Prawie 3 lata! Tyle minęło od ostatniego odcinka (nie)Bezpiecznej Sieci. Pora wrócić na łamy, tym bardziej, że od pierwszego odcinka, opublikowanego 8 lat temu (!) sporo się zmieniło.

Higiena haseł. Choć już od sporego czasu mówimy o tym, że zbliża się czas rzeczywistości bez haseł, wciąż uruchamiając komputer, czy logując się do aplikacji, musimy wpisywać login i hasło. Sprawny dobór tego drugiego niezmiennie zapewnia bezpieczeństwo naszych cyfrowych dóbr.

Czasy się jednak zmieniają, podobnie jak filozofie i podejścia do kluczowych kwestii. Tak jak już od kilku lat w Orange Polska nie musimy zmieniać haseł co miesiąc, tak podejście

najlepsze hasło to tgH43$iS

też już – na szczęście! – odeszło do przeszłości.

Higiena haseł, czyli długie, łatwe i bezpieczne

„Ej, ale tak się w ogóle da?”. Cóż, gdyby się nie dało to w ogóle nie robiłbym tego filmu 🙂 Mnie się nowa filozofia nie tylko podoba, ale wręcz udaję ją za dużo lepszą, niż tę pokutującą chyba od początków internetu. Tym bardziej, że – niech pierwszy rzuci kamieniem ten, komu „wypasionego” hasła nie przyjmowały polityki bezpieczeństwa, a gdy wpisał „Marzec22!” to okazywało się, że wszystko jest dobrze…

A jak zrobić? Zobaczcie sami!

Hasło do banku. Dziś będzie chyba krótko, ale treściwie, na temat, który w zasadzie nieprzerwanie leży mi na sercu. Przyglądając się bowiem kolejnym phishing kitom, raz na jakiś czas tuningowanym przez oszustów, zastanawiam się… kto u licha wpisuje na dziwnej stronie tyle swoich danych?

Gwoli jasności – będę ostatnim, który „pojedzie po internautach”. Kilka lat temu, jeszcze gdy nikt nie myślał o pandemii, na konferencji Confidence Adam Haertle powiedział (w skrócie): „Bezpieczniaku, to nie user, który dał się złapać na phishing, jest idiotą. To ty nim jesteś! Bo nie użyłeś swojej wiedzy, by go uświadomić”. Od tamtego czasu to jeden z motywów pchających mnie do działania. Dlatego też powstaje ten tekst. Nie zmienia to jednak faktu, że często nie mogę wyjść z szoku dlaczego są ludzie, w których takie okna, na stronie której adres nie ma nic wspólnego z bankiem, nie budzą niepokoju:

Hasło do banku – i co jeszcze?

Przypomnijcie sobie, kiedy ostatnio wprowadzaliście hasło do banku. I co więcej było wtedy potrzebne? Bazując na moim doświadczeniu (i kontach w dwóch bankach) przy logowaniu w przeglądarce login i hasło, zaś przy aplikacji mobilnej – PIN lub odcisk palca. Wszystko jasne. A kiedy ostatnio używaliście PESELu lub panieńskiego nazwiska mamy? Ew. PINu do aplikacji mobilnej przy korzystaniu z przeglądarki na komputerze?

Konfigurując aplikację mobilną!

No właśnie! Co trzeba zrobić, żebyśmy zapamiętali, że tak wrażliwych danych jak te przytoczone powyżej nie podaje się przy płatności? Nie wiem, jak jest we wszystkich bankach (będę wdzięczny za informacje w komentarzach), ale w tym w którym korzystam z aplikacji mobilnej, w trakcie jej aktywacji słyszę bodaj pięciokrotnie informację do czego służy kod! Czego mam z nim nie robić, gdzie nie wpisywać i co robić, jeśli ktoś mnie o niego prosi. Zastanawiam się, czy tak wielu ludzi wtedy „odlatuje” myślami?

