и даже не знают, что туда добавляют молотые зубы, щетину и шкуру! А в некоторых автосервисах меняют новые детали на восстановленные! А в магазинах обвешивают! А турфирма может исчезнуть, пока вы за границей! Продолжать можно бесконечно.
Любое повышение уровня (в технологии, соц. статусе, где угодно) вызывает повышение опасности. Если соотношение пользы к опасности положительное — скорее всего, оно того стоит. Если опасности больше, чем пользы — надо от новшества отказываться. Ходить пешком, считать на счетах и не лезть в начальники.
Боитесь — вам в скит, в тайгу. Без компьютеров и угрозы личной безопасности. Безопасности будут угрожать лишь медведи, комары и лесные пожары, фигня какая, зато личные данные в безопасности.
Еще хотелось бы знать, как 90% населения может повредить то, что кто-то знает их местоположение и время суток. «Ужас, хаос»… Прямо, кровь, кишки и разэтосамое… Да все ужасы, которые вы можете придумать в связи с этим, большинству ужасами не являются, а просто незаметны. Когда ночами приезжали и увозили неизвестно куда — обходились без компьютеров и уязвимостей софта. Наводчики тоже не просят в твиттере сообщить, когда никого не будет дома. Гопота ночью по голове даст без помощи интернета. Что такого действительно опасного, связанного непосредственно с уязвимостью софта, а?
И прошу дополнение в голосовалку: «В моих разработках нет уязвимостей, которые могут быть использованы злоумышленниками.» И это чистая правда, в силу специфики разработок.
Отказаться от компьютеров, мобильников и банковских карт? Назад в пещеры?
За все приходится платить. Хочешь посидеть в уютном красивом кафе, не готовить самому и не мыть посуду — рискуешь кушать то, что приготовила очень грязная женщина без санитарной книжки (это не абстрактный пример, это одно из лучших кафе нашего города, а знаю эту женщину я совершенно случайно). «Если вы любите колбасу и уважаете закон, вам лучше не знать, как делается и то, и другое». Не хочешь ходить пешком — будь готов к ДТП, даже если ездишь аккуратно и по правилам. А представляете — кушают люди колбасу, и даже не знают, что туда добавляют молотые зубы, щетину и шкуру! А в некоторых автосервисах меняют новые детали на восстановленные! А в магазинах обвешивают! А турфирма может исчезнуть, пока вы за границей! Продолжать можно бесконечно.
Любое повышение уровня (в технологии, соц. статусе, где угодно) вызывает повышение опасности. Если соотношение пользы к опасности положительное — скорее всего, оно того стоит. Если опасности больше, чем пользы — надо от новшества отказываться. Ходить пешком, считать на счетах и не лезть в начальники.
Боитесь — вам в скит, в тайгу. Без компьютеров и угрозы личной безопасности. Безопасности будут угрожать лишь медведи, комары и лесные пожары, фигня какая, зато личные данные в безопасности.
Еще хотелось бы знать, как 90% населения может повредить то, что кто-то знает их местоположение и время суток. «Ужас, хаос»… Прямо, кровь, кишки и разэтосамое… Да все ужасы, которые вы можете придумать в связи с этим, большинству ужасами не являются, а просто незаметны. Когда ночами приезжали и увозили неизвестно куда — обходились без компьютеров и уязвимостей софта. Наводчики тоже не просят в твиттере сообщить, когда никого не будет дома. Гопота ночью по голове даст без помощи интернета. Что такого действительно опасного, связанного непосредственно с уязвимостью софта, а?
И прошу дополнение в голосовалку: «В моих разработках нет уязвимостей, которые могут быть использованы злоумышленниками.» И это чистая правда, в силу специфики разработок.
НЛО прилетело и опубликовало эту надпись здесь
Речь наверное шла о том, что «тот факт, что мой тетрис могут взломать не может повредить пользователям». Далеко не любой софт работает с критичными данными пользователя или данными вообще.
Вам просто нужно ответить «нет», т.к. вы не закрывали на них глаза и убрали их.Не закрывал глаза на них — значит, они есть. А у меня их нет. «Перестали ли вы пить коньяк по утрам?»
Если нет — то ваши слова пустой рекламный лозунг, внушённый вам работодателем.Всегда очень забавляюсь, встречая людей, которые лучше меня знают значение моих слов, мою внушаемость, и кто что мне внушил. У моего работодателя нет рекламных лозунгов в силу специфики. К моему программному обеспечению в принципе нет доступа для злоумышленников. А если они туда доберутся — будут сами себе злобные буратины, и вопрос, кому они сделают хуже. Только им придется еще и переписать софт существенной частью с учетом аппаратных особенностей систем.
Видите ли, разработки бывают разные. И это не только софт. А софт не только в интернете.
Где вы работаете?Вы понимаете, насколько забавно звучит этот вопрос в свете статьи? Кстати, пользуясь теми данными, которые я неосторожно открыл, ответ в интернете найти можно. Я пробовал.
НЛО прилетело и опубликовало эту надпись здесь
Расскажите мне об уязвимостях, которые могут использовать злоумышленники, в calc.exe, в тетрисе (или «волк ловит яйца») и в прошивке для контроллера Январь 5.11. Потом аргументированно докажите, что их делали не разработчики, что это не разработка и не ПО. Потом поговорим о сказках.
НЛО прилетело и опубликовало эту надпись здесь
Я не зря про тетрис уточнил про волка и яйца. Аппаратно-программный тетрис ничего не получает из интернета. 90% тетрисов для ПК, кстати, тоже. Те, которые получают, и в результате дают права рута, не тетрисы, а маскирующиеся под тетрис бомбы, а я про тетрис. К слову, сам факт неподписанных обновлений — не вред. У меня 90% софта не подписано, и ничо…
Насчет «удобного для злоумышленника момента времени» — это классно. Перешей мой январь, я коньяк поставлю. И не надо путать доступ к машине с доступом к уязвимости. Есть официальная прошивка Января. Какая уязвимость в ней что позволяет злоумышленнику? Не замена прошивки на удобную злоумышленнику, а уязвимость в имеющейся прошивке? Уязвимость в прошивке, а не в системе охраны автомобиля! Не в системе перепрограммирования контроллера! Не надо подменять понятия.
Какая уязвимость в calc.exe позволяет встроить в нее вредоносную закладку? Сам факт наличия программы? Я говорю про calc.exe, а не про ее модифицированный вариант. Используйте calc.exe во вредных целях без ее изменения, используя ее уязвимости, а?
Русским по белому — какие УЯЗВИМОСТИ в данных программах дают что-то злоумышленнику? Я понимаю, что уязвимость в браузере дает возможность через интернет выполнить код, который выполнять нежелательно. Я понимаю, что уязвимость в текстовом процессоре позволяет выполнить скрипт на VB, который выполнять не следует. Это является особенностью софта, которая в нем присутствует, а не возникла благодаря замене браузера или MS Office на очень похожий нужный злоумышленнику аналог.
Такая особенность — уязвимость, да. Уже имеющаяся. В немодифицированном извне софте. Возможно, являющаяся недосмотром, возможно — злым умыслом разработчика. Но как быть с прошивкой Января?
Я не прочитал таки, какие уязвимости тетриса, калькулятора и прошивки января дают злоумышленнику возможность причинить вред пользователю.
Насчет «удобного для злоумышленника момента времени» — это классно. Перешей мой январь, я коньяк поставлю. И не надо путать доступ к машине с доступом к уязвимости. Есть официальная прошивка Января. Какая уязвимость в ней что позволяет злоумышленнику? Не замена прошивки на удобную злоумышленнику, а уязвимость в имеющейся прошивке? Уязвимость в прошивке, а не в системе охраны автомобиля! Не в системе перепрограммирования контроллера! Не надо подменять понятия.
Какая уязвимость в calc.exe позволяет встроить в нее вредоносную закладку? Сам факт наличия программы? Я говорю про calc.exe, а не про ее модифицированный вариант. Используйте calc.exe во вредных целях без ее изменения, используя ее уязвимости, а?
