क्या आपको कभी ऐसा कुछ जारी करना चाहिए जिसे आप स्वयं हैक कर सकें?


12

एक कार्यक्रम के निर्माता होने के नाते, आप संभवतः सुरक्षा भेद्यता और संभावित हैक के बारे में जागरूक होने के लिए किसी से बेहतर स्थिति में हैं। यदि आप अपने द्वारा लिखी गई प्रणाली में भेद्यता के बारे में जानते हैं, तो क्या यह संकेत है कि रिलीज से पहले सुरक्षा बढ़ाई जानी चाहिए, या सुरक्षा अंतर की गंभीरता को निर्धारित करने के लिए मामले के आधार पर इसका मूल्यांकन किया जाना चाहिए?


7
निश्चित रूप से, एनएसए यह हर समय करता है :)
जाप

3
@ जाप: एनएसए पर हर समय यह आरोप लगता है। एक मामले में मुझे पता है कि लोगों को पता चला कि वास्तव में क्या हुआ था, कि डेस एन्क्रिप्शन मानक होने के नाते, यह एनएसए के संशोधनों से पता चलता है कि वास्तव में एन्क्रिप्शन को मजबूत बनाया गया है , कमजोर नहीं है, जिससे किसी तकनीक द्वारा हैक होने की संभावना कम हो जाती है। वह और कोई नहीं बल्कि एनएसए ने अभी तक खोजा था, क्योंकि वे जानते थे कि कोई और इसे अंततः पता लगाएगा।
मेसन व्हीलर

6
@MasonWheeler मुझे लगता है कि हाल की घटनाओं ने आपकी टिप्पणी को यहीं से 2012 तक बना दिया है।
ऐसिन्थेहोल

जवाबों:


6

मैं कहूंगा कि इसे केस-बाय-केस आधार पर किया जाना चाहिए। आप लेखक हैं, आप कई छेदों को जानते हैं । कुछ भेद्यताएँ केवल आपको ज्ञात हो सकती हैं। बेशक इसका मतलब है कि यदि उनमें से किसी का शोषण किया जाता है, तो आपके पास जवाब देने के लिए कुछ कठिन प्रश्न हो सकते हैं, इसलिए यदि संभव हो तो इन कमजोरियों को कम करने के लिए एक अच्छा विचार हो सकता है। अधिक महत्वपूर्ण यह है कि अगर कोई इसे ब्लैकबॉक्स सिस्टम के रूप में आसानी से हैक कर सकता है।


3
मैं केवल यही चाहता हूं कि मुझे लिखे गए सॉफ्टवेयर के सभी छेद पता हों। तब मैं इसका लाभ उठा सकता था कि सभी बग्स को खोजा जा सके, और सामान को ठीक से लिखा जाना आसान होगा।
डेविड थॉर्नले

1
@ डेविड: ठीक है, बहुत सारे ...
FrustratedWithFormsDesigner

31

मेरे पास दो बार स्थिति में होने का दुर्भाग्यपूर्ण अनुभव है। दोनों मामलों में व्यापार बहुत संवेदनशील डेटा के साथ गंभीर सुरक्षा समस्याओं वाले उत्पादों को बाहर कर रहा था ।

दोनों ही मामलों में व्यवसाय की परवाह नहीं की, मेरी पूरी कोशिश के बावजूद कि वे उन जोखिमों से अवगत थे जो वे ले रहे थे।

केवल एक चीज जो आप कर सकते हैं वह है जोर से विरोध * (और पेशेवर) जितना संभव हो सके, संभावित परिणामों के बारे में आप जितना स्पष्ट हो सकते हैं, और जब आप उस दस्तावेज़ को सब कुछ कर रहे हों । अपने प्रासंगिक ईमेल को PDF में प्रिंट करें और उन फाइलों को घर पर रखें, या अपने व्यक्तिगत ईमेल पते को bcc करें, या हालाँकि आप इसे करते हैं। यह एकमात्र उपाय है जब कुछ बुरा अनिवार्य रूप से होता है।

आपको उम्मीद है कि प्रबंधन आपकी तकनीकी सलाह के लिए आपका सम्मान करेगा, और इसे ध्यान में रखें लेकिन दुर्भाग्य से, आपको यह सम्मान करना होगा कि दिन के अंत में निर्णय लेने वाला कोई भी हो। खराब व्यापारिक निर्णय हर दिन किए जाते हैं।

संपादित करें: जसकोंक ने उल्लेख किया "कृपया अपने घर के पते पर बीसीसीई से सावधान रहें", और मैं बहुत सहमत हूं। कृपया कंपनी की नीति का उल्लंघन न करें, और सुरक्षा भेद्यता को खुले में रखने की तुलना में पहले से ही अधिक जोखिम में डाल दें।


