Sunday, April 01, 2007

The Human Factor

When you go to some security conferences, especially those targeted for management staff, you might get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 impression that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only problem in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security field that mankind is facing today is… that we’re too stupid and we do not know how to use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology properly. So, we, use those silly simple passwords, allow strangers to look at our laptop screens over our shoulders, happily provide our e-bank credentials or credit card numbers to whoever asks for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m, etc… Sure, that’s true indeed – many people (both administrators and users) do silly mistakes and this is very bad and, of course, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y should be trained not to do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.

However, we also face anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r problem cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se days… A problem of no less importance cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n “cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 human factor”. Namely, even if we were perfectly trained to use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology and understood it very well, we would still be defenseless in many areas. Just because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology is flawed!

Think about all those exploitable bugs in WiFi drivers in your laptop or email clients vulnerabilities (e.g. in your GPG/PGP software). The point is, you, as a user can not do anything to prevent exploitation of such bugs. And, of course, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 worst thing is, that you don’t even have any reliable way to tell whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r somebody actually successfully attacked you or not – see my previous post. None of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 so called “industry best practices” can help – you just need to hope that your system hasn’t been 0wned. And this is really disturbing…

Of course, you can chose to believe in all this risk assessment pseudo-science, which can tell you that your system is “non-compromised with 98% probability” or you can try to comfort yourself because you know that your competition has no better security cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y you… ;)

15 comments:

denis bider said...

Indeed, it's quite disturbing. I hope your proposals for improving cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security and verifiability of operating systems makes headway.

In any event it certainly seems like it will take 5-10 years before we trustworthy OS fundamentals are ready for mass use, but I would prefer 10 years to 50.

Anonymous said...

Worst problem is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 human factor. You talk about bad drivers! Human develop drivers. Computer doesn't make errors in drivers! The human makes error and bad driver is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 human factor too.

We must learn and improve our security knowledge.
I think basically all errors and all security problems are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 human factor.

Unknown said...

I think educating users, and all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 articles and policies saying you should educate users is both important and unimportant. I know, this is a contradiction. Users should be educated as best we can because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y often detect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hack because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit coder is no more perfect than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rest of us. In "Cuckoo's Egg" Cliff Stoll detected cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 intrusion because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 phone bill was incorrect. We also as an industry have to stop blaming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 luser. Secure coding techniques and secure system design need to be just as important as building a bridge safely or making sure an Airplane can fly on one engine. When cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 OS has cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fault tolerance of a Boeing 777, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n we will be getting somewhere. I think you are on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 right track with your discussion. I might not understand everything you are saying, but some combination of a secure hypervisor and a trusted code base for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel makes sense. We should also stop expecting users to know whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y should press cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ''OK'' button. --Michael

Unknown said...

One quick philosophical comment about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "risk assessment pseudo-science" / probability part: afaik (I'm not a scientist), cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current view in physics is that we all exists because of probability, in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sense that it is most probable for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 atoms which form our body to behave such that we exists. However this is all probability and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re exists cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 chance (although a very, very small one) that one day cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 atoms composing my body will move in such a way that I get disintegrated.

My point is that probability is part of our existence and many things we take for sure are in fact things which are very probable, but not 100% probable. One should embrace and not fear cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 unknown.

Anonymous said...

It would be great if systems were safe. What we know, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are not.
To achieve safety, both project and implementation have to be perfect from security point of view (not only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel, even cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 software installed).
Most of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 companies developing software takes, care about security. Unfortunately cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir workers do not know all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 possible ways to exploit cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir products. They are not "cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hackers" - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are software developers. You can't blame cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m for that. Even you, security expert, do not know all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 paths attacker can follow. Human factor.
Even if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 systems were made fulfilling all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 modern requirements of safety, tomorrow whizkid will find a flaw starting new branch of attacks; history taught us that.
You do a good job, pointing security flaws. Although your work on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most advanced system compromises is impressive, you completely ignore "visible" attacks, more popular and still hard to find.
Using zero-day exploit in Word or Acrobat Reader someone can steal your data working in "stupid ring 3".
How often do you look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code injected to processes? How often you check what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-mode threads do? How often do you look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 templates for new Office documents?
Are you sure that your Internet Explorer is not executed by external application when your screensaver is active and do not open a website passing somewhere your data? ;)
Praised PatchGuard protects cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most popular malware from being deeply monitored. That's why antivirus companies complain about it so much. It especially protects cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware that use human factor directly.

Anonymous said...

human factor indeed, stupidity knows no bunds!

Anonymous said...

My view is that today's security problems are really a simple reflection of low quality software. My current operating system is so complicated that resonable test coverage is impossible. The result is bugs, lots of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m. The operating system itself is so extended into 1000's of shared libraries that I don't believe anyone even understands cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 big picture, much less that has an "architecture" in mind. Today's operating system is very reminiscent of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "spaghetti code" associated with DOS of some years back. The Winchester Mystery house also comes to mind.