Русским по белому — какие УЯЗВИМОСТИ в данных программах дают что-то злоумышленнику? Я понимаю, что уязвимость в браузере дает возможность через интернет выполнить код, который выполнять нежелательно. Я понимаю, что уязвимость в текстовом процессоре позволяет выполнить скрипт на VB, который выполнять не следует. Это является особенностью софта, которая в нем присутствует, а не возникла благодаря замене браузера или MS Office на очень похожий нужный злоумышленнику аналог.
Такая особенность — уязвимость, да. Уже имеющаяся. В немодифицированном извне софте. Возможно, являющаяся недосмотром, возможно — злым умыслом разработчика. Но как быть с прошивкой Января?
Я не прочитал таки, какие уязвимости тетриса, калькулятора и прошивки января дают злоумышленнику возможность причинить вред пользователю.
НЛО прилетело и опубликовало эту надпись здесь
… может быть…… может содержать...я прошу конкретики.
является уязвимостью этого контроллерая говорю об уязвимости прошивки. Это раз. Возможность перепрошивки контроллера — это не уязвимость, а особенность, необходимая для нормальной эксплуатации, в отличие от бэкдоров. Еще раз говорю — перепрошейте мой январь — коньяк поставлю! Сначала надо открыть гараж, потом машину (справившись с сигналкой), потом добраться до разъема перепрограммирования (он у меня нестандартный, наколхоженный вынужденно), потом выяснить, что за контроллер (ну, это-то вы уже знаете), потом успеть перепрошить, потому что я уже бегу к вскрытому гаражу, а какой канал датчиков вскрытия блокировать — GSM-GPRS, PMR, IR или проводной — не скажу). Воспользуйтесь уязвимостью контроллера! Это система, и она продумана. Теоретическая возможность вскрытия есть, но… Ни один злоумышленник еще не перепрошил январь, не задумывались, почему? Может, потому что цена вскрытия, существенно большая, чем выгода от вскрытия — лучшая защита? А ведь ее никто специально не ставил, эту защиту, глаза закрыли… И опять же — это защита «уязвимости» контроллера. Уязвимостей в прошивке — нет.
Я вам говорю про абстрактный калькуляторА я — про конкретный. Я русским по белому пишу — есть программы, в которых нет уязвимостей. От того, что есть их аналоги с уязвимостями, они не становятся опаснее.
Мы говорим про асбтрактные программыДа нет же, я — про вполне конкретные, специально назвал их абсолютно точно, не калькулятор, а calc.exe, не абстрактная прошивка, а прошивка Января 5.11. Абстрактного калькулятора не существует, как экземпляра абстрактного класса, так что абстрактные программы неуязвимы по определению: нет программы — нет и уязвимости.
Я не спорю с тем, что существуют программы с уязвимостями. Я не спорю, что даже некоторые автомобили можно взломать, эксплуатируя уязвимости.
Я заявляю, что программы без уязвимостей существуют. Некоторые — в силу простоты и несвязанности ни с чем опасным (HelloWord.exe), некоторые — по аналогии с неуловимым Джо (кому он нафиг нужен), некоторые — в силу специфики (воспользоваться уязвимостью в прошивке неуправляемой ракеты со скоростью в 3 маха тупо не успеешь — она уже долетит, а уязвимость еще найти надо, и доказать, что она есть).
НЛО прилетело и опубликовало эту надпись здесь
Ладушки, вернемся на исходную.
На этапе разработки программы не существует. Она не работает, ее нельзя использовать, это заготовка, а не программа. И что бы в ней ни присутствовало, использовать не получится, потому что кроме меня никто с программой не работает и о ее уязвимостях знать не может в принципе. Но подозреваю, что в калькуляторе, и прошивке Января, и в HelloWord уязвимостей нет ни на каком этапе. За свою программу не ручаюсь, вам виднее.
И вот я таки написал программу. Она работает в реальном приборе. Теперь можно попробовать использовать ее уязвимости. Но их нет! Как в прошивке Января!
И уязвимость — это не просто теоретическое допущение, но и практическая возможность эксплуатации. Если уязвимостью никто не может воспользоваться, то ее нет. Если речь о реальной разработке — то реальная уязвимость дает возможность ею реально воспользоваться, нет?
К счастью, программы без уязвимостей есть, ура.
А я таки разработчик :-)
Даже в верифицированных системах уязвимости на момент разработки присутствуют. Если у вас их нет, значит вы либо не разработчик, либо рассказываете сказки.
На этапе разработки программы не существует. Она не работает, ее нельзя использовать, это заготовка, а не программа. И что бы в ней ни присутствовало, использовать не получится, потому что кроме меня никто с программой не работает и о ее уязвимостях знать не может в принципе. Но подозреваю, что в калькуляторе, и прошивке Января, и в HelloWord уязвимостей нет ни на каком этапе. За свою программу не ручаюсь, вам виднее.
И вот я таки написал программу. Она работает в реальном приборе. Теперь можно попробовать использовать ее уязвимости. Но их нет! Как в прошивке Января!
И уязвимость — это не просто теоретическое допущение, но и практическая возможность эксплуатации. Если уязвимостью никто не может воспользоваться, то ее нет. Если речь о реальной разработке — то реальная уязвимость дает возможность ею реально воспользоваться, нет?
К счастью, программы без уязвимостей есть, ура.
А я таки разработчик :-)
НЛО прилетело и опубликовало эту надпись здесь
Простите, вмешаюсь. Но ваша «конкретная программа», будь это calc или неведомый «Январь 5.11», точно такая же абстракция, как и абстрактный калькулятор, о котором говорит ваш оппонент. И всё потому, что ваш конкретный Январь работает не сам по себе, а использует кучу стандартных библиотек, вспомогательных библиотек, которые в свою очередь дергают реализации ядра ОС, которое в свою очередь дергает реализации драйверов, прошивки, и тп и тд.
И даже если это всё отбросить, вашей программы всё равно не существует! Потому что существует та программа, которую создал ваш компилятор, который в свою очередь… ну вы поняли. Вам известно об ошибках в CPU?
А вашей программы «не существует». И даже если вы и только вы знаете её исходный код, уязвимости в ней таки есть. Такая вот неприятность. И в этом посыл статьи, и вполне правильный посыл.
И даже если это всё отбросить, вашей программы всё равно не существует! Потому что существует та программа, которую создал ваш компилятор, который в свою очередь… ну вы поняли. Вам известно об ошибках в CPU?
А вашей программы «не существует». И даже если вы и только вы знаете её исходный код, уязвимости в ней таки есть. Такая вот неприятность. И в этом посыл статьи, и вполне правильный посыл.
Вот еще вам пример, почему не так важно — есть уязвимость в Январе или нет: предположим, нашлась уязвимость в другой части ПО, которая позволяет всего ли положить куда-нибудь, да хоть в TMP, файлик и, мелочь какая — поменять вам параметры запуска вашего calc.exe. А дальше мы делаем (тут всё условно, я немного смешиваю win и linux, но на смысл это не влияет) LD_PRELOAD=%tmp%/crack.so calc
В сторонней либе переопределены некоторые функции, которые с вероятностью 99% дернет calc — и уже не важно, были ли уязвимости в calc. Понимаете, не так важно, что в нем нет ошибок.
Смысл, что уязвимости порождают уязвимости и в чудовищно сложных системах, которым является даже (runtime) calc'а, никто не сможет гарантировать безопасность.
В сторонней либе переопределены некоторые функции, которые с вероятностью 99% дернет calc — и уже не важно, были ли уязвимости в calc. Понимаете, не так важно, что в нем нет ошибок.
Смысл, что уязвимости порождают уязвимости и в чудовищно сложных системах, которым является даже (runtime) calc'а, никто не сможет гарантировать безопасность.
Во-первых, Январь 5.11 — это «мозги» ВАЗ-21099, и ни о каких сторонних либах или особенностях реализаци ядра ОС речи не может идти.
Во-вторых, вы также смешиваете в одну кучу уязвимость программы с уязвимостью аппаратной реализации, уязвимостью окружения, уязвимостью вследствие человеческого фактора и законов физики. Заодно смешиваете в ту же кучу ошибки программы, которые уязвимостями вообще-то не являются.
Если вы считаете, что сама возможность выхода браузера в интернет является уязвимостью — говорить дальше неинтересно. Если вы считаете уязвимостью прошивки контроллера возможность прекратить ее работу, ударив по контроллеру молотком, то говорить вообще не о чем. А очень похоже, что так и считаете.
