Перепробовали различные решения, в том числе: GFI, HP, Qualys, несколько аудиторских агенств.
Как показывает практика, сухой продукт без хорошего консалтинга эффективен не более чем на 80% от своих способностей, даже если он выдает в отчетах перечни причин и ссылки на базу знаний, т.е. если к нему не прилагается штат специалистов, готовых сорваться, подключиться к проблемному узлу и исправить критическую «дырку», отразить атаку и т.д.
Собственно, в этом плане меня больше всех порадовали RadarServices — у них в комплекте с ПО идет полный комплект в виде специалистов по безопасности, которые дополняют периодический аудит самой программы собственными советами, инструкциями и объяснениями на основе результатов.
Иначе Вы никак не выявите аномальную активность, с которой раньше, например, никто из разработчиков еще не сталкивался, это относится, например, к нишевым вирусам и троянам, попыткам взлома со стороны сотрудников и т.д. Таким образом получается, что в отличие от обычных автоматизированных средств, здесь присутствует еще и интеллект спецов,)
Вы понимаете, что чтобы получить то, что должно быть по умолчанию (а один из топовых комментариев так и говорит: «by V@no on September 13, 2012 ...In fact I believe this should be a built-in feature of the browser itself!»), я должен догадаться НАЙТИ это среди всей толпы дополнений?
Да, это не трудно, можно догадаться, можно нагуглить, но это нихрена не user friendly и наплевательское отношение со стороны разработчиков, особенно, если уже существуют примеры как сделать так, чтобы было хорошо, которых они в упор не видят.
Обновился три дня назад, отвалился Касперский URL adviser. Все еще так,)
Это настолько же постоянно, как не дотягивающиеся до края экрана вкладки у оперы)
Для серьезных дядек с постной физиономией?) Совсем не подходит)
А вот для деловых — вполне) Есть где-нибудь обзор сервисов синхронизации, к которым можно подключить базовую модель? Календари, контакты, мессенджеры, заметки, файлы?
К слову, деанонимизация, в полном значении этого слова, скорее означает не привязку чего-либо к Вам лично, а то, что любой в сети, чатике или на хабре сможет увидеть Ваши реальные данные по паспорту. Вот это деанонимизация. А то, что провайдер знает, кому он предоставляет доступ — это в порядке вещей совершенно.
Ну, давайте предметно разберемся. Я готов признать неправильность, если Вы приведете доводы против моих, способные применяться на практике.
Давайте вместе рассмотрим:
0. Что именно вы подразумеваете под контролем? Сниффинг с привязкой к паспорту?
1. Что плохого (лично для Вас, например) в контроле над сетями, находящимися в личном пользовании?
Имхо, здесь ничего плохого не вижу. Ну, допустим, в логах где-нибудь будет записано, что с IP 95.25.232.81, зарегистрированного на момент пользования за пользователем v671935 провайдера «Билайн», вчера, в 20:52 был совершен поисковый запрос «уроки вязания подгузников из коаксиального кабеля» в системе Google.
Срать, чесслово =)
2. Рассмотрим другую ситуацию. У меня крадут деньги с электронного кошелька, остается запись с IP-адресом и точным временем авторизации злоумышленника.
В случае, если сеть была зарегистрирована, хотя бы есть шанс, что можно вычислить по логам, записям, шлейфу посещений, дампам и проч, кто же это был.
А в случае полной анонимизации, шанс равен абсолютному нулю. Я правильно Вас понимаю?
3. Деанонимизация — это двоякая штука.
а) это психологическое воздействие на владельца сети/сим-карты/машины/квартиры, которое подразумевает обострение понимания собственной ответственности. Аноним на машине без регистрационных номеров может сбивать кого-угодно, а потом выбросить машину где-нибудь, и гулять дальше.
