Δευτέρα 7 Ιουλίου 2014

Τα 6+1 συχνά λάθη που απειλούν την ηλεκτρονική μας ασφάλεια



Από:  Αλέξης Μιχαήλ 
          Ημερομηνία: Ιούλιος 06, 2014 08:50 
Με την βιομηχανία του ηλεκτρονικού εγκλήματος να ανθεί, καταγράφοντας πλέον ετήσια «κέρδη» δισεκατομμυρίων, δεν θα συνιστούσε υπερβολή να πούμε ότι για ένα σημαντικό ποσοστό αυτών των «κερδών», ευθύνεται η άγνοια των χρηστών να τηρούν κάποιες βασικές πρακτικές ασφάλειας στην «ηλεκτρονική» τους καθημερινότητά. Πιο κάτω παρουσιάζουμε τα πιο κοινά ηλεκτρονικά λάθη, μαζί με συμβουλές για το πώς μπορούμε να προστατευτούμε από αυτά:

1. Ενωνόμαστε με WiFi και τοποθετούμε τους κωδικούς μας

Σε αντίθεση με τα ενσύρματα δίκτυα, ο τρόπος λειτουργίας των ασύρματων δικτύων (Wi-Fi) επιτρέπει σε οποιοδήποτε κακόβουλο χρήστη που είναι συνδεδεμένος στο ίδιο δίκτυο με το δικό μας (π.χ. χρησιμοποιούμε και οι δύο το Wi-Fi της ίδιας καφετέριας) να παρακολουθεί την ροή των πληροφοριών από την συσκευή μας. Αυτό σημαίνει ότι θα μπορεί να δει ποιες σελίδες επισκεφθήκαμε, μαζί με ό,τι πληκτρολογήσαμε σε αυτές, όπως κωδικούς, αριθμούς καρτών κλπ. Η μεθοδολογία υποκλοπής δεν προϋποθέτει ιδιαίτερες τεχνικές γνώσεις ούτε κάποιον ιδιαίτερο εξοπλισμό.

Πώς να προστατευτούμε: Αποφεύγουμε να μπαίνουμε σε ιστοσελίδες που προϋποθέτουν την χρήση/πληκτρολόγηση ευαίσθητων προσωπικών δεδομένων (π.χ. κωδικών, αρ. πιστωτικών καρτών, αρ. ταυτότητας) όταν είμαστε συνδεδεμένοι σε τέτοια κοινόχρηστα δίκτυα. Αν υπάρχει αδήριτη ανάγκη για κάτι τέτοιο, βεβαιωνόμαστε ότι η σελίδα που πληκτρολογούμε αυτά τα δεδομένα υποστηρίζει το πρωτόκολλο «HTTPS», δηλαδή η διεύθυνση (URL) αρχίζει από «https://» αντί από «http://». Το συγκεκριμένο πρωτόκολλο, αν και δεν αποτρέπει κάποιον από το να υποκλέψει τις πληροφορίες, φροντίζει να τις κρυπτογραφεί, ούτως ώστε να μην μπορούν να διαβαστούν.

2. Ενωνόμαστε με οποιοδήποτε ασύρματο δίκτυο (WiFi)

Αν και το να βρίσκουμε κάποιο «ξεκλείδωτο» ασύρματο σημείο πρόσβασης (Wi-Fi) όταν χρειαζόμαστε να χρησιμοποιήσουμε το διαδίκτυο μπορεί να θεωρηθεί αρχικά σαν ευχή, εύκολα δύναται να μετατραπεί σε κατάρα. Και αυτό γιατί το συγκεκριμένο άγνωστο σε μας σημείο πρόσβασης, μπορεί να έχει ρυθμιστεί για να καταγράφει όλες τις πληροφορίες που μεταφέρονται από και προς την συσκευή μας, συμπεριλαμβανομένων όλων των ευαίσθητων προσωπικών δεδομένων στα οποία αναφερθήκαμε πιο πάνω.
Οποιοσδήποτε μπορεί με ιδιαίτερη ευκολία να δημιουργήσει ένα σημείο πρόσβασης, να το «βαφτίσει» με ένα ελκυστικό όνομα (π.χ. «Free Internet from Ledra College») και να συλλέγει τα προσωπικά μας στοιχεία. Ιδιαίτερη προσοχή πρέπει να δίνεται σε πολυσύχναστες τοποθεσίες, όπως καφετέριες, ξενοδοχεία και αεροδρόμια, που φέρεται να προτιμούν ιδιαίτερα οι επιτήδειοι.

