אין לי מה להסתיר

באיזו תדירות אתה שומע את הביטוי הפשוט לכאורה הזה מחבריך, קרובי משפחה ועמיתיך?

ככל שהמדינה וחברות הענק מציגות אמצעים מתוחכמים יותר ויותר לבקרת מידע ומעקב אחר משתמשים, אחוז האנשים המוטעים שמתייחסים כאמת לאמירה הברורה לכאורה ש"אם אני לא עובר על החוק, אז אין לי מה לעשות. פַּחַד."

ואכן, אם לא עשיתי שום דבר רע, העובדה שממשלות וחברות ענק רוצות לאסוף את כל הנתונים עלי, מיילים, שיחות טלפון, תמונות מצלמת אינטרנט ושאילתות חיפוש, לא משנה כלל, כי הם כל מה שהם לא יעשו. למצוא משהו מעניין בכל מקרה.

הרי אין לי מה להסתיר. האין זה כך?

מה הבעיה?

אני מנהל מערכת. אבטחת מידע משולבת מאוד בחיי ובשל הפרט של עבודתי, ככלל, אורך כל אחת מהסיסמאות שלי הוא לפחות 48 תווים.

אני מכיר את רובם בעל פה, וברגעים שבהם אדם אקראי צופה בי מציג אחד מהם, בדרך כלל יש לו שאלה סבירה - "למה זה כל כך... נפח?"

"לבטיחות? אבל לא כל כך הרבה זמן! לדוגמה, אני משתמש בסיסמה של שמונה תווים, כי אין לי מה להסתיר".

לאחרונה אני שומע את הביטוי הזה לעתים קרובות יותר ויותר מאנשים סביבי. מה שמדכא במיוחד הוא לפעמים אפילו מאלה שעוסקים יותר בטכנולוגיית מידע.

אוקיי, בוא ננסח מחדש.

אין לי מה להסתיר כי...

... כולם כבר יודעים את מספר כרטיס הבנק שלי, הסיסמה שלו וקוד CVV/CVC
... כולם כבר יודעים את קודי ה-PIN והסיסמאות שלי
... כולם כבר יודעים את גודל המשכורת שלי
... כולם כבר יודעים איפה אני כרגע

וכן הלאה.

לא נשמע מאוד סביר, נכון? עם זאת, כשאתה אומר שוב את המשפט "אין לי מה להסתיר", אתה מתכוון גם לזה. אולי, כמובן, אתה עדיין לא מבין את זה, אבל האמת לא תלויה ברצונך.

חשוב להבין שלא מדובר בהסתרה, אלא בהגנה. הגן על ערכי הטבע שלך.

אינך צריך להסתיר דבר אם אתה בטוח לחלוטין שאין איום עליך ועל הנתונים שלך מבחוץ

עם זאת, ביטחון מוחלט הוא מיתוס. "רק מי שלא עושה כלום לא עושה טעויות". זו תהיה טעות עצומה לא לקחת בחשבון את הגורם האנושי בעת יצירת מערכות מידע הקשורות קשר הדוק להבטחת הבטיחות והאבטחה של נתוני המשתמש.

כל מנעול דורש מפתח שלו.. אחרת, מה הטעם? הטירה נבנתה במקור כאמצעי כדי להגן על רכוש מאינטראקציה עם זרים.

לא סביר שתשמח אם מישהו יקבל גישה לחשבון הרשת החברתית שלך ויתחיל להפיץ הודעות מגונות, וירוסים או ספאם בשמך. חשוב להבין שאנחנו לא מסתירים את העובדות.

אכן: יש לנו חשבון בנק, אימייל, חשבון טלגרם. אָנוּ אנחנו לא מתחבאים העובדות הללו הן מהציבור. אָנוּ לְהַגֵן האמור לעיל מגישה לא מורשית.

למי נכנעתי?

עוד טעות נפוצה לא פחות, המשמשת בדרך כלל כטיעון נגד.

אנחנו אומרים: "למה החברה צריכה את הנתונים שלי?" או "למה שהאקר יפרוץ אותי?" מבלי לקחת בחשבון את העובדה שייתכן שהפריצה אינה סלקטיבית - ניתן לפרוץ לשירות עצמו, ובמקרה זה יסבלו כל המשתמשים שהיו רשומים במערכת.

חשוב לא רק להקפיד על כללי אבטחת מידע בעצמכם, אלא גם לבחור את הכלים הנכונים שבהם אתם משתמשים.

הרשו לי לתת כמה דוגמאות כדי להבהיר על מה אנחנו מדברים עכשיו.