Я так и не услышал, как использовать уязвимость калькулятора винды или прошивки «зубила» во вред пользователю.
Во-вторых, вы также смешиваете в одну кучу уязвимость программы с уязвимостью аппаратной реализации, уязвимостью окружения, уязвимостью вследствие человеческого фактора и законов физики. Заодно смешиваете в ту же кучу ошибки программы, которые уязвимостями вообще-то не являются.
Если вы считаете, что сама возможность выхода браузера в интернет является уязвимостью — говорить дальше неинтересно. Если вы считаете уязвимостью прошивки контроллера возможность прекратить ее работу, ударив по контроллеру молотком, то говорить вообще не о чем. А очень похоже, что так и считаете.
Я так и не услышал, как использовать уязвимость калькулятора винды или прошивки «зубила» во вред пользователю.
> Во-первых, Январь 5.11 — это «мозги» ВАЗ-21099,
Ого. Там оказывается есть что-то, требующее мозги? :)
> и ни о каких сторонних либах или особенностях реализаци ядра ОС речи не может идти.
Ну хорошо, конкретно в этом случае, возможно, не идет. Если оно реализовано на ассемблере того чипа, который там используется. Но почему вы так уверены, что там нет ошибок/уязвимостей? Потому что их ЕЩЕ никто не нашел? Ну ну.
> Заодно смешиваете в ту же кучу ошибки программы, которые уязвимостями вообще-то не являются.
Да что вы говорите?! Ошибки в программе не являются уязвимостью??
В виду, очевидно, в корне различного взгляда на окружающюю действительность, предлагаю остаться каждому при своем мнении. На этом завершим. Прошу прощение, что отнял ваше время.
Ого. Там оказывается есть что-то, требующее мозги? :)
> и ни о каких сторонних либах или особенностях реализаци ядра ОС речи не может идти.
Ну хорошо, конкретно в этом случае, возможно, не идет. Если оно реализовано на ассемблере того чипа, который там используется. Но почему вы так уверены, что там нет ошибок/уязвимостей? Потому что их ЕЩЕ никто не нашел? Ну ну.
> Заодно смешиваете в ту же кучу ошибки программы, которые уязвимостями вообще-то не являются.
Да что вы говорите?! Ошибки в программе не являются уязвимостью??
В виду, очевидно, в корне различного взгляда на окружающюю действительность, предлагаю остаться каждому при своем мнении. На этом завершим. Прошу прощение, что отнял ваше время.
В компьютерной безопасности термин «уязвимость»… используется для обозначения недостатка в системе, используя который, можно намеренно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, ...
Да, википедия — не лучший аргумент. Однако, как бы намекает, что ошибка и уязвимость — не одно и то же. Ошибка сама по себе вызывает неправильную работу, а уязвимость — позволяет вызвать.
Впрочем, как хотите…
> А если они туда доберутся — будут сами себе злобные буратины, и вопрос, кому они сделают хуже.
Вот это не менее забавно слышать. Наверное, только у нас (СНГ) может быть такой тип «безопасности» — «вот пусть только попробуют нас тронуть, мы им УУУХ!» =)
Не хотелось бы разочаровывать, но это всё иллюзии — и что кто-то кого-то боится, и что это можно приписывать к безопасности.
Вот это не менее забавно слышать. Наверное, только у нас (СНГ) может быть такой тип «безопасности» — «вот пусть только попробуют нас тронуть, мы им УУУХ!» =)
Не хотелось бы разочаровывать, но это всё иллюзии — и что кто-то кого-то боится, и что это можно приписывать к безопасности.
Попробуйте представить владельца уникальной стиральной машины, выполненной под заказ в единственном экземпляре. Никто, кроме владельца, не сможет добраться до ее прошивки, ибо надо сперва как минимум проникнуть в квартиру, а если уж злоумышленник проник в квартиру, то последнее, что он там будет делать — это возиться с прошивкой стиральной машины. Машина в интернет не лезет, случайно воспользоваться ее уязвимостями (буде такие все же имеются, что вряд ли) не получится. Таким образом, единственный человек, который может эксплуатировать уязвимость прошивки стиральной машины — ее владелец.
Теперь представьте, что он это таки сделал. Вскрыл свою машину, подпаялся к контроллеру, скачал прошивку, исследовал ее и напакостил. И вот — он сам себе злобный буратино, испортил собственную хорошую вещь.
Так вот, я имел в виду это, и только это, а вовсе не то, что если какая-то непристойная личность попытается портить мой софт, то я приду и набью анфас, или моя стиральная машина сделает это самостоятельно. Не приписывайте чужим словам самовыдуманный смысл. Я ни слова не писал о страхе и «УУУХ».
Теперь представьте, что он это таки сделал. Вскрыл свою машину, подпаялся к контроллеру, скачал прошивку, исследовал ее и напакостил. И вот — он сам себе злобный буратино, испортил собственную хорошую вещь.
Так вот, я имел в виду это, и только это, а вовсе не то, что если какая-то непристойная личность попытается портить мой софт, то я приду и набью анфас, или моя стиральная машина сделает это самостоятельно. Не приписывайте чужим словам самовыдуманный смысл. Я ни слова не писал о страхе и «УУУХ».
Извините, из вашего изначального сообщения было не совсем очевидно, что вы имели в виду.
Вот только «если какая-то непристойная личность попытается портить мой софт, то я приду и набью анфас» — сути моего комментария не меняет. Это НЕ безопасность, а максимум — мелкое хулиганство по классификации УК :)
Вот только «если какая-то непристойная личность попытается портить мой софт, то я приду и набью анфас» — сути моего комментария не меняет. Это НЕ безопасность, а максимум — мелкое хулиганство по классификации УК :)
Покуда в опросе не указано явно, что отвечать должны только разработчики программного обеспечения, то я тоже могу сказать, что мои разработки не содержат уязвимостей для атак (если не считать отклонения от курса атаками), покуда по специальности мой продукт разработки — алгоритм управления л.а. (ракетой, например). Чем вы атаковать принцип максимума Понтрягина собрались? Ддосом? Брутфорсом? Впрочем, не спорю, что при конкретной реализации в железе об атаках нужно подумать (РЭБ в первую очередь, и о ней ой как много думают).
Тем не менее, даже в разработке ПО есть области, где об атаках не думают. Например — разработка графических шейдеров для какой-то игрушки.
Тем не менее, даже в разработке ПО есть области, где об атаках не думают. Например — разработка графических шейдеров для какой-то игрушки.
НЛО прилетело и опубликовало эту надпись здесь
1. Подпись шейдеров? Максимум, к чему хакер получит доступ через подмену шейдера — к другим пикселям. Впрочем, увидеть он их сможет так же на выходе видеокарты, в обратную сторону канонические шейдеры доступа не имеют. Как, собственно, и доступа к памяти вне той точки, для которой он вызван (на только чтение — для всех точек, тем не менее только то, что было отправлено на видеокарту).
2. Я ж упомянул об этом. Вы немного путаете — конечный продукт компании и конкретного сотрудника. Если отказ гироскопа еще может входить в мою специфику (хотя этот случай — прощай ракета сразу, если нет дублирования, но дублирование — опять же не мои заботы), то пожаротушение к наведению не относится. Предусмотреть сильные шумы (плохие погодные условия, к примеру) — это одно, а предусмотреть засвет головки наведения — другое. И занимаются этим разные люди. Определить, какая из двух точек на тепловизоре является целью, а какая — солнцем (реальный юзкейс) — это задача конструкторов головки, а разработать систему наведения, когда у тебя есть координаты цели, координаты ракеты и параметры ракеты — это задача чисто теоретическая и к аппаратуре имеет только косвенное отношение.
В целом же, в конечном продукте, выпускаемом именно как готовое изделие — атаки предусматривать нужно чаще. Но тоже далеко не всегда.
Вы делаете светодиодное табло. По ком-порту приходит последовательность символов, вам нужно её отобразить. От чего вы тут будете защищаться? Перепад напряжения я бы не стал относить к атакам.
