Bezpečnostní střípky: nemáte na svém počítači keylogger?

Jaroslav Pinkava 23. 8. 2010

Pravidelný pondělní přehled informací vztahujících se k problematice bezpečnosti IT. Z novinek tohoto týdne lze upozornit na některé informace charakterizující význam IT bezpečnosti v dnešním světě, články věnované bezpečnosti uživatelů na sociálních sítích a samozřejmě na významné kryptologické konference.

Obecná a firemní bezpečnost IT

Přehled hlavních hrozeb počítačové bezpečnosti - COMPUTERS: Top Computer Security Threats – připravil Simon Campbell-Young (Phoenix Software):

  1. Brouzdání po internetu a sociální sítě
  2. E-mail a spam
  3. IM (Instant messaging)
  4. Interní hrozby
  5. Vzdálení pracovníci
  6. USB klíčenky
  7. Mobilní zařízení
  8. Bezdrátové sítě

A proč se vůbec zabývat starostmi o bezpečnost IT? K současné situaci uvádí William Jackson šest základních důvodů (6 reasons to worry about cybersecurity):

  • Staré problémy stále přežívají
  • Sociální sítě
  • Zacílení na osoby
  • Opatrně s cloudy
  • Rizika technologií Gov. 2.0
  • Botnety uvnitř organizací

USA: Federálové stále vyšetřují hacknutí AT&T (stránky pro iPad) – Feds still questioning AT&T iPad site hackers. Chyba na stránce AT&T umožnila hackerům zveřejnit data 114 000 uživatelů iPad (e-mailové adresy a čísla SIM karet). Dotyční hackeři se hájí, že neprovedli nic nelegálního

Datová centra: lidský faktor je příčinou 70 procent chyb, technologie tvoří tedy jen tu menší procento příčin – podle Uptime Institute na základě analýzy 4500 incidentů v datových centrech – Stupid data center tricks.

Jak ubráníte své soukromí na Internetu vy, když dostali i Pitra? Zajímavý článek Patricka Zandla na Lupě: Odposlouchávané hovory na Skype, monitoring osob vybavených mobilem díky mýtným branám na dálnici. Před českou policií třetího tisíciletí není žádného úniku: takhle prý vystopovali i nejhledanějšího českého uprchlíka Tomáše Pitra. Kde je hranice mezi mýtem a současnými možnostmi policie? A můžeme vůbec ještě ochránit své soukromí na Internetu?

Interní útočník to je stálá a pokročilá hrozba, říká Eric Cole v článku Advanced Persistent Threat: The Insider Threat, kde rozebírá problém, který označil jako Advanced Persistent Threat (pokročilá setrvávající hrozba). Uvádí vlastnosti tohoto typu hrozeb a dává některá doporučení.

The art of physical, outer perimeter security  – zde se Tom Olzak tentokrát zabývá fyzickou bezpečností z pohledu ochrany vnějšího perimetru. Článek je závěrečným dílem série, ve které se autor zabýval fyzickou bezpečností. Předchozí články:

Social Engineering 101 (Q&A) aneb základní informace k problematice sociálního inženýrství. Ellinor Mills v článku zformulovala otázky vážící se k tomuto tématu. Odpovídá na ně Chris Hadnagy (Offensive Security). Je zde zmíněna také jeho kniha k této problematice, která je připravována k vydání v lednu 2011.

Autor Šakala (Frederick Forsyth) obviňuje NSA z hacknutí notebooku své manželky – Jackal novelist blames NSA for wife's laptop hack. Forsyth vystoupil s tímto obviněním v interview pro BBC TV. Nepravděpodobně však zní jeho tvrzení, že zároveň byl notebook manželky zničen.

Zaměstnanci připouští, že kradou data, když odchází ze zaměstnání – Employees admit they would steal data when leaving a job. Malý komentář k výsledkům přehledu, který zpracovala společnost Harris Interactive, se objevil na stránkách Help Net Security.

Laciné či volně dostupné nástroje, které pomohou řídit vyšetřování v organizaci – pět takových vybral a stručně popisuje Brandon Gregg – Whodunnit? 5 free or cheap tools to manage investigations.

Daň, kterou platíme strachu – The fear tax – to je zajímavá esej Setha Godina, komentáře k ní si lze přečíst na Schneierově blogu – The Fear Tax.