Πώς να προστατευτούμε: Αποφεύγουμε να χρησιμοποιούμε σημεία ασύρματης πρόσβασης που είτε διαφημίζονται ως δωρεάν είτε δεν είμαστε εντελώς σίγουροι για την αυθεντικότητά τους. Επιβεβαιώνουμε πάντα με κάποιον αρμόδιο του χώρου ότι χρησιμοποιούμε το αυθεντικό σημείο πρόσβασης, το οποίο συνήθως δεν θα είναι «ξεκλείδωτο». Φυσικά αντιμετωπίζουμε και τα «αυθεντικά» κοινόχρηστα σημεία με προσοχή, λόγω των κινδύνων που αναφέραμε στο σημείο 1.

3. Ανοίγουμε συνημμένα, επειδή εμπιστευόμαστε τον αποστολέα

Το ότι δεν πρέπει να ανοίγουμε συνημμένα αρχεία που περιλαμβάνονται σε e-mail που προέρχονται από αγνώστους το ξέρουμε. Τι γίνεται όμως με τα συνημμένα αρχεία που μας στέλνουν φίλοι ή γνωστοί και που δεν θα τους καταλογίζαμε κακές προθέσεις; Καταρχήν, το γεγονός ότι το ηλεκτρονικό μήνυμα (e-mail) προέρχεται από την διεύθυνση κάποιου γνωστού σε μας ατόμου, δεν σημαίνει απαραιτήτως ότι το άτομο αυτό ευθύνεται για την αποστολή του!
Μπορεί ο συγκεκριμένος χρήστης να προσεβλήθη από κάποιο κακόβουλο λογισμικό, το οποίο να προσπαθεί να αναπαραχθεί χρησιμοποιώντας τις επαφές του άτυχου (και συνήθως απρόσεκτου) χρήστη. Επιπρόσθετα, είναι πολύ εύκολο για κάποιον με σχετικές γνώσεις να πλαστογραφήσει την οποιαδήποτε διεύθυνση αποστολής e-mail, και να αποστείλει στην συνέχεια μηνύματα, που ενώ φαίνεται ότι προέρχονται από κάποια γνωστή μας διεύθυνση (φίλος, προϊστάμενος κλπ), στην πραγματικότητα δεν προέρχονται από αυτόν/ην.

Πώς να προστατευτούμε: Αντιμετωπίζουμε όλα τα συνημμένα αρχεία με καχυποψία, από όπου και αν αυτά προέρχονται! ‘Έχουμε εγκατεστημένο λογισμικό προστασίας (antivirus + firewall) σε όλες συσκευές που χρησιμοποιούμε και φροντίζουμε να λαμβάνουμε όλες τις τελευταίες ενημερώσεις αυτού (updates). Επιπρόσθετα, αν λάβουμε κάποιο συνημμένο αρχείο που φαίνεται να προέρχεται από κάποιο γνωστό μας, επιβεβαιώνουμε μέσω κάποιου εναλλακτικού δίαυλου επικοινωνίας (π.χ. τον παίρνουμε τηλέφωνο) την πρόθεση αυτού να μας το στείλει.

4. Κατεβάζουμε «πειρατικό λογισμικό»

Με τον όρο «πειρατικό λογισμικό» αναφερόμαστε φυσικά σε λογισμικό το οποίο χρησιμοποιείται παράτυπα, και για το οποίο δεν εξασφαλίστηκε άδεια λειτουργίας (συνήθως προϋπόθεση αποτελεί κάποιου είδους πληρωμή) από τον δημιουργό του. Σκοπός μας δεν είναι να αγγίξουμε την ηθική πλευρά της χρήσης τέτοιου λογισμικού (που εν πάση περιπτώσει συνιστά αδίκημα) αλλά να εξετάσουμε τους κινδύνους που μπορεί να έχει μια τέτοια πρακτική. Συνήθως λοιπόν, τέτοιες «δωρεάν» εφαρμογές, συμπεριλαμβάνουν και κακόβουλο λογισμικό σαν «μπόνους», που εγκαθίσταται στην συσκευή μας εν αγνοία μας, σε συνάρτηση με το πειρατικό λογισμικό.
Επίσης, πολλές φορές, δεν συμπεριλαμβάνουν καν το αρχείο που θέλαμε να κατεβάσουμε αρχικά, ενώ σε άλλες περιπτώσεις μπορεί να συμπεριλαμβάνουν είτε κατώτερης ποιότητας ή παλαιότερης έκδοσης λογισμικό. Έστω όμως ότι περιέχουν όντως το αρχείο που χρειαζόμαστε, το πρόβλημα παραμένει, καθώς τα παράνομα αυτά αντίτυπα δεν είναι καταγεγραμμένα στην βάση δεδομένων του δημιουργού, και κατά συνέπεια δεν μπορούν να λάβουν ενημερώσεις ασφαλείας (updates, security patches) από τον δημιουργό. Αυτό σημαίνει ότι παραμένουν ευάλωτα σε κακόβουλες ενέργειες.

