W dniu 2019-08-17 o 16:26, Wojciech Bancer pisze:
>> Pięknie tłumaczysz likwidację tokenów, jednak biometria w bankowości
>> jest od dawna. Jakoś przebić się nie może. Dlaczego?
>
> Gdzie się nie może przebić, skoro każda niemalże apka ją potrafi
> wykorzystać?

W bankomatach. Z tego co pamiętam to niektóre banki spółdzielcze
wprowadziły kilka lat temu. I na tym się skończyło.

> Zakładasz, że ów Rozbójnik Rumcajs najpierw Ci połamie palce, żeby dostać
> pin do telefonu, potem nogi, żeby pin do aplikacji bankowej, a na koniec
> wstuka dziarsko 26 cyfr "anonimowego konta" bankowego i dokona przelewu?

Nie, to dużo prostsze.

> To nie prościej gwizdnąć "pacjentowi" kartę? Czy karty debetowe też
> trzymasz w sejfie i oczekujesz, że reszta świata również?

Na przykład tak (z dziś)?:
http://moto.pl/MotoPL/7,88389,25091243,byla-metoda-n
a-butelke-teraz-kradna-na-drut-policja-znowu.html

Rzeczywiście masz rację - noszę kartę, z której korzystam. Drugą, z
której nie korzystam - trzymam w sejfie.
Nie oczekuję, że reszta świata... ;-) Każdy niech sobie robi, co uważa.

>> Jeśli podejrzy PIN, a jest on zgodny z tym na karcie - celem ataku
>> będzie karta.
>
> Karty mają piny 4-cyfrowe, a współczesne telefony 6-cyfrowe
> (Apple od iOS 9, Android gdzieś chyba już od wersji 4.x pozwala
> na dłuższe niż 4-cyfrowe PINy) + maziane znaki lub biometrykę.
> Niespecjalnie dopasujesz, ale powodzenia.

iPady, z których korzystałem miały 4-cyfrowy.
Pominąłeś znów najistotniejszy aspekt - człowieka. Ten dąży do
ułatwiania sobie życia. Proponujesz mi kolejne hasła, zabezpieczenia
itd. Nie tędy droga.

>> Jeśli za pośrednictwem komórki w ogóle mogę się zalogować
>> do systemu - wymuszenie rozbójnicze załatwi sprawę.
>
> I co zrobią? Przelew na swoje konto? I co jeszcze wesołego wymyślisz?

Być może dla Ciebie bandytyzm jest "wesoły". Powiedzmy, że jednak nieco
innymi kategoriami moralnymi się kierujemy.

Przestępcy korzystają często ze słupów. Wątpliwe czy robiliby przelew na
swoje konto.

> To już chyba prościej mu będzie załatwić "rozbójniczo" ten pin do karty.

Zazwyczaj jest dość istotna różnica między stanem konta osoby
zamożnej/dużej firmy, a limitem wypłaty w bankomacie jeśli chodzi o kartę.

> Nie moja wina, że masz taki archaiczny sprzęt, który wymusza wpisywanie
> pinu za każdym razem.

Na szczęście Apple się o to troszczy. Dziś znowu afera - tym razem o
baterie.
Apple w styczniu 2018 roku wprowadziło do iOS dość niespotykaną, a
bardzo przydatną opcję - wskaźnik zużycia baterii. Było to pokłosie
sporej afery z 2017 roku, gdy okazało się, że firma celowo obniża
wydajność smartfonów.

Teraz Apple postanowiło zabrać w sprawie głos. Firma tłumaczy, że robi
to z troski o kwestie bezpieczeństwa naszych iPhone'ów.
Informacje te służą ochronie naszych klientów przed uszkodzonymi, złej
jakości lub zużytymi akumulatorami, które mogą prowadzić do problemów z
bezpieczeństwem lub wydajnością.
-----------

Czy jako ekspert od bezpieczeństwa mógłbyś mi wyjaśnić jak akumulator
może wpływać na bezpieczeństwo (danych - jak rozumiem)?

