Rsa: när säkerhetsproffsen skruvas upp

När säkerhetsproffsen skruvar upp

Stödet på golvet vid RSA-konferensen i San Francisco har SecurityWatch-teamet frågat några av de största säkerhetsnamnen om de tider då de har blundat. Det är en nykterande påminnelse om att vi alla är mänskliga och en bra uppdatering på vissa säkerhetsgrunder.

Glöm och förlåt (dig själv)

När han frågades i ett "konfessionellt" ögonblick om en tid då han skruvade upp behövde White Hats grundare och teknikchef Jeremiah Grossman tänka två gånger innan han berättade om hur han nästan förlorade alla sina krypterade data. Inte till en hack, inte till arbetet med en snuskande myndighet, utan enkel glömska.

Grossman har redan berättat om det smärtsamma avsnittet i detalj på White Hats blogg, men grimas medan han berättade om det igen. Som en säkerhetsinriktad man hade han gått till ytterligheter för att säkra sina uppgifter. "Jag är inriktad på attacker, " förklarade han, varför han lagrade all sin information på krypterade, virtuella enheter. "AES-256 krypto, " sade Grossman. "NSA-grejer." Problemet är, en dag fann han att han helt enkelt inte kunde komma ihåg sitt lösenord.

Detta var inte ett enkelt lösenord; Grossman sa att han hade ett mentalt system som innebar att han kunde komma med extremt långa lösenord och aldrig behöva skriva ner dem. Förutom den gång han behövde dem mest, fann Grossman att han inte helt kunde komma ihåg det kritiska lösenordet. "Jag visste att jag gick med sex karaktärer, " sade han.

I slutändan fick Grossman lite hjälp från skaparna av John the Ripper, som kunde knäcka sitt lösenord och återställa hans data. Det var en ödmjuk upplevelse, för att vara säker, och en som illustrerar varför det kan vara användbart att ha ett fysiskt lösenord.

Skamningarna fortsätter tills moralen förbättras

I den andra änden av spektrumet var Lookouts Senior Product Manager, Derek Halliday, som berättade om företagets speciella metod för att upprätthålla säker datapraxis. Lookout producerar en mobil säkerhetssvit för Android, som fick PC Magazines redaktörs val förra året. Det verkar dock som om företaget hade ett eget säkerhetsproblem, där anställda lämnade sina datorer utan tillsyn medan de fortfarande var inloggade.

Det kan tyckas vara ett litet problem i en kontorsmiljö, men det betyder att vem som helst kunde ha kommit med och stulit känslig information. Eller, ännu värre, lagt till en del skadlig programvara till systemet som ansvarar för att skydda miljoner mobilanvändare.

Lösningen som Lookout använder är lika elegant som den är brutal. Varje anställd kan, efter att ha upptäckt en oskyddad dator, gå rätt upp och skicka ett e-postmeddelande från maskinen till en speciell intern lista som sänds företagsbrett tillsammans med ett besvärligt meddelande till datorns ägare. Detta förklarar offentligt vem som skruvade upp och hur, vilket gör gärningsmannen till en veritabel Hester Prinn på kontoret.

Även om Halliday inte sa hur eller om han personligen hade varit inblandad i detta, eller om det fungerar, höll han med min slutsats att negativ förstärkning är ganska effektiv. Detta är dock en säkerhetsteknik som jag hoppas att PC Mag inte bestämmer sig för att testa.

Se till att hålla dig uppdaterad om fler av våra inlägg från RSA!