Nädal 14: Kui palju turvalisust on liiga palju?

[caraun]

Kas olete ise kohanud olukordi, kus turvalisus teeb asja nii ebamugavaks, et see pigem halvendab olukorda?

[mvaldr]

Siin tuleb pähe mõni aeg tagasi nähtud video osas, kus koolis õpilaste arvutile olid seadistatud pikad parooli nõuded, mida alatihti pidi sisestama. Selle lahenduseks oli muidugi see, et targad õpilased avastasid, et näpuga üle klaviatuuri tõmmates saab ka parooli kiirelt sisestada. Ehk parooli pikkuse nõue oli justkui täidetud, kuid tegelikult mindi turvalisuse poolelt tagurpidises suunas.

Ka näiteks Taltech arvutiklassides on kuidagi silma jäänud, et arvuti lukustamise funktsioon on välja lülitatud, et inimesed pigem välja logiksid, kuid selle tulemus on tihtipeale see, et oma arvuti jäätakse järelvalveta pigem sisse logituks, kuna näiteks eksami või töö keskel pole kõike otsast peale alustamata võimalik vahepeal arvutit lukustada.

[mtoodo]

Jah, näiteks kaheastmeline autentimise olukorras, kus telefon või internet parasjagu ei tööta ja kontole ligi ei saa, või jällegi kooliarvutite paroolide nõuded ja sellest tulenevad pikad ja lohisevad paroolid või mõned veebilehed nõuavad liiga tihti captcha täitmist ja see hakkab normaalset kasutamist segama või kuskil kinnises süteemis kasutada tööarvuteid ja seal on enamus asjad piirangute all, ehk kõiksugust failindust ja allalaadimised on täielik cancel

[stentr]

CONTENTS DELETED

The author has deleted this message.

[jannot]

Klassikaline näide tõesti vist see, et paroole peab nii tihti muutma või on nii keerulised, et on märkmepaberiga monitori küljes.

Minu näide on mintos. Ma vahetasin telefoni ja 2FA äpi koodid läksid kaduma. Tavaliselt pole probleemi, saab kuidagi tühistada/vahetada 2FA aga mitte mintoses. Seal mu konto on nüüd nii turvaline, et ma ise ka ei saa ligi.

[MadisKoll]

Ma arvan, et võiks väita lausa seda, et tehniliselt turvaline lahendus mis on piisavalt ebamugav kasutada muutub oma olemuselt mitte-turvaliseks kuna inimesed on leidlikud, et oma elu lihtsamaks teha. Seega me ei saa enam lugeda seda lahendust turvaliseks :P

Tasakaalu küsimus nagu iga teine asi. Sama Mitnick'i valem peaks rakenduma kaudselt, s.t inimfaktor tuleb ka lahendusse sisse arvestada.

[Julius]

Liiga sage paroolide uuendamine. Olen kõrvalt näinud, kus iga kuu on töötajal kohustuslik kahte erinevat arvuti parooli pidevalt vahetada. Süsteem paroolide vahetamiseks oli liialt habras, liialt palju sai minna valesti. Kellel läks hästi sai asja tehtud viie minutiga. Samas tähendas see seda, et umbkaudu kaks tiimiliiget kulutasid iga kuu 30min kuni tund paroolide uuendamisele. Võis kahtlustada, et kaks erinevat parooli olid inimestel pigem sätitud samaks parooliks ja uuendati heal juhul numbreid parooli lõpus…

[milena]

Jah, näiteks siis, kui peab kasutama väga palju erinevaid paroole ja neid pidevalt vahetama. Paljud inimesed hakkavad selle tõttu paroole üles kirjutama või kasutavad väga lihtsaid variante, mis muudab olukorra hoopis vähem turvaliseks. Minu arvates peab turvalisus olema piisavalt mugav, et inimesed seda päriselt kasutaksid.

[Rasmus_Ellervee]

Teinekord osutuvad caphta'd nii pikaks või keerulieks, et närvid annavad otsad.

[m2hh]

Vaatame EU direktiivi autode suhtes, see jube mis toimub. Tundub, et mina enam 2025 või uuemat autot ei raatsi osta. Kui osta siis pigem lisad maas vms. Õnneks kõik autot hetkel vanemat sorti, kui ainult ei soolaks teid siin Eestis.
Muide kui inimene muutub laisaks ja lootes ainult auto turvalisadele, siis millal on see juba autonoomne sõitmine ja millal juhib inimene. Inimene unustab sõitmise ära ja tekitab veel ohtlikuma sõidu, kui aus olla.