When I think about what I do with a computer, and what ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs do with computers, I see no compelling reason for such complexity -- expecially in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 light of non-backward comatibility.

Reduce cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 complexity and innovation will be forthcoming and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 number of bugs will decrease.

At least that's how I see it.
Ed Bradford
b ed at nc dot rr . com

Anonymous said...

No one can to know everything. Modern IT technology need polymathic. A security expert or software developer can be expert in small area only. I think software developer must be multiskilled. The best programmer is a security expert. The best security expert is a programmer.

Even you’ll know everything you can make errors. It is a human factor.

David said...

Please pardon this expansive, questionable, and dissipative rant ... If one is destined for stupidity, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n into stupidity he goes. Keep as many eggs in as many baskets as possible. You can never be safe and secure, that is an illusion. If you want to play cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n be prepared to lose. What's more valuable, data, information, or wisdom? What is value? As anonymous says, software will always reflect our flaws as much as our brilliance.

Anonymous said...

"Just because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology is flawed!"

I don't think cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology is flawed. I think when you combine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Human Factor and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 word variable you get an answer.

----------------------------------

Definition of Variable

1.apt or liable to vary or change; changeable:
2.capable of being varied or changed; alterable:
3.inconstant; fickle:
4.having much variation or diversity.

----------------------------------

Anonymous said...

well, obviously mistake can be avoided. mistakes will happened but must be at acceptable rate, say 1/1million.

HarryE said...

Being a humble user and after watching cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 mighty IT departmens and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir monster machines blaming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 poor user ,I concluded :

- Computers are very naive machines
cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y believed whatever cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are being told.
-It is possible to record cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 input
and reaction of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machines and made cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to act accordingly.- If you tell a computer "black",
****???, XXX123 ,cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y will act on it, even if you do not know what it means. Face recognition, who cares ,you just say 11001000 or
whatever cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 computer believes is a face and it will comply.A dog
is smarter.
-Worse ,computers are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 best imitators and can be used to imitate anything .
-So ,computer security cannot be achieved until computers think by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves and even cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n.

boris kolar said...

Yes, we can blame technology for much of our security chaos. However, it was human factor that lead us to situation. Now, even eliminating human factor of end users won't help, because underlying technology is flawed.

Requiring administrative rights for every installation is a bad security policy, made by humans. Relying that millions of lines of code in kernel and drivers is free of security vulnerabilities is also a bad security foundation, caused by human factor. Allowing emails to run scripts on a such a flawed operating system is anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r bad decision, also a human factor.

So in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end, we can conclude our security problems are based on human factor, but our problem is so wide spread, that fixing human factor for end users is not enough.

Anonymous said...

Obviously cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology we use is flawed, I don't think anyone would argue that a browser having a bug should result in someone taking control of a computar.

I think you are misrepresenting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 argument of "human error" that many people and that I make. Most security problems at corporations are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 result of incompetent management and lax configurations. It is possible to build a network that offers an acceptable level of security. Things can be segmented and separated. Most corporations can't and don't consider cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case of an attacker with a tremendous amount of resources. Given an infinite amount of resources mostly nothing is secure. Have you ever experienced dealing with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security of a corporate network? If you do, you will quickly realize that invisible malware is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 least of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir worries. There are generally many, many more fundamental problems to fix.

Not all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security problems of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 real world can be avoided and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's no reason to believe that we're going to have perfect avoidance in terms of IT security eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, it's too expensive. That's why we have law, courts and prisons. And yes, a host can be "owned" (I wonder who comes up with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se types of words...) and be undetectable from it's perspective, but:
1 - It might be detectable from a network perspective
2 - Just because a host is "owned" it doesn't mean that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 corporation is in deep trouble, depending on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security measures in place.

For many corporations having cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 right person murdered could be more destructive than "owning" a machine undetectably. Nobody goes around saying "cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y might murder our CEO and not be detected", it's just obvious.

I get amazed at how much effort is spent on talking and researching "owning" when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are so many real world (maybe less hip) problems to solve in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 real world.

Anonymous said...

There are all aspects of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Human Factor" involved, from developers to end-users.
But...
The technology is definitely flawed! The network protocols we still use (and abuse) today were desinged decades ago for functionality, NOT Security.
A lot of our current technology is really just stretching cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 use of old technology in ways never conceived by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original designers. Original designers simply could not comprehend cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 nature of our present-day security environment.
To truly improve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technology must be redesigned, from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ground up, with consideration to our current requirements, and those projected for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next decade or two.
Uh oh, wouldn't that cause compatibility problems? Imagine updating TCP/IP, Ecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rnet, even programming language revisions... Yes, absolutely it would. This is a much larger picture of what Microsoft needs to do (Scratch-build to an architecture worthy of current and future security requirements).
Will it happen? No - not all at once anyway. Did "Human Factor" cause all of this? Yes - but I think it is more helpful to separate technology issues and Human issues, to appropriately address cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m. Ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rwise, everything gets jumbled into one big confusing mess.