Автор: Vlad Styran

Якщо ви залишили мене наодинці з вашим комп‘ютером, це вже не ваш комп‘ютер

Ось чому спеціалісти з кібербезпеки змушують вас шифрувати жорсткі диски та не залишати лептопи там, де ви їх не можете бачити. Атака типу «evil maid» (зла покоївка) це сувора реальність, хоча здійснює її скоріше не персонал готелів, а працівники занадто цікавих спецслужб та інші збоченці.

Ось чому спеціалісти з кібербезпеки змушують вас шифрувати жорсткі диски та не залишати лептопи там, де ви їх не можете бачити. Атака типу «evil maid» (зла покоївка) це сувора реальність, хоча здійснює її скоріше не персонал готелів, а працівники занадто цікавих спецслужб та інші збоченці.

Звісно, що в нормальному режимі використання ноутбуків хвилини вашого розставання нечисленні. Виключення складають ті з нас, хто часто подорожує у справах. Якщо ви згадаєте типову сучасну мандрівку, то зможете легко уявити близько 10 разів коли різні незнайомці можуть отримати неконтрольований доступ до вашого лептопу ще до поселення в готель в місті прибуття.

Історія фізичних атак на сучасні комп’ютери цікава та повна технічних деталей. Якщо дуже спрощувати, є така технологія, Direct Memory Access (DMA). Назва в неї буквальна: вона реалізує доступ зовнішнього пристрою до пам’яті комп’ютера напряму – оминаючи втручання центрального процесора. Це суттєво прискорює роботу системи та, як це буває у разі різкого підвищення продуктивності, створює колосальну ваду безпеки.

Читачі, знайомі з базовими принципами побудови безпечних систем, можуть побачити в цій фічі пряме порушення принципу повної медіації. Щоб у системі була безпека, її треба десь розмістити. Чесно, треба визначити якесь місце (монітор посилань або Reference Monitor), через яке будуть проходити всі стосунки між суб‘єктами (користувачі, процеси, пристрої тощо) та об‘єктами (файли, дані, інші пристрої) системи, та застосувати в ньому політику безпеки – чіткі правила, які змушують систему працювати безпечно.

Це може здаватися непростим завданням, – так і є. А те, що вийде, буде жахливо гальмувати та знижувати продуктивність та зручність. В цьому легко переконатися: в перших рядках пошукової видачі по запиту «Kernel DMA Protection» не лише посилання на опис цієї функції, а й докладні інструкції з її вимкнення. Баланс між безпекою та зручністю – надзвичайно складна інженерна задача, яка здійснюється згідно з іншим принципом безпечної архітектури – принципом психологічної прийнятності (Psychological Acceptability). Але це вже інша історія.

Підсумовуючи, це дуже гарний приклад, як «зрізаючи навпростець», ми можемо забити на важливі та принципові речі та наразити себе на небезпеку. В цьому випадку мова йде про персональні комп‘ютери, сконструйовані до 2019 року, коли з‘явилася технологія Kernel DMA Protection. Докладніше про нову атаку Thunderspy можна прочитати в матеріалі Wired.

Які заходи безпеки можна порекомендувати для захисту лептопів від атак «фізичної близькості»? Поряд із придбанням сучаснішого пристрою з підтримкою Kernel DMA Protection, можу порадити налаштувати систему для повної гібернації під час неактивності та запит автентифікації перед продовженням роботи. Звісно, що із застосуванням повного шифрування диску. Користувачі macOS можуть також поекспериментувати із програмою Do Not Disturb, яка зв’язує ваші макбук та смартфон і надає вам змогу отримувати на телефон повідомлення, коли хтось намагається скористатись вашим ноутбуком. В програми є функція фотографування потенційного нападника, яка не раз покращить настрій вам та вашим близьким.

Бережіться.

Як розпочати бігати. Практичний посібник з вироблення звичок.

Цей пост було вперше опубліковано три роки тому. Сьогодні я переношу його в цей блог із додатковими коментарями. Їх додано (в дужках і курсивом).