Πώς να προστατευτούμε: Αποφεύγουμε εξ ολοκλήρου να κατεβάζουμε και να χρησιμοποιούμε πειρατικό λογισμικό. Σε περίπτωση μόλυνσης, άλλωστε, το κόστος επιδιόρθωσης και επαναφοράς μάλλον θα είναι σημαντικά μεγαλύτερο από το κόστος αγοράς του οποιουδήποτε λογισμικού.

5. Αγνοούμε την σημασία του «security question»

Σε αρκετούς ιστοτόπους, που η χρήση τους προϋποθέτει αυθεντικοποίηση (username + password), ένας τρόπος για να ανακτήσεις την πρόσβαση σου στον λογαριασμό σου - αν έχεις ξεχάσει τον κωδικό (password) σου - είναι μέσω του λεγόμενου «security question». Σε αντίθεση με τα passwords, που οι πλείστοι, πλέον, ξέρουμε ότι πρέπει να είναι άνω των οκτώ χαρακτήρων και να συνδυάζουν μικρά και κεφαλαία γράμματα, αριθμούς και σύμβολα, οι χρήστες δεν φαίνεται να δίνουν ιδιαίτερη σημασία στην συγκεκριμένη «ερώτηση ασφαλείας».
Η «ερώτηση ασφαλείας» συνήθως συμπεριλαμβάνει ερωτήσεις του στυλ «Ποιο είναι το πατρικό επώνυμο της μητέρας σου;», «Σε ποια πόλη γεννήθηκες;» ή «Ποιο είναι το όνομα του κατοικίδιού σου;». Αλήθεια, πόσο δύσκολο είναι για κάποιο να βρει την απάντηση στις συγκεκριμένες ερωτήσεις, ιδιαίτερα υπό το φως του τεράστιου όγκου των προσωπικών πληροφοριών που αναρτούμε στα κοινωνικά δίκτυα στις μέρες μας; Γιατί ένας επιτήδειος να μπει στην διαδικασία εξεύρεσης ενός πολύπλοκου κωδικού (password), αν εναλλακτικά το μόνο που έχει να κάνει είναι να βρει πως λένε τον σκύλο σου;

Πώς να προστατευτούμε: Δίνουμε στην «ερώτηση ασφαλείας» την ίδια σημασία πού δίνουμε και στην επιλογή του προσωπικού μας κωδικού. Επιλέγουμε ερωτήσεις που πολύ δύσκολα μπορεί κάποιος επιτήδειος να βρει, είτε από μόνος του είτε από τον κοινωνικό μας περίγυρο.

6. Αγνοούμε την ύπαρξη κινδύνων για το κινητό μας

Αν διαβάσατε τα παραπάνω με λίγη προσοχή, θα προσέξατε ότι ουδέποτε αναφερθήκαμε στην ανάγκη προστασίας του «ηλεκτρονικού υπολογιστή» μας, αλλά στην ανάγκη προστασίας της «συσκευής» μας. Φορητοί υπολογιστές, Τάμπλετς, Φάμπλετς, ‘Έξυπνα Τηλέφωνα, ‘Έξυπνες Τηλεοράσεις, ‘Έξυπνα Ρολόγια είναι μερικά μόνο από τα παραδείγματα τον συσκευών που συνθέτουν το ηλεκτρονικό σκηνικό στις μέρες μας. Η εποχή όπου η πρόσβαση στο διαδίκτυο γινόταν αποκλειστικά μέσω του ηλεκτρονικού υπολογιστή έχει παρέλθει ανεπιστρεπτί.
Κάθε συσκευή που χρησιμοποιούμε έχει τις δικές της ιδιαιτερότητες και απαιτεί τα ανάλογα μέτρα εξειδικευμένης προστασίας. Οι επιτήδειοι εκμεταλλεύονται αυτό ακριβώς το γεγονός - την άγνοια δηλαδή των χρηστών για την ανάγκη προστασίας των φορητών συσκευών τους - και επικεντρώνουν πλέον τις κακόβουλες τους ενέργειες σε αυτού του είδους τις συσκευές, που αποτελούν πιο εύκολη (ή πιο προσβάσιμη) λεία.

