Больше, больше гламура...

По тому, какую компания покупает DLP-систему, можно определить, кто в итоге стоит за её покупкой. Понятно, что DLP - это не принтер, и подобное приобретение всегда одобряется на самом высоком уровне. Но, вместе с тем, до того, как пройти это одобрение, процесс приобретения должен быть кем-то инициирован и кем-то духовно вдохновлен. Вот именно об этом "ком-то" сейчас и будет идти речь.

Кажется, какие могут быть варианты? DLP-система нужна безопаснику, и никто, кроме безопасника, особенно в ней не заинтересован. На самом деле, не всегда всё обстоит именно так. Внедрить DLP-систему могут захотеть зарубежные инвесторы или партнеры, руководители, даже кадровики.

Что главное в DLP'шке для безопасника? Правильно, чтобы всё было под колпаком и работало с наименьшими для него трудозатратами. Обычно когда внедрение DLP-системы проталкивает именно отдел информационной безопасности, эта система отечественная, с поддержкой всех каких только можно каналов передачи информации, с мощным аналитическим модулем - короче, "Контур информационной безопасности", да и только:)

Если же на внедрении DLP настаивают зарубежные партнеры, то и система будет внедряться знакомая им, то есть обычно западная и известного вендора с мировым именем. И не важно, что стоить она будет намного дороже, а дружить с русским языком - с трудом.

Когда же DLP-систему внедряют по инициативе линейных руководителей или кадровиков, то она обычно лучше умеет генерировать отчеты и делать снимки экрана, чем собственно предотвращать утечки. И безопасники мучаются с ней даже больше, чем с западным продуктом, который хотя и не понимает русскую речь, но всё-таки при должной работе напильником позволяет выстроить достаточно эффективную защиту.

Может быть, вы сталкивались и с другими примерами инициатив по внедрению DLP, и можете продолжить предложенный мною список?

Р. Идов,

аналитик компании SearchInform

Поисковик как индикатор головотяпства

Похоже, в наше время уже становится попросту модным говорить об утечках данных именно тогда, когда эти данные оказываются доступными для поисковых систем. Странного ничего в этом, в общем-то, нет, потому что кому, как не поисковикам, обнаруживать факт попадания чего-либо закрытого во всеобщий доступ. Проблема, конечно, вовсе не в самих поисковиках, а в некоторых особенностях работы этого инструмента обнаружения утечек.

Конечно, ситуация, когда все утечки обнаруживаются только специалистами, является идеальной и вряд ли может реализоваться на практике - всё-таки, утечка потому и называется утечкой, что информация, которая не должна попасть во всеобщий доступ, туда каким-то образом всё же попадает. Так что дело даже не столько в общедоступности, сколько в сложности прекращения доступа и в "цепной реакции", которую может запустить поисковик.

Дело в том, что, как мы все знаем, у каждой поисковой системы есть кэш - база текстов страниц и вообще всяческой информации, которую поисковый робот успел проиндексировать за свою долгую жизнь. То, что попадает в этот кэш, остается в нем очень долго, бывает, даже навсегда. Секретные данные - не исключение. Даже если их уберут с родительского сайта, в кэше всегда будет услужливо лежать их копия. Да, из кэша её поисковик тоже может удалить, если его сильно попросят, но времени это займет куда больше, чем удаление "родительского" документа. Да и не всегда поисковая система пойдет вам навстречу.

Ну а благодаря тем подсказкам, которые поисковые системы сегодня выдают своим ленивым пользователям, то есть, нам с вами, даже те, кто специально чем-то не очень интересовался, могут пожелать расширить свой кругозор парой-тройкой чужих секретов. Не верите? Побалуйтесь как-нибудь на досуге с подсказками Google, уверяю вас, вы очень быстро втянетесь. Если помножить эффект от подсказок на сообщения об утечке в СМИ, можно увидеть, что поисковики придают утечкам поистине колоссальный масштаб.

Что же в связи с этим всем делать нам с вами? Очевидно, наиболее перспективно налаживать контакты с поисковыми системами - ну и защищать конфиденциальную информацию, само собой разумеется.

Р. Идов,

аналитик компании SearchInform

Бум соцсетей и Google+

Казалось бы, буму социальных сетей уже пора бы подойти к своему логическому концу: уже и соцсетей существует огромное количество - каждый может выбрать на свой вкус, и монетизация у них не такая уж фантастическая, и все ожидают с нетерпением, когда лопнет очередной мыльный пузырь, где они будут играть главную роль. Но Google, видимо, придерживается несколько иного мнения...

