Zawsze, gdy opisuję Wam którąś z wielu bezpieczniackich konferencji, na których bywam, staram się znaleźć jakiś główny przekaz, wiodący temat. Na tegorocznej, 23. już edycji Secure, jednej z najciekawszych tego typu imprez, takiego wyrazistego motywu nie wyłapałem. Nie zmienia to jednak faktu, że było – jak co roku – ciekawie.
Jak wygrać talent show?
Kiedyś ktoś mówił – zdaje się, że to cytat przypisywany Alfredowi Hitchcockowi – że każdy porządny scenariusz musi zacząć się do wybuchu atomowego, a potem musi być tylko coraz lepiej. Takim wybuchem w przypadku konferencji jest keynote, pierwsza prezentacja. Gdy ja zaczynałem przygodę z Secure poznałem w ten sposób Briana Krebsa, tym razem tę rolę pełnił Tony Gee, z Pen Test Partners. Wniosek z jego wystąpienia wysnułem jeden, kluczowy – kupować tylko markowe urządzenia Internetu Rzeczy. W świecie w którym najbardziej liczy się czas dotarcia na rynek kolejnego gadżetu, oszczędności trzeba szukać wszędzie. Na przykład kupując od firmy zewnętrznej API, które okazuje się być nie tylko dziurawe jak szwajcarski ser, ale także... wykorzystane wcześniej, w innym produkcie. Jeśli jest element internetowej aplikacji do monitorowania zegarków z GPS, to może warto poszukać, czy ktoś nie użył go do monitorowania samochodów? A może zrobił to na stronie nie wymagającej autoryzacji, gdzie wystarczy podać adres w konkretnej formie, numer auta w sieci firmy i ?id=0, by zdalnie unieruchomić samochód? Zobaczmy, może jeśli zmienimy numer o 1, to pokaże się panel innego auta?
To jak to jest z tymi talent shows? Prelegent przytoczył przykład z rosyjskiego „Voice Kids”, gdzie podejrzenia wywołało zwycięstwo córki miliardera. Szybko analiza wykazała, że 41 tysięcy SMSów z głosami na nią zostało wysłanych z jednego rejonu, z telefonów o kolejnych numerach... Ten przekręt był akurat grubymi nićmi szyty, ale gdyby tak „wbić” się do panelu zarządzania zegarkami dla dzieci i sprawić, by wysłały SMSy albo dzwoniły na numer premium?
Bez pieczy, czyli... bezpieczny?
Organizatorzy Secure czasami ulegają pokusie, by zaprosić kogoś totalnie niezwiązanego z branżą, kto w jakiś sposób do bezpieczeństwa nawiąże. Kilka lat temu był to – świetny notabene – iluzjonista, tym razem człowiek z zupełnie innej półki, profesor Jerzy Bralczyk. Ciężko opisać, o czym mówił, bowiem ci, którzy mieli przyjemność widzieć profesora w akcji, wiedzą, że jest niepodrabialny :) Kilka rzeczy jednak sobie wynotowałem. Co ciekawe, profesor Bralczyk nie podziela obaw, dotyczących psucia języka przez mocno odmienne słownictwo, używane w internecie. Jest zwolennikiem spolszczania wyrażeń (mejl, nie mail; dżojstik zamiast joysticka), ciekawi go, jak słowa dzięki komputerom zyskują nowe znaczenia (plik, pulpit, a nawet... małpa!). Niepokoi go za to przyspieszenie życia dzięki internetowi, bo to sprzyja powierzchownemu odbiorowi komunikatów, a używanie anglizmów niekiedy może poważnie zniekształcać wymowę wypowiedzi (słowo „nienawiść” brzmi poważnie, a „hejt” – zdecydowanie łagodniej).
No i tytułowe bezpieczeństwo... Bez pieczy, czyli bez opieki – czyli bezpieczniej?
Uczynić życie łatwiejszym
W sumie gdyby się zastanowić, to jakiś główny motyw by się jednak znalazł. A byłaby nim... nasza ludzka niefrasobliwość oczywiście. Rozpoczynający drugi dzień konferencji Lance Spitzner z SANS z jednej strony przytoczył jakże trafne powiedzonko: „You can’t patch stupidity” (nie załatasz głupoty), od razu jednak skontrował je opinią, że ta głupota to nie jest wina użytkowników. To my, jako środowisko bezpieczniaków, zawiedliśmy tych, którzy łapią się phishingi. A wiecie dlaczego?
