सूचना सुरक्षा? नहीं सुना

मेरे एक मित्र ने आज मुझसे डिजिटल व्यवहार की स्वच्छता के बारे में पूछा। मैं उन सिद्धांतों का संक्षेप में उल्लेख करने का प्रयास करूंगा, जिनका अनुसरण करके आप नेटवर्क पर अपनी सुरक्षा के स्तर को बढ़ाएंगे।

इस लेख में मैंने पूरी तरह से केले की सलाह को लागू करने में काफी मुश्किल से जाने की कोशिश की। हर किसी को खुद तय करना होगा कि सुरक्षा का स्तर उसके लिए व्यक्तिगत रूप से कितना स्वीकार्य है। सब कुछ ठीक उसी तरह है जैसे तिजोरियों में होता है: एक सौ डॉलर के लिए एक तिजोरी होती है, एक लाख डालर के लिए तिजोरी होती है। पहले में लाखों डॉलर रखना और दूसरे में छोटी-मोटी चीजों को रखना मूर्खता है।

यदि आपके पास महत्वपूर्ण जानकारी है, और आप इसे खोने से डरते हैं, और मात्र ने सोचा कि यह जानकारी आपके दुश्मनों को मिल सकती है, तो आपको डर लगता है, तो आपको सूचना सुरक्षा के बारे में सोचना चाहिए।



खैर, डेटा संरक्षण को गंभीरता से लेना जब डेटा की लागत कुछ भी नहीं है समय की बर्बादी है

सुरक्षा सिद्धांत

यदि आप अपनी जानकारी को सुरक्षित रखना चाहते हैं, तो सबसे पहले आपको मूल सिद्धांतों को समझना होगा।

यदि आपके पास सूचना सुरक्षा में अनुभव है, तो साहसपूर्वक अगले अध्याय के माध्यम से फ्लिप करें।

इस बारे में पूरी हद तक केविन मिटनिक की किताब में, द आर्ट ऑफ डिसेप्शन को पाया जा सकता है। कहानियों की एक बड़ी संख्या है कि कंपनियों को क्या समस्या हुई क्योंकि उन्होंने अपने कर्मचारियों को उनकी जानकारी की सुरक्षा के बुनियादी सिद्धांतों को नहीं सिखाया।

लेकिन अगर आप अभी भी कुछ सार्वभौमिक सुझाव देते हैं, तो वे इस तरह होंगे:

• आसान पासवर्ड का उपयोग न करें: पासवर्ड जो आपके साथ संबद्ध हो सकते हैं या शब्दकोश में पाए जा सकते हैं।
• विभिन्न सेवाओं के लिए एक ही पासवर्ड का उपयोग न करें।
• पासवर्ड को स्पष्ट पाठ (Google-दस्तावेज़ों के साथ एक हालिया इतिहास जिसमें यांडेक्स द्वारा अनुक्रमणित किया गया था, उसे स्टोर न करें)।
• किसी को भी पासवर्ड न बताएं। यहां तक ​​कि सहायक कर्मचारी भी।
• मुफ्त वाई-फाई नेटवर्क का उपयोग न करें। और अगर आप उपयोग करते हैं, तो सावधान रहें और कोशिश करें कि बिना https कनेक्शन वाली साइटों पर काम न करें।

आप किताब से और जानेंगे। कई दिलचस्प कहानियां वहां वर्णित हैं, और हालांकि उनमें से कुछ प्रगति के कारण पहले से ही पुराने हैं, सार खुद को कभी भी प्रासंगिक होने की संभावना नहीं है।

"मुझे कौन चाहिए?"

डेटा प्रोटेक्शन की बात आने पर लोग अक्सर ऐसा सवाल पूछते हैं। कुछ इस तरह: "कंपनियों को मेरे डेटा की आवश्यकता क्यों है?" या "एक हैकर ने मुझे क्यों फटकारा?" यह न समझते हुए कि उन्हें हैक नहीं किया जा सकता। सेवा को स्वयं हैक किया जा सकता है और सिस्टम में पंजीकृत सभी उपयोगकर्ताओं को नुकसान होगा। यही है, न केवल सूचना सुरक्षा के नियमों का पालन करना महत्वपूर्ण है, बल्कि आपके द्वारा उपयोग किए जाने वाले सही साधनों को चुनना भी है। इसे स्पष्ट करने के लिए, मैं कुछ उदाहरण दूंगा:

