Има няколко основни подхода за защита на мрежите и уебсайтовете свързани с доказването на идентичността на лицата, които ги достъпват въз основа на уникални идентифициращи признаци и характеристики, в следствие, на което избраната система за сигурност приема (или отхвърля), подадената заявка за достъп. По този начин потребителите или служителите на дадена организация получават възможност да имат съответните права за използване на информационните ресурси или активи. Основните механизми и подходи за защита, могат да се разделят на четири групи:
– подходи, основани на притежание на физически предмети (token-based approaches) – като ключове (в това число и криптографски ключове), документи за самоличност (паспорти), смарт-карти, токени и др.;
– подходи, основани на знанието – информацията, която трябва да бъде пазена в тайна (knowledge-based approaches) като пароли, пинове, секретни фрази, отговор на таен въпрос и др.;
– подходи, основани на биометрични параметри (biometric approaches) – физически (ръце, пръсти, лице, очи, ДНК) или поведенчески (подпис, глас, походка) характеристики на индивида;
– персонален подход за безопасност в интернет пространството и защита на личните данни.
Криптографски технологии за обезпечаване на информационната сигурност
Криптологията е науката за създаване и разбиване на секретни кодове[1]. Тя има два подраздела криптография и крипто анализ. Криптографията се занимава с разработвенето и използването на кодовте, а крипто анализа с тяхното разбиване. Kриптографските технологии спадат към първата група от подходи за осигуряване на информационна сигурност.
Криптирането е процеса на разбъркване на данните, така че тези данни да не могат лесно да се четат от неоторизирани лица. Когато се прави криптиране, четимият текст се нарича чист текст (plaintext или cleartext) и той се конвертира в криптиран текст или шифър. Шифърът е специфичен алгоритъм, който комбинира зададената информация със специален ключ, представляващ конкретен набор от символи и процедури, прилагани за шифриране и дешифриране на съобщенията. Ключът е връзката между чистия текст и шифрирания текст.
Криптоанализът е практика за анализ и разбиране на значението на криптирана информация (разбиване на кода), без достъп до споделения таен ключ.
В криптоанализа се използват няколко основни метода:
- Brute force e брутален метод при който нападателят опитва всеки възможен ключ, знаейки, че в крайна сметка един от тях ще работи.
- Ciphertext – нападателят има шифриран текст на няколко шифровани съобщения, но не познава основния обикновен текст.
- Познат Plaintext – нападателят има достъп до няколко разшифрирани съобщения и знае нещо за основата на този код.
- Избран Plaintext – атакуващият избира кои данни криптиращото устройство да криптира и наблюдава изхода от шифроването.
- Избран Ciphertext – атакуващият може да избере различен шифров текст за дешифриране и след това да достъпи до получения разшифрован текст.
- Среща в средата е метод при който атакуващият знае част от обикновен текст и съответния шифрован текст.
Най-добрият начин за рабиване е да се изпова грубата сила. Ако вземем за пример, че крадец се опита да отключи велосипедна ключалка, която има комбинация от четери цифри, то той ще трябва да опита максимум 10 000 различни възможности (от 0000 до 9999) и в крайна сметка ще успее[2]. Всички алгоритми за шифроване са уязвими на бруталната атака и тя успява в 50 процента от случайте. Затова целта на съвременните криптографи е да имат достатъчно голямо ключово варианти, които да отнемат твърде много време и пари на нападателите.
Друг по-научен подход за разбиване е т.н. честотен анализ, който използва фактът, че някои знаци от азбука се използват по-често от други[3]. Старите алгоритми за криптиране, като например шифърът на Цезар или Енигма, се базират на тайната на алгоритъма, а при съвременните технологии на обранто инженерство, сигурността на криптирането се крие в тайната на ключовете, а не в алгоритъма. Затова управлението на ключове често се счита за най-трудната част от проектирането на криптосистема. Много криптосистеми са се провалили поради грешки в управлението на ключове, а всички съвременни криптографски алгоритми изискват процедури за управление на ключове. На практика повечето атаки срещу криптографските системи са насочени към нивото на управление на ключове, а не към самия криптографски алгоритъм.