2. Я ж упомянул об этом. Вы немного путаете — конечный продукт компании и конкретного сотрудника. Если отказ гироскопа еще может входить в мою специфику (хотя этот случай — прощай ракета сразу, если нет дублирования, но дублирование — опять же не мои заботы), то пожаротушение к наведению не относится. Предусмотреть сильные шумы (плохие погодные условия, к примеру) — это одно, а предусмотреть засвет головки наведения — другое. И занимаются этим разные люди. Определить, какая из двух точек на тепловизоре является целью, а какая — солнцем (реальный юзкейс) — это задача конструкторов головки, а разработать систему наведения, когда у тебя есть координаты цели, координаты ракеты и параметры ракеты — это задача чисто теоретическая и к аппаратуре имеет только косвенное отношение.
В целом же, в конечном продукте, выпускаемом именно как готовое изделие — атаки предусматривать нужно чаще. Но тоже далеко не всегда.
Вы делаете светодиодное табло. По ком-порту приходит последовательность символов, вам нужно её отобразить. От чего вы тут будете защищаться? Перепад напряжения я бы не стал относить к атакам.
НЛО прилетело и опубликовало эту надпись здесь
Воу воу воу.
Потише.
1. Шейдер нужно считать с диска, как и все остальное, но это уже не является вашей заботой ни в каком месте. Это тоже самое, что музыканты бы убирали атаки в mp3 с их записями. Даже звучит глупо, а аналогия — верная. И шейдер — содержит программный код, кроме того он и является непосредственно программой (компилируемой в байт-код и выполняемой видеокартой).
2. «Закрывали ли вы глаза на потенциальные уязвимости при разработке,» — думаю, вопрос стоит закрыть, если перечитать вопрос. Я разрабатываю алгоритм, а что с ним делает компания — дело не мое. Я, в общем то, аутсорсер, который специализируется на алгоритмах — и, в данном случае, алгоритм — это мой продукт.
3.1 В каком месте это вас волнует? То, что кто-то на вашем табло покажет что не стоило показывать — как вы от этого его спасете? Сделаете табло, которое ничего не показывает? Сюда же относятся, например, система микрофон-динамик (рупор, к примеру). Пользователь может сказать в микрофон конфиденциальную информацию, которая сразу же усилится и воспроизведется. В чем тут ваша вина и как вы должны защищаться от этого?
3.2 Половина не является атаками, другая половина вас, как разработчика табло, никак не касается. И что значит дублирование светодиода? Вы много видели лент с дублированными светодиодами? Кроме того, выход из строя светодиода менее вероятный случай, чем поломка контактов.
3.2.4. В условиях, когда высока вероятность такого, табло заказывают по отдельному ТЗ за отдельные деньги. В этот пример это не входит.
3.3.1 В каком месте это така?
3.3.2 Все табло строятся на сдвиговом регистре. Поступление новой информации выталкивает старую. Что её теперь не видно — не ваша задача.
3.4. ЧАВО? Вы в трамвае чтобы посмотреть следующую остановку часто подходите к табло и вводите логин-пароль?
Потише.
1. Шейдер нужно считать с диска, как и все остальное, но это уже не является вашей заботой ни в каком месте. Это тоже самое, что музыканты бы убирали атаки в mp3 с их записями. Даже звучит глупо, а аналогия — верная. И шейдер — содержит программный код, кроме того он и является непосредственно программой (компилируемой в байт-код и выполняемой видеокартой).
2. «Закрывали ли вы глаза на потенциальные уязвимости при разработке,» — думаю, вопрос стоит закрыть, если перечитать вопрос. Я разрабатываю алгоритм, а что с ним делает компания — дело не мое. Я, в общем то, аутсорсер, который специализируется на алгоритмах — и, в данном случае, алгоритм — это мой продукт.
3.1 В каком месте это вас волнует? То, что кто-то на вашем табло покажет что не стоило показывать — как вы от этого его спасете? Сделаете табло, которое ничего не показывает? Сюда же относятся, например, система микрофон-динамик (рупор, к примеру). Пользователь может сказать в микрофон конфиденциальную информацию, которая сразу же усилится и воспроизведется. В чем тут ваша вина и как вы должны защищаться от этого?
3.2 Половина не является атаками, другая половина вас, как разработчика табло, никак не касается. И что значит дублирование светодиода? Вы много видели лент с дублированными светодиодами? Кроме того, выход из строя светодиода менее вероятный случай, чем поломка контактов.
3.2.4. В условиях, когда высока вероятность такого, табло заказывают по отдельному ТЗ за отдельные деньги. В этот пример это не входит.
3.3.1 В каком месте это така?
3.3.2 Все табло строятся на сдвиговом регистре. Поступление новой информации выталкивает старую. Что её теперь не видно — не ваша задача.
3.4. ЧАВО? Вы в трамвае чтобы посмотреть следующую остановку часто подходите к табло и вводите логин-пароль?
НЛО прилетело и опубликовало эту надпись здесь
«оффтоп»Я сохранял нумерацию. У вас то, что относится к табло — идет подпунктами к пункту 3.«/оффтоп»
1. Не должны заботится. И нет, шейдер не может ждать доступность. Как и заблокировать видеокарту (в нем даже циклов нет). Вы не представляете, что это такое. Поэтому опустим этот вопрос. Просто возьму простой прием, к которому всегда прибегаю. Если бы это было так — все бы этим пользовались. Это огромная потенциальная дыра, особенно с появлением WebGL. Представьте, что вы открываете страничку, а там недобросовестный (пусть и подписанный — страница поддельная) шейдер, убивающий вашу видеокарту. Часто наталкиваетесь? (Или тем более получающий рутовый доступ к компу).
2. Мне ставят задачу — разработать оптимальную траекторию ракеты, группы л.а. или прочего. Допустим, это запуск ракеты-носителя. Я — независимая компания, занимающаяся только моделированием. Я вгоняю модель в матлаб, запускаю симуляцию и смотрю, как летит. И моя задача — подобрать такое управление, чтобы она с минимальными энергозатратами набрала максимальную горизонтальную скорость на заданной высоте. Учет погодных условий и ошибок датчиков — моя забота. Но эти вещи не являются атаками. В остальном — на выходе я получаю оптимальную в каком-то критерии программу управления. Это лишь записи на бумажках. Или я должен обеспечить безопасность, чтобы эти записи не сгорели? Никто не подсмотрел? Вам не кажется, что это уже признак глубокой паранойи?
Хорошо, я взял пример, в котором можно начать накручивать «а если гироскоп выйдет из строя». У вас задача — разработать ламповый усилитель для гитары. Ну если вы считаете перепады напряжения атаками — уж извините. Тем не менее, никто не будет атаковать такую вещь. И потенциальных у нее атак тоже нет. Удар молотком — это не атака. Или, по вашей логике, дворник должен так же защищаться от атак на его метлу? А повар должен предусмотреть возможность падения метеорита ровно в его суп и как-то от этого предостеречься? В рамках данной статьи мы говорим об информационной безопасности и об атаках, которые могут повлечь утечку информации. Извините, но говорить о том, что я предусматриваю возможность атаки в момент передачи данных (в моем случае — бумаги в выкладками) — это то же самое, что я, как разработчик программного обеспечения, должен предусмотреть, чтобы мой архив с бинарниками передался идеально до каждого пользователя — т.е. бегать ко всем с флешкой, точнее с двумя — сначала ставить им проверенную и надежную систему, а потом через нее уже открывать мою флешку с программой. Возможность атаки на разных уровнях — заботы разных людей.
Про светодиод.
Вы производите железку, на которой налеплены светодиодики и есть общий контроллер. Кто и что с этим будет делать — заботы дико не ваши.
В какой корпус и каким покрытием покрыть — заботы не ваши. Если кому нужно — он закажет у вас специальной формы и со специальными диодами. Так же что на нем отображать и как скрывать эту информацию — тоже не ваша забота. Кто имеет доступ к нему — опять же не ваша. Даже мифическое переполнение сетки. У вас два входа — бит информации и бит сдвига. И уже тот, кто использует вашу разработку заботится о том, чтобы эти биты выставлялись в нужном порядке. Вы — разрабатываете железку, которая маломальски умеет думать.
Да и опять же. Если брать, что вы, в моем понятии, на уровень выше, т.е. пишете контроллер к этому табло, то все зависит от тз. В общем случае, вы должны обеспечить поддержку стандарта и возможность отображать информацию. Допустим, это ваше табло купят для установки на каком-то станке, чтобы показывал количество оборотов. Давайте, придумывайте 100500 способов атаковать. «Табло должно пережить столкновение Земли с Луной». Чем не атака? Даже фильм был про это какой-то, или мультик.
