Rozumná politka hesel nikoho nezabije. A co jednoho nezabije, to ho posílí.
Poslední cca dva týdny se mě lidé v mém okolí často ptají na bezpečnost svých hesel v souvislosti s momentálně populární OpenSSL chybou Heartbleed Bug. Jestli si je teda mají změnit, nebo co. Valné většině z nich musím odpovědět stejně: pokud si teď změníte svá hesla a dál se budete chovat tak jak jste zvyklí, bude to mít na bezpečnost vašich dat asi stejný vliv, jako když si teda dneska večer výjimečně vezmete kondom, protože jste se nějak domákli, že váš poslední objev má chlamydie.
Vaše data tečou po síti různými cestami a jsou dnes a denně ohrožována celou řadou chyb - díry v algoritmech, špatné návrhy, chyby v implementaci, zprasené dodatečné fíčury, cokoli si vzpomenete. O některých dodavatelé řešení a bezpečnostní experti vědí a snaží se co nejrychleji vydat opravy (to jsou mj. takové ty otravné aktualizace, co vám chtějí v pracovní době restartovat počítač, znáte to), některé dokonce dostanou cool název, obrázek krvácejícího srdce a mluví se o nich i v nespecializovaných médiích.
A o dalších se neví nic.
Jakýkoli systém zabezpečení dat, který běžně používáte (a ani o tom často nevíte), může dneska obsahovat chybu, o které zatím nikdo neví. Nebo o ní ví malá skupinka lidí, která nemá zájem se o tuhle informaci podělit. Nebo to není chyba, ale zavlečený backdoor. Nebo únik dat. Ve chvíli, kdy čtete tyto řádky, mohl někdo třeba z Facebooku vydolovat miliony hesel. A firma se to dozví za týden. Nebo za měsíc.
To není žádné strašení ajťáka, co hodně čte internety a málo chodí mezi lidi. To není spiknutí iluminátů, chemtraily a Obamova matka vlastnoručně podminující WTC. To je prosté konstatování, že nemáte žádnou možnost zjistit, jaká bezpečnostní hrozba se vás momentálně týká. A že informace o už odhalených chybách mají pro vás uživatele stejnou hodnotu, jako včerejší výsledky Sportky pro dnešní los.
Je chyba myslet si, že když máte heslo složité jako křížovka ve Vlastě, je bezpečné a netřeba ho měnit. Jak vám řekne každý expert na bezpečnost, sebelepší heslo je bezpečné přesně do prvního použití. Jakmile ho jednou nacvakáte do klávesnice a ztratíte nad ním kontrolu, může se po cestě k cíli provalit i tím nejpitomějším způsobem.
V IT to vědí a v prostředí, kde za bezpečnost vašich dat nesou nějakou odpovědnost, vás nutí přijmout nějakou politiku hesel včetně jejich změn. I když se vám to třeba nelíbí, vězte, že k tomu mají dobré důvody. A to nejlepší, co pro sebe můžete udělat, je vnutit si podobnou morálku i pro osobní hesla.
Takže moje rada, pokud jste koncoví uživatelé, zní: zapomeňte, že existuje nějaký Heartbleed Bug. Držte se dvou hlavních zásad:
Poslední cca dva týdny se mě lidé v mém okolí často ptají na bezpečnost svých hesel v souvislosti s momentálně populární OpenSSL chybou Heartbleed Bug. Jestli si je teda mají změnit, nebo co. Valné většině z nich musím odpovědět stejně: pokud si teď změníte svá hesla a dál se budete chovat tak jak jste zvyklí, bude to mít na bezpečnost vašich dat asi stejný vliv, jako když si teda dneska večer výjimečně vezmete kondom, protože jste se nějak domákli, že váš poslední objev má chlamydie.
Vaše data tečou po síti různými cestami a jsou dnes a denně ohrožována celou řadou chyb - díry v algoritmech, špatné návrhy, chyby v implementaci, zprasené dodatečné fíčury, cokoli si vzpomenete. O některých dodavatelé řešení a bezpečnostní experti vědí a snaží se co nejrychleji vydat opravy (to jsou mj. takové ty otravné aktualizace, co vám chtějí v pracovní době restartovat počítač, znáte to), některé dokonce dostanou cool název, obrázek krvácejícího srdce a mluví se o nich i v nespecializovaných médiích.
