Existe-t-il des preuves à l'appui de ces consignes de sécurité de base?

Nov 25 2020

L'organisation Tech Solidarity fournit une liste de directives de sécurité de base , décrites par Jeff Atwood comme

... de l'or pur et a été approuvé par de nombreux professionnels de l'industrie ...

De cette même organisation, il existe également une liste de directives de sécurité pour les campagnes du Congrès (avril 2019).

Voici quelques citations de ce document:

  1. Désinstallez tous les logiciels antivirus. ... La seule exception est Windows Defender.

  2. Vous devez utiliser un iPhone, modèle 6 ou version ultérieure. Les téléphones Android ne sont pas sûrs à utiliser.

  3. Utilisez Google Chrome comme navigateur par défaut sur votre ordinateur portable. ... Évitez Safari et Firefox

Celles-ci semblent être des affirmations assez fortes.

Malheureusement, aucune référence n'est fournie.

J'ai passé un certain temps à essayer de trouver des informations qui étayent ces affirmations, mais ce que j'ai trouvé semble soit ancien, peu concluant ou opiniâtre. Par exemple, il y a une discussion intéressante sur les téléphones iPhone et Android ici , mais cela ne concerne pas l'Android stock. Cela explique comment un logiciel antivirus ne peut pas protéger contre toutes les menaces, mais ne dit pas de ne pas en utiliser, et cela explique comment il est difficile de comparer la sécurité du navigateur.

Les directives ci-dessus sont-elles toutes fondées sur des opinions ou existe-t-il un consensus (parmi les experts en sécurité) sur ces sujets?

Notez que je demande des faits qui soutiennent ou s'opposent à ces affirmations.

Réponses

2 LjmDullaart Nov 26 2020 at 15:49

Ce groupe se décrit comme:

Depuis 2018, le groupe se concentre sur la collecte de fonds auprès de la communauté technologique pour les candidats à une fonction publique.

Il ne prétend pas connaître les TI, mais il suggère que ses conseils ont été jugés utiles. En outre, il fournit des conseils pour un groupe spécifique de personnes, dans la page citée, pour les membres du congrès / candidats.

La raison pour laquelle tous les articles ne sont pas concluants ou fortement avisés est que cela est normal dans notre ligne de travail. Très peu lisent les transactions IEEE sur les ordinateurs ou toute autre littérature scientifique. Et bien sûr, de nombreux incidents de sécurité ne sont pas signalés, donc les statistiques ne sont pas fiables. Il n'y a pas de véritable consensus sur aucun de ces sujets. Par exemple: tous les éditeurs d'antivirus produisent des statistiques indiquant que l'antivirus EST efficace, avec quelques statistiques sous-jacentes.

Les alternatives aux antivirus pour se protéger offrent une vue équilibrée sur les antivirus .

C'est un fait bien connu que l'antivirus consomme beaucoup de ressources. Cela ne devrait pas nécessiter de preuve supplémentaire. D'autres (comme datapot.net) indiquent, sur la base de statistiques qui:

En moyenne, les logiciels antivirus ne réussissent qu'à 25% à détecter les logiciels malveillants.

Les statistiques sur les virus informatiques et les logiciels antivirus montrent que, malheureusement, les applications malveillantes gagnent la bataille. Actuellement, les programmes malveillants «populaires» ont une journée sur le terrain, même contre les logiciels antivirus haut de gamme. Il n'y a pas de mur totalement impénétrable; certains virus et chevaux de Troie passent sans être détectés lors de la première rencontre avec l'antivirus.

L'efficacité de la signature de code semble principalement dépendante du processus de signature. Notez que l'application de la signature de code est absente de la liste des conseils fournie.

La déclaration audacieuse:

Les téléphones Android ne sont pas sûrs à utiliser.

est trop générale et l'affirmation selon laquelle IOS serait sûr est difficile à prendre au sérieux. Recherchez Siri et son utilisation de sous-traitants pour écouter, par exemple.

Les conseils du navigateur semblent plus religieux que basés sur la réalité. La sécurité réelle du navigateur semble plus dépendante de l'utilisation de plug-ins, de Javascript (ou d'horreur: toujours Flash!) Et autres. Notez qu'ExpressVPN a une vision différente de la sécurité; ils ont le top 7 suivant:

  1. Navigateur Tor
  2. Firefox
  3. Courageux
  4. Chrome
  5. Safari
  6. Opéra
  7. Bord
1 Limit Nov 26 2020 at 16:04

Je crois qu'il est important de comprendre que ces lignes directrices sont un complément à leur formation.

Merci d'avoir participé à une session de formation! Nous avons couvert beaucoup de terrain, donc ces notes sont destinées à servir de référence et de rappel des conseils que nous vous avons donnés.

Ils ressemblent à des opinions / préférences.

Comme mentionné dans les directives, ils ne recommandent pas seulement d'utiliser Chrome tel quel. Ils recommandent également d'ajouter certaines extensions à Chrome. Cela me semble raisonnable.

Bien qu'ils n'aient fourni aucune référence publiée, ils ont fourni le raisonnement de ces lignes directrices. Je n'arrive pas à penser à des références qui me viennent à l'esprit, mais peut-être qu'ils ont expliqué ces points lors de la formation?

Bien sûr, c'est votre choix de les croire ou non.

1 mentallurg Nov 30 2020 at 03:57

Ce ne sont que les préférences personnelles de ces gars. Regardez par exemple leurs conseils sur le gestionnaire de mots de passe. Ils suggèrent d'utiliser 1password qui présente d'énormes problèmes: il s'agit d'un code source fermé, donc personne ne sait ce qu'il fait réellement avec vos mots de passe; comme option principale, ils suggèrent de stocker vos mots de passe sur leur serveur, encore une fois, personne ne sait qui peut vous lire les mots de passe sur leurs serveurs; même s'ils sont stockés sur Dropbox, vous ne pouvez pas être sûr que personne d'autre ne peut déchiffrer et lire vos mots de passe.

Idem pour les autres recommandations. Ils sont très discutables.