Hai fatto le tue cose. Se non ti stanno ascoltando, è tutto. Non hai alcuna responsabilità per loro e non apprezzano nemmeno che tu cerchi di aiutarli. È meglio che ti fermi.

Se qualcuno vuole collegare i tuoi accessori al proprio computer, rispondi "no". Se ti viene chiesto il motivo, rispondi "Non mi sento a mio agio nel collegare i miei accessori a un computer a caso". Se ti sfidano, "è il mio dispositivo, non viene collegato da nessuna parte".

Ma a parte questo, interagisci con queste persone come interagiresti con chiunque altro, non menzionare loro la sicurezza del computer e se incontrano problemi, non dire "Te l'avevo detto "perché non va mai bene, ma anche non offrirti volontario per risolvere i problemi - sapere come evitare i problemi non significa che sai come risolverli. Ho qualche idea su come evitare gli incidenti stradali; questo non significa che io sappia come riparare le auto. In realtà, puoi e dovresti rifiutarti di risolvere qualsiasi problema: la tua scusa è che hai cercato di convincerli a vivere in modo più sicuro proprio perché non sai come risolvere i problemi causati da qualche virus.

Suggerirei due cose. Prima di tutto, quando le loro misure di sicurezza lassiste possono avere un impatto su di te, traccia una linea. Ad esempio, rifiuta di consentire loro di utilizzare i tuoi dispositivi. Un semplice "scusa, non mi sento a mio agio a prestare i miei dispositivi a nessuno" dovrebbe essere sufficiente. Ripeti se necessario.

Secondo, le cose che non ti interessano: ignorale. Se i tuoi amici chiedono consiglio, aiuto in ogni caso, ma nessuno ascolterà consigli non richiesti sul riutilizzo delle password. Sfortunatamente alcune persone non cambieranno il loro comportamento fino a quando non saranno state colpite personalmente, e alcune non lo faranno nemmeno allora. Non puoi cambiarli e provare metterà a dura prova le tue relazioni senza fare nulla di buono. Non sei né il genitore né il datore di lavoro, quindi non cercare di istruirli a meno che non te lo chiedano. Non introdurre inutili fonti di conflitto nelle tue relazioni.

Come altri hanno già detto, devi ricordare "non il mio circo, non le mie scimmie". Alcune persone non si preoccupano di "proteggere l'umano". Un buon esempio è Google Home / Alexa. Queste cose "ascoltano" tutto il tempo, per alcuni questo è un enorme rischio per la sicurezza, e per altri va assolutamente bene. Farai molta fatica a convincere qualcuno che questi dispositivi sono terribili, o viceversa.

Come si dice, non esiste un universo, solo 7 [0,6] miliardi di interpretazioni di esso. Possono fondamentalmente essere in disaccordo con le tue opinioni sulla sicurezza per molte ragioni. Se vuoi discuterne, devi comunicare a un livello molto più elementare cosa significa sicurezza; non puoi semplicemente urlare misure di sicurezza alle persone.

Inoltre, come orgoglioso proprietario di un BS in CS, lascia che ti offra la mia confutazione alle tue preoccupazioni sulla sicurezza. Queste non sono necessariamente le mie opzioni , quindi non mi interessa discutere i punti, ma le offro come promemoria che non stai discutendo dei fatti, dei tuoi sentimenti di discussione . E cercare di discutere i sentimenti è come portare un coltello a uno scontro a fuoco * (leggi: lo stato attuale della politica americana).

