Перейти к содержанию

Почему Касперский не любит АйТишников


AndrewMsk

Рекомендуемые сообщения

7 hours ago, Mrak said:

ут же принципиален вопрос доверия: если пароли утекут

Откуда? КиПасс не имеет своего механизма синхронизации вообще. Всё, что он делает — создаёт файл с паролями. А ты его сам синхронизируешь как хочешь. Раньше я использовал Гугл Драйв для этого, а потом перешёл на Syncthing.

7 hours ago, Mrak said:

Тут же принципиален вопрос доверия: если пароли утекут, то кто будет за это отвечать? Кто понесёт репутационные издержки в таком случае?

Но ведь ЛК не будет отвечать ни за какие проблемы.

13 minutes ago, Umnik said:

Но ведь ЛК не будет отвечать ни за какие проблемы.

Дабы не было недопониманий. Это не какая-то особенность ЛК. Это вообще про абсолютно всех производителей ПО на планете.

Ссылка на комментарий
Поделиться на другие сайты

  • Ответов 46
  • Создана
  • Последний ответ

Топ авторов темы

  • Mrak

    8

  • Umnik

    7

  • Friend

    7

  • kmscom

    4

36 минут назад, Umnik сказал:

Но ведь ЛК не будет отвечать ни за какие проблемы.

36 минут назад, Umnik сказал:

Не будет, но удар по репутации окажется существенным (мол обещали сберечь пароли, но не справились). Если же левая контора пообещала и не сделала - тут же аналогичную откроют с не менее красивыми вывесками и обещаниями абсолютной надежности. 

 

37 минут назад, Umnik сказал:

Всё, что он делает — создаёт файл с паролями.

Применительно к программам я не специалист, поэтому я не знаю, что делает и что может делать какая-то программа. Приходится исходить из того, кто её разработал и отвечает за неё. Перепроверить не могу. 

 

Тут также как с конфиденциальным общением. Ты раньше писал, что лучше всего из общедоступных в этом плане платная threema. При этом обещания конфиденциальность хранить у всех одинаковые (телеграмм, вотсап, вибер, трема, сигнал и что угодно ещё). Технически проверить обоснованность обещаний лично я не могу. Только верить на слово (тебе или другим экспертам). Но существует вполне обоснованное поле для скепсиса - если программа не заблокирована в РФ, значит несмотря на все заверения её разработчиков, они сливают необходимые данные под предлогом или в целях борьбы с преступностью. 

Ссылка на комментарий
Поделиться на другие сайты

Наша стратегия - что каждый имеет право на безопасность. И для этого мы успеваем создавать функции для всех - и простые, и специальные айтишные. Тот же быстрый поиск и подстановка паролей по хоткею. Хоткеи в настройках – скажете не по-айтишниковски? Но нам важно и то, чтобы все считывали команды интерфейса однозначно, а вот тут приходится делать скидку на простых пользователей. Хорошим примером как раз является то, что вместо простого «Добавить в исключения» мы просим подтвердить операцию на следующем шаге. Это сделано для того, чтобы невнимательный пользователь не оступился. Поэтому вынужденно перестраховываемся.

Поддержка работы с IP в KPM есть, при разборе ситуации в личном общении, нашли ошибку. Баг заведен, поправим в ближайшем релизе.

По предупреждениям о заходе на ресурс с недоверенными сертификатами - это не баг, это фича, и касается не только поведения нашего продукта, но индустриальных стандартов безопасности. Кстати, аналогичное поведение в браузерах с проверкой сертификатов и предупреждениями. Поэтому тут стоит использовать практику добавления рутового сертификата в системное хранилище Trusted Root сертификатов.

А вот регулярных предупреждений при работе с ресурсом и тем более отключения интернета быть не должно – здесь нужно разбираться с конкретным воспроизведением проблемы и собирать артефакты для анализа. Поэтому нам никак не обойтись без вашей помощи в сборе данных.

Команда B2C продуктов
  • Like (+1) 3
  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

49 минут назад, Dmitry Turmyshev сказал:

А вот регулярных предупреждений при работе с ресурсом и тем более отключения интернета быть не должно – здесь нужно разбираться с конкретным воспроизведением проблемы и собирать артефакты для анализа.

