Bezpieczeństwo

Święta idą, uważajcie na „okazje”

24 listopada 2016

Święta idą, uważajcie na „okazje”

„Święta, święta… radości tyle w nas!”. Ano sporo, ale na naszą radość i rozluźnienie tylko czekają cyber-przestępcy. Rokrocznie na całym świecie pewnie biliony dolarów trafiają na konta producentów bardzo różnych produktów, które trafiają pod nasze choinki. No bo kto z nas nie lubi dostawać prezentów, a takich niespodziewanych to już w ogóle? Kto nie chciałby zaoszczędzić paru złotych na wyjątkowych promocjach? No właśnie…

„Super okazja!”; „Wyprzedaż!”; „Tylko dla Ciebie!”; „Tylko dziś!!!”, „Jest do Ciebie przesyłka, kliknij tu, by zobaczyć list przewozowy”, itd., itp. Uważajcie na maile o takich krzykliwych i wymuszających wręcz na nas działanie tytułach. Cel tego wszystkiego jest oczywisty – zadziałać na nasze najniższe instynkty, skusić nas do tego, by kliknąć link, coś ściągnąć, czy wejść na stronę. Efekt? Od zakupów na nasz koszt, jeśli na witrynie „niby-sklepu” podamy dane naszej karty (tak, wciąż są ludzie, którzy to łykają, choć ciężko w to uwierzyć), do przejęcia kontroli nad naszym komputerem i zainstalowania w tle popularnego ostatnio ransomware, czy też przejęcie loginów i haseł do naszych kont bankowych, a wtedy może się już zrobić naprawdę gorąco.

Fajnie jest się wyluzować, ale o bezpieczeństwie nigdy nie warto zapominać. Klaun nie zawsze musi przynosić szczęście i radość – kto widział film „To”, wg. książki Stephena Kinga?

Fot. Wikipedia

Udostępnij: Święta idą, uważajcie na „okazje”

Bezpieczeństwo

Odciski sztucznych palców

17 listopada 2016

Odciski sztucznych palców

W dzisiejszych czasach można mieć obsesję bezpieczeństwa w internecie. W sumie nic dziwnego, biorąc pod uwagę, ile naszych danych (często mocno wrażliwych) krąży po sieci. Pytanie jednak brzmi, w którym momencie obsesja zaczyna przekraczać granice przesady?

Czytnik odcisków palców – nieodłączny element topowych smartfonów. Bez cienia wątpliwości ułatwia życie – nie trzeba przecież pamiętać żadnych kodów, haseł, telefon można nawet w stanie pewnej nieważkości ;), aczkolwiek to może nie do końca byłoby wskazane. Pytanie brzmi – kto potem dysponuje naszymi odciskami palców? Rządzące światem firmy spod znaku jednej – niebieskiej lub kolorowej – literki, wywiady różnych państw… Cóż, ja po prostu jestem tego świadom i z tą świadomością przykładam palce do czytników kolejnych telefonów. A Wy, jeśli Wam to przeszkadza, odciski możecie sobie… kupić.

TAPS, to kolejny… hmmm, chciałem powiedzieć „ciekawy”, ale bardziej nasuwa mi się określenie „dziwny” pomysł z Kickstartera. Co Wy na to, żeby odciski palców sobie… kupić i naklejać na rękawiczki? Daję słowo, piłem dziś tylko kawę i wodę mineralną. Za 8 dolarów możemy kupić sobie 4 silikonowe nakładki, które możemy nakleić na dowolną rękawiczkę. Pozwolą nam one nie tylko na obsługę dotykowego ekranu (w czasie, gdy coraz więcej telefonów ma po prostu tryb korzystania w rękawiczkach), ale także zostaną rozpoznane przez czytniki odcisków palców. Oczywiście producenci zapewniają, że każdy zestaw jest inny, technologia jest kosmiczna, terefere, itd.

Czy tylko ja – cóż, nie widzę w tym nic normalnego? Zacznijmy od sensu odblokowywania telefonu wyłącznie w rękawiczkach, bo tak to wygląda w sytuacji, gdy tylko ten wzór z TAPS zapiszemy w telefonie. W innym przypadku jaki sens miałby taki zakup? Druga sprawa – no tak, przecież unikamy sytuacji, gdy ktoś ma w swojej bazie nasz odcisk palca… Ooops, czekajcie, czy aby na pewno? Nie wiem jak Wy, ale ja, jeśli obawiałbym się korzystania z czytnika odcisków, po prostu używałbym PINu.