Светодиодное табло всегда ставят для оперативного и простого доступа к информации. И его производителя не волнуют способы атаки с целью получения информации на нем. Максимум — это уберечь от проникновения внутрь и установки туда снифера, либо же наоборот системы, которая будет выкатывать заведомо неверную информацию. Но даже в этом случае, забота о защите от таких атак ложится на плечи потребителя, а не производителя, покуда производитель не в силах защищить от такого физически.
1. Не должны заботится. И нет, шейдер не может ждать доступность. Как и заблокировать видеокарту (в нем даже циклов нет). Вы не представляете, что это такое. Поэтому опустим этот вопрос. Просто возьму простой прием, к которому всегда прибегаю. Если бы это было так — все бы этим пользовались. Это огромная потенциальная дыра, особенно с появлением WebGL. Представьте, что вы открываете страничку, а там недобросовестный (пусть и подписанный — страница поддельная) шейдер, убивающий вашу видеокарту. Часто наталкиваетесь? (Или тем более получающий рутовый доступ к компу).
2. Мне ставят задачу — разработать оптимальную траекторию ракеты, группы л.а. или прочего. Допустим, это запуск ракеты-носителя. Я — независимая компания, занимающаяся только моделированием. Я вгоняю модель в матлаб, запускаю симуляцию и смотрю, как летит. И моя задача — подобрать такое управление, чтобы она с минимальными энергозатратами набрала максимальную горизонтальную скорость на заданной высоте. Учет погодных условий и ошибок датчиков — моя забота. Но эти вещи не являются атаками. В остальном — на выходе я получаю оптимальную в каком-то критерии программу управления. Это лишь записи на бумажках. Или я должен обеспечить безопасность, чтобы эти записи не сгорели? Никто не подсмотрел? Вам не кажется, что это уже признак глубокой паранойи?
Хорошо, я взял пример, в котором можно начать накручивать «а если гироскоп выйдет из строя». У вас задача — разработать ламповый усилитель для гитары. Ну если вы считаете перепады напряжения атаками — уж извините. Тем не менее, никто не будет атаковать такую вещь. И потенциальных у нее атак тоже нет. Удар молотком — это не атака. Или, по вашей логике, дворник должен так же защищаться от атак на его метлу? А повар должен предусмотреть возможность падения метеорита ровно в его суп и как-то от этого предостеречься? В рамках данной статьи мы говорим об информационной безопасности и об атаках, которые могут повлечь утечку информации. Извините, но говорить о том, что я предусматриваю возможность атаки в момент передачи данных (в моем случае — бумаги в выкладками) — это то же самое, что я, как разработчик программного обеспечения, должен предусмотреть, чтобы мой архив с бинарниками передался идеально до каждого пользователя — т.е. бегать ко всем с флешкой, точнее с двумя — сначала ставить им проверенную и надежную систему, а потом через нее уже открывать мою флешку с программой. Возможность атаки на разных уровнях — заботы разных людей.
Про светодиод.
Вы производите железку, на которой налеплены светодиодики и есть общий контроллер. Кто и что с этим будет делать — заботы дико не ваши.
В какой корпус и каким покрытием покрыть — заботы не ваши. Если кому нужно — он закажет у вас специальной формы и со специальными диодами. Так же что на нем отображать и как скрывать эту информацию — тоже не ваша забота. Кто имеет доступ к нему — опять же не ваша. Даже мифическое переполнение сетки. У вас два входа — бит информации и бит сдвига. И уже тот, кто использует вашу разработку заботится о том, чтобы эти биты выставлялись в нужном порядке. Вы — разрабатываете железку, которая маломальски умеет думать.
Да и опять же. Если брать, что вы, в моем понятии, на уровень выше, т.е. пишете контроллер к этому табло, то все зависит от тз. В общем случае, вы должны обеспечить поддержку стандарта и возможность отображать информацию. Допустим, это ваше табло купят для установки на каком-то станке, чтобы показывал количество оборотов. Давайте, придумывайте 100500 способов атаковать. «Табло должно пережить столкновение Земли с Луной». Чем не атака? Даже фильм был про это какой-то, или мультик.
Светодиодное табло всегда ставят для оперативного и простого доступа к информации. И его производителя не волнуют способы атаки с целью получения информации на нем. Максимум — это уберечь от проникновения внутрь и установки туда снифера, либо же наоборот системы, которая будет выкатывать заведомо неверную информацию. Но даже в этом случае, забота о защите от таких атак ложится на плечи потребителя, а не производителя, покуда производитель не в силах защищить от такого физически.
В целом, вы в чем-то правы. Атаковать можно все, что угодно, если это материальные вещи. Даже губку для мытья посуды. У нее есть известная уязвимость — она горит, неплохо коптя. И эту уязвимость можно использовать, чтобы закрыть доступ в помещение людям.
Тем не менее, много ли производителей губок об этом заботятся? Покуда это явное нештатное использование их продукта, которое не входило в постановку задачи. Ровно так же — сколько бы вы не закрывали свои программы, если поставить сниффер на оперативную память — все потечет. А вы должны заботится о том, чтобы этот снифер не стоял, как разработчик? Тогда, по вашей логике, все ответы должны быть «да» на этот опрос.
Тем не менее, много ли производителей губок об этом заботятся? Покуда это явное нештатное использование их продукта, которое не входило в постановку задачи. Ровно так же — сколько бы вы не закрывали свои программы, если поставить сниффер на оперативную память — все потечет. А вы должны заботится о том, чтобы этот снифер не стоял, как разработчик? Тогда, по вашей логике, все ответы должны быть «да» на этот опрос.
НЛО прилетело и опубликовало эту надпись здесь
Что меня постоянно забавляет в таких темах — комментаторы быстро делятся на два лагеря. Те, кто говорит, что надо защищать от всего, и те, кто говорит, что это не дело разработчика вовсе. О том, что атаки, от которых надо защищаться, определяются моделью угроз и соответствующими рисками, в таких спорах вспоминают редко. И необходимость реализации защит по соответствующей модели угроз фиксируется в ТЗ, чтобы это не было проблемой конечного разработчика.
Ваши комментарии выше выглядели, как неадекватное перегибание в сторону параноидальной безопасности, т. к. вы приводили довольно низкорисковые векторы атак (как минимум, в понимании соответствующего оппонента) и не указывали, что рассматриваете эти атаки в рамках какой-либо разумной модели угроз (ибо параноидальная — защищаться надо от всего — выглядит глупо). И до этого комментария я относил вас к одному из описанных выше лагерей.
Ваши комментарии выше выглядели, как неадекватное перегибание в сторону параноидальной безопасности, т. к. вы приводили довольно низкорисковые векторы атак (как минимум, в понимании соответствующего оппонента) и не указывали, что рассматриваете эти атаки в рамках какой-либо разумной модели угроз (ибо параноидальная — защищаться надо от всего — выглядит глупо). И до этого комментария я относил вас к одному из описанных выше лагерей.
В этом как раз и суть вопроса, «плата» слишком высока. И сложность будет возрастать все больше и больше, а вместе с ней и «цена». Воспринимать это как должное, сравнивая мокрое с солёным, как минимум, неправильно. Если бы со стороны пользователей действительно были предъявлены серьезные требования соблюдения безопасности, компаниям-разработчикам пришлось бы пойти на уступки и более серьезно отнестись к вопросам безопасности.
> Что такого действительно опасного, связанного непосредственно с уязвимостью софта, а?
Вы серьезно? Видимо в силу вашей специфики разработок, подобные вещи забылись со временем.
> Что такого действительно опасного, связанного непосредственно с уязвимостью софта, а?
Вы серьезно? Видимо в силу вашей специфики разработок, подобные вещи забылись со временем.
Это нельзя не воспринимать как должное. Повторюсь, автомобиль — средство повышенной опасности. 220В/50Гц — чрезвычайно опасный ток. Но это не повод ходить пешком и освещать лучиной.
