2012 Najgore sigurnosne eksploatacije, neuspjeh i zabluda

Budala i njegovi slabi p <$$ w0rd su uskoro ukorijenjeni, ali ako 2012 dokazuje bilo što, to je da čak i najopsežnije duše sa sigurnošću moraju udvostručiti na njihovu zaštitnu praksu i razmislite o najboljim načinima za ublažavanje štete ako se najgore dogodi u našem svijetu koji se sve više povezuje s oblakom.

Siguran sigurnosni alatni okvir trebao bi biti srce vaše obrane, naravno, ali ćete također trebati uzeti u obzir vaše osnovno ponašanje. Na primjer, propuštena lozinka za lozinku LinkedIn čini malo zla ako ta određena alfanumerička kombinacija otvara samo vrata tog računa, umjesto svakog računa društvenog medija koji upotrebljavate. Autentifikacija s dva faktora može zaustaviti kršenje prije nego što se to dogodi. I laju li vaše lozinke?

Ne pokušavam vas uplašiti. Umjesto toga, zainteresiran sam za otvaranje vaših očiju na vrste mjera koje su potrebne u digitalnom dobu - što je dokazano najvećim sigurnosnim poteškoćama, pogreškama i neuspjesima u 2012. godini. To je godina zastavica za negativce.

[Daljnje čitanje: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Honan hack napad

Honanova katastrofa uvećana je zbog nedostatka fizičkih sigurnosnih kopija.

Najviši profil hacka 2012. godine nije uključivao milijune korisnika ili lavinu olovljenih podataka o plaćanju. Ne, sigurnosno je istaknuto - ili je to slabo svjetlo? - 2012 bilo je epska sjeckanje jednog muškarca: Wired pisac Mat Honan.

Tijekom jednog sata, hakeri su dobili Honanov račun Amazon, izbrisali su Google račun i udaljeno je uništio trojku Appleovih uređaja, što je kulminiralo hakerima u konačnici postizanju njihovog krajnjeg cilja: preuzimajući kontrolu Honanove Twitter ručke. Zašto sve uništenje? Budući da je status tri slova @mat Twitter rucka, čini se, to vrlo coveted nagrada. (Malcontenti su objavili nekoliko rasističkih i homofobičnih tweetova prije nego što je račun privremeno bio obustavljen.)

Razaranje je sve omogućilo sigurnosni napad na Honanovim kritičnim računima krajnjeg lančanika, nedostatak aktivacije autentičnosti s dva faktora, korištenjem istu osnovnu shemu imenovanja preko nekoliko računa e-pošte i proturječnih protokola sigurnosti računa na Amazonu i Appleu, koje su hakeri iskoristili uz pomoć nekog dobrog društvenog inženjeringa.

Najstrašniji dio? Većina ljudi vjerojatno zapošljava iste osnovne (čitljive) lažne sigurnosne postupke Honan. Srećom, PCWorld je već objasnio kako priključiti najveće digitalne sigurnosne rupe.

Virusi plamena

Virusi plamena dobivaju ime iz koda.

Tragirano još u 2010, ali otkriveno tek u svibnju 2012., virus Flame ima upečatljivu sličnost sa virusom Stuxnet sponzoriranom od strane Vlade, s kompleksnim kodnim bazama i primarnom uporabom kao špijunskim alatem u zemljama Bliskog istoka kao što su Egipat, Sirija, Libanon, Sudan i (najčešće) Iran.

Nakon što je Flame potopio svoje kuke u sustav, instalirao je module koji bi, između ostalog, snimali Skypeove razgovore ili zvuk bilo čega što se događa u blizini računala, snimanje zaslona, ​​potiskivanje mrežnih veza i održavanje zapisnika svih pritisaka na tipke i svih podataka uneseno u ulazne kutije. To je neugodno, drugim riječima - i Flame je prenio sve informacije prikupljene u naredbu i kontrolu poslužitelja. Ubrzo nakon što su Kasperskyovi istraživači izbili Flame, virusni kreatori pokrenuli su naredbu za uništavanje softvera od zaraženih računala.

