о паролях и URLах (компьютерное, англ.)
Dec. 12th, 2009 08:31 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
avvaЛюбопытная статья исследователя из Майкрософта Кормака Херли:
Cormac Herley: So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice By Users.
Заставляет задуматься, скажем так. Херли рассуждает о том, почему пользователи в массе своей не следуют советам профессионалов в области security: например, советов о том, как выбирать и хранить пароли, как не попадать на phishing-сайты (внимательно проверять URLи важных сайтов) итд. Он приходит к интересному выводу: пользователям может быть экономически невыгодно следовать этим советам, а администраторы недооценивают их сложность.
Подробности в статье, но особо отмечу интересное обсуждение в пункте 4.1 того, что нужно понимать про URLи, чтобы убедиться, ты на правильном сайте или на phishing-копии. Для компьютерщиков это само собой разумеется и очевидно, но мы не задумываемся обычно над тем, насколько для "обычного пользователя" это на самом деле сложная система фактов и правил.
Cormac Herley: So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice By Users.
Заставляет задуматься, скажем так. Херли рассуждает о том, почему пользователи в массе своей не следуют советам профессионалов в области security: например, советов о том, как выбирать и хранить пароли, как не попадать на phishing-сайты (внимательно проверять URLи важных сайтов) итд. Он приходит к интересному выводу: пользователям может быть экономически невыгодно следовать этим советам, а администраторы недооценивают их сложность.
Подробности в статье, но особо отмечу интересное обсуждение в пункте 4.1 того, что нужно понимать про URLи, чтобы убедиться, ты на правильном сайте или на phishing-копии. Для компьютерщиков это само собой разумеется и очевидно, но мы не задумываемся обычно над тем, насколько для "обычного пользователя" это на самом деле сложная система фактов и правил.
Re: +1000
Date: 2009-12-13 08:51 pm (UTC)Например, сразу приходит в голову такой метод: если товарищ ввёл, по мнению хозяина сайта, недостаточно надёжный пароль, его нужно об этом предупредить, рассказать, какой пароль будет надёжным и предложить сменить, ну а если товарищ упорствует, то он должен подписать специальное соглашение, снимающее часть ответственности с хозяина в случае каких-то эксцессов. Подписать, естественно, тут же на сайте. (Конкретное содержание пусть разрабатывают юристы, им за это деньги плотят.)
Ну, и можно раз в полгода в ненавязчивой форме об этом напоминать.
Меня бы это устроило. А вас?
Re: +1000
Date: 2009-12-14 08:51 pm (UTC)