Security by Obscurity, by Legislation, and the Trade-off Triangleئاسایش بە شاردنەوە، ئاسایش بە یاسا و سێگۆشەی هاوسەنگی

Lecture 1 names two ways of protecting a system that sound sensible but are weak on their own: hiding how the system works (security by obscurity) and telling people how to behave (security by legislation). It also shows a triangle: security always competes with features and with ease of use.

وانەی یەکەم ناوی دوو ڕێگای پاراستنی سیستەم دەهێنێت کە ژیرانە دیارن بەڵام بە تەنها لاوازن: شاردنەوەی چۆنیەتیی کارکردنی سیستەمەکە (ئاسایش بە شاردنەوە) و ڕێنماییکردنی خەڵک کە چۆن ڕەفتار بکەن (ئاسایش بە یاسا). هەروەها سێگۆشەیەک نیشان دەدات: ئاسایش هەمیشە لەگەڵ تواناکانی سیستەم و ئاسانیی بەکارهێناندا ململانێ دەکات.

This lesson explains all three, and then adds four principles that security teams use today to design defences: defence in depth, least privilege, separation of duties and zero trust.

ئەم وانەیە هەر سێکیان ڕوون دەکاتەوە، پاشان چوار بنەما زیاد دەکات کە تیمەکانی ئاسایش ئەمڕۆ بۆ دیزاینکردنی بەرگری بەکاری دەهێنن: بەرگریی چەندچین، بنەمای کەمترین مۆڵەت، جیاکردنەوەی ئەرکەکان و متمانەی سفر.

Security by obscurity means trying to protect a system by keeping its inner workings secret, such as its source code, its settings, its algorithms or the address of its admin page, instead of making it strong with tested methods.

ئاسایش بە شاردنەوە واتە هەوڵدان بۆ پاراستنی سیستەمێک بە نهێنیکردنی کارکردنی ناوەوەی، وەک کۆدی سەرچاوە (Source code)، ڕێکخستنەکانی، ئەلگۆریزمەکان یان ناونیشانی لاپەڕەی بەڕێوەبەر، لە جیاتی ئەوەی بە ڕێگای تاقیکراوە بەهێزی بکەیت.

The hope behind it is simple: if outsiders do not know how the system works, they will have a harder time finding and using its weak points. Hiding details can indeed add a thin extra layer, but on its own it cannot stop a skilled attacker who uncovers the secret or finds another weakness.

هیوای پشتی ئەمە سادەیە: ئەگەر کەسانی دەرەوە نەزانن سیستەمەکە چۆن کار دەکات، دۆزینەوە و بەکارهێنانی خاڵە لاوازەکانی (Vulnerability) بۆیان قورستر دەبێت. شاردنەوەی وردەکاری بەڕاستی دەتوانێت چینێکی تەنکی زیادە دابنێت، بەڵام بە تەنها ناتوانێت ڕێگری لە هێرشبەرێکی (Attacker) شارەزا بکات کە نهێنییەکە ئاشکرا دەکات یان خاڵێکی لاوازی تر دەدۆزێتەوە.

Secrets leak. Once the hidden details are discovered, the system becomes highly vulnerable, and there is often nothing left to change. Staff move to other jobs, code is copied, old devices are sold, configuration files end up in the wrong place.

نهێنی دزە دەکات. هەر کە وردەکارییە شاراوەکان ئاشکرا بوون، سیستەمەکە زۆر لاواز دەبێت و زۆر جار هیچ شتێک نامێنێت کە بیگۆڕیت. کارمەندان کار دەگۆڕن، کۆد کۆپی دەکرێت، ئامێری کۆن دەفرۆشرێت و فایلی ڕێکخستن دەکەوێتە شوێنی هەڵە.

Attackers can work it out. Skilled attackers reverse-engineer programs and devices: they study the finished product to learn how it works. Often they do not even need the hidden details, because they attack some other weakness instead.

هێرشبەرەکان دەتوانن بیدۆزنەوە. هێرشبەری شارەزا ئەندازیاریی پێچەوانەی (Reverse engineering) بەرنامە و ئامێرەکان دەکات: بەرهەمە تەواوکراوەکە دەخوێنێتەوە بۆ ئەوەی فێر ببێت چۆن کار دەکات. زۆر جار پێویستی بە وردەکارییە شاراوەکانیش نییە، چونکە لە جیاتی ئەوە هێرش دەکاتە سەر خاڵێکی لاوازی تر.

Computer knowledge is everywhere. Millions of people know the common systems, protocols and tricks. Hiding which system you use rarely surprises an attacker. It is far more effective to rely on strong, widely understood practices such as encryption, multi-factor authentication and strict access control.