Запускать сегодня новую социальную сеть и вправду может себе позволить только Google. Потому что конкурировать с Facebook, Myspace и прочими LinkedIn'ами могут только развившиеся до гигантских масштабов региональные сети (в их список в последнее время активно метит российская "В контакте", но не суть важно). Неужели Google и впрямь вознамерилась создать клон, нет, убийцу Facebook? Думаю, честолюбие руководителей интернет-гиганта велико, но не до такой степени. В чем же дело?

Давайте вспомним об основном бизнесе Google. Что это? Правильно, поисковая реклама. Главное в ней - это таргетинг, прицельная стрельба по тому клиенту, который точно заинтересован в том, чтобы кликнуть по объявлению. Для хорошего таргетинга нужно достаточно много знать о пользователе, для чего Google прибегает к сбору данных о поисковых запросах, активно предлагает свой "тулбар", анализирующий поведение пользователя в браузере... Но это всё сложно. Всё можно обустроить гораздо проще, и пользователь сам выдаст всю информацию о себе на блюдечке.

Именно для этого Google и нужна своя социальная сеть. Где, как не в социальной сети, можно наилучшим образом узнать об интересах человека и его друзей, и предлагать ему в поиске не только то, что нужно ему самому, но и то, что может заинтересовать его друзей, коллег, родственников, знакомых... Всё ради кликов, за которые платят деньги. Ради кликов, благодаря которым и существует поисковый гигант.

Что в этом плохого, можете спросить вы? Да как бы и ничего. Просто приватности в Сети всё меньше и меньше...

Р. Идов,

аналитик компании SearchInform

Иронии псто

 «192.168.1.1, логин: login, пароль: password…и вот я в админке соседского tp-link'а. Что бы сделать?», - типичные мысли юного кулхацкера, по счастливой случайности нарвавшегося на практически «халявный» вай-фай. Порой из таких вырастают серьёзные гуру, порой вырастает чудо в перьях, гораздое кричать «форточки масдай». О последних о хочу сегодня повести беседу. А точнее об их паролях. 

Не так давно широко известный в узких кругах ресурс Antichat.ru был взломан и в сеть «утекли» логины и пароли пользователей. Надо отдать должное администрации форума. После взлома была включена привязка к IP-адресу при авторизации для всех пользователей. Но вот сама база, выложенная в открытый доступ, позволила всем желающим попробовать свои силы в брутфорсе.

Известный эксперт Брайан Кребс получил файл с профилями, личными сообщениями и хэшами паролей от 41 037 аккаунтов форума, взял видеокарту EVGA GTX 295, программу для брутфорса Hashcat под CUDA и за 18 дней подобрал аж 44% паролей. Небольшой статистикой, кстати, тоже поделился:

Сам эксперт с некоторой долей иронии пишет, что российские «хакеры» не очень-то сильны в выборе паролей. Около 4500 паролей использовались пятью или большим количеством пользователей.

Но можете ли вы сами похвастаться сложным паролем к своим аккаунтам? Вы никогда не использовали в пароле дату своего рождения? Или русское слово, набранное в другой раскладке? Например rjkj,jr (который от бабушки ушёл) – с виду вполне надёжный пароль. Но только с виду. В нём один регстр, нет цифр, нет спецсимволов. С точки зрения брутфорса такой пароль весьма лего взломать.

Недаром любой грамотный безопасник вам скажет «хороший пароль – тот, который вы не в состоянии запомнить». Да и в интернете хватает советов и методик по придумыванию более-менее устойчивых к взлому паролей.

Как же быть? Лет 5 назад мой хороший друг-разработчик из северной столице просвещал меня в таких вещах с помощью программы, которую разрабатывал. Этот менеджер паролей  на данный момент был загружен более 28 млн. раз. Принцип работы, грубо говоря, сводился к тому, что пользователь хранит все свои сложные пароли внутри этого менеджера. Вход в программу также осуществляется через ввод пароля. Таким образом, человеку достаточно выучить лишь один действительно сложный пароль, а все остальные в зашифрованном виде за него будет хранить программа.

Такой способ кажется мне весьма удобным. Но что думаете вы? Действительно ли нужно использовать сложные пароли везде и как их хранить? Может вы знаете лёгкий способ придумать себе сложный пароль? Насколько безопасно использовать один и тот же пароль на различных ресурсах?

