Отпечатай - Устройство със относително добра сигурност

Здравейте,

Ще ми се да събера мненията ви за сигурността на различни устройства (телефони, таблети, ел. бележници (кой ли ползва вече такива) и всякакви устройства които могат да се използват за съхраняване на лична информация и да не са 15''.
Идеята е, да се подбере устройство което може да се ползва за целта.
Интересува ме криптиране на данните, дали и каква информация събира производителя (разпространителя) на устройството и разбира се как може да бъде защитено то.
Ясно е, че няма абсолютно сигурна система, но има такива които могат да откажат по-слабите нападатели и да затруднят силните такива.
Давайте мнения - ако открия нещо интересно междувременно, ще пиша.

P.S. gat3way, ако темата ми не става за този раздел, моля за извинение и благодаря, че ще я преместиш.
Иначе се надявам на твоите мнения :)

sisosiso: благодаря, четох тази тема, но май не съм рефинирал целта достатъчно.
n00b: доста убедителни са, но не харесвам големите корпорации и още повече, че винаги си оставят вратички, за да "помагат" на "властите".. Ще прочета още, може пък те да са решението.

Иначе май ми трябва мобилно устройство, в моето да може да се запазва информация (календар, задачи, велики лични прозрения..) която да не може лесно да бъдя извлечена.. ако щеш дори и компанията производител да не може да подслуша/изчете, без да се потруди здраво. В този ред на мисли, не знам например (ако има, а сигурно има) бележниците (по скоро данните) на App1e устройствата дали се криптират? А как да съм сигурен, че не се пази вратичка от производителя или се синхронизират тайно, за да могат да бъдат прочетени?

Цитат на: Toryx в May 06, 2013, 21:37

Иначе май ми трябва мобилно устройство, в моето да може да се запазва информация (календар, задачи, велики лични прозрения..) която да не може лесно да бъдя извлечена.. ако щеш дори и компанията производител да не може да подслуша/изчете, без да се потруди здраво. В този ред на мисли, не знам например (ако има, а сигурно има) бележниците (по скоро данните) на App1e устройствата дали се криптират? А как да съм сигурен, че не се пази вратичка от производителя или се синхронизират тайно, за да могат да бъдат прочетени?

Според мен никога не можеш да бъдеш сигурен на 100% че който и да било производител не оставя задна врата в продуктите си. Преди време имаше скандал около OpenBSD че някой от девелоперите на IPSec протокола/демон (не си спомням точно) беше оставил задна врата. Естествено Theo de Raadt отрече слуховете но това е съвсем нормално. След като в смятаната за най-сигурна ОС в света стават подобни фалове какво остава за останалите... а за комерсиалните (затворените) направо не ми се мисли.

Хайде и от мен едно скромно мнение: За Аппле може да си 200% сиурен, че там има вратичка с големината на Тодорини кукли, а във "вратичката" има вратичка, за да не стане зян и не дай Боже юзвера остане нечут и неследен. За мен решението е: чакаш излизането на нормален линух телефон с избор между Убунту фон и Sailfish - ако не ме лъже паметта и двата се чакат някъде през есента. Инсталираш по предвидения от производителя начин LUKS, боцваш SD карта и я криптираш. Голям недостатък е, че информацията ще се чете, докато телефона е включен и картата е в него, освен ако не си предвидиш таймаут, в такъв случай пък ще трябва да въвеждаш парола периодично, което води до намирането на някакъв разумен компромис между сигурност и удобство.

Не съм попадал никога каквото и да е на Епъл, но споделям по-горните изказвания от това, което съм чел из нета и съм подочул от приятели. Колкото до изцепките на Гугъл, в последно време много започнаха да ме дразнят с алгоритмите си и всевъзможния софт за каквото и да е. На пръв поглед само по-задълбочен прочит на лицензното споразумение на Гугъл Драйв (например) може да те ориентира. За капак с нов телефонен номер, който ми го имат 20 човека и в нета го вписах само на едно място (Gmail), след ок. 2 часа по-късно ми се обадиха от някакъв номер от Хонк Конк за "проявения от мен интерес към брокерските агенции". ОМГ! Най-добре на каквито и да е устройства гледай да слагаш линукс и гледай какво влиза и излиза (портовете). Блокирай всичко нежелано или непознато. Големите корпорации направо се оср*ха и продължават да се мажат. ownCloud е добро ревение. В общи линии в Мрежата започва да става доста "доброволно споделяне на информация" и става все по-сигурно всичко да си правиш сам (e-mail, web etc.), а не да разчиташ на "Големите". Лично аз спрях да използвам и Скайп и преминах на Teamspeak. Ест. пак с блокажа на два порта.

