Опасная безопасность. Событие 2.

Обдумывалось задолго до обновления от 28 мая, и оно скорее спровоцировало опубликовать данный текст здесь, а не где-то ещё. В предыдущей заметке была упомянута такая методика как ХАССП (подробности под спойлером), и современная ситуация в ИТ с ИБ показывает что даже специалисты в ИБ и I-бизнесе или незнакомы с ней, или забыли про лекцию с её описанием.

Как это относится к ИТ? В текущей ситуации напрямую, увеличивая риски для бизнеса в обмен на незначительное снижение риска теоретических ситуаций.

Типичная ошибка в этой сфере - когда информационная безопасность (ИБ) отдаётся на откуп, предположим высококвалифицированному, но человеку любящему свою специальность и сконцентрированному на ней.

Мораль сей сказки такова: все решения должны рассматриваться со всех сторон, а не "у кого-то есть, давайте внедрим".

Какие риски для сайта в принудительной системе входа с 2FA (через почту)?

1) Зависимость от стороннего сервиса - причем не одного, а неустановленного круга почтовых серверов, которые могут отреагировать на письма самым непредсказуемым образом. Например могут ввести с понедельника обязательную ЭЦП по ГОСТ для всех писем, а все не соответствующие - отбрасывать. И это не шутка - до мылру уже полгода не доходит почта отправленная с серверов с устаревшим (всего лет 15 технологии) протоколом безопасности и никакая DKIM-подпись не помогает, от ЭЦП отличающимся нюансами реализации, всё решаемо - но это репутационные потери раз, время на обнаружение проблемы два, отдельный почтовый сервер если на основном сервере не заработает с новыми протоколами движок сайта три.

2) Психология пользователя: "Вьетнамские флэшбэки" у пользователей, т.к. такое делают даже крупные сайты, и многие уже лишились почты или учётки. Да - у некоторых тоже "отключайте через ТП", но вот незадача - оно включалось снова. Само. И в результате  - потеря учетки. NeverWinter Online - 3 потерянных года, учетка с 80 "данжевыми" топ-лвл персами в среднего качества обвесе и гильда :(. Пришел из ностальгии - лишили доступа горе-"безопасники".

3) "Мертвые" почтовые сервисы. Да - они тоже умирают. У знакомой такая почта была. У меня на полумертвую почту учетка завязана которую передали яндексу.

4) "Забота" о "безопасности", например яндекс уже лишил меня учетки на самиздате завязанной на его почты (но тут я сам частично виноват - или забыл куда записал логин в самиздат, или очередные "безопасники" потерли базу сохраненных паролей ФайрФокса при обновлении, или яндекс просто лишил меня привязанной к учетке почты начав спрашивать 2FA из "пароля для восстановления", который я и не пробовал записать).

5) Пользователи - вот почему-то вероятность потерять один из двух паролей - от сервиса или от почты существенно (в разы) выше чем потерять одновременно оба пароля. В результате риск потерять доступ для пользователя существенно возрастает, и возрастает его нежелание покупать книги, как минимум - без скачивания. Просто потому что риск потерять израсходованные средства - кратно возрастает. И это или понятно сразу по личному опыту - или будет понятно после его приобретения.

6) Санкции. Просто перестают доходить письма из-за блокировки. Нет, необязательно сервера компании, а например по регистратору домена "прилетело". Или по "защите от DDoS".

7) Собственные технические проблемы, никогда такого небыло - и вот опять. Благо пример - сразу на старте случился.

Зачем это перечисление? 

А это список факторов которые тоже нужно учесть при внедрении новой системы безопасности: репутация нового метода входа среди пользователей, оценка его полезности для пользователей, репутация метода введения*, оценка рисков с точки зрения полезности для пользователей обязательно должна включать и оценку психологии пользователя.

Ну и главный фактор - невозможность самостоятельного отключения. Само по себе "внезапное включение" безопасности - ОЧЕНЬ плохо репутационно, не делается такое внезапно. Но вот в таком недоделанном виде без отключения - это совсем выглядит работой школьника.

*(слава ОПСОСАМ и Ру-центру за опыт включаемых "бесплатных" функций, ну и яндексу - за насильную безопасность)

Пример из жизни №1:

Электронная почта когда-то крупного сервиса. Сервис закрыт, почта перенесена на яндекс - по официальному договору. Но: администрирование домена осталось у его владельца. С одной стороны неплохо - сложно что-то негативное сделать. С другой - плохо когда вводятся новые правила которые требуют от почтовых доменов ЭЦП размещать в DNS и письма от такого домена перестают приходить куда-либо. Пока не пофиксят. Вишенка на торте - настройку/замену DKIM-подписи нужно повторять регулярно, на хостинге и на домене, пропустил - сбой, ваши письма не доходят до мылру на 100%, да и много куда ещё тоже.

Пример из жизни №2:

Санкции.

а) Захотелось вам войти с нового компьютера в дискорд, а дискорд хочет подтвердить учетку через почту. А письмо на почту из примера №1 не доходит до серверов яндекса - дискорд заблокирован в РФ. И вы потеряли учетку дискорда со всеми друзьями, купленными ништяками и записями.

б) Играете вы 3 года в игру которая требует ввода кода с почты, не всегда, а при входе с нового компьютера, но вот беда - слетела учетка и вы потеряли доступ к временной почте, на которую регистрировались "просто попробовать игру", т.к. заботливый браузер зашифровал сохраненные пароли слетевшей учеткой. И всё - все донаты, гильдия соло вкачанная на 2/3 капа, созданная для 80 пред-топ-персонажей, время - всё это становится тыквой. Несмотря на имеющиеся логин-пароль от игры и попытку писать в ТП с требованием отключить 2ФА, но потом его снова тихо включили, без уведомлений :(

в) Блокирование по санкциям почтового домена как домена "санкционной организации". Например захотелось вам получить доступ к драйверам интел для легально купленного ПЭВМ и создаёте вы учетку запрещенного в РФ неназываемого сервиса - а вилы, "неправильный домен", ищите другую почту.