¿Es realmente necesaria esta desconfianza?

Paranoia, escepticismo profesional, gestión de riesgos ... a veces es difícil separar estos conceptos. Las probabilidades de que alguien esté leyendo mis paquetes en este momento son relativamente bajas. Las probabilidades de que alguien haya olfateado mi tráfico de Internet en algún momento del año pasado ... Garantizo que sucedió, he estado en DEFCON.

La llegada de las redes inalámbricas ha hecho que los ataques MITM sean más comunes. Las redes cableadas no son seguras y la simulación de MAC es simple. Si bien no es muy probable en tu hogar, es cuando estás en el mundo. Cafeterías, aviones ("Gracias por pagar por 24 horas de acceso, tomé prestado su MAC para poder usarlo y oh-esa es su cuenta de Facebook?"), Habitaciones de hotel ...

Quizás se quede en casa ... pero puede encontrar que su enrutador tiene un desbordamiento de búfer y ahora está ejecutando malware que busca contraseñas. Hay un caso judicial aquí en la ciudad sobre una pequeña empresa de construcción que perdió cientos de miles de dólares en transferencias bancarias iniciadas como resultado del rastreo de paquetes.

Incluso si el uso de telnet para el inicio de sesión de root es seguro el 99% del tiempo, ese 1% puede tener un costo muy alto, y eso es contra lo que nos estamos protegiendo. Ha habido algunos hacks fantásticos y trabajo MITM a escalas internacionales (DigiNotar hacks, GMail / China, YouTube enrutado a través de Pakistán ), pero también ha habido muchos locales a pequeña escala.

El riesgo se compara con sus necesidades: algunas personas realmente tienen que preocuparse por el diseño interno de los chips de la CPU. Las personas son malas para medir el riesgo poco común. Pregunte a alguien que no maneje qué tan seguras son las motocicletas, luego pregúntele a un ciclista. Pregúnteles a los dos qué porcentaje de accidentes de motocicleta provocan lesiones graves. Apuesto a que obtendrás algunos números realmente diferentes. Considere también el costo relativo de las características de seguridad en un automóvil en comparación con el costo de su función principal de moverlo, tanto en costo monetario como en peso adicional. Los cortafuegos (el literal "impide que el fuego se mueva"), jaulas rodantes, cinturones de seguridad, bolsas de aire que cuestan $ 1,000 cuando se despliegan en un guardabarros ... muy pocos automóviles están en accidentes de vuelco o se incendian; realmente necesitamos ser eso paranoico?

He visto piratear Google, ataques MITM a través de módems de cable, programas maliciosos no autorizados que realizan capturas de paquetes, cuentas bancarias eliminadas a través de las contraseñas detectadas e intentos de colocar malware en el kernel de Linux (el acceso de raíz automático hubiera sido increíble si hubiera se sentó durante un año). He visto que la generación de números aleatorios puede ser mala (PHP, Netscape, paquete Debian OpenSSL), por lo que la autenticación o descifrado criptográfico resultante se puede realizar de forma remota en poco tiempo. He visto a periódicos y gobiernos comprometer teléfonos celulares de funcionarios en puestos importantes.

A pequeña escala, probablemente estés bien. A gran escala en toda la compañía, enfrentará estos riesgos y verá cómo sus compañeros pierden ante ellos. La paranoia y la industria de la seguridad se crean porque las pérdidas financieras reales ocurren cuando las personas cometen errores que afectan a los grandes sistemas.

Esta es una pregunta tan sorprendente que me resulta difícil responderla.

Esta desconfianza no proviene de la teoría, sino de experiencia . Cuando decimos que "FTP es demasiado peligroso de usar" es porque lo hemos encontrado, en la práctica, demasiado peligroso de usar.

Parece que piensas que un "registrador de paquetes" es difícil de obtener o difícil de usar. Tampoco es cierto. Se tarda unos segundos en descargar e instalar y comenzar a recopilar contraseñas o sesiones en segundos.

El estado de seguridad es que puedo entrar al Starbucks local y entrar en cuentas en segundos, sin usar nada más complejo que algo como Firesheep.