Продовжуючи тему пробіг. Після написання першого посту почали надходити питання “не технічного плану”, які стосуються скоріш психології, аніж механіки процесу. Отже, продовжую ділитися спостереженнями, але цього разу – в розгорнутому вигляді. В цьому пості я розповім, як можна використати особливості поведінки людини для того, щоб виробити в ній корисну звичку. В нашому випадку це регулярні пробіжки.

13. Як розпочати бігати.

Коротка відповідь: просто зараз вдягайте кроси й біжіть. Післязавтра повторіть. Повторюйте через день протягом трьох тижнів. Все, вітаю, ви привчили себе бігати регулярно.

Довга, наукова відповідь: треба виробити в собі звичку. Ми багато про це говоримо, так ніби це тривіальні речі, але насправді ніхто крім антропологів, психологів та гіків-аматорів типу мене про звички не знає й сотої частини того, що потрібно для їх правильного застосування. Річ у тому, що регулярний біг – це по суті така сама звичка як переїдання, паління, вживання наркотиків тощо. На відміну від цього переліку вона не шкідлива, а корисна, але її глибинна сутність від цього суттєво не змінюється. Тому для її створення потрібно просто скористатися деякими особливостями (зверніть увагу – не вадами, не вразливостями, а особливостями) людської природи та отримати неминучий профіт.

Я не буду відсилати вас до літератури, яка все це популярно описує, а місцями й науково доводить (хоча з часів Дарвіна та Павлова цього чтива надруковано достатньо), а просто поділюся простими прийомами, які спрацюють для більшості людей. І під більшістю я маю на увазі 99+%. (Насправді Духігга та Кліра таки варто почитати, шукайте відгуки у відповідному розділі цього блогу.)

13.1. Спочатку розчарую: сила волі вам не допоможе. Так звана сила волі, або концентрація на меті, має властивість швидко зникати, тому що харчується психічною енергією, якої у вас не так вже й багато. Іншими словами, свідомі дії вимагають концентрації, а це напружує. Ваша мета, перш за все, перевести нове заняття, а саме регулярний біг, в категорію звички. Яка, як будь-яка звичка, вже не вимагає сили волі.

13.2. Зробіть біг більш доступним. Скористайтеся тим, що Тверські та Канеман називають евристикою доступності. Купіть нову бігову форму, класні кроси, розташуйте це все ближче до ліжка, або навіть вдягніться у це ввечері та спіть в цьому, аби на ранок біг був найпростішим початком дня. Я тут можливо трошки перебільшую, а може й ні, ступінь застосування поради відрегулюйте за смаком.

13.3. Візьміть зобов’язання. Форму оберіть самі: декому достатньо пообіцяти собі самому (але все ж таки дієвіше буде хоча б записати обіцянку на папері). Декому доведеться повідомити про це 2-3 друзям, або людям, думка яких про себе їм дуже важлива. Декому доведеться зробити публічну заяву в Facebook чи іншій соціальній мережі. Були факти, коли люди з такою метою писали листа улюбленому письменнику або рок-музиканту. Що б там не казали, думка соціуму для homo sapiens важлива, скористайтеся цим на свою користь. (Один з найцікавіших випадків застосування цього інструменту пропонує Клір. Укладіть неформальний контракт із колегою або другом. Форма довільна, але конкретна. Живий приклад: я буду щодня робити певні тренування або бігати. Якщо я пропущу один день, то наступного я прийду на роботу в костюмі та краватці. Звісно, це не спрацює для тих, хто й так щодня вдягається як на похорон, форму жартівливого покарання за недотримання контракту відрегулюйте самостійно.)

13.4. Знайдіть однодумців. Або принаймні одного. Звички краще виробляються, коли ви можете їх спостерігати. А людина така істота, що зміни в інших вона помічає швидше, ніж зміни в собі. Бігайте з кимось із друзів – це допоможе. В сучасному світі для цього не обов‘язково синхронізувати час та місце тренувань. Достатньо додати один одного в друзі у RunKeeper чи Garmin Connect та регулярно обговорювати успіхи.

