שרשור תגובות: SanDisk Extreme 500 - אחסון קשוח ומהיר

[pixies]

moranhoresh, טון הכתיבה שלך מאוד צורם ולא מתאים לאתר הזה.
לתשומת לבך.

[Batnun]

יופי, אז עבדת כשוטף רצפות בכמה חברות הייטק, כל הכבוד.
לכולם ידוע שתוכנה הרבה יותר קל לפרוץ מחומרה, ושהגנת תוכנה פחות יעילה מהגנת חומרה.
בגלל זה חברות רציניות משתמשות בפיירוול חומרה ולא תוכנה, בגלל זה מקומות עם אבטחה גבוהה משתמשים בחומרה לצורך זיהוי ולא מסתמכים רק על תוכנה.
עכשיו אתה יכול לקשקש כמה שאתה רוצה, מבחינתי הדיון בנושא תם.

...

·

אה, לכולם ידוע.
אחרי תשובה כה מפורטת ומנומקת אין לי כמעט מה לומר יותר, כצפוי.

הרי העובדה שגם לציקפויינט וגם לסיסקו יש פיירוולים מבוססים תוכנה (על מכונה וירטואלית) מצביעה בבירור שהלקוחות שלהן זה רק חברות לא רציניות. בטח גם בגלל זה מקום העבודה המאוד מאובטח שלי משתמש בפתרונות הצפנה וזיהוי מבוססי תוכנה. ממש חובבנים בממשלה הזאת.

ועכשיו, אם תסלח לי, אחזור לעבודה. הרצפה הרי לא תשטוף את עצמה...


Batnun

.

[shayze]

@moranhoresh
טון הדיבור שלך והזלזול שלך כלפי אחרים אינם ראויים כלל.
ברור לי שאין לך מספיק ידע כדי להסביר את טענתך, שכן יש הגיון תיאורטי במה שאתה אומר (אותו אסביר תיכף) ודווקא מסיבה זאת, לא הייתי ממשיך במקומך בדיון בנושא זה מכיוון שסתם תביך את עצמך ותביא את עצמך לצנזור או גירוש עקב התנהגות בלתי הולמת.

אם להסביר מעט יותר בבירור את הנקודה של ה"חולשה" שבהצפנה תוכנתית, נניח מקרה לדוגמא:
נניח שיש לי תוכנת הצפנה שמתשמשת במפתח 128 חזק ומוצפן שיקח עשרות אם לא מאות שנים לפרוץ אותו.
אבל התוכנה הזאת לא רוצה שהמשתמש יזכור את המפתח הלא זכיר הזה, אז היא נותנת לו אפשרות לשמור סיסמא.
נניח שמי שכתב את התוכנה הזאת, עשה טעות והכניס חולשה שמאפשרת לתוקף לגרום לתוכנה לחשוב שהוכנסה סיסמא נכונה גם אם לא הוכנסה הסיסמא. במקרה כזה, זה ה"זכוכית" עליה דיברת. אותו תוקף לא צריך למצוא את מפתח ההצפנה אלא רק את החולשה שתאפשר לו גישה למידע.
אבל יש פה הרבה "אם".
אם קיימת חולשה כזאת, ואם היא ניתנת לניצול בקלות ואם ההשקעה משתלמת לאתר את החולשה מלכחתחילה, שהרי פורצים מקצועיים לא ממש מתעניינים בכוננים פרטיים של משתמשים אלא חושבים יותר בגדול בד"כ, ועוד "אם"ים רבים וטובים.
כך שהמסקנה הברורה, שעבור 99.9% מקהל היעד של המוצר שהולך להשתמש בהצפנה (שהם כשלעצמם אחוז מאוד נמוך מקהל היעד של המוצר), ההצפנה הזאת מספקת, ועבור ה 0.1 אחוז הנותרים, תשתמשו בהצפנה אחרת ולא בזאת שניתנת עם המוצר. יש הרבה פתרונות בקוד פתוח שעוברים ביקורת ובדיקות מקיפות. לצורך העניין אתה יכול להחזיק מפתח פרטי משלך ולהריץ סקריפט הצפנה ופענוח שמשתמש ישירות בOPENSSL. ותהיה בטוח שאם אתה ב0.1 אחוז האלה, אתה גם יודע לעשות את זה.

עריכה:
אגב לגבי פתרונות "חומרה" כמו פיירוול, בכל המקרים בהם משתמשים בפתרונות חומרה, מדובר במוצר embedded שכולל בתוכו תוכנה. הסיבות לשימוש בחומרה נפרדת הן רבות ומגוונות. לדוגמא לא היית רוצה מחשב פיירוול שיהיה המחשב האישי שלך שבו אתה מתקין תוכנות טורנטים ונכנס לאתרים מפוקפקים. אתה רוצה מערכת נפרדת ומוקשחת עם מינימום סיכון לפרצות אבטחה ומקסימום נוחות אחזקה, תמיכה ושירות של היצרן.

[nir11]

אני לא מבין מה הקטע, זה נכון שבתוכנה יכולים להיות כל מני פרצות שמאפשרות פריצות בהצפנה, בלי לפענח את הקוד ב brut force.
אני חושב ש heart bleed הוא דוגמא טובה.
אבל למה את חושב שחומרה חסינה יותר? גם שם יכולות להיות פרצות. אני לא מבין למה את מבדיל, תוכל להסביר?

[shayze]

במקרה של heart bleed דווקא המקרה ההפוך הוא יותר נכון. מחשבים מקבלים את העדכון יחסית בקלות (בלינוקס העדכון הוא כמעט אוטומטי) אבל חומרות יעודיות, לרוב עם מעבד שאינו x86 דורשות תחזוקה ספציפית של ספק החומרה. לא יפתיע אותי אם מוצרי embedded רבים (לא בתחום האבטחה כמובן) עדיין מכילים גרסה של openssl עם חולשת heart bleed.

[אוריה]

בואו נדבר על מחירים קצת... וכדאיות רכישה.
המוצר קיים באמזון ב 140$...
מה דעתכם ? האם במחיר הזה כדאי לקנות ?
הצרכים שלי פשוטים מאוד -גיבוי כל התמונות והסרטים המשפחתיים...

אוריה

[pixies]

כמה זה עולה כולל משלוח לארץ? לא בטוח שההפרש מצדיק רכישה בחו"ל.

[shayze]

בשביל גיבוי למה אתה צריך SSD?
לא עדיף לקנות באותו מחיר שני כוננים מכאניים?