Respuesta corta: sí, las computadoras pueden equivocarse mucho antes de que cualquier humano pueda darse cuenta de que hay un problema, por lo que la "confianza" simplemente no funciona en los sistemas informáticos.

La desconfianza por defecto es la única postura viable para un sistema de alto rendimiento. Para explicar por qué, compararé las interacciones entre las computadoras y las interacciones entre los humanos.

En las interacciones humanas, la confianza por defecto vale la pena para cosas pequeñas. Si un extraño se te acerca y te pide direcciones, probablemente te detendrás y pasarás un tiempo ayudándoles. Si te preguntan el apellido de soltera de tu madre, probablemente pensarías un poco. Si te piden una lista de todas las personas que has conocido, es probable que no contestes. Si mil extraños aparecieran en serie, todos disfrazados de sospechosos preguntaron acerca de una persona a la que dejarías de contestar rápidamente. Puedes hacer esto porque te sientes más sospechoso / aburrido con el tiempo y porque puedes usar el juicio humano para reconocer patrones.

Las computadoras son valiosas precisamente porque realizan tareas mundanas y repetitivas rápidamente. Debido a que pueden trabajar tan rápido, un atacante que puede hacer que una computadora haga muchas cosas pequeñas en serie, puede hacer mucho más daño que si estuvieran interactuando con un humano que simplemente se aburriría y / o molestaría.

Una solución para esto es limitar las respuestas o usar cuotas para evitar abusos repetitivos. Este enfoque está en conflicto directo con las computadoras porque son "valiosas porque realizan tareas rutinarias y repetitivas rápidamente", por lo que no se pueden usar en general en sistemas de alto rendimiento.

La única postura que funciona para sistemas de alto rendimiento es confiar en aquellos que tienen autoridad para solicitar el trabajo deseado, y no en aquellos que no lo hacen. Confiar basándose en la autorización solo funciona cuando los componentes no toman sus propias decisiones de confianza: un ejecutivo que tiene interés en no revelar los secretos de la empresa con una secretaria crédula sigue siendo un riesgo.

Los buenos arquitectos de software desconfían de sus dependencias. Los programas de computadora se desarrollan a partir de una mezcla de bibliotecas, protocolos y sistemas de hardware. La mayoría de los desarrolladores improvisan los sistemas de esta manera en parte porque no entienden todo el problema que intentan resolver las piezas; los ingenieros necesitan especializarse para construir sistemas complejos. Un atacante a menudo solo necesita entender las fallas en un sistema, porque, debido a violaciones de POLA , un atacante a menudo puede comprometerse todo el sistema comprometiendo solo unas pocas partes defectuosas. La falta generalizada de protección contra incendios eficaz lleva a los buenos arquitectos de software a construir solo componentes con un historial probado.

Algunos sistemas, como qmail , efectivamente firewall componentes para aproximar mejor POLA. Si diseña su sistema de esta manera, puede ser más liberal en lo que depende.

Puedo decirte por qué actúo de esta manera desde la experiencia personal. Esto es lo que he experimentado en mi vida:

1. Un amigo mío no confiaba en su novio e instaló un fisgón en su red. Era un producto comercial que acababa de instalar en su computadora portátil con Windows. Cuando llegó a su casa con su computadora portátil, ella pudo obtener todos sus inicios de sesión de texto sin formato. Cuando no pudo obtener sus contraseñas encriptadas, compró un keylogger comercial y lo instaló en su máquina, con una buena característica que subía sus contraseñas a una página web. Ella no tenía ninguna habilidad técnica (Literalmente, casi a cero) y mantuvo esas contraseñas durante años para espiarlo.
2. Estaba en un curso de seguridad CS en la universidad, y un subgrupo de personas en ese curso solía competir para ver quién podía rastrear o descifrar más contraseñas en el campus y la ciudad en una semana determinada. A veces obtendrían cientos. No sé si alguna vez hicieron algo con ellos o no.
3. Hay muchas herramientas bien publicitadas, como el cortafuego, que los no piratas informáticos usan solo por diversión. ¿Cuáles son las posibilidades de que alguien esté usando uno de estos cuando estás haciendo algo privado?
4. Hay compañías en todo el mundo, incluidos los EE. UU., que ganan dinero al controlar su tráfico: consulte enlace y google paxfire (búsqueda de redireccionamiento del ISP para obtener ganancias) - enlace

No veo los riesgos como triviales y raros, los veo como omnipresentes.