Здесь очень просто, возникает уведомление с выбором действия с проблемным сертификатом, ничего не делаем в течение 20-30 минут и интернета нет, так как антивирус блокирует всю сетевую активность.

 

KPM очень медленно развивается.  Странно что до сих пор не реализовали возможность импорта с популярных конкурентов (импорт возможен только с каких-то древних версий не популярных конкурентов), как возможность сделать экспорт в csv файл, создание автоматической резервной копии на компьютере при внесение каких-либо изменений в базу и т.д.. Многие пожелания есть на community и на портале бета-теста, но их либо не читают, либо откладывают в долгий ящик.

 

  

1 час назад, Mrak сказал:

Не будет, но удар по репутации окажется существенным (мол обещали сберечь пароли, но не справились). Если же левая контора пообещала и не сделала - тут же аналогичную откроют с не менее красивыми вывесками и обещаниями абсолютной надежности. 

Абсолютную надежность вам никто не сможет пообещать, может вы сами передали все данные злоумышленникам или сами установили вирусы и т.д, доказать обратное будет очень сложно.

Изменено пользователем Friend
Ссылка на комментарий
Поделиться на другие сайты

5 минут назад, Friend сказал:

Абсолютную надежность вам никто не сможет пообещать, может вы сами передали все данные злоумышленникам или сами установили вирусы и т.д, доказать обратное будет очень сложно.

Если из моего КПМ утекут данные, то скорее всего это затронет не только меня, а тысячи других пользователей. И тут уже логика: "сам дурак" не пройдёт. А насчёт абсолютной надежности: я ещё не слышал, чтобы двухфакторную аутентификацию успешно обходили на разных сервисах одновременно. Так что критичные данные при краже сложного пароля все же останутся защищёнными. 

Ссылка на комментарий
Поделиться на другие сайты

Ой-ёй, эге-гей!

Похоже, что ваши дискуссии чуть вышли немного за рамки темы, заранее обозначенной.

 

А тем временем был я в Ханты-Мансийске, где была встреча и выступление в местном Университете, где всё про цифровую безопасность и кибер-иммунинет рассказал.

 

А также всех привлёк на фанклуб, о чём им надо будет непременно напомнить.

 

А как иначе?

  • Улыбнуло 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Всем спасибо за комментарии. Поясню, что я поднял тему больше со стороны маркетинга. Сейчас все продвигают продукты через лидеров мнений. Например, 1с Битрикс делает продукт удобный для разработчиков да еще и платит 50% от продаваемых лицензий. В итоге, все студии советуют делать сайты на 1с Битрикс, хотя для клиента есть решения более удобные и более дешевые как в разработке, так и во владении. 

 

Я не сисадмин и KTS приобреталось не для корпоративного сегмента. А для домашнего использования. Но так как я участвую в разработке сайтов, то часто захожу на собственные ресурсы по IP и/или с самоподписным сертификатом. Я уже ранжировал все браузеры по тому, насколько удобно добавлять исключения. Кстати, удобнее всего в этом Яндекс. У Яндекса, кстати, есть внутренний Pass Manager с шифрованием по ключу. 

 

Так как занимаюсь сайтами, друзья считают меня экспертом в IT и спрашивают какой антивирус лучше поставить и какой браузер. Я естественно, советую те, с которыми сам работаю (так как  мне с ними удобно). А именно такие, где удобно добавлять исключения. И где IP трактуется как полноценный домен. 

 

Еще раз подчеркну. Сейчас не о продукте. А том, что если он неудобен для лидеров мнений, то это очень сильно подрывает его распространение. Прерывается цепочка "сетевого маркетинга". 

 

Выше писали про то что KAV обрывает доступ к Интернет Банкингу даже не сообщая об этом. Это тоже пример, когда нужны исключения. 

 

Видимо надо заново продумать обработку исключений. Чтобы было удобно добавлять. Если есть опасения что люди будут по ошибке туда кидать опасные ресурсы и не знать как удалить, можно раз в месяц выводить список исключений для ревизии. И т.п. 

Ссылка на комментарий
Поделиться на другие сайты

15.06.2021 в 21:30, Friend сказал:

В нашем окружении повторить не получается – здесь так же нужно разбираться с конкретным воспроизведением проблемы и собирать артефакты для анализа со свежей версией продукта.