Алексей Дрозд,

аналитик компании SearchInform

Будущее наступает

 Словосочетание «квантовая криптография» завораживает. Складывается ощущение, что будущее уже наступило. Идея метода, безусловно, шикарна. Квантовую криптографию в 2007 году, например, использовали в Швейцарии для передачи результатов выборов. А некоторые источники утверждают, что подобные технологии используются в США ещё с 2003 года. Крупные онлайн казино также любят «хвастануть» современными технологиями, используя системы квантовой генерации ключа. Надёжность системы изначально заложена в самом принципе.

            Передаваемое при помощи метода квантовой криптографии сообщение кодируется в последовательности фотонов разной поляризации, движущихся по каналу передачи данных. Некий злоумышленник, желая прочитать сообщение, будет вынужден перехватывать фотоны, чтобы выполнить измерение их поляризационного момента. Однако, как гласит принцип неопределенности квантовых систем Гейзенберга, невозможно измерить какой-либо параметр фотона, не исказив неизбежно другой параметр. Это обстоятельство гарантировало надежность метода квантовой криптографии, потому как получатель, в противном случае, получит измененное сообщение и факт вмешательства будет обнаружен.

            И вот буквально месяц назад в журнале Physics World была опубликована статья, которая поставила всю технологию под угрозу. Учёные нашли в квантовой криптографии такую уязвимость, не найдя решения к которой, разрабатывать технологию дальше бессмысленно.

            Для объяснения сути уязвимости надо пояснить следующее — при отправке закодированного сообщения его автор выбирает ту или иную поляризацию фотонов, причем выбор поляризационного момента случаен. Получатель сообщения использует некое устройство — «детектор» — чтобы считать моменты поляризации фотонов, причем из-за случайности их выбора автором сообщения результаты считывания будут то верными, то ошибочными.

            После того, как все акты считывания поляризации выполнены, получатель по открытому каналу отправляет автору сообщения информацию о параметрах считывания, не сообщая самих результатов измерения. Автор тоже по открытому каналу отвечает получателю, в каких случаях он ошибся. Отбросив результаты неправильных измерений, получатель получит данные о последовательности фотонов, закодированных автором — эта переданная секретная информация носит название первичного ключа. Чтобы обнаружить факт перехвата сообщений, и автор и получатель по открытому каналу сравнивают результаты считывания поляризации фотонов — в случае их перехвата эти параметры у автора и получателя совпадать не будут.

            Во всей этой сложной системе слабым местом является устройство для считывания поляризационных моментов («детектор»), при помощи которого с фотонами работает получатель. Оказывается, что, если «насытить» его фотонами до некоего значения, то детектор утратит способность работать с отдельными квантами света и станет работать как классический прибор. Другими словами, злоумышленник может поступить следующим образом: перехватив фотон сообщения, он посылает «впереди» него лазерный луч, поляризация фотонов в котором совпадает с поляризацией перехваченного. В этом случае «детектор» получателя не сможет определить факт изменения поляризации «легального» фотона и в итоге при сверке факт несанкционированного вмешательства будет невозможно обнаружить.

Справедливости ради надо заметить, что авторы, обнаружив проблему, сами же начали работать над её решением, уже предложив одно из возможных решений.

            Думается мне, повторить такой «взлом» будет, мягко говоря, непросто. Тем не менее, остаётся несколько вопросов:

·         Вы бы доверяли системе, которую можно взломать, но взлом сложен и дорог?

·         Где лежит «золотая середина» между секретностью передаваемого послания и вероятностью перехвата сообщения?

Алексей Дрозд,

аналитик компании SearchInform

«Безопасности нет...»

Тревожный «звоночек» прозвучал намедни за океаном. Возможно, не все его услышали. Что ж, побуду ретранслятором.

В Вашингтоне компания Social Intelligence Corporation получила возможность вести весьма сомнительную деятельность. Главное направление интеллектуальных усилий организации сводится к «копанию в чужом грязном белье», как выразились по этому поводу американские журналисты. Другими словами, компания составляет этакое «досье» на «заказанного» человека. Услуга пользуется огромной популярностью среди компаний, желающих более тщательно проверить соискателя прежде, чем принимать его на работу.

Что любопытно, Social Intelligence Corporation не нарушает никаких законов, используя лишь ту информацию, которую человек добровольно выкладывает в Сеть. Да-да, неосторожное высказывание в Twitter, фото с корпоратива в Picasa, матерные частушки на Facebook… Всё может сработать против вас.

Так, причиной отказа в найме одному из соискателей послужило его фото с пистолетом в руке, выложенное на Facebook. Другой кандидат получил «от ворот поворот» за то, что вводил подозрительные запросы в поисковик (искал один из видов синтетического наркотика). А может, он кандидатскую по химии готовил?

