Smart Card Alliance Weakly forsvarer Industry

Smart Card Alliance tilbyr talemåter, men don &'; t identifisere gjerningsmennene

Smart Card Alliance slapp sitt svak reaksjon på den siste Sykipot Tojan angrep som kapret det amerikanske forsvarsdepartementet! autentiserings smartkort. I motsetning til hypotetiske angrep på smartkort (den kinesiske Resten Theorem angrep kommer til tankene med bruk av en mikrobølgeovn og en kalkulator) dette er en reell trussel mot sikkerheten i en &'; s nettverk og data, men ikke så mye til smartkort selv <. br>

Sykipot Tojan tar fordeler av feil og manglende sikkerhet i Adobe &'; s PDF-dokumenter (zero-day angrep) og Microsoft &'; s Windows OS og anti-virus leverandører er ikke blokkerer infiserte vedlegg
.

Hvordan blir disse angrepene skjer? Angriperen sender en phishing eller spyd phishing e-post med en malware infisert vedlegg til en intetanende person eller ansatt. Den ansatte åpner vedlegget og lanserer angrepet. Malware er en keylogger som fanger opp PIN-koden til smartkortet, leser bruker &'; s sertifikater innen Windows, og deretter lar angriper å bruke denne informasjonen til å logge inn uautoriserte kontoer

Smart Card Alliance tilbyr bare forenklede. . sikkerhetsstrategier

1. Utdanne brukere på sikker datamaskin og e-praksis
2. Oppretthold up-to-date anti-virus, -malware og –.. keylogger
programvare
3. implementere brukeranalyse og nettverksetterforskning verktøy.
4. Ta med multi-faktor autentisering (jeg trodde at
var hele hensikten med smartkort)
5. Kjøp en PIN-pad smartkortleser. (Dyrt)
6. Herding autentiseringen mellom bruker, tastatur, etter og smartkort. (Det &'; s hva OS er vel å gjøre)
7. Endre kortet ditt PIN og sertifikater (Merk: endre
sertifikater kan skape kaos på dokumenter, tilgangs
rettigheter osv, som brukte eldre sertifikat. Plus,
angriperne vil fortsatt ha tilgang til den eldre
informasjon.)

Dette er baloney. Disse anbefalingene er fornærmende i beste fall, siden det &'; s Security 101. For de offentlige representanter for smartkort industrien til å sette ut slike namby pamby plattheter og enten avslå, eller forstå hvordan å løse de virkelige gjerningsmannen er en urettferdighet for oss alle i smartkortindustrien som arbeider for å gjøre data sikre og brukerautentisering pålitelige.

Hva dypt bekymrer meg om deres reaksjon er at verken smartkort industrien heller PKI-bransjen er på feil. Forebygging og sikkerhet er feilaktig plassert på brukeren. Feilen faktisk ligger hos usikre applikasjoner (Adobe), operativsystemet (Microsoft) og nettverkssikkerhet som don &'; t oppdage ødelagte filer. Angrepet brukte var usofistikert og har vært kjent og opplevd i år. Hvorfor hasn &';? T databransjen adressert disse kjente trusler

Så her er min “ Key Elements of Security &" ;:

1. Skrap Windows 8 og utvikle et helt nytt operativsystem Anmeldelser systemet fra grunnen av. Don &'; t gjør den bakover
kompatibel med noe. Gjør sikkerhet en integrert
del av designet. Klart det vil være kostnaden av nye
programmer og drivere, men som er verst? Kostnaden
for oppgradering eller videreføring av multi-milliard
dollar identitetstyveri taper som kan få ned våre
økonomi?
2. Blokker alle Adobe PDF-vedlegg før de løse sine
problem . Ingen eldre PDF-vedlegg vil bli tillatt i
hvilken som helst datamaskin
3. Cloud og nettverk produksjon &'; s. Produkter skanne
vedlegg for skjulte filer
4. Charge disse selskapene $ 1 milliard hver sikkerhet patch de har å løsne. Windows Patch tirsdag har
pågått siden Windows 98. Er Microsoft
Ledelsen så ivrig på fortjeneste at å bygge en betrodd
system er uten reell betydning for dem? Hvis USA
Postal Service trenger en ny kampanje for å få folk til
faktisk kjøpe frimerker og andre postprodukter
så minner hver amerikaner som “ brevpost &"; er ikke
påvirket av virus og kan &'; t ta ned datamaskinen
eller nettverket

Påstanden om at Common Access Card (CAC) har redusert nettverk inntrenging med 46% når du bytter passord er også. svært misvisende. Det har redusert inntrenging når du hindre brukerne fra selv administrere sine passord. Gang på gang vi vet at folk vil plukke enkle passord, kan du bruke det samme passordet overalt og skrive passord på notater. Hvorfor? Fordi vi kan &'; t huske på at mange av dem. Men hvis du innlemme et smartkort-basert, multi-faktor autentisering passord manager vil du se lignende innbruddsreduksjoner; og, til en brøkdel av kostnaden og tiden. PKI er en stor teknologi og det gjør noen ting bedre enn noen annen teknologi, men det er ikke hensiktsmessig for alle. Så sammenligne CAC til selvstyrte passord er disingenuous.

Som du kan se, er jeg ganske fortvilet og mer enn litt sint. Ikke på hackere, kriminelle eller til og med kinesisk siden de gjør jobben sin og gjør det veldig bra. Men med databransjen som gjør at disse angrepene for å fortsette. Og på Smart Card Alliance for ikke å identifisere den sanne gjerningsmennene og tilbyr solide sikkerhetsanbefalinger. Angrepet blir ført var ikke sofistikert. Så i stedet for Microsoft, Adobe og andre kommer opp med en ny, “ pen &"; grensesnitt, bruke pengene sikre programvaren
.