>> I sądzę, że aby cokolwiek naprawić trzeba mieć jednak dostęp
>> administracyjny.
>
> To źle sądzisz. Trzeba mieć dostęp do trybu diagnostycznego.
> A to jest osobny tryb, w którym nie ma dostępu do danych użytkownika.

OK. Przyznaję, że nie słyszałem, aby Windows posiadał tryb diagnostyczny
pozwalający na pełen dostęp do urządzenia bez dostępu do danych użytkownika.

>> Komp się wiesza. Nie znam przyczyny - oddaję do naprawy z hasłem na
>> BIOS, Windows i w TrueCrypcie? To nie bardzo widzę możliwość zrobienia
>> czegokolwiek przez serwis.
>
> Oddajesz komputer w stanie wyzerowanym, a po odzyskaniu z serwisu
> wgrywasz na niego swoje dane.

Rzadko kiedy komp się wiesza w stanie wyzerowanym. ;-)

> Masz problem ze zrozumieniem zdania poniżej (cyt. "Istotne hasła _firmowe_
> są dostępne dla kilku osób..."), czy po prostu usiłujesz zmanipulować moją
> wypowiedż, żeby nie przyznać że palnąłeś argument z dupy?

Nie zrozumiałeś. OK - łatwiej - są instytucje, które muszą mieć dostęp o
najwyższym priorytecie nawet wówczas, gdy zabraknie tych "kilku osób".

> Nie ma potrzeby dawania dostępu do FB, ani w celu zamknięcia konta w banku,
> ani w celu zamknięcia konta na FB, czy też poinformowania o tym znajomych.
> https://www.facebook.com/help/requestmemorialization
>
> Do innych usług też nie. Bitcoina nie posiadam.

Istnieje dość istotna różnica w czasie między zalogowaniem się od razu
a... kiedyś tam, np. po dostarczeniu stosownych dokumentów. To kwestia
bezpieczeństwa - takie martwe konta mogą zostać przejęte z różnych powodów.

> Niekoniecznie przygodny. Własny komputer w pracy ciężko nazwać
> "przygodnym".

O ile Ty i tylko Ty z niego korzystasz. Zdarza się, iż wiele osób z
niego korzysta. Także tych o wyższych uprawnieniach.

> No i tylko przez to, że istnieją takie dinozaury świat ciągle
> musi marnować drzewa bez sensu.

Z drugiej strony nie będzie już rękopisów chociażby dzieł literatury. Co
więcej - charakter pisma zdradza też wiele informacji o człowieku. Zatem
z punktu widzenia kultury i sztuki to wątpliwej jakości "sukces".

>> Choćby po to, aby nie okazało się, że wyślesz mi coś w formacie pliku,
>> którego nie odczytam.
>
> Na szczęście poza Tobą reszta świata nie ma tutaj problemów.

Tradycyjnie się mylisz. Brak kompatybilności to potężny problem. Nawet w
obrębie jednego systemu (np. MS Office - Libre Office), a nawet jednego
pakietu (MS Office w różnych wersjach). Doprawdy nie zdarzyło Ci się
nigdy zauważyć, jak dokument się "rozjechał" lub w ogóle nie odtworzył
na różnych komputerach?

>> Druga rzecz - na papierze widać modyfikację.
>
> Bzdura roku. Papierowe umowy można spokojnie antydatować,
> spróbuj to zrobić z podpisanymi dokumentami elektronicznymi.

Mam wątpliwość czy każdy dokument elektroniczny, który dostaję ma
podpis. Rzekłbym nawet, iż 99% z nich nie ma.
Czy dasz radę antydatować swój dyplom? Wątpię. Po przeniesieniu go do
komputera - żaden problem.