б) это рычаг структурного воздействия (эта часть мне не нравится, но это совсем другая история, которую нужно исправлять не анонимизацией, а лечением этих самых структур), при котором можно подставить человека, копить досье и далее шантажировать. Но, согласитесь, если вы не загружаете и не распространяете порнографию, деское, наркотики, ворованые кредитные карты и проч — чего Вам бояться-то?
У меня провод от провайдера до квартиры, две симкарты, 5 серверов и под десяток доменов завязаны на мои паспортные данные. Если вдруг что-то случиться с ними, я смогу достать из широких штанин и восстановить доступ.
С паблика в парке ломают сервер государственного веб-сайта. Действия властей?
Правильно: первый нагоняй (не уголовный) получит владелец паблика. Если о паблике официально известно, что это паблик, то он отделается предоставлением всех имеющихся данных по соединениям.
Ну а дальше может последовать, например, эмоциональная реакций и введение структурного контроля над пабликом (обязаловка по ведению логов, сохранению дампов и проч).
Так или иначе, отдуваться будет его владелец, переводя стрелки.
Еще раз, обращаю Ваше внимание на то, что это совершенно разные вещи)
Есть приват, а есть паблик. Сетка, симка, квартира, которые Вы используете лично — приват, они должны быть зарегистрированы на физ.лицо.
Паблик — это расшаренный остальным приват. За него тоже кто-то несет ответственность, и в его праве: рубить протоколы, URL-ы, порты, ограничивать объемы загружаемой информации, записывать дампы передаваемых данных.
Никакой глупости нет. Это как если бы Вы сказали, что раз в классах ООП есть puplic properties, которые может менять кто угодно, то зачем нужны private и регистрация френдов и наследования)
Все абсолютно структурно и аккуратно. Если с паблика кто-то что-то сломает, отвечать будет тот, кто оставил этот паблик.
Ответственность падает на плечи принявшего оферту и условия по ней, позволяя заведению в случае разрешения конфликтной ситуации, ссылаться на то, что пользователь принял соглашение.
То, кто именно из них «попадет» решает уже фактический текст документов и суд, здесь ничего не меняется.
Конечно. Оно предоставляет вай-фай точку на свой страх и риск по доброте душевной, ради пиара и удобства клиентов.
Обеспечение безопасности лежит на его плечах, равно как и обязанность предупредить посетителя (публичная оферта?) о том, какие действия в этой сети являются недопустимыми, с чем пользователь должен согласиться. Например, это можно сделать с помощью баннера или первой страницы, которая автоматически появится на экране клиента перед тем, как пропустить на запрошенный веб-сайт.
При этом действует возможность деанонимизации «по запросу», т.к. в кафе обычно ведется видео-наблюдение, и можно далее (если приспичит) найти конкретного пользователя.
Доступ до вай-фай, который предоставляется как платная услуга провайдером по тарифу, должен быть привязан к конкретному физическому пользователю, который несет ответственность за безопасное хранение своей пары логин-пароль и корректное использование соединения.
За открытые сети вай-фай, которые можно использовать без процедуры получения личной пары логина-пароля, несет ответственность тот, кто эти сети вай-фай предоставляет, т.к. у него ведь есть договор с поставщиком выше по лестнице — никаких противоречий.
Фактически, деанонимизация «по запросу» уже существует. Только недавно по хабру проползала информация про раскрытие топовых аплоадеров Пиратской Бухты, пиров в Скайпе и т.д.
У меня позиция простейшая (т.е. требует тщательной проработки на предмет неучтенных частных случаев): Принудительная изначальная деанонимизация должна быть там, где человек действует как физическое, невиртуальное лицо, т.е. при покупке недвижимости, авто, регистрации брака, пользовании услугами связи, хостингом, регистрации доменного имени, по договору, в котором предусмотрена ответственность.
