Há alguma prova que apóie essas diretrizes básicas de segurança?

Nov 25 2020

A organização Tech Solidarity fornece uma lista de diretrizes básicas de segurança , descritas por Jeff Atwood como

... ouro puro e foi examinado por muitos profissionais da indústria ...

Nessa mesma organização, também há uma lista de Diretrizes de Segurança para Campanhas do Congresso (abril de 2019).

Aqui estão algumas citações desse documento:

  1. Desinstale todos os softwares antivírus. ... A única exceção é o Windows Defender.

  2. Você deve usar um iPhone, modelo 6 ou posterior. Os telefones Android não são seguros para uso.

  3. Use o Google Chrome como navegador padrão em seu laptop. ... Evite Safari e Firefox

Essas parecem afirmações muito fortes.

Infelizmente, nenhuma referência é fornecida.

Passei algum tempo tentando encontrar informações que sustentem essas afirmações, mas o que descobri parece antigo, inconclusivo ou opinativo. Por exemplo, há uma discussão interessante sobre telefones iPhone e Android aqui , mas isso não trata do Android padrão. Isso discute como o software antivírus não pode proteger contra todas as ameaças, mas não diz para não usar nenhuma, e isso explica como é difícil comparar a segurança do navegador.

As diretrizes acima são apenas opinativas ou existe algum consenso (entre os especialistas em segurança) sobre esses assuntos?

Observe, estou pedindo fatos que apóiam ou se opõem a essas alegações.

Respostas

2 LjmDullaart Nov 26 2020 at 15:49

Este grupo se descreve como:

Desde 2018, o grupo tem se concentrado na arrecadação de fundos da comunidade de tecnologia para candidatos a cargos públicos.

Ele afirma não ter conhecimento sobre TI, mas sugere que seu conselho foi considerado útil. Além disso, fornece conselhos para um grupo específico de pessoas, na página citada, para congressistas / candidatos.

A razão pela qual todos os artigos são inconclusivos ou fortemente opinativos é que isso é normal em nossa linha de trabalho. Muito poucos lêem as transações do IEEE em computadores ou qualquer literatura científica. E, claro, muitos incidentes de segurança não são relatados, portanto as estatísticas não são confiáveis. Não há um consenso real sobre nenhum desses assuntos. Por exemplo: todos os fornecedores de antivírus produzem estatísticas de que o antivírus é eficaz, com algumas estatísticas subjacentes.

As alternativas ao antivírus para se manter seguro fornecem uma visão equilibrada dos antivírus.

É um fato conhecido que o antivírus consome muitos recursos. Isso não deve exigir mais nenhuma prova. Outros (como datapot.net) afirmam, com base em estatísticas que:

Em média, o software antivírus tem apenas 25% de sucesso na detecção de malware.

Estatísticas sobre vírus de computador e software antivírus mostram que, infelizmente, os aplicativos maliciosos estão vencendo a batalha. Atualmente, os programas maliciosos “populares” estão em alta, mesmo contra softwares antivírus de primeira linha. Não existe parede totalmente impenetrável; alguns vírus e cavalos de troia passam completamente sem serem detectados durante o encontro inicial com o antivírus.

A eficácia da assinatura do código parece depender principalmente do processo de assinatura. Observe que a aplicação da assinatura de código está faltando na lista de conselhos fornecida.

A afirmação ousada:

Os telefones Android não são seguros para uso.

é muito geral e a afirmação de que o IOS seria seguro é difícil de levar a sério. Pesquise o Siri e seu uso de subcontratados para ouvir, por exemplo.

O conselho do navegador parece mais religioso do que baseado na realidade. A segurança real do navegador parece mais dependente do uso de plug-ins, Javascript (ou, horror: ainda Flash!) E similares. Observe que o ExpressVPN tem uma visão diferente sobre a segurança; eles têm os seguintes 7 principais:

  1. Navegador Tor
  2. Raposa de fogo
  3. Bravo
  4. cromada
  5. Safári
  6. Ópera
  7. Beira
1 Limit Nov 26 2020 at 16:04

Acredito ser importante entender que essas diretrizes são um material complementar ao seu treinamento.

Obrigado por participar de uma sessão de treinamento! Cobrimos muito terreno, portanto, essas notas têm o objetivo de servir de referência e lembrete dos conselhos que demos a você.

Eles soam como opiniões / preferências.

Conforme mencionado nas diretrizes, eles não recomendam apenas o uso do Chrome como está. Eles recomendam adicionar algumas extensões ao Chrome também. Isso parece razoável para mim.

Embora não tenham fornecido nenhuma referência publicada, eles forneceram a justificativa para essas diretrizes. Não consigo pensar em referências de cabeça, mas será que elas explicaram esses pontos no treinamento?

Claro, é sua escolha acreditar neles ou não.

1 mentallurg Nov 30 2020 at 03:57

Estas são apenas preferências pessoais desses caras. Basta olhar, por exemplo, para seus conselhos sobre o gerenciador de senhas. Eles sugerem o uso de 1password que tem os seguintes problemas enormes: é um código fechado, então ninguém sabe o que está realmente fazendo com suas senhas; como opção principal, eles sugerem armazenar suas senhas em seus servidores, novamente, ninguém sabe quem pode ler suas senhas em seus servidores; mesmo se armazenado no Dropbox, você não pode ter certeza de que ninguém mais poderá descriptografar e ler suas senhas.

O mesmo acontece com outras recomendações. Eles são muito discutíveis.