>> Nie martwi Cię, że jesteście tym samym uzależnieni od firm zewnętrznych?
>
> Absolutnie nie. Dzięki temu oszczędzam pieniądze,

W przypadku Apple'a to bardzo wątpliwa teza. Tajemnicą Poliszynela jest,
że ich pomysły okraszone bełkotem o bezpieczeństwie sprowadzają się do
korzystania z autoryzowanych serwisów. Oczywiście droższych.

a stosowne firmy
> to są duże molochy (Microsoft, Google i Amazon), które nie dość że
> spełniają o wiele bardziej restrykcje ustawy RODO/GDPR, to pozwalają
> mi oszdzędzać pieniądze, usprawniając jednocześnie dostęp do danych.

Czyli dyski sieciowe nie mają sensu?

Czy dostęp do danych jest "usprawniony" to wątpię. Chociażby bez
Internetu praca z dokumentami Google jest niemożliwa, a i w przypadku
posiadania dostępu także niezbyt przyjemna. ;-) Natomiast rzecz
najistotniejsza - wrzucając dokument do chmury nigdy nie wiesz kto i jak
z niego korzysta. Restrykcje mówisz... I tylko raz na jakiś czas kolejna
afera, gdzie oczywiście użytkownik jest winny. ;-)

> Co więcej, te firmy mają na tyle pewne systemy, że korzystają z nich
> również rządy.

Ciekawa teza. Zupełnie nie rozumiem po co Clinton miała jakieś tam
serwery w domu, skoro Google jest takie pewne ;-)

> Ty nie dość, że musisz wyszkolić pracowników na takim samym poziomie,

Nie, nie trzeba.
To łatwo zrozumieć... Nie włamiesz się do czegoś, co nie jest podłączone
do sieci, a tym bardziej do prądu. Jeśli mam swój dysk to dostęp do
niego mam ja. Jeśli wrzucam coś gdzieś tam - zawsze zwiększam ryzyko
kradzieży.
Już. Koniec szkolenia.

Praktyczna realizacja: gdy zrobisz sobie nagą fotkę aparatem cyfrowym i
będziesz ją trzymał na karcie SD - może być w sejfie ;-) - szanse na jej
upublicznienie są żadne. Jeśli ją wrzucisz do telefonu/komputera nie
podłączonego do sieci, "bezpiecznego" - nadal szanse są małe. Jeśli
jednak wrzucisz ją do sieci - jak to mówią - "w sieci nic nie ginie".
Ryzyko się zwiększa. Jeśli jesteś osobą publiczną to straty z powodu
kradzieży takiej fotki mogą być gigantyczne (straty wizerunkowe).
Machanie Applem, certyfikatem, czymś tam nie ma żadnego sensu.

> to jeszcze w trybie ciągłym musisz płacić mu za zajmowanie się rzeczami,
> które ja albo mam za darmo, albo płacę jakieś opłaty na poziomie 1/10
> pensji minimalnej. Rocznie.

Dysk zewnętrzny nie jest drogi. Sęk w tym, że gdy Ty się już uzależnisz
od innych to wówczas okres "promocji" może się skończyć i firma X
zacznie Ci windować ceny. Zatem ja płacę 1/10 pensji minimalnej o sam
zarządzam danymi, Ty płacisz tyle samo i... nie wiesz kto zarządza
danymi. Google ;-) Czyli kto? Gdzie? Pod jakie prawo podlegający itd.?

> A nawet jak są jakieś dokumenty papierowe w obiegu, to nikt do takiej
> standardowej dokumentacji nie wymaga sejfu, wystarczy zwykłe zamykane
> pomieszczenie / solidniejsza szafa (nie musi być pancerna).

Tak, oczywiście masz rację - w przypadku hydraulika czy masażysty, jak
pisałeś.

>> Przekonałeś mnie. Złoto też jest częściej "kupowane" na kontraktach niż
>> fizycznie. Od gotówki odchodzimy, rękopisy już nie powstają, dzieła
>> sztuki na tyle marne, że nie warto ich chować. Zamiast płyt - mp3.
>
> Obecnie zamiast kupować płyty, czy mp3 to się do tego ma dostęp
> w abonamencie.

Obecnie tak. Pytanie co za 20 lat?

