Get best of the week

我们会分析有关保护个人数据和信息安全的建议-您应注意的事项

前几天，我们看了许多有关IT，社会工程，病毒和黑客组织历史的风险的书。今天，我们将尝试从理论转向实践，并看看我们每个人都可以做什么来保护个人数据。在Habré和媒体上，您可以找到大量的基本技巧：从使用密码管理器和二元身份验证到对信件和潜在的网络钓鱼迹象的专心态度。

毫无疑问，这些措施作为网络卫生的基础很重要，但您不仅应限于这些措施。我们谈论使用Internet服务时有关信息安全的不太明显的观点。


照片-Bianca Berg -Unsplash

用密码代替密码


使用复杂密码的管理人员无需记住它们。但是，密码管理器始终是便利性和可靠性之间的折衷方案。开发人员有时会泄漏。例如，在2015年，黑客窃取了 LastPass电子邮件地址和用户安全问题。

考虑到这一点，许多信息安全专家（包括 FBI波特兰办事处的代表）更喜欢与身份验证者一起使用的另一种选择-密码短语。与带有特殊字符的字母数字密码相比，它们更容易记住。

同时，它们被认为更可靠-早在2015年，计算机科学领域的专家Evgeny Panferov在数学上证明了加强对蛮力攻击的保护，必须扩展标识符，并且不因数字，点阵和星号而增加其复杂性（第2页）。xkcd漫画的作者也谈到了开发人员的工作日，也说明了这一概念。


照片- 埃里克·麦克莱恩 - Unsplash

E-边境工程师（EFF）都支持使用密码的想法。他们甚至提出了一种不寻常的生成方法-使用骰子。 EFF编制了6万个英语单词的列表，并将每个单词与出现在立方体上的特定数字序列进行比较。

只需选择六个单词即可获得25-30个字符的随机标识符。建议掷骰子，因为人脑无法生成随机的数字序列。我们下意识地努力选择对我们没有任何意义的数字。因此，早在1890年，英国心理学家弗朗西斯·高尔顿（ Francis Galton）写道，骰子是最有效的“随机产生器”。

不需要密码轮换


我们每个人每月或六个月都要一次更改帐户密码的要求。但是，Spycloud的安全公司负责人Ted Ross 表示，这种轮换毫无意义。

它鼓励用户仅略微修改密码并重用过去的标识符。所有这些都会损害您帐户的安全性。在美国国家标准技术研究院（NIST）也进行了审议。他们正在开发新的密码框架。顺便说一句，它已经在Microsoft中实现-自去年以来，Windows 不再要求用户定期提供新的身份验证数据。

标识符仅在受到威胁时才应更改。有特殊的工具可以验证这一事实，例如，熟悉的服务Many Have I Pwned。只要输入您的电子邮件地址，它就会显示该电子邮件是否在任何泄漏中“暴露”了出来。您还可以设置通知-如果发生新的“排水”，将收到通知。


Photo- Nijwam Swargiary -Unsplash

更换泄漏的网络密码应该用于很长时间没有激活的帐户。但是最好完全删除这些帐户。如果无人看管，它们可能会导致个人数据受损。即使是一小部分信息也将帮助攻击者收集其他服务中有关“受害者”的丢失信息。

在某些资源上，关闭帐户的过程不是那么简单。有时您必须与技术支持进行通信，有时-需要很长时间才能在界面中寻找所需的按钮。但是，有些工具可以简化此任务。例如，JustDeleteMe是简短说明和用于禁用帐户的链接的目录。这是Chrome的扩展程序，它向多功能栏添加了一个特殊按钮。通过单击它，将打开一个页面，以禁用当前资源上的帐户（如果可能）。然后，仍然可以按照说明进行操作。

在特殊的OS上处理文档


大约38％的病毒构成了坞站文件。今天，它已成为最常见的黑客攻击媒介之一。如果在云编辑器中打开可疑文档，则可以保护自己免受以这种方式分发的恶意软件的侵害。 EFF专家指出，在这种情况下，几乎可以肯定地阻止了恶意软件的安装。但是此方法不适用于机密文件-有将其公开的风险。例如，在2018年，用户的个人Google文档进入了公共领域-它们被搜索引擎索引。

电子前沿基金会的工程师说，安装特殊的操作系统可能是保护自己免受PDF和DOC病毒侵害的一种方法。（可能在IaaS提供商的云中）以读取电子文档，例如Qubes。其中，操作系统和用户的操作在单独的虚拟机上执行。因此，如果其中一个组件遭到破坏，则恶意软件将被隔离，并且将无法访问整个系统。

（不）自动更新安装


信息安全专家（例如Tech Solidarity和FOSS Linux的工程师）建议为操作系统和应用程序设置自动安装安全更新。但是，这种观点并非所有人都认同。


照片-Rostyslav Savchyn -Unsplash

如果及时更新，则可以真正避免黑客入侵IT系统的很大一部分。一个明显的例子是Equifax 泄露了1.4亿美国居民的个人数据。攻击者使用了Apache Struts框架（CVE-2017-5638）中与异常处理错误有关的漏洞。为她出现了一个补丁在对Equifax的攻击前两个月。但是自动更新可能不会带来最令人愉快的后果。在某些情况下，新的“补丁”解决了一个问题，却又产生了另一个问题-更为严重。由于删除用户的个人文件时出错，Microsoft在2018年不得不停止发行新版本的操作系统。

我们可以得出结论，应该尽快安装更新，但要小心。在发布补丁之前，您应该研究其行为，阅读评论并根据找到的信息做出决定。

下次，我们将继续讨论不寻常的建议，这些建议将有助于保护IT系统免受入侵者的侵害。我们也有兴趣聆听您使用哪些解决方案来提高信息安全性-在评论中分享它们。

我们在1cloud.ru提供私有云服务。您可以为项目租用虚拟基础架构。对于新客户-免费测试。
我们使用思科，戴尔和NetApp的企业级设备。虚拟化基于VMware vSphere虚拟机管理程序构建。

More articles:


All Articles