Błagam. Jeśli wykonujecie jakąkolwiek transakcję finansową online, bądźcie wyjątkowo uważni! Niczym za kierownicą, stosujcie zasadę ograniczonego zaufania. A jeśli cokolwiek budzi Wasz niepokój – odstąpcie od transakcji! Możecie stracić wszystkie pieniądze, a nawet więcej. Jasne, przestępcy będą używać wielu sztuczek, żeby przekonać Was do wpisania tych danych. Macie wątpliwości? Zadzwońcie do banku. Albo napiszcie do nas na cert.opl@orange.com. Nie ryzykujcie.

Gdy na początku roku w cyberbezpieczeństwie mało się dzieje, a ja zastanawiam się, o czym napisać, regularnie przychodzi mi do głowy ten sam pomysł:

A może sprawdzić najpopularniejsze hasła? Pewnie gdzieś jest jakaś lista. Może po latach wbijania do głów podstawowych zasad, ludzie w końcu coś zrozumieli?

TL;DR – ni cholery nie zrozumieli

Firma NordPass, twórca jednego z wielu obecnych na rynku menedżerów haseł, co roku korzysta z listy wycieków i wsparcia niezależnych badaczy bezpieczeństwa, by skomplikować listę haseł, pojawiających się najczęściej w wyciekach. Co ciekawe, nie tylko w ujęciu ogólnym, ale też w podziale na kraje. Na liście znajdziemy – poza hasłami i informacją, ile razy wystąpiły w bazie – średni czas potrzebny do ich złamania. Tym razem do badania posłużyły aż 4 terabajty danych – to naprawdę mnóstwo haseł. A jakie wyniki? Cóż, jak zawsze – przerażające.

Najpopularniejsze hasła na świecie

Zacznijmy od tabeli i pierwszej dziesiątki:

Jak to podsumować? Ciężko mi rwać sobie włosy z głowy, bo mam ich i tak niewiele, ale chciałoby się powiedzieć: „Jak krew w piach”. Awarenessowcy z całego świata tłumaczą konsekwentnie, do bólu, to samo, po kilkanaście razy rocznie. A tymczasem mamy 240 milionów ludzi (tylko w próbce!) którzy zamiast wpisać hasło wyliczają po kolei liczbę swoich szarych komórek…

Wiem oczywiście, że nieświadomy użytkownik to przede wszystkim wina bezpieczniaka (lub tego, że nie dotarła do niego edukacja), ale naprawdę ciężko mi zrozumieć, jak w 2022 roku, 26 lat po powstaniu Onetu (wtedy jeszcze jako OptimusNet) ludzie wciąż uważają, że hasło 123456 wystarczy do zabezpieczenia ich cyfrowych włości!

Cudze ganicie, swego… też się wstydźcie

No dobra, a jak było w Polsce? Lepiej, gorzej? Cóż, zwycięzca ten sam, ale przynajmniej w pierwszej dziesiątce mieliśmy akcent patriotyczny.

Lepiej? Tak, lepiej… nie mówić. Zastanawiam się, skąd tak długi czas złamania przy hasłach z miejsca 13. i 116.? Wydają się być, szczególnie to drugie, dość łatwe do złamania metodą słownikową. Stawiam, że po prostu wrzucono je do generycznego, najprostszego „łamacza”.

A jak wygląda kwestia w pozostałych krajach świata, w których przeprowadzono badanie? Przyjrzałem się nieco losowo jak wyglądają najpopularniejsze hasła w innych badanych krajach. W każdym z nich na czele było albo 123456 albo password. Tam gdzie przejrzałem całe listy, wśród 200 haseł nie było ani jednego stworzonego w porządny sposób. Ani jednego, którym bez ryzyka mógłbym zabezpieczyć własne dane. Nawet te mniej ważne, bo o wrażliwych w ogóle nie ma mowy.

Co robić z tymi hasłami?

