題:
為什麼守法公民需要強有力的安全保障?
Ian C.
2011-09-25 20:05:52 UTC
view on stackexchange narkive permalink

我遇到的關於安全性不足的投訴的外行反對論點似乎總是採用以下形式:

如果您沒有做違法的事情,就不需要安全性。

這種回答至少可以說令人沮喪。

您如何處理人們的這種反應?

我正在尋找可以作為例子的具體示例,這在一定程度上是因為它不是建設性的,而是因為它公然錯誤。提出的證據表明進行完全合法的活動時需要強大的安全性。我追求的是蜂窩網絡的端到端通信中值得信任的加密,Tor或VPN等網絡身份模糊服務,完整的和完全的數據破壞等領域中的示例。

我總是傾向於指出在利比亞和埃及等州的社會起義,但這些事件往往會向我遇到的太多使用此論據作為“電視上發生的事情”而非真實事物的人展示對他們或其個人自由的任何影響。因此,將其保留在第一世界的反論點在這裡真的很有價值。

這個問題是 “本週IT安全問題”
閱讀2011年10月10日的 博客條目 以獲取更多詳細信息,或閱讀 提交您自己的 本週問題。

那一定意味著總統正在做很多非法的事情……看看他擁有的所有安全。
放在一邊,但是您怎麼知道您是否在做違法的事情?甚至不計算條約,城市法律,縣法律,州法律和部落法律,僅美國法典(即聯邦法律)就包含50種書目中的27,000多頁(其中已經提出了4種)。國會研究服務局表示,它無法計算當前的聯邦犯罪數量。
我們“只知道**”所有總統都在腐敗,所有銀行都在竊取資金,並且所有使用HTTPS的在線商家都必須出售價格過高的商品。我們還知道,以明文方式傳輸您的信用卡數據的在線商家必須誠實。
您也可以用“如果沒有其他人在做非法的事情,您就不需要安全。”
十七 答案:
yfeldblum
2011-09-25 22:28:11 UTC
view on stackexchange narkive permalink

除非您是小偷,否則無需鎖定前門。

在所有相關方面都是相同的想法。

每個人都應根據對風險的最佳判斷,採取合理措施保護自己和財產免受可能傷害他或他財產的人的侵害。

您購買了一把鎖並將其鎖上您生活在一個城市中,附近有成千上萬的其他城市。這是有原因的。這也是您鎖定互聯網前門的原因。

要求查看他們的工資單或健康記錄;個人數據都是關於應保密的法律數據。
Tate Hansen
2011-09-25 22:41:31 UTC
view on stackexchange narkive permalink

我首先想到的是,“您有不想讓別人擁有的有價值的東西嗎?”

如果答案是“是”,請繼續通過“您是否正在採取任何措施來保護它?”

從那裡您可以提出保護有價值的方法的建議(進行威脅建模,攻擊建模等)。

也很好。結合@Justice's前門鎖,這是外行可以輕易消化的東西。
Bejtlich發布了有關建模差異的詳細信息:http://taosecurity.blogspot.com/2007/06/threat-model-vs-attack-model.html
Robert David Graham
2011-09-26 02:34:27 UTC
view on stackexchange narkive permalink

正如《米蘭達權利》所說:“您說的任何話都可以並且將在法庭上對您使用”。警察給您授予Miranda權利後,他們立即說:“但是,如果您是無辜的,您為什麼不與我們交談?”。這導致許多人被定罪,因為在法庭上確實使用了針對他們的罪行。這是YouTube上的精彩視頻,詳細說明了為什麼您永遠不應該與警察交談,尤其是如果您無辜的話。 http://www.youtube.com/watch?v=6wXkI4t7nuc

在美國,最常見的犯罪之一是“陰謀”。黑客通常不會因真正的黑客活動而被定罪,而是陰謀。那是因為警察有聊天記錄,討論了襲擊事件。即使您並沒有真正參與其中,也無意參與黑客攻擊,甚至試圖勸阻您的朋友這樣做,您也可能因“陰謀”而被定罪。

這實際上是一個很好的答案,不需要嘗試改變其他人的心態。事實是,不做任何非法的事情根本不足以確保您不會遇到大麻煩。 (任何關注法律與秩序的人都知道,當一個無辜的人妨礙起訴有罪的人時會發生什麼。)
Rory Alsop
2011-09-25 23:55:02 UTC
view on stackexchange narkive permalink

如果您保護系統安全,則可能會在各個司法管轄區被罰款或倒閉。具體示例:

