Bezpieczeństwo, prywatność, przetrwanie

Żyjemy szybko, pragniemy za wszelka cenę wygody. Otaczamy się miliardem elektronicznych gadżetów, Instalujemy na swoich urządzeniach setki aplikacji, przekazujemy swoje sekrety platformą społecznościowym. Bo tak należy, bo tak trzeba, bo tak wygodnie, bo tak jest trendy. Bo niechcemy odstawać od innych. Bo liczymy na profity. Dzień za dniem docierają do nas informacje o wyłudzeniach, kradzieżach, szantażach. Ignorujemy to. To dotyczy innych, nie nas. To inna bajka....

To zrozumiale, pragniemy wygody, pragniemy beztroski. Chcemy wierzyć, i niejednokrotnie wierzymy, że wszystkie te skomplikowane mechanizmy dzisiejszej techniki są bezpieczne, oferują nie tylko łatwy sposób komunikacji, ale także zapewniają nam prywatność. Pragniemy by technika była smart. Myślała za nas, chroniła nas przed naszymi własnymi decyzjami. Pragniemy żeby było szybko, bezproblemowo, łatwo.. Pragniemy wierzyć że bezpieczeństwo, prywatność idzie z tym w parze. Być może tak właśnie było by w idealnym świecie. Jednak nie żyjemy w idealnym świecie. Bezpieczeństwo, prywatność zazwyczaj nie idzie w parze z wygodą. Choć dostawcy rozwiązań starają się abyśmy w to uwierzyli.

Żyjemy w świecie coraz lepiej zabezpieczonych urządzeń, jednak jak pokazuje codzienna praktyka, wszystkie te zabezpieczenia na nic się nie przydadzą, w obecności zdeterminowanego użytkownika (te cholerne załączniki z banku nie mogę otworzyć przez ten durny antywirus , a wiec go wyłączę). Jak się potem okazuje załączniki przysłał nie bank tylko agresor.

James Comey, były dyrektor FBI w swojej książce " Wyższa Lojalność " wspomina ze nie tyle ucieczka Edwarda Snowden’a była bolesna dla amerykańskich władz, ile fakt że ludzie, w tym firny takie jak Google czy Apple, zaczęły używać silnego szyfrowania. Dla administracji, dla FBI a nawet NSA był to bardzo duży problem. Comey nawet po latach emocjonalnie odnosi się do kwestii szyfrowania. Comey wspomina jednak, ze powstał zespól, którego zadaniem było rozwiązanie tego problemu wspólnie z powyższymi firmami. Można się tylko domyślać skutków takich wspólnych narad.

SNOWDEN COMEY

Jak pokazuje historia, nie trzeba dopuszczać się czynów zabronionych, aby znalesc się w kręgu zainteresowania. Wystarczy nieodpowiedni wpis w mediach społecznościowych, negatywny komentarz, znajomość choć by przypadkowa z osobą będąca w kręgu zainteresowania, najzwyklejsza pomyłka... A może zdarzyć się i tak że spotkamy się z samowolnym, nadużyciem uprawnień urzędnika bądź funkcjonariusza. Nie mówiąc już o sytuacji w której znajdziemy się na terytorium państwa nadmiernie zainteresowanego prywatnym życiem obywateli. Jednak Organy administracji państwowej nie stanowią tak dużego zagrożenia, jak osoby działające dla zysku. Często zbierają one informacje na temat celu aby stworzyć z nich pełną tożsamość. Tożsamość ta posłuży następnie do spersonalizowanego ataku. Chociaż by wyłudzenia kredytu. Dlatego tak ważna staje się w obecnych czasach ochrona prywatności

Twierdzisz że nie masz “nic do ukrycia”? Więc zapewne nie będziesz miał nic przeciwko temu, by w twoim mieszkaniu zainstalowano ogólnodostępny podgląd video. Nawet w toalecie. Nie masz nic do ukrycia, a więc opublikuj w mediach społecznościowych stan swoich finansów. Nie masz nic do ukrycia, w więc upubliczni wszelką prywatną korespondencje, adres zamieszkania, numer telefonu. Koniecznie też wymontuj rolety z okien. Odsłoń firany. Przecież nie masz nic do ukrycia.

POCZTA ELEKTRONICZNA
To prawda ze usługa poczty elektronicznej od Google jest wygodna. Wartością dodaną jest znakomitej jakości filtr antyspamowy. Pozytywnego obrazu dopełniają zaawansowane opcje zabezpieczeń. Jednak, jak powszechnie wiadomo, firma Google jest bardzo zainteresowana działaniami użytkownika. Jeżeli potrzebujemy zwiększonej dozy prywatności podczas korzystania z poczty elektronicznej, warto rozważyć rozwiązania nieco bardziej szanujące prywatność. Jednym z takich rozwiązań jest usługa ProtonMail oferowana przez szwajcarską firmę Proton.

Według serwisu kapitanhack, takie właśnie dane zbiera Google o swoich zalogowanych użytkownikach.

W celu powiększenia klikni w obraz. Dotyczy to wszystkich obrazków na blogu.

Nawet w wersji bezpłatnej, ProtonMail oferuje szyfrowanie wiadomości. Wszystkie wiadomości w skrzynce są przechowywane w formie zaszyfrowanej. Także wymiana wiadomości pomiędzy użytkownikami usługi odbywa się z zastosowaniem szyfrowania,. Ważną kwestią jest to że serwery poczty elektronicznej firmy Proton znajdują się fizycznie w Szwajcarii. Jeżeli wierzyć firmie Proton, serwery znajdują się w bunkrze przeciw atomowym w wydrążonej górze w Alpach. Każda prośba o dostęp do danych użytkownika, niezależnie z jakiego kraju by pochodziła, jest rozpatrywana przez szwajcarski sąd. Nawet jeżeli sąd zaakceptuje prośbę, jedyna rzeczą jaka otrzyma pytający będą podstawowe informacje, nie zaś sama treść wiadomości.