13.5. Якщо у вас є друзі або знайомі, які вже виробили в собі звичку бігати, вам неймовірно пощастило. Просто приєднайтеся до них. Це найпростіший та найдієвіший спосіб. Він неймовірно підсилиться, якщо ви знайдете декілька друзів, які тренуються разом. В психологічному сенсі, приєднання до групи вимагає найскоршої асиміляції, яка є природною особливістю нашого виду. (Це ще один майнд-хак, який допоможе вам якнайшвидше змінити сприйняття себе у цьому світі. Усвідомлення себе як члена групи бігунів наблизить усвідомлення себе як бігуна. А це – найважливіше, адже саме звички, що базуються на сутність людини (я – бігун), а не її дії (я бігаю) чи цілі (я хочу скинути 10 кг) є найстійкішими та найефективнішими.)

13.6. Створіть ритуал. Пообіцяйте собі, що кожного ранку/вечора парного числа місяця, коли не йтиме дощ, ви будете вдягати кроси та бігати 3 км у найближчому парку, після чого будете нагороджувати себе смаколиком в кафешці біля дому. Або щось типу цього, важливо виконати три умови. В ритуалу має бути тригер (парний день, гарна погода), процедура (біг у парку) та винагорода (макарончик з латешечкою). Можливо, це звучить кумедно, але за цим у повний зріст стоїть сучасна поведінкова психологія з сотнями мільйонів доларів на дослідження та публікаціями нобелівського рівня. (Ще один майнд-хак – це зачепити нову звичку за ту, що вже існує. Наприклад, бігати щоразу перед вечірнім кіносеансом. Або перегляд серіалів під час роботи на біговій доріжці. Вам видніше.)

13.7. Вимірюйте. Встановіть собі фітнес-трекер (я користувався Runkeeper допоки не купив біговий годинник Garmin) та фіксуйте всі пробіжки з першого дня. Ви не можете контролювати те, що не вимірюєте, тому навіть не вагайтеся: відкладати на “от почну бігати регулярно – тоді” не канає. Всі пробіжки кудись публікуйте, це додасть потужності до п. 13.3. (Протоколювати пробіжки критично необхідно. Так само, як ті, що худнуть, повинні фотографувати їжу, так і вам слід фіксувати дистанції. Щоправда, ви потім переглядатимете ці записи із гордістю, а не сумом.)

Цей список можна продовжувати й продовжувати, але як я й казав, по ідеї цього вистачить для переважної більшості бігунів. Пошарте цей допис, якщо вважаєте його корисним, або просто надішліть знайомому бігуну-початківцю. Також, очевидно, що наведені вище майнд-хаки можна застосовувати в інших галузях, користуйтесь та насолоджуйтесь.

В чому різниця між тестами на проникнення, аудитами, та іншими послугами з кібербезпеки

Підсумував думки щодо різниці між чотирма основними типами перевірки рівня кіберзахисту. Подробиці та трохи питань й відповідей можете подивитися у записі. Вийшов непоганий матеріал, але я ще узагальню.

Penetration Test або тест на проникнення це дуже перевантажене поняття. На жаль, так зараз називають все, що завгодно: від переформатовування звітів Nessus та Acunetix до висококваліфікованого редтімінгу. Серед професіоналів з тестування на проникнення, пентестом називають набір вправ з динамічної та інтерактивної перевірки впроваджених заходів безпеки. Тобто, пентест це умовна лінійка, якою ви можете виміряти ефективність вашого захисту проти актуальних загроз кібербезпеки.

Application Security або безпека програмного забезпечення це не лише тестування. Щобільше, тестування програмної безпеки – це навіть не 5% всіх вправ у цій дисципліні. Зорієнтуватися в цій сфері знань найлегше за допомогою проєкту OWASP SAMM. Там лаконічно та доступно перелічені всі поширені практики AppSec та надані напрямки, де шукати більше інформації. Звісно, тестування безпеки входить до п‘яти найважливіших практик захисту програмного забезпечення, поряд з навчанням розробників основам аппсеку, моделюванням загроз, формуванням вимог безпеки, та ревю безпеки програмного коду. Проте, коли люди без досвіду в цій галузі говорять про аппсек, вони зазвичай мають на увазі незалежні тести на проникнення додатків.