Ссылка на комментарий
Поделиться на другие сайты

  • 3 недели спустя...
On 15.06.2021 at 19:44, Mrak said:

Не будет, но удар по репутации окажется существенным

Ну как, случился удар? https://donjon.ledger.com/kaspersky-password-manager/

Краткая суть: менеджер паролей использовал не безопасный генератор, а значит все пароли, сгенерированные разными пользователями, но с одинаковыми условиями и в одно и тоже время — одинаковые. То есть если мы с тобой в одно время скажем "сделай пароль на 8 вот таких символов", мы получим одинаковые пароли.

 

Таким образом, зная/предполагая длину пароля и символы, можно его сбрутфорсить здесь и сейчас. То есть ВСЕ СУЩЕСТВУЮЩИЕ пароли, созданные в программе до исправления, скомпрометированы. Все пароли нужно пересоздать в последней версии программы и на всех сайтах и во всех программах сменить эти пароли.

 

В KeePass же этой проблемы не могло быть вовсе, т.к. исходный код открыт и настолько провальную реализацию просто не пропустили бы.

  • Спасибо (+1) 2
Ссылка на комментарий
Поделиться на другие сайты

44 минуты назад, Umnik сказал:

Краткая суть: менеджер паролей использовал не безопасный генератор,

В этот момент я пожалел, что у меня лицензий на КПМ приобретено на 4 года вперёд. Жаль, что эта новость за вчерашний день, а не всплыла ДО покупки мною лицензий. 

 

Я так понимаю, сам КПМ мне не подскажет, какие пароли он сгенерировал не случайным образом и нуждаются в замене?

Ссылка на комментарий
Поделиться на другие сайты

5 минут назад, Mrak сказал:

В этот момент я пожалел, что у меня лицензий на КПМ приобретено на 4 года вперёд.

Они уже исправили уязвимость: https://support.kaspersky.ru/general/vulnerability.aspx?el=12430#270421, просто поменяйте все пароли на новые.

Сейчас другие проблемы с расширением в браузере Firefox 89.0.2:
KPM.thumb.png.53fb1dda77567562cabc51b6a4cb6408.png

Ссылка на комментарий
Поделиться на другие сайты

1 минуту назад, Friend сказал:

просто поменяйте все пароли на новые.

Это ни разу не просто! Сменить 200 (!!!) паролей. Это как минимум зайти на 200 разных ресурсов (эпл, наш форум, почта, банки и т.п. - думаю очевидно, что каждый ресурс разный). 

 

Допустим, на замену пароля уйдет 1 минута (что вряд ли, ведь надо много щелкать, генерировать новый пароль и т.п.). При таком раскладе я должен вычеркнуть более трёх часов из своей жизни лишь потому, что кто-то там допустил ошибку? 

 

Мне принципиально знать какой конкретный пароль надо сменить, чтобы я не тратил своё время. Если КПМ вынудит меня более трех часов менять пароли, то я лучше обойдусь без этой платной программы. 

 

Можно ли лицензии, добавленные в личный кабинет и присоединенные, отсоединить и кому-то подарить? Я выберу кого не жалко или сразу предупрежу, что есть такие риски. 

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

11 минут назад, Mrak сказал:

Можно ли лицензии, добавленные в личный кабинет и присоединенные, отсоединить и кому-то подарить?

Можно через службу технической поддержки открепить лицензии.

11 минут назад, Mrak сказал:

Я выберу кого не жалко или сразу предупрежу, что есть такие риски. 

У любой программы могут быть ошибки, это всегда указывается в Лицензионном соглашение ПО, которое вы принимаете перед использованием ;)

11 минут назад, Mrak сказал:

Сменить 200 (!!!) паролей.

Я обычно меняю все пароли раз в год и удаляю со списка ресурсы, которые уже закрылись :) Шансы что используют эту уязвимость против вас очень минимальны и равны ~ 0,001 %, к этому времени все необходимые пароли вы уже успеете поменять на новые.  :)

Изменено пользователем Friend
  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

@Mrak

1 час назад, Umnik сказал:

То есть если мы с тобой в одно время скажем "сделай пароль на 8 вот таких символов", мы получим одинаковые пароли.