Su pregunta es similar a la pregunta de por qué debo cerrar las puertas con llave, pero con el giro de que todas las puertas cibernéticas se mueven constantemente por posibles intrusos.

Un sistema desprotegido colocado en Internet se someterá a ataques de escaneo de puertos automatizados y simples a los pocos minutos de ser iniciado. (http://www.securityweek.com/informal-internet-threat-evaluation-internet-really-bad). Esos ataques se lanzan desde sistemas que también estaban desprotegidos y ahora funcionan para el atacante además del propietario legítimo. Si no le importa que el malware intente atacar aún más sistemas, la respuesta es simple. Si desea evitarlo, entonces necesita revisar los problemas en su lista para encontrar un contador efectivo contra esa amenaza.

Al igual que con el bloqueo de la puerta delantera, las decisiones aquí están relacionadas con el entorno de amenaza. Es probable que no pueda justificar una puerta de acero, pero eso sería apropiado para el banco, la escuela y la estación de policía. Entonces la respuesta es "depende". Ninguna de las vulnerabilidades potenciales en su lista son ficticias. Como usted sugiere, es posible que no presenten una amenaza probable para usted. Además, con cualquier análisis de riesgo, el costo de la pérdida también es un factor crítico. En su caso, eso también puede ser una consideración insignificante. Para muchos de los profesionales de la seguridad en este foro, los elementos que ayudamos a asegurar son probablemente objetivos más valiosos y más grandes que los sistemas que está considerando personalmente.

Entonces, si observa las amenazas y las mitigaciones que enumera como conocimientos y herramientas, la comprensión y el uso de las mismas es importante para muchos, especialmente para aquellos en este foro, pero quizás no para usted. El contexto es el factor que falta en su pregunta, por lo tanto, "depende".

Los intentos criminales de "IRL" están limitados por los recursos disponibles (cuántos ladrones / ladrones / atracadores / estafadores pueden trabajar para usted al mismo tiempo; qué tan rápido puede identificar y enfocarse en las posibles víctimas) y por temor a la detectabilidad / rastreabilidad (¿cómo puede evitar ser descubierto en el intento y ser reconocido; cómo evita ser informado)?

Los delincuentes electrónicos pueden usar botnets para atacar a millones de posibles víctimas a la vez, con una probabilidad mínima de detección y aún menos posibilidades de seguimiento o de ser rastreados y capturados, y sin la necesidad de involucrar a una gran cantidad de co-conspiradores (y amp ; informantes potenciales) en la ejecución del plan.

Las evaluaciones de riesgo basadas en la intuición sobre escenarios físicos no suelen extrapolar bien los delitos informáticos.

Incluso el consejo de al menos evitar ser la fruta de bajo rendimiento ("No necesito correr más rápido que el oso, solo más rápido que tú") no se aplica completamente: no se dejarán recursos de la red de bots. inactivo una vez que se encuentra la víctima (contraseña rota o lo que sea). Para abusar de la analogía del oso, en realidad hay 100 osos detrás de nosotros; Necesito superar tanto a ustedes como a y los 99 osos que continuarán persiguiéndome mientras que el otro se atraganta con su pierna.

¿La miseria humana y el montón de dinero suenan como buenas razones? Hace cien años, cualquier persona viva interactuó con tal vez unos pocos miles de personas en el transcurso de su vida, la mayoría de ellos durante un tiempo muy corto. Ahora considere que su computadora (dependiendo de su configuración y la de su ISP) es accesible por billones de otras máquinas todo el tiempo . Si cualquiera de esos se usa para apuntar a su máquina, las posibles consecuencias podrían ser una pérdida de ancho de banda (o una gran cantidad de él), al ver todo lo personal que escriba, enviar correo no deseado y virus, robo de identidad y limpiar su Cuenta bancaria, para colocar evidencia falsa y alertar a las autoridades.