Jeżeli jesteś działaczem społecznym, dziennikarzem, politykiem, prawnikiem, usługa ProtonMail może być dla ciebie dobrym rozwiązaniem. Należy zaznaczyć że firma Proton zdecydowanie negatywnie odnosi się do terroryzmu, morderstw, czy też seksualnego wykorzystywania nieletnich. I jak sama podkreśla, w takich przypadkach będzie współpracowała z właściwymi instytucjami.

PHISHING – ŁOWIENIE OFIAR
Nawet najbardziej bezpieczna usługa poczty elektronicznej, Nawet najbardziej szanujący prywatność komunikator, system operacyjny, czy inne rozwiązanie mające w swojej nazwie słowa „bezpieczny, prywatny” - na nic się zda, jeżeli będziemy otwierać wszelkie załączniki zawarte w nawet najbardziej absurdalnych wiadomościach. Jeżeli bezmyślnie będziemy klikać w linki. Dzień za dniem, godzinna za godziną tysiące komputerów należących zarówno do organizacji, jak też osób prywatnych, zostaje zainfekowanych złośliwym oprogramowaniem zwanym ransomware. Oprogramowanie to szyfruje dane na dysku, a następnie żąda za odszyfrowanie zapłaty. Taki stan rzeczy możliwy jest, pomimo wdrożonych zabezpieczeń, ponieważ to użytkownik otwiera załączniki dostarczane w wiadomościach. To użytkownik klika na przesyłane w wiadomościach linki. To użytkownik świadomie wyłącza systemy zabezpieczeń. Byle by tylko otworzyć plik, otworzyć link.

Napastnicy uderzają bowiem w najniższe warstwy ludzkiej psychiki. W emocje. Wywołują obawy, lęk, troskę, poczucie winy, szafują modelem autorytetu, ale także żerują na naturalnej ludzkiej chęci pomnażania dóbr materialnych. Zestresowany, zagoniony, wystraszony człowiek czasami skłonny jest podejmować decyzje, których nie podjął by w innych okolicznościach. Okrzyknięty „najbardziej znanym hakerem świata” Kevin Mitnick w swoich książkach wprost piszę: „łamałem ludzi a nie hasła”.

Przykład wiadomości pishingowej. Zwróćmy uwagę na adres w linku.,
Jest on tylko z pozoru identyczny z orginalnnym. literę a zamieniono na q. W treści podano informację o rzekomym kredycie. Aby zapoznać się ze szczegółami należy klinkąć w link. Link prowadzi do sfałszowanej strony banku. Gmail automatycznie przeniósł wiadomość do folderu SPAM. Już sam ten fakt powinien skłonić odbiorcę do potraktowania takiej przesyłki jak śmiecia. Chyba że lubimy szperać w śmieciach.

Ransomware nie jest jedynym typem złośliwego oprogramowania. Napastnicy równie dobrze mogą próbować nakłonić nas do interakcji w celu infekcji tak zwanym trojanem bankowym. Powodzeniem cieszą się również aplikacje których zadaniem jest przejęcie naszego urządzenia a co za tym idzie także łącza internetowego, do celów przydatnych napastnikowi. Uczynienie z naszego komputera swojego rodzaju „niewolnika”, umożliwi agresorowi popełnianie czynów zabronionych. Za czyny te, my poniesiemy konsekwencje.

Plik zip przesłany w wiadomości zawierał odpowiednio przygotowany dokument MS Word.
Otwarcie pliku „Polisa.docs” a następnie potwierdzenie chęci włączenia obsługi makr,
skutkowało po pewnym czasie zaszyfrowaniem plików na dysku oraz żądaniem złożenia okupu.
Plik graficzny zamieszczony był tylko w celach dezinformacji.

Od pewnego czasu dużym powodzeniem wśród napastników cieszą się programy wykradające zapisane przez użytkownika dane uwierzytelniające - takie jak nazwy, hasła, ciasteczka. Niektóre z tych programów, zwanych przez specjalistów stealerami, potrafią znacznie więcej - choćby odczytać zawartość schowka. W schowku bowiem może znajdować się skopiowane przez użytkownika hasło dostępu.

Nie sposób wymienić wszystkich możliwych wariantów działania złośliwego oprogramowania. Jednak nie zawsze załączony plik zawiera niepożądany kod wykonywalny. Zdarzają się wiadomości zawierające spersonalizowane faktury czy to za energię elektryczną, czy to za gaz. W treści takiej wiadomości widnieją autentyczne dane personalne odbiorcy. Faktura zawiera wszelkie prawdziwe dane, prócz jednego szczegółu — rachunku bankowego na który należy dokonać wpłaty.

Autentyczna wiadomość pishingowa. W załączniku plik Polisa.zip

Jeżeli nie zaciągałeś kredytu w danym banku nie wahaj się usuwać wiadomości świadczących że jednak taki kredyt został ci przyznany. W wypadku wątpliwości skontaktuj się z bankiem pod numerem podanym na rewersie karty płatnicze lub też na stronie banku. Co ważne, najlepiej aktualny adres kontaktowy sprawdzać na odrębnym urządzeniu, bowiem dane podane w mailu mogą być umyślnie zmodyfikowane, a system operacyjny który został skompromitowany może generować fałszywe strony banku.