Monitoring strategies for insider threat detection , strategie pro monitorování interních hrozeb, krátká příručka, která je součástí širšího cyklu – Security Schools: Intrusion Defense School: Practical strategies to mitigate insider threats. Je zde poukázáno na několik klíčových akcí pro monitoring a detekci potenciálního interního útoku, které by měly být součástí praxe v organizaci.

Intel kupuje bezpečnostní firmu McAfee – With McAfee Deal, Intel Looks for Edge. Řadu odkazů k této informaci najdete na Schneierově blogu – Intel Buys McAfee. Viz také další komentáře:

Desítku nejvíce nebezpečných celebrit pro vyhledávání na webu najdete v zajímavém žebříčku – Top 10 most dangerous celebrity searches. Jsou zde i uvedena procenta, kdy výsledek vyhledávání uživatele dovede na stránku s malware. Na prvním místě je Cameron Díaz (s deseti procenty).
Viz také slideshow – McAfee´s Top 10 Most Dangerous Celebrity Searches.

David Sancho, pracovník společnosti Trend Micro, prodával své auto inzerátem na Facebook Marketplace. V článku Messing with Internet scammers je vylíčena jeho komunikace s kýmsi, kdo auto chtěl hned koupit i bez toho, aniž by auto kdy viděl… a ukázalo se, že podvod na něj chystal kdosi z Nigerie. Zrovna se tedy netrefil na správnou osobu.

Sociální sítě

Pět doporučení pro vaši bezpečnost na Facebooku zfomulovala Sharon Gaudin (5 tips to protect yourself on Facebook) :

  1. Porozumějte bezpečnostním nastavením Facebooku a používejte je.
  2. Pečlivě vybírejte své „přátele“.
  3. Pozor na to, které aplikace budete používat.
  4. Přemýšlejte, než začnete psát. Nechcete přece třeba ranit své blízké.
  5. Představte si, že vaše informace bude číst osoba se zlovolnými záměry. Neopravíte něco?

Facebook a Dislike Button, máme zde další návnadu podvodníků (a nyní již dosti rozšířenou) – Facebook Dislike button scam spreads virally. Podobné triky se v poslední době objevují stále častěji, proto pozor a nenechte se zlákat.

Osmice podvodů, které jsou aktuální na Facebooku tento měsíc, CRN zveřejňuje výsledky pozorování firmy Sophos v měsíci srpnu (v podobě slideshow) – 8 Scams Circulating On Facebook This Month.

Z přihlašovací stránky Facebooku stále mohou unikat citlivé informace – Facebook login page still leaks sensitive info. Security malpractice 101. Podle Dana Goodina lze zjistit, zda osoba s danou e-mailovou adresou má účet na Facebooku. Lze takto určit hledané e-mailové adresy určitých lidí.

Software

Existuje software, který umožňuje disidentům posílat tajné zprávy přes Twitter, Flickr  – Software Uses Twitter, Flickr to Let Dissidents Send Secret Messages. Vyvinuli ho pracovníci Georgia Tech, podrobnější informace k tomu byly zveřejněny na konferenci Usenix.

Fotografie prozradí tajemství, místo kde žijete – Web Photos That Reveal Secrets, Like Where You Live. Kate Murphy diskutuje možné dopady skutečnosti, kterou si ne všichni uvědomují. V metadatech digitálních fotografií (některých) je umístěna informace o místě (geotag), kde byla pořízena.

Trh s bezpečnostním SW vzrostl za poslední rok o 11 procent – Security software market to grow 11% this year. Článek přináší některé výsledky přehledu, který zpracovala společnost Gartner.

CSI:Internet Episode 5: Matryoshka in Flash, autor tohoto dílu (Sergei Shevchenko) zkoumá další „video“.

Tshark, volně dostupný analyzér síťových protokolů a provozu sítě, je součástí balíku Wireshark, autor článku Tshark – Network Protocol Analyzer & Traffic Dumper v něm popisuje některé speciální vlastnosti tohoto SW (Tshark).

Malware

How to find a keylogger on your computers aneb jak na vašem počítači najít keylogger. Mike Chapple vysvětlí nejen jak keylogger najít, ale také jak se proti těmto hrozbám bránit.

