Vandamálið: Blint traust
Þegar þú setur upp barnavaktarforrit veitirðu því aðgang að mjög einkalegum stað: barnaherberginu. Forritið hlustar og stundum fylgist það líka með. Foreldrar geta þó oft ekki séð hvað gerist í bakgrunni: Fer streymið í gegnum netþjóna þriðju aðila? Er notkunargögnum safnað? Hver getur tæknilega fengið aðgang að gögnunum?
Heiðarlega svarið er að þegar mörg forrit eiga í hlut veistu það ekki. Kóðinn er lokaður og fullyrðingar um uppbygginguna eru ekki sannreynanlegar. Að lokum er ætlast til þess að þú treystir þjónustuveitandanum.
Lokaður kóði, berskjaldaðar varnir
Á undanförnum árum hafa borist nægilega margar fréttir af innbrotum í barnavaktir. Ókunnugir gátu hlustað, hreyft myndavélar eða talað í gegnum hátalara. Oftast var ekki um sérlega flóknar árásir að ræða heldur alvarlega öryggisgalla: ódulkóðaðar tengingar, sjálfgefin lykilorð og enga sannvottun.
Þegar hugbúnaður er með lokaðan frumkóða uppgötva utanaðkomandi aðilar þessa veikleika oft ekki fyrr en eitthvað hefur gerst. Öryggisrannsakendur, óháðir forritarar og foreldrar geta aðeins skoðað fullunna vöruna utan frá. Fyrir tæki í barnaherberginu er það veik nálgun.
Gagnsæi sem öryggisregla
Í upplýsingaöryggi gildir gömul og gagnleg regla: lögmál Kerckhoffs. Öryggi má ekki ráðast af því að hönnunin haldist leynd. Kerfi á að halda öryggi sínu þótt einhver viti hvernig það er byggt.
Opinberlega skjalfestur kóði gerir hugbúnað ekki öruggan einn og sér. Hann gerir hins vegar fullyrðingar um öryggið sannreynanlegar. Fólk með sérþekkingu getur skoðað gagnaflæði, lyklaafleiðslu og reglur í stað þess að lesa markaðsefni.
Nálgun Timmy: Aðskilinn öryggiskjarni
Í Timmy geri ég nú skýran greinarmun á þeim hlutum sem eru raunverulega mikilvægir fyrir öryggið. Ekki ræður hver einasta lína í notendaviðmótinu því hvort varan verðskuldar traust. Úrslitum ráða bakendavirkni, samningar um merkjasamskipti, dulritun við pörun og hvaða gögn berast til netþjóns.
Þess vegna er öryggiskjarninn nú í opinbera kóðasafninu baby-monitor-timmy-core. Frumkóði alls forritsins er ekki opinber eins og er. Þættirnir sem skipta mestu fyrir öryggið hafa verið aðskildir frá notendaviðmótinu og vörurökfræðinni svo hægt sé að skjalfesta þá og rýna í þá sérstaklega.
Hvað þýðir þetta í raun?
- Skýr afmörkun: öryggisþættir eru aðskildir frá notendaviðmóti og vörurökfræði.
- Gagnaflæði sem hægt er að rýna í: hægt er að skjalfesta pörun, merkjasamskipti og bakendaviðmót sérstaklega.
- Engin falin rakningartól: öryggismikilvæg ferli innihalda aðeins það sem tæknilega á heima þar.
- Viðhald til lengri tíma: auðveldara er að rýna í aðskilinn kjarna en óskipulagða heild.
Niðurstaða: Foreldrar eiga skilið gagnsæi
Þegar forrit hefur aðgang að barnaherberginu ætti það að gefa skýr svör við mikilvægustu spurningunum: Hvaða gögn verða til? Hvert fara þau? Hver getur lesið þau? Foreldrar eiga meira skilið en persónuverndarmerki neðst á síðunni.
Baby Monitor Timmy á að sýna að góð vara og öryggi sem hægt er að rýna í geti farið saman. Fyrir mér þýðir það ekki að gera hvert einasta horn forritsins opinbert. Það þýðir að gera opinbera þá hluta sem ákvarða hvernig pörun, merkjasamskipti, aðgangur að bakenda og gagnaflæði virka.