Czy warto zaufać dużej firmie dlatego, że jest duża?

Witam.

Ostatnie wydarzenia skłoniły mnie do napisania tego co myślę - o całokształcie sytuacji. Mowa oczywiście o Sony i genialnych zabezpieczeniach, a może ich braku.

Jak to się mogło wydarzyć?

I to jest dopiero pytanie, jak tak wielka i szanowana firma mogła nie zainwestować w bezpieczeństwo - dopiero teraz stworzyli odpowiednie stanowisko w firmie od bezpieczeństwa a także zatrudnili zewnętrznych audytorów.

Mit, że znana i duża firma jest porządną się właśnie tutaj obala, dokładnie - Sony go obaliło. No cóż, teraz będziemy mówić - to wszystko przez Sony.

Mała firma nie rzadko jest lepiej przygotowana na ewentualne szkody niż większa firma, tu jest moim zdaniem całkiem inne podejście do sytuacji.

Sony zgubiło fałszywe poczucie bezpieczeństwa.

Ciekaw jestem także jak przez sieć przeszło kilka gigabajtów zapewne skompresowanych danych, i że nikt tego nie zauważył. Pewnie systemu IDS nie posiadają - a może od kilku dni już coś tam mają...

Spokoju nie daje mi także myśl o drugim włamaniu. Zakładając, że Sony tworząc obydwie platformy używał jednego frameworka czy czegoś innego jako podstawy to dlaczego łatając jedną aplikację na nim opartą nie załatał drugiej? Jak dla mnie fail.

Jak to możliwe, że wyciekły hasła?

Czy Sony nie zna tak podstawowych metod jak solenie i tworzenie skrótów? - Przecież to ogromna firma, która posiada miliony klientów! Już blog kowalskiego postawiony na Wordpressie lepiej przechowuje hasła!

Dlaczego dane nie były zabezpieczone?

Nie od dawna znany jest algorytm AES który nie bez powodu używany jest przez wojsko. Dlaczego zatem Sony nie zaszyfrowało dane zawierające informacje dotyczące kart kredytowych przy użyciu AES 256 bitowego z użyciem hasła użytkownika jako klucza?

Idąc tym sposobem nawet pełen dump bazy danych by nic nie dał, włamywacz mógłby sobie takimi danymi podcierać cztery litery co najwyżej - bo aby je odczytać potrzebowałby 10 milionów kluczy szyfrujących czyli haseł użytkowników.

Dla niekumatych jeszcze rozwinę wypowiedź aby nie pojawiły się zbędne pytania - przy wyciąganiu danych z bazy aby je odszyfrować należałoby pytać użytkownika o hasło, możnaby też trzymać hasło na chwilę w pamięci co i tak jest lepsze od trzymania całej bazy w plaintekście.

Rok 2011 oficjalnie rokiem ogromnej porażki Sony?

Dokładnie tak bym to ujął, bo najpierw było złamanie zabezpieczeń konsoli Sony Playstation 3 które ponoć były banalne a zarazem kontrowersyjne (sławny generator liczb losowych losujący bez przerwy tą samą liczbę), później Sony zgubił sporo poufnych danych użytkowników.

Moim zdaniem, szczerze to popieram atak, choć sam jestem użytkownikiem PSN.

Dlaczego popieram atak?

1. Ktoś musiał pokazać, że nie należy powierzać poufnych danych większej firmie 2. A także, że większa firma to nie znaczy, że lepsza od nie jednej mniejszej 3. Bardzo dobra zemsta za usuwanie funkcji między innymi "Other OS" czy kompatybilności z PS1 i PS2

Oczywiście atak jak atak nie jest niczym dobrym, szkoda, że dane z kart kredytowych wyciekły to jest ogromna strata, jednak myślę, że to nauczy czegoś ludzi a także inne firmy.