这个问题更多的是政治而不是技术。
该组织有许多通过网络浏览器连接到中央数据库的计算机。客户经常无人看管,每次物理访问终端的时间超过 15 分钟。我报告说它们容易受到硬件键盘记录器的攻击。IT 部门的官方回应是:“我们知道这种可能性,并且有解决方案。获取密码对攻击者没有任何好处。” 但上级不让他再说什么——默默无闻的安全。
关键是:我认为他们在虚张声势。我不知道他们的解决方案是什么,但是当您拥有物理访问权限时,就会打开数百个攻击向量。他们真的只是因为风险(攻击概率)低到足以超过提高物理安全性的成本而不担心吗?我如何让他们倾听?甚至值得努力吗?