Fakty i mity o bezpieczeństwie bankowości. Linux nie jest odpowiedzią
Fakty i mity o bezpieczeństwie bankowości. Linux nie jest odpowiedzią
Gniewomir Świechowski
10.06.2010 15:38Zostaliśmy poproszeni o objęcie patronatem cyklu szkoleń nt. bezpieczeństwa systemów IT i postanowiliśmy wykorzystać to jako okazję do rozwiania kilku popularnych mitów na temat tego jak zabezpiecza się serwisy i serwery wielkich instytucji.
Zostaliśmy poproszeni o objęcie patronatem cyklu szkoleń nt. bezpieczeństwa systemów IT i postanowiliśmy wykorzystać to jako okazję do rozwiania kilku popularnych mitów na temat tego jak zabezpiecza się serwisy i serwery wielkich instytucji.
- Mit pierwszy: Istnieją stuprocentowo bezpieczne systemy. Jest to prawda tylko w przypadku komputerów zaspawanych w sejfach i odciętych od jakiekolwiek połączenia ze światem. Smutna prawda jest taka, że ludzie - zawsze - popełniają błędy. I dotyczy to wszystkich, od projektantów sprzętu, przez twórców oprogramowania i protokołów komunikacji, aż po administratorów spinających oprogramowanie i sprzęt w całość, oraz zwykłych użytkowników. Nieświadomych, że na pendrive z muzyką mogą przynieść komputerowego szkodnika.
- Mit drugi: Firmy starają się budować stuprocentowo bezpieczne systemy. Istnieje coś takiego jak analiza ryzyka i wszystkie podmioty posiadające infrastrukturę informatyczna zmierzają do \sensownej finansowo redukcji\ potencjalnych czynników ryzyka. Jeśli wdrożenie nowych zasad bezpieczeństw będzie kosztowało więcej niż potencjalne straty... po prostu się tego nie robi.
- Mit trzeci: Systemy informatyczne są teraz bezpieczniejsze. Choć świadomość zagrożeń związanych z cyber przestępczością cały czas rośnie, to wielkie firmy wdrażają zmiany miesiącami, podczas gdy przestępcy potrzebuję tylko kilku dni by zmienić taktykę lub wynaleźć nową dziurę, której producenci oprogramowania nie zdążyli załatać.
- Mit czwarty: Długie i skomplikowane hasła zwiększają poziom bezpieczeństwa. Jeden z najsłynniejszych hakerów w historii IT większość czasu spędzał na śmietnikach, szukając karteczek, na których pracownicy firm-ofiar zapisywali długie i skomplikowane hasła których nie mogli zapamiętać - zwłaszcza jeśli w imię bezpieczeństwa zmieniano je raz na tydzień. Po co siedzieć trzy dni przed komputerem, skoro przegrzebanie papierów da lepszy efekt?
- Mit piąty: Jeśli połączenie jest szyfrowane to jest bezpieczne. Nie dość, że pierwsze próby łamania 128 bitowego szyfrowania SSL przy pomocy dużej ilości współczesnych konsol zamienionych w superkomputer dają coraz bardziej obiecujące rezultaty, to przestępcy niejednokrotnie umieszczali złośliwy kod na uczciwych stronach. Po złamaniu takiej, która korzysta z szyfrowania otrzymamy szkodnika... zaszyfrowanego.
- Mit szósty: Zmiana przeglądarki z internet Explorera poprawi bezpieczeństwo w firmie. Nie poprawi, ponieważ pracownicy najprawdopodobniej wciąż będą ściągać szkodniki z załącznikami do poczty, kodeki wideo na stronach porno i całą resztę internetowego chłamu. Niemal zawsze to oni będą najsłabszym elementem zabezpieczeń.
- Mit siódmy: Wymiana Windows na Linuxa zwiększy bezpieczeństwo. Źle skonfigurowany serwer pod Windowsem jest taką samą bombą z opóźnionym zapłonem jak źle skonfigurowany Linux. A większość podpiętych do serwera komputerów i tak musi pracować pod Windowsem, ponieważ mimo starań społeczności Open Source połowa programów potrzebnych biznesowi nie istnieje w wersji Linuksowej, a standardem jest *.doc, a nie *.odf.
