Десять самых распространенных ошибок в сфере компьютерной безопасности, которые ни в коем случае нельзя совершать
6. Непонимание того, насколько важна независимая проверка. Даже работу экспертов по специфическим видам безопасности должны проверять такие же опытные специалисты. В сфере безопасности взаимные проверки — нечто вроде священного Грааля абсолютной защиты, и никакая система не может считаться безопасной до тех пор, пока не будет тщательно и глубоко испытана специалистами, не причастными к ее разработке.
7. Излишняя забота о секретности. Многие разработчики программного обеспечения в сфере безопасности не только недооценивают важность независимой проверки, но и переоценивают значимость секретности. Они обосновывают свой отказ отправить работу на проверку независимым специалистам тем, что самое главное — это держать политику безопасности в секрете. Между тем, как гласит принцип Керкгоффса (одна из фундаментальных аксиом науки безопасности), если безопасность системы зависит исключительно от сохранения ее архитектуры в секрете, такая система не может считаться надежно защищенной.
8. Использование средств идентификации личности, которые легко подделать. Любые системы, предусматривающие пересылку по факсу подписей, фотокопий или сканов удостоверений/паспортов в качестве средства идентификации личности, являются, по сути, декоративными — ворох мишуры и отсутствие реального результата (то есть, в данном случае, безопасности). Подделать такие некачественные копии, сделанные с помощью технических средств прошлого (или даже позапрошлого) поколения, — легче легкого. На самом деле, копии подписей и паспортов могут служить надежным средством идентификации личности только тогда, когда на копии совсем не похожи. Другими словами, только качественная преднамеренная подделка оригинала может считаться хорошей копией, усложняющей злонамеренную подделку.
9. Бессмысленное изобретение велосипеда. Очень часто разработчики нового ПО в сфере безопасности пытаются заново создать то, что уже было создано до них, не имея на то веских оснований. Многие производители программного обеспечения страдают «синдромом оригинальности» и в итоге создают программы, не имеющие новых полезных функций. Само по себе это еще не страшно, но ведь новое программное обеспечение зачастую не проходит независимой проверки, изобилует ошибками, уже устраненными в других воплощениях подобных программ, и в общем, ужасно все портит. Прежде чем приступать к разработке нового ПО, подумайте, нет ли уже готовых качественных приложений такого рода, и если ваша будущая программа обладает действительно новыми и полезными функциями, не лучше ли добавить эти функции к чему-то уже существующему вместо того, чтобы создавать себе и людям кучу проблем, пытаясь это существующее заменить.
10. Подмена реальной безопасности ложным чувством защищенности. Ошибка настолько абсурдная, что даже трудно сформулировать ее суть. Тем не менее, она так распространена, что не включить ее в этот список просто нельзя. Люди вручают ключи от своей системы безопасности любому, кто представится экспертом, причем делают это охотно, с энтузиазмом и порой даже ни капли не задумываясь. «Центры сертификации» говорят, кому доверять, лишая пользователей возможности самостоятельно принимать решения о доверии; провайдеры услуг электронной почты предлагают серверное шифрование и дешифрование данных, лишая людей возможности самостоятельно шифровать письма и управлять собственными шифровальными ключами; операционные системы самовольно запускают службы и приложения, лишая пользователей возможности защититься от мобильного вредоносного ПО. Не доверяйте управление безопасности третьим лицам! Конечно, не все могут разработать надежную программу или политику в области безопасности исключительно самостоятельно, но это еще не значит, что такая программа или политика должна лишать вас возможности управлять ею самолично.