Подкарай си caldav сървър някъде и си го ползвай през телефона (за Андроид има безплатен плъгин към календара за sync-ване с твои си caldav сървъри - https://play.google.com/store/apps/details?id=org.gege.caldavsyncadapter&hl=en ). Добре би било това да става върху SSL.

Що се отнася до сигурността, специално за Андроид - Гугъл ако иска може да види каквото си иска защото може отдалечено да инсталира и премахва приложения. Такъв случай има добре документиран - както и механизма по който се случва. В този ред на мисли няма проблем да ти инсталира приложение, което ти изчита данните и ги праща при тях. Въпросът е защо им е да го правят.

Мисля че по-големият проблем е вероятността за физическо посегателство - примерно краднат ти таблета/телефона. Отново за андроид - screen lock-а сe преодолява относително лесно ако човек знае какво прави (особено ако случайно си оставил USB debugging-а включен, но и да не си го оставил, не е чак такава драма в повечето случаи, само дето е по-пипкаво). Андроид (поне след някоя версия, мисля 4.0) има т.нар "full disk encryption" наклонности. Не много отдавна дълбах по този проблем - умниците са направили нещо подобно на силно окастрен LUKS, доста по-несигурна имплементация. PIN кодове до 10 цифри спокойно се брутфорсват до няколко часа с достъпен хардуер (ограничението и за пароли и за PIN-ове е до 16 символа мисля). Така че ако ще разчиташ на това, избираш някаква достатъчно силна и достатъчно дълга парола.

Имай предвид също така че encryption-а в Андроид е ужасно зле замислен и случи ли се да се счупи един байт където не трябва във footer-а, цялата файлова система си заминава. Допълнително има само една парола (за разлика от LUKS с keyslot-овете) и процесът е необратим (веднъж активираш ли го, няма връщане назад). Така че не е лоша идея да си правиш backup от време на време.

На мен пък друго ми е по-любопитно! Какво толкоз ценно може да има в компютъра на някой който едвам връзва двата края или каква полезна информация къде браузва и тем подобни може да има в него за трета страна, че да бъде обект на шпиониране!???
Ако пък не е от тези хора, тези неща ми се струват твърде много специализирани за да си ги осигури сам разбирач по всичко и би било по-добра идея да се консултира със добри и доказани специалисти в тази област и да инвестира в подходящия за целта хардуер.
Аз лично не съм се интересувал, но за големите корпорации опазването на информацията е много важно и не може да няма ефективни специализирани решения.

Цитат на: backinblack в May 07, 2013, 12:51

На мен пък друго ми е по-любопитно! Какво толкоз ценно може да има в компютъра на някой който едвам връзва двата края или каква полезна информация къде браузва и тем подобни може да има в него за трета страна, че да бъде обект на шпиониране!???

т.е. имаш предвид за какво им е на организации като Google да следят всеки потребител за щяло и нещяло или просто че човека е прекалено параноичен? Според мен въпроса е по-скоро принципен. Дори и да няма какво да крия ще ми бъде крайно неприятно някой да следи действията ми.

Цитат на: backinblack в May 07, 2013, 13:45

След като ползваме услугите на тези организации, значи малко или много ги харесваме и това какво правим в нета им помага да си ги подобрят с което да печелят повече и да ни предложат и на нас по-добри услуги.

Съгласен съм и даже до известна степен вече съм свикнал с това. Най-големият проблем според мен е че човек няма как да бъде сигурен че продуктите които купува от компании които се занимават само с информационна сигурност му гарантират някакво високо ниво на защита. Лично аз няма как да бъда сигурен че тези компании не са вербувани от правителства или други трибуквени тъмни организации. На някой ще му прозвучи смешно всичко това на за съжаление в наши дни може да се очаква абсолютно всичко. Наскоро попаднах на класация за 10-те най-големи гафа с кражба на информация за всички времена и единия от тях беше с RSA (вече EMC2), от която са били откраднати данни от които става ясно как може да се редуцира сигурността на техните token устройства.

