Threat model
Threat model (model zagrożeń) to jawne założenie: przed kim się bronisz, co ten ktoś potrafi, jakie zasoby ma, co jest dla Ciebie akceptowalną stratą. Bez tego “bezpieczeństwo” staje się zbieraniną aplikacji i checklist. Z modelem da się powiedzieć: to narzędzie ma sens, tamto jest nadmiarowe, a owo w ogóle nie adresuje przeciwnika.
W inżynierii oprogramowania threat modeling bywa formalny (STRIDE, listy aktywów, diagramy przepływu). W codziennym opsec wystarczy uczciwy akapit na kartce. Lepiej krótki i prawdziwy niż długi i teatralny.
Pytania, od których warto zacząć
Kto jest przeciwnikiem? Ciekawski pracodawca, partner, przestępcza grupa, służba z nakazem, automat skanujący sieć, ktoś z dostępem fizycznym do laptopa? Co już wie? Adres, numer telefonu, listę znajomych, firmowy login? Co potrafi zrobić tanio: phishing, kupno stealera i logów, nacisk socjotechniczny? Czego nie zrobi bez budżetu i czasu: złamanie silnej kryptografii, operacja jak wobec LockBit?
Co chronisz? Treść wiadomości, fakt kontaktu ze źródłem, lokalizację, meta dane płatności, reputację? Inny cel, inne kontrole. Dziennikarz chroniący źródło ma inny model niż firma broniąca się przed ransomware. Ten sam Tor w obu historiach znaczy coś innego.
Przeciwnik ma budżet
Amator z listą haseł z wycieku to nie zespół z Operation Cronos. Model, który zakłada “rząd czyta każdy pakiet w czasie rzeczywistym”, prowadzi do paranoi albo do rezygnacji. Model, który zakłada “nikt nigdy nie połączy nicka z Gmailem”, prowadzi do akt jak przy Silk Road. Trzeźwy opis leży pośrodku: konkretny aktor, konkretne możliwości, konkretny horyzont czasu.
W praktyce threat model zmienia się. Dostajesz nową pracę, nowe źródło, nowy sprzęt, nowy kraj. Stary model zostaje w głowie i kłamie. Warto go przeglądać, nie raz na dekadę.
Jak model łączy się z narzędziami
Warrant canary ma sens wobec dostawcy pod gag order. Menedżer haseł i klucz sprzętowy mają sens wobec kradzieży haseł i phishingu. Segmentacja kont ma sens wobec session cookie na współdzielonej stacji. Żadne z nich nie zastępuje modelu. Są odpowiedziami na konkretne karty w nim.
Przy ransomware pytanie brzmi: czy przeciwnik celuje w backupy, czy wystarczy mu szyfrowanie jednej stacji? Przy ochronie źródła: czy przeciwnik czyta metadane, czy treść, czy obie? Przy prywatności konsumenckiej: czy problemem jest ISP, reklamodawca, czy złodziej laptopa w pociągu?
Czego model nie jest
Nie jest gwarancją. Nie jest też wymówką do zbierania narzędzi jak naklejek. Jeśli nie umiesz wskazać przeciwnika, nie wiesz, czy Twoja konfiguracja cokolwiek robi. Więcej o praktyce legalnej: opsec dziennikarza.