Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.    X

Zabezpieczenia w... głowach

Nie ma nic gorszego w życiu małego trybika w machinie zwanej korporacją, jak ten przypadający na trzy ostatnie miesiące roku okres. Z jednej strony - wszystko, czego się nie zrobiło przez pierwszych 9, należy nadrobić. Z drugiej strony - trzeba już planować kolejny rok. I tak z dnia na dzień, od poniedziałku do piątku. A w połowie listopada to już od poniedziałku do niedzieli, włącznie. I, nie boje się tego słowa, pasje schodzą na dalszy plan. W okolicach 15 grudnia poza pracą jedyną pasją pozostaje oddychanie, jedzenie i spanie. No ale skoro jeszcze nie ma 15 grudnia, to postanowiłem, że jednak znajdę kilkadziesiąt minut by zatkać niebezpiecznie poszerzającą się dziurę w ilości miesięcy bez wpisu.

Gorzej jednak z tematem... Win8? Konkurencja jest taka, że nie ma sensu nawet startować. Osiemnasta wojna portalowo systemowa? Wybaczcie, ale poziom dyskusji doszedł do takiego poziomu abstrakcji, że nie jestem pewny czy jestem w stanie mu dorównać (z całym szacunkiem, dlaczego nikt nigdy nie chce do końca ze mną polemizować w takich dyskusjach?!)*. Ale... ale z drugiej strony, tknęło mnie coś w tych wojenkach. Poziom zabezpieczeń systemu operacyjnego w kontekście przewagi jednego nad drugim. Wpis więc będzie o skype.

Zabezpieczenia

A tak, właśnie o skype. Bo de facto to poważna luka w zabezpieczeniach skype natchnęła mnie kolejny raz do pisania. W krótkich, żołnierskich słowach na czym polegał problem:

  • Atakujący znający adres email, na którym zarejestrowany jest skype ofiary tworzy kolejne konto na ten sam adres. Szczęśliwie i bez problemów loguje się na konto.
  • Poprzez na przykład stronę internetową rozpoczyna procedurę zmiany hasła z powodu jego zapomnienia
  • Informacja o próbie zmiany hasła przychodzi na maila ofiary... oraz na zalogowanych klientów (śmieszny popup z notyfikacją)
  • Atakujący korzysta z linka w popupie (z tokenem), wybiera z listy faktyczne konto ofiary, zmienia hasło.

Koniec. Proste, prawda? Tyleż proste, co niezależne od systemu, języka programowania, niechlujnego programowania, czy struktury folderów i braku dysk C. Kto więc zawinił? Zawinił człowiek ze zbyt skromną wyobraźnią odpowiedzialny za wdrożenie tej funkcjonalności. Nawiasem mówiąc - nie on pierwszy. Okazuje się, że Amazon pozwalał na dodawanie kolejnej karty kredytowej przez telefon weryfikując tylko adres zamieszkania. Po dodaniu karty można było już bez przeszkód zmienić hasło do konta (weryfikowany był przy tej okazji właśnie numer jednej z kart kredytowych).

w głowach

No i proszę pięknie. Okazuje się, nie pierwszy raz zresztą, że winny pozostaje ten sam czynnik - człowiek. Omylny jak zwykle. I nic tu do rzeczy nie ma otwartość/zamkniętość kodu, społeczność/konsumenci aplikacji i inne tego typu stereotypy. Po prostu - stało się tak samo, jak stłuczka na drodze. Szkoda więc czasu na doszukiwanie się boskiego pierwiastka w stu tysiącach linijek kodu, doklejanie filozofii do położenia guzika minimalizującego okno, albo gloryfikowanie sposobu instalacji aplikacji. Trend ten przejdzie (mam nadzieję) jak awersja do leworęczności.

Koniec

No i co teraz? Straszyć sloganami, że żadne zabezpieczenie nie jest pewne? Że jak ktoś się zaprze to znajdzie na nas sposób? A może ewangelizować w przeciwnym kierunku? Nauczać, że przede wszystkim ostrożność i ubieranie grubych rękawic przy kontakcie z klawiaturą uchroni przed chorobami zakaźnymi i innymi przykrościami? Wszędzie tego pełno, więc czytelniku - korzystaj do woli.

PS. Wpis jest wybitnie o niczym. Czuje to tak samo jak Ty, droga czytelniczko, drogi czytelniku. Tylko, że z pisaniem u mnie jest jak ze spacerowaniem po lesie. Pożytku z tego wielkiego nie ma, zysków żadnych, na tle drzew za to wyraźnie odcina się komin elektrowni. Ale jakoś tak... po prostu fajnie się wyrwać.

*to ironia. Sory, że tłumaczę, ale czasem mam wrażenie, że jestem niezrozumiały. 

bezpieczeństwo

Komentarze

0 nowych
alucosoftware   7 #1 16.11.2012 20:28

Sposób prezentacji jak najbardziej przypadł mi do gustu. Rzeczywiście w Skype takie kwiatki się unaoczniły?

Shaki81 MODERATOR BLOGA  38 #2 16.11.2012 20:43

Niestety tak już jest w naszym świeci, że najsłabszym ogniwem zabezpieczenia jest człowiek. Podejrzewam, że jeszcze długi nikt i nic tego nie zmieni.

floyd   15 #3 18.11.2012 11:45

@kawka78 -"..... niemal 95% osób, z którymi miałem styczność w dotychczasowej karierze zawodowej nigdy nie stosowało prozaicznej blokady systemu na czas odejścia od komputera."
Wynika z tego, że każdy człowiek powinien patrzeć na każdego innego człowieka (nawet współpracownika przy sąsiednim biurku) jak na potencjalnego przestępcę który tylko czyha na to by nas okraść, zniszczyć, zamordować.
W niektórych sytuacjach już tak chyba jest i teraz tylko pozostaje przenieść to podejście do innych ludzi na wszystkie dziedziny życia bo w przeciwnym przypadku czeka nas marny koniec. :-(

Humanoid   5 #4 18.11.2012 12:41

Całkiem przyjemny wpis.

  #5 18.11.2012 13:41

A jest możliwe założenie drugiego konta o takiej samej nazwie?

GBM MODERATOR BLOGA  20 #6 18.11.2012 13:54

Nie trzeba ewangelizować, wystarczy tylko szkolić, szkolić i jeszcze raz szkolić ;)

Poszerzanie świadomości + odpowiednie wyszkolenie ludzi - jest receptą do zmniejszenia realności trafu na czynnik ludzki :)

soanvig   10 #7 18.11.2012 15:00

Co do Skype, to na razie opcja przypominania/zmiany hasła jest wyłączona. Wydaje się być włączona, ale nie działa. I zareagowali stosunkowo bardzo szybko :)

  #8 18.11.2012 20:46

Jak ktoś nie blokuje ekranu na czas odejścia od stanowiska i w dodatku używa starego FX / IE to >> nobrain.dk :] - zacznie blokować.

Odnośnie Skype: http://niebezpiecznik.pl/post/uwaga-mozna-przejac-dowolne-konto-skype-wystarczy-.../

LordRuthwen   6 #9 19.11.2012 00:07

U nas mawia się, że człowiek jest 8 warstwą modelu ISO/OSI :)
Tą najsłabszą.