  • 保存個人客戶數據。在英國,如果您未能適當地保護此數據,則可能會被罰款。
  • 如果您處理信用卡數據且未實現適當的安全性,則可能會發現VISA / Mastercard會禁止您使用他們的服務。
  • 如果您是SEC註冊人,但未遵守Sarbanes-Oxley準則,則可能會受到罰款或更嚴重的處罰。
  • 等等等

值得閱讀了2010年11月以來的 @Tate關於問題的問題,以啟動有關安全的對話。

好的答案,但我認為OP會更多地尋求對“ Joe Home User”有價值的答案。
user185
2011-09-25 20:42:15 UTC
view on stackexchange narkive permalink

簡單示例:

  1. 商業機密數據。這不是違法的(或者如果是的話,您應該換一份工作),但是如果機密性受到損害,則可以為競爭對手提供市場優勢。如果那仍然太抽象,那就考慮一下因為洩露商業機密而被解僱的個人影響。

  2. 身份盜用。 可能沒有做任何非法的事情,但是其他人可以您的名義這樣做嗎?

  3. ol>
M'vy
2011-09-26 17:23:26 UTC
view on stackexchange narkive permalink

安全性不是在做非法的事情,而是在別人做非法的事情(會影響到您)。

如果您不加密電話,那麼別人可能會知道您所有的銷售人員正在這樣做,可以嘗試竊取客戶。如果您不粉碎文檔,則有人可以使用所有這些信息對您的公司發起社會工程攻擊,竊取R&D數據,原型,設計...

Kromster
2011-09-26 13:26:20 UTC
view on stackexchange narkive permalink

每當有人提出這一聲明時,我總是回答:“您不能相信世界上所有的人都遵守法律。”可以使您的前門保持打開狀態,但是據我們所知,犯罪分子和很多其他人可能出於各種動機進入您的前/後門,他們知道他們可能造成的傷害。

this.josh
2012-01-25 05:58:00 UTC
view on stackexchange narkive permalink

為什麼守法公民需要強大的安全性?

個人需要保護自己的信息以保持對自己生活的控制。

雖然這句話聽起來很極端,但我相信可以用一些簡單的例子來說明這一點。

示例1:

背景:您以前是酒鬼。儘管您不再喝酒,但醉酒後會有大方的傾向。您通常還會攜帶大量現金。

馬洛里知道:您曾經是酒鬼,醉酒時比較慷慨,通常會攜帶大量現金。馬洛里還懷疑只喝兩三杯就可以喝醉了。

場景::您在一家還提供酒精飲料的餐廳遇到了一些朋友Alice和Bob,以及Bob的朋友Mallory。在您的會議期間,馬洛里會拿到桌子上的蘇打水,秘密地向蘇打水中添加不可檢測的酒精。愛麗絲和鮑勃離開。馬洛里一直在講一個關於她需要現金的悲傷故事。您給Mallory現金,卻再也見不到她。

示例2:

背景:您是公務員。您工作的辦公室有嚴格的政策,禁止員工發表違反現行法律的公開聲明。您有一個12歲的孩子。

方案::一個受歡迎的社交網站的政策是不允許年齡在13歲以下的兒童擁有自己的帳戶。您決定通過給孩子密碼來與孩子共享社交網絡帳戶。您的孩子使用您的社交網絡帳戶公開發布有關特定法律的負面評論。當地媒體會發現該帖子,並了解您的真實姓名和您的工作地點。由於受到媒體的報導,您的主管發現有必要終止您的工作。

示例3:

背景:患病的祖母獨自一人生活,收入很少。為了幫助她節省開支,您可以用便宜的VoIP服務代替傳統的電話服務。您的祖母沒有電腦,只能通過電話進行所有銀行業務。

場景::對手監視來自祖母服務提供商的VoIP呼叫,並定位發給銀行電話號碼的呼叫。您的祖母會從她的儲蓄帳戶到其支票帳戶進行例行轉賬,並向銀行代理商提供其帳號和安全代碼。對手會記錄您祖母的未加密電話,並獲取其銀行帳號和安全代碼。下次您祖母檢查自己帳戶的餘額時,餘額為零,並且以她的名字開了一個餘額大的信用卡。

“無可掩蓋”的謬論

安全性由三個公認的組件組成:機密性(機密性),完整性(未被損壞,修改或篡改)和可用性(您可以在需要時得到它)。

“無可掩蓋”的論點只會違反機密性。在某些明顯的情況下,個人希望一條信息是秘密的,而任何想要它的人都不容易獲得。最簡單的例子就是銀行卡的PIN碼。任何擁有您的銀行卡並且知道您的PIN的人都可以竊取您的錢。