زانیاریی کۆمپیوتەر لە هەموو شوێنێکە. ملیۆنان کەس سیستەم، پرۆتۆکۆڵ و فێڵە باوەکان دەناسن. شاردنەوەی ئەوەی کام سیستەم بەکار دەهێنیت کەم جار هێرشبەرێک سەرسام دەکات. پشتبەستن بە ڕێگای بەهێز و ناسراو وەک شفرەکردن (Encryption)، پشتڕاستکردنەوەی فرەهۆکاری (Multi-factor authentication) و کۆنترۆڵی دەستڕاگەیشتنی (Access control) توند زۆر کاریگەرترە.

This idea has a name: Kerckhoffs's principle. In 1883 Auguste Kerckhoffs, writing about military ciphers, argued that a system must stay secure even if the enemy knows everything about it except the key. Good protections, like strong encryption and access control, keep working even when the attacker knows exactly how they are built.

ئەم بیرۆکەیە ناوی هەیە: بنەمای کێرکهۆفس. لە ساڵی ⁦1883⁩دا ئۆگوست کێرکهۆفس لەبارەی شفرەی سەربازییەوە نووسی کە سیستەمێک دەبێت سەلامەت بمێنێتەوە تەنانەت ئەگەر دوژمن هەموو شتێکی لەبارەوە بزانێت جگە لە کلیلەکە. پاراستنی باش، وەک شفرەکردنی بەهێز و کۆنترۆڵی دەستڕاگەیشتن، هەر کار دەکەن تەنانەت کاتێک هێرشبەرەکە بە وردی دەزانێت چۆن دروست کراون.

Instead of hiding, use vendor-independent open standards. Their designs are public, so experts around the world, ethical “white-hat” hackers among them (hacker hats), examine and test them, and weaknesses are found and fixed in the open. The encryption standard AES and the TLS protocol behind the HTTPS padlock are examples.

لە جیاتی شاردنەوە، ستانداردی کراوەی سەربەخۆ لە دابینکەر بەکار بهێنە. دیزاینەکانیان ئاشکرایە، بۆیە پسپۆڕان لە سەرانسەری جیهاندا، لەوانەش هاکەرە کڵاو سپییەکان (White-hat hacker) (جۆرەکانی هاکەر)، دەیپشکنن و تاقییان دەکەنەوە و خاڵە لاوازەکان بە ئاشکرا دەدۆزرێنەوە و چاک دەکرێنەوە. ستانداردی شفرەکردن AES و پرۆتۆکۆڵی TLS کە لە پشتی قفڵی HTTPSـەوەیە نموونەن.

Open standards bring two more benefits. Products from different makers work together (interoperability), and you are not locked in to one company: you can change supplier without rebuilding everything. That gives flexibility, a more robust system and more transparency.

ستانداردە کراوەکان دوو سوودی تریش دەهێنن. بەرهەمی دروستکەرانی جیاواز پێکەوە کار دەکەن (کارکردنی پێکەوەیی) و تووشی قەتیسبوون لای دابینکەر (Vendor lock-in) نابیت: دەتوانیت دابینکەر بگۆڕیت بەبێ ئەوەی هەموو شتێک لە سەرەتاوە دروست بکەیتەوە. ئەمە نەرمی، سیستەمێکی بەهێزتر و ڕوونییەکی زیاتر دەدات.

The second weak strategy is to instruct users how to behave: write rules and train people so that they avoid risky habits, such as weak passwords, sharing accounts or falling for phishing e-mails.

دووەم ستراتیژی لاواز ڕێنماییکردنی بەکارهێنەرانە کە چۆن ڕەفتار بکەن: یاسا بنووسیت و خەڵک ڕابهێنیت بۆ ئەوەی لە خووی مەترسیدار دوور بکەونەوە، وەک تێپەڕەوشەی لاواز، بەشداریکردنی هەژمار یان فریوخواردن بە ئیمەیڵی (Email) فیشینگ (Phishing).

The lecture's verdict: not good enough. Rules are needed, but:

بڕیاری وانەکە: بەس نییە. یاسا پێویستە، بەڵام:

The lecture's triangle has Security, Functionality and Ease of use at its corners and Cost in the middle. A system pulled hard toward one corner usually moves away from the other two, and every choice costs money. The security goals themselves also pull against each other: see trade-offs in the CIA triad.

لە گۆشەکانی سێگۆشەکەی وانەکەدا ئاسایش، توانای کارکردن و ئاسانیی بەکارهێنان هەن و تێچوون لە ناوەڕاستدایە. سیستەمێک کە بە توندی بەرەو گۆشەیەک ڕابکێشرێت زۆرجار لە دوو گۆشەکەی تر دوور دەکەوێتەوە و هەموو هەڵبژاردنێکیش پارەی تێدەچێت. ئامانجەکانی ئاسایش خۆشیان یەکتر ڕادەکێشن: سەیری هاوسەنگی لە سێگۆشەی CIAـدا بکە.