Powyższe zalecenia mają także zastosowanie w przypadku napływających faktur za rzekome usługi. Zweryfikuj kwotę faktury oraz rachunek wystawcy u samego źródła. Jeżeli podczas rejestracji u usługodawcy nie podawałeś danego adresu mailowego — niech będzie to dla ciebie pierwszym sygnałem ostrzegawczym. Zaleca się tworzenie skrzynek mailowych na zasadzie każda do jednej usługi.

WIADOMOŚĆ TEKSTOWE
Uważnie czytajmy wiadomości tekstowe jakie otrzymujemy. Od pewnego czasu bardzo popularna metodą stosowana w celu ograbienia nas z pieniędzy są właśnie smsy. Rzeczą charakterystyczna jest to, ze każda taka wiadomość tekstowa zawiera link. Podobnie jak w przypadku poczty elektronicznej, treść wiadomości skonstruowana jest w taki sposób aby wzbudzić w nas określone emocje. Ciekawość, obawa, lęk, pragnienie pomnożenia zasobów finansowych, niska świadomość mechanizmów określonych rozwiązań, ignorancja...To płaszczyzny na których działają napastnicy.

Wiadomość tekstowa której zadaniem jest nakłonić nas do określonego działania może zawierać informację to o zaległościach, o konieczności dopłat, o usunięciu naszego konta z serwisów społecznościowych... Wspólną cecha tego typu ataków jest link podany w wiadomości. To co Mozę uśpić nasza czujność to fakt że rzeczywiście możemy oczekiwać na przesyłkę, pieniądze czy informacje od określonej instytucji. Wówczas łatwo nie dostrzec różnic pomiędzy prawdziwym a fałszywym linkiem. Dobrym rozwiązaniem jest zignorowanie tego typu wiadomości. Wszelkie wątpliwości wyjaśniajmy przez oryginalna stronę danego podmiotu, telefonicznie bądź tez osobiście.

Przykłady pishingowych wiadomości sms

POŁĄCZENIA GŁOSOWE
Zapamiętajmy również że w polu   nadawcy wiadomości, może widnieć autentyczny numer organizacji, jednak sama wiadomość być fałszywa.   technika ta nazywana jest spofingiem. Jest to możliwe dzięki usłudze tak zwanych bramek, dzięki którym istnieje możliwość nie tylko wysyłania wiadomości tekstowych jako dowolny nadawca, ale również wykonywania połączeń głosowych . Gdy napastnik, w polu nadawca wpisze numer 12345678 a mamy ten numer zapisany w kontaktach pod nazwa Bank, Szef, Policja lub choćby Babcia, ukaże nam się ze właśnie dzwoni do nas Bank, Szef, Policja lub Babcia. Po odebraniu połączenia możemy być poproszeni o określone działania czyli na przykład instalacje oprogramowania, udostępnienie określonych informacji, przekazanie pieniędzy. Bardzo często prośbie towarzyszy groźba. Jeżeli nie będziemy postępowali zgodnie z instrukcjami to....

Dzwoniący aby uwiarygodnić swoją osobę, może posłużyć się autentycznymi personaliami pracowników organizacji. Dane te pozyskiwane są z oficjalnych stron internetowych, mediów społecznościowych, wycieków informacji.

Przygotujmy się że napastnik już na początku rozmowy zacznie nas przestrzegać przed zakończeniem połączenia. Możemy wiec usłyszeć ze jeżeli rozłączymy się to wówczas... i tu następuję groźba.

Nie dajmy się zastraszyć. W przypadku wystąpienia   tego typu zdarzenia, a w szczególności gdy mamy jakiekolwiek podejrzenia, rozłączny się a następnie wykonajmy sami połączenie do stosownej instytucji bądź osoby. Co   ważne, połączenie   najlepiej wykonać z telefonu komórkowego.

Wydawać by się mogło, ze ponieważ zarówno środki masowego przekazu, jak tez specjaliści bezpieczeństwa teleinformatycznego bezustannie informują o tego typu zdarzeniach, skuteczność ataków maleje. Jednak statystyki pokazują ze ataki te, w dalszym ciągu zbierają żniwo. Dziesiątki, jeżeli nie setki, osób dziennie na terenie naszego kraju traci duże kwoty. Czasami dorobek całego życia. Pamiętajmy o tym.

SIM- SWAPPING
Miejmy na uwadze ze agresor wykorzystując wiedze z zakresu psychologii społecznej, może nakłonić naszego operatora usług telefonii komórkowej by ten wydal mu duplikat naszej karty sim. Wówczas, wszelkie wiadomości tekstowe także te z kodami autoryzacyjnymi otrzyma napastnik. Znając nasz login i hasło do bankowości elektronicznej, bez problemu   ograbi nas z wszystkich pieniędzy.

Jeżeli technika ta zostanie użyta w stosunku do nas, nie będziemy mogli odbierać ani też wykonywać połączeń. Utracimy także łączność internetową. Nie wyślemy ani nie obierzemy wiadomości tekstowych. I właśnie brak możliwości wykonywania połączeń, powinien być dla nas sygnałem ostrzegawczym. Problem nie jest wydumany. Tylko w samych stanach zjednoczonych w roku 2021 zanotowano prawie 1700 tego typu przypadków. Stosując SIM- Swapping, wyprowadzono z kont ponad 62 miliony dolarów. To co możemy zrobić, to chronić nasze dane osobowe w tym numer telefonu przeznaczony do autoryzacji transakcji. ponieważ to na ich podstawie napastnicy uzyskują możliwość otrzymania duplikatu karty sim. Pamiętajmy również o tym aby nie rozgłaszać stanu naszych finansów.

