Компания «Дядя Милтон» с 1956 года продавала муравьиные фирмы детям. Пару лет назад я вспомнил, как я с другом вскрывал одну из них. В коробке не было самих муравьев. Вместо них в ней была карточка, в которую нужно было вписать свой адрес, а фирма бы отправила вам немного муравьем. Мой друг удивился тому, что можно получить муравьев в посылке.
Я ответил: «Что тут действительно интересно, так то, что эти люди отправят трубку с муравьями любому, кто их об этом попросит.»
Безопасность требует особого образа мышления. Специалисты по безопасности — по крайней мере, хорошие — смотрят на мир по-другому. Они не могут пойти в магазин, не отметив, как они могут украсть товары оттуда. Они не могут использовать компьютер, не думая о уязвимостях. Они не могут голосовать, не попытавшись разобраться, как проголосовать дважды. Они просто ничего не могут поделать с этим.
SmartWater — это жидкость с уникальным идентификатором, связанным с определенным владельцем. «Идея покрасить мои ценности этим веществом для доказательства того, что они являются моей собственностью мне подходит» — написал я, когда впервые узнал об идее. «Я думаю, что для меня будет намного лучше покрасить твои ценные вещи, а затем вызвать полицию.»
Действительно, мы ничего не можем поделать с этим.
Этот тип мышления неестественен для большинства людей. Он неестественен для инженеров. Настоящее инженерное дело включает в себя размышление о том, как заставить вещи работать; мышление безопасника включает в себя размышление о том, как заставить вещи сломаться. Он включает в себя идеи, как у атакующего, противника или преступника. Вам не нужно эксплуатировать уязвимости, которые вы нашли, но если вы не видите мир в этом свете, вы никогда не заметите большинство проблем в безопасности.
Я часто думал, как много из этого является врожденным, а чему можно и научиться. В целом, я считаю, что это определенная точка зрения на мир, и намного легче обучить кого-то определенной области — криптографии, или безопасности ПО, или подделке документов, чем научить его образу мышления, направленного на безопасность.
Вот почему за CSE 484, базовым курсом по компьютерной безопасности, который идёт в этом квартале в университете Вашингтона, так интересно наблюдать. Профессор Tadayoshi Kohno пытается преподавать этот образ мышления.
Вы можете увидеть результат в блогах студентах. Их поощрили писать обзоры безопасности случайных вещей: «умных» коробочек для пилюль, систем слежения Quiet Care Elder Care, Apple TimeCapsule, GM's OnStar, светофоров, банковских ячеек, и безопасности в общежитии.
Самый последний обзор рассказывает об автосалонах. Автор описала, как она смогла получить обслуживание для своей машины, просто сказав дежурному свою фамилию. После этого любой обычный владелец машины был бы рад простоте возврата её машины, но некто с мышлением безопасника немедленно подумает: «Действительно ли я могу получить машину, лишь зная фамилию того, чью машину обслуживают?»
Остальные из постов в блоге рассказывают о том, как можно украсть машину, эксплуатируя эту уязвимость в безопасности, и нужно ли продавцу быть таким уязвимым.
Вы можете придраться к анализу — мне интересно, какие обязанности имеет дилер, и не покрывает ли их страховка любые потери — но это всё конкретная сфера. Важный момент в том, чтобы заметить, а потом задавать вопросы; безопасность на первом месте.
Недостаток мышления, направленного на безопасность объясняет слабую безопасность в: машинах для выборов, электронных платёжных картах, медицинских устройствах, идентификационных картах, интернет-протоколах. Разработчики так заняты тем, чтобы заставить системы работать, что они не останавливаются, чтобы заметить, как системы могут сломаться, или быть сломанными, и как эти отказы могут быть использованы. Обучение разработчиков образу мышления специалиста по безопасности сыграет важную роль в том, чтобы сделать будущие технологические системы более защищёнными.
Это очевидно, но я думаю, что склад ума специалиста по безопасности полезен многим. Если люди смогут научиться тому, как мыслить вне их горизонта событий и смогут увидеть полную картину, неважно, в технике, или политике, или в повседневной жизни, они будут более искушенными потребителями, более скептичными гражданами, менее доверчивыми людьми.
Если люди имели бы склад ума, направленный на безопасность, службы, которые раскрывают личные данные, не имели бы такой доли на рыке — и Facebook был бы совершенно другим. Ноутбуки с миллионами незашифрованных номеров социального страхования не были бы потеряны, и в худшем случае мы бы столкнулись с менее суровыми проблемами безопасности. Энергосистема была бы более защищенной. Воровство личности сошло бы на нет. Медицинские записи были бы более приватными. Если бы люди имели склад ума, направленный на безопасность, они бы не пытались посмотреть в медицинские записи Britney Spears, так как они бы понимали, что их могут поймать.
В этих университетских занятиях нет ничего волшебного; любой может тренировать свой способ мышления специалиста по безопасности, просто глядя на мир с точки зрения атакующего. Если бы я хотел избежать этого определенного устройства безопасности, как бы я это сделал? Мог бы я следовать букве закона, но при этом обойти его смысл? Если человек, который создал эту рекламу, эссе, статью или документальный фильм, был недобросовестным, как он сделал это? И как я могу защитить себя от таких атак?
