जब निर्देशों को पढ़ना बेहतर न हो

सूचना सुरक्षा में छेद अलग हैं। सॉफ्टवेयर में, हार्डवेयर में, लोगों के सिर में छेद होते हैं। और वे प्रलेखन में भी हैं। उदाहरण के लिए, अभी, यूक्रेन में एक बहुत प्रसिद्ध बैंक की वेबसाइट पर, कॉर्पोरेट इंटरनेट बैंकिंग के उपयोगकर्ताओं से किसी भी फ़िशिंग साइटों पर भरोसा करने का आग्रह करने वाला एक निर्देश है जो एक बैंक होने का दिखावा करता है, गलत प्रमाणपत्रों के बारे में सभी ब्राउज़र चेतावनियों के साथ भरा हुआ है। लेकिन वे शायद लोगों को एक उपयोगी गोदी बनाना चाहते थे। लेकिन यह हमेशा की तरह निकला।

हम किस बारे में बात कर रहे हैं?

हम यहां जाते हैं और डॉक डाउनलोड करते हैं। प्रारंभिक कार्य । आप सब कुछ नहीं पढ़ सकते हैं (कई हैं) - मैं दस्तावेज़ के प्रमुख स्थान को उद्धृत करूंगा:

"उपयोगकर्ता के कंप्यूटर पर इसे डाउनलोड करने के लिए, मुख्य पीढ़ी का कार्यक्रम बैंक की वेबसाइट पर स्थित होता है
अपने इंटरनेट प्रदाता के साथ एक कनेक्शन स्थापित करें, एक इंटरनेट ब्राउज़र को सक्रिय करें, IE एड्रेस बार में पता दर्ज करें: - client-bank.privatbank.ua/p24/c2b_install और "एंटर" दबाएं। पेज खुलेगा:

यह संदेश कहता है कि डाउनलोड किया गया सॉफ्टवेयर PrivatBank से संबंधित है, इसकी प्रामाणिकता की पुष्टि तवटे प्रीमियम सर्वर CA प्रमाणपत्र द्वारा की जाती है और बैंक इस एप्लिकेशन की सुरक्षा की पुष्टि करता है। "

कुत्ते को कहाँ दफनाया जाता है?

तो, ध्यान दें - स्क्रीनशॉट में हम ब्राउज़र संदेश को स्पष्ट रूप से देखते हैं कि प्रमाणपत्र नरक द्वारा जारी किया गया था और आप इस साइट पर भरोसा नहीं कर सकते हैं। स्क्रीनशॉट के तहत संदेश में, इस संदेश के रूप में समझाया गया है "सब कुछ ठीक है, ऐसा होना चाहिए, यह निजी बैंक और इसके सॉफ़्टवेयर की साइट है।" और हमें याद है कि सभी उचित स्तर पर अंग्रेजी नहीं बोलते हैं और तदनुसार, इस स्पष्टीकरण पर विश्वास करते हैं। यही है, आओ, ओरों को सुखाएं - यदि उपयोगकर्ता इस निर्देश को पढ़ रहा है, तो फ़िशिंग साइट के बारे में एक ब्राउज़र चेतावनी देखता है - वह इसे अनदेखा कर देगा। और पैसे खो देते हैं।

यह कचरा कैसे आया?

बेशक, मुझे यकीन नहीं है, लेकिन यह मुझे लगता है कि सब कुछ ऐसा था। 2 लोगों ने दस्तावेज़ पर काम किया। एक (चलो उसे प्रोग्रामर कहते हैं) स्मार्ट था और वास्तव में समझ में आया कि यहां क्या और कैसे था। दूसरा (चलो उसे सचिव कहते हैं) बेवकूफ था और कुछ भी नहीं समझता था, केवल वार्ड जानता था कि कॉपी-पेस्ट का उपयोग कैसे करना है। प्रोग्रामर, यह महसूस करते हुए कि सचिव से चमत्कार की उम्मीद करने का कोई कारण नहीं है, सॉफ्टवेयर इंस्टॉलेशन प्रक्रिया के स्क्रीनशॉट ले लिया, ध्यान से प्रत्येक स्क्रीनशॉट को ध्यान से समझा कि क्या दबाया जाए। यह पूरी तरह से सुनिश्चित करने के लिए कि यह पर्याप्त होगा और आपको वास्तव में किसी चीज़ को खराब करने की बहुत कोशिश करनी होगी, उसने सचिव को इन शब्दों के साथ "ऑन, साइन इन करें, चित्रों के बीच क्या कहते हैं और कहाँ क्लिक करना है - मैंने इसे चेकमार्क के साथ चिह्नित किया।" लेकिन सचिव अभी भी पेंच कसने में सक्षम थे! मेरा तर्क, मुझे लगता है, यह था:
"तो, यहां एक व्यक्ति को" कनेक्शन प्रक्रिया प्रारंभ करें "पर क्लिक करना चाहिए। लेकिन स्क्रीन पर एक वोरिंग के साथ इतनी भयानक खिड़की है! क्या करें? किसी भी तरह उपयोगकर्ता को यह बताना आवश्यक है कि सब कुछ ठीक क्यों है। और इससे पहले, इसे अपने आप को समझना अच्छा है ... खैर, यह प्रिविटबैंक की साइट के बारे में लिखा हुआ लगता है ... और तवेट प्रीमियम सर्वर प्रमाणपत्र के बारे में कुछ और ... खैर, मैं लिखता हूं कि इसीलिए सब ठीक है। " और मैंने लिखा। लेकिन वास्तव में, सचिव जो देख रहा था वह प्रमाणपत्र त्रुटि के बारे में सभी ब्राउज़र संदेश में नहीं था। बल्कि, यह सिर्फ इतना था, लेकिन यह फ़ायरफ़ॉक्स नहीं था जो स्क्रीन पर प्रदर्शित किया गया था, लेकिन एक अन्य ब्राउज़र, और इस फ़ायरफ़ॉक्स ने इस संदेश के स्क्रीनशॉट के साथ केवल एक पृष्ठ दिखाया। और उसने इसे केवल खतरे के बारे में उपयोगकर्ता को चेतावनी देने के लिए दिखाया। यहाँ यह है, यह पृष्ठ अपने वर्तमान रूप में। यानी यह पता चला कि सचिव ने स्क्रीनशॉट (wow, recursion) में स्क्रीनशॉट से भयभीत होकर किसी तरह इसे अपने और उपयोगकर्ता को समझाने की कोशिश की। परिणामस्वरूप, हमें फ़िशिंग साइटों पर भरोसा करने के लिए प्रोत्साहित किया जाता है। शांत, सही?

यह सब, ज़ाहिर है, जो हो रहा है उसका केवल मेरा संस्करण है, लेकिन यह मुझे लगता है कि यह कहीं था। क्योंकि दूसरा विकल्प जानबूझकर तोड़फोड़ है। और जैसा कि हैनलोन के रेजर कहते हैं: "कभी भी द्वेष का गुण नहीं है जो मूर्खता द्वारा समझाया जा सकता है।"

परिणाम

कीड़े को हर जगह तय किया जाना चाहिए, और प्रलेखन में भी। इस लेख की एक कड़ी के साथ एक पत्र Privatbank को भेजा गया था। मैं उन्हें गुप्त रूप से सूचित करने के लिए आवश्यक नहीं मानता, क्योंकि बैंक को कोई सीधा खतरा नहीं है, यह सिर्फ यह है कि बेवकूफों पर लिखा जाता है।