KOMUNIKATORY
Jeżeli korzystasz z komunikatora, a cenisz sobie prywatność rozważ użycie aplikacji Signal. W przeciwieństwie do większości popularnych komunikatorów, Signal nie jest zachłanny na dane użytkownika. Rozbudowane opcje prywatności, czynią ten komunikator bardzo dobra alternatywą dla innych tego typu rozwiązań. Porównanie polityki prywatności kilku popularnych komunikatorów z Signalem zaprezentowano w tabeli poniżej. tabel pochodzi ze sklepu Apple.

Rozbudowane opcje prywatności, czynią ten komunikator bardzo dobrą alternatywą dla popularnych komunikatorów. Signal znakomicie radzi sobie nawet na starszych urządzeniach mobilnych. Instalacja Signala może przebiegać poprzez sklep internetowy (np. Google Play) lub też, a jest to opcja dla zaawansowanych użytkowników, przez ręczną instalację pliku.

Jeżeli jednak potrzebujemy komunikatora o znacznie podwyższonej dozie prywatności, celującym wyborem będzie Briar. Komunikator ten korzysta z sieci TOR NETwork. Briar nie korzysta z serwerów dostawcy usługi. Komunikacja odbywa się na zasadzie uzytkownik-uzytkownik. Jest silnie szyfrowana. Komunikator ten nie wymaga podania podczas instalacji ani numeru telefonu, ani też adresu email.

Kontakty dodaje się "parując" urządzenia np za pomocą kodów QR. Briar może być używany nawet bez dostępu do sieci. Wówczas komunikacja odbywa się albo z przez WIFI lub tez Bluetooth. Komunikator ten może być bardzo przydatny dla dziennikarzy, polityków, działaczy społecznych, adwokatów. Decydując się na komunikator Briar warto zaopatrzyć się w odrębne urządzenie przeznaczone wyłącznie do komunikacji przez omawiany komunikator. . Zważywszy na fakt, ze Briar wykorzystywany jest w celu zapewnienia użytkownikowi wysokiego stopnia poufności komunikacji, urządzenie takie powinno zostać odpowiednio przygotowane do współpracy z komunikatorem.

BEZPIECZNIEJSZE POŁĄCZENIE
Rozważmy skorzystanie z usługi VPN. VPN pozwala zwiększyć nie tylko prywatność lecz również podnieść stopień bezpieczeństwa. Szczególnie podczas korzystania z bezprzewodowych sieci WIFI. Opis usługi znajduje się tutaj: https://solderedit.blogspot.com/2021/09/vpn.html

DOSTĘP DO KONT
W obecnych czasach aby zabezpieczyć dostęp do konta poczty elektronicznej, czy też innej usługi, z której korzystamy, nie wystarcza już samo hasło i login. Na skutek tak zwanego wycieku nasze dane uwierzytelniające mogą zostać przechwycone przez osoby do tego nie powołane. Wbrew pozorom, napastnik uzyskując dostęp do naszych kont, może nam bardzo skomplikować życie. Szczególnie, jeżeli jesteśmy tak nie rozsądni by przechowywać w poszczególnych usługach dane wrażliwe. Jeżeli tylko pozwala na to twój dostawca usług z których korzystasz, ustaw podwójne uwierzytelnienie podczas logowania. Choćby za pomocą wiadomości tekstowej z kodem. Jednym z najlepszych rozwiązań jest tak zwany klucz sprzętowy. Choćby Yubikey. Nawet jeżeli nasze dane logowania zostaną skompromitowane, napastnik nie zdoła się zalogować

Różne klucze Yubikey.

Alternatywą dla kodów smsowych może być specjalna aplikacja uwierzytelniająca.

Jedną z nich jest andOTP

PRZECHOWYWANIE DANYCH
Ważne dane, zwłaszcza jeżeli przechowujemy je na wymiennym nośniku pamięci, szyfrujmy. Osoba niepowołana która wejdzie w posiadanie nośnika, nie będzie w stanie wówczas ich wykorzystać. Za pomocą aplikacji VeraCrypt utworzymy silnie zaszyfrowane "pojemniki" w których umieścimy dane.

STARY SPRZĘT
Jeżeli twierdzimy że nikomu na nic się nie przydadzą informacje na naszym starym urządzeniu którego postanowiliśmy się pozbyć, może okazać się że będziemy musieli skorygować nasze przekonania... Miejmy także świadomość faktu że usuwając plik z nośnika pamięci nie zawsze spowodujemy jego fizyczne zniszczenie. Wiele zależy od konstrukcji samego nośnika. Najpewniejszym sposobem zniszczenia pliku jest zastosowanie specjalistycznej, lecz bardzo prostej w obsłudze aplikacji. Taką aplikacją jest chociażby WipeFile. Oprogramowanie to, bardzo dobrze współpracuje zarówno z dyskami SSD, kartami pamięci, pendriva’mi jak tez standardowymi dyskami. Skuteczne, nieodwracalne usuwanie danych jest wręcz niezbędne w przypadku gdy chcemy pozbyć się urządzenia. Osoba która zdoła odzyskać nasze dane z nośnika, może choćby dla zabawy, umieścić je w sieci.

HASŁA
Jeżeli mamy zwyczaj, dla wygody, przechowywania haseł w pliku tekstowym na pulpicie naszego komputera, to powinniśmy zdać sobie sprawę że nie jest to optymalne rozwiązanie. Nieco lepszym (z naciskiem na nieco) jest przechowywanie haseł w managerach haseł. Pamiętajmy by do każdej usługi bądź systemu, używać odmiennych danych logowania. Często zdarza się, że w wyniku wycieku, dane uwierzytelniające zostają wykorzystane w celu przejęcia kont. jeżeli hasła będą różne od siebie, wówczas utracimy kontrole nad jednym a nie nad wieloma kontami.

