Комментарии 13
Любой безопасник скажет, что протокол должен быть закрытым. Это важно для защиты от конкурентов. И от клиентов тоже. Чем меньше клиент знает о протоколе — тем меньше он контролирует систему, приложение. Вся власть остаётся в руках разработчика.
Кхм… А это точно безопасник, а не продаван?
Точно безопасник. Очень много практических примеров.
90% безопасников думают не о безопасности, а о прикрытии своей попы, когда безопасность будет нарушена (а она всегда будет нарушена рано или поздно). А за "… не обеспечил ..." безопасник часто может и присесть на реальный срок. Так что смысл работы безопасника сводится к двум пунктам:
1) Скидывание ответственности на пользователей/разработчиков
2) Закрытием всего и вся, пока рабочий процесс не начнёт нарушатся и генеральный не начнёт стучать его по голове
Нет. Я видел и нормальных, грамотных безопасников, которые помнят, что доступность, простота сервисов и лояльность сотрудников — жизненно необходимый аспект безопасности. Но редко.
90% безопасников думают не о безопасности, а о прикрытии своей попы, когда безопасность будет нарушена (а она всегда будет нарушена рано или поздно). А за "… не обеспечил ..." безопасник часто может и присесть на реальный срок. Так что смысл работы безопасника сводится к двум пунктам:
1) Скидывание ответственности на пользователей/разработчиков
2) Закрытием всего и вся, пока рабочий процесс не начнёт нарушатся и генеральный не начнёт стучать его по голове
Нет. Я видел и нормальных, грамотных безопасников, которые помнят, что доступность, простота сервисов и лояльность сотрудников — жизненно необходимый аспект безопасности. Но редко.
В 2005 году писал диплом с разработкой собственного криптографического алгоритма. Впоследствии этот алгоритм использвоался при реализации решения по одному из грантов ВПК. Окончательную версию доработанного алгоритма приняли лишь спустя 6 лет. Всё это время алгоритм дорабатывался по результатам анализа защищенности, исправлялись уязвимости и баги.
В начале пути я себе и представить не мог, насколько это всё сложно, наивно полагая, что достаточно реализовать общеизвестные подходы.
В начале пути я себе и представить не мог, насколько это всё сложно, наивно полагая, что достаточно реализовать общеизвестные подходы.
Независимый аудит открытого кода профессиональными экспертами — лучшая гарантия его надёжности.
«Полную гарантию может дать только страховой полис»
Во всем этом интересен практический аспект. Чтобы не разрабатывать своё, нужна некая система проверенных криптографических примитивов и правил их комбинирования, если угодно — «исчисление крипто-объектов» (по аналогии с математикой). Нечто, из чего как из кубиков можно было бы построить любую криптосистему, начиная от защищенного соединения между двумя пирами и заканчивая навороченной криптовалютой.
Надо, чтобы стоимость взлома была выше стоимости информации. Когда изобретут квантовые компьютеры, то стоимость взлома упадет и неизвестно, что быстрее сломают — известные алгоритмы или неизвестные.
НЛО прилетело и опубликовало эту надпись здесь
может я не уловил из статьи (статья занятная), но мне не очень понятно, когда возникает потребность разрабатывать собственную криптографию, немного как-то безумно звучит.
Например, когда нет библиотек под среду исполнения. Скажете, есть всё под всё? ОК, гугл, сказал я 13 лет назад, дай мне готовый AES под 8-битный контроллер с 8 Кб RAM (ATMega, если кому интересно). Не будем сейчас обсуждать «зачем, почему не АРМ» — надо и всё, архитектура была такая. В итоге пришлось (очень несильно) допиливать напильником некий референсный код на С, да так, чтобы осталось памяти под USB stack и некие прочие плюшки. Допилил… но многие в таких ситуациях придумывают велосипед и костыли, имея в результате сабж.
немного не соглашусь с автором, лет 14 назад,
собственный простенький алгоритм шифрования, спас меня от многих проблем, может быть и от тюрьмы.
Плюс, небольшое сокрытие информации в использование архиваторов, про которых все забыли — дали просто Суперский результат в деле сохранения авторских прав и сокрытия исходников.
Так что… двигатель пилить некогда не поздно, и теория безопасника в чем то имеет право на существование.
собственный простенький алгоритм шифрования, спас меня от многих проблем, может быть и от тюрьмы.
Плюс, небольшое сокрытие информации в использование архиваторов, про которых все забыли — дали просто Суперский результат в деле сохранения авторских прав и сокрытия исходников.
Так что… двигатель пилить некогда не поздно, и теория безопасника в чем то имеет право на существование.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Свой криптографический протокол — опасная идея