Могат да се генерират няколко типа криптографски ключове:
- симетрични ключове – може да се обменят между два рутера, поддържащи VPN;
- асиметрични ключове – се използват в защитени HTTPS приложения;
- цифрови подписи – се използват при свързване към защитен уебсайт;
- хеш ключове – се използват в симетрични и асиметрични ключови генериране, цифрови подписи и други видове приложения.
Симетричните ключове използват един и същ предварително споделен (частен) ключ, който е известен, както на подателя, така и на получателя на съобщението. Като пример за симетричен алгоритъм[4] можем да дадем комуникацията между Иванчо и Марийка, които са си обменили предварително ключове за една и съща пощенска кутия в която си оставят тайни съобщения. Основен недостатък на симетричните криптосистеми е невъзможността за автентификация на подателя, тъй като и двете страни участващи в обмена на информацията притежават един и същ ключ. Затова в съвременните системи за информационна сигурност, симетричните криптографски системи почти не се използват самостоятелно, а в комбинация с асиметричните системи.
Асиметричните ключове[5] използват два ключа: единият частен (секретен) за шифриране на информацията, и втори публичен (общодостъпен) използван за дешифриране на съобщенията. Публичният ключ е достъпен за всички, докато частният ключ се съхранява единствено от притежателя му. Пример за асиметричен алгоритъм са Иванчо и Марийка, който не обменят ключове преди да си изпращат тайни съобщения. Вместо това, те имат отделни катинари с отделни ключове. Когато Марийка иска да изпрати съобщение тя моли Иванчо да и изпрати отворен катинар. Той и изпраща катинар, но си запазва ключа. Когато Марийка получи катинара, тя поставя съобщението в малка кутийка, заедно с него поставя нейният отворен катинар. Заключва го с катинара на Иванчо и го изпраща. Той като кутията се изпраща чрез системата на пощата, никой не е в състояние да отвори кутията. Когато Иванчо получи кутията, той може да използва ключа си, за да я отключи и да прочете съобщението на Марийка. Иванчо поставя ново съобщение в обезопасената кутийка и я заключва с катинара на Марийка.
Асиметричните методи за шифриране преодоляват основния недостатък на симетрично шифриране, а именно проблема с обмяната на ключовете. Така симетричните методи за криптиране са подходящи, когато предварително е известен кръга от участници в обмена на данни, докато асиметричните алгоритми позволяват получаването на шифрирана информация за даден получател от неограничено количество податели. Един от критичните аспекти на асиметричното криптиране е, че ако личният ключ бъде компрометиран, то тогава е възможно злонамерени лица да се възползват и да получават секретните съобщения. Затова е необходимо личният ключ да бъде пазен или да бъде част от процеса на многофакторно автентикиране, включително с помощта на иновативни биометрични технологии.
Цифровите подписи могат да предоставят същата функционалност като ръчните подписи, който са изполвани от древни времена. Но за разлика от тях те са математическа техника, използвана в следните две ситуации:
- Подписване на код за проверка на целостта на софтуер или изпълними файлове, изтеглени от доставчик на уеб сайт.
- Цифровият сертификат е еквивалент на елекронен паспорт, който служи за проверка на самоличността на организация или физическо лице, за удостоверяване на уеб сайт и установяване на шифрована връзка за обмен на поверителни данни.
Много важен момент в съвременните условия за електронна търговия в интернет е невъзможността да се откажеш от авторство. Чрез тези услуги изпращащото устройство не може да отрече, че е източник на съобщението. Разчита на факта, че само изпращача има уникалните характеристики или подпис за това как се обработва това съобщение. Дори приемащото устройство не може да знае как изпращача обработва това съобщение, за да докаже автентичност, защото приемащата страна може тогава да претендира да бъде източника. Ако онлайн магазина знае как клиентското съобщение е създадено, за да докаже автентичвост, тогава този магазин може лесно да фалшифицира „автентичните” поръчки. При тозе сценарии изпращачът трябва да е единствената страна, знаеща как е създадено съобщението. Онлайн магазинът може да докаже на другите, че поръчката е била изпратена от купувача, а купувача не може да оспори, че поръчката е невалидна.
Фиг. 35. Цифров подпис[6]
Използването на хеш функция[7] е друг начин за гарантиране на интегритет на данните в уебсайтовете