 понадобится знать точное время создания пароля или учётной записи, если я правильно понял. Следовательно менять пароли нужно в первую очередь на тех сайтах которые предоставляют подобные данные (дата и время создания аккаунта) в публичный доступ.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • di.mailovich
      Автор di.mailovich
      Добрый день
      Обратил внимание что некоторые вендоры отказались от файерволла на Андройд в премиум версиях даже те у кого он был (аваст например) 
      Поясните пожалуйста вашу позицию. 
      Может быть бесполезность его без рут прав, или сложность установки правил для обычных пользователей или потому что толку от него нет кроме как резать рекламу блокируя выход в интернет некоторым приложениям или особенность именно операционной системы Андройд в которой нет острой необходимости в такой программе ? 
    • Solnepek7
      Автор Solnepek7
      Помогите пожалуйста, никак не могу найти майнер на ноутбуке. Почему думаю что майнер, потому что при включении диспетчера задач или process exp, ноут сразу затихает и вентиляторы не крутятся, как только диспетчер закрою, сразу большая активность. Сижу битый час общаюсь с DeepSeek, он там что то рекомендует, но не видит(я скрины ему кидал). Скачал SystemInformer (process hacker тот же), тут уже интереснее, при закрытии диспетчера cmd.exe грузит CPU до 33% и жрет 2.4гб памяти, но в дереве процессов не могу найти этот искомый файл что так грузит и запускается через команду. При открытии диспетчера process hacker сразу показывает что cpu в норме, 99% простаивает и файл закрывается. То есть при открытии диспетчера майнер закрывается, с помощью  process hacker не получается найти, банально не понимаю куда тыкать, да же с помощью нейрухи, deepseek иногда говорит несуществующие вкладки. Пришёл к реальным людям)
      Логи прикрепил, в безопасном режиме включал, всё тихо, шума нет, 99% простой системы. 3 раза сделал полную проверку касперским, не видит
      CollectionLog-2025.06.11-19.09.zip

