_—= Про безопасность (незанудный пост из двух ключевых пунктов, который имеет смысл прочитать даже очень продвинутым интернетчикам и показать друзьям и родителям) =—_

Обычные статьи про безопасность это чтение ещё более скучное, чем советы о здоровом образе жизни: среднестатистический автор не в состоянии объяснить читателю ужас взлома, поскольку объясняет его на своём примере.

А мы-то, продвинутые интернетчики, мы автору не сочувствуем, мы считаем его облажавшимся дебилом.

На самом деле нет. Есть факторы, которые очень сильно начали влиять на безопасность:

=== 1. Срок экспонирования и архивы ===

Потеря пароля от ICQ или почты образца двухтысячного года грозила лишь дискомфортом на время восстановления доступа, сейчас же скомпрометировав доступ к практически любому инструменту для общения, вы отдаёте злоумышленнику не только "право" на имперсонацию, но и свой архив.

Имперсонацией сейчас занимаются только пранкеры, а хакеры охотятся за архивами (и неплохо зарабатывают на их удалении из открытого доступа: например, переписка Капкова в августе этого года исчезла с сайта "Анонимного интернационала" за два дня. Стоимость покупки составляла $57К в биткоинах).

Утечки фотографий звёзд из iCloud это история ровно о том же: вы копите данные и долго находитесь на свету. Вас ломают (скорее всего, помогли данные MySpace) — и всё что было вашим становится общим.

=== 2. Ваши пароли доступны любому. В открытом виде ===

Есть прекрасный сайт Leakedsource.com (платный), где вы можете узнать, какие ваши пароли и хэши от них утекали в публичный доступ. Какие пароли ваших друзей (врагов) утекли в публичный доступ. Всё что вам надо — это несколько долларов.

Хотите знать, какой пароль (достаточно сложный) у Воложа? Можно. Какой пароль у практически любого человека, чей e-mail вам известен? Тоже можно. Утекали данные из кучи сервисов: MySpace, Rambler, Linkedin — где-нибудь человек регистрировался и оставил свои данные.

LeakedSource заработал на продаже своей базы сервисам (отличная бизнес-модель, кстати), они сменили вам пароль принудительно, но поскольку он ваш "любимый" — это вам поможет только частично: он продолжает подходить к остальным сайтам.

Оказалось, что расслабленность интернетчиков, которые имеют "любимые пароли" (сам такой был) — явление повсеместное. Многие пребывают в иллюзии, что сложный пароль это достаточная защита. На самом деле нет: сложный пароль защищает исключительно от брутфорса, который не является сейчас магистральным направлением взлома.

А сейчас к паролям относится ровно то же самое что и к данным, про которые я рассказывал в пункте 1: если вы используете один и тот же пароль долго, да ещё и во многих местах, то рано или поздно он откуда-то утечёт и у вас будут проблемы.

При этом мы накапливаем всё больше и больше сервисов, поэтому вероятность утечки от одного из них — сильно повышается.

====

Именно эти два изменения ландшафта порождают посты вида: "Ой, у меня увели Skype, простите меня друзья!", даже среди опытных юзеров.

== Что делать? ==

Вам самим:
- отказаться от "любимых паролей". Только автогенерация, только хардкор.
- придётся пользоваться менеджером паролей. Lastpass, 1password. Или Keepass, для тех кто не доверяет и облачным сервисам: муторно, но бесплатно и высший уровень безопасности.
- Проверить пароли на повторяемость, заменить одинаковые на уникальные
- везде где возможно - включить двухфакторную аутентификацию
- отключить запоминание паролей в браузере

Родителям:
- Исходите из того, что для них это всё сложно
- Поставьте им какой-нибудь Linux со Skype, VLC и Libre Office на десктоп.
- Не покупайте родителям Android. Купите Windows Phone или iPhone. Включите на них двухфакторную аутентификацию.

Менеджерам интернет-проектов:
- проверяйте утечки данных, даже не относящиеся к вашим сервисам (особенно из России), на совпадения со своей БД. Ну и меняйте таким юзерам пароли принудительно.

—
Юрий Синодов
yury@sinodov.com
@sinodov в Telegram