[параноя]swap

> Social engineering в свою очередь гораздо более опасна чем баги в программах

Он блокируется техническими методами без значимых затрат.

> В наше время "программист" который допускает такие баги никогда не поднимется выше кодера в приличных конторах

Вы с "сертифицированными" продуктами работали? Там, где от криптографии зависят деньги, обязывают использовать "сертифицированные продукты". Так вот написать так плохо, как пишут "авторы" этих продуктов, не всякий студент сумеет - даже если очень постарается.

> Пример с бухгалтерией и налоговой некорректен. Слишком несопоставима ценность информации и стоимость взлома.

Как раз это и есть типичный пример когда криптография нужна в повседневной жизни - документация, бухгалтерия, адресные и паспортные данные сотрудников, VPN-ы по которым гоняют эту же информацию. Когда дело доходит до гостайн и прочей мути, там все организовывается просто по другим принципам.

> Сопоставима она становится когда например защищаются критические детали создания сверхмощного ядерного оружия

Криптография в списке мер занимает тут предпоследнее место. Сотрудникам просто запрещается вносить и выносить что-либо на рабочее место и с него, на входе-выходе ставится сканер, и все, каналы связи защищаются физически, все устройства имеют только одно направления движения - в производственную зону, обратно с нее ничего никогда не выходит, ДАЖЕ ПО ГАРАНТИИ. Гарантийный инженер приходит, под присмотром сотрудника СБ говорит "да, сломалось" и выдается новое устройство взамен неисправного. Тут криптография тупо не нужна. :-)

> Как раз это и есть типичный пример когда криптография нужна в повседневной жизни - документация, бухгалтерия, адресные и паспортные данные сотрудников, VPN-ы по которым гоняют эту же информацию. Когда дело доходит до гостайн и прочей мути, там все организовывается просто по другим принципам.

Если кто-то шифруете адресные данные сотрудников, то полюбому он какой-нить террорист. Как говорится "Группа захвата уже выехала."

А вот стеганография здесь бы очень пригодилась - просто тупо сокрытие факта наличия такой информации.

> Криптография в списке мер занимает тут предпоследнее место. Сотрудникам просто запрещается вносить и выносить что-либо на рабочее место и с него, на входе-выходе ставится сканер, и все, каналы связи защищаются физически, все устройства имеют только одно направления движения - в производственную зону, обратно с нее ничего никогда не выходит, ДАЖЕ ПО ГАРАНТИИ. Гарантийный инженер приходит, под присмотром сотрудника СБ говорит "да, сломалось" и выдается новое устройство взамен неисправного. Тут криптография тупо не нужна. :-)

Скажи это нашим ученым-ядерщикам (да и любым другим ученым) которые даже в советское время умудрялись таскать себе домой под предлогом "поработать" документы с грифом "секретно".

Да и не поставишь же на входе-выходе штуку которая частично стирает людям память, а потом записывает обратно?? %))

> Он блокируется техническими методами без значимых затрат.
Кто блокируется, Social Engineering? Бредовое заявления. Какими такими тех. методами? Отрыванием рук, выкалыванием глаз, отрезанием ушей работников? В топку такие методы..

Максимум что можно сделать в случае S.E. это постоянно промывать мозги сотрудникам, да и то не факт что поможет...

> Вы с "сертифицированными" продуктами работали? Там, где от криптографии зависят деньги, обязывают использовать "сертифицированные продукты". Так вот написать так плохо, как пишут "авторы" этих продуктов, не всякий студент сумеет - даже если очень постарается.

Сомневаюсь что у нас в свободном доступе есть что-то стоящее. А вот с зарубежными (конкретно - американскими) девайсами доводилось работать. Хоть они у нас и не сертифицированы, и не будут в ближайшем будущем. Да и опять же у них дикие экспортные ограничения на крипто-устройства.

> Сотрудникам просто запрещается вносить и выносить что-либо на рабочее место и с него, на входе-выходе ставится сканер

Или скажи это, например, моим коллегам-преподавателям, которые на лекции на физфаке умудряются таскать детонатор от ядерного устройства в обычном портфеле.

