mlubinski pisze: ↑11 paź 2020, 20:57
Wojtas, a który konkretnie token sprzętowy MFA polecasz zakupić?
Bezpieczne chipowe karty smartcard, czyli takie jak masz do podpisu cyfrowego, albo do bankomatu (z wyłączeniem paska magnetycznego i zbliżeń).
One mają mikroprocesor, PIN oraz port komunikacyjny. Odczytują, szyfrują i zwracają dane. Nie da się ich skopiować, a fizyczna kradzież jest użyteczna tylko wraz z PINem.
Jedyny skuteczny atak jaki przychodzi mi do głowy, to zawirusowany (przejęty) komp z kartą w środku. Wtedy hacker mógłby przechwycić PIN (za pomocą keyloggera) i korzystać z karty, jeśli byłaby ona akurat w czytniku podłączonym do komputera.
Bezpieczny jest YubiKey, o ile nie dojdzie do jego kradzieży. Ale nawet wtedy wciąż mamy hasło główne.
Bezpieczne są tokeny z wyświetlaczem. Tutaj też fizyczna kradzież wraz z poznaniem hasła głównego, mogła by stanowić podstawę ataku. Uznaję to za skrajnie nieprawdopodobne, skoro token można zawsze zastrzec a hasło główne zmienić.
Przy okazji: ważne hasła główne trzymamy tylko W GŁOWIE, nie w menedżerze. A jeśli ktoś ma słabą głowę, to niech przygotuje sobie dysk zaszyfrowany
VeraCryptem i tam trzyma ważne dokumenty i informacje. W razie czego, trzeba będzie przypomnieć sobie tylko jedno hasło.
A jak ktoś ukradnie dysk, to nie będzie miał z niego żadnego pożytku.
Tomek pisze: ↑11 paź 2020, 21:03
...wyciągam taki wniosek, ze przede wszystkim trzeba chronić dostęp do swojego komputera...
To podstawa absolutna.
U mnie w firmie od lat przychodzą wirusy na emaila. Często je zbieram, biorę na warsztat i analizuję jak działają. Wielu ludzi tak robi.
Na podstawie tej analizy konfiguruję tak systemy, żeby te wirusy po prostu nie działały (nie infekowały), albo wręcz zostały od razu odfiltrowane przez serwer pocztowy.
Tak np filtruję w firmie wszystkie załączniki do email'i, które są programami lub czymś do programów podobnym. Doszedłem do wniosku, że jedna firma drugiej firmie programu w załączniku nie wysyła. Jeśli tak się dzieje, to przynajmniej w moim przypadku, zawsze był to wirus.
Dla przykładu Google w swoim GMailu też nie zezwala wysyłania oprogramowania przez email (tutaj plus dla Google'a). Moja czarna lista jest jednak szersza niż ta Google'owska.
Druga kategoria wirusów to wirusy Office'a. Ich nie mogę filtrować, bo uniemożliwiłbym firmie wymianę dokumentów. Więc po prostu wyłączam wszystko to z tego wirusy korzystają (od
Office'owych makr zaczynając).
Efekt jest taki, że większość wirusów w ogóle nie przechodzi przez skrzynkę, a te które przechodzą (np w dokumentach Office) są niezdolne do infekowania. Taka konfiguracja sprawdza się u mnie od lat, na tyle, że antywirus stał się zbędny.
Jako ciekawostkę (choć dla niektórych dość oczywistą) jednak podam, że wszystkie, co do jednego wirusa, które przez lata dostałem na firmową skrzynkę, były wirusami Windows lub Office. Nawet jeśli wirus był dla Office, to zwykle wymagał Windowsa do działania (bo w pliku Office był jego tylko inicjator, który instalował wymagający Windowsa właściwy kod wirusa).
Dlatego posiadacze komputerów MacOS lub Linux mają na starcie ogromną premię bezpieczeństwa (o ile nie korzystają z
CrossOver lub
Wine), bo hackerzy nie polują tak na te systemy.
Rachunek zysków i kosztów wychodzi im po prostu nieporównywalnie lepiej na combo Windows + Office.
Tomek pisze: ↑11 paź 2020, 21:03
...natomiast skradziony telefon ciągle jest zabezpieczony przez Face ID i nikt sobie kodu z apki nie wygeneruje.
O nie, afer z tym było już naprawdę trochę. Tak na szybko:
iPhone 5S fingerprint sensor hacked by Germany's Chaos Computer Club
Apple iPhone 6 Touch ID Hacked
Apple's iPhone FaceID Hacked In Less Than 120 Seconds
Ale odłóżmy na chwilę medialne newsy i zastanówmy się tak na chłopski rozum.