जब थोड़ा बढ़ा

अभी कुछ दिनों पहले, हम सभी ने सीखा कि बर्गर किंग ऐप, जो कि Google Play और Apple Store पर स्थित है, उपयोगकर्ता जो कुछ भी करता है, उसे रिकॉर्ड करता है। और पूरी तरह से कोई भी अज्ञात डेटा नहीं है, जैसा कि बर्गर किंग के प्रतिनिधियों द्वारा हमें बताया गया है। वस्तुतः सब कुछ दर्ज किया जाता है: उपयोगकर्ता अपना पहला नाम, अंतिम नाम, पता और यहां तक ​​कि क्रेडिट कार्ड की जानकारी कैसे दर्ज करता है। वीडियो हमेशा रिकॉर्ड किया जाता है।

क्या आपको लगता है कि यह एकमात्र ऐसा एप्लिकेशन है जो उस चीज को कैप्चर करता है जो आप इसमें करते हैं?

AppSee

मैं एक सॉफ्टवेयर कंपनी के लिए काम करता हूं। और हमारे पास कुछ मामले थे।

फरवरी 2016 में, एक मोबाइल एप्लिकेशन वाला एक क्लाइंट हमारे पास आया और वहां कुछ कार्यक्षमता जोड़ने के लिए कहा।

हमने कोड को देखा और देखा कि AppSee नामक एनालिटिक्स चीज़ का उपयोग किया जा रहा था। उन्होंने ग्राहक से इसके लिए उपयोग करने के लिए कहा, और उन्होंने जवाब दिया कि वह खुद नहीं जानता कि यह कहां से आया है, और इसके लिए कोई पहुंच नहीं है। हमने लंबे समय तक समर्थन के साथ बात की और पहुंच बहाल करने में बहुत समय बिताया। और उन्होंने देखा कि पिछले डेवलपर ने कुछ स्क्रीन से वीडियो रिकॉर्ड करने के लिए AppSee की स्थापना की थी। और कुछ स्क्रीन ऐसे थे जहां उपयोगकर्ता ने क्रेडिट कार्ड या पेपैल डेटा दर्ज किया था।

पासवर्ड एन्क्रिप्ट करें

दूसरा मामला तब था जब एक ग्राहक एक बड़ी परियोजना के साथ हमारे पास आया था, जिस पर लगभग दो मिलियन पंजीकृत उपयोगकर्ता थे। हमने काम शुरू किया, ग्राहक ने हमें कोड और डेटाबेस तक पहुंच प्रदान की। और डेटाबेस में सभी उपयोगकर्ता पासवर्ड अनएन्क्रिप्टेड रूप में।

मुझे लगता है कि आप समझते हैं कि आधार खराब हाथों में पड़ने पर क्या परिणाम हो सकते हैं।

क्या आप सुनिश्चित हैं कि आपके द्वारा उपयोग की जाने वाली सभी सेवाएँ सुरक्षा के प्रति बहुत संवेदनशील हैं, आपके डेटा को मर्ज नहीं करती हैं, और कभी भी आपके विरुद्ध आपके डेटा का उपयोग नहीं करेगी? मुझे यकीन नहीं हो रहा है।

और सबसे बुरी बात: क्या होगा यदि पासवर्ड संग्रहण सेवाएं जैसे 1password, LastPass आपके पासवर्ड को सुरक्षित रूप से संग्रहीत नहीं कर सकता है? क्या होगा अगर वे लीक? निजी तौर पर, मैं इसके बारे में सोचने से भी डरता हूं।

संभव समाधान

मुझे कोई रास्ता कैसे दिखाई देता है? मेरी राय में, यह ओपन सोर्स है।

ओपन सोर्स एप्लिकेशन के उपयोग से आपको एक बड़ा प्लस और एक बड़ा माइनस मिलता है। नकारात्मक पक्ष समर्थन की कमी है, सभी जोखिम केवल आपके ऊपर हैं। प्लस यह है कि आपके डेटा को संग्रहीत करने वाला कोई अन्य लिंक नहीं है: आप इस संभावना को बाहर करते हैं कि यह लिंक आपके डेटा को खो देगा, बेच देगा या समझौता कर लेगा। बेशक, अपने आप में ओपन सोर्स एक रामबाण नहीं है, और यह गारंटी नहीं देता है कि डेवलपर कोड में कुछ भी बुरा नहीं करेगा। ट्रस्ट केवल उन परियोजनाओं के लायक है जिनमें एक बड़ा समुदाय है।

इसके बाद, मैं व्यक्तिगत रूप से उपयोग के बारे में बात करूंगा।

मुझे पता है कि कोई भी विषय जिसके बारे में बात करना बेहतर है: मैक या जीत, जीत या लिनक्स, निरर्थक बहस में फिसल रहा है। कृपया ऐसा न करें।