Bo większość z nas edukuje Was tak, jak by edukowało siebie. Efekt jest taki, że edukowani kiwają głową, bo tak wypada, ale tak naprawdę, nie mają bladego pojęcia. Może nawet nie o tym, „co” słyszą i „jak” mają to zrobić, ale... po co! To, co jest proste dla mnie, nie musi być – i pewnie nie będzie – proste dla większości z Was. Dlatego, jak coraz częściej zaznaczają prelegenci, poruszający ten temat, zamiast mówić, jak skomplikowane powinno być hasło, wytłumacz jak działa menedżer haseł. Naucz ich używać uwierzytelniania dwuskładnikowego. Nie sprzedawaj frazesów o zabezpieczeniu danych w pracy. Powiedz userom, jakie ryzyka im grożą przy niefrasobliwości na co dzień. Ich prywatności, ich pieniądzom. Jeśli nauczą się chronić „po godzinach” – będą to robić również w pracy. Rozmawiaj w ich języku i uczyń ich życie łatwiejszym. Ja staram się tak robić już od lat, mam nadzieję, że działa J
A taka świadomość się przyda, bo to, co pokazał Tom van de Wiele z F-Secure pokazuje, że przestępca może czaić się wszędzie. Facet z drabiną i w kombinezonie? Ochrona szybciutko go wpuści, żeby nie psuł pięknego widoku nowoczesnej korporacji, a on odpowiednim urządzeniem w kieszeni przeskanuje wszystkie sieci w biurowcu i rekonesans gotowy. Jak często chowacie swój identyfikator, wychodząc z pracy? Spójrzcie na Twittera, na #protectyouraccesscard...
8 miliardów dolarów rocznie
Nie da się opisać wszystkiego, tym bardziej, że na konferencji z równoległymi ścieżkami nie da się wszędzie być. Duże wrażenie zrobiła na mnie prezentacja Aliyi Shandry o „Surkov Leaks”, rozbijająca na czynniki pierwsze schemat prowadzonej przez Rosję na Ukrainie wojny hybrydowej. Na szczęście Aliya i współautor dokumentu Robert Seely byli na tyle mili, by udostępnić go w internecie. Gorąco polecam. Na mnie wrażenie zrobił koszt utrzymania samozwańczych Ługańskiej i Donieckiej Republiki Ludowej, szacowany na... 8 miliardów dolarów rocznie.
Na sam koniec zasnąć uczestnikom nie dali Tomasz Bukowski z Banku Millenium, wyjaśniający już bardziej technicznie co robić od strony firmowej sieci, żeby przestępcy nie zrobili nam krzywdy; niezawodny jak zwykle Adam Haertle (Zaufana Trzecia Strona) pokazujący nieco przewrotnie schemat tworzenia i monetyzacji kampanii phishingowej od strony przestępcy i na koniec Adam Lange (Standard Chartered Bank), punktujący skąd – i dlaczego – mogą wyciekać dane.
W rosnącej lawinowo liczbie bezpieczniackich konferencji „dziadek Secure” (23 lata, nie do wiary!) co roku nie zawodzi jakością.
Piotr Domański 
Stella Widomska 
Michał Rosiak 
Komentarze
Opcja dobra > pomyslcie o platnym pakiecie MMS wtedy bede radosny ??
OdpowiedzRaczej pułapka na zbieraczy bonusowych danych w OFnK do których się zaliczam …
Odpowiedzps. jest coraz gorzej dajcie choćby RWK i bonusowych danych po doładowaniu za 100 zł
Dlatego piszemy na blogu: „Pamiętajcie, że wyklucza się ona z usługą „Konto Ważne Rok”, a jeżeli aktywujecie ją w Orange Free na Kartę nie otrzymacie bonusowych GB za doładowanie, a te zgromadzone przepadną.” To wzmacnia naszą pułapkę.
Odpowiedzdoładowanie 100 zł, powinno w małym skrócie dać, 17 miesięcy w usłudze, Za darmo w Orange.
OdpowiedzFajna opcja, chociaż dużo dzwonię poza sieć, więc……
OdpowiedzProśba o umiar ma podtekst ?? :D:D
OdpowiedzTak, ma 😉 https://biuroprasowe.orange.pl/informacje-prasowe/mamy-wielka-moc-mamy-wielka-odpowiedzialnosc-orange-zacheca-by-w-cyfrowym-swiecie-zachowac-rownowage/
OdpowiedzTrendu (uzależnienia) nie zmienimy 😀 Można tworzyć jakieś projekty itp, ale to nic nie zmieni.
OdpowiedzOk, a teraz meritum 😀 Usługa świetna i dająca prawdziwe nielimitowane rozmowy i SMSy w Orange. Największą zaletą jest sumowanie się dni na połączenia wychodzące.
OdpowiedzNic nowego. Przedłużając bonus za doładowanie i włączając za darmo w Orange traciło się GB ale ważność konta pozostawała. Formalnie tylko napisali to co już istniało.