> Или скажи это, например, моим коллегам-преподавателям, которые на лекции на физфаке умудряются таскать детонатор от ядерного устройства в обычном портфеле.

Это означает, что ваша СБ не ловит мышей. Криптография поможет запретить сотрудникам выносить детонаторы? В конечном итоге, люди работают на рабочем месте с нешифрованными документами, со всеми вытекающими, и вам криптография тогда тоже не помошник: сотрудник, чтобы не мучатсья с ключами, утащит чертежи бомбы на флэшке.

Неправильный подход: все шифруется, нмерянно крутые средства защиты и контроля доступа, но у каждого сотрудника есть USB-порт под флэшку на персональном компе, а охрана смотрит чтобы "компьютер не вынесли".

Правильный подход: охране пишут инструкции и вздрючивают регулярными проверками, сотрудникам ставят терминалы без возможности чтения и записи на внешние носители, и объясняют почему это сделано именно так, и что с ними будет если они нарушат правила.

Социальный инжениринг, говорите?

На здоровье. Сотрудникам ЗАПРЕЩЕНО кому бы то ни было говорить свой пароль, кто бы этот кто-то ни был. Если пароль озвучен по служебной необходимости, его меняют. И выходить из помещения, не залочив помеение или компьютер, тоже запрещено. Копия пароля - в сейфе в запечатанном конверте у начальника, тот отвечает за него своей премией и местом, вскрытие конверта регистрируется в бумажном журнале. Вскрытый конверт без записи в журнале - виновный без премии. Ключи на внешнем носителе, тот кто оставит ключевой носитель без личного присмотра, лишается премии. Злобные хацкеры? На здоровье - сети физически разделены, libastral.so на внутренних серверах не установлена, да. На ключевые терминалы доступ только из определенных помещений, по индивидуальным кодам.

Передача данных? Собственная сеть передачи данных, ключевая информация меняется регулярно, доставка ключей - специальным собственным курьером, в запечатанном конвертере, в компании охранника.

Возбметесь "социально проинженирить" таку систему?

> Если кто-то шифруете адресные данные сотрудников, то полюбому он какой-нить террорист.

Советую ознакомиться с законодательством в разделе ограничений на распространение персональных данных, недавно вышли поправки :-)

> Сомневаюсь что у нас в свободном доступе есть что-то стоящее.

Все что можно использовать для работы с информацией, принадлежащей или охраняемой осудартсвом, подлежит сертификации. Данные о сертифицированных продуктах доступных на соответствующих сайтах, в свое время регулярно обновлялись. Есть свод требований (на самом деле достаточно разумных), которым обязаны удовлетворять инструменты и комплексы, на которых такие данные можно обрабатывать. Порядок общий для всех, и проверяющие дрючат (и очень конкретно) за его несоблюдение.

>> Или скажи это, например, моим коллегам-преподавателям, которые на лекции на физфаке умудряются таскать детонатор от ядерного устройства в обычном портфеле.

>Это означает, что ваша СБ не ловит мышей. Криптография поможет запретить сотрудникам выносить детонаторы? В конечном итоге, люди работают на рабочем месте с нешифрованными документами, со всеми вытекающими, и вам криптография тогда тоже не помошник: сотрудник, чтобы не мучатсья с ключами, утащит чертежи бомбы на флэшке.

Да я не это имел в виду, а то что нужно доверять своим людям. Если что я с ядерными устройствами не работаю %), но видел как это действует на студентов когда им дают проникнуться "настоящей рабочей атмосферой" %) (это я так, а то вдруг ещё сболтну чего лишнего и меня посадят как Данилова на 20 лет %)).

Я хотел сказать что нужно доверять коллегам. В разумной степени. Если ему надо поработать дома с секретными данными, то пусть хотя бы шифрует свою эту самую флешку. Параною разводить тут не надо, а то походу страна совсем без ученых останется.