21
DOCUMENT EVERYTHING के लिए +1 !!! जब कोई बड़ी आपदा होती है और प्रबंधक की नौकरी लाइन में होती है, तो वह किसी भी तरह से दोष को शिफ्ट करने के लिए कुछ भी करेगा। यदि आप निर्णय से संबंधित मुद्दों, ईमेल, सूचनाओं, ज्ञापनों और अन्य दस्तावेज़ीकरणों का दस्तावेजीकरण करते हैं तो आप खुद को एक बुरी स्थिति से बचा रहे हैं।
maple_shaft

11
अफ सीकिंग-मैन। किसी को भी जानबूझकर गंभीर रूप से दोषपूर्ण उत्पाद जहाज करने के लिए पर्याप्त रूप से फिसल सकता है, और अंततः गोली चलाने के लिए कुछ भी कर सकता है।
पीटर रोवेल

कृपया अपने घर के पते पर बहुत सावधानी बरतें।
जसकॉन

2
@ अंजोंक: आप ऐसा क्यों कहते हैं? BCC का अर्थ है अन्य प्राप्तकर्ता इसे नहीं देख सकते ...
मेसन व्हीलर

3
@ मेसन: प्राप्तकर्ता प्राप्त नहीं कर सकते हैं, लेकिन यदि आप संवेदनशील जानकारी भेज रहे हैं (और जो निश्चित रूप से सुरक्षा कमजोरियां हैं) आपत्तिजनक हैं, तो आपको चोट की दुनिया में जाने की संभावना है।
ग्रहण

12

मैं इसके विपरीत तर्क देता हूं - निर्माता होने के नाते, आप अक्सर कमजोरियों को देखने के लिए कोड के बहुत करीब होते हैं।

यदि आप जानते हैं या कमजोरियों के बारे में बताया गया है, तो वे किसी अन्य बग की तरह हैं - मूल्यांकन करें, प्राथमिकता दें, फिर ठीक करें।


+1: आप जानते हैं कि मेरे कार्यक्रम को कैसे काम करना चाहिए और एक हद तक केवल उसी तरह इसका उपयोग करने के बारे में सोचें। कोई है जो कार्यक्रम का उपयोग करने का "सही" तरीका नहीं जानता है, वह आपके द्वारा किए जा सकने वाले सर्वोत्तम परीक्षणों में से एक है।
अनहेल्सेप्लर

क्यूए के लिए अपेक्षाकृत नए व्यक्ति के रूप में, मैं "सुरक्षा दोष" कीड़े की उम्मीद में काम में आया था जो अत्यधिक गुरुत्वाकर्षण के साथ मिलना था। लेकिन मैंने पाया है कि लेबल "सुरक्षा" हमेशा शून्य-सहिष्णुता प्रतिक्रिया की आवश्यकता का गठन नहीं करता है। कुछ कंपनियां सुरक्षा जोखिम लेने के लिए पूरी तरह से खुश हैं यदि भेद्यता ब्रांड प्रतिष्ठा को खतरे में नहीं डालती है, या हैकर्स को लाभ नहीं मिलता है, और भविष्य के रिलीज में वैसे भी एक फिक्स (या फीचर परिवर्तन) शामिल होने की संभावना है।
ग्रेग गॉथियर

4

मुझे लगता है कि उत्तर उस नुकसान की डिग्री पर निर्भर करता है जो इस बारे में आएगा कि क्या सिस्टम एक दुर्भावनापूर्ण हैकर द्वारा समझौता किया गया था। जाहिर है कि एक सिविल इंजीनियर अच्छे विवेक में एक असुरक्षित पुल के डिजाइन को मंजूरी नहीं दे सकता था। इस तरह के पुल के निर्माण से चोट या मृत्यु हो सकती है। जानबूझकर ऐसा करना इंजीनियर के लिए भी गैरकानूनी होगा, लेकिन यह तथ्य कि सॉफ्टवेयर इंजीनियर (कम से कम यूएसए में) कानूनी रूप से बाध्य नहीं हैं, उसी तरह दोषपूर्ण सिस्टम के खिलाफ स्टैंड लेने के लिए उन्हें पेशेवर कर्तव्य से अनुपस्थित नहीं करता है। दुर्भाग्य से, आपकी कंपनी को सॉफ़्टवेयर जारी करने के लिए आपके हस्ताक्षर की आवश्यकता नहीं हो सकती है।

आप जिस सिस्टम पर काम कर रहे हैं उसकी सटीक प्रकृति निर्दिष्ट नहीं करते हैं। यदि यह चिकित्सा रिकॉर्ड, बैंकिंग, वायु यातायात नियंत्रण, या कुछ अन्य वास्तव में महत्वपूर्ण बुनियादी ढांचे से संबंधित है, तो मैं कहूंगा कि आप रिलीज से पहले उच्चतम स्तर की सुरक्षा पर जोर देने में अच्छी तरह से उचित होंगे।


