5 stvari koje smo naučili o mrežnoj sigurnosti u 2013. godini

Dani davanja informativnih vijesti koji čitav Internet mogu ugasiti jednostavan (ali učinkovit) računalni crv su gotovi, ali to ne znači da sigurnost interneta više nije briga. Prijetnje su postale složenije i, što je još gore, sada dolaze s mjesta koje većina nikada ne bi očekivala - poput vlade. Evo 5 teških lekcija koje smo naučili o mrežnoj sigurnosti u 2013. godini.

Vlada vas promatra ...

Najveća točka razgovora o računalnoj sigurnosti u 2013. godini bila je, naravno, otkrića da su dijelovi vlade Sjedinjenih Država (prije svega Nacionalna agencija za sigurnost) špijunirali građane bez suzdržavanja.

Prema dokumentima koje je procurio bivši izvođač nedržavnih agencija Edward Snowden i pojačana drugim izvorima poput bivšeg dužnosnika NSA Williama Binneya, američke obavještajne službe imaju pristup ne samo telefonskim zapisima i metapodacima društvenih mreža, već također mogu iskoristiti širok spektar usluga, uključujući mobitel pozive, e-poštu i internetske razgovore, bilo putem izravnog prisluškivanja ili putem tajnih naloga.

Što ovo znači za vas? To je teško reći jer NSA inzistira na tome da je tajna nacionalna sigurnost. Iako su pištolji za zviždaljke istaknuli da veličina podatkovnih centara NSA podrazumijeva da vlada bilježi i čuva prilično veliku količinu video i audio podataka, nema načina da se sigurno zna što je zabilježeno i pohranjeno sve dok američki špijunski nastavnici nastave za kamenovanje javnosti.

Zabrinjavajući zaključak je da postoji ništa ne možeš učiniti da osigurate svoju privatnost, jer je opseg do kojeg može biti ugrožen i kako može biti ugrožen samo napola poznat.

... I tako je svima ostalo

Nije samo vlada zainteresirana za špijuniranje ljudi. Pojedinci također mogu koristiti prikriveni video ili audio snimljen s računala žrtve. Često to ima manje veze s prevarom nego što je to slučaj sa podvalama i pornićima, iako se njih dvoje mogu zbližiti.

Podzemni svijet gledanja nesumnjivih žrtava, zvan “ratting” bio je sjajno izložen u članku iz Ars Technica. Iako se uključivanje web kamere neke osobe i njihovo daljinsko snimanje često smatra hakiranjem, to se sada može postići s relativno jednostavnom primjenom programa s imenima poput Fun Manager. Nakon što se klijent klijentima instalira na osobno računalo žrtve, ratteri mogu ući i vidjeti što se događa.

Često, “što se događa” izravno se pretvara u priliku da vide nesavjesne žene s odjevenom odjećom, mada se softver može koristiti i za igranje poteškoća poput slučajnog otvaranja uznemirujućih slika kako bi se vidjela reakcija žrtve. U najgorim slučajevima, štakor se može izravno pretvoriti u ucjenjivanje, jer ratter snima sramotne ili gole slike žrtve, a zatim prijeti da će ih pustiti ako im se ne plati otkupnina.

Vaše lozinke još uvijek nisu sigurne

Sigurnost lozinke uobičajena je briga i to s dobrim razlogom. Sve dok je samo jedan niz teksta sve što stoji između svijeta i vašeg bankovnog računa, čuvanje tog teksta u tajnosti bit će od najveće važnosti. Nažalost, tvrtke koje od nas traže da se prijavimo sa zaporkom nisu zabrinute i gubit ćemo ih alarmantnom brzinom.

Ovogodišnje veće kršenje pripalo je ljubaznošću Adobea, koji je izgubio preko 150 milijuna zaporki u ogromnom napadu koji je također (prema tvrtki) omogućio napadačima da skidaju kod s softverom koji je još u razvoju i ukrao podatke o naplati za neke kupce. Dok su lozinke šifrirane, one su bile svi osigurani korištenjem zastarjele metode šifriranja i istim ključem za šifriranje. Što znači da ih je dekodiranje bilo daleko lakše nego što je trebalo.