Jeśli Twoje hasło jest na liście Nordpass, pora przełknąć pigułkę wstydu. Gdy czerwień zejdzie Ci z twarzy, zmień hasło wszędzie tam, gdzie go używasz. Jak? O tym pisałem całkiem niedawno. Dodatkowo, jeśli mamy do czynienia z danymi wrażliwymi, warto dodać do tego uwierzytelnianie dwuskładnikowe. Dbajcie o higienę swojej aktywności w sieci. To naprawdę wiele nie wymaga.

To jak? 1, 2, 3, 4, 5, 6… i zmieniamy hasła?

Słyszeliście, że ostatnio w mediach dość sporo mówi się o zabezpieczaniu korespondencji e-mail? Nie każdy z nas jest celem wysokiej wartości (High Value Target, HVT), ale każdy z nas przez swoją niefrasobliwość może narazić się na ryzyka, związane z wyciekiem korespondencji. Naruszenie prywatności, wgląd w nasze intymne/wrażliwe treści, kradzież tożsamości (podszywanie się pod nas), okradanie (jako my) naszych znajomych, czy wreszcie dostęp do (ważnych) danych naszego pracodawcy. To nie wszystkie z potencjalnych ryzyk, związanych z uzyskaniem przez osobę niepowołaną dostępu do naszego konta e-mail. To nie muszą być dane ważne dla bezpieczeństwa państwa, by zrobiło nam się gorąco…

Jak się chronić? Na szczęście dla znaczącego ograniczenia ryzyka nie trzeba wiele. W dzisiejszych zaganianych czasach szkoda nam czasu na czynności, które wydają się zbędne. Jeśli jednak zdamy sobie sprawę, że zmiana naszych przyzwyczajeń względem kont e-mail, czy social mediowych, tak naprawdę nie zajmie nam o wiele więcej czasu – łatwiej będzie się do tego przyzwyczaić.

Po pierwsze – hasło

Od lat się mówi, że hasło to przeżytek, że kto to wszystko spamięta, żeby od haseł odchodzić. Co do zasady – absolutnie się zgadzam! Tylko, że w przypadku konta mailowego nikt nie wymyślił sensownej alternatywy. Dodatek do hasła – tak (o tym później), ale zastępstwo hasła jeszcze nie.

Choć są firmy, w których niezmiennie trwa podejście „bardzo-długie-totalnie-losowe-hasła-zmieniane-co-miesiąc” od tego na szczęście już się odchodzi. Nie powiem Wam, jaka jest polityka haseł w Orange Polska, ale zdradzę, że hasła zmieniamy rzadziej, niż co miesiąc. Dzięki temu nie zdarzają się sytuacje, gdy pół firmy loguje się, wpisując: „Czerwiec21!”, a przy zmianie hasła – „Lipiec21!”. Takie podejście mobilizuje do tego, żeby wymyślić hasło realne do zapamiętania, a jednocześnie wystarczająco trudne. Ja na szkoleniach podaję przykład znanego tylko Tobie zwrotu, zdania, np.:

Litwo, ojczyzno moja! Ty jesteś jak zdrowie!

Z którego można wziąć pierwsze litery i znaki przestankowe,  by powstało:

L,om!Tjjz!

Trudne? Trudne. Łatwe do zapamiętania, jeśli znamy punkt wyjścia? No ba! Może tylko trochę za krótkie. Jeśli z serwisu, z którego korzystasz, wycieknie baza haseł, z prawdopodobieństwem graniczącym z pewnością złodziej spróbuje złamać te do 8, ew. do 12 znaków. 13- i dłuższych nie będzie mu się opłacało.

W przypadku haseł przede wszystkim polecam korzystanie z menedżera haseł (jest ich sporo w sieci). Ja sam jednak kilka podstawowych haseł: do menedżera haseł (ha!), banku, czy sieci firmowej pamiętam w głowie. Uwierzcie mi, nawet jeśli jest to pokręcone 20-znakowe hasło, po wpisaniu go 30. raz i tak je zapamiętacie.