//off
За съвременният век - тефтерче с молив. А и при 'проблем' винаги може да изедеш листчето.

Няма какво да му се развали....Леко е.. контраста е отличен....'батерията' ще му кара вечно и няма нужда от зареждане....Много бърз и лесен достъп до информацията.....с много подстраници. Няма боот тайм. Няма вируси и back doors....Саморазграждащ се продукт - екологично чист и не замърсява околната среда....

Цената му е много атрактивна: минимум 100-тина пъти по евтин от електронният му еквивалент...

ПС: опс sisosiso ме е изпреварил с тефтера и молива. така е като ме мързи да чета.

Цитат на: balaban в May 07, 2013, 14:18

Цитат на: backinblack в May 07, 2013, 13:45
След като ползваме услугите на тези организации, значи малко или много ги харесваме и това какво правим в нета им помага да си ги подобрят с което да печелят повече и да ни предложат и на нас по-добри услуги.

Съгласен съм и даже до известна степен вече съм свикнал с това. Най-големият проблем според мен е че човек няма как да бъде сигурен че продуктите които купува от компании които се занимават само с информационна сигурност му гарантират някакво високо ниво на защита. Лично аз няма как да бъда сигурен че тези компании не са вербувани от правителства или други трибуквени тъмни организации. На някой ще му прозвучи смешно всичко това на за съжаление в наши дни може да се очаква абсолютно всичко. Наскоро попаднах на класация за 10-те най-големи гафа с кражба на информация за всички времена и единия от тях беше с RSA (вече EMC2), от която са били откраднати данни от които става ясно как може да се редуцира сигурността на техните token устройства.

Във всяка една сфера си има компании и компании, но пък и-нет ти дава достатъчно възможности да разбереш за всяка една какви са отзивите и да си прецениш дали да и се довериш.
С доверието няма как да се разминеш, щото ако имаше познанията сам да прецениш колко са надеждни решенията и, то ще си го направиш сам и няма да имаш нужда от нея. Та за това съм и на мнение, че точно прекалената мнителност и параноя най-много вреди.
Веднъж закупено устройство или цялостно решение си иска в последствие обслужване. Сам ли ще си го обслужваш?
Ако имаш чак толкоз важна информация, довери се на професионалисти и си гледай твоята работа която най-много си разбираш и се кефи на благинките които ти дава и-нета без да мислиш за глупости.

Доста мнения, не съм очаквал такъв интерес.
Благодаря на всички, а сега моите реплики:
@balaban: съгласен съм, няма как да съм сигурен, но аз не търся 100%, примерно и 77 са достатъчни ;-)
@sisosiso: бележник и моливче са перфектната система само ако информацията която си записал, е криптирана. А нещо не ми се ще, да си разшифровам графика 5 мин... Иначе, благодаря положителните мнения за iPh0ne се трупат.
@dejuren: Да, някакъв Linux телефон ми се ще, разглеждах днес Sailfish - Jolla са си поставили големи цели, дано е говото по-бързо - ще ми се да ръчкам :)
@jet: Това ми се струва удобно, само ако имаш Лаптоп, а идеята ме е да преносимо устройството.
@villynull: неприятна история - това са гадните реклами и кеширане и следене на потенциални клиенти, гледат как да те направят потребител гадовете :/
@laskov: и аз имам един, ама е толкова прост, че не става и телефонни номера да пазя лесно :(
Raspberry Pi може, ама трябва сам да си го направя - да се добави екран, да се намери подходяща кутия, а и клавиатура ще трябва да влача..
@The_Ghost: Така, така - това изглежда много интересно, още повече, че е нещо достъпно на пазара в момента. Можеш ли да споделиш повече? Може ли да се инсталират линукс приложения, имаме ли пълен достъп до системата? Ще разгледам след малко.
@gat3way: Отдалеченият достъп ме отвежда пак до физическото устройство което ще ползвам да се свържа.. и това е проблема :)
Никак не ми се иска отдалечено да инсталират без мое разрешение, тъй че дроидите май отпадат.
На нокията по-горе, дали може да се подкара LUKS?
@backinblack: Мисля, че се справям малко по-добре от "едва да свързвам двата края" но въпроса предполагам е резонен, та:
Ти обичаш ли да казваш всичко на всеки? Да му споделяш кога къде си, какво ще правиш, с кого ще го правиш, колко дълго и дали ти е харесало ;-) ? Защото аз не обичам, искам личният ми живот да си е мой - аз да прецянявам какво ще споделям и с кого ще го споделям - това е цялата работа със шпиономанията.
Иначе за доверието си прав, трябва да прецениш до каква степен можеш да се довериш на някого, и правилната преценка понякога е жизненоважна. Е, аз не искам да се доверявам на големите играчи безрезервно.
@Naka: Тефтерчето ме е предавало, само когато е попадало във врага.. ама нали не съм го криптирал, мой си е проблема :-)
@Oxy: Приемам критиката.
@dilyan, b2l: разправяйте - какви проблеми имат тези устройства? и ако знаете защо Обама е престанал да го ползва - може би са му дали от специалните хандделди на специалните служби? (последното е за go_fire)