Trzydzieści najpopularniejszych w Polsce haseł według CERT.
Takie hasła łatwo odgadnąć. Źródło: CERT

Pamiętajmy także o systematycznej zmianie haseł. Czynność ta, choć przez wielu ignorowana, a nawet wyśmiewana, może uchronić nas przed przykrymi konsekwencjami, w przypadku gdy nie dysponujemy takimi technologiami jak klucze sprzętowe. Obecnie hasła, dostawcy usług najczęściej przechowują w specjalnej zaszyfrowanej formie. Nie są w tym miejscu istotne szczegóły techniczne, zapamiętajmy tylko ze nawet hasła przechowywane w takiej formie, mogą zostać „odgadnięte”. Jest to czynność czasochłonna ale możliwa. Od złożoności hasała zależy czas "odgadywania". Jeżeli nasze hasła będą dość złożone, a przy tym regularnie zmieniane,     wówczas nawet w przypadku gdy nastąpi wyciek danych uwierzytelniających, napastnik nie zdoła odgadnąć hasła zanim ustanowimy nowe.

KOPIE ZAPASOWE
Twórzmy kopie zapasowe. Kopie powinny być przechowywane na kilku odrębnych nośnikach pamięci. Jeżeli nawet utracimy w wyniku awarii, działań osób trzecich, lub złośliwego oprogramowania,   aktualne dane, będziemy jednak dysponowali kopią nieco starszych. Znacznie łatwiej i prościej jest uaktualnić posiadane informacje, niż tworzyć je na od samego początku.

KAMERKI
Jeżeli nie używamy kamery internetowej pomyślmy o jej odłączeniu bądź też zaklejeniu obiektywu czarną taśmą izolacyjną. W przeciwnym bądź razie ryzykujemy, że najbardziej intymne chwile naszego życia, staną się również udziałem osób trzecich. Każdy człowiek ma własne przyzwyczajenia, nie koniecznie zrozumiałe dla innych, czy chciałbyś by twoje rytuały stały się powodem do drwin? Nie tyle chodzi o to że napastnik niepostrzeżenie włączy kamerkę aby następnie szantażować użytkownika “przyłapanego” na dosyć osobliwych zachowaniach. Jest to możliwe, jednak bardziej prawdopodobne jest że w wyniku   systemowego konfliktu, lub też przez zwykłą pomyłkę urządzenie rozpocznie prace samoistnie udostępniając obraz.   Napastnicy, najczęściej wykorzystują obraz z kamery w celu ustalenia obecności osób w danym pomieszczeniu. Może to być przydatne do przeprowadzenia fizycznego włamania. Jeżeli twierdzimy że proceder ten jest rzadko spotykany, warto odwiedzić portal shodan.io . Jednym z najczęściej poszukiwanych urządzeń sieciowych są właśnie kamery internetowe. Zaklejając kamerę w laptopie lub też odłączając ją od komputera stacjonarnego, miejmy świadomość że w urządzeniu mobilnym znajdują się również obiektywy kamer. A przecież urządzenia mobilnego używamy wszędzie.

TELEFONY /TABLETY
Urządzenia mobilne opanowały nasz świat. Powierzamy im nasze zdjęcia, dokumenty, sekrety. Używamy do bankowości elektronicznej. Do kontaktów zawodowych, biznesowych, rodzinnych. Traktujemy jako źródło rozrywki, wiedzy, edukacji. Czy jednak jesteśmy w pełni świadomi ze to właśnie te urządzenia stanowią prawdziwa kopalnie wiedzy o nas samych? Osoba nie uprawniona która uzyska dostęp do naszego urządzenia mobilnego, uzyska również dostęp do wszelkich danych na nim zgromadzonych. Złośliwy Napastnik korzystając z naszego urządzenia, może zafundować nam wizytę odpowiednich służb. Jednak bardziej prawdopodobne jest ze będzie usiłował wykorzystać nasze urządzenie w celu uzyskania dostępu do bankowości elektronicznej. Stosując odpowiednie rozwiązania, w wielu przypadkach możliwe jest odzyskanie usuniętych plików. Należy również pamiętać ze spora część mobilnych aplikacji przechowuje w urządzeniu informacje związane z przetwarzanymi danymi użytkownika Może to być zarówno historia otwieranych plików, miniatury przeglądanych obrazów a nawet rozmowy prowadzone przez komunikator. Do tego typu plików użytkownik, z reguły, nie ma dostępu. Jednak odpowiednio wyposażony napastnik jest w stanie wydobyć z naszych urządzeń tego typu pliki.

Pamiętajmy również by oddając urządzenie do naprawy, jeżeli jest to tylko możliwe, usunąć z niego wszelkie istotne dane a także, jeżeli nasze urządzenie podpięte jest do któregoś z kont usług internetowych, o jego odpięcie. Najlepiej jeżeli przywrócimy urządzenie do ostawień fabrycznych. Co prawda, ponowna konfiguracja zajmie trochę czasu, jednak może uchronić nas przed przykrymi doświadczaniami choćby takimi jak opisana tutaj:

Kradzieże, zagubienia urządzeń mobilnych są na porządku dziennym. Czy jesteśmy w stu procentach pewni że nas to nigdy to nie spotka? Jeżeli jeszcze tego nie zrobiliśmy, zaszyfrujmy nasze urządzenie mobilne wraz z kartą pamięci. W przypadku gdy nasze urządzenie dostanie się w niepowołane ręce, informację na nim pozostaną bezpieczne. Pamiętajmy również o włączeniu odpowiedniego sposobu dostępu do urządzenia. Biometria, czyli np odcisk palca, nie jest tu najlepszym rozwiązaniem. Badacze zabezpieczeń, wielokrotnie udowadniali że tego typu mechanizmy mogą zostać w łatwy sposób zneutralizowane. Jeżeli mamy tajemnice które chcemy ukryć przed przyjaciółmi bądź też osobami bliskimi, obejście tego typu zabezpieczeń będzie bardzo proste. Podczas naszego snu „ciekawski” po prostu przyłoży nasz palec do czytnika. W podobny sposób może zostać ominięte zabezpieczenie polegające na skanowaniu tęczówki. Znakomitym sposobem jest ustanowienie standardowego hasła.

