האם נכון שהאבטחה *כולה* תלויה במערכת ההפעלה

[goldy]

האם נכון שהאבטחה *כולה* תלויה במערכת ההפעלה

1. מהרגע שאני שומע לעצות אבטחה בסיסיות כגון 'לא להריץ קבצים שנשלחים בדואל ולא לפתוח מיילים לא מוכרים', וגם
2. לעדכן את מערכת ההפעלה לגירסה האחרונה:
אני למעשה מאובטח בצורה הטובה ביותר האפשרית, כאשר תוכנות הגנה חיצוניות זה שטויות, ואם באמת צריך אותן; זו רשלנות פושעת מטעם היצרן של מע' ההפעלה?

נגיד וללא ידיעתי הותקן סוס טרוייאני. האם נכון להניח שעידכון מע' ההפעלה יביא *בהכרח* למחיקתו ו\או חסימתו?

 

[Y. Welis]

היא תלויה במשתמש. הוא הפוסק האחרון

מודעות לסיכונים היא שתסייע למנוע אותם.
&nbsp
יצרנית מערכת ההפעלה לא מבטיחה חסינות. לא בטוח שהיא גם צריכה - התחום רחב ולא תלוי רק בה. היא היתה יכולה להיות מאובטחת יותר, אבל זה לא אומר שהמשתמש פטור מאחריות.
&nbsp
מטבעו של ה-PC (עוד מתקופת היוניקס בשנות הששים, שבה הוא החל) שהוא פתוח לשינויים ולא סגור עד הסוף. זה קיים בכמעט כל אספקט שלו. תמיד יהיו פריצות, וצריך להיות מודע לכך.

 

[goldy]

*תמיד*?

מה הסיכוי ש"ארגז חול" יהיה חלק בלתי נפרד ממע' ההפעלה?

 

[orell]

בוא האמר שזה נכון ולא נכון

נאמר שאתה יושב בבית קפה ונכנס לאתר בנק הרצל למשכנתאות לבדוק את החשבון והאתר לא עובד בhttps באחריותר לא להכנס לאתר ולעבור בנק כי הם חאפרים, במידה ואתה ממשיך לעבוד באתר שלהם יש סיכון שמישהו יבצע התקפה על הדפדפן שלך.
אז מצד אחד זאת אשמתך שלא שמת לב לדברים חשובים ומצד שני אשמת הבנק שהוא עובד לא מאובטח..
זה אחד ממאות דוגמאות .
כמובן שצריך להיות עם מערכת הפעלה מעודכנת ולא לעבוד עם מערכות הפעלה לא נתמכות .. ולבצע עדכונים תמיד.
מקווה שעזרתי

 

[Piav]

עדכונים למערכת ההפעלה מטרתם לתקן פרצות אבטחה

לשאלתך, לא נכון להניח שעדכון יביא בהכרח לשיבוש פעילות תוכנה זדונית. אם התוכנית הזדונית מנצלת פרצת אבטחה שמטופלת ע"י עדכון ספציפי, אז כן, חופש פעולתה עלול להצטמצם (ראה דוגמת W32.Blaster). אולם לא כל תוכנה זדונית בהכרח מנצלת פרצת אבטחה ומאחורי כל עדכון לא עומדת בהכרח פרצת אבטחה המנוצלת ע"י קוד זדוני. האם ניתן להאשים מתכנת ברשלנות באם קוד שכתב ניתן לניצול? זו שאלה משפטית שכיום התשובה אליה היא (למיטב ידיעתי) לא. כן, לפעמים המתכנת לא חושב על כל מקרי הקצה ובעיקר לא חושב כמשתמש זדוני שדג את אותם המקרים ובינינו, אני לא יודע עד כמה אפשר להאשים אותו.

 

[goldy]

האם 'ארגז חול' מובנה הוא פיתרון אל-כשל?

 

[יוזר מחופש]

לא

גם ארגזי חול יכולים להפרץ. וגם אם הם לא נפרצים, ברגע שהמידע יוצא החוצה ביוזמתך (נגיד, העברת כספים דרך אתר הבנק) אתה תלוי בכשלי אבטחה אחרים.
&nbsp

 

[Piav]

וגם אם הוא יוצא שלא ביוזמתך...

תוכנה שקוצרת מידע מהמערכת ומעבירה אותו למערכת מרוחקת יכולה לסיים את עבודתה באין מפריע גם תחת ארגז חול. אז אולי מחר היא כבר לא תהיה שם הודות לארגז החול, אבל מה שהועבר, הועבר.

 

[Y. Welis]

אין פיתרונות כאלה. כל דבר ניתן לפריצה

אין מנוס ממודעות אישית.