> Правильный подход: охране пишут инструкции и вздрючивают регулярными проверками, сотрудникам ставят терминалы без возможности чтения и записи на внешние носители, и объясняют почему это сделано именно так, и что с ними будет если они нарушат правила.

> Социальный инжениринг, говорите?

> На здоровье. Сотрудникам ЗАПРЕЩЕНО кому бы то ни было говорить свой пароль, кто бы этот кто-то ни был. Если пароль озвучен по служебной необходимости, его меняют. И выходить из помещения, не залочив помеение или компьютер, тоже запрещено. Копия пароля - в сейфе в запечатанном конверте у начальника, тот отвечает за него своей премией и местом, вскрытие конверта регистрируется в бумажном журнале. Вскрытый конверт без записи в журнале - виновный без премии. Ключи на внешнем носителе, тот кто оставит ключевой носитель без личного присмотра, лишается премии. Злобные хацкеры? На здоровье - сети физически разделены, libastral.so на внутренних серверах не установлена, да. На ключевые терминалы доступ только из определенных помещений, по индивидуальным кодам.

Блин, может у вас в Челябинске на предприятиях везде такая зона строго режима, но у нас в Новосибирском Академгородке даже я когда был еще студентом в советское время, я мог спокойно пойти к знакомым преподавателям, которые были с.н.с.-ами в соотв. институтах, спокойно пройти охрану, при этом меня не обыскивали и не досматривали, спокойно зайти в лаборатории и при этом посмотреть чертежи / поучаствовать в эксперименте. Абсолютно в любой научный институт, хоть в теплофизику, хоть в ИЯФ, и даже в гидродинамику. При этом я мог собственными глазами видеть всё что там происходит, начиная от запуска нового ускорителя и заканчивая испытаниями новейших артиллерийских снарядов.

Если посмотреть на эти ваши меры безопасности, то получается что студентам-дипломникам физфака кафедры взрыва придется учить какую-нибудь "кумуляцию" по картинкам или данным 40-летней давности?

> Все что можно использовать для работы с информацией, принадлежащей или охраняемой осудартсвом, подлежит сертификации. Данные о сертифицированных продуктах доступных на соответствующих сайтах, в свое время регулярно обновлялись.

На практике все работают с чем им удобно.

> Есть свод требований (на самом деле достаточно разумных), которым обязаны удовлетворять инструменты и комплексы, на которых такие данные можно обрабатывать.

Требования-то разумные, просто люди к ним не по-разумному подходят.

> Порядок общий для всех, и проверяющие дрючат (и очень конкретно) за его несоблюдение.

Какие еще проверяющие? Они что, следят за всеми сотрудниками, ходят за нимо по пятам? Да бюджета РФ на это просто не хватит. Может где-нибудь кого-то и дрючат во всяких мелких конторках, но в крупных организациях почти всем на это пофиг. Этот сертифицированный софт может и стоит только для отвода глаз, на случай если придет тот самый "проверяющий", который кроме законов и таблицы умножения больше ничего не знает.

> Да я не это имел в виду, а то что нужно доверять своим людям.

Как правило, выбор стоит примерно такой: либо вы не подвергаете опасности разглашения данные, либо "доверяете своим людям". Увы...

> Если ему надо поработать дома с секретными данными, то пусть хотя бы шифрует свою эту самую флешку.

А это ничего, что у него на компе домашнем может троян или бэкдор оказаться?

> может у вас в Челябинске на предприятиях везде такая зона строго режима

Только там, где необходимо обеспечить соответсвующий уровень безопасности для данных.

> я мог спокойно пойти к знакомым преподавателям, которые были с.н.с.-ами в соотв. институтах, спокойно пройти охрану, при этом меня не обыскивали и не досматривали

Как уже говорилось, значит охрана не ловит мышей. Ну пройдите например в сервеную какого-нибудь банка, чтобы осознать разницу :-) Никто не говорит про досмотр. Говорится о том, чт осотрудник ознакомлен с соответствующими ограничениями, и отвечает за их выполнение своей задницей (премией, должностью, рабочим местом, административной/уголовной ответственностью и т.п.).