Uczestniczymy w różnych wydarzeniach. Wiele z nich to sytuacje wrażliwe. Czasami ujawnienie samego faktu zaistnienia wydarzenia, mogło by przysporzyć nam wielu problemów. Warto zapamiętać że przycisk wyłącznika , czy to fizyczny czy wyświetlany . na ekranie, nie odcina napięcia zasilania. Przycisk ten jest po prostu jedną z opcji oprogramowania. Oprogramowanie monitorujące może przejąć kontrole nad naszym urządzeniem. Wówczas „przycisk” nie wyłączy urządzenia, choć odniesiemy wrażenie że tak się stało. Jeżeli podejrzewamy że nasze urządzenie może zostać zainfekowane programem monitorującym, pomyślmy o urządzeniu z możliwością odjęcia akumulatora.

Czy zawsze potrzebujemy usługi lokalizacyjnej? Czy zawsze musimy posiadać włączony moduł GPS? Czy aby napewno naszą lokalizacje powinien znać cały świat?

WIFI
Jesteśmy bardo przyzwyczajeni do sieci bezprzewodowych. Korzystamy z wifi bez większych oporów. To bardzo wygodne rozwiązanie. Co bowiem może nam grozić? Przecież dostęp do sieci chroniony jest hasłem. Po co w ogóle ktokolwiek chciałby uzyskać dostęp do naszego wifi? Jeżeli samo przechwycenie naszej komunikacji wifi było by rzeczą mocno problematyczną, to już uzyskanie dostępu, mogło by stanowić znacznie mniejszy problem. Ale ponownie powstaje pytanie: Po co?   Przede wszystkim w celu popełniania czynów zabronionych.

Tym sposobem napastnik ukrywa swoja tożsamość. Odwraca od siebie uwagę kierując cień podejrzeń na inne osoby. Wszystkie czyny jakie popełni trafią na nasze konto.    Historia zna bardzo wiele przypadków w których, osoby zupełnie nie winne były posądzane o dokonywanie czynów takich jak pedofilia, groźby karalne, szantaże.... Jeżeli chcemy zminimalizować ryzyko, dobrym pomysłem była by całkowita rezygnacja z wifi. Jednak nie zawsze jest to możliwe. Postarajmy się zatem choćby o okresowa zmianę hasła sieci. Hasło powinno być skomplikowane. To właśnie od komplikacji hasła, zależy czy napastnik w realnym czasie zdoła je „odgadnąć”.

Wiele osób, przeważnie dla własnej wygody, zmienia nazwę sieci bezprzewodowej. Tak więc bardzo często możemy napotkać nazwy takie jak: Kuchnia, Ewa, drukarka, biuro, sala1. Często jest jeszcze gorzej, ponieważ użytkownicy pozostawiają domyślą nazwę urządzenia. Napastnik bez uruchamiania specjalnych programów, od razu wie czego się spodziewać. Praktycznie bez wkładu własnego, otrzymuje istotne informację o sieci. Sami oszczędzamy mu pracy.

Czasami, by zabłysnąć swoją (nie)wiedzą , użytkownicy nadają nazwy takie jak: "nigdy się nie dostaniesz", "siec hackera" lub "supersecurity". Jest to jawna prowokacja. Nawet jeżeli faktycznie napastnik nie zdoła przeniknąć do sieci, może    skutecznie zakłócić jej działanie. Wówczas właściciel sieci   "sieć hackera" będzie zmuszony zweryfikować swoje mniemanie o sobie samym.

Jak na dłoni widać gdzie jest drukarka a gdzie portiernia.

Konieczna jest również właściwa konfiguracja urządzeń sieciowych (czyli np routera). Jeżeli nie czujemy się na siłach aby samodzielnie wykonać powyższe czynności, poprośmy o pomoc informatyka specjalizującego się w sieciach. Jeżeli mamy na swoim urządzeniu zapisane sieci z których nie korzystamy, najlepiej je usuńmy.

KARTY ZBLIŻENIOWE

Powszechnie korzystamy z elektronicznych kart dostępu z wbudowaną technologią bezprzewodową. Bankowość, kontrola dostępu, identyfikacja to główne obszary zastosowań. Czy jednak mamy świadomość, ze stosując odpowiednie urządzenia, istnieje możliwość odczytu a w niektórych przypadkach modyfikacji danych? To prawda że napastnik może nam zagarnąć środki przez umieszczenie terminala w pobliżu naszego portfela. Jednak ze względu na szereg niedogodności, metoda ta nie jest wykorzystywana na masową skale. Jeżeli chcemy zminimalizować ryzyko związane z kartami zbliżeniowymi, dobrym pomysłem będzie zakup dedykowanego, metalowego etui. Natomiast zbliżeniowe transakcje płatnicze, możemy zabezpieczyć kodem pin. Sami musimy podjąć decyzje, co jest dla nas priorytetem: wygoda czy bezpieczeństwo. Te dwie rzeczy zdaniem specjalistów są ze sobą sprzeczne