ऑपरेटिंग सिस्टम सिर्फ एक टूल है। और यह संभावना नहीं है कि पेशेवरों का तर्क होगा कि वे पेचकश या हथौड़ा का उपयोग करके बेहतर हैं। प्रत्येक मामले के लिए, वे सबसे उपयुक्त उपकरण पाएंगे। चलो ऑपरेटिंग सिस्टम और अन्य सॉफ़्टवेयर का उसी तरह से व्यवहार करते हैं।

पासवर्ड मैनेजर

पहली बार में संयोग से नहीं। आखिरकार, यह आपकी सुरक्षा में सबसे महत्वपूर्ण हिस्सा है। यहां सब कुछ संग्रहीत है। और, पासवर्ड मैनेजर तक पहुंच खो जाने से, आपको समस्याओं का एक बड़ा ढेर मिल सकता है।

जैसा कि मैंने पहले कहा था, मुझे नहीं पता कि मेरे सभी पासवर्ड लीक होने से क्या होगा। इसलिए, मैं पास का उपयोग करता हूं। यह एक टर्मिनल प्रोग्राम है जिसमें आप अपने पासवर्ड को एन्क्रिप्टेड रूप में स्टोर कर सकते हैं।

यह सभी ऑपरेटिंग सिस्टम के लिए है। IOS और Android के लिए एप्लिकेशन हैं। और क्रोम और फ़ायरफ़ॉक्स के लिए प्लगइन्स भी हैं।

कार्यक्रम पूरी तरह से खुला और स्वतंत्र है, मुफ्त जीपीजी पुस्तकालय का उपयोग करता है। यह आपकी GPG कुंजी के साथ प्रत्येक रिकॉर्ड को एन्क्रिप्ट करता है। मेरी राय में, यह सबसे सुरक्षित विकल्प है।

ऑपरेटिंग सिस्टम

मेरी राय में, सबसे सुरक्षित ओपन सोर्स ओएस हैं। उनमें से बहुत सारे हैं। आप स्थापित करने और उपयोग करने के लिए सबसे आसान के साथ शुरू कर सकते हैं - उबंटू। लेकिन व्यक्तिगत रूप से, मैं वास्तव में इसे पसंद नहीं करता क्योंकि इसमें विभिन्न सेवाएं हैं, जैसे कि लोकप्रियता-प्रतियोगिता, जो डेवलपर्स को कुछ डेटा भेजती हैं।

इसके अलावा, ubunta ने पहले ही अपनी प्रतिष्ठा को थोड़ा कम कर दिया, तथाकथित "जासूसी खोज" का उपयोग संस्करण 16.04 तक किया गया।

व्यक्तिगत रूप से, मैंने अपनी पसंद आर्क लिनेक्स के पक्ष में बनाई, हालांकि इसे स्थापित करना अधिक कठिन है। हालाँकि, बहुत से एनालॉग हैं, मैं यह नहीं कह सकता कि वे बदतर हैं।

स्मार्टफोन

मेरी राय में, एक उत्कृष्ट खुला स्रोत ओएस वंशावली है। यह बहुत स्थिर है और अक्सर अद्यतन किया जाता है। अब यह एक बहुत ही ताज़ा एंड्रॉइड 8.1.0 है, जो ठीक काम करता है। स्थापना के बाद बूटलोडर को लॉक करना न भूलें।

एक मुफ्त ओएस के साथ मिलकर, मैं एफ-ड्रॉयड नामक एक मुफ्त सॉफ्टवेयर स्टोर का उपयोग करने की सलाह देता हूं।

इस बारे में सोचें कि आप अपने स्मार्टफोन को कैसे अनलॉक करते हैं।

मेरी राय में, चेहरे को अनलॉक करना एक बहुत विश्वसनीय तरीका नहीं है, बड़ी संख्या में समस्याएं हैं।

फिंगरप्रिंटिंग भी एक विवादास्पद तरीका है। वास्तव में, यदि आप Google या Apple पर भरोसा नहीं करते हैं और उनके ऑपरेटिंग सिस्टम का उपयोग नहीं करते हैं, लेकिन एक ही समय में अपने फिंगरप्रिंट के साथ फोन अनलॉक करते हैं, तो आप मान सकते हैं कि आपका फिंगरप्रिंट पहले से ही समझौता है। और अब आप किसी महत्वपूर्ण चीज़ की सुरक्षा के लिए फिंगरप्रिंट का उपयोग नहीं कर सकते।