+1 संदर्भ के लिए, मुझे लगता है कि कोई भी डेटा जिसमें सामाजिक सुरक्षा नंबर, पहचान संख्या या क्रेडिट कार्ड नंबर शामिल हैं, को भी सुरक्षा पर ध्यान देना चाहिए। ऐसी प्रणालियाँ जो इस जानकारी को संग्रहीत नहीं करती हैं और महत्वपूर्ण प्रणालियाँ कम जोखिम वाले डेटा नहीं हैं और आपको सुरक्षा के बारे में अधिक चिंता करने की आवश्यकता नहीं है।
maple_shaft

3

हां, रिलीज होने से पहले आप इसे ठीक कर लें। एक हैकर की सरलता को कभी कम मत समझो। क्या आप एक सप्ताह के लिए अपने पिछले दरवाजे को चौड़ा खुला रखते हुए छुट्टी पर जाएंगे? क्या आपका बहाना होगा,

"ओह इसकी पीठ में और यह सीधे सड़क का सामना नहीं करता है। कोई भी इसे विस्तृत रूप से लटका हुआ नहीं देखेगा .."

शायद ऩही।

लेकिन मैं इन दिनों स्पष्टवादिता प्रधान मंत्री के साथ समझता हूं कि कैसे सबसे पवित्र रिलीज की तारीख सुरक्षा के साथ संभावित रूप से भारी देयता के मुद्दे से अधिक महत्वपूर्ण है। यदि यह आपका मामला है, तो मैं इसे ध्यान में रखते हुए कॉल करने का सुझाव देता हूं, इस मुद्दे को लॉग इन करें, सुनिश्चित करें कि यह अच्छी तरह से प्रलेखित है, अच्छी तरह से जाना जाता है और जोखिमों को स्पष्ट रूप से समझाया गया है और पीएम को यह तय करने दें कि क्या करना है।

अगर पीएम घटिया फैसला करते हैं और इसे नजरअंदाज करने का फैसला करते हैं और तय समय पर रिलीज से आगे निकल जाते हैं, तो जब आप सीटी बजाते हैं तो आप जिम्मेदारी से मुक्त हो जाते हैं।

अन्यथा यदि आप यह पाते हैं और इसे अपने पास रखते हैं और कुछ होता है तो आपको परिणामों के लिए व्यक्तिगत रूप से जिम्मेदार ठहराया जा सकता है।

चुनना आपको है।


4
अमेरिका में, कम से कम, यह संभावित रूप से बहुत बड़ा दायित्व नहीं है, क्योंकि लगभग कोई भी सॉफ्टवेयर किसी भी प्रकार की गारंटी के साथ नहीं आता है। मेडिकल डिवाइस सॉफ़्टवेयर एक अपवाद है, और संभवतः अन्य भी हैं, लेकिन अधिकांश सॉफ़्टवेयर और सॉफ़्टवेयर-आधारित सेवाएँ अनिवार्य रूप से "कोई गारंटी नहीं" आधार पर हैं।
डेविड थॉर्नले

1
कोई गारंटी नहीं? आप क्यों नहीं बताते हैं कि उन लाखों सोनी ग्राहकों के पास जिनके सामाजिक सुरक्षा नंबर और अन्य संवेदनशील डेटा चोरी हो गए थे, क्योंकि ओपी सुझाव दे रहा है जैसे सुरक्षा छेद।
maple_shaft

2
जब डेविड सही होते हैं, तो आपकी कंपनी की प्रतिष्ठा बर्बाद होने पर लागू नागरिक देयता की कमी से ठंडा आराम मिल सकता है, या आपकी छोटी सी फर्म को बस एक बड़ा करके अस्तित्व से बाहर कर दिया जाता है।
पीटरअलेनवेब

@maple_shaft: और सोनी की क्या देनदारी है? उन्होंने एक साल के लिए ऋण सुरक्षा सेवाओं की पेशकश की है, लेकिन मुझे नहीं लगता कि उनके पास कोई कानूनी दायित्व है। यह उनकी प्रतिष्ठा के लिए एक हिट है, लेकिन वे पहले भी बच गए हैं।
डेविड थॉर्नले

1
@ रोरी: आइए अब से दो साल बाद इसे देखें। मुझे लगता है कि रूटक फियास्को, अन्यओएसओ के मनमाने ढंग से हटाने, और इस लीक से सोनी लंबे समय में लोकप्रिय हो जाएगा, लेकिन मुझे विश्वास नहीं है।
डेविड थॉर्नले
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.