Aplikacje takie jak NFC Tools umożliwiają nie tylko odczyt, ale także klonowanie tagów zbliżeniowych

OPROGRAMOWANIE

Instalując oprogramowanie postarajmy się by pochodziło ono ze sprawdzonych źródeł. Jeżeli nie jesteśmy pewni danego pliku, możemy skorzystać z portalu Virustotal w celu przeskalowania pliku pod względem bezpieczeństwa użytkowania. Jednak skanowanie plików zawierających prywatne dane nie jest dobrym pomysłem. Pamiętajmy ze Portal Virustotal, podobnie jak i inne systemy detekcji zagrożeń, nie jest w stanie zapewnić nas o stuprocentowy bezpieczeństwie pliku. Instalacja oprogramowania na urządzeniach mobilnych, poprzez tak zwane "sklepy” również nie zwalnia nas od myślenia. Pomimo szczerych chęci usługodawcy, np Google, zdarzały się przypadki zamieszczania w takich "sklepach" złośliwego oprogramowania. Prócz swojej podstawowej funkcjonalności, wykonywały one złośliwe czynności. Dobrym sposobem weryfikacji mogą być zamieszczane komentarze użytkowników.

Pamiętajmy także że to, że pewne programy są bardziej znane niż inne, nie oznacza że są one lepsze, bardziej wydajne, bezpieczniejsze. W wielu przypadkach jest wręcz przeciwnie. Jednym z najczęściej a zarazem najbardziej newralgicznym programem jaki używamy zarówno na urządzeniach mobilnych jak też stacjonarnych, jest przeglądarka internetowa. Nie wchodząc w szczegóły, warto tylko zapamiętać że od ustawień tej aplikacji zależy nasza prywatność oraz bezpieczeństwo. Niewłaściwie skonfigurowana przeglądarka, może przyczynić się do poważnych problemów. Źle skonfigurowana przeglądarka, to prawdziwa kopalnia informacji o użytkowniku.

Plagą ostatnich miesięcy są kampanie wykorzystujące wizerunki znanych marek bądź też osób, aby nakłonić użytkownika do interakcji. Działa to w ten sposób: poszukujemy programu. Machinalnie wpisujemy w wyszukiwarkę jego nazwę, i klikamy w jeden z pierwszych wyników. Często trafiamy nie na stronę twórców programu, lecz zupełnie inną. Napastnicy postanowili wykorzystać nasze odruchowe działanie. Tworzą strony łudząco podobne do oryginalnych. Następnie umieszczają tam plik o nazwie identycznej z originałem. Plik ten jest zawiera w sobie złośliwy program. Uruchomienie skutkuje zazwyczaj przejęciem komputera przez napastnika. Bardzo dobrą obroną przed tego typu zdarzeniami jest wcześniejsze dodanie odpowiedniej zakładki (czyli skrótu) do danej strony.

Uważajmy podczas wyszukiwania programów bądź też sterowników.
Nie wszystkie linki prowadzą do stron producentów.

Odmianą opisywanej metody jest zamieszczanie ramek reklamowych. W treści ramki zawarte są sensacyjne nagłówki. Choćby "Banki szykują zamach". Po kliknięciu, zostaniemy przeniesieni na stronę do złudzenia przypominając znany portal, choćby WP. Jedną z takich ramek zaprezentowano poniżej. Z tekstu pod zdjęciem, dowiemy się że polityk gościł u znanego prezentera i właśnie tam zdradził że dorobił się na krypto walutach.

Użyte logotypy znanego portalu, znane nazwiska mają za zadanie wzbudzić zaufanie. Jednak tym co często wyłącza prawidłowe rozeznanie sytuacji jest informacja o niewyobrażalnych wręcz pieniądzach jakie można zarobić. I nie ma znaczenia że portal WP z tym tekstem nie ma nic wspólnego. Banki nie planują zamachu, a polityk niczego o czym mowa w tekście nie powiedział. Wiele osób straciło duże kwoty ponieważ uwierzyło tego typu reklamą.

To nie jest strona Wp.pl

ZIELONA KŁÓDKA
Możemy natknąć się na informacje że zielona kłódka umieszczona przed adresem strony oznacza ze strona którą przeglądamy jest rzetelna, bezpieczna i z cala pewnością nic złego nie może nam się przytrafić.

Kłódka i wyraz HTTPS oznacza jedynie że połączenie ze stroną jest szyfrowane.
Nie oznacza jednak rzetelności.

Nie jest to prawdą. Nie wdając się w szczegóły techniczne:   kłódka lub wyraz https w adresie strony, świadczy tylko i wyłącznie o tym że połączenie jest szyfrowane. Jeżeli trafimy na stronę agresora, zapewne także będzie tam kłódka i wyraz https. Dane jakie przekażemy napastnikowi popłyną do niego w formie zaszyfrowanej. W bezpieczny sposób przekażemy agresorowi nasze dane.

INFORMACJE O NAS SAMYCH
Wiele osób automatycznie, bez namysłu, podaje swoje dane personalne   każdej instytucji jaka ich tylko o to poprosi. Nie jest tajemnicą że dane te są, często, przekazywane odpłatnie podmiotą trzecim. I właśnie tutaj należy przede wszystkim szukać źródła wiadomości i połączeń reklamowych.

