286meneos
El principal problema de la seguridad informática: las personas
[c&p] Según un estudio titulado Trust, Security & Passwords realizado entre unos 300 profesionales de seguridad informática por una empresa de seguridad llamada Cyber-Ark, resulta que…* El 88 por ciento de los responsables de informática se llevarían información valiosa y sensible | Un tercio de las empresas creen que el espionaje industrial y el robo de datos es rampante| Un tercio de los administradores guardan sus contraseñas más poderosas en… notas Post-it| Una cuarta parte admite que sufren sabotajes internos ....
El caso es real. :-)
(*) Sustituyase por lo que proceda...
Aún se contar, 35 + 35 + 4 = 74, ¿y el 26% restante qué utiliza paloma mensajera?
Chicos, con deciros que el usuario y la contraseña se saca con un simple vistazo de pantalla, o que saltarse la encriptación es tan facil cómo darle a una tecla. O que se puede navegar desde laa intranet por todos los datos, tengas permiso o no, de una forma que no dejas rastro... Así es chicos, y ya no es una empresa privada...
¡Ah! y lo mejor es implementar sistemas de bloqueo de cuentas ante un determinado numero de fallos, como puede ser DenyHost o LogWatch o muchisimos otros que existen para los servidores; eso y un administrador de sistemas analizando los logs, siempre sera mas seguro que darle por saco a los usuarios con cambios estupidos de contraseña cada poco tiempo.
ars.userfriendly.org/cartoons/?id=19980506c
Paso de aprenderme de memoria cada dos semanas una clave y una contraseña diferentes.
Es que a los dos meses acabas :-P :-P
Un tercio de las empresas creen que el espionaje industrial y el robo de datos es rampante
#1 de nada :)
Eso suponiendo que no te venga diciendo que a él le excluyas de la paranoia. Y que sobrevivas a las amenazas del resto de tus compañeros.
Lo mejor es optar por un término medio: Contraseñas largas, pero fáciles de recordar para los usuarios de la empresa (de tal forma que no requieran post-its) ... pero difíciles de encontrar para una máquina. Para mi este es el punto con menor riesgo informático ...
pero no sirve de nada si el usuario tiene derechos de administrador de esa máquina y le da "si a todo" en el internet explorer.
#17 Es necesario cambiar toda contraseña de vez en cuando. Supongamos que un keylogger registró unas cuantas contraseñas en un sistema comprometido. Sin saber que tus contraseñas fueron obtenidas, ya has formateado y el sistema está totalmente limpio, pero el problema de seguridad está ahí y no lo sabes.
¿Qué pasa si nunca cambias las contraseñas, y usas la misma contraseña en todos los servicios? Que con sólo entrar a tu correo, podrán saber otros 3, 4, 20, o 30 servicios más que usas, y con esa misma contraseña, tendrán acceso a la mitad de tu vida privada.
¿Qué pasa si cambias las contraseñas de vez en cuando, y además, usas contraseñas distintas para cada servicio? Pues que sólo habrá quedado comprometida una cuenta, un correo por ejemplo, y que te habrán fisgoneado durante 2, 3, 4, 5 meses, pero no durante "los restos de los restos, amén y bendita gloria porque mi contraseña es super guay".
La confianza es enemiga de la seguridad, mejor la paranoia. Eso sí, siempre con sentido común.
Y en ese caso ofrece la posibilidad de abrir la base de datos mediante una combinación de contraseña más archivo llave. Es bastante más complicado conseguir comprometer la contraseña si además necesitas poder saber cuál es el archivo usado como llave y encima tienes que conseguir robarlo de alguna forma. Sin hablar de la capacidad de introducir contraseñas sin necesidad de escribirlas, evitando las clásicas miradas por encima del hombro y más de un keylogger que no va guardando todo lo que pasa por el portapapeles. Si encima tenemos en cuenta otras funciones de seguridad como:
+ Base de datos cifrada con AES: he visto programas que ni cifran las bases de datos.
+ Protección contra ataques de fuerza bruta, pudiendo hacer que para comprobar si una contraseña es valida o no el ordenador necesite tantos segundos como quieras. Que la base de datos sólo pueda abrirse tras un segundo de procesado de llaves, bueno, no supone ningún problema al usuario. Pretender hacer un ataque de fuerza bruta a una password por segundo... bueno, es impracticable.
+ Protección de las contraseñas en memoria, para evitar que con volcar a disco el proceso de KeePass en memoria se consiga todo en plano.
+ Bloquear la base de datos tras X segundos de inactividad para evitar dejarla abierta y que alguien fisgonee a nuestras espaldas.
Esto... sí, creo que definitivamente KeePass consigue una seguridad bastante más potente que usar Post-its, o usar contraseñas normales en 20.000 sitios distintos.
Además, el informe proviene de una empresa que además vende consultoría y servicios sobre seguridad, así que hay que valorarlo en función de eso, pues obviamente dista de ser independiente.
Pero bueno, una cosa no quita la otra, es cierto que la gente es muy chapucera con el tema de las passwords. Ellos como empresa dedicada a la seguridad buscan el mercado y ofrecen el servicio, sin más.
ejemplo... la primera contraseña seria abcd, la segunda abcd1, la tercera abcd2...
Salu2!!
#22 Keepass mola, no sé que haría sin él ;-)
Este asunto hay que solucionarlo de otra manera, hay que cambiar los conceptos diametralmente: más imaginación y menos criticar a los seres humanos.
#19 hay cosas que a los lusers les duele mas
#33 vease algunas paginas de la administracion en la que se hacen contratos millonarios por webs que son hechas por estudiantes e informaticos por menos de 400€
No me gustó el título, las personas son la principal causa de casi todos los problemas.