В случае приобретения сим-карты, подключения к поставщику интернета, аренде хостинг-площадки должна быть точная привязка к конкретному физическому или юридическому лицу, который будет нести ответственность за корректное использование услуги. Во всех остальных случаях, как и при покупке продуктов в магазине, изначальная деанонимизация не требуется, т.к. не появляется договорной ответственности за использование, но при этом деанонимизация «по запросу» продолжает существовать (свидетели, камеры наблюдения, и т.д.)
Я не затрагиваю абсурдные побочные разделы проблемы деанонимизации, касающиеся пиратства, т.к. здесь проблему нужно с двух сторон решать — и со стороны без пользы кормящихся лейблов, и со стороны пиратов,)
>>Насколько я понимаю, сюда же попадаю открытые сети Wifi и прочее
Если попадают, то это необходимо оспаривать, писать, стучаться, раздувать.
Если это всего лишь желтый заголовок и тема не прошарена специалистами, то паниковать рано.
Ну, по поводу обязательного предъявления паспорта при покупке SIM-карт, кстати, ничего против не имею. Еще б контролировались те, кто эти самые карточки продают, а то ведь вписывают левые, а потом всей страной спам и фроды получаем по sms.
Как показывает практика, сухой продукт без хорошего консалтинга эффективен не более чем на 80% от своих способностей, даже если он выдает в отчетах перечни причин и ссылки на базу знаний, т.е. если к нему не прилагается штат специалистов, готовых сорваться, подключиться к проблемному узлу и исправить критическую «дырку», отразить атаку и т.д.
Собственно, в этом плане меня больше всех порадовали RadarServices — у них в комплекте с ПО идет полный комплект в виде специалистов по безопасности, которые дополняют периодический аудит самой программы собственными советами, инструкциями и объяснениями на основе результатов.
Иначе Вы никак не выявите аномальную активность, с которой раньше, например, никто из разработчиков еще не сталкивался, это относится, например, к нишевым вирусам и троянам, попыткам взлома со стороны сотрудников и т.д. Таким образом получается, что в отличие от обычных автоматизированных средств, здесь присутствует еще и интеллект спецов,)
Да, это не трудно, можно догадаться, можно нагуглить, но это нихрена не user friendly и наплевательское отношение со стороны разработчиков, особенно, если уже существуют примеры как сделать так, чтобы было хорошо, которых они в упор не видят.
Это настолько же постоянно, как не дотягивающиеся до края экрана вкладки у оперы)
А вот для деловых — вполне) Есть где-нибудь обзор сервисов синхронизации, к которым можно подключить базовую модель? Календари, контакты, мессенджеры, заметки, файлы?
зря-зря-зря…
Давайте вместе рассмотрим:
0. Что именно вы подразумеваете под контролем? Сниффинг с привязкой к паспорту?
1. Что плохого (лично для Вас, например) в контроле над сетями, находящимися в личном пользовании?
Имхо, здесь ничего плохого не вижу. Ну, допустим, в логах где-нибудь будет записано, что с IP 95.25.232.81, зарегистрированного на момент пользования за пользователем v671935 провайдера «Билайн», вчера, в 20:52 был совершен поисковый запрос «уроки вязания подгузников из коаксиального кабеля» в системе Google.
Срать, чесслово =)
2. Рассмотрим другую ситуацию. У меня крадут деньги с электронного кошелька, остается запись с IP-адресом и точным временем авторизации злоумышленника.
В случае, если сеть была зарегистрирована, хотя бы есть шанс, что можно вычислить по логам, записям, шлейфу посещений, дампам и проч, кто же это был.
А в случае полной анонимизации, шанс равен абсолютному нулю. Я правильно Вас понимаю?
3. Деанонимизация — это двоякая штука.
а) это психологическое воздействие на владельца сети/сим-карты/машины/квартиры, которое подразумевает обострение понимания собственной ответственности. Аноним на машине без регистрационных номеров может сбивать кого-угодно, а потом выбросить машину где-нибудь, и гулять дальше.