[robink]

Ikka, captchad mida on võimatu ära teha ja lõpuks raiskad 5 min et lihtsalt midagi maha kirjutada, enda arust paned õigesti aga läbi ei lähe ja kohe ei tegi mida edasi teha. Lõpuks proovidki nii kaua kui läbi läheb.

[viivik]

Eelkõnelejatest nõustuks ka liiga keeruliste paroolinõuetega, Veebilehtede blokeerimisega minnakse ka vahel liiale ja blokeeritakse lehed mida tegelikult tööks vaja läheb.

[madpaj]

Minu arust on kõige ehedam näide liigsest turvalisusest kogu see Applei arvutite loogika. Sulle müüakse masin maha ilusa jutuga et kõik on turvakiipidega kaitstud ja megaturvaline aga tegelikkus on see et SSD kiibid on emaplaadiga totaalselt lukku pandud ja sa ei saa oma arvutit hiljem isegi uuendada. Tahad suuremat ketast sisse panna siis unusta ära ja andmeid originaal SSD pealt kuskil teises masinas kätte saada on nagunii täiesti võimatu.

Võtame võrdluseks tavalise arvuti ja BitLockeri mis on tegelikult täiesti timm lahendus. Ostad näiteks uue raua siis saad lihtsalt vana SSD välja kruvida uude arvutisse ümber tõsta ja asi töötab edasi. Kui ketas on õiges masinas siis tuleb nagunii automaatselt lahti aga kui lükkad teise masinasse siis on ketas algul lukus ja tahab koodi. Kui oled õige inimene ja kood on olemas siis paned sisse ja pääsed alati andmetele ligi. Kui koodi ära unustad siis on asjad muidugi perses aga vähemalt on sul see reaalne vabadus olemas.

Apple on aga turvalisuse sildi taha peitnud lihtsalt fakti et nad teevad riistvara uuendamise ja normaalse ketta ümbertõstmise meelega võimatuks lihtsalt selleks et sa peaksid juba poes ostes kohe suurema ketta hingehinna eest valima. Kogu see turvajutt on tegelikult puhas ettekääne et kasutajat lüpsta.

[kaidokikkas]

See on jälle üks neid teemasid, mis on ilmselt sügavam kui esmapilgul paistab. Ühte aspekti - liiga tüütuks muutuvad kaitsemeetmed panevad inimesi nende peale üldse vilistama - on siin juba käsitletud.

Lisaks aga selle, et turvalisusega saab põhjendada igasuguseid asju, ka tsensuuri, tootjalukustust, privaatsusriiveid ja paljut muud ebameeldivat (üks ilmekas näide on ka siinsamas eelmise postituse lõpus). USA-s on "Think about children!"-loosungit kasutatud korduvalt igasuguste vastikute asjade läbisurumiseks.  Isegi Eestis omaaegse "fooliumrevolutsiooni" põhjustanud ja viimaks europarlamendis suurelt läbipõrutatud ACTA lepe üritas enda olemasolu selgitada muuhulgas turvalisusega.

[margmi]

Turvalisus ja mugavus pole kunagi käinud ühes lauses koos ja ei saa kunagi käima.

Nelja tabaga rauduks koos koodluku ja biomeetria tuvastusega ei ole väga mugav, ent turvaline. Liikumisanduriga 24h töötav pöörduks on mugav, ent turvalisus on nagu ta on.

Näited on utreeritud, ent tegelikult nii ju on.

[TristanGK]

Saan mõttest aru, kuid ma ei tea kas saab öelda, et kui asi pole nii mugav kui võimalik, siis ta on automaatselt ebamugav. Tooks konkreetse näitena telefonitel oleva biomeetrilise tuvastamise. Luku eemaldamiseks ei pea isegi enam mõtlema, eriti neil kel veel nõotuvastus sees.

Mingis teises lõimes käis läbi, kuid nõustus ning pooldan füüsiliste 2FA seadmete, näiteks Yubico/YubiKey seadmete kasutamist, sest "lõõk" mugavusele on nii minimaalne, et seda ei pane mingi hetk enam isegi tähele.
Teisisõnu, et arva, et turvalisus peab automaatselt tähendama ebamugavat kasutajakogemust