Как стать автором
Обновить

Комментарии 22

Расскажите, каким образом перезагрузка удаляет вредоносный код? Допустим, была у меня умная ip-камера на базе linux 2.6, её прорутовали. Теперь там в /rc.local ботнет. Я перезагружаю эту камеру, и....?

Это не единственная ошибка и не самая большая проблема статьи. Основная проблема в том, что с одной стороны это набор рекомендаций для тех, кто сам в этом всём не разбирается, но количество этих рекомендаций таково, что никто из тех, кто в этом не разбирается, не осилит всё это прочитать, понять и начать применять.


По большому счёту из подобного списка надо делать учебный план для школ, рассчитанный на достаточно длительный срок изучения. (Отдельные неточности тут не так уж и принципиальны.)

Так статья и есть "развернутый" учебный план, только не для школ, а для работников.


А про избыточность я полностью согласен — вот мне очень сложно представить человека "со стороны" кому все пункты будут интересны. Для корпоративных сотрудников тем более — про фишинг, пароли, впн не успеешь рассказать как все забывают / теряют интерес.

В большинстве простых устройств нет изменяемой файловой системы. Образ системы хранится единым бандлом в простой флеш-памяти, а не (e)MMC, к которой не так-то просто получить доступ, а перезаписать можно только образ целиком.
Подозреваю, что большинство злоумышленников не заморачивается и хранит вредоносный код в RAM-диске — единственной части файловой системы, доступной на запись.
Так что перезагрузка сотрет такой вредонос, но он вскоре появится снова, если в системе дырка.

Почему все безопасники рекомендуют всегда менять пароли регулярно? Особенно раздражает это на работе. Почему не учитывается "человеческий фактор" и психология? Ведь есть же уже исследования, показывающие, что зачатую частая смена паролей наоборот приводит к меньшей защищённости, так как ОДИН СЛОЖНЫЙ пароль человек может запомнить, а вот перезапоминать его каждые 3 месяца для многих станет уже "лень", что приводит к резкому упрощению паролей (даже на Хабре статья была — https://m.habr.com/ru/company/globalsign/blog/457036/)
В итоге большая часть сотрудников из квартала в квартал меняет пароли по цепочке вида: Vasya1 -> Vasya2 -> ...

Там где безопасники требуют менять пароль каждые 3 месяца — есть и требования к паролю, и его похожести на последние N т.е.вася1 и вася2 не пройдут по обоим критериям.

ОДИН сложный пароль человек будет вбивать везде, а значит будет быстрее скомпромитирован.

Не спорю. Но ваш комментарий не отменяет озвученной мною проблемы, человеческого фактора и результатов исследований

Поддерживаю предыдущего оратора!
И даже если согласится, что менять системный пароль раз в 3 месяца действительно повышает безопасность, то как регулярная смена остальных паролей (сайты, почты и тп) должна помочь? Там достаточно иметь менеджер паролей и, соответственно, использовать уникальные сложные (16, 32, да хоть 64 знака) пароли для разных сервисов / сайтов. Утечет — ну удачи с перебором. Хороший менеджер паролей еще и по HIBP проверят (но конечно не все что утекает попадает в эту базу). А менять сложный и уникальный пароль на другой сложный пароль "просто потому что" вообще не меняет ничего.

Fghtkm2021! удовлетворяет всем идиотским требованиям о регулярной смене пароля. А через три месяца его сменять на другой очень сложный — B.km2021!

Как уже писали, требования к паролю «менять регулярно, должен содержать все символы юникода и быть минимум двадцать символов длинной» приводит только к ослаблению паролей. Читал статью, в которой говорилось, что эти требования были придуманы каким-то случайным военным почти пол века назад и вообще никак не годятся для современных офисов. Далее там говорилось, что нужно требовать от юзера длинный пароль любой сложности, хоть из одних букв. Насколько понимаю, это требование стало каким-то стандартом.

Там где безопасники требуют менять пароль каждые 3 месяца — есть и требования к паролю, и его похожести на последние N т.е.вася1 и вася2 не пройдут по обоим критериям.


Банк, обслуживающий нашу организацию, требует регулярной смены пароля, но вариант «вася1 и вася2» для него вполне допустим. Причем это достаточно крупный банк.
Параноик, у 99% смертных брать нечего, списать с их сбера пару тысяч и все…
Хм, ну, видимо мошенники у каких-то других россиян украли за прошлый год пару сотен миллиардов, да?
Есть что брать, и берут.
Да да:
блокировки сайтов фигня — я же могу их обойти
передача моей личной информации третьим лицам фигня — нормальному человеку нечего скрывать

ну и ваш коммент…
Как я теперь усну?

По поводу действий с Вашей недвижимостью посредством левого электронного ключа надо не в кабинет госуслуг лазать, а подать в МфЦ заявку на запрет сделок с использованием ЭЦП. Занимает процедура 10 минут. В реестр ставится блокировка на действия с недвижимостью без личного присутствия. Рекомендую.

А теперь напишите, как подготовить комп к сдаче в ремонт :) В ситуации, когда ЖД вообще-то пашет, то есть доступ к файлам жив.
НЛО прилетело и опубликовало эту надпись здесь
Пароль от почты вводить только на самой почте — больше нигде!


Для входа в облако используется логин в виде адреса электронной почты.
Вводить пароль приходится везде, например, при использовании офисных программ.
Установите сложный пароль на компьютере. Никто не сможет получить доступ к документам, фотографиям, проектам, паролям из браузера, установить следящее ПО, отформатировать жесткий диск или ваш ребенок случайно не сможет удалить папку и т.д.
Ну, нет, это так не работает. Я элементарно могу загрузить с флешки другую систему, будь то Windows To Go или Kali Linux, и скопировать все файлы, даже без манипуляций по сбросу пароля. Чтобы действительно защитить данные — шифрование диска использовать обязательно. Тогда это работает.
>> «секретный вопрос» — давайте ложные ответы (но помните их).
ТАк и делал! Сейчас нифига не помню и восстановить аккаунты уже не могу.

Пароли надо держать в менеджере (напр. Keepass). Тогда не придётся ничего восстанавливать (только бэкапить базу Keepass надо не забывать, проще всего автоматически в dropbox или аналоги). Ответы на секретные вопросы надо генерировать так же, как и пароли, а держать их при желании можно в том же Keepass (хотя смысла в этом особого нет, учитывая что пароль теперь "забыть" уже невозможно).

Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

Публикации

Истории