Viry

NSS Labs : také jejich testy prokazují, že antiviry nedostatečně reagují na exploity – NSS Labs: Testing shows most AV suites fail against exploits. Byly otestovány bezpečnostní balíky 10 velkých společností.

AV-Test zveřejnil výsledky testu antimalwarových produktů – AV-Test certifies security products on Windows 7. Některé produkty známých firem touto „certifikací“ neprošly (např. BullGuard Internet Security 9.0, McAfee Internet Security 2010 and Trend Micro Internet Security Pro 2010).

Hackeři

Hackeři, crackeři, počítačoví zločinci atd. – jaký pojem správně používat? Jeden z pokusů napravit volné a nepřesné používání těchto pojmů v žurnalistice najdete na stránce Hackers and crackers: a lesson in etymology and clear communication. Obávám se, že novináři stejně je budou i nadále používat s volností pro ně typickou.

Mud-slinging in the Warez scene, bylo hacknuto Warez fórum (Německo), je to v důsledku války mezi konkurenčními fóry?

Hardware

Podařilo se proniknout do nehacknutelné PS3 – Unhackable PS3 finally jailbroken, video claims. Tři videa, která to mají prokázat, se k tomu objevila na YouTube.

RFID

RFID – je zdrojem nebezpečí krádeže ID, anebo je to moderní nástroj, který pomáhá? Zajímavou diskuzi k tomu otevřel ve svém článku Spencer Michels – Radio Frequency Identification Tags: Identity Theft Danger or Modern Aid?.

Mobilní telefony

Aplikace pro Android tajně předává údaje GPS – Android app secretly uploads GPS data, warns Symantec. Jedná se o bezplatnou hru Tapsnake. Každých 15 minut jsou údaje GPS zasílány na server, který může být monitorován jinou (placenou) aplikací GPS Spy (téhož vývojového týmu). Viz také článek – Update: Android gaming app hides Trojan, security vendors warn.

Hacknuté chytré mobily mohou být i vojenským nebezpečím – Hacked smartphones pose military threat. Obdoba nedávno zjištěného malware pro Android může nepříteli prozradit lokaci vojenské jednotky.

RIM umožní Indii monitoring BlackBerry – RIM may allow India to monitor instant messenger service. Jedná se o službu IM. K problémům RIM souvisejícím s jejich kvalitním šifrováním – Research in Motion: Trying to have it both ways.

Jak se bránit únikům dat z mobilních zařízení – Mobile devices and security: Plug the leaks, then encrypt. Tom Olzak ukazuje, jaké jsou možné cesty úniků dat a jaké strategie mohou napomoci zabránit těmto únikům. Poukazuje na to, čím vším by se v dané souvislosti měli zabývat bezpečnostní manažeři.

Forenzní analýza

ForensicArtifac­ts.com… the definitive database (forenzní artefakty), komentář k této databázi je obsažen v článku Digital Forensics: Introducing ForensicArtifac­ts.com.

Použití více časových značek ve forenzní analýze při analýze časového průběhu se věnuje Paul Yacovetta – Benefits of using multiple timestamps during timeline analysis in digital forensics.

Elektronické bankovnictví

Česká spořitelna blokovala platební karty, zkopírovali je zloději, z úvodu: Česká spořitelna (ČS) zablokovala asi stovce klientů platební karty. Důvodem bylo ohrožení jejich účtů poté, co karty mohly být na několika místech v Česku neoprávněně zkopírovány. Zneužity byly desítky karet, informoval v pondělí server iHNed.cz s odvoláním na informace České spořitelny.

Jak na webu platit bezpečně? Otakar Schön uvádí několik doporučení: Vítejte v zemi, kde se za zboží a služby na internetu nejčastěji platí nejdražšími, nejméně pohodlnými a nejméně bezpečnými způsoby.

Česká spořitelna posiluje bezpečnost internetového bankovnictví, z úvodu stručné informace: Společnost RSA, bezpečnostní divize společnosti EMC, oznámila, že pomáhá České spořitelně posílit bezpečnostní prvky boje proti kyberkriminalitě. Banka spustila od 1. srpna 2010 ve spolupráci se společností RSA Security nový bezpečnostní systém RSA Fraud Action Antiphishing & Antitrojan a rozšířila tak síť bezpečnostních opatření.

