Kommentar: ? Dette er de fem største problemene med IT-sikkerhet

[Redaksjonen.]

Spørsmålet kommer opp veldig ofte, skriver Eugene Kaspersky.

 

Kommentar: ? Dette er de fem største problemene med IT-sikkerhet

 

[Gjest Slettet-Pqy3rC]

Dette er de fem største problemene med IT-sikkerhet

1. Brukere

2. Brukere

3. Brukere

4. Brukere

5. Brukere

[NgZ]

Det største problemet med IT-sikkerhet er desverre ikke på brukersiden, men på ilbydersiden. Er du en idikot med passordet på en gul post-it-lpp ved skjermen (og du bruker det samme overalt) er det bare DU som rammes.

 

Derimot rammes ALLE av

- Udugelige sider som bryter ALLE vedtatte sikkerhetsnormer og lagrer passord i klartekst. LinkedIn var vel sist ute med å vise hva det fører til, når noen kommer seg inn. Dette er udugelighet på et imponerende høyt nivå, ingen fjortenåring på guterommet som a lest sin første PHP og MySQL-guide ville finne på å gjør noe så dumt.

- Udugelige sider som bruker https i utilstrekkelig grad (eller ikke i noen grad), gjerne kombinert med uforsvarlig bruk av cookies. (Eks. Facebook) Nyetablerte (på det norske markedet) Proshop er også et eksempel på en hjemmeside snekret sammen på fritiden av noen som ikke harlest en halv artikkel om innloggingssystemer. Du finner dessvere disse idiotene alt for mange steder.

- Sider som lagrer og samler inn nformasjon de ikke har virkelig god bruk for. Før eller siden kan eller vil infoen komme ut.

- Trakingnettverk/reklamenettverk som ulovlig (sannsyligvis i Norg og EU) samler inn en rekke informasjon om sider du besøker, når du besøker dem, hvilke linker du klikker på, hvor lenge du er på en side, al knyttet til en unik identifikator som det er trivielt å knytte til deg personlig av f.eks. et forsikringsselskap når du søker om forsikring.

[Bolson]

Nå lagret ikke LinkedIn passord i klartekst, men brukte en for dårlig hashingmetode - som medførte at hash på relativt korte passord enkelt kunne brytes. Greit å ha faktum helt korrekt. Jeg vil ellers påstå at de fleste fjortenåringer som har lest sin første PHP og MySQL guide ikke ville gjort det noe bedre.

[magnemoe]

1 personvern, dette er et problem, ja det er kjekt å samkjøre skattelistene mot telefonkatalogen og google maps, hvis du er imbrudstyv.

Anta at alt du har postet vil bli public, din sikerhet er at det stort sett er veldig kjedelig. To untak, folk du kjenner, spesielt dama, kona eller foreldre vil kansje ikke like bildene fra firmafesten.Kompisene i RL vil avsløre facebook bløffen. Er du en kjendis er saken andeledes, selv E-kjendis.

 

2 tullball, ja det er et problem at det ikke finnes gode autoriserings metoder, ulempen er at facebook og andre vil misbruke dette totalt, også mørkere krefter som datalagrings direktivet som ville ønske at det var ulovelig å registrere seg i noen fourms uten personnummer. Jeg vil ikke ha en standard her.

 

3 og dette er værre en avisenes "frykt selger" daglige kampanjer???

Fugleinfluensa, CO2, islamister, øksemorderere,vil drepe deg i dag, klikk her for intetsigende info med masse reklame.

Har i 20 år ment at pressestøtten bør overføres til tegneserier. Ja norske medier er de snille her.

 

4 et relevant problem, her en et sted internasjonale avtaler er smart.

 

5 Her er det motsatte tilfelle, hvor sansynelig er det at at en avtale her blir brudt før blekket er tørt og er har mer verdi en dasspapir?

Mulige fiender her begynner med Kina som du kan snakke med til Nord korea og Iran som er sinsyke, responsen på cyber krig er allerede etablert, et stort angrep som gjør stor skade regnes som en krigserkæring.

Tilsvarende 9/11 som var en opplagt krigserklæring.

 

[Snorre]

Nå lagret ikke LinkedIn passord i klartekst, men brukte en for dårlig hashingmetode - som medførte at hash på relativt korte passord enkelt kunne brytes. Greit å ha faktum helt korrekt. Jeg vil ellers påstå at de fleste fjortenåringer som har lest sin første PHP og MySQL guide ikke ville gjort det noe bedre.

I en PHP-bok jeg kjøpte (som forøvrig hadde gode omtaler på Amazon) brukte forfatter md5-hashing uten salting eller andre teknikker i sitt passord-eksempel. Jeg har en anelse om at ordentlige sikkerhets-mekanismer er fraværende, ikke i fokus eller svært dårlige i mange guider og bøker. Jeg har siden lest meg litt opp om passord og har nå en viss innsikt uten at det gjør meg til en sikkerhetsekspert.