Grafika na stronie głównej: Wikimedia Commons

Udostępnij: Odciski sztucznych palców

Bezpieczeństwo

Do stu razy sztuka?

10 listopada 2016

Do stu razy sztuka?

100. Tyle prób złamania naszego hasła – według National Institute for Standards and Technology, amerykańskiego odpowiednika naszego Głównego Urzędu Miar – może podjąć cyberprzestępca w okresie 30 dni, zanim usługodawca będzie miał obowiązek zablokować do momentu wyjaśnienia dostęp do naszego konta (przyjmijmy, że zanim zmieniłe, to chodziło mi kąt w sieci, dobra? 🙂 ). Pewnie powiecie, że to mnóstwo i bruteforce’ujący są bez szans? No może niekoniecznie.

Jak myślicie, w ilu próbach przed bruteforcerem poległoby Wasze hasło? Ja się nie liczę, ja mam zboczenie zawodowe, moje łamałoby się latami. Tym niemniej, według badań naukowców z Uniwersytetów w Pekinie i Fujian oraz z brytyjskiego Lancaster University, wystarczy, by atakujący znał niewielką ilość naszych tzw. PII (Personally Identifiable Informations, osobiste informacje identyfikujące), jak np. imię i datę urodzenia, by szansa na odgadnięcie klucza do naszego cyfrowego „ja” wyraźnie wzrosła. Jak wyraźnie? Przy 100 próbach prawdopodobieństo trafienia wyniosło 20%, zaś jeśli atakujący mógł podjąć milion prób, miał 50 procent szans, że któraś z nich zakończy się sukcesem!

Używane przez badaczy rozwiązanie TarGuess w wersjach III i IV korzysta także z tzw. siostrzanych haseł, próbując odgadnąć hasło danego użytkownika na bazie haseł przyporządkowanych do tego samego adresu, odkrytych przy innych wyciekach. Jak myślicie, jak bardzo wzrosło prawdopodobieństwo trafienia przy zaledwie 100 próbach? Ano „nieznacznie” – do 73 procent!
Co zatem zrobić, by uniknąć złamania hasła w opisywany powyżej sposób? Będę się powtarzał do bólu i obawiam się, że do końca świata znajdzie się jeszcze wcale niemała grupa, która się tego nie nauczy:
nie używać PII do budowania haseł
nie dublować haseł przynajmniej w przypadku serwisów, gdzie przechowujemy dane wyjątkowo wrażliwe
To naprawdę proste i wiele nie wymaga.

Udostępnij: Do stu razy sztuka?

Bezpieczeństwo

Analiza dwóch nowych wirusów

27 października 2016

Analiza dwóch nowych wirusów

Tekst uaktualniony: W czwartek wrzuciłem analizę keyloggera, a już w piątek pojawił się nowy malware, tym razem na Androida, zdecydowałem się więc uaktualnić ten materiał i wrzucić do niego drugą analizę..

8594dd2086f66ded63665d36014beb8d99dKoledzy z CERT Orange Polska przyjrzeli się w ostatnich dniach kolejnemu malware’owi, tym razem keyloggerowi iSpy. To dość popularne wśród oszustów narzędzie które – jak widać na obrazku – można kupić za relatywnie niskie pieniądze, z rocznym wsparciem. Tak jest – usługi cyberprzestępcze można kupić niczym kajzerki w dyskoncie… Albo inaczej – jak zwykłą usługę z dostawą do domu, montażem i uruchomieniem, użytkownik nie musi się na niczym znać.

Celem komercyjnych keyloggerów jest zebranie jak największej ilości danych. iSpy posiada pełny „builder” – program za pomocą którego kupujący może w odpowiedni sposób dostosować swojego wirusa do własnych potrzeb zaznaczając tylko pola z wielu opcji. Badana próbka była skonfigurowana z modułami keyloggera, kopiowania zawartości schowka i wykonywania zrzutów ekranu. iSpy dostarczany jest za pośrednictwem spamu, który posiada złośliwy załącznik typu *.js JavaScript lub dokument Microsoft Office, który następnie pobiera kolejne komponenty malware. Do tej pory znaleziono wiele różnych typów pakerów napisanych w językach Visual Basic 6.0, AutoIt (ten język wykorzystywała analizowana próbka) oraz .Net. Wirus może wysłać skradzione dane za pomocą HTTP, SMTP lub FTP. W badanej przez CERT Orange Polska próbce była wykorzystana jedynie druga z tych metod.