Цитат

@backinblack: Мисля, че се справям малко по-добре от "едва да свързвам двата края" но въпроса предполагам е резонен, та:
Ти обичаш ли да казваш всичко на всеки? Да му споделяш кога къде си, какво ще правиш, с кого ще го правиш, колко дълго и дали ти е харесало ;-) ? Защото аз не обичам, искам личният ми живот да си е мой - аз да прецянявам какво ще споделям и с кого ще го споделям - това е цялата работа със шпиономанията.
Иначе за доверието си прав, трябва да прецениш до каква степен можеш да се довериш на някого, и правилната преценка понякога е жизненоважна. Е, аз не искам да се доверявам на големите играчи безрезервно.

На никого не пожелавам да е в групата на тези които едвам свързват двата края и се радвам, че не си от тях.
Аз лично имам доста опит с хората и или трудно или хич не съм се разбирал с такива потайни към които според теб се числиш, че и почти винаги съм имал и проблеми с тях и вече още от самото начало като ги преценя, че са такива и бягам.
Аз съм прекалено открит и това не ми е навредило или, поне аз не виждам вреди. ФБ профила ми е нацяло "огъзен" без нищо скрито за "приятели" и "не приятели", а над 10 години пиша по форумите само с този ник. Ползвам си Гугъл профила да ми пази резултатите от търсенията и съм доволен.

@backinblack: Твърде бързо ме оцени и май не ме разбираш съвсем, но не се сърдя (много;)
Надявам се да заживеем в един по-добър свят (ех...) където няма да има нужда, да се пазим от останалите хора и ще се разбираме помежду си по-добре, но според мен в България е опасно да си прекалено отворен към света. В западните обшества имат механизми за да се защитават и един от друг и от държавата (и понякога работят), но в България трябва да се спасяваме сами (или на малки групи, но внимавай - Един Българин: Войвода, Двама Българи: Войвода с чета; Трима Българи: Чета с войвода + предател. :)

Торикс, аз съм ламер, а не експерт по сигурността. Гат3 може да обясни точно детайлите. Аз само знам, че се вдигна бая шум, бб го докараха почти до фалит. С една дума другарите са оставили някакви вратички някъде си и тези устроиства можели безпроблемно да се тарашат.

Друг е въпроса, ако нашите „специалисти“ тук не могат. Те освен да ловят потребители на маймунарника, едва ли друго могат. Нашите служби от време оно се славят като най-калпавите в света. Де що има шпионска книга последните сто години и на запад и на исток все това пишат.

Ами всъщност май няма документиран случай на форсната отдалечена инсталация от страна на Гугъл, има само за деинсталация. Цялата история беше един пич, дето се занимаваше с изследване на сигурността на линукс ядрото, го наеха в една фирма дето се занимава със security research за андроид. Та пичът беше решил да провери колко е лесно да вкараш malware в store-а. Тогава гугъл се възползва от тази си възможност и отдалечено деинсталира неговите неща от всички устройства на които са инсталирани. Той пък съответно тръгна да изследва как точно това се е случило и се оказа че една от услугите на телефона подържа постоянно SSL връзка с един от сървърите на гугъл и когато от страна на гугъл му се подадат команди да инсталира или да деинсталира приложения, слуша и изпълнява.