Способ мышления специалиста по безопасности — это ценный навык, из которого каждый, независимо от специальности, может извлечь пользу.
Я ответил: «Что тут действительно интересно, так то, что эти люди отправят трубку с муравьями любому, кто их об этом попросит.»
Безопасность требует особого образа мышления. Специалисты по безопасности — по крайней мере, хорошие — смотрят на мир по-другому. Они не могут пойти в магазин, не отметив, как они могут украсть товары оттуда. Они не могут использовать компьютер, не думая о уязвимостях. Они не могут голосовать, не попытавшись разобраться, как проголосовать дважды. Они просто ничего не могут поделать с этим.
SmartWater — это жидкость с уникальным идентификатором, связанным с определенным владельцем. «Идея покрасить мои ценности этим веществом для доказательства того, что они являются моей собственностью мне подходит» — написал я, когда впервые узнал об идее. «Я думаю, что для меня будет намного лучше покрасить твои ценные вещи, а затем вызвать полицию.»
Действительно, мы ничего не можем поделать с этим.
Этот тип мышления неестественен для большинства людей. Он неестественен для инженеров. Настоящее инженерное дело включает в себя размышление о том, как заставить вещи работать; мышление безопасника включает в себя размышление о том, как заставить вещи сломаться. Он включает в себя идеи, как у атакующего, противника или преступника. Вам не нужно эксплуатировать уязвимости, которые вы нашли, но если вы не видите мир в этом свете, вы никогда не заметите большинство проблем в безопасности.
Я часто думал, как много из этого является врожденным, а чему можно и научиться. В целом, я считаю, что это определенная точка зрения на мир, и намного легче обучить кого-то определенной области — криптографии, или безопасности ПО, или подделке документов, чем научить его образу мышления, направленного на безопасность.
Вот почему за CSE 484, базовым курсом по компьютерной безопасности, который идёт в этом квартале в университете Вашингтона, так интересно наблюдать. Профессор Tadayoshi Kohno пытается преподавать этот образ мышления.
Вы можете увидеть результат в блогах студентах. Их поощрили писать обзоры безопасности случайных вещей: «умных» коробочек для пилюль, систем слежения Quiet Care Elder Care, Apple TimeCapsule, GM's OnStar, светофоров, банковских ячеек, и безопасности в общежитии.
Самый последний обзор рассказывает об автосалонах. Автор описала, как она смогла получить обслуживание для своей машины, просто сказав дежурному свою фамилию. После этого любой обычный владелец машины был бы рад простоте возврата её машины, но некто с мышлением безопасника немедленно подумает: «Действительно ли я могу получить машину, лишь зная фамилию того, чью машину обслуживают?»
Остальные из постов в блоге рассказывают о том, как можно украсть машину, эксплуатируя эту уязвимость в безопасности, и нужно ли продавцу быть таким уязвимым.
Вы можете придраться к анализу — мне интересно, какие обязанности имеет дилер, и не покрывает ли их страховка любые потери — но это всё конкретная сфера. Важный момент в том, чтобы заметить, а потом задавать вопросы; безопасность на первом месте.
Недостаток мышления, направленного на безопасность объясняет слабую безопасность в: машинах для выборов, электронных платёжных картах, медицинских устройствах, идентификационных картах, интернет-протоколах. Разработчики так заняты тем, чтобы заставить системы работать, что они не останавливаются, чтобы заметить, как системы могут сломаться, или быть сломанными, и как эти отказы могут быть использованы. Обучение разработчиков образу мышления специалиста по безопасности сыграет важную роль в том, чтобы сделать будущие технологические системы более защищёнными.
Это очевидно, но я думаю, что склад ума специалиста по безопасности полезен многим. Если люди смогут научиться тому, как мыслить вне их горизонта событий и смогут увидеть полную картину, неважно, в технике, или политике, или в повседневной жизни, они будут более искушенными потребителями, более скептичными гражданами, менее доверчивыми людьми.
Если люди имели бы склад ума, направленный на безопасность, службы, которые раскрывают личные данные, не имели бы такой доли на рыке — и Facebook был бы совершенно другим. Ноутбуки с миллионами незашифрованных номеров социального страхования не были бы потеряны, и в худшем случае мы бы столкнулись с менее суровыми проблемами безопасности. Энергосистема была бы более защищенной. Воровство личности сошло бы на нет. Медицинские записи были бы более приватными. Если бы люди имели склад ума, направленный на безопасность, они бы не пытались посмотреть в медицинские записи Britney Spears, так как они бы понимали, что их могут поймать.
В этих университетских занятиях нет ничего волшебного; любой может тренировать свой способ мышления специалиста по безопасности, просто глядя на мир с точки зрения атакующего. Если бы я хотел избежать этого определенного устройства безопасности, как бы я это сделал? Мог бы я следовать букве закона, но при этом обойти его смысл? Если человек, который создал эту рекламу, эссе, статью или документальный фильм, был недобросовестным, как он сделал это? И как я могу защитить себя от таких атак?
Способ мышления специалиста по безопасности — это ценный навык, из которого каждый, независимо от специальности, может извлечь пользу.