A o dalších se neví nic.
Jakýkoli systém zabezpečení dat, který běžně používáte (a ani o tom často nevíte), může dneska obsahovat chybu, o které zatím nikdo neví. Nebo o ní ví malá skupinka lidí, která nemá zájem se o tuhle informaci podělit. Nebo to není chyba, ale zavlečený backdoor. Nebo únik dat. Ve chvíli, kdy čtete tyto řádky, mohl někdo třeba z Facebooku vydolovat miliony hesel. A firma se to dozví za týden. Nebo za měsíc.
To není žádné strašení ajťáka, co hodně čte internety a málo chodí mezi lidi. To není spiknutí iluminátů, chemtraily a Obamova matka vlastnoručně podminující WTC. To je prosté konstatování, že nemáte žádnou možnost zjistit, jaká bezpečnostní hrozba se vás momentálně týká. A že informace o už odhalených chybách mají pro vás uživatele stejnou hodnotu, jako včerejší výsledky Sportky pro dnešní los.
Je chyba myslet si, že když máte heslo složité jako křížovka ve Vlastě, je bezpečné a netřeba ho měnit. Jak vám řekne každý expert na bezpečnost, sebelepší heslo je bezpečné přesně do prvního použití. Jakmile ho jednou nacvakáte do klávesnice a ztratíte nad ním kontrolu, může se po cestě k cíli provalit i tím nejpitomějším způsobem.
V IT to vědí a v prostředí, kde za bezpečnost vašich dat nesou nějakou odpovědnost, vás nutí přijmout nějakou politiku hesel včetně jejich změn. I když se vám to třeba nelíbí, vězte, že k tomu mají dobré důvody. A to nejlepší, co pro sebe můžete udělat, je vnutit si podobnou morálku i pro osobní hesla.
Takže moje rada, pokud jste koncoví uživatelé, zní: zapomeňte, že existuje nějaký Heartbleed Bug. Držte se dvou hlavních zásad:
- Používejte různá hesla pro různé služby (alespoň si ty služby rozdělte do skupin podle míry citlivosti dat, když už nechcete mít heslo pro každou službu zvlášť).
- Měňte svá hesla, průběžně a nepravidelně.
chybí mi tu ještě jeden pohled - dneska velká část lidí na web/facebook a další podobné dobrovolně napíše, kde a s kým bydlí, co si koupili nového, kdy, kam a s kým jedou na dovolenou.. na google disk/docs/picasu uloží velkou část svých dokumentů, smluv, fotek, na fb/google talk/imessage uloží veškerou soukromou korespondenci.. a zbytek prosurfují přes nešifrovanou wifi v místní restauraci/kavárně. je vůbec nějaké soukromí ještě potřeba? :-) běžného frantu zabezpečení jeho dat zdá se vlastně ani nezajímá = stejně předpokládá, že právě jeho data nikoho nezajímají a potenciální zvědavci mají spoustu jiných dat ke zkoumání.
OdpovědětVymazatRozumím poznámce :) V jisté rovině souhlasím. Měl bych k tomu ale dvě věci:
OdpovědětVymazat1. Cílovka tohohle článku jsou lidi, co se mě na bezpečnost svých dat třeba sami zeptali a u kterých předpokládám aspoň nějakou míru zájmu o to zůstat v suchu.
2. I když se tyhle dvě oblasti prolínají a dala by se o tom prodebatovat spousta písmenek, přece jenom vidím rozdíl mezi situací, kdy o sobě nerestriktivním sdílením všeho možného na Facebooku prozradím nezdravě příliš, a situací, kdy se někdo pomocí kompromitovaného hesla na ten FB přihlásí, ukradne mi identitu a začne psát mým přátelům pohádky o tom, že jsem se ocitl ve finanční tísni a ať mi tam a tam pošlou prachy.