 

Jeg tror nok du har rett i at de flesste fjortenåringer som sitter og hjemmesnekkrer vevsystemer ikke ville gjort det stort bedre enn de store. Men det er virkelig for dårlig å ikke kunne ansette en kryptologi/sikkerhets-konsulent når man etterhvert utvikler seg til å bli et stort selskap.

[NgZ]

Nå lagret ikke LinkedIn passord i klartekst, men brukte en for dårlig hashingmetode - som medførte at hash på relativt korte passord enkelt kunne brytes. Greit å ha faktum helt korrekt. Jeg vil ellers påstå at de fleste fjortenåringer som har lest sin første PHP og MySQL guide ikke ville gjort det noe bedre.

Stemmer det, jeg husket visst feil farten. Angående hva en fjornåring vllle gjort er vi kanskje ikke hel enige, men l me omformulere:

Ingen som har gjort en halvveis innsats for å lese seg opp på sikkerhet og innlogging gjør feilen LinkedIn gjorde. Det er så unødvendig når det allerede finnes ferdige php-funksjoner for dette (phpass/bcrypt). Merk, jeg kan nær sagt ingenting om PHP eller kryptering selv, men nok til å forstå at de som med åne øyne "drar en LinkedIn" en tele2 eller en Proshop ve enda mindre enn meg, eller bare gir en skikkelig god f i både det og brukerne sine.

[ATWindsor]

Dette er de fem største problemene med IT-sikkerhet

1. Brukere

2. Brukere

3. Brukere

4. Brukere

5. Brukere

 

Lager man produkter, så man tilpasse det til brukerene sine.

 

AtW

[Gjest Slettet-Pqy3rC]

Lager man produkter, så man tilpasse det til brukerene sine.

Utfordringen ligger i at tekniske ønsker rundt sikkerhet, systemdesign, administrasjon etc ofte er motsatt propesjonalt med brukervennlighet og ledelsens krav til effektivitet.

 

"Må jeg virkelig fylle ut et helt skjema for å få tid på testlab'en ?"

"Mer enn 3 tegn i passord er slitsomt å skrive, jeg vil bare trykke enter tasten"

"Åh... enda en internett! (Noen som oppdaget Chrome ikonet)"

"adBlock ? NoScript ?? DNT+ ???"

"Installere KeePass ?!?? åh, så slitsomt.."

"Jeg får jo ikke jobbet fordi jeg må registrere alt jeg gjør hele tiden!"

"Bytte passord igjen ?!! Det er jo bare en måned siden sist!"

"Kan vi ikke ha VPN uten passord ? Eller i det minste at alle bruker samme passord ?"

"åfff... hva var dette passordet igjen da..."

"Hvorfor kan ikke bare alle maskiner få IP av DHCP tjeneren uansett hva MAC er ?"

"Jammen jeg vil ha tak i de serverene også fra WLAN'et!"

 

Den samme typen utfordringer har alle som designer et system også. Jeg er forøvrig helt enig i at den typen sikkerhet som ikke går ut over brukervennlighet (kryptering etc) er selvsagt å implementere fra starten av. Det er sikkert gjort en del helt unødvendige "enkle" feil der ute

[Sajber]

Er Kaspersky en av HW faste kommentatorer?

[- Slaktarn -]

Jeg aksepterer ikke at en så tilsynelatende oppegående person bruker det fornorskede ordet "Kyberkrig".

 

Og ingen av disse alternativene kommer i nærheten av hva som virkelig er det store problemet med it-sikkerhet; BRUKEREN!

[IceBlock]

Brukeren er så god som tilbyderen. Hvis tilbyderen hadde gjort jobben hadde brukeren vært sikker. Et stort problem i bedriftsbransjen er at det er mange som tror dem kan og tror dem vet best, og for dem har sikkerhet ingen betydning fordi "it will never happen to me .. ". Hadde tilbyder hatt baller så ville dem aldri godtatt en løsning som ikke er sikker, men "cash is king" og tilbyder "does what they are told, no questions asked ..".

[mandela]

Irriterer meg fortsatt over at de anmeldelsene av produkter og nettbutikker jeg skrev *anonymt* i prisguiden her på hw.no er søkbare under mitt fulle navn hos f.eks. google, det flere år etter at prisguiden fikset problemet på sin side og etter å ha kontaktet prisguiden folka flere ganger og bedt dem om å rydde opp.

[JohndoeMAKT]

Det største problemet med IT-sikkerhet er sikkerhetsmodeller som ikke er basert på et aktivt trust network.