Po drugie – zaskocz oszusta

Wyobraź sobie gościa, który w jakiś sposób wszedł w posiadanie Twoje hasła. Z uśmiechem godnym Don Pedro, szpiega z Krainy Deszczowców wpisuje je, potwierdza i… wyskakuje mu monit o wpisanie drugiego składnika uwierzytelnienia!

Ha!

Chyba nie potrafię sobie skojarzyć żadnego poważnego serwisu, który nie udostępnia możliwości uwierzytelniania dwuskładnikowego. O co chodzi? W skrócie – konfigurujemy odpowiednią aplikację (SMSowe 2FA odradzam, wiadomość z kodem łatwiej przechwycić/podejrzeć, ale to temat na inny tekst). Po więcej zapraszam do lektury tekstu na blogu, poświęconego 2FA. Ja, ze względu na częste zmiany telefonów, korzystam z aplikacji Authy, polecam również Google Authenticator.

Specyficzną odmianą 2FA jest klucz sprzętowy. W Orange Polska używamy dedykowanego rozwiązania kryptograficznego, które pozwala nam zalogować się do sieci korporacyjnej, podpisać cyfrowo maila, czy zaszyfrować go. Ogólnodostępne rozwiązanie, np. Yubikey, generuje jednorazowy, specyficzny dla konkretnego egzemplarza kod po dotknięciu guzika w kluczu wetkniętym w gniazdo USB komputera. W lepszej wersji klucz można przytknąć do telefonu i autoryzować się przez NFC.

Po trzecie – patrzysz w ekran? Uważaj!

Podejście „mnie nikt nie zaatakuje, jestem bezwartościowy dla przestępcy” to pierwszy krok do porażki. Każdy z nas jest wartościowy dla przestępcy. Jeśli jesteś HVT, można od Ciebie wykraść dane, które następnie można sprzedać, czy opublikować w sieci. Konto na Facebooku zwykłego internauty można wykorzystać do podsunięcia jego przyjaciołom oszustwa „na BLIKa”. No i wreszcie – kto z nas nie ma danych, których zaszyfrowanie byłoby dla nas duuużym kłopotem? Zdjęcia dzieci, niedokończona praca magisterska, dokumentacja projektowa… To nie jest tak, że nikt tego nie widzi! Kilkukrotnie, czy to w pociągu, czy w samolocie, miałem możliwość zajrzenia na ekran laptopa siedzącego przede mną współpasażera (co ciekawe, akurat we wszystkich przypadkach były to osoby zajmujące się prawem) i przeczytania dokładnych szczegółów toczonych przez nich spraw, taktyki procesowej, nawet danych wrażliwych klientów!

Warto wyrobić w sobie przyzwyczajenie zasłaniania klawiatury, gdy w przestrzeni publicznej wpisujemy hasła, czy PINy!

Nie tylko przy bankomacie, ale także logując się do komputera w „kawiarnia office”, czy „park office”. Ściany mają uszy, a drzewa mają oczy. Czasem by wykraść dane logowania nie trzeba wcale wrzucać ofierze trojana…

Po czwarte – myśl, co i gdzie klikasz

…ale można. Na ten temat sam napisałem już chyba gigabajty treści, więc warto przypomnieć tylko w krótkich bulletach:

• Jeśli nie spodziewałeś się tego maila – nie klikaj linków i nie otwieraj załączników!
• Jeśli dodatkowo nie znasz nadawcy – jeszcze bardziej nie klikaj i nie otwieraj!!! (znając nadawcę możesz się z nim zawsze skontaktować i upewnić, czy to aby na pewno on)
• Logując się na jakąkolwiek stronę, albo wpisując na niej dane wrażliwe, upewnij się, czy to na pewno właściwy adres (ostatnio nasze systemy wyłapały domenę gov-pl.in, jak sądzicie, co w niej jest nie tak?)
• Nie ufaj absurdalnie wyjątkowym okazjom – zdarzają się tak rzadko, że nie warto podejmować ryzyka
• Rozdzielaj tożsamości – nie mieszaj spraw (i kont e-mail) prywatnych i służbowych. Wyrób w sobie nawyk wyjątkowej ostrożności przy korzystaniu z maila i infrastruktury w pracy

Dbajcie o siebie. Niech każdy Wasz mail pozostanie Waszym.

