Устаревшие практики
Специалист по кибербезопасности SophosLabs Шон Галлахер считает, что в большинстве случаев мифы об эффективных способах киберзащиты укоренились потому, что стали популярны в частных разговорах. Например, люди ищут совета у других, думая, что если кто-то пользуется той или иной практикой, то, значит, это подходящий вариант. Также зачастую это могут быть рекомендации из сюжетов по телевидению, которым уже так много лет, что они безнадежно устарели.
По мнению Галлахера, это можно назвать «кибернародной медициной».
Специально для портала Arstechnica эксперт описал эти привычки, добавив, что избавлял от них не только друзей и членов семьи, но и людей из разных профессий и слоев общества, которых он повстречал за время работы в кибербезопасности.
Эксперты считают, что некоторые из мифов создают ложное ощущение защиты, а от самих взломов не защищают практически никак. Галлахер констатировал, что практики настолько укоренились в культуре, что вопреки всему будут продолжать передаваться и практиковаться.
Про пароли
Такая популярная рекомендация, как смена пароля каждые 30 дней — это миф, считают специалисты. По их словам, первоначально технические ограничения не позволяли делать пароли сложными и длинными, поэтому и требовалось их менять чаще, но современные операционные системы и системы безопасности решили эту проблему.
В реальности же дело обстоит совершенно не так. В компаниях все еще можно встретить требование о ежемесячной замене пароля. Также меры действуют на некоторых сайтах с банковскими услугами и у онлайн-магазинов.
Эксперты заметили, популяризация регулярной смены пароля повлияла на отказ от сложных паролей. В результате даже сами сервисы стали предлагать пользователям упрощать комбинации.
Были введены запреты, такие как ограничение в количестве символов, отказ от определенных знаков или от срочных или прописных букв. Вероятно, это связано и с попыткой упростить разработку сайта.
В любом случае, такие ограничения ослабляют сложность пароля, а значит и ухудшают уровень безопасности аккаунта. Длинные пароли с символами вроде пробелов и знаков препинания запоминаются лучше, чем произвольные числа или буквы, уверены они.
Смена паролей каждые 30 дней только усложняет запоминание паролей и приводит к тому, что люди начинают искать обходные пути. У многих пароль меняется только на один символ. Например: Pa55w0rd1, Pa55w0rd2, а затем это будет Pa55w0rd3, и так далее.
Галлахер считает, что вместо периодической смены лучше выбрать достаточно длинный и сложный пароль для личного или рабочего компьютера. По словам эксперта, менять его стоит только в том случае, если он был передан кому-то или его украли с помощью утечки.
Другой популярный миф — нельзя записывать пароли на бумажке. Конечно, требование появилось не просто так. Многие сотрудники компаний записывают пароль на стикер и наклеивают его на монитор, то есть прямо дают пароль к собственному устройству.
Специалисты согласны, что такой сценарий записи паролей некорректен. Однако они не видят проблем в самой практике записи паролей на бумагу. Главное — сделать так, чтобы записи хранились не на видном, а в надежном месте.
По мнению Галлахера, не нужно запрещать людям записывать пароли, но стоит советовать делать это только для комбинаций, которые нельзя сохранить в диспетчере паролей, или, если эти данные необходимы для восстановления доступа к устройству или аккаунту. То есть для самых ценных и сложных паролей, которые редко используются в повседневной жизни.
Альтернативные методы хранения паролей при этом действительно стоит забыть. Например, в текстовом файле или другом незашифрованном формате на самом гаджете. По словам специалистов, хакеры любят проверять устройства на наличие файлов с названием про пароли и, как ни странно, регулярно находят их. Из-за такой оплошности жертвами кибератак становятся не только отдельные пользователи, но и компании.
Когда защита не нужна
Двухфакторная аутентификация не нужна, уверены многие пользователи. Эта мера защита учетных данных считается избыточной, так как пароль меняется и является достаточно сложными. Однако именно этот способ спасает от взлома аккаунта при утечке данных.
ИБ-эксперты считают, что при массовых попытках взлома аккаунтов любая двухфакторная аутентификация приводит к тому, что около 90% попыток будут безуспешными, а остальные 10% — приведут к временной блокировке аккаунта из-за подозрительной активности.
Однако специалисты признали — и наличие двухфакторной аутентификации не является 100%-й гарантией того, что аккаунт не удастся взломать. Некоторым фишинговым атакам удается ее обойти.
VPN тоже оказался не таким всемогущим способом защиты, как считают многие пользователи. Специалисты уверен, что VPN слишком активно рекламируют, а на деле его стоить использовать только при необходимости доступа к рабочим ресурсам и для обхода географических блокировок и просмотра контента, обычно недоступного в стране проживания.
Во всех других случаях VPN не намного эффективнее для защиты конфиденциальности, чем при посещении сайтов, использующих современный безопасный протокол HTTPS.
К тому же тематика VPN активно эксплуатируется киберпреступниками. Если друг или родственник рассказал, что получил уведомление о вирусах на смартфоне и требованием срочно установить VPN, то это мошенничество. Приложение, которое отправило такое предупреждение, следует немедленно удалить.
В современном обществе существует мнение, что антивирусы в большинстве случаев не нужны, констатирует Галлахер. С развитием других технологий защиты пользователи все чаще стали считать антивирусы чем-то избыточным. Большинству чаще всего достаточно брандмауэра (файрвол, проверяющий входящий и исходящий интернет-трафик, сделан для защиты локальной сети) или встроенного в Microsoft Defender. Есть и те, кто аргументирует бессмысленность антивируса тем, что не заходит на сомнительные ресурсы, вроде порносайтов.
По словам Галлахера, обновленный Microsoft Defender в правильно настроенной ОС Windows 10 или Windows 11 достаточно хорош для блокировки известных угроз. Но он заметил, что в программе все еще много неправильно настроенных, наполовину отключенных, не обновляемых функций. Эксперт считает, что в связи с такими уязвимостями корпоративные сети, использующие только Defender, находятся под угрозой кибератак.