Secuity Assessment або оцінка захищеності це перевірка захисту певного скоупу на момент у часі. Тобто, це такий собі снепшот рівня безпеки в порівнянні до загальноприйнятих практик в галузі, вимог певного стандарту або внутрішньої документації: політик, процедур, тощо. Але це точно не аудит, бо вимоги до цього процесу менш строгі, а очікування менш формальні, подробиці в наступному параграфі. Оцінка захищеності це найзагальніше поняття, яке застосовується дуже широко. Та найпоширенішим прикладом звісно ж є оцінка захищеності за стандартом PCI DSS, яку проводять QSA – Qualified Security Assessors.

Information Security Audit або аудит інформаційної безпеки це незалежна перевірка ефективності виконання контролів інформаційної безпеки за певний період. Тобто, якщо у вас аудит, то у вас вже має бути набір вимог, способи їх задовольнити, оцінка ризиків, система внутрішніх контролів, журнали їх виконання тощо, а можливо навіть й підрозділ внутрішнього аудиту. Важливо розуміти, що на відміну від оцінки захищеності, аудит перевіряє не як ви захищаєтесь зараз, а як ви захищалися останні пів року чи рік. Наприклад, якщо сьогодні у вас ввімкнений та налаштований Web Application Firewall, то для ассессора цього буде досить. А от аудитору доведеться показати логи ефективної роботи WAF за шість місяців, і якщо їх десь немає, то контроль безпеки буде визнано неефективним. Аудитори використовують складніші та загальніші стандарти, такі як ISO/IEC 27001 та 27002, SOC 2, ITIL тощо.

Якщо коротко, то це все. Докладніше у відео, слайди нижче.

Waking Up – посібник з духовного життя без віри

Короткий діалог із читачкою в Facebook нагадав мені, що я жодного слова не написав про цю чудову книжку. Виправляюся.

Книга Сема Гарріса Waking Up – це посібник з духовного життя без віри. Для багатьох ця фраза позбавлена сенсу, адже в східнохристиянський традиції духовність та церква споріднені, а подекуди тотожні поняття. Але взагалі це не так. Духовність не просто можлива, вона продуктивніша без віри, релігії або будь-якої іншої догматичної системи цінностей, яка базується на одкровеннях, дивах чи інших бездоказових явищах.

Книжка написана для людей, які з різних причин не готові вірити в надприродне, але розуміють, що сучасній людині та цивілізованому суспільству потрібна певна морально-етична система. Саме таку систему, ґрунтуючись на здобутках науки, філософії та медицини, пропонує автор.

Waking Up book cover

Базовим принципом є прагнення до зменшення непотрібного страждання свідомих істот у всесвіті. Звідси випливають певні нюанси. Адже страждати можуть лише істоти, певною мірою наділені свідомістю. А свідомість (не плутати з інтелектом) – саме по собі явище дуже цікаве та не дуже досліджене. Також, деяке страждання важко мінімізувати з об’єктивних причин, і тут закрадається питання, чи не практичніше буде натомість прагнути до збільшення вселенського добробуту або щастя. Саме цим роздумам присвячена велика частина твору.

Основною духовною практикою автор рекомендує медитацію. Вдумлива (mindful) медитація, знов же таки, не має прямого стосунку до буддизму чи інших релігійних течій, які її використовують. Це просто ще один стереотип. Так само як релігія не має ексклюзивного права на мораль, так і східні монахи не мають авторських прав на медитацію. Але ця практика, хоч ми й лише розпочинаємо її наукове дослідження, очевидно наділяє своїх майстрів здатністю до духовного збагачення без необхідності бездоказової віри.

Загалом, Waking Up це книга поза атеїзмом, але звісно, певний вплив поглядів автора відчувається. (Сем Гарріс – один з “чотирьох вершників неоатеїзму”). Однак, атеїзм не є головною темою твору, тому не думаю, що освіченим вірянам варто її ігнорувати. Якщо ваша віра метафорична, а не фундаментальна, то скоріш за все ви винесете з тексту цінні знання.