Като изключим това, не мисля, че андроид е чак толкова несигурна система, но това е дълга тема за разговор.

Що се отнася до параноята, според мен е грешно да се залита и в двете посоки. Сигурността според мен е до голяма степен въпрос на риск мениджмънт и трябва да се отделят точно толкова усилия, колкото трябва. Излишната параноя са нищо повече от грешно хвърлени усилия и пари. Съответно, прекалено лежерното отношение може да ти излезе през носа.

Конкретно в случая, вероятността гугъл да ти инсталира каквото и да е приложение с цел да те следи или да се добере до някакви твои там данни, клони към нула. Защо да го прави?

Относно Blackberry устройствата:
- до сега няма официално обявен експлойт, вирус, и т.н. за тях, което не означава, че няма :).
- де-факто са стандарт при корпорации където сигурността е критична. Има телекоми в европа където може да си достъпиш пощата само чрез ББ (пример Дойче Телеком, 100 % от банките в Лондонското Сити);
- Почти цялата администрация в Канада, Англия, а до скоро и в САЩ бяха само на ББ. От миналата година и iPhone-а е удобрен. Под удобрение се разбира от съответните министерства на отбрани, вътрешни работи, и т.н.
- AES 256 е стандартното криптиране
- доста са консервативни при предлагане на приложения в стора от 3-ти страни ... и за това имат толкова малко приложения :)
- от OS v5 насам може да се задават правила и привилегии на всяко отделно приложение, какво може и какво не-може да прави .... бих казал дори "дразнещо подробно"
- когато ББ поддържаха VPN, сертификати и криптирания .... iOS ги нямаше, Android-а е бил само в книгите, а Уин ОС се учеха да правят мобилен интерфейс.
- RIM са едни от пионерите в мобилния пренос на данни. Заедно с Ериксон де-факто създават GPRS-a в зорите на мобилните ком.

И сега, да не си помислите, че всичко е перфектно:
- изцяло Джава базиран :) ... ако има дупка в Джавата, я има и в ББ.
- бутиков OS / телефон, с нищо не блестящ като хардуер и възможности, но много прилично дърщажи се батерии.
- слаб апликейшън стор .. почти всичко е платено ... ssh клиента е 10 $ и е само един!
- таблета им е доста слабичък като хардуер, особено издиша на мултимедията
- иска Windows Exchange ако ще си правите само от-до решение за корпоративен достъп
- скъпо ляга.

Защо му забраниха на Обама ББ?

Схемата работи така:
RIM инсталират във всеки мобилен оператор техен сървер, който прави криптирането, доставянето на услуги и т.н. Това се интегрира доста надълбоко в структурата на мобилния оператор. До там, че ББ телефон БЕЗ сим карта си получава пощата :) (ако сте си платили ББ пакета разбира се).
Та наличието на такъв сървер, управляван от RIM в комуникациите на президента Обама не им се понрави, и му се скараха да не го ползва.

@backinblack: Майтапя се, no offence - само си приказваме за света, но за да не разводняваме, ще гледам да съм по-конкретен.
@go_fire: Не се опитвах да се заяждам, само неумел опит да се шегувам беше :)
@gat3way: Благодаря, притесненията са ми не толкова от гугъл и ябълката като корпорации.
За момента искам да се предпазя от кракърите на свободна практика - ясно е, че ако някой реши и знае/може достатъчно неща, ще ме пробие (пък дори и с ключа от картинката на Окси), но поне обичайните неща да запуша ще е добре.
В този род на мисли, ако операционната система е много разпространена, има и много бореши се да я експлоатират.. като едно време с Wind0ws. Това не означава, че по-малките са по-сигурни, но ако е отворен кода, дори и аз мога да надникна.
@dilyan: Ясно, това си е фирма занимаваша се с тази работа - тоест може да се счита за една от най-сигурните, но и доста затворена. Нещо което не ми харесва :(
Но пък ако наистина започна да съхранявам ценно knowhow, може би ще са полезни.

Linux за българи: Форуми

Сигурност => Системна Сигурност => Темата е започната от: Toryx в May 06, 2013, 18:30