Прошу, приведите мне пример опасности, связанной с уязвимостью софта от злоумышленников и раскрытия персональных данных. Опасности реальной, серьезнее порчи настроения на три недели, и такой, в которой человек сам не виноват (типа, всплыли фото в контактике бухого балбеса, из-за чего его на работу не взяли — так ведь реально сам виноват). Мне искренне интересно, я с полчаса думал — сам ничего не сочинил.
Вы серьезно?Серьезно. Я вижу опасности для организаций и весьма отдельных личностей, но не вижу опасности для обывателей, коих на планете большинство подавляющее. Чес-слово, от ДТП, гопоты и стыдных болезней гибнет больше, чем от уязвимостей софта. Банкомат взломали, бабло с карты увели? Беда-то какая… Через три недели вернули и карту перевыпустили. Это проблемы банка, а не мои. Грустно было, но вельми не смертельно. Да народ в одноглазниках всю свою подноготную выкладывает, от паспортных данных до предпочитаемых поз, и не страдает от этого, а наслаждение получает.
Прошу, приведите мне пример опасности, связанной с уязвимостью софта от злоумышленников и раскрытия персональных данных. Опасности реальной, серьезнее порчи настроения на три недели, и такой, в которой человек сам не виноват (типа, всплыли фото в контактике бухого балбеса, из-за чего его на работу не взяли — так ведь реально сам виноват). Мне искренне интересно, я с полчаса думал — сам ничего не сочинил.
НЛО прилетело и опубликовало эту надпись здесь
А вы представьте что ПО установлено не в тетрисе а в самоете на котором Вы, да-да вот лично Вы с женой и детьми летите в отпуск, ну или хотя бы на производстве где несколько сотен тонн расплавленной стали могут от левого пинга вылится на ничего не подозревающих рабочих. Я уж не беру в пример атомную энергетику или оружие.
Ну что же, наконец-то хоть какой-то убедительный пример (правда, очень пафосно и зачем то с включением личности оппонента, я бы и без этого «Вы» понял). Правда, мне трудно представить такое литейное производство, где пинг влияет на слив плавки, и самолет проще рвануть традиционными способами, и я не слышал ни об одном случае, где террористы бы использовали информационные технологии подобным образом. Однако, все равно спасибо, поскольку понятно и убедительно.
Но. В обсуждаемой статье, насколько я ее понял, в речь идет практически исключительно об информационной безопасности, прежде всего — персональных данных, и высказывается мнение, что ужас — про нас все всё знают. И я был в легком шоке — как утечки информации и разного рода вирусы в общедоступных сетях могут привести к трагичным результатам.
И очень хотелось бы конкретики, особенно от самой статьи — примеры из жизни, что все действительно так плохо, и пора срочно что-то предпринимать.
Ваш комментарий пока на мой взгляд самое конкретное, объективное и понятное из прочитанного, но, опять же на мой взгляд, недостаточно. Потому что из современных техногенных катастроф в большинстве сработал человеческий фактор и надежность техники. Говорю большинство, потому что допускаю, но ни разу не слышал, чтобы сработала эксплуатация информационной уязвимости. Интересно было бы узнать о примерах.
Но. В обсуждаемой статье, насколько я ее понял, в речь идет практически исключительно об информационной безопасности, прежде всего — персональных данных, и высказывается мнение, что ужас — про нас все всё знают. И я был в легком шоке — как утечки информации и разного рода вирусы в общедоступных сетях могут привести к трагичным результатам.
И очень хотелось бы конкретики, особенно от самой статьи — примеры из жизни, что все действительно так плохо, и пора срочно что-то предпринимать.
Ваш комментарий пока на мой взгляд самое конкретное, объективное и понятное из прочитанного, но, опять же на мой взгляд, недостаточно. Потому что из современных техногенных катастроф в большинстве сработал человеческий фактор и надежность техники. Говорю большинство, потому что допускаю, но ни разу не слышал, чтобы сработала эксплуатация информационной уязвимости. Интересно было бы узнать о примерах.
правда, очень пафосно и зачем то с включением личности оппонента, я бы и без этого «Вы» понял
Прошу прощения, это для остроты картинки, когда сидишь дома в кресле, а в каком-то там абстрактно-несуществующем самолете уязвимость ПО это не так сильно трогает, как когда сидишь в этом самом самолете и понимаешь, что если какой-то псих решит поломать бортовую систему самолёта на высоте 7км (террористам да, проще бомбу взорвать) и она сдаться или просто неадекватно среагирует то до дома есть шансы не добраться. А то и без половины органов добрать и хз что хуже.
Про вставшее от кривого (ну ok-ok от специально сформированного) пинга производство это пример из статьи, я его лишь слегка приукрасил.
А вот военку наверняка найдутся желающие поломать, и то что ракета идёт до цели чуть меньше пары минут ещё не делает её защищенной от атак если она идёт не 1 раз в истории и на вражеской территории остаются детали, да и разведка не просто так свой хлеб кушает обычно.
На практике, конечно, самое досадное с чем встречался это рассылка спама с непропатченного сервера, и да… никто не умер)))
А не надо сочинять… просто пробегитесь поиском по криминальным новостям и форумам с ними.
Когда на вас возьмут кредит, и вам всю душу вынут СБ и менты. Вот тогда расскажете по «2 недели грусти».
Или когда уедете отдыхать, а по приезду обнаружите в своей квартире других жильцов, или вдруг обнаружится, что на ваш паспорт зареганы сайты с детским порно… да много разных ситуаций, которые становятся возможными только из-за раскрытия персональной информации. При чем раскрыты по независящим от вашей бережности обстоятельствам.
И то, что вы не понимаете как злоумышленники могут использовать ваши данные, не означает невозможности этого процесса. А ваша легкомысленность идет только в минус…
Когда на вас возьмут кредит, и вам всю душу вынут СБ и менты. Вот тогда расскажете по «2 недели грусти».
Или когда уедете отдыхать, а по приезду обнаружите в своей квартире других жильцов, или вдруг обнаружится, что на ваш паспорт зареганы сайты с детским порно… да много разных ситуаций, которые становятся возможными только из-за раскрытия персональной информации. При чем раскрыты по независящим от вашей бережности обстоятельствам.
И то, что вы не понимаете как злоумышленники могут использовать ваши данные, не означает невозможности этого процесса. А ваша легкомысленность идет только в минус…
Вот, снова «вы», «вас»… К чему этот пафос и переход на личности? И почему именно «когда на вас...», как будто вам чрезвычайно хочется, чтобы это непременно случилось со мною…
Симка с многотысячным долгом на мой паспорт — решается одним заявлением, даже не 2 недели, а 10 минут. Кредит — со мной лично не было, но знаю (от знакомых), что решается примерно так же просто. И если что-то тут стало не просто — то дело вовсе не в IT и личных данных. Кому-то отжатый айфон через полчаса возвращают, кому-то никогда, но дело вовсе не в айфоне.
Сам факт наличия моих данных — опасность. Так же, как и факт наличия двери в моей квартире — уязвимость, позволяющая вскрыть ее. Это не повод писать паспортные данные на заборе и раздавать ключи, но и не повод уничтожать компьютер и паспорт и закладывать дверной проем шлакоблоками.
Степень моей легкомысленности позволяет мне поддерживать такой уровень безопасности, который чисто влом преодолевать злоумышленникам. Старое «зубило» без сигналки угонят покататься, а ставить «цезарь» с абонентской платой на него — уже за гранью паранойи и глупости. Простой сигналки достаточно в 98% случаев. И не надо говорить, что «когда ваше зубило угонят ...» Купить заново такое же дешевле, чем платить за «цезарь» и за стоянку 5 лет.
Но можно гордиться отсутствием легкомысленности, и законспирироваться, как Джек Ричер.
Или другая крайность с примерно таким же " а вот когда вас...", но в ответ на то, что мне не нравится, когда мои данные берут совсем без спросу, да еще и урны с вай-фаем.
А я вот не хочу, чтобы мои данные брали без спросу, но и биться в истерике по этому поводу тоже не планирую. Беспринципная позиция, да?
когда уедете отдыхать, а по приезду обнаружите в своей квартире других— бывало, слышал из вторых рук, но вообще не связано с паспортными данными и информационными технологиями.