Логічним продовженням книги є однойменний мобільний додаток та подкаст Гарріса Making Sense (що раніше теж називався Waking Up). Сем один із найрозумніших людей на планеті, до того ж непоганий інтерв’юер, тому зайвим знайомство з цими матеріалами точно не буде. А ось долучатися чи ні до аудиторії одного з найвідоміших популяризаторів ідей Просвітництва – то вже вам вирішувати самостійно.

Не/безпека Zoom і чому я продовжую ним користуватися

Якщо ви ділите програмне забезпечення на безпечне та небезпечне, це означає що ви маєте дуже умовне поняття про безпеку програмного забезпечення. Вибачте, що розчаровую, але це так. Хороша новина в тому, що в певному віці так роблять усі, включно з автором цих рядків. Але в більшості це проходить, а в декого ні.

Все ПЗ вразливе, крапка. Бережа робить понад 50 проектів на рік, десь 40 із них пов’язані з перевіркою безпеки софта. Поодинокі 1-2 проекти завершуються дуже скромними рекомендаціями типу «тут підфарбувати» і «і тут поправить». Решта – мають у звіті досить серйозні зауваження. А деякі вразливості ми повідомляємо одразу, щойно їх знайдено. Тому що відкладати це до початку формування звіту чи навіть до завтра – тупо страшно. І ці вразливості виправляються ще до завершення проекту – з аналогічних міркувань. А ви потім цим софтом користуєтесь.

Безпека софта полягає не в тому, чи є в ньому вразливості. А в тому, як (і з якою швидкістю) з цими вразливостями чинить розробник. І тут справа навіть не в процесах та практиках (хоча за це мене зараз будуть сварити колеги по OWASP), а в рівні культури безпеки. І в цього рівня є очевидні індикатори.

Якщо розробник вразливості сам не шукає, перед іншими заперечує, виправляє повільно та ще й погрожує хакерам – його культура на умовному нулі або нижче. Якщо розробник регулярно робить оцінку захищеності чи хоча б пентест, самостійно тестує безпеку та відкритий до повідомлень про його вразливості, що надходять ззовні – його рівень культури значно вище середнього. Якщо ж розробник навчає безпечній розробці свою команду, має Application Security функцію, приділяє увагу розвитку відповідних навичок персоналу та ще й впроваджує та виконує практики з OWASP SAMM – його рівень десь за хмарами. А рекомендації у звіті про пентест будуть дуже стриманими.

Але все ПЗ вразливе, і колись у його коді (або в коді якоїсь його залежності) знайдуть надстрашну багу. І піонери від безпеки будуть носитися з нею та звинувачувати розробника в тому, що його продукт «небезпечний». А люди з досвідом будуть намагатися пояснити, в чому піонери помиляються, але марно.

А помилка насправді проста: якщо чиясь безпека залежить від вразливостей в окремому програмному забезпеченні, то хтось очевидно зробив свою роботу дуже погано. Взагалі, якщо безпека сконцентрована в якомусь одному місці – хтось десь налажав. Можливо, це відбулося в наслідок того, що я називаю «фаєрвольною ментальністю» – коли спеціаліст скеровується морально застарілою парадигмою «зон та периметру». А можливо, це й не спеціаліст, просто коли він повторює гасла за журналістами кібербезпекових онлайн-таблоїдів, скрадається таке враження.

Мінімальних навичок з моделювання загроз достатньо, щоб навчитися довіряти важливі для вас речі лише перевіреним та надійним інструментам. Плавно переходячи до конкретики – Zoom до цього кола не входить. Не може система, яка дозволяє одночасно спілкуватися вдесятьох та записувати відео в хмару, бути надійним засобом для передачі надконфіденційних даних. Будь-яка мінімально обізнана в безпечній системній архітектурі людина вам це підтвердить. І ніхто з експертів вам ніколи не рекомендував Zoom для передачі конфіденційних даних: я перевірив. «Але ж маркетологи сказали що в них наскрізне шифрування…» Та вгамуйтеся вже з тими маркетологами! Вам Паша Дуров вже казав, що Телеграм безпечний. Що ще кому не ясно?

Залишайтеся вдома та сидіть в безпеці.