其他明顯的例子是傳統的安全物品,例如警報代碼,支票帳號以及與鎖或保險箱的組合。因此,“無所不能”的論點實際上是針對那些本身並沒有明顯內在價值的活動中的信息。

讓我們以手機對話為例。

驚喜派對

愛麗絲有一個朋友鮑勃,他喜歡驚喜的生日聚會。鮑勃的其他朋友包括卡爾和埃文。卡爾喜歡偷聽手機通話。愛麗絲給埃文(Evan)打電話,為鮑勃(Bob)計劃一個驚喜生日派對,卡爾(Carl)聽著談話。在聚會的一天之前,Carl告訴Bob有關聚會的計劃。如果卡爾將聚會保密的話,鮑勃本來可以享受的娛樂價值現在已經消失了。卡爾披露愛麗絲(Alice)和埃文(Evan)之間的秘密對鮑勃(他不是秘密當事人)產生了負面影響。

典型的“無隱瞞”論點通常意味著秘密隱藏著不好的東西(非法,不道德或令人尷尬),並且秘密洩露至少會對其中一個秘密者造成負面影響。一些“無所不能”的論點認為,洩露秘密不會傷害任何人。前面的示例表明情況並非總是如此。

現在讓我們看一個匿名的例子。

匿名

愛麗絲是一個富有的人,是大學顧問委員會的成員。該大學經濟困難,可以接受私人捐款。愛麗絲想向大學匿名捐款。愛麗絲與大學的財長鮑勃(Bob)離散地討論了匿名捐贈的可能性。卡羅爾是大學董事會的另一名成員,他惡意地設法減少愛麗絲對董事會的影響。鮑勃向卡羅爾透露了愛麗絲的討論。 Carol告訴除Alice以外的其他董事會成員,Alice試圖通過進行大量匿名捐贈而在董事會不知情的情況下贏得財政部的青睞。結果,愛麗絲做出的公眾貢獻要小得多。

反對匿名的“無所不能”論點意味著希望保持匿名的人必須這樣做,因為他們在匿名時採取的行動是不良行為(非法,不道德或尷尬)。匿名向有需要的大學捐款是很難的。在這種情況下透露秘密會傷害大學,甚至可能傷害愛麗絲。此示例還說明了過度開放的部分問題,即第三方可能會誤解信息或行為。

Iszi
2012-01-25 08:45:16 UTC
view on stackexchange narkive permalink

也許可能認為您沒有什麼可以隱藏的,也許您實際上沒有做過任何非法,不道德或令人尷尬的事情(感謝@thisjosh的“隱藏的東西”類別) -那裡很好的解釋)。但是,這是您的意見。別人的意見可能不同意。那些其他人可能會利用您缺乏安全性來獲取信息,以說服與他們有相同想法的人們您做了應受譴責的事情。無論您是否同意他們的立場,這都可能對您的生活造成不良影響,從輕微的不便到極端的悲劇。

即使世界上所有人現在都同意,您對法律,道德和令人愉悅的觀點的立場確實會發生變化-法律以及某些情況下甚至是被廣泛接受的道德守則也會發生變化。您現在所做的似乎公正,公正且完全在您的權利之內的操作,以後可能會被視為冒犯他人或冒犯他人。這些其他人可能處於這樣的權威地位,可以針對這些事情制定法律,或者動搖公眾輿論以反對它們。然後,揭露您過去的行為(或正在進行的行為,如果您繼續按照自己的個人信念行事)可能會導致尷尬甚至入獄甚至更糟。

底線是這樣。如果您在保護隱私和匿名方面未採取良好的安全措施,那麼您就可以有效地信任整個世界的所有人(朋友,家人,政府和普通大眾),不要管那些誰>可能實際上是為了得到您),現在和將來都將以適合您最大利益的方式處理您的個人信息和身份信息。您相信世界現在就這樣做嗎?您相信從現在起20年後的世界會保持不變嗎?

symcbean
2011-09-26 18:08:15 UTC
view on stackexchange narkive permalink

關於為什麼安全性適用於服務提供商的許多答案-但是它適用於Internet上的所有參與者。

如果由於您的PC上的安全性不足,會被紮根並招募到殭屍部隊中嗎?如果有人使用您的WiFi路由器對在線銀行帳戶進行欺詐性交易怎麼辦?