Πώς να προστατευτούμε: Εγκαθιστούμε λογισμικό προστασίας (antivirus + firewall) σε όλες τις συσκευές μας. Φροντίζουμε να λαμβάνουμε όλες τις τελευταίες ενημερώσεις αυτού (updates). Επίσης, ενεργοποιούμε τον μηχανισμό αυθεντικοποίησης (password) της συσκευής μας, για να περιορίσουμε την πρόσβαση σε αυτή. Επιπρόσθετα, αν προσφέρεται η δυνατότητα, εγκαθιστούμε λογισμικό εύρεσης στην συσκευή μας, που μας επιτρέπει να την εντοπίσουμε σε περίπτωση απώλειας, καθώς και να διαγράψουμε αυτόματα τα προσωπικά μας δεδομένα από αυτή. Μια απλή έρευνα στο διαδίκτυο μπορεί να μας δώσει πολλές επιπρόσθετες χρήσιμες συμβουλές για την ασφαλή χρήση των «έξυπνων» μας συσκευών.

7. Απενεργοποιούμε το 3G για να γλιτώσουμε μπαταρία

Αυτό το σημείο ίσως ενδιαφέρει ιδιαίτερα τους πολιτικούς μας! Πολλές φορές οι χρήστες, για να γλιτώσουν μπαταρία στο κινητό τους, απενεργοποιούν την χρήση του πρωτοκόλλου «3G» από το κινητό τους, και χρησιμοποιούν το παλαιότερο δίκτυο «GSM», επίσης γνωστό ως «2G». Ακόμη, η χρήση του δικτύου «GSM» μπορεί κάποιες φορές να γίνει και ανεπαίσθητα από τους χρήστες, καθώς δεν προσφέρεται κάλυψη «3G» σε ολόκληρη την έκταση του νησιού μας.
Το πρόβλημα με την χρήση του συγκεκριμένου πρωτοκόλλου κινητής τηλεφωνίας «GSM», είναι το γεγονός ότι ο κρυπτογραφικός αλγόριθμος που χρησιμοποιεί το «GSM», υπεύθυνος για την τήρηση της εμπιστευτικότητας μεταξύ των κλήσεων, είναι πολύ αδύνατος (το πρωτόκολλο χρονολογείται από το 1991) και είναι (σχετικά) εύκολο για κάποιον που επιθυμεί να παρακολουθεί τις συνομιλίες μας, να τον σπάσει. Το πρωτόκολλο «3G» από την πλευρά του, προσφέρει αυξημένη προστασία, καθώς χρησιμοποιεί έναν διαφορετικό κρυπτογραφικό αλγόριθμο.

Πώς να προστατευτούμε: Αν μας ενδιαφέρει ιδιαίτερα η εμπιστευτικότητα των κλήσεων μας από το κινητό μας τηλέφωνο, φροντίζουμε πάντα να τις διεξάγουμε υπό την κάλυψη του δικτύου «3G».

Η πρόληψη είναι η καλύτερη θεραπεία

Όσον αφορά την ηλεκτρονική μας ασφάλεια, η πρόληψη είναι συνήθως η καλύτερη θεραπεία! Ο μαγικός κόσμος του διαδικτύου και των «έξυπνων» συσκευών μπορεί να έκανε πιο εύκολη και άνετη την ζωή μας, αλλά έφερε μαζί του και επιπρόσθετους κινδύνους, ικανούς να μας προκαλέσουν σοβαρότατα προβλήματα. Οι επιτήδειοι, εκμεταλλευόμενοι την άγνοια των χρηστών για τις ορθές πρακτικές ασφαλείας, δημιούργησαν μια τεράστια «βιομηχανία» ηλεκτρονικού εγκλήματος, που, σύμφωνα με την τελευταία έκθεση των Reuters (2014), κοστίζει στην παγκόσμια οικονομία το δυσθεώρητο ποσό των 445 δισεκατομμυρίων δολαρίων ετησίως. Προσοχή λοιπόν, για να μην είστε εσείς το επόμενό τους θύμα!

ΑΛΕΞΗΣ ΜΙΧΑΗΛ
BSc, MSc, MBA, CISSP, CISA, CEH, EDRP, Security+,
Διευθυντής Ασφάλειας Πληροφοριών Ledra College,
alexis@ledra.ac.cy


ΑΝΑΔΗΜΟΣΙΕΥΣΗ ΑΠΟ: "SIGMALIVE"


Δεν υπάρχουν σχόλια:

Δημοσίευση σχολίου