> получается что студентам-дипломникам физфака кафедры взрыва придется учить какую-нибудь "кумуляцию" по картинкам или данным 40-летней давности?

Если эти данные являются охраняемыми законодательно, им придется давать подписку о неразглашении и ответственности за ее нарушение, а если разглашение произошло - то и отвечать в соответствии с действующим законодательством. Что, непривычно? :-)

> Какие еще проверяющие? Они что, следят за всеми сотрудниками, ходят за нимо по пятам?

Ну например, они могут в присутствии начальника отдела зайти в кабинет, и увидев что сотрудника нет на месте, дверь кабинета не закрыта и консоль не заблокировна, или ключевой носитель на столе в отсутствие его владельца рядом, составить акт и полетят головы и премии...

> на случай если придет тот самый "проверяющий", который кроме законов и таблицы умножения больше ничего не знает

Вообще, в состав таких проверок (а это группы из нескольки человек) входят и технические специалисты. Они например могут подпойти и попросить продемонстрировать настройки конкретно взятой программы (и так и делают, кстати).

> Если эти данные являются охраняемыми законодательно, им придется давать подписку о неразглашении и ответственности за ее нарушение, а если разглашение произошло - то и отвечать в соответствии с действующим законодательством. Что, непривычно? :-)

Да нет, NDA и "для служебного пользования" вполне привычно, но (!) разводить паранойу по поводу флешек и секретных данных можно разве что среди низшего обслуживающего персонала и инженеров/админов.

На людей которые всю жизнь занимаются подобными исследованиями, провели пол-жизни в городах "с номером через черточку", еще при союзе подписали кучу бумажек о неразглашении, etc это все не подействует, они и так знают что делать в случае чего. И могут по памяти нарисовать хоть 20 рабочих схем, половина их который так и не была реализована у нас в железе из-за нехватки денег. И это без всяких флешек и мини-фотоаппаратов в рукаве.

> Ну пройдите например в сервеную какого-нибудь банка, чтобы осознать разницу :-) Никто не говорит про досмотр. Говорится о том, чт осотрудник ознакомлен с соответствующими ограничениями, и отвечает за их выполнение своей задницей (премией, должностью, рабочим местом, административной/уголовной ответственностью и т.п.).

В серверных банков знакомых нет, а вот в комнату в лаборатории под завязку набитую взрывчаткой, спокойно могу пройти, так как мой хороший друг ведущий научный сотрудник института. Думаю и в банках подобный принцип действует, достаточно поближе познакомиться с директором его С.Б.

> Вообще, в состав таких проверок (а это группы из нескольки человек) входят и технические специалисты. Они например могут подпойти и попросить продемонстрировать настройки конкретно взятой программы (и так и делают, кстати).

Какая-то показуха. Смотреть настройки под чьим-то присмотром - смешно. Это элементарное неуважение. Вот в СССР везде на оборонных предприятиях были первые отделы, так они не ходили и не смотрели никакие настройки, тем не менее со своими задачами справлялись отлично. И люди, проработав 40 лет в учреждении узнавали о "первом отделе" только когда им надо было подписать обходной лист для выхода на пенсию. А все эти проверяющие из новомодных "служб безопасности" - сплошь нездоровые параноики и маразматики, которые только мешают работать нормальным людям.

> А все эти проверяющие из новомодных "служб безопасности" - сплошь нездоровые параноики и маразматики, которые только мешают работать нормальным людям.

Они просто требуют соблюдения установленных правил (не с потолка взятых).

> а вот в комнату в лаборатории под завязку набитую взрывчаткой, спокойно могу пройти, так как мой хороший друг ведущий научный сотрудник института

Который раз повторяю - это всего лишь значит, что охрана спит и не ловит мышей. Когда из лаборатори сп...ят десяток килограмм какой-нибудь дряни, соответствующие товарищи припомнят и охране, и вашему другу каждый пункт правил. Пока жареный петух не клюнет - мужик не перекрестится.