Czasem i mnie zdarza się wymyślić jakiś clickbaitowy tytuł :), ale gdy odsuniemy na bok żarty, okaże się, że ma on sporo sensu. Wpadłem bowiem ostatnio na ciekawe badanie, przeprowadzone na zlecenie firmy 3M. Dam sobie rękę uciąć, że badanie przeprowadzane z założoną tezą, biorąc pod uwagę, że zleceniodawca produkuje m.in. filtry na ekran monitora, uniemożliwiające osobom postronnym zobaczenie, co też tam wypisujemy. Ale nie zmienia to faktu, że badanie to bezdyskusyjnie zwraca uwagę na problem, którego wielu z nas nie widzi…

Wystarczy 15 minut

Dla zwykłych internautów – dokładne przyglądanie się potencjalnym phishingowym mailom. Dla firmowych specjalistów od procedur – polityki bezpieczeństwa haseł. Dla tych zajmujących się techniczną stroną cyberbezpieczeństwa – firewalle. I wiecie co? To wszystko o kant… tzn. i tak się nie przyda, gdy przestępca mimochodem stanie za nami i zobaczy jakie hasło wpisujemy.

Przyznajcie się sami przed sobą – czy zawsze wpisując hasło patrzycie, czy ktoś się Wam nie przygląda? Mnie w pracy akurat przychodzi to łatwo, bo za plecami mam kaloryfer i ścianę :), ale co gdy pracujemy zdalnie? Żyjemy w czasach, w których niczym nienormalnym nie jest otwarty laptop w bistro, kawiarni, czy przestrzeni co-workingowej. A tam, logując się, czy zestawiając połączenie VPN, mało kto patrzy za siebie… Tymczasem, według badania Instytutu Ponemon, zleconego przez Visual Privacy Advisory Council i wspominane 3M, w 45% badanych przypadków od spojrzenie na monitor i ręce ofiary do wpisania w odpowiednie miejsce przejętych poświadczeń logowania minęło zaledwie 15 minut!

Do phishingu jeden krok

Kwestia „shoulder surfingu” i ogólnie niefrasobliwości idealnie wpisuje się w trwające obecnie kampanie, rozsiewające trojana Emotet. Będące ich źródłem maila przychodzą z maili udających adresy osób, z którymi korespondujemy. Co więcej, są… odpowiedziami na faktyczne mailowe konwersacje, co tym bardziej może zmylić ofiarę (na stronie CERT Orange Polska przeczytacie bardziej szczegółowy opis). Skąd przestępcy mają dostęp do takich wiadomości? Ano stąd, że musieli dostać się do skrzynek „nadawców”. A jak się do nich dostali? Mogli przy pomocy złośliwego oprogramowania, a mogli po prostu zerknąć w kawiarni na to, jak się logowałeś/aś…

Jak na lunchu – to nie w pracy

Oczywiście Emotet i pokrewne to tylko jeden ze sposobów, w jaki przestępcy mogą wykorzystać naszą niefrasobliwość. By wykraść tajne dane z korporacji, nie trzeba włamywać się do komputera jej prezesa. Wystarczy znaleźć jeden słaby punkt, na najniższym szczeblu. Takim punktem może być jeden pracownik, który podczas przerwy lunchowej w pobliskim centrum handlowym nie zdejmie wiszącego na wierzchu identyfikatora z nazwiskiem, poskarży się podczas głośnej rozmowy z kolegami na złych ludzi z konkurencyjnego wydziału, aż wreszcie nie zauważy, logując się do sieci podczas szybkiego obiadu, że nie tylko on widzi wpisywany przez siebie login i hasło.

Nie namawiam Was do wpadania w obsesję i manię prześladowczą. Ale sami przyznacie, że warto być świadomym tego typu zagrożeń.