לא היה להם מה להסתיר

• MFC
  בחודש נובמבר XNXX שנים הייתה דליפה של נתונים אישיים מהמרכזים הרב-תכליתיים במוסקבה לאספקת שירותים ממלכתיים ועירוניים (MFC) "המסמכים שלי".

  במחשבים ציבוריים ב-MFC נמצאו עותקים סרוקים רבים של דרכונים, SNILS, שאלונים המציינים טלפונים ניידים ואפילו פרטי חשבון בנק, אליהם ניתן היה לגשת לכל אחד.

  על סמך הנתונים שהתקבלו, ניתן היה לקבל הלוואות מיקרו או אפילו לגשת לכספים בחשבונות בנק של אנשים.

• חיסכון בנקאי
  באוקטובר 2018 השנה הייתה דליפת נתונים. השמות וכתובות האימייל של יותר מ-420 אלף עובדים היו זמינים לציבור.

  נתוני לקוחות לא נכללו בהורדה זו, אך עצם הופעתו בכרך כזה מעידה על כך שלגנב היו זכויות גישה גבוהות במערכות הבנק ויכול היה לקבל גישה, בין היתר, לפרטי הלקוח.

• Google
  שגיאה ב-API של הרשת החברתית של Google+ אפשרה למפתחים לגשת לנתונים מ-500 אלף משתמשים כגון כניסות, כתובות דוא"ל, מקומות עבודה, תאריכי לידה, תמונות פרופיל וכו'.

  גוגל טוענת שאף אחד מ-438 המפתחים שהיו להם גישה ל-API לא ידע על הבאג הזה ולא יכול היה לנצל אותו.

• פייסבוק
  פייסבוק אישרה רשמית את דליפת הנתונים של 50 מיליון חשבונות, עם עד 90 מיליון חשבונות שעלולים להיות מושפעים.

  האקרים הצליחו לקבל גישה לפרופילים של בעלי החשבונות הללו הודות לשרשרת של לפחות שלוש נקודות תורפה בקוד הפייסבוק.

  בנוסף לפייסבוק עצמה, הושפעו גם אותם שירותים שהשתמשו בחשבונות של רשת חברתית זו לצורך אימות (Single Sign-On).

• שוב Google
  פגיעות נוספת ב-Google+, שהובילה לדליפת נתונים של 52,5 מיליון משתמשים.
  הפגיעות אפשרה לאפליקציות לקבל מידע מפרופילי משתמשים (שם, כתובת דואר אלקטרוני, מין, תאריך לידה, גיל וכו'), גם אם נתונים אלו היו פרטיים.

  בנוסף, באמצעות פרופיל של משתמש אחד ניתן היה לקבל נתונים ממשתמשים אחרים.

מקור: "דליפות הנתונים המשמעותיות ביותר ב-2018"

דליפות נתונים קורות לעתים קרובות יותר ממה שאתה חושב

נכון שלא כל דליפות הנתונים מדווחות בגלוי על ידי התוקפים או הקורבנות עצמם.

חשוב להבין שכל מערכת שניתן לפרוץ תיפרוץ. במוקדם או במאוחר.

הנה מה שאתה יכול לעשות עכשיו כדי להגן על הנתונים שלך

    ← שנה את דעתך: זכור שאינך מסתיר את הנתונים שלך, אלא מגן עליהם
    ← השתמש באימות דו-גורמי
    ← אל תשתמש בסיסמאות קלות משקל: סיסמאות שניתן לשייך אליך או למצוא אותן במילון
    ← אל תשתמש באותן סיסמאות עבור שירותים שונים
    ← אין לאחסן סיסמאות בטקסט ברור (לדוגמה, על פיסת נייר מודבקת על הצג)
    → אל תספר את הסיסמה שלך לאף אחד, אפילו לא לצוות התמיכה
    → הימנע משימוש ברשתות Wi-Fi בחינם

מה לקרוא: מאמרים שימושיים בנושא אבטחת מידע

    → אבטחת מידע? לא, לא שמענו
    → תכנית חינוכית בנושא אבטחת מידע היום
    → יסודות אבטחת מידע. המחיר של טעות
    → יום שישי: ביטחון ופרדוקס הניצולים

שמור על עצמך ועל הנתונים שלך.

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

הצבעה חלופית: חשוב לנו לדעת את דעתם של מי שאין לו חשבון מלא ב-Habré

• ↑

• ↓

439 משתמשים הצביעו. 137 משתמשים נמנעו.

מקור: www.habr.com