[Перевод] Безопасность через неясность недооценивается

Джерело:
Хабрахабр / Захабренные / Тематические / Посты

Дата публікації:
16/09/2020 00:44

Постійна адреса новини:
http://www.vsinovyny.com/7054758

[Перевод] Безопасность через неясность недооценивается

16/09/2020 00:44 // Хабрахабр / Захабренные / Тематические / Посты

В информационной безопасности мы выработали ряд аксиом, с которыми не принято спорить:

Никогда не внедряйте собственную криптографию.
Всегда используйте TLS.
Безопасность через неясность (security by obscurity) — это плохо.

И тому подобное. Большинство из них в целом верны. Однако мне начинает казаться, что люди слепо следуют этим аксиомам как культу карго. И многие на самом деле не думают об исключениях из правил. В этой статье я выскажу свои возражения против идеи «безопасность через неясность — это плохо».

Риск, эшелонированная оборона и швейцарский сыр

Одной из главных задач ИБ является снижение рисков. Согласно методологии OWASP, риск возникновения проблемы рассчитывается по формуле:

Риск = Вероятность * Воздействие

По этой формуле, проблема удалённого выполнения кода (RCE) представляет больший риск, чем проблема межсайтового скриптинга, поскольку RCE несёт большее воздействие. Здесь всё просто. Но что насчёт метрики вероятности? Читать дальше →

» Читати повністю

«	Наступна новина з архіву Гонгадзе погиб 20 лет назад: история убийства, которое шокировало Украину	Попередня новина з архіву Safety driver in fatal Arizona Uber self-driving car crash charged with homicide	»