Prócz mp3 były inne formaty przechowywania dźwięku. Przepadły... A wraz
z nimi ów zapis.
W obrębie mp3 swego czasu 128 kbps uznawano za jakość CD. Dziś to trochę
mało. Sęk w tym, iż przy stratnej kompresji nie da się jakości odzyskać.
To samo z filmem.

W chwili obecnej słucham przeciętnie 35 nowych
> utworów tygodniowo, co stanowi ok. 2 "albumy" tygodniowo, czyli
> ~8-10 miesięcznie. Oblicz sobie ile byś musiał na tyle wydać.
> Ja płacę niecałe 240 zł rocznie.

Dostałem właśnie niedawno płytę z osobistą dedykacją. Mam ją przenieść
do mp3? Jak?
Autograf w formie cyfrowej ma chyba trochę mniejszą wartość
kolekcjonerską niż na papierze, prawda?
Gwarantujesz, że za X lat mp3 z tej płyty nadal będzie do odtworzenia?
Bo i ile unikatowe albumy (np. winyle) są w cenie, o tyle jeszcze nie
słyszałem o kolekcjonerskich walorach mp3, pdf czy jpg.

>> Jeśli natomiast będzie to szafa na ubrania, a klucz
>> "uniwersalny" to możesz mieć kłopot, gdy coś się wydarzy.
>
> W budżetówce na pewno, ale reszta świata sobie poradzi.

Jeszcze w poważnych firmach i - powiedzmy - indywidualnych przypadkach.

> Zaświadczenia z ZUSu możesz dostać elektronicznie.

To po co wysyłają 13 mln listów rocznie z informacją o składkach i
prognozą emerytury? ;-)

>> Przykładowo w Idei musiałem kilkanaście razy pisać do nich z prośbą
>> o zamknięcie konta (po tym jak 2 razy "papierowo" w oddziale zamykałem).
>
> To jest tak proste, że aż dziw, że na to nie wpadłeś.
> Nie mają interesu w tym by Ci ułatwiać zamykanie konta.
> To jest tylko ich zła wola, a nie uwarunkowania prawne.

Zwróciłeś jednak uwagę, że papier ma większą moc prawną niż
elektroniczny dokument, prawda?

Jeszcze gorzej ma się sprawa z call center. Udowodnienie czegoś bankowi,
gdy się korzystało z tej usługi jest trudne. Bank ma łatwiej (nagrywanie
rozmów), ale też kwestie interpretacyjne bywają sporne. Mam wrażenie, iż
to jest tak: telefon ---> mail ---> pismo. Gradacja "ważności". To czego
się nie dało załatwić na telefon daje mailem, a już zupełnie przybiera
formę oficjalną, gdy zostaje dostarczone poleconym.

> W Citi zamknąłem kartę kredytową i konto wysyłając wiadomość w systemie
> transakcyjnym. W tymże samym Citi podpisałem umowę kredytową na dość
> konkretną kasę wyłącznie elektronicznie. Telewizor na raty też można
> kupić przez internet i podpisałem wszystkie dokumenty elektronicznie,
> w systemie banku.

Ale to banały. Głupstwa, które nie spowodowały żadnego konfliktu.

Zostałeś wezwany poleconym (a jakże) w charakterze świadka na rozprawę.
Wyślesz SMS, mail czy pismo z prośbą o zmianę terminu?

We Wrocławiu znajduje się muzeum Pana Tadeusza... Może zaproponujesz im
przeniesienie rękopisu do chmury Google'a i zniszczenie oryginału? ;-)

>> Mam sporo danych na dyskietkach, jeszcze więcej na płytach, trochę
>> na kasetach VHS. Sęk w tym, że nie mam stacji dyskietek, CD-ROMu
>> i magnetowidu. Ogrom materiałów tym samym przepadł.
>
> Widać ten ogram był mało istotny,

To już nieistotne kto zawiódł. Materiał przepadł. Podczas, gdy foto
papierowe potrafi trwać i 100 lat.

bo przez długi czas można
> było przenosić dane z dyskietek na CD, a VHSy przegrywać
> na CD (były firmy które się tym zajmowały).