1. Mi collego al Wi-Fi pubblico solo quando ne ho bisogno, non farlo mai per impostazione predefinita. Inoltre, sto attento a non accedere a siti che contengono informazioni di identificazione personale (PII) o PII federali mentre si trova su detta rete. Inoltre, la maggior parte dei siti sono già crittografati (HTTPS) comunque. L'unico vero problema di sicurezza è se la rete ha un sistema in atto per aggirare la crittografia del sito Web o se il governo sta guardando (da cui comunque una VPN non mi protegge).
2. Il dibattito sulle password è muto in quanto non è necessario proteggere le mie password da un attacco mirato, ma da uno più generale incentrato su un particolare sito web. Inoltre, utilizzo comunque 2FA per tutto.
3. Ancora una volta, non sono preoccupato che qualcuno possa hackerare il mio laptop e rubare il mio file di password. Sì, qualcuno potrebbe , ma c'è una bassa probabilità che ciò accada e, francamente, non sono abbastanza preoccupato da preoccuparmene.
4. Non porto una pistola ovunque e esigo che tutti quelli che incontro mostrino una sorta di identificazione. Non voglio questo stress e sono disposto a correre questo rischio.
5. Perché dovrei preoccuparmi di crittografare il mio disco rigido? Se qualcuno voleva davvero le mie informazioni, un disco rigido crittografato non lo fermerà ( https://xkcd.com/538/). Inoltre, discuto gli effettivi vantaggi della crittografia dell'unità.

Ok, quindi lascia che ti offra un aneddoto, mia madre è molto simile a te. Potrebbe non avere il know-how tecnico per crittografare cose e quant'altro, ma non fornisce mai la sua email o il suo numero di telefono, e ha disabilitato i dati mobili e il GPS sul suo telefono, e questa è solo la punta dell'iceberg. La consideriamo paranoica, ma ho imparato solo a lasciarla così. Non vincerai questa discussione. La parte più importante della "protezione dell'umano" è che DEVONO volerlo fare. E se non lo fanno, questa è la loro prerogativa.

Infine, lascia che ti dica questo. La sicurezza informatica, anzi, qualsiasi sicurezza, sta combattendo un nemico sconosciuto. Non hai idea di come attaccheranno, o anche se attaccheranno affatto. In realtà, dovrebbe essere chiamata assicurazione del computer, poiché è quello che stai facendo. Stai assicurando che se qualcuno ti attacca, sei protetto. Mentre potresti pensare che stai facendo la cosa giusta, cosa che potresti fare molto bene, altri pensano che ti stia distinguendo nel mezzo del deserto, mettendo la tua casa su palafitte e acquistando assicurazioni inondazioni e incendi. Sì, molto bene ~~ potrebbe ~~ accadere, ma altri lo vedono come una precauzione non necessaria. Scelgono di affrontare la minaccia infinita del malware e del furto di identità ignorandoli e tu affrontalo preparandoti. Ti vedono come un "prepper" e devi accettare il fatto che la maggior parte delle persone non condivide le tue preoccupazioni. Quindi questo è quello che penso che dovresti fare:

• Fai quello che devi fare per sentirti sicuro. (Anche i tuoi amici lo stanno facendo, hanno solo un modo divertente di esprimerlo).
• Se ritieni che le periferiche siano una vulnerabilità (il Pentagono è d'accordo con te, btw), allora prendi le misure per proteggere te stesso da esso. Come affermano altre risposte, declina educatamente e spiega le tue ragioni in modo tale che sia chiaro che non stai cercando un dibattito.
• Incontrerai molte persone che hanno un atteggiamento ancora più sprezzante atteggiamento verso la sicurezza rispetto ai tuoi amici. Ricorda, non sei responsabile di loro o delle loro informazioni.
• Infine, questo è qualcosa a cui tieni molto. Non tutti si preoccupano molto della sicurezza. Ad esempio, sarebbe ingiusto da parte di mio fratello, un astrofisico, esigere che tutti intorno a lui richiedano una conoscenza così rigorosa dello spazio, o anche una simile eccitazione al riguardo. Ad alcune persone semplicemente non frega niente dello spazio.

* Un parallelo interessante a questo è il nostro modello di polizia. Pensavamo che comunità ben illuminate e ben organizzate rendessero le persone al sicuro. Quindi la polizia si è concentrata pesantemente sulle zone difficili della città. Questo modello si chiama Broken Windows. Anche se queste aree hanno avuto una maggiore presenza di polizia, hanno riparato le finestre e installato più lampioni, queste aree hanno comunque visto un alto numero di crimini ei cittadini si sentivano ancora insicuri. Il modello più recente di polizia, Community Policing, si concentra sul far sentire al sicuro le persone. Sebbene il modello sia ancora troppo nuovo per essere provato, è generalmente accettato che se le persone percepiscono che la loro comunità è al sicuro, lo sarà. Non dicendo che devi solo "sentire" la tua strada verso la sicurezza del computer, ma che non possiamo giustificare i nostri sentimenti con i fatti o la mancanza di questi.