По утверждениям самой компании, «негатив» обнаруживается в 20% случаях.

Как же быть?

Уже сейчас в Украине и России существуют организации, готовые собрать всю информацию по интересующему вас «объекту». Своего рода частные кибер-детективы. В противовес им тут же начали появляться фирмы, готовые, разумеется за деньги, очистить всевозможные социальные сети от упоминания вашего имени. Данная категория организаций хоть и выглядит менее солидно, но вполне конкурентоспособна, и вот почему.

Вы когда-нибудь задумывались о том, чтобы полностью удалиться из, скажем, «В Контакте»? Будь вы житель Украины, Беларуси или России, полное удаление вашей учётной записи возможно лишь в одном случае. Пользовательское соглашение гласит: «в соответствии с п.4.14 пользовательского соглашения … удаление персональной страницы Пользователя осуществляется Администрацией Сайта в срок, предусмотренный законодательством Российской Федерации, по личному письменному заявлению Пользователя, направленному на почтовый адрес ООО «В Контакте»…».

Про «Почту России» уже сложен не один анекдот. Теперь представьте, каковы ваши шансы быть удалённым, когда письму с вашим заявлением нужно ещё одну-две границы преодолеть… И это только один ресурс. А ведь есть ещё Twitter, Facebook, «Одноклассники», «Коннект», «Рыбалка», «Лепра», LJ, Blogspot… Список огромен, и каждая сеть старается максимально усложнить уход пользователя из-под её тёплого крылышка.

PR или забота?

Такое отношение компаний к безопасности данных своих пользователей нашло отклик в исследовании American Customer Satisfaction Index («Американский Индекс Удовлетворенности Потребителей»). Организация периодически публикует список из 19 самых «ненавидимых» компаний США. В данный список наряду с крупными банками, авиа и нефтяными компаниями попали и две наиболее известные социальные сети – Facebook и MySpace.

И вот именно в этом месте на сцену вышла «корпорация добра»: Google объявила о запуске собственной социальной сети «Google +». Однако гораздо интереснее вторая новинка от корпорации – новый сервис Google Takeout. Сервис позволяет пользователям легко выгружать данные из уже работающих служб Google. Причём его можно использовать как для обычного «бэкапа» данных, так и для того, чтобы полностью удалить всю информацию о себе из сервисов Google (навсегда).

Глядя на всё это, начинаешь задумываться:

• Насколько закрыты от посторонних глаз наши личные данные в социальных сетях?
• Существуют ли перспективы у «онлайновых частных детективов»?
• Даже если компания обещает удалить ваши данные навсегда, как это проверить?
• Станет ли «модной» подобная проверка кандидата на территории СНГ?

Николай Луцкевич,
эксперт по информационной безопасности компании SearchInform
Зеркало

Как говорится, +1

Просто не могу пройти мимо небольшого выступления легенды всей русской ИБ-индустрии Евгения Касперского, посвященного необходимости уведомлять общественность об утечках персональных данных в той мере, в которой это не повредит расследованию утечки. В своём общении с прессой я и сам неоднократно касался этой темы, но вполне поятно, что Вашему покорному слуге пока далеко до авторитета Касперского.

"Я думаю, что банк должен сообщить о факте, но не раскрывать детали, которые могут повредить следствию", - сказал РИА Новости Касперский. Большую, чем сейчас степень ответственности за персональные данные своих клиентов должны нести и социальные сети, даже если информация в них размещена самими клиентами, считает глава "Лаборатории Касперского".

Полностью прочитать новость о выступлении Касперского можно здесь. Собственно говоря, думаю, что те, для кого ИБ - не просто набор из двух букв, ничего принципиально нового из этой новости не узнают. Но дело не в этом - а в том, что о необходимости уведомлять об утечках персональных данных наконец-то заговорили вслух, и это очень отрадно. Включение в этот процесс такой авторитетной фигуры, как Касперский, даёт основания надеяться на то, что в обозримом будущем возможны законодательные изменения, касающиеся уведомления потерпевших об утечках ПД.

Может, конечно, я и излишне оптимистичен, но мне кажется, что всё-таки какая-то позитивная тенденция в этом намечается, и вполне может быть, что под шумок вокруг персональных данных вполне могут произойти и такие изменения в законодательстве. А пока только остаётся присоединиться к Касперскому и, как водится, поставить +1.

Роман Идов,
аналитик компании SearchInform