Można. Sam widzisz jak niebezpiecznie jest polegać jedynie na formie
cyfrowej.
Co ciekawe - 20 lat temu zrobiona fotka, zeskanowana byłaby fatalnej
jakości dziś (rozdzielczość, kompresja itd.). Podobnie jak fotka
zrobiona ówczesną cyfrówką. To samo z filmami. Może w mp3 byłoby lepiej,
ale też bez rewelacji. Jednocześnie odbitka fotograficzna, film oparty
na "analogowym" modelu czy winyl/CD miałyby wartość także i dziś. Jakieś
wnioski?

Teraz już pewnie
> trudno kogoś takiego znaleźć. Ja mam jeszcze archiwalne
> pliki z czasów studiów, trzymam je we wpółczesnej chmurze.
> Koszt to jakieś $0.10 rocznie.

No ja mam zbyt poważne dane, aby powierzać je komukolwiek. Chmurę mam za
darmo, ale tylko mało istotne dane tam wrzucam.

>> Wolałbym nie mieć za 30 lat dokumentów potrzebnych do obliczenia
>> emerytury w formacie pliku, który okaże się nie do odczytania.
>
> No patrz, obecnie dokumentację ZUSowską prowadzi się wyłącznie
> elektronicznie (w płatniku) i nie trzeba niczego udowdaniać,
> poza wskazaniem podmiotu/podmiotów.

Dziś. Ale już gdy obliczano kapitał początkowy parę lat temu to ZUS nie
był taki nowoczesny i kazał sobie przysyłać świadectwa pracy czy tam
inne dowody. Na papierze. Oryginały ;-) Teraz pytanie - co będzie za X
lat, szczególnie iż mam wrażenie, że to raczej im trzeba będzie
udowadniać, a nie odwrotnie. ;-)

> W żadnym miejscu gdzie traktuje się bezpieczeństwo poważnie
> nie drukuje się i nie przechowuje haseł na papierze, bo w razie
> skompromitowania systemu nie wiadomo kto tego nie dopilnował.

Dziwna koncepcja.

Parę lat temu media pisały, iż recepturę Coca-coli zna 2 ludzi. Ich
życie jest obwarowane szeregiem procedur. Pamiętam, iż np. nie mogli w
tym samym czasie latać tym samym samolotem, mieli zakaz uprawiania
sportów ekstremalnych itd. Potem Coca-cola odpuściła. Mogli żyć już
"normalnie". Dlaczego? Recepturę zamknięto w sejfie.

Czy to powoduje, że "skompromitowanie" coca-coli powoduje, że nie
wiadomo kto się... ją... skompromitował? ;-)

> Pamiętam. Mówi Ci coś takie słowo: biegły?

Tak.

>> Kasa pancerna, sejf bardziej do ludzi (a sędzia też może być
>> człowiekiem) przemawia niż tłumaczenie, że to Apple było i certyfikat.
>
> Opinia biegłego wystarczy.

Niestety nie. To tylko opinia. Do której są może się przychylić lub nie.
W kwestiach spornych czy interpretacyjnych opinie mogą się różnić.

I nie będę się tłumaczył "że Apple",
> co więcej, w razie ewentualnych problemów można prześledzić kto
> miał dostęp do danych plików, czego nie jesteś w stanie zagwarantować
> w systemie "wkładam sobie cośtam do sejfu".

Wprost przeciwnie. Do sejfu mają dostęp konkretne osoby.
Do danych w chmurze ma dostęp wiele osób.