No single control is perfect, so defence in depth places several different layers between the attacker and what matters: people, technology and procedures together. An attack that gets past one layer is caught by the next one.

هیچ کۆنترۆڵێک بێکەموکوڕی نییە، بۆیە بەرگریی چەندچین چەند چینێکی جیاواز لە نێوان هێرشبەر و ئەو شتەی گرنگە دادەنێت: خەڵک، تەکنەلۆجیا و ڕێکار پێکەوە. هێرشێک (Attack) کە لە چینێک تێپەڕێت، چینی دواتر دەیگرێت.

Give every person, program and account only the access its job needs, and no more. Then a mistake, a stolen password or a piece of malware can do much less damage, because the account it uses can reach only a little.

بە هەموو کەسێک، بەرنامەیەک و هەژمارێک تەنها ئەو دەستڕاگەیشتنە بدە کە کارەکەی پێویستی پێیەتی، نەک زیاتر. ئەوکات هەڵەیەک، تێپەڕەوشەیەکی دزراو یان نەرمەواڵەی زیانبەخش (Malware) زیانی زۆر کەمتر دەگەیەنێت، چونکە ئەو هەژمارەی بەکاری دەهێنێت تەنها دەگاتە کەمێک شت.

For databases, see how this is done with GRANT in Least privilege in PHP database security.

بۆ بنکەدراوەکان، سەیرکە چۆن بە GRANT ئەمە دەکرێت لە بنەمای کەمترین مۆڵەت لە ئاسایشی بنکەدراوەکانی PHP.

NIST puts it simply: no user should have enough rights to misuse the system on their own. An important task is split between two or more people, so fraud needs two people to agree and an honest mistake is likely to be noticed by the second person.

NIST بە سادەیی دەیڵێت: هیچ بەکارهێنەرێک نابێت ئەوەندە مافی هەبێت کە بە تەنها سیستەمەکە بە خراپی بەکار بهێنێت. کارێکی گرنگ لە نێوان دوو کەس یان زیاتردا دابەش دەکرێت، بۆیە فێڵکردن پێویستی بە ڕێککەوتنی دوو کەس هەیە و هەڵەی بێنیەتیش بە ئەگەری زۆر کەسی دووەم هەستی پێدەکات.

The price is speed: work needs more people and waits for approval. Small organisations that cannot split every task compensate by reviewing logs of what each person did.

باجەکەی خێراییە: کار پێویستی بە کەسی زیاترە و چاوەڕێی پەسەندکردن دەکات. ڕێکخراوە بچووکەکان کە ناتوانن هەموو کارێک دابەش بکەن، بە پێداچوونەوەی لۆگی (Log) ئەو کارانەی هەر کەسێک کردوویەتی قەرەبووی دەکەنەوە.

Older company networks were built like a castle: a hard outer wall and a soft inside. Anyone already inside the office network was trusted. Today staff work from home, data lives in the cloud and phones connect from everywhere, and an attacker who steals one inside account can move around freely.

ڕایەڵەکانی کۆمپانیاکان لە ڕابردوودا وەک قەڵا دروست دەکران: دیوارێکی دەرەوەی ڕەق و ناوەوەیەکی نەرم. هەر کەسێک لە ناو ڕایەڵەی ئۆفیسەکەدا بوایە متمانەی پێدەکرا. ئەمڕۆ کارمەندان لە ماڵەوە کار دەکەن، دراوە لە هەوردایە و مۆبایلەکان لە هەموو شوێنێکەوە پەیوەندی دەکەن، هەروەها هێرشبەرێک کە یەک هەژماری ناوەوە بدزێت دەتوانێت بە ئازادی بگەڕێت.

NIST's zero trust architecture (SP 800-207, August 2020) changes the rule: no trust is granted because of where a device is or who owns it. Before each session with a company resource, both the user and the device are authenticated and authorised. Protection focuses on the resources themselves (data and services), not on network segments.

دیزاینی متمانەی سفری ⁦NIST (SP 800-207⁩، ئابی ⁦2020⁩) یاساکە دەگۆڕێت: هیچ متمانەیەک لەبەر ئەوەی ئامێرێک لە کوێیە یان هی کێیە نادرێت. پێش هەر سێشنێک (Session) لەگەڵ سەرچاوەیەکی کۆمپانیا، هەم بەکارهێنەرەکە و هەم ئامێرەکە پشتڕاستکردنەوەی ناسنامە و ڕێگەپێدانیان (Authorization) بۆ دەکرێت. پاراستن جەخت لەسەر خودی سەرچاوەکان دەکاتەوە (دراوە و خزمەتگوزارییەکان)، نەک لەسەر بەشەکانی ڕایەڵە.