Симка с многотысячным долгом на мой паспорт — решается одним заявлением, даже не 2 недели, а 10 минут. Кредит — со мной лично не было, но знаю (от знакомых), что решается примерно так же просто. И если что-то тут стало не просто — то дело вовсе не в IT и личных данных. Кому-то отжатый айфон через полчаса возвращают, кому-то никогда, но дело вовсе не в айфоне.
Сам факт наличия моих данных — опасность. Так же, как и факт наличия двери в моей квартире — уязвимость, позволяющая вскрыть ее. Это не повод писать паспортные данные на заборе и раздавать ключи, но и не повод уничтожать компьютер и паспорт и закладывать дверной проем шлакоблоками.
Степень моей легкомысленности позволяет мне поддерживать такой уровень безопасности, который чисто влом преодолевать злоумышленникам. Старое «зубило» без сигналки угонят покататься, а ставить «цезарь» с абонентской платой на него — уже за гранью паранойи и глупости. Простой сигналки достаточно в 98% случаев. И не надо говорить, что «когда ваше зубило угонят ...» Купить заново такое же дешевле, чем платить за «цезарь» и за стоянку 5 лет.
Но можно гордиться отсутствием легкомысленности, и законспирироваться, как Джек Ричер.
Или другая крайность с примерно таким же " а вот когда вас...", но в ответ на то, что мне не нравится, когда мои данные берут совсем без спросу, да еще и урны с вай-фаем.
А я вот не хочу, чтобы мои данные брали без спросу, но и биться в истерике по этому поводу тоже не планирую. Беспринципная позиция, да?
>бывало, слышал из вторых рук, но вообще не связано с паспортными данными и информационными технологиями.
С ИТ это связано конечно косвенно, но речь то не про них, а про то, что с их развитием упростилось получение и использование чужих данных. Мой сосед так попал. Ему просто показали бумаги якобы им подписанные, в которых фигурировали все его данные. Решить вопрос удалось только через суд, который шел далеко не 2 недели. И вообще вся эта ситуация попила кровушки не мало.
С симкой может быть просто, а может и нет. Все зависит от ситуации. Но вот с кредитом уже все не так просто.
Ситуации очень разные бывают. Хорошо, если человек вообще никогда не брал кредиты… а если брал? Да там миллион моментов может быть. Но ни какой из них не позволяет сказать «Сам дурак». Ибо слишком во многих местах приходится светить как минимум паспорт, а то и другие документы. И на всех этапах копии могут уйти на сторону. Я своими глазами видел, как в магазине мужик брал кредит на женский паспорт, и рассказывал продавцу будто это его жена. Может так оно и было. Но сам факт выдачи по чужому паспорту меня просто убил.
Ну и конечно, если живешь в хибаре на окраине в лесу, ездишь на убитой 30 летней копейке, банки не посещаешь, да и вообще публичные места, по причине отсутствия денег. И соотв паспорт вообще нигде не засвечен и красть просто нечего… то можно спать спокойно)
Никто же не говорит, что надо биться головой об стену. Но как показывает практика, все это легкомыслие моментально сходит на нет, после одного разбирательства с ментами… когда приходит понимание, что везде работают люди, а они не идеальны. Вы просто себе не представляете как могут отравить жизнь люди наделенные минимальной властью, даже если вы реально не виноваты.
С ИТ это связано конечно косвенно, но речь то не про них, а про то, что с их развитием упростилось получение и использование чужих данных. Мой сосед так попал. Ему просто показали бумаги якобы им подписанные, в которых фигурировали все его данные. Решить вопрос удалось только через суд, который шел далеко не 2 недели. И вообще вся эта ситуация попила кровушки не мало.
С симкой может быть просто, а может и нет. Все зависит от ситуации. Но вот с кредитом уже все не так просто.
Ситуации очень разные бывают. Хорошо, если человек вообще никогда не брал кредиты… а если брал? Да там миллион моментов может быть. Но ни какой из них не позволяет сказать «Сам дурак». Ибо слишком во многих местах приходится светить как минимум паспорт, а то и другие документы. И на всех этапах копии могут уйти на сторону. Я своими глазами видел, как в магазине мужик брал кредит на женский паспорт, и рассказывал продавцу будто это его жена. Может так оно и было. Но сам факт выдачи по чужому паспорту меня просто убил.
Ну и конечно, если живешь в хибаре на окраине в лесу, ездишь на убитой 30 летней копейке, банки не посещаешь, да и вообще публичные места, по причине отсутствия денег. И соотв паспорт вообще нигде не засвечен и красть просто нечего… то можно спать спокойно)
Никто же не говорит, что надо биться головой об стену. Но как показывает практика, все это легкомыслие моментально сходит на нет, после одного разбирательства с ментами… когда приходит понимание, что везде работают люди, а они не идеальны. Вы просто себе не представляете как могут отравить жизнь люди наделенные минимальной властью, даже если вы реально не виноваты.
Вот пример с того же хабра
Или вот случай, когда злоумышленник может использовать уязвимость, чтобы причинить вред здоровью или убить. Это не то видео, которое осталось у меня в памяти, но суть та же. В другом видео парни могли в любой момент заклинить тормоза автомобиля и рулевое управление, что при высокой скорости неизбежно привело бы к аварии.
Это подойдет в качестве примеров?
Или вот случай, когда злоумышленник может использовать уязвимость, чтобы причинить вред здоровью или убить. Это не то видео, которое осталось у меня в памяти, но суть та же. В другом видео парни могли в любой момент заклинить тормоза автомобиля и рулевое управление, что при высокой скорости неизбежно привело бы к аварии.
Это подойдет в качестве примеров?
Еще хотелось бы знать, как 90% населения может повредить то, что кто-то знает их местоположение и время суток. «Ужас, хаос»…
Конечно, в каждый момент времени 90% пользователей это никак не вредит. Проблема в том, что каждый пользователь ЛИЧНО не всегда среди этих 90%, иногда (когда кто-то подрубился к конкретному банкомату например из-за уязвимости, которая проявляется только на конкретной версии ПО конкретного банка конкретно на этой модели) каждый бывает сред тех самых 10%. Именно это и имела ввиду автор, когда говорила о культуре и о том, что простые люди все спускают с рук.
Еще хотелось бы знать, как 90% населения может повредить то, что кто-то знает их местоположение и время суток. «Ужас, хаос»…90% населения само является источником ужаса и хаоса.
Проблема в том, что даже зная все это, у тебя просто нет выбора использовать потенциально уязвимые технологии. «Предупрежден — значит, вооружен», наврятли сработает.
Я думаю, нужно начать с того, чтобы самому обновлять ПО постоянно, и говорить об этом другим. Воспитывать культуру обращения с софтом, которой практически нет. Если взломать среднестатистический компьютер будет не элементарно, а, скажем, так себе — это первое существенное препятствие массовой слежке, которая станет экономически невозможной. А пока большинство компьютеров содержат публично известные и уже исправленные уязвимости, говорить о чем-то ещё выглядит весьма комично.
P.S. Начал с удаления libpurple, по зависимостям улетел Pidgin. Ну и ничего, меньше софта — меньше потенциальных уязвимостей.
P.S. Начал с удаления libpurple, по зависимостям улетел Pidgin. Ну и ничего, меньше софта — меньше потенциальных уязвимостей.
" корпорации и правительство скорее предпочтут принять требования, чем умереть" или
скорее предпочтут изолировать выступающих, чем умереть.
скорее предпочтут изолировать выступающих, чем умереть.
… эту американскую журналистку звали Капитан Очевидность.
Очень плохой перевод. Я думал, намного лучше будет.
К примеру, кусок текста, который был переведен, как
В оригинале был вот таким:
Смысл немного меняется, не правда ли?
К примеру, кусок текста, который был переведен, как
Я живу среди этого и я ничем не лучше. Однажды, один анонимный источник попросил меня подтвердить свою личность. Я должна была сделать несколько фото, демонстрирующих местоположение и время суток. Я должна была загрузить их и предоставить доступ моему источнику. В итоге подтверждение личности всё же пришлось отложить, потому что я нервно выключила свой компьютер, до того как файлы были переданы. «Почему я?», — спросила я его. Он ответил: «Потому что только ты настолько глупа».