Alat za homebrew od 50 $ koji otključava vrata hotela

Na konferenciji Black Hat Security u srpnju, istraživačica Cody Brocious unveiled uređaj mogao polu-pouzdano otvoriti elektroničke brave vrata napravio Onity. Bravice na bravu nalaze se na 4 milijuna vrata u tisućama hotela širom svijeta, uključujući lancu visokih profila kao što su Hyatt, Marriott i IHG (koja posjeduje i Holiday Inn i Crowne Plaza). Na temelju Arduino mikrokontrolera i okupljenih za manje od 50 dolara, alat može biti izgrađen od strane bilo kojeg razbojnika s džepnom izmjenom i nekim kodnim vještinama, a postoji i barem jedno izvješće o sličnom alatu koji se koristi za ulazak u hotelske sobe u Teksasu. >ArduinoArduino: Otvoreno izvorno srce hacka.

Scary stvari, kako bismo bili sigurni. Možda je više zabrinjavajuće bio Onityov odgovor na situaciju koja je u osnovi bila "Stavite utikač preko luke i promijenite vijke".

Tvrtka je na kraju razvila stvarno rješenje za ranjivost, ali to uključuje zamjenu pločica brave i Onity odbija podnijeti troškove za to. Izvještaj ArsTechnice iz prosinca sugerira da bi tvrtka mogla biti spremnija subvencionirati zamjenske ploče uslijed teških zločinačkog kriminala, iako je od 30. studenog

th ^{Onity dostavio samo ukupno 1,4 milijuna "rješenja za brave "- uključujući one plastične čepove - do hotela diljem svijeta. Drugim riječima, ranjivost je još uvijek vrlo raširena. Epica ne uspijeva.} Smrt za tisuću komada

Godina nije vidjela masovnu povredu baze podataka u ženskom izdanju PlayStation Network 2011., no niz prolaznih i ljetnih mjeseci, Iako je izdavanje 6,5 milijuna hashed LinkedIn lozinki moglo biti najvažniji haker, bio je potaknut objavljivanjem više od 1,5 milijuna raspršenih eHarmony lozinki, 450.000 Yahoo glasovnih prijava vjerodajnica, neodređeno broj Last.fm lozinke, a puni login i informacije o profilu stotina korisnika Nvidia foruma. Mogla bih nastaviti, ali ti ćeš dobiti točku.

Što je to odbijanje? Ne možete se oslanjati na web stranicu kako biste zaštitili svoju lozinku, stoga biste trebali upotrebljavati različite zaporke za različite web lokacije kako biste umanjili potencijalnu štetu ako hakeri uspiju riješiti vaše vjerodajnice za prijavu za određeni račun.

Dropbox spušta čuvanje

Logotip "open box" iz DropboxDropboxa pokazao se previše istinitima za osobe koje su ponovno upotrebljavale lozinke u 2012.

Još u srpnju, neki korisnici Dropboxa počeli su primijetiti da primaju veliku količinu neželjene pošte u svojim pretincima pristigle pošte. Nakon nekih početnih poricanja praćenih dubljim kopanjem, Dropbox je otkrio da su hakeri ugrozili račun jednog zaposlenika i dobili pristup dokumentu koji sadrži adrese e-pošte korisnika. Uh! Šteta je bila manja, ali jaje u licu bilo je glavno.

Istodobno je vrlo mali broj korisnika imao svoje Dropboxove račune koji su aktivno razbili izvore. Istraživanja su otkrila da su hakeri stekli pristup računima jer su žrtve ponovno upotrebljavale istu kombinaciju korisničkog imena / lozinke na više web mjesta. Kada su vjerodajnice za prijavu bile propuštene u kršenju na drugoj usluzi, hakeri su imali sve što je potrebno da otključaju Dropboxove račune.

Dropboxovi problemi naglašavaju - ponovo - potrebu korištenja zasebnih zaporki za različite usluge, kao i činjenicu da još ne možete potpuno povjeriti oblak. Možete preuzeti sigurnost oblaka u vlastite ruke pomoću alata za šifriranje treće strane.

Milijuni SSN-ova u Južnoj Karolini piljeni

Govoreći o enkripciji, bilo bi lijepo ako država slijedi osnovne sigurnosne principe.