Ho studiato sicurezza informatica sia a livello undergrad che brevemente postgrad (anch'io sono principalmente un programmatore e non un addetto alla sicurezza, trovo l'argomento interessante). Non dimenticherò mai la mia prima lezione: il nostro professore ha chiesto chi nella classe di circa 20 studenti non avesse mai dato la password a nessun altro per nessun motivo. Ero l'unica persona che ha alzato la mano. In una classe di persone che studiavano informatica da almeno due anni a quel punto!

Il punto del mio insegnante era che devi progettare soluzioni di sicurezza intorno alle persone e al modo in cui si comportano naturalmente, e questo è qualcosa di buono da tenere a mente se il tuo obiettivo è convincere questi tuoi amici ad adottare pratiche migliori. Se li disturba o li infastidisce, hai poche possibilità di vendere loro un comportamento e se tu li infastidisci, non vorranno ascoltarti.

I penso di dover ricordare che, per tua stessa ammissione, non sei un professionista della sicurezza informatica. Potresti conoscere alcune cose generali dall'essere nello stesso settore, ma questo non ti rende necessariamente bravo a dare consigli ad altri sull'argomento. Nel mondo reale, le soluzioni per la sicurezza non sono un elenco di editti emanati dall'esperto; devi essere flessibile e in grado di scendere a compromessi a causa di quel fattore umano.

Una parte importante della formulazione di raccomandazioni sulla sicurezza consiste nella valutazione del rischio e nel soppesarlo rispetto al costo di implementazione di determinate procedure di sicurezza. Non fai tutto ciò che potresti fare se il valore in dollari di farlo è maggiore del valore in dollari delle conseguenze negative. Qual è il rischio che le password in chiaro / riutilizzate dei tuoi amici vengano rubate in un attacco mirato o che il loro accesso al WiFi pubblico porti a conseguenze gravemente negative? Basso, a meno che, ad esempio, non lavorino in un'azienda che i cinesi potrebbero voler prendere di mira per scopi di spionaggio. È più probabile che i loro dati privati ​​vengano rubati a causa delle cattive pratiche di sicurezza dei siti a cui accedono e non importa quanto sia buona la loro gestione delle password a quel punto.

E qual è la cosa peggiore che succederà se succederà il peggio? Se sono come la maggior parte delle persone che non fanno nulla di importante con i loro dispositivi, non sarà sconvolgente. Potrebbero perdere alcune foto, registri di chat o giochi salvati e impareranno una lezione in modo molto più efficace di quanto faranno se continui a tormentarli. La sicurezza del conto bancario e simili sono un po 'più seri, ma come hai visto le transazioni fraudolente possono spesso essere annullate. Nel bene e nel male, forse i tuoi amici hanno fatto i propri calcoli e hanno deciso che vale la pena rischiare la comodità di alcuni dei loro comportamenti pigri e spensierati.

La cosa divertente è che la risposta del tuo amico sui tuoi caricamenti su GitHub è per niente illogico nel contesto del tuo conflitto. Hai fatto un certo livello di studio e hai "esperienza", che può essere significativa o meno. Niente di tutto ciò equivale a dire che scrivi codice sicuro e robusto. Che sicurezza puoi davvero offrire al tuo amico, che sa di non essere un esperto in ciò che il codice può o non può fare, che il tuo software fa solo ciò che pensi / affermi che faccia e non lo aprirà ai gremlin della sicurezza?

Tutto ciò non significa che non dovresti dare ai tuoi amici consigli basati su ciò che sai se appropriato, ma ti suggerirei di riesaminare le tue ragioni per essere così irremovibile nell'offrire consigli che chiaramente non vogliono. Proprio come non ti piace che la tua attrezzatura venga presa in prestito senza permesso (il che è assolutamente giusto), ai tuoi amici probabilmente non piace che tu faccia loro lezioni senza il loro permesso. Se vuoi che rispettino i tuoi desideri, potrebbe essere una buona idea iniziare ad ascoltare veramente i loro mentre il loro comportamento te li comunica.

