Nel mondo interconnesso di oggi, basta un errore di sicurezza per far crollare il tuo intero mondo. A chi rivolgersi per un consiglio migliore dell'esperto di sicurezza Bruce Schneier?
Se hai anche un interesse passeggero in questioni di sicurezza Red Alert: 10 Blog sulla sicurezza dei computer che dovresti seguire oggi Red Alert: 10 Blog sulla sicurezza dei computer che dovresti seguire oggi La sicurezza è una parte cruciale dell'informatica e dovresti cercare di educarti e rimanere aggiornato . Dovrai controllare questi dieci blog sulla sicurezza e gli esperti di sicurezza che li scrivono. Per saperne di più, allora hai sicuramente incontrato gli scritti di Bruce Schneier, un guru della sicurezza di fama mondiale che ha lavorato in numerosi comitati governativi, ha testimoniato davanti al Congresso, ed è autore di 12 libri su questioni di sicurezza fino ad ora, oltre che innumerevoli saggi e articoli accademici.
Dopo aver ascoltato il nuovo libro di Schneier, Carry On: Sound Advice di Schneier on Security, abbiamo deciso che era giunto il momento di contattare Bruce per ottenere alcuni validi consigli su alcuni dei nostri pressanti problemi di privacy e sicurezza.
Bruce Schneier - Sound Advice
In un mondo globale pieno di spionaggio digitale internazionale, minacce malware e virus e hacker anonimi dietro ogni angolo, può essere un posto molto spaventoso per chiunque possa navigare.
Non abbiate paura, perché abbiamo chiesto a Bruce di fornirci alcune indicazioni su alcuni dei problemi di sicurezza più urgenti 5 cose che abbiamo imparato sulla sicurezza online nel 2013 5 cose che abbiamo imparato sulla sicurezza online nel 2013 Le minacce sono diventate più complesse e, peggio, sono ora proviene da luoghi che la maggior parte non si aspetterebbe mai, come il governo. Qui ci sono 5 lezioni difficili che abbiamo imparato sulla sicurezza online nel 2013. Leggi di più oggi. Dopo aver letto questa intervista, almeno te ne andrai via con una maggiore consapevolezza di quali siano realmente le minacce e di cosa puoi davvero fare per proteggerti.
Capire il teatro della sicurezza
MUO: Come consumatore, come posso distinguere il "teatro della sicurezza" da un'app o un servizio veramente sicuro? (Il termine "teatro della sicurezza" è stato scelto dal termine che hai coniato nei tuoi scritti precedenti su come le app e i servizi rivendicano la sicurezza come un punto di forza).
Bruce: non puoi. Nella nostra società specializzata e tecnologica, non è possibile distinguere il bene da prodotti e servizi scadenti in molte aree. Non si può distinguere un aereo strutturalmente sano da uno non sicuro. Non puoi dire ad un bravo ingegnere da un ciarlatano. Non si può distinguere un buon prodotto farmaceutico dall'olio di serpente. Va bene, però. Nella nostra società, ci fidiamo degli altri per fare quelle determinazioni per noi. Ci fidiamo dei programmi di licenza e certificazione governativa. Abbiamo fiducia nella revisione di organizzazioni come l'Unione dei consumatori. Confidiamo nelle raccomandazioni dei nostri amici e colleghi. Ci fidiamo di esperti Rimani sicuro online: Segui 10 esperti di sicurezza informatica su Twitter Rimani sicuro online: Segui 10 esperti di sicurezza informatica su Twitter Ci sono semplici passaggi da seguire per proteggersi online. Utilizzando un firewall e un software antivirus, creando password sicure, senza lasciare i propri dispositivi incustoditi; questi sono tutti must. Oltre a ciò, scende ... Leggi altro.
La sicurezza non è diversa. Poiché non possiamo distinguere un'app o un servizio IT sicuro da uno non sicuro, dobbiamo fare affidamento su altri segnali. Certo, la sicurezza IT è così complicata e veloce da farci fallire regolarmente. Ma questa è teoria. Decidiamo di chi ci fidiamo e quindi accettiamo le conseguenze di tale fiducia.
Il trucco è creare buoni meccanismi di fiducia.
Audit di sicurezza fai-da-te?
MUO: Che cos'è un "codice di controllo" o un "controllo di sicurezza" e come funziona? Crypto.cat era open-source, il che ha fatto pensare a qualcuno che fosse sicuro, ma non è stato verificato da nessuno. Come posso trovare questi controlli? Ci sono modi in cui posso controllare il mio uso quotidiano degli strumenti, per assicurarmi di usare cose che mi proteggano davvero?
Bruce: un controllo significa cosa pensi che significhi: qualcun altro lo ha guardato e lo ha pronunciato bene. (O, almeno, trovato le parti difettose e ha detto a qualcuno di risolverle.)
Le prossime domande sono anche ovvie: chi l'ha controllato, quanto è stato esteso l'audit e perché dovresti fidarti di loro? Se hai mai fatto un'ispezione a casa quando hai comprato una casa, capisci i problemi. Nel software, i buoni controlli di sicurezza sono completi e costosi e, alla fine, non garantiscono che il software sia sicuro.
Gli audit possono solo trovare problemi; non possono mai dimostrare l'assenza di problemi. È possibile verificare definitivamente i propri strumenti software, presupponendo che si disponga delle conoscenze e dell'esperienza richieste, dell'accesso al codice del software e del tempo. È proprio come se fosse il tuo medico o avvocato. Ma io non lo consiglio.
Basta volare sotto il radar?