फ़ाइल भंडारण

Google ड्राइव या ड्रॉपबॉक्स के बजाय, मैं अपने सर्वर पर NextCloud का उपयोग करता हूं। कई प्लस हैं।

• सुरक्षा। मुझे यकीन है कि मेरे डेटा तक किसी और की पहुंच नहीं है। और यहां तक ​​कि अगर यह दिखाई देता है, तो NextCloud पर सभी डेटा एन्क्रिप्ट किया गया है। ड्रॉपबॉक्स की तरह, इसमें मोबाइल सहित सभी ऑपरेटिंग सिस्टम के क्लाइंट हैं।
• लचीलापन। मैं अपनी आवश्यकता के अनुसार भंडारण की मात्रा का उपयोग कर सकता हूं। मैं आसानी से 100GB और 20TB दोनों बना सकता हूं।
• प्लगइन्स। NextCloud कुछ सुंदर काम ऐड-ऑन प्रदान करता है। जैसे नोट्स, कैलेंडर, टास्क मैनेजर। और यह सब सिंक्रनाइज़ है और स्मार्टफोन पर भी काम करता है।

ब्राउज़र

शायद पिछले पैराग्राफ के साथ ही। ओपन सोर्स ब्राउज़रों का उपयोग करना सबसे अच्छा है: फ़ायरफ़ॉक्स, क्रोमियम, ब्रेव, आइसकैट। उपयोग में आसानी और अन्य विशेषताओं के संदर्भ में, वे एक ही क्रोम से नीच नहीं हैं।

खोज इंजन

मैं वास्तव में इस तथ्य को पसंद नहीं करता कि खोज इंजन मेरे बारे में बहुत कुछ जानता है। Google आपके बारे में क्या जानता है, इसके उदाहरण यहां दिए गए हैं।

myactivity.google.com/myactivity
maps.google.com/locationhistory
adssettings.google.com/authenticated?hl=en

मुझे कहना होगा कि Google वास्तव में देखने में अच्छा है। कुछ मुफ्त एनालॉग्स हैं जो आपकी गोपनीयता का सम्मान करते हैं। वास्तव में, केवल DuckDuckGo है जो पूरी तरह से नहीं दिख रहा है।

ऑन-द-फ्लाई एन्क्रिप्शन

TrueCrypt जैसे कार्यक्रम हैं जो आपको मक्खी पर अपनी जानकारी एन्क्रिप्ट करने की सुविधा देते हैं।

ट्रू क्रिप्टेक ही पूर्ण डिस्क एन्क्रिप्शन या कंटेनर निर्माण के लिए सबसे विश्वसनीय माना जाता था। लेकिन यहां केवल डेवलपर्स ने एक संदेश प्रकाशित किया जिसमें उन्होंने सभी उपयोगकर्ताओं को बिटलॉकर पर स्विच करने की सलाह दी। इस संदेश में, समुदाय ने तथाकथित "कैनरी की गवाही" को देखा, अर्थात, बिना कुछ कहे कुछ कहने और उनकी जिद का संकेत देने का प्रयास किया। चूंकि डेवलपर्स ने हमेशा Bitlocker का मजाक उड़ाया है।

इसके अलावा, कुछ उपयोगकर्ता परियोजना को कांटा करना चाहते थे। लेकिन ट्रू-क्रिप्ट लेखक ने संक्षिप्त और संक्षिप्त रूप से उत्तर दिया: "यह बहुत खेद है, लेकिन मुझे लगता है कि आप असंभव के लिए पूछ रहे हैं। मुझे नहीं लगता कि ट्रूक्रिप्ट कांटा एक अच्छा विचार है। "

इसके आधार पर, मेरा मानना ​​है कि ट्रू क्रिप्टाइक, और इसके सभी एनालॉग्स जैसे कि वेरा क्रिप्ट, सुरक्षित नहीं हैं।

मैं अन्य एनालॉग्स को नहीं जानता। हालांकि मैंने मकबरे के बारे में सुना, मैं हमेशा इसे आज़माना चाहता था, लेकिन मेरे हाथ नहीं पहुंचे। यदि आप कुछ सलाह दे सकते हैं, तो टिप्पणियों में लिखें।

महत्वपूर्ण जोड़

संपूर्ण डिस्क को एन्क्रिप्ट करें

क्या आप जानते हैं कि यदि आप अपना लैपटॉप खो देते हैं और एक बुरा व्यक्ति इसे पाता है तो क्या होगा? वह किसी भी बूट करने योग्य USB फ्लैश ड्राइव के साथ चालू करेगा और चुपचाप आपके सभी डेटा तक पहुंच प्राप्त करेगा।