OdpowiedzZapoznaj się jeszcze raz, dokładniej z artykułem promocją.
OdpowiedzBędą promocje swiateczne może czas przesiąść się na abonament hm tylko szkoda tracic 3-TB internetu i usługę no-limit wydluzona do grudnia 2020 ?
OdpowiedzPodłączam się do pytania, czy będą jakieś promocje na Święta?
OdpowiedzDo Świąt jeszcze trochę czasu zostało 🙂
OdpowiedzJeżeli wykupię pakiet bez limitu za 25 zł lub 30 zł na miesiąc to za 99 zł przedłużę jego ważność o rok?
OdpowiedzPolecam Orange poprawić logowanie do Orange Online przez www podając adres mailowy i hasło nie mogę się zalogować chce mnie zalogować na stare online ale nie może bo pisze że konta nie ma takiego a jestem na nowym Orange Online przeładowuje się strona poprawcie to…
OdpowiedzDzięki za cynk, przekażę.
OdpowiedzDzięki ?
OdpowiedzCO Z VoLTE do Xiaomi?
OdpowiedzW raz z aktualizacją do Note 7, MIUI11 przyniósł między innymi nowe sterowniki/oprogramowanie do VoLTE
Prace trwają.
OdpowiedzJak wrzucić w Google : „Przedłużamy ważność bonusowych GB orane” to na pierwszej pozycji wyskakuje strona nieaktualna gdzie na rok można przedłużyć za 30 zł . Parę osób dało się nabić w butelkę bo po wpisaniu kodu Orange kradnie 99 zł . ZŁODZIEJSTWO.
OdpowiedzA za 99 zł to żadna laska lepiej przenieść numer do innego operatora i zgarnąć bonusy za przeniesienie
Blog to blog, nie strona ofertowa. Wpisy są po to by informować, o nowościach w naszej ofercie. Nie są też aktualizowane, co wynika z samej natury bloga. Podobnie publikowane on-line artykuły prasowe nie są aktualizowane po każdej zmianie prawa czy danych ekonomicznych. To dość oczywiste. Nie mamy także żadnego przełożenia na mechanizm działania Google i miejsca, które podstrony bloga mają w nim. To także dość oczywiste. Zawsze linkujemy do strony gdzie znajdziesz pełne informacje o ofercie Orange Polska czyli orange.pl, by każdy czytelnik mógł wejść i sprawdzić aktualną ofertę.
OdpowiedzTo jest oszustwo przez niedomówienie. Miałem na koncie ponad 100 zł. Przyszedł sms z propozycją AKT365. Wcisnąłem. Przyszedł radosny sms gratulacyjny z info, przez cały rok mogę dzwonić na numery komórkowe do ORANGE. Z konta zniknęlo mi 99 zł. Oszustwo przez niedopowiedzenie polega na tym, że w smsie ofertowym nie było wyraźnie powiedziane, że za darmo tylko do ORANGE. W ten sposób straciłem 99 zł bo telefony, na które dzwonię to pewnie 5-10% Orange. Żeby dzwonić do innych sieci muszę się doładować. Wina leży po mojej stronie: subtelnego oszusta trzeba pilnować. Zmieniam operatora.
OdpowiedzJa jestem w Orange już 18 lat moją karta w telefonie to idea operator powinien mi za darmo dac telefon za tyle lat w jednej sieci
OdpowiedzDziękujemy, że z nami jesteś.
OdpowiedzKolego ja też miałem kartę pop ponad 25 lat i rok temu chciałem ją wymienić bo nie obsługiwała LTE- kazali mi za nową zapłacić , a ty byś chciał nowy telefon – oszalałeś „nie dostaniesz owsa od gęsi”. Zmieniłem operatora i dostałem kartę za darmo + promocyjny telefon za przejście.
OdpowiedzTak Orange naciąga klientów. Sms AKT365 na 411 przedłuża ważność pakietu danych na rok, za jedyne 99pln. Kiedyś było 30. Klienci odchodzą a oni w ten sposób chcą wyrównać straty.
OdpowiedzWykorzystam to co mam i ???
Czemu ktoś tak głupio nazwał usługę „Więcej czasu na wszystko” i klienci myślą, że jak na wszystko to internet też. Powinna się nazywać „Więcej czasu na rozmowy”.
OdpowiedzDokładnie „konsultant” dobrze, że wyszukałam w internecie bo bym dużo straciła… Do tego w SMSie piszą, że na rok, ale za 30zł. To jawne oszustwo
OdpowiedzTak tak??? Czyżby powrót do źródeł innego operatora??? 🙂
Odpowiedz