Autentizace, hesla

Lamači hesel mají překvapivou tajnou zbraň – Password crackers have a surprising secret weapon. Najdete zde informaci o využívání GPU pro tyto účely, hesla kratší než dvanáct písmen, čísel a speciálních znaků brzy nebudou dostatečně bezpečná. Viz také – Passwords Quickly Hacked With PC Graphics Cards.

Elektronický podpis

EFF Warns of Untrustworthy SSL, Undetectable Surveillance – EFF varuje před nedůvěryhodným SSL. Electronic Frontier Foundation zmapovala více než 650 organizací, které mohou vydávat certifikáty jež MS Internet Explorer a Firefox akceptují. Některé z těchto CA podepisují certifikáty, kde jméno nemá nijaký význam ve vztahu k vlastnictví aktiv.

Kryptografie

V minulém týdnu proběhla konference  – CRYPTO 2010. Její program najdete na tomto odkazu:

stručné abstrakty příspěvků pak zde:

Workshop on Cryptographic Hardware and Embedded Systems, ten se konal se letos na stejném místě jako CRYPTO (v Santa Barbaře) a trochu se s touto konferencí časově překrýval. Přehled přijatých příspěvků:

P vs NP pre každého. Čo by znamenalo P ≠ NP a čo P = NP, autor článku uvádí čtenáře do problematiky. Nepřehlédněte odkaz – The P≠NP “Proof” Is One Week Old.

widgety

Kryptosystém z roku 1978 odolá útokům kvantových počítačů – 1978 Cryptosystem Resists Quantum Attack. Jedná se o systém, se kterým přišel Robert McEliece. Autor však poznamenává, zatím je jasné, že systém odolá známým kvantovým útokům (typu Shorův algoritmus), není však jasné, zda někdo nepřijde s novým typem kvantového útoku, který bude znamenat nebezpečí pro tento algoritmus.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.

Našli jste v článku chybu?
Lupa.cz: Jak levné procesory změnily svět?

Jak levné procesory změnily svět?

Vitalia.cz: dTest odhalil ten nejlepší kečup

dTest odhalil ten nejlepší kečup

Podnikatel.cz: Byla finanční manažerka, teď cvičí jógu

Byla finanční manažerka, teď cvičí jógu

DigiZone.cz: Rapl: seriál, který vás smíří s ČT

Rapl: seriál, který vás smíří s ČT

Vitalia.cz: Studie porovnávala efekt homeopatie

Studie porovnávala efekt homeopatie

Lupa.cz: Patička e-mailu závazná jako vlastnoruční podpis?

Patička e-mailu závazná jako vlastnoruční podpis?

Vitalia.cz: Muž, který miluje příliš. Ženám neimponuje

Muž, který miluje příliš. Ženám neimponuje

Lupa.cz: Jak se prodává firma za miliardu?

Jak se prodává firma za miliardu?

Lupa.cz: Cimrman má hry na YouTube i vlastní doodle

Cimrman má hry na YouTube i vlastní doodle

Vitalia.cz: Voda z Vltavy před a po úpravě na pitnou

Voda z Vltavy před a po úpravě na pitnou

DigiZone.cz: Ginx TV: pořad o počítačových hráčích

Ginx TV: pořad o počítačových hráčích

DigiZone.cz: Na jaká videa se vlastně díváme

Na jaká videa se vlastně díváme

Podnikatel.cz: Babišovi se nedá věřit, stěžovali si hospodští

Babišovi se nedá věřit, stěžovali si hospodští

Lupa.cz: Další Češi si nechali vložit do těla čip

Další Češi si nechali vložit do těla čip

DigiZone.cz: DVB-T2 ověřeno: seznam TV zveřejněn

DVB-T2 ověřeno: seznam TV zveřejněn

DigiZone.cz: Světový pohár v přímém přenosu na ČT

Světový pohár v přímém přenosu na ČT

Lupa.cz: Hackeři mají data z půlmiliardy účtů Yahoo

Hackeři mají data z půlmiliardy účtů Yahoo

Vitalia.cz: Fyzioterapeutka: Chůze naboso? Rozhodně ano!

Fyzioterapeutka: Chůze naboso? Rozhodně ano!

Vitalia.cz: Tohle jsou nejlepší česká piva podle odborníků

Tohle jsou nejlepší česká piva podle odborníků

Podnikatel.cz: Znáte už 5 novinek k #EET

Znáte už 5 novinek k #EET