MUO: C'è anche questa idea che se si utilizzano servizi o precauzioni altamente sicuri, in qualche modo si sta comportando in modo sospetto. Se quell'idea ha un merito, dovremmo concentrarci meno su servizi più sicuri, e invece provare a volare sotto il radar? Come lo faremmo? Che tipo di comportamento è considerato sospetto, cioè cosa ti procura un rapporto di minoranza? Qual è la migliore tattica per "stare bassi"?
Bruce: Il problema della nozione di volare sotto il radar, o di stare sdraiati, è che si basa su nozioni pre-computer della difficoltà nel notare qualcuno. Quando le persone facevano la sorveglianza, aveva senso non attirare la loro attenzione.
Ma i computer sono diversi. Non sono limitati dalle nozioni umane di attenzione; possono guardare tutti allo stesso tempo. Quindi, anche se può essere vero che l'uso della crittografia è qualcosa di cui l'NSA prende nota in modo particolare, non usarlo non significa che sarai notato di meno. La migliore difesa è usare i servizi sicuri, anche se potrebbe essere una bandiera rossa. Pensaci in questo modo: stai fornendo una copertura per coloro che hanno bisogno di crittografia per rimanere in vita.
Privacy e crittografia
MUO: Vint Cerf ha detto che la privacy è un'anomalia moderna e che non abbiamo una ragionevole aspettativa per la privacy in futuro. Sei d'accordo con questo? La privacy è un'illusione / un'anomalia moderna?
Bruce: certo che no. La privacy è un bisogno umano fondamentale e qualcosa di molto reale. Avremo bisogno di privacy nelle nostre società purché siano composte da persone.
MUO: Diresti che noi come società siamo diventati compiacenti riguardo alla crittografia dei dati?
Bruce: Certamente noi, designer e costruttori di servizi IT, siamo diventati compiacenti della crittografia e della sicurezza dei dati in generale. Abbiamo costruito un Internet che è vulnerabile alla sorveglianza di massa, non solo dalla NSA ma da ogni altra organizzazione di intelligence nazionale sul pianeta, grandi aziende e criminali informatici. Lo abbiamo fatto per una serie di motivi, che vanno da "è più facile in questo modo" a "ci piace fare cose gratis su Internet". Ma stiamo iniziando a renderci conto che il prezzo che stiamo pagando è in realtà piuttosto alto, quindi speriamo di fare uno sforzo per cambiare le cose.
Migliorare la sicurezza e la privacy
MUO: quale forma / combinazione di password / autorizzazione consideri più sicura? Quali "migliori pratiche" consiglieresti per creare una password alfanumerica?
Bruce: ne ho scritto di recente. I dettagli valgono la pena di essere letti.
Nota dell'autore: L'articolo collegato alla fine descrive lo "Schema Schneier" che funziona per la scelta di password sicure 7 modi per creare password sicure e memorabili 7 modi per creare password sicure e memorizzabili Avere una password diversa per ogni servizio è un must nel mondo online di oggi, ma c'è una terribile debolezza nelle password generate a caso: è impossibile ricordarle tutte. Ma come puoi ricordare ... Read More, in realtà citato dal suo articolo del 2008 sull'argomento.
"Il mio consiglio è di prendere una frase e trasformarla in una password. Qualcosa come "Questo piccolo porcellino è andato sul mercato" potrebbe diventare "tlpWENT2m". Quella password di nove caratteri non sarà nel dizionario di nessuno. Certo, non usare questo, perché ne ho scritto. Scegli la tua frase, qualcosa di personale. "
MUO: Come può l'utente medio affrontare al meglio le notizie che il proprio account con un sito Web, una banca o una società multinazionale di fama mondiale è stato compromesso (sto parlando di violazioni dei dati del tipo Adobe / LinkedIn qui, piuttosto che un conto bancario singolo violato tramite frode con carta)? Dovrebbero spostare la loro attività? Cosa pensi che vorrà sottolineare ai reparti IT / sicurezza dei dati che la divulgazione immediata e completa è la migliore PR?
Bruce : questo ci riporta alla prima domanda. Non c'è molto che noi clienti possiamo fare per la sicurezza dei nostri dati quando è nelle mani di altre organizzazioni. Dobbiamo semplicemente fidarci che assicureranno i nostri dati. E quando non lo fanno - quando c'è una grande violazione della sicurezza - la nostra unica risposta possibile è spostare i nostri dati da qualche altra parte.
Ma 1) non sappiamo chi è più sicuro, e 2) non abbiamo alcuna garanzia che i nostri dati verranno cancellati quando ci trasferiremo. L'unica vera soluzione qui è la regolamentazione. Come in molte aree in cui non disponiamo dell'esperienza necessaria per valutare e di cui ci si deve fidare, ci aspettiamo che il governo intervenga e fornisca un processo affidabile su cui fare affidamento.
Nell'IT, ci vorrà una legislazione per garantire che le aziende proteggano adeguatamente i nostri dati e ci informino in caso di violazioni della sicurezza.
Conclusione
Va da sé che è stato un onore sedersi e (praticamente) discutere di questi problemi con Bruce Schneier. Se stai cercando ulteriori informazioni su Bruce, assicurati di dare un'occhiata al suo ultimo libro, Carry On, che promette l'interpretazione di Bruce su importanti problemi di sicurezza oggi come l'attentato alla maratona di Boston, la sorveglianza della NSA e i cyber-attacchi cinesi. Puoi anche ottenere regolari dosi di intuizione di Bruce sul suo blog.
Come puoi vedere dalle risposte precedenti, stare al sicuro in un mondo non sicuro non è esattamente facile, ma usando gli strumenti giusti, scegliendo con cura quali attività e servizi decidi di "fidarti" e usando il buon senso con le tue password è molto buon inizio.