Estar conectado a Internet sin la seguridad adecuada es como compartir pisos con la persona más malvada e inteligente del mundo, tiene un rencor contra usted y el resto del mundo, y no tiene absolutamente ningún escrúpulo.

  

¿Está justificado el nivel de paranoia? ¿Y por qué la gente actuaría de esta manera?

Con frecuencia, es causado por una reacción excesiva a un evento anterior. Los humanos son terribles con las estadísticas (razón por la cual los casinos y las compañías de seguros se vuelven fabulosamente ricos), por lo que tendemos a enfatizar demasiado los eventos anecdóticos pasados.

En las empresas, esto se integra en las políticas y los estándares.

Las regulaciones exigen cierta desconfianza, porque en el pasado sucedieron cosas malas. También se agregan al tipo de paranoia que conforma la seguridad de TI

Actualmente trabajo en uno de los laboratorios nacionales. Este laboratorio nacional involucra paneles solares y molinos de viento, pero como todos los laboratorios nacionales es parte del Departamento de Energía. Algunos de los otros laboratorios fabrican armas nucleares, por lo que hay una gran paranoia institucionalizada, porque espionaje y cosas malas han ocurrido en el Pasado y pasará en el futuro.

Absolutamente, esto sucede mucho, porque hay mucho dinero por hacer, y eso impulsa el crimen. Para darle algunos detalles sobre sus puntos:

  

¿Exactamente con qué frecuencia ocurre un MITM? ... seamos serios, esto   no sucede con frecuencia (por ejemplo, el 90% de la población)

Sucede mucho, pero para ser justos, a menudo es más fácil atacar con un troyano (Man in the Browser o keylogger)

  

Desconfianza del Servicio X o Programa Y porque no has verificado su   fuente

El código no verificado a menudo tiene extras interesantes. Incluso a veces se encuentra comprometido el código de buena reputación, a veces aplicaciones, a veces sistemas operativos completos. La mayoría de las personas no pueden verificar esto, por lo que debe decidir dónde depositar su confianza. Por lo general, se confía más en aquellas fuentes que tienen una gobernanza sólida o en aquellas con una amplia población de verificadores.

  

Desconfianza de la red pública, compartida o de amigos debido al riesgo de   espionaje: tengo que discutir con esto porque la mayoría de las personas no tienen   registrador de paquetes u otras formas de intercepción de tráfico. Estoy seguro del 99% de   Las redes que hay por ahí simplemente no se preocupan por este tipo de cosas;   están más preocupados por el enrutamiento y el cortafuegos.

Debería desconfiar de todas las redes públicas, incluso según su definición, a las 'buenas' no les importan estas cosas, por lo que no detectarán 'malos'. En algunos países, sin embargo, las redes compartidas se ven comprometidas la mayoría de las veces, a veces con la colusión del propietario. De cualquier manera, los ataques ocurrirán primero contra aquellos que no están protegidos, porque es muy fácil hacerlo.

  

Desconfíe del protocolo X porque envía la contraseña en claro ... Esto   vuelve al principio, rara vez (si es que existe) hay un rastreador de paquetes o   otras formas de espionaje en su red, la red de su ISP, su   la red isp de isp, etc.

Esto seriamente en desacuerdo. Casi todas las redes con las que trabajo tienen rastreadores, desde banca hasta ISP y gobierno. Se supone que la mayoría está allí (algunos no) y registran el tráfico de la red. ¿Desea que su nombre de usuario y contraseña para la banca por Internet se registren en algún lugar y luego haga que estos registros aparezcan en Wikileaks (ha sucedido mucho) o en un disco duro con una punta de basura (también sucede) o que se los deje en un taxi (nuevamente) - ¿Ocurre)?