Iako su se ranije dogodila slična kršenja, Adobe je najveći po broju izgubljenih lozinki, što pokazuje da ih ima još tvrtke koje sigurnost ne shvataju ozbiljno. Srećom, postoji jednostavan način da saznate jesu li podaci vaše lozinke prekršeni; samo idite na HaveIBeenPwned.com i upišite svoju adresu e-pošte.

Hakiranje je posao

Kako su računala postala složenija, zločinci koji ih žele upotrijebiti kao sredstvo za ostvarivanje ilegalne dobiti također su postali sofisticiraniji. Dani usamljenog hakera hrabro puštaju virus samo da bi vidjeli što se događa i kako se završava, a zamjenjuju ih grupe koje zajedno rade kako bi zaradile novac.

Jedan od primjera je Paunch, haker u Rusiji koji je predvodio prodaju kit za eksploatacije poznat kao Blackhole. Komplet, koji su stvorili Paunch i nekoliko ko-zavjerenika, razvijen je djelomično pametnom poslovnom taktikom. Umjesto da pokuša samostalno smisliti nulti dan, Pauchova je grupa kupovala podvige od nula dana od drugih hakera. Oni su zatim dodani u komplet, koji se prodavao kao pretplata za 500 do 700 dolara mjesečno. Dio zarade ponovno je uložen u kupnju još većih iskorištavanja, što je Blackhole učinilo još sposobnijim.

Ovako djeluje bilo koji posao. Proizvod je razvijen i, ako bude uspješan, dio zarade se ponovno ulaže kako bi proizvod bio bolji i nadamo se privlačniji te još više poslovao. Ponavljajte dok ne obogate. Nažalost za Paucha, ruska policija ga je na kraju utvrdila, a on je sada u pritvoru.

Čak je i vaš broj socijalnog osiguranja nekoliko klikova

Postojanje botneta poznato je već neko vrijeme, ali njihova se upotreba često povezuje s relativno jednostavnim, ali masovnim napadima, poput uskraćivanja usluge Što je DDoS Attack? [MakeUseOf objašnjava] Što je DDoS napad? [MakeUseOf objašnjava] Izraz DDoS zviždi prošlost svaki put kada cyber-aktivizam masovno digne glavu. Ova vrsta napada čini međunarodne naslove zbog više razloga. Pitanja koja ubrzavaju te DDoS napade često su kontroverzna ili izrazito… ili neželjena pošta e-poštom, a ne krađa podataka. Tim tinejdžera hakera na ruskom jeziku podsjetio nas je da mogu učiniti više od toga da ispune naše mape s oglasima Viagra kada su uspjeli instalirati botnet u glavne posrednike podataka (poput LexisNexis) i ukrasti količine osjetljivih podataka.

To je rezultiralo a “servis” nazvao SSNDOB koji je prodavao informacije o stanovnicima Sjedinjenih Država. Cijena? Samo nekoliko dolara za osnovni zapis i do 15 dolara za potpunu provjeru kredita ili pozadine. Tako je; ako ste američki državljanin, vaš broj socijalnog osiguranja i kreditne podatke mogli biste dobiti za manje od cijene obroka u The Olive Garden.

I pogoršava se. Pored pohrane podataka, neke tvrtke za posredovanje podataka koriste se i radi provjere autentičnosti. Možda ste to i sami naišli ako ste ikada pokušali podnijeti zahtjev za kredit da bi vas dočekali poput pitanja, “Kakva je bila tvoja adresa prije pet godina?” Budući da su sami posrednici podataka bili ugroženi, na takva su pitanja odgovarali lako.

Zaključak

2013. godina nije bila sjajna godina za sigurnost na mreži. Zapravo, to je bila pomalo noćna mora. Špijunska vlada, ukradeni brojevi socijalnog osiguranja, ucjene neznanaca putem web kamera mnogi to zamišljaju kao najgore scenarije koji bi se mogli dogoditi samo u najekstremnijim okolnostima, no ipak je ova godina dokazala sve gore navedeno s iznenađujuće malo napora. Nadam se da će 2014. biti poduzeti koraci za rješavanje ovih gorućih problema, mada osobno sumnjam da ćemo imati toliko sreće.

Kreditna slika: Flickr / Shane Becker, Flickr / Steve Rhodes