В оригинале был вот таким:
I live in this stuff, and I’m no better. Once I had to step through a process to verify myself to a secretive source. I had to take a series of pictures showing my location and the date. I uploaded them, and was allowed to proceed with my interview. It turns out none of my verification had come through, because I’d failed to let the upload complete before nervously shutting down my computer. “Why did you let me through?” I asked the source. “Because only you would have been that stupid,” my source told me.
Смысл немного меняется, не правда ли?
Буду рад, если вы сообщите в ЛС о недочетах.
Можете назвать меня Gramma Nazzi. Я написал вам в личку небольшой список ошибок, которые мне режут глаза. После десяти предложений с пропущенными запятыми, мне уже надоело их исправлять.
Ваш перевод написан таким языком, который в обычной жизни не встречается. То есть, люди так не говорят по-русски. Очень напоминает программный перевод: смысл передан, но обороты используются странные.
Честно говоря, Я не понял, что имелось в виду в этом предложении. Постарайтесь в будущем не переводить английский текст слово в слово.
Ваш перевод написан таким языком, который в обычной жизни не встречается. То есть, люди так не говорят по-русски. Очень напоминает программный перевод: смысл передан, но обороты используются странные.
Что касается осторожности в переписке, перед лицом враждебных организаций, технически не подкованные люди настолько же хороши как и Anonymous, или людей предупреждают, что стоит беспокоится о метаданных, о публикациях в социальных сетях, или о шифровании первого сообщения OTR.
Честно говоря, Я не понял, что имелось в виду в этом предложении. Постарайтесь в будущем не переводить английский текст слово в слово.
Чепуха какая-то. Спецслужбы получали, получают и будут получать данные о гражданах разных государств. И источники данных абсолютно разные — от камер видеонаблюдения и дырок в софте до досье психологов и налоговых деклараций. Ну а если уж им потребуется взломать пароль… «Пальцы ломаются проще, чем пароли».
Проблема не в софте а в уже надоевшем извечном вопросе регулирования вмешательства государства в личную жизнь граждан. Первое хочет знать все и обо всех, вторые этого не хотят. Проблема — уровня «как выбирать честных политиков» и рассуждать здесь можно бесконечно. Кухонные философы велкам.
Проблема не в софте а в уже надоевшем извечном вопросе регулирования вмешательства государства в личную жизнь граждан. Первое хочет знать все и обо всех, вторые этого не хотят. Проблема — уровня «как выбирать честных политиков» и рассуждать здесь можно бесконечно. Кухонные философы велкам.
Ну да. Всё плохо, всё ужасно, всё сломано, мы все умрём. Делать то что предлагает автор оригинального текста?
Деятельность людей такова, что нет ничего идеального, созданного руками человеческими. Ничто не гарантирует 100% надежности. Вообще ничего. Поэтому при реализации любой вещи нужно найти баланс в скорости реализации/удобности использования/надежности и т.п. И большинство ошибок и уязвимостей появляется даже не по безалаберности, а потому что иначе работать будет неудобно. Или потому что реализация затянется на годы вместо месяцев.
Так вот, я упорно не понимаю, что автор то хочет и от кого. «Требовать» чего? От кого? Что бы все люди резко стали идеальными и не допускали ошибок? Или чего?
Деятельность людей такова, что нет ничего идеального, созданного руками человеческими. Ничто не гарантирует 100% надежности. Вообще ничего. Поэтому при реализации любой вещи нужно найти баланс в скорости реализации/удобности использования/надежности и т.п. И большинство ошибок и уязвимостей появляется даже не по безалаберности, а потому что иначе работать будет неудобно. Или потому что реализация затянется на годы вместо месяцев.
Так вот, я упорно не понимаю, что автор то хочет и от кого. «Требовать» чего? От кого? Что бы все люди резко стали идеальными и не допускали ошибок? Или чего?
Автор призывает не быть равнодушными и\или халатными, быть более внимательными. Конкретно. пользователей — своевременно обновляться (а не отключать обновления, чтобы активация не слетала), разработчиков — тщательнее искать ошибки у себя и помогать их находить другим (мол, вместе мы сильнее). Автора беспокоит не только то. что нет безопасного софта, но что нет и идеальных людей, а кроме того — что культивируется ложное чувство безопасности из-за нежелания правильно обращаться с вещами (девайсами и софтом). находящимися в пользовании, чем и пользуются все, кому не лень — от школоты до правительств.
Так и представил эстонских мафиози, жадно просматривающие переписку ваших детей в духе «ПриФФкИ кАк ДеЛа!??))))».
У автора параноя и слишком эмоциональное воображение.
У автора параноя и слишком эмоциональное воображение.
От статьи возникает ощущение какой-то неловкости за человека, который повращался в тусовке и начинает считать, что теперь шарит в предмете. Может от того, что сам-грешен.
А вы знаете, ведь информационная безопасность, все эти бесконечные CVE в ченджлогах секьюрити-патчей, чудовищно мощная (по недавним меркам) криптография, доступная любой домохозяйке, развесистая система PKI, защищенные мессенджеры, появляющиеся как грибы после дождя — это ведь все просто как мощная, дорогая, толстая стальная дверь в вашу квартиру. Такая дверь, безусловно, хороша и защитит вас от всех невзгод (на самом деле нет), но мы все прекрасно знаем, что в благополучных районах входные двери делают из стекла и занавески, оставляют внизу дверку для котика и никогда не запирают.
А что за наезд такой на язык C? Можно подумать, что на другом навалять таких уязвимостей нельзя
Таких — нельзя. Других — сколько угодно. Хороший пример тому — все эти бесконечные CMSки на PHP. Считать «чужую память» на PHP (как и на многих других современных языках), в общем, нельзя, зато сколько других уязвимостей люди умудряются наделать!
Я думаю, отчасти сыграла популярность, но отчасти заслуженно. Кем-то было сказано, что программирование на C (C++?) — это как танцевать на скользком полу с опасными бритвами в руках. :) Много непосредственной работы с указателями, ссылками, смещениями, буферами. Рано или поздно ошибки там допускаются.
Работать с указателями на уровне библиотек — необходимость, вне зависимости от выбора языка, причем тут Си? С другой стороны, вернуть неправильный кусок буфера можно и на языке, на котором не надо работать с указателями напрямую, причем тут Си еще раз?
Не надо начинать холивар, мне кажется достаточно понятно о чем я говорю. На уровне реализации функций библиотек естественно нужно работать на более низком уровне. Но работая со структурами данных в python/php/ruby/java мне будет трудно обратиться к невалидной части памяти, а в С вылететь за границы массива — элементарно. И с буферами та же ситуация. Можно, но сложно. В С ошибаться проще, а ошибки бьют больнее. Речь не про то, что C плохой, а про особенности.
А цель этой статьи? Посеять панику и сомнение в умах? И что это даст? Или вот прям все откажутся от ИТ и будут пользоваться бумажными ежедневниками.
Кстати у журналиста задача не неудобные вопросы задавать, а привлекать внимание к себе и материалу, искусно создавая бурю в стакане.
Кстати у журналиста задача не неудобные вопросы задавать, а привлекать внимание к себе и материалу, искусно создавая бурю в стакане.
Объясните пожалуйста, что значит «уязвимость нулевого дня?». Не понял.
Для решения озвученных проблем нужно менять подходы к разработке. Все железо и ПО писать на верифицируемых языках.
Например много об этом есть в книге System Level Design with .Net Technology (ISBN-13: 978-1450434041)
Например много об этом есть в книге System Level Design with .Net Technology (ISBN-13: 978-1450434041)
Что делать, спрашиваете? Навскидку: capability based OS, отказ от концепции рута, запрет ставить софт не из репозитория по умолчанию, подписывать всё и вся, отслеживание целостности системы, использовать интерпретируемые языки, использовать надёжные и в то же время эффективные системные языки вроде Rust.
Делать-то есть что — было бы кому. Например разработчики самой популярной настольной OS ничего предпринимать в этом отношении и не собираются. Положат плитку да кнопку старт уберут. А потом вернут.
Перевод чудовищен. Автору спасибо что обратил наше внимание на статью.
Делать-то есть что — было бы кому. Например разработчики самой популярной настольной OS ничего предпринимать в этом отношении и не собираются. Положат плитку да кнопку старт уберут. А потом вернут.
Перевод чудовищен. Автору спасибо что обратил наше внимание на статью.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Все сломано