б) это рычаг структурного воздействия (эта часть мне не нравится, но это совсем другая история, которую нужно исправлять не анонимизацией, а лечением этих самых структур), при котором можно подставить человека, копить досье и далее шантажировать. Но, согласитесь, если вы не загружаете и не распространяете порнографию, деское, наркотики, ворованые кредитные карты и проч — чего Вам бояться-то?
У меня провод от провайдера до квартиры, две симкарты, 5 серверов и под десяток доменов завязаны на мои паспортные данные. Если вдруг что-то случиться с ними, я смогу достать из широких штанин и восстановить доступ.
Правильно: первый нагоняй (не уголовный) получит владелец паблика. Если о паблике официально известно, что это паблик, то он отделается предоставлением всех имеющихся данных по соединениям.
Ну а дальше может последовать, например, эмоциональная реакций и введение структурного контроля над пабликом (обязаловка по ведению логов, сохранению дампов и проч).
Так или иначе, отдуваться будет его владелец, переводя стрелки.
Есть приват, а есть паблик. Сетка, симка, квартира, которые Вы используете лично — приват, они должны быть зарегистрированы на физ.лицо.
Паблик — это расшаренный остальным приват. За него тоже кто-то несет ответственность, и в его праве: рубить протоколы, URL-ы, порты, ограничивать объемы загружаемой информации, записывать дампы передаваемых данных.
Никакой глупости нет. Это как если бы Вы сказали, что раз в классах ООП есть puplic properties, которые может менять кто угодно, то зачем нужны private и регистрация френдов и наследования)
Все абсолютно структурно и аккуратно. Если с паблика кто-то что-то сломает, отвечать будет тот, кто оставил этот паблик.
То, кто именно из них «попадет» решает уже фактический текст документов и суд, здесь ничего не меняется.
Обеспечение безопасности лежит на его плечах, равно как и обязанность предупредить посетителя (публичная оферта?) о том, какие действия в этой сети являются недопустимыми, с чем пользователь должен согласиться. Например, это можно сделать с помощью баннера или первой страницы, которая автоматически появится на экране клиента перед тем, как пропустить на запрошенный веб-сайт.
При этом действует возможность деанонимизации «по запросу», т.к. в кафе обычно ведется видео-наблюдение, и можно далее (если приспичит) найти конкретного пользователя.
За открытые сети вай-фай, которые можно использовать без процедуры получения личной пары логина-пароля, несет ответственность тот, кто эти сети вай-фай предоставляет, т.к. у него ведь есть договор с поставщиком выше по лестнице — никаких противоречий.
У меня позиция простейшая (т.е. требует тщательной проработки на предмет неучтенных частных случаев):
Принудительная изначальная деанонимизация должна быть там, где человек действует как физическое, невиртуальное лицо, т.е. при покупке недвижимости, авто, регистрации брака, пользовании услугами связи, хостингом, регистрации доменного имени, по договору, в котором предусмотрена ответственность.
В случае приобретения сим-карты, подключения к поставщику интернета, аренде хостинг-площадки должна быть точная привязка к конкретному физическому или юридическому лицу, который будет нести ответственность за корректное использование услуги. Во всех остальных случаях, как и при покупке продуктов в магазине, изначальная деанонимизация не требуется, т.к. не появляется договорной ответственности за использование, но при этом деанонимизация «по запросу» продолжает существовать (свидетели, камеры наблюдения, и т.д.)
Я не затрагиваю абсурдные побочные разделы проблемы деанонимизации, касающиеся пиратства, т.к. здесь проблему нужно с двух сторон решать — и со стороны без пользы кормящихся лейблов, и со стороны пиратов,)
>>Насколько я понимаю, сюда же попадаю открытые сети Wifi и прочее
Если попадают, то это необходимо оспаривать, писать, стучаться, раздувать.
Если это всего лишь желтый заголовок и тема не прошарена специалистами, то паниковать рано.