Jestem hackerem, ukradłem twój telefon zabezpieczony FaceID. Co robię ?
Pierwsze co bym zrobił to rozmontował go i zrobił sobie kopie jego pamięci eMMC (czyli dane, system i aplikacje) 1 do 1 przy pomocy zewnętrznego czytnika, nawet go nie włączając.
Potem zobaczyłbym jak działa zabezpieczenie FaceID, a mamy tu 2 opcje:
1. Telefon uruchamia się, sprawdza twarz i jeśli się zgadza jedzie dalej. Jeśli nie, odmawia włączenia. Same dane nie są jednak zaszyfrowane.
W tym przypadku jest tragedia (dla Ciebie), bo najprawdopodobniej zdołałbym zmodyfikować pamięć eMMC (przy pomocy zewnętrznego czytnika) tak żeby tą blokadę po prostu wyłączyć.
A nawet jeśli nie, to miałbym wszystko co trzeba żeby stworzyć sobie kopię generatora kodów na swoim systemie (nie mogę włączyć telefonu, ale mogę wykopiować jego wnętrzności).
2. Telefon uruchamia się, odczytuje twarz, po czym przekształca je na postać cyfrową, która w uproszczeniu staje się kluczem/hasłem.
Owy klucz następnie jest używany do deszyfrowania danych telefonu, które są zaszyfrowane. Jeśli twarz jest zła, nie będzie jak odszyfrować tych danych.
Dane są bezpieczne, w zaszyfrowanej a więc śmieciowe i bezużytecznej formie.
Tyle, że wizerunki nas wszystkich krążą po sieci. Pierwsze co więc bym zrobił to wykorzystał twoją twarz (z fejsa, filmiku, skądkolwiek) i próbował oszukać identyfikator twarzy przedstawiając mu wizerunek do czytnika (wydrukowany, wyświetlony, cokolwiek).
Jeśli to by zawiodło, to mając dane eMMC, próbowałbym ustalić jak działa algorytm. Następnie posiadając twój wizerunek (z sieci), próbowałbym wykorzystać do zdeszyfrowania danych w telefonie, ale na zewnętrznym systemie (poza telefonem).
Jeśli by mi się to udało, mamy sytuację jak w pkt 1 i jestem w domu.
W reszcie mógłbym po prostu przerobić telefon, odpinając mu przednią kamerkę i podpinając coś co zamiast obrazu z otoczenia (jak to robi kamerka), przesyłało by mu twoją cyfrową twarz z facebooka przez cały czas. I wtedy go włączyć. Efekt jak wyżej.
Nieco bardziej skomplikowana sytuacja jest z odciskami palców, ale jest niemal pewne, że w czasach gdy dotykamy różnych sensorów i korzystamy z różnego oprogramowania, nasze odciski (ich wzory) zaczną wyciekać. To tylko kwestia czasu. Po czym będą mogły być wykorzystywane w różnych celach przez cyberprzestępców.
Wszystkie te dywagacje są przy założeniu, że kradnę ci telefon. A przecież mogę go zainfekować (np zdalnie), albo np ukraść, zainfekować i wspaniałomyślnie ci zwrócić, jako ten dobry znalazca.
Co w sytuacji gdy zastąpię twoją aplikację IB w telefonie, moją wersją, zmodyfikowaną ? Wtedy masz generator kodów jednorazowych i aplikację główną w tym samym miejscu, w zainfekowanej wersji, która w sposób niejawny wysyła mi zdalnie (a zakładam że twój telefon jest online cały czas) to co chcę. Ta aplikacja też robi to co ja chcę.
Całe te zabezpieczenie smartphone'ami może być więc oczywiście skuteczne, ale to wynika tylko z prostego rachunku prawdopodobieństwa (prawdopodobnie nigdy nie będziesz narażony na poważny atak), a nie z tego, że jest to takie super bezpieczne.
To jest to moim zdaniem wadliwe z założenia i co jakiś czas będziemy czytać w mediach o aferach z tym związanym (firmy będą usprawniać zabezpieczenia, a hackerzy je łamać i tak w kółko). A nawet jak nie czytamy, to nie znaczy, że część telefonów nie jest przejęta (np przez służby ścigające przestępców).
Sam IB, który przecież nie ma żadnego interesu źle radzić swoim klientów w kwestii bezpieczeństwa, również mocno zaleca token
każdemu z nich. I to pomimo tego, że zrzeka się odpowiedzialności za transakcje na koncie (choćby były lewe), przerzucając odpowiedzialność za to na klienta.