Nakon masovne povrede listopada, haker je dobio broj socijalnog osiguranja od nevjerojatnih 3,6 milijuna građana Južne Karoline - u državi sa samo 4,6 milijuna stanovnika! - Državni dužnosnici pokušali su staviti krivnju na noge IRS-a. IRS ne

posebno zahtijeva od država da šifriraju SSN-ove u poreznim podnescima, vidite. Dakle, Južna Karolina nije uspjela - premda namjerava početi sada, 20-20 poslijepodne i sve. Na nekoj pozitivnoj strani, detalji zaduženja i kreditne kartice od 387.000 građana Južne Karoline također su bili uklonjeni u digitalni plijen i

najviše od tih su kriptirani, iako je to vjerojatno malo utjehe za 16.000 ljudi čije su se kartice ukradale u obliku običnog teksta. Skypeov masovni sigurnosni nedostatak

Laxove procedure za oporavak računa zaprijetile su korisnicima Skypea Studeni.

U studenom, korisnici Skypea privremeno su izgubili mogućnost zatražiti poništavanje zaporke za svoj račun nakon što su istraživači identificirali eksploataciju koja je omogućila bilo kome pristupanje Skype računu sve dok je osoba znala adresu e-pošte povezanu s računom, Nije zaporka računa, a ne sigurnosna pitanja - samo jednostavna e-adresa.

Skype je brzo priključio rupu kada je uhvatio javno oko, ali je šteta već bila učinjena. Ranjivost je lebdjela oko ruskih foruma i aktivno se upotrebljavala u divljini prije nego što je zatvorena.

Hakeri kradu 1.5 milijuna brojeva kreditnih kartica

U travnju su hakeri uspjeli "izvesti" nevjerojatnih 1,5 milijuna brojeva kreditnih kartica od baze podataka Global Paymentsa, usluge za obradu plaćanja koje koriste državne agencije, financijske institucije i oko milijun globalnih trgovina, između ostalog.

Srećom, kršenje je bilo prilično ograničeno. Globalne isplate su uspjele identificirati brojeve kartica na koje utječe hack, a ukradeni podaci sadržavali su samo stvarne brojeve kartica i datume isteka, ne imena bilo koje kartice ili osobne podatke. Hitovi su i dalje dolazili. U lipnju Global Payments najavio je da hakeri možda ukrade osobne podatke ljudi koji su podnijeli zahtjev za račun trgovca s tvrtkom. Microsoft Security Essentials ne uspije certifikat AV-Test

Pa, nije to neugodno. AV-Test je nezavisni institut za informacijsku sigurnost koji redovito nadopunjuje sve vrhunske antimalarke proizvode koji se nalaze tamo, gura cijelu hrpu nastija na navedenim proizvodima i vidi kako se različita rješenja održavaju pod brušenjem. Organizacija je upravo to činila s 24 različita sigurnosna rješenja usmjerena na potrošača krajem studenog, a samo jedno od tih rješenja nije zadovoljilo standard certifikacije AV-Test: Microsoft Security Essentials za Windows 7.

Taj bez logotipa certifikacije ? MSE je zapravo radio pristojan posao u borbi protiv poznatih virusa u testu, ali sigurnosni program pružio je strašno malo, dobro,

sigurnost

u lice nultih dana iskorištavanja. Njegova 64 razina zaštite protiv tih zero-day napada je puni 25 bodova niža od prosjeka industrije. Zapuštanje nije: Norton izvorni kod pušten Zvuči zastrašujuće na površini: Skupine skitnica hakera uspio da biste dobili izvorni kod jednog od popularnih Symantecovih sigurnosnih alata Norton, a potom je bacio kôd na Piratski zaljev kako bi svijet mogao analizirati. Oh, noe! Sada ništa ne može zaustaviti loše ljude da trčaju željno, a nikako prije obrane koja dolazi predinstalirana na gajilijama (približno) boxed sustava koji se prodaju širom svijeta - zar ne?

Pogrešno. Izvorni kod pripada Norton Utilities proizvodima objavljenim 2006. godine, vidite, a Symantecovi trenutni proizvodi su od tada izgrađeni od temelja, bez zajedničkog kodova koji su podijeljeni između njih. Drugim riječima, izdavanje izvornog koda 2006 ne predstavlja bilo kakav rizik za suvremene Norton pretplatnike - barem ako ste ažurirali antivirusni program u posljednjih pola desetljeća.