Pamiętam, jak swego czasu Paweł Wimmer na łamach "PC Kuriera" bardzo
ciekawy artykuł napisał na temat pomyłek komputerów. To były czasy, w
których różne niepowodzenia zrzucano na komputer. Ot - komputer się
pomylił i wystawił zła fakturę. Albo pomylił kursy walut itd. Wimmer
porównał wówczas tę sytuację do analogowego dyktafonu. Grzmiał, że
przecież żaden dziennikarz nie powie, że dyktafon mu pomylił zapis
rozmowy. Gdy dziennikarz mówi do mikrofonu "Prawda" to dyktafon nagrywa
to słowo, a nie "Fałsz".
Dziś już nikt nie powie, że "komputer się pomylił", ale dużo zwala się
na hakerów (słusznie lub nie). Niektórzy twierdzą, że hakerzy potrafią
mieć wpływ nawet na wybory i to wcale nie w republikach bananowych.
Rozważ sobie w tym kontekście które dane są bardziej narażone na ataki:
te na kartce w sejfie czy te udostępnione w sieci.

>> Ależ nie. Włożę gotowy materiał nagraniowy do sejfu.
>
> Nikt tak nie robi.

Mylisz się.

Tarantino trzymał scenariusz swojego nowego filmu w sejfie, aby zapobiec
wyciekom!Każdy pewnie pamięta sławny incydent, który okrył reżysera
prawdziwą niesławą, a mianowicie chodzi o wyciek scenariusza
Nienawistnej ósemki w styczniu 2014 roku. Quentin Tarantino postanowił
wyciągnąć z tego wydarzenia prawdziwą lekcje życia.Jak twierdził sam
reżyser, w tamtym czasie do scenariusza miała dostęp garstka jego
najbliższych współpracowników, co skłoniło go początkowo do ogłoszenia
rezygnacji z projektu. W paru wywiadach zwierzył się dziennikarzom, jak
dotkliwie sytuacja ta wywarła negatywny wpływ na jego samopoczucie i
psychikę. Tarantino ostatecznie zmienił zdanie i postanowił uczyć się na
swoich błędach, co widać w jego podejściu do swojej pracy twórczej w
nadchodzącej produkcji Pewnego razu... w Hollywood.

Gdy byliśmy w biurze produkcyjnym, poszliśmy do pokoju z dopisanym
zakończeniem i razem ze scenariuszem zabranym z sejfu przekazaliśmy go
tylko tym osobom, od których wymagał wykonywania niezbędnych zadań.
powiedział w jednym z wywiadów Robert Richardson

Po prostu nie miałeś przygody, która by Cię skłoniła do pewnych działań.
Obyś nigdy nie miał.

Tu masz ofertę firmy na produkty, których nikt nie potrzebuje/nikt nie
kupuje:

https://www.hartmann-tresore.pl/sejfy/sejf-na-nosnik
i-danych/

>> Zmieści się przecież na dysku.
>
> W co bardziej zabezpieczonych systemach nie podłączysz dysku
> zewnętrznego, ani nie wykręcisz dysku z komputera. Kombinuj
> dalej. [...]

Coś chyba znowu nie zrozumiałeś. Po co blokować w ten sposób komputer?

> Współcześnie praktycznie nie ma takich firm, które to potrafią
> na dłuższą metę.

Czasami nie jest to kwestia "dłuższej mety", a ciągłości działania.

Wlicz w to wszystkie firmy które mają kasy fiskalne
> i zauważ że dokumenty księgowe jesteś zobowiązany wysyłać do US/ZUS
> drogą elektroniczną.

Była awaria - będzie tolerancja odnośnie terminów. To głupstwo. Tak jak
chwilowy brak rzodkiewki na targu nie jest problemem.

>> Że tzw. grupa reprezentatywna na podstawie której można wyciągać wnioski
>
> Czyli masz ten ~2000 realych znajomych?

Nie potrzeba aż tylu. Zazwyczaj grupa reprezentatywna w badaniach to ok.
1000 osób.

> Bo poniżej, to niezbyt statystycznie istotna wartość i żadnych
> wniosków na tej podstawie nie można wyciągnąć.

Nie masz racji. To jakiś standard w Twoich wypowiedziach?
Zazwyczaj badania opierają się o dwukrotnie niższą grupę badanych.
Oczywiście kluczowy jest tu dobór osób. Niemniej - im więcej tym
pewniejszy wynik.