इसलिए, पूरी डिस्क को एन्क्रिप्ट करना बहुत महत्वपूर्ण है। ताकि यदि आप अपना उपकरण खो देते हैं, तो एक व्यक्ति उस तक पहुंच प्राप्त नहीं कर सकता है।

बैकअप बनाएं (और उन्हें एन्क्रिप्ट करें)

इसी तरह, यह महत्वपूर्ण है कि आप अपना सारा डेटा स्वयं न खोएं। इसलिए, बैकअप बनाएं। और उन्हें एन्क्रिप्ट करना सुनिश्चित करें। ठीक है, निश्चित रूप से, एक ही मीडिया पर बैकअप स्टोर न करें।

पहुँच का ध्यान रखें

जब आप अपने उपकरण बेचते हैं, तो उन्हें अपने खातों से हटाना न भूलें। यह बहुत महत्वपूर्ण है।

myaccount.google.com/device-activity
www.dropbox.com/account/security
www.icloud.com/#settings

अपने एप्लिकेशन और प्लगइन्स को किस स्तर की आवश्यकता है, इसका ध्यान रखें।

जब आप कोई एप्लिकेशन इंस्टॉल करते हैं, तो ऐसी स्थितियां होती हैं, लेकिन इसके लिए ड्रॉपबॉक्स फ़ोल्डर तक पूर्ण पहुंच की आवश्यकता होती है। यद्यपि ऐसा लगता है कि इस एप्लिकेशन को इस तरह की पहुंच की आवश्यकता नहीं है। खैर, चरम मामलों में, एक्सेस प्रकार: "ऐप फ़ोल्डर" उसके लिए पर्याप्त होगा। ड्रॉपबॉक्स के लिए ऐसी चीजों की जाँच यहाँ की जा सकती है:

www.dropbox.com/account/connected_apps

और कुछ एप्लिकेशन को Google ड्राइव तक पहुंच की आवश्यकता होती है। मुझे यह समझ में नहीं आया कि उन्हें मेरे दस्तावेज़ों तक पहुँच की आवश्यकता क्यों है इसे इस लिंक पर चेक किया जा सकता है:

myaccount.google.com/permissions

द्वि-कारक प्रमाणीकरण

जहाँ भी आप कर सकते हैं दो-कारक प्रमाणीकरण का उपयोग करें। यह सुरक्षा की एक बहुत प्रभावी अतिरिक्त परत है। उनके कई प्रकार हैं।

• समय सिंक्रनाइज़ पासवर्ड। मेरी राय में, सबसे आम, सुरक्षित और सबसे सफल दो-कारक प्रमाणीकरण विकल्पों में से एक। आपको एक क्यूआर कोड दिखाया जाता है, जिसे आपको एप्लिकेशन के साथ फोटो खींचने की आवश्यकता होती है, और आपको अपने एक बार के पासवर्ड के साथ एक लाइन दिखाई देगी जो हर 30 सेकंड में बदल जाती है। मेरा सुझाव है कि आप किसी तरह इन क्यूआर कोड की तस्वीरों को स्टोर करें या उन एप्लिकेशन का उपयोग करें जो डेटाबेस को आपके रिकॉर्ड के साथ निर्यात कर सकते हैं।
• हार्डवेयर कुंजी FIDO U2F। मेरी राय में, यह भी एक अच्छा विकल्प है, लेकिन मैं कुछ बिंदुओं से भ्रमित हूं। उदाहरण के लिए, यह स्पष्ट नहीं है कि क्या करना है अगर यह कुंजी टूट जाती है और बस काम करना बंद कर देती है। फिर भी, यह एक तकनीक है, और कोई भी तकनीक कभी भी टूट जाती है। इसके अलावा, मुझे समझ में नहीं आता कि अगर मैं इसे खो देता हूं तो क्या करना है।
• एक बार की पासवर्ड सूची एक सभ्य विकल्प है अगर कुछ और नहीं है। इस विकल्प के साथ समस्या यह है कि उपयोगकर्ता सबसे अधिक बार पासवर्ड और एक स्थान पर वन-टाइम पासवर्ड की सूची संग्रहीत करेगा।
• एसएमएस प्रमाणीकरण। मैं इस पद्धति को बिल्कुल पसंद नहीं करता, और मैं इसका उपयोग न करने की कोशिश करता हूं, हालांकि कभी-कभी यह काम नहीं करता है, क्योंकि कुछ सेवाएं केवल इसे प्रदान करती हैं। समस्या यह है कि आपके फोन नंबर को पकड़ने के लिए बहुत सारे तरीके हैं।