Przypadek piątkowy to natomiast malware na Androida, podszywający się – o zgrozo! – pod oprogramowanie rzekomo zabezpieczające transakcje bankowe. Aż żal… serce ściska, że ludzie się jeszcze na to łapią.

Raport dotyczący Keyloggera znajdziecie tutaj, zaś malware Androidowy opisany jest tutaj.

Udostępnij: Analiza dwóch nowych wirusów

Bezpieczeństwo

Bezpieczne WiFi, czyli czasami bierzcie przykład z Włochów

8 września 2016

Bezpieczne WiFi, czyli czasami bierzcie przykład z Włochów

Bardzo dziękuję wszystkim, którzy dbali o moje samopoczucie i martwili się, że pracuję na urlopie 🙂 Nie jest ze mną aż tak źle, pracoholizm nie grozi – po prostu założyłem, że przyzwyczailiście się do cotygodniowych tekstów o bezpieczeństwie, więc napisałem parę na zapas.

A przez ten cały czas byczyłem się głównie we Włoszech, które zainspirowały mnie do dzisiejszego, krótkiego acz treściwego wpisu. Raz na jakiś czas, w miarę regularnie, przypominam Wam i ostrzegam w kwestii korzystania z publicznych sieci WiFi. O ile w kraju możemy nie być bardzo zdesperowani, bo wielu z nas dysponuje sporym pakietem danych, za granicą sytuacja nie wygląda już tak różowo. Wtedy chętnie podpinamy się pod dowolne WiFi, a to, jeśli przestępca też dysponuje hasłem do sieci, bądź w ogóle podstawił własną, może się skończyć podsłuchiwaniem naszego ruchu sieciowego.

Jak radzą sobie z tym Włosi? Dwojako. Usiłując podłączyć się do WiFi z tamtejszych McDonaldów musimy założyć konto, z loginem i hasłem, podając… numer karty płatniczej. Szczęśliwcy mogą wpisać hasło, które dostaną SMSem, ale w tej grupie są mieszkańcy bodaj sześciu krajów (dokładnie sześć numerów kierunkowych +xx). Do tego zmusza nas tamtejsza ustawa antyterrorystyczna. Naszego kraju tam zabrakło, więc akurat w tej sytuacji z ciężkim sercem wybrałem brak internetu.

W restauracjach jest już inaczej i znacznie lepiej. Zastanawiam się, czy hasła do sieci dostępnych np. w restauracjach (reklamujących się również hasłem „Free WiFi!”) to też efekt ustawy, bo tam akurat zęby bezpieczniaka się szczerzą a serce roście. Wyobraźcie sobie – otwieracie menu, na ostatniej stronie są dane restauracyjnej sieci: nazwa (zazwyczaj nie związana z restauracją, np. TIM-357864) i hasło. Nie byle jakie hasło – w żadnej sieci, z których korzystałem, hasło nie liczyło mniej, niż 12 znaków, nigdzie nie było wyrażeń słownikowych, zazwyczaj były to zbitki kompletnie losowych znaków. Oczywiście dla chcącego nie ma nic trudnego, cyber-przestępca może po prostu też przyjść na obiad, zalogować się najpierw do sieci, a potem… domyślnym hasłem do lokalnego routera (testowałem, ale ciiii…), ale wymaga to już od niego nieco więcej zachodu. Idealnie więc nie jest i przy publicznej sieci nigdy nie będzie, ale jakoś czułem się lepiej, niż przy sieci o SSID: „Nasz Hotel” i haśle: „123KochamHotel”.

Udostępnij: Bezpieczne WiFi, czyli czasami bierzcie przykład z Włochów

Dodano do koszyka.

zamknij
informacje o cookies - Na naszej stronie stosujemy pliki cookies. Korzystanie z orange.pl bez zmiany ustawień przeglądarki oznacza,
że pliki cookies będą zamieszczane w Twoim urządzeniu. dowiedz się więcej