Questo non significa che non puoi o non dovresti educare i tuoi amici, ma devi farlo in un modo che li istruisca effettivamente. Al mio partner piace informare i familiari degli attuali problemi di sicurezza compilando e-mail informative: un "lo sapevi?" preparativi. Potresti provare cose simili attraverso i social media, raccogliendo informazioni e storie che faranno lentamente conoscere ai tuoi amici i problemi e le conseguenze senza che nessuno si senta attaccato personalmente. Puoi anche parlare direttamente se vedi un amico fare qualcosa di cui non capisce le conseguenze, ma se non influisce direttamente su di te o sulla tua attrezzatura devi rispettare quando non è interessato.

Forse l'area più critica, anche se meno tecnica, di InfoSec è l'ingegneria sociale. Un potenziale aggressore può indurre una persona a fare molte cose che potrebbe sapere benissimo che non dovrebbe se non è troppo difficile per lui farlo e si sente ottimista su quello che sta facendo. Sono sicuro che puoi pensare a come utilizzare gli stessi principi per trasmettere informazioni ai tuoi amici a loro vantaggio.

Ho lavorato per la maggior parte della mia carriera nella sicurezza delle informazioni, nella gestione dei data center e nella gestione della sicurezza delle informazioni sensibili anche negli ambienti con sale macchine pesanti e raffreddate e Windows 3.1.

Suggerisco è che al momento ti vedano come un "dolore" invece che come un consulente qualificato e rispettato. Penso che dovresti fare un piano che sposterà la loro percezione di te e dei tuoi talenti.

Forse potresti iniziare interagendo più seriamente, creando un gruppo di lavoro, in modo che tutti siano contattati insieme su questi temi. Forse riceverai risposte che gli altri vedrebbero - e questo potrebbe iniziare a renderli più consapevoli dei pericoli e anche di quanto sia semplice mantenere un alto livello di sicurezza (usando i tuoi consigli)

Potresti quindi iniziare a consigliare programmi gratuiti ed efficaci che proteggeranno la loro sicurezza dei dati, offrendo di scaricare, installare o monitorare il modo in cui questi programmi vengono utilizzati e spiegando i vantaggi.

Quindi sveli alcuni segreti, ma in cambio il tuo gruppo è consapevole e sicuro per ora e per il futuro. Fai solo attenzione a evitare di puntare il dito contro chiunque e a mantenere i tuoi standard professionali in ogni momento.

Grazie per la domanda molto interessante e attuale.

Se vuoi comunque cambiare il loro comportamento, abbassa considerevolmente i tuoi standard e rispettali a metà (non che dovresti essere più rilassato sui tuoi dispositivi, ma in quello che consigli di fare con i loro).

Riutilizzare le password va bene. Qualcosa come un account stackexchange può condividere una password con altri servizi perché le conseguenze negative si misurano in punti Internet falsi. Cerca di convincerli a impostare password univoche per la loro banca, la loro email (che è l'opzione di recupero per tutto) e qualsiasi altro servizio di importanza simile.

Annotare le password va bene. Penna su carta e conservala da qualche parte che la webcam non può vedere. Se qualcuno è entrato in casa sua, ha problemi più grandi della persona che ha le password. Finché non stanno digitando le loro password.

In definitiva, devi accettare che gli altri non si preoccupano dei rischi tanto quanto te. Non li convincerai mai a prendere le stesse precauzioni che prendi, quindi concentrati sulla minimizzazione del danno invece che sull'eradicazione del danno. Probabilmente pensano che tu sia pazzo a correre rischi in altre aree della tua vita (bere, fumare, mancanza di esercizio fisico, alimentazione malsana, eccesso di velocità / coda in macchina, nessuna persiana di sicurezza alle finestre di casa) - smetteresti completamente di fare tutte quelle cose cose perché qualcuno ti ha detto che erano rischiose?