> Который раз повторяю - это всего лишь значит, что охрана спит и не ловит мышей.

Это всего лишь значит что у меня есть пропуск куда надо, который выписали соответствующие товарищи. + Знакомые. Без пропуска меня бы близко к инст-у не подпустили. А без знакомых я бы не смог войти в лабораторию

> соответствующие товарищи припомнят и охране

Сп..дь что-либо просто нереально. Но это не та бредовая параноя когда СБшники мешают работать ученым. У них свои правила, которые написаны кровью, и они этим правилам следуют.

> А это ничего, что у него на компе домашнем может троян или бэкдор оказаться?

Домашний комп не обязан быть подключен к интернету или какой-либо другой сети. Тем более, для работы это просто ненужно. Что могут сделать бек-доры на локалхосте? Максимум что можно потерять это текущие изменения, которые на раз восстанавливаются.

Да может быть все что угодно. Может быть в соседнем здании установлен "направленный микрофон"? Что, теперь всем учить язык глухонемых и завешивать шторы?

> Домашний комп не обязан быть подключен к интернету или какой-либо другой сети.

В больших городах осталось весьма немного компов, не подключенных к сети.

> Может быть в соседнем здании установлен "направленный микрофон"?

Я тебе страшную тайну скажу - при обработке некоторых видов информации, в кабинете обязательно иметь закрывающиеся жалюзи, или располагать монитор так, чтобы он был отвернут от окна. А в комнатах для ведения переговоров окна на время переговоров закрываются, и включаются специальные устройства, которые делают всякую подслушку нереальной.

Меры для обеспечения безопасности информации выбирает только владелец информации. Если у вас владелец информации считает это все ненужным - это его дело. Если у нас это считалось необходимым - мы шипели, плевались, но делали то, что предписано. Потому что если этого не сделать, то если что-либо случится, можно схлопотать как финансовое воздействие, так и административное или уголовное.

> Я тебе страшную тайну скажу - при обработке некоторых видов информации, в кабинете обязательно иметь закрывающиеся жалюзи, или располагать монитор так, чтобы он был отвернут от окна. А в комнатах для ведения переговоров окна на время переговоров закрываются, и включаются специальные устройства, которые делают всякую подслушку нереальной.

Это для меня не "страшная тайна", а так, обычная болтовня.

"Микрофон" я привел просто в качестве примера, техника может быть сколько угодно изощренной, зависит от количества денег у того кто работает с такими штуками. Всегда новейший "копьё" опережает на пару шагов новейший "щит" в промышленном шпионаже, а тем более если у того кто применяет это "копье" есть мозги, то всякие "специальные устройства, которые делают всякую подслушку нереальной" и прочие генераторы белого шума становятся просто бесполезными.

> финансовое воздействие, так и административное или уголовное.

Уголовное воздействие можно схлопотать элементарно не соблюдая технику безопасности. Я и не говорил отказаться от какого-либо режима на предприятии, но заглядывать сотрудникам через плечо - это уже явно лишнее.

> Я и не говорил отказаться от какого-либо режима на предприятии, но заглядывать сотрудникам через плечо - это уже явно лишнее.

А кто говорит о заглядывании через плечо? Есть правила, которые написаны... Если не кровью, то очень большими затратами, есть определенный регламент проверок чтобы убедиться что эти правила соблюдаются.

> зависит от количества денег у того кто работает с такими штуками

Начиная с определенного уровня, проще ломать людей, а не технические средства. Да и то не всегда помогает.

> Начиная с определенного уровня, проще ломать людей, а не технические средства. Да и то не всегда помогает.

Ломать людей - это и есть Social Engineering, только его агрессивный вариант.

> Ломать людей - это и есть Social Engineering, только его агрессивный вариант.

А технические меры как раз и защищают от "взломанных людей". Без специальных методов, человек чисто физически не способен "вспомнить все", в отличие от компьютера.

Хм... а термин "сеть доверия" не из этой же "оперы", я сначала тоже споткнулся о термин "криптографическая сеть"...