Pamiętajmy by przebywając w publicznych środkach transportu takich jak autobusy, pociągi, tramwaje, zachować szczególna ostrożność w omawianiu istotnych spraw. Korzystając w miejscu publicznym z urządzeń przenośnych pamiętajmy również że treści wyświetlane na ekranie mogą zostać podpatrzone. Dobrym rozwiązaniem są tu filtry ograniczające kont widoczności ekranu. Osoba patrząca z boku zobaczy jedynie czarny ekran. Często tego typu filtry nazywane są filtrami prywatyzującymi. Wbrew pozorom nie są to jedynie rozważania czysto teoretyczne.   Prócz napastników którzy obrali sobie za cel właśnie nas ( takie działania noszą nazwę ataku spersonalizowanego) istnieją osoby które czerpią przyjemność z samego faktu niszczenia, nękania, zastraszania. Często osoby te, są na tyle inteligentne by ze skrawków podejrzanych, zasłyszanych informacji zbudować swojego rodzaju obraz ofiary. A następnie przypuścić atak.

Przykład filtru prywatyzującego

Pamiętajmy zatem, by na profilach społecznościowych, forach i ogólnie w internecie, udostępniać jak najmniejszą ilość informacji o nas samych. Widok z naszego balkonu, podawana na bieżąco nasza lokalizacja, nasze zainteresowania, lista znajomych, miejsce naszej pracy, zamieszczane bez głębszej refleksji zdjęcia, nierozważnie podane dane osobowe, błędna konfiguracja profilu.. wszystko to może być bardzo pomocne dla potencjalnego napastnika. Każda informacja może stanowić element układanki. Napastnicy korzystając z ogólnodostępnych źródeł informacji, gromadzą dane na temat celu. Informatycy śledczy określają tego typu działania jako OSINT. Jak pokazuję praktyka, z tego typu źródeł informacji czerpią także wiedzę ograny administracji państwowej takie jak Policja. A nawet komornicy. W Państwach w których obywatel jest raczej przedmiotem niż podmiotem, może to stanowić poważny problem. Zdeterminowany napastnik w wielu przypadkach, precyzyjnie, krok po kroku realizuje swój plan. Pomimo ze rzadko kiedy taki sposób postępowania ma na celu fizyczna eliminacje , specjaliści używają terminu kill chain -Łańcuch śmierci.

Tworząc dokumenty, wykonując fotografie pamiętajmy że mogą one, prócz samej treści, zawierać informacje o autorze, użytym oprogramowaniu, sprzęcie, lokalizacji. Tego typu dane noszą nazwę metadanych. Metadane możemy z reguły edytować, jeżeli nie w samym oprogramowaniu /urządzeniu, to za pomocą odpowiednich aplikacji. W przypadku plików graficznych może to być Irfanview. Jeżeli mamy do czynienia z plikami PDF możemy użyć BeCyPDFMetaEdit.

Umieszczona w metadanych pozycja geograficzna przerzucona choć by do portalu GeoHack umożliwia łatwą identyfikacje miejsca.

Obrazek pozyskany z wyszukiwarki Google. Oprócz samej treści obraz zawiera
również metadane – dane o samym obrazie, w tym pozycje GPS.

Warto zapamiętać że przystojny pan Porucznik Armii Amerykańskiej może okazać się w rzeczywistości zupełnie kimś innym. A przesympatyczna starsza Pani, dwudziestojednoletnim człowiekiem. Stosunkowo łatwo jest zidentyfikować oszustwo. Problem jednak leży w ludzkiej psychice. Wierzymy w to w co chcemy wierzyć. Dobrze jest sięgnąć po wiekowy, lecz znakomity polski film "Tulipan". Korzystając z globalnej sieci miejmy świadomość ze zostawiamy za sobą cyfrowy ślad. Oprócz słynnego IP takim śladem jest nasza mobilność w przypadku korzystania z urządzenia mobilnego, są to również dane logowania do danych usług, dane udostępniane przez przeglądarkę, schematy zachowań a także profil stylometryczny. Sytuacja dramatycznie się pogłębia, gdy będąc zalogowani na konto Google przeglądamy internet.

CHMURA

Czy jesteśmy fascynatami przechowywania wszystkiego co tylko możliwe w tak zwanej "chmurze"? Czyli tak naprawdę gdzieś w nieokreślonym miejscu w internecie. Czy mamy świadomość ze nasze dane powierzamy wówczas komuś zupełnie obcemu? Czy mamy świadomość ze w każdej chwili możemy utracić na zawsze do nich dostęp? Czy mamy świadomość że systemy dostawcy usługi mogą zostać skompromitowane (czyli może nastąpić udane włamanie) a nasze dane ujawnione? Rozlegle organizację są zmuszone do korzystania z rozwiązań "chmurowych". Bardzo trudno było by zapewnić funkcjonowanie organizacji bez scentralizowanego dostępu do danych. Jednak w przypadku mikroorganzacji a w szczególności osób prywatnych, należy się głęboko zastanowić nad zasadnością rozwiązań chmurowych.

ZAKOŃCZENIE

Ignorancja w kwestii bezpieczeństwa oraz prywatności, może kosztować nas wiele. Dzień za dniem przekonują się o tym tysiące ludzi. Powinniśmy wyzbyć się odruchów automatycznych na rzecz świadomych, przemyślanych wyborów popartych rzetelna wiedzą. Jeżeli tak postąpimy, pole manewru dla potencjalnych agresorów znacznie się zmniejszy.

Może wydawać nam się to mało istotne, jednak napastnik który pozyskał nasze dane logowania, może wyrządzić nam poważne szkody. I nie chodzi tu tylko o ewentualne straty finansowe. Utrata zaufania, reputacji czyli de-face, może być równie dotkliwa. Pomyślmy, co stało by się, gdyby ktoś korzystając z naszych kont mailowych napisał do głowy państwa bardzo obraźliwy list z pogróżkami... Nie jest to czysta teoria lecz ostatnio dosyć modna metoda nękania.