Ho lavorato per un certo numero di organizzazioni in passato che utilizzano pratiche giustificate da ciò che descriverei come " Sicurezza attraverso l'oscurità " che include quanto segue:
- L'hash a due vie deboli / vulnerabili delle password
- Utilizzo di varie API / Utilità note a tutti per contenere vulnerabilità gravi
- Varie forme di dati / offuscamento del codice
- Sloppy / Nessuna gestione utente
- L'uso continuato di password incredibilmente insicure
- (L'elenco potrebbe continuare ...)
Spesso le correzioni a questi problemi non comportano un grande investimento / cambiamento e trovo facile ottenere le risorse allineate per risolverle. Il mio problema è nel giustificare qualsiasi potenziale correzione, quando queste pratiche sono contestate in genere le preoccupazioni vengono respinte con commenti come:
- "solo il gruppo xyz ha accesso a quella rete / prodotto / macchina / login / qualunque"
- "non è una grande preoccupazione" - La versione non dichiarata di:
- "nessuno potrebbe indovinare / sapere testarlo"
Anche negli ambienti in cui la sicurezza è presa molto seriamente e gli audit sono una preoccupazione costante, ho sempre trovato difficile convincere gli altri (soprattutto i tipi non tecnici / manageriali) dell'importanza di progettare e mantenere sistemi che sono < a href="https://en.wikipedia.org/wiki/Secure_by_design"> sicuro per progettazione .
Ho scoperto che quando usi un esempio, le persone sono d'accordo con te in qualità di preside, ma la lezione non affonda mai davvero. Quando si confronta con una spiegazione esauriente del motivo per cui un particolare sistema / sottosistema è vulnerabile, la gestione ricade spesso su "non è una priorità in questo momento" (non posso difenderlo e non mi interessa) argomento, valido nel suo pieno, ma più volte che non piuttosto che identificare e registrare il problema, riflettere sulle lezioni apprese e stabilire un programma per soddisfare un determinato livello di conformità, la gestione spesso ignora qualsiasi prova contraria alla piena conformità, garantisce a tutte le parti correlate che il sistema precedentemente menzionato è "sicuro" e spedisce il prodotto.
Sono dell'opinione che sicurezza attraverso l'oscurità non sia efficace parte di un sistema sicuro e le risorse utilizzate da tali schemi sono utilizzate in modo migliore per altre parti dell'applicazione.
Ho scoperto nel corso della mia carriera che la parte più difficile di implementare un sistema sicuro non è convincere gli altri del valore di un sistema sicuro o di raccogliere le risorse necessarie, ma nel convincere gli altri di questo principio. Gli sforzi sono stati spesi su migliorare la sicurezza delle organizzazioni spesso si trasforma in crociate di un uomo piuttosto che cambiamenti sistematici ea lungo termine nella cultura e nella pratica.
A rischio di essere generici o generalmente basati sulle opinioni, quali sono le migliori strategie per insegnare agli altri il valore e il ragionamento che stanno dietro evitando "Sicurezza attraverso l'oscurità"?