    • MiStr
      Автор MiStr
      Май и июнь традиционно приносят участникам клуба хорошие новости. Во-первых, становится известным место празднования дня рождения клуба. (Спойлер: информация будет совсем скоро!) А, во-вторых, участники клуба получают приглашение на летний корпоратив "Лаборатории Касперского", посвящённый дню рождению компании. Публикуем информацию о том, как туда попасть.
      Когда и где?
      Корпоратив пройдёт в пятницу 4 июля 2025 года в Завидово (Тверская область). 
      Кто может попасть?
      Попасть на мероприятие может участник клуба, который накопил 10 000 клабов (количество накопленных клабов можно посмотреть здесь) или 5 000 баллов (количество накопленных баллов можно посмотреть здесь) и готов обменять их на возможность поучаствовать в праздновании дня рождения "Лаборатории Касперского".
      Как добраться?
      Проезд до Москвы и обратно не оплачивается. Трансфер из Москвы до места проведения мероприятия и обратно будет организован бесплатно. Во время мероприятия предоставляется безлимитная еда, напитки и развлечения. Кроме того, участники клуба смогут бесплатно переночевать с 4 на 5 июля 2025 года — будут представлены двухместные номера с раздельными кроватями.
      Какая программа?
      Программа традиционно насыщенная и крутая, но более детальной информацией и картой развлечений мы поделимся ближе к дате события.
      Когда нужно дать ответ?
      Клубу выделено 9 мест. Отправить заявку на участие в корпоративе необходимо в эту тему не позднее 12 июня 2025 года. В случае большого количества заявок места будут распределены администрацией клуба. Преимущество будет отдано наиболее активным участникам рейтинговой системы.
      Какие данные необходимо предоставить?
      В случае одобрения заявки администрацией клуба необходимо не позднее 15 июня 2025 года отправить письмо на имя @dkhilobok с предоставлением следующей информации: ник на форуме клуба, ФИО (полностью), номер телефона.
      Какие нюансы?
      Клабы за участие в праздновании дня рождения "Лаборатории Касперского" по выбору участника списываются либо с завершённого сезона рейтинговой системы 2024-2025, либо с нового сезона 2025-2026. После списания клабы или баллы не возвращаются. При даче согласия рекомендуем учитывать, что при желании поехать на главное событие лета — день рождения клуба — после списания клабов за участие в корпоративе "Лаборатории Касперского" в рейтинге должно остаться не менее 5 000 клабов.
    • KL FC Bot
      Автор KL FC Bot
      Отказаться от паролей и цифровых кодов по SMS, подтверждать вход в приложения и на сайты простым отпечатком пальца или улыбкой в камеру — именно так звучит обещание passkeys. А еще passkeys, в отличие от паролей, устойчивы к краже, поэтому новости об утечках вроде недавней, на 16 миллиардов учетных записей, можно будет читать, не хватаясь за сердце.
      Под разными названиями этот способ входа на сайты настойчиво рекомендуют WhatsApp, Xbox, Microsoft 365, YouTube и десятки других популярных сервисов. Но как выглядит использование пасскеев, они же ключи доступа, они же ключи входа, на практике? Мы подробно писали об этом в приложении к аккаунтам Google, а сегодня разберем, как поддерживают passkeys другие сервисы и платформы. В первом посте мы расскажем об основах использования passkeys на одном или нескольких устройствах, а во втором — разберем более сложные случаи, когда нужно войти в свой аккаунт на чужом компьютере, использовать Linux или же хранить ключи доступа на аппаратном брелоке-токене.
      Что такое passkey
      Passkey — это уникальный цифровой ключ входа, созданный для конкретного сайта или приложения. Он безопасно хранится на вашем устройстве: смартфоне, компьютере или специальном USB-брелоке (аппаратном токене) вроде YubiKey или Google Titan Security Key. В момент логина ваше устройство с помощью биометрии или ПИН-кода проверяет, что входите действительно вы. После этого оно отправляет сайту защищенный ответ, созданный на базе этого уникального ключа. Этот механизм хорошо защищает от кражи учетных записей, возможных при использовании паролей, обоими популярными способами — и через фишинговые атаки, и через взлом сайтов. Passkeys работают на устройствах Apple, Google и Microsoft, а при использовании облачной синхронизации в теории доступны на всех ваших устройствах. Подробнее о внутреннем устройстве passkeys — в предыдущем посте про ключи доступа.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Интернет огромен и забрести в нем туда, куда не нужно, — очень легко. Особенно если ты ребенок. Поэтому так важно помогать свои детям ориентироваться в киберпространстве и направлять их в мир доступного и понятного контента. Но как разобраться, что хорошо, а что плохо, если сам слабо ориентируешься в детском контенте?
      На помощь приходит приложение Kaspersky Safe Kids — с его помощью мы собрали статистику за целый год и теперь готовы любому взрослому ответить на вопрос «а что мой ребенок делает в Интернете?».
      Эксперты «Лаборатории Касперского» провели исследование и выяснили, что дети ищут в Сети и на YouTube, какие приложения используют на своих смартфонах, какие игры любят, какую музыку слушают и каких блогеров смотрят. В полной версии отчета вы можете найти ответы на эти и другие связанные вопросы.
      Ищут brainrot-мемы
      Мы выяснили, что категория «Мемы» (4,87%) — в топе контента, который дети ищут на YouTube. Да, в общем списке запросов ожидаемо лидируют музыка (21,11%) и блогеры (17,17%), но мемы (4,87%) следуют прямо за мультиками (6,19%). Что касается вкуса детей в мемах, то они довольно-таки специфичны. Прямо сейчас у детей по всему миру очень популярен brainrot-контент.
      Мемы Italian Brainrot сейчас — номер один у детей всего мира
      Если вы активный пользователь TikTok, то, скорее всего, вас не удивит трехногая акула в кроссовках или крокодил в виде бомбардировщика, а на вопрос «кто сильнее: Tralalero Tralala или Tung Tung Tung Sahur?» вы уверенно назовете своего фаворита. А если вы читаете эти строчки и не поняли ни слова, то объясняем: это главные действующие лица новых brainrot-мемов. Они пришли на смену скибиди туалетам, и их… любят дети по всему миру!
       
      View the full article

×
×
  • Создать...