奇怪的是,大多數轄區會模糊地看到您將裝有武器的武器放在房屋周圍,而不是放在上鎖的櫥櫃中。

同樣,如果您經營的網站未處理任何客戶提供的數據,並且該網站遭到入侵,則可能會將其用於您從未打算的目的。

那是在考慮瑪莎·斯圖爾特的情況之前。

出色的論點適用於“普通喬”的財產。不太關心[被跟踪](https://www.privateinternetaccess.com/blog/2019/01/people-start-to-wake-up-to-the-pervasive-third-party-tracking-that-comes-with-90-of-android-apps /)。
Dave
2011-09-26 20:22:53 UTC
view on stackexchange narkive permalink

這顯示出對安全性的根本誤解。

我希望安全性(任何類型)都能使我的“東西”免受定義邊界(防火牆,圍牆,門)之外的任何事物的傷害。說它只是用來阻止內部的非法活動就是fritzl-eqsue。

@woliveirajr-參見http://en.wikipedia.org/wiki/Fritzl_case-臭名昭著的案子,其中罪犯將非法活動藏在裡面。
Garrett
2011-11-04 18:31:07 UTC
view on stackexchange narkive permalink

政治回應-將對手置於防御狀態……

“您是在說我們也應該將所有身份和財務信息都放在互聯網上嗎?”

更柔和的回答(因為當您不想破壞個人/專業關係時)可以是在開個玩笑(可以說是緩和了戳戳) ...

“您是身份竊賊的最好朋友!”

或者,當更正式地表達思想時, (例如,對您的老闆而言)...

“如果使用強大但經濟高效的加密解決方案無法全面保護我們的數據,我們可能會承擔重大責任。”

“我們可能違反了要求使用加密技術保護敏感客戶數據的未決法律。”

Dale
2011-09-26 01:05:34 UTC
view on stackexchange narkive permalink

我要說“你們做白痴會降低我們其他人的安全感”,然後通過引用LastPass慘敗來跟進,他們的小失誤即使每個人都擁有,也不算是一堆豆子合理的密碼。但是,由於一些bozos具有字典單詞,因此我們所有人都處於(輕微)風險。

因此,如果壞人獲得了數據庫,並且如果用戶的主密碼很弱,那麼就有可能這樣做,在一段時間內會發生暴力攻擊。因此,出於謹慎的考慮,LastPass的人說,好吧,只需更改您的主密碼即可。很抱歉給您帶來不便。您無需更改任何其他站點密碼,只需更改一個主密碼即可。這樣一來,即使沒有採取任何行動,也不會採取任何行動,而且我們也不知道採取了什麼行動,即使遭到暴力攻擊,仍然不會受到任何損害。

來自: https://www.grc.com/sn/sn-301.htm

而不是將整個成績單粘貼到此處,如果您有興趣,您可以可以閱讀其中的更多內容,或收聽播客。

我從討論中刪除的想法是,如果每個人都有一個強大的主密碼,暴力攻擊將是不可行的。從密碼理論的角度來看,我沒有能力解釋為什麼會這樣,但是如果您查看鏈接,則該信息可能就在其中。

您可以鏈接到LastPass慘案並對其進行擴展嗎?
@DanDascalescu,我已經修改了上面的答案。
該報價無濟於事,因為有些人的密碼錯誤,所以每個人都面臨風險。
-1
我的意思是,那根本不是吉布森所說的。您似乎得出的結論與報價所說的不同。
woliveirajr
2011-09-26 23:48:20 UTC
view on stackexchange narkive permalink

您可能會問:“為什麼在使用銀行帳戶時僅輸入姓名和帳號就夠了,所以您需要輸入密碼?”

這不是一個有效的論據,因為我有與別人回答的個人經驗,“因為我被迫”。
Gennady Vanin Геннадий Ванин
2011-11-03 11:06:00 UTC
view on stackexchange narkive permalink

我會回答,這與(謬誤)推理相同:

“您沒有什麼可隱藏的,對嗎?”

,被警察用來欺騙您,以表明您同意警察對您採取非法行動。

觀看,例如:如何拒絕警察搜索

papajony
2018-11-30 19:06:27 UTC
view on stackexchange narkive permalink

正如愛德華·斯諾登(Edward Snowden)說的那樣( Video):關於言論自由,因為您無話可說”。

Christian
2018-11-30 17:36:27 UTC
view on stackexchange narkive permalink

作為守法公民,您通常會與他人達成協議,並承諾在其中保守他人的秘密。

大多數員工都讓員工簽署表格,使員工有責任保護雇主的某些機密。然後,如果員工不能通過不安全的方式處理與雇主有關的信息來履行職責,那麼他們就不是守法公民

在歐洲,GDPR要求許多人保護他們可以訪問的其他人的信息。由於GDPR的規定很容易違反,因此在歐洲成為一名守法公民可能根本不關心安全。對於美國的許多專業人員,也有法律要求他們保護信息

除了保密的法律要求外,保護您的朋友和家人的秘密也有社會義務。如果您違反了朋友和家人的秘密,則可能不會違反法律,但會違反道德規範。



該問答將自動從英語翻譯而來。原始內容可在stackexchange上找到,我們感謝它分發的cc by-sa 3.0許可。
Loading...