  

Desconfíe de nada porque "¿Cómo sabe que no está comprometido?" -   ¿Cómo sabes que no hay una bomba nuclear debajo de tu casa?   ... Esencialmente digo que si bien no sabes, no sabes una   mucho ya e incluso delgado, el riesgo de que suceda es escaso.

(tl; dr) Usted tiene razón de una manera: se trata de evaluar y gestionar los riesgos. Sin embargo, en lo que debe pensar es que esta industria (Seguridad de la información) es probablemente mucho mejor para evaluar el riesgo en este caso, y el riesgo no es delgado de ninguna manera. En realidad, es bastante alto, ¡tanto que los bancos globales presupuestan miles de millones en fraude a través de este tipo de mecanismos!

Creo que uno de los mayores problemas es la falta de separación entre los datos y las instrucciones. En relación con la publicación de Mike Samuel, los humanos que hablan con extraños son bastante seguros. Solo en casos muy raros, a las personas se les lava el cerebro a través de la conversación, es muy difícil alterar nuestras instrucciones Las computadoras están hechas para ser reprogramadas, y son tan flexibles que es muy difícil verificar la integridad de sus propios programas. Esto conduce a un nivel muy alto de protección / paranoia hacia cosas que podrían llevar a reprogramar el sistema operativo con malware.

Sí, es necesario. Para dar solo un ejemplo reciente, eche un vistazo al reciente desorden de Diginotar. Existe evidencia de que cientos de miles de usuarios iraníes fueron atacados con éxito por un ataque MITM (presumiblemente por el gobierno iraní), y no tenían idea.

Creo que el problema se expresa mejor con un retiro de $ 500 que apareció en el saldo de mi banco hace algunos meses. Vi mi saldo en línea e inmediatamente llamé a mi banco. Estaba pensando en los escenarios de lo que podría haber ocurrido mientras esperaba en espera. Saqué mi billetera y comparé el contenido con mi copia en papel.

Sí, dos veces al año saco todas las tarjetas de mi billetera, las coloco en una máquina copiadora y hago una copia.

La retirada se realizó el sábado y no apareció hasta el lunes por la noche. Le di al representante del banco las respuestas a sus preguntas y me dijeron que mi reclamo sería investigado, hasta entonces no tenía $ 500. Pregunté por qué y me dijeron "No damos esa información".

Este es el primer problema. Los buenos no trabajan juntos. Los chicos malos lo hacen. De hecho, anuncian (vea DATOS QUE VIENDEN: LO QUE EL MUNDO SUBTERRÁNEO DE “CARDING” REVELA ) Los buenos trabajan bajo NDA ( Acuerdos de no divulgación, además de restricciones de clientes y políticas corporativas.

Le pregunté por su gerente y mis $ 500 se acreditaron esa noche. Saqué mis recibos y busqué todos los lugares donde había usado la tarjeta ofensiva en las últimas dos semanas. Yo había usado la tarjeta en un solo lugar: una estación de servicio. Regresé a la estación de servicio y revisé las bombas y los lectores de tarjetas. Todo se veía bien. Le pregunté al asistente de la estación de servicio que tenía la llave si las bombas necesitaban reparación. El lo tenia Le pregunté quién más tenía acceso. Se encogió de hombros.

Este es el segundo problema. Soluciones técnicas que dan la sensación de protección, pero el sistema no funciona como se planificó. Resultó que una docena de otros clientes de esa estación de servicio tuvieron problemas con sus declaraciones.

Es desconfianza solo si el sistema, el control o la persona son potencialmente dignos de confianza. Si no son dignos de confianza, entonces es apropiado el escepticismo.

Los sistemas que utilizamos son débiles. No fueron diseñados teniendo en cuenta la seguridad. La seguridad solo se agrega a medida que aumenta el riesgo.

Los sombreros negros son sofisticados y expertos. La tecnología moderna les da la capacidad de atacar objetivos a través de los océanos.

Lo que practico no es desconfianza; es cautela Una advertencia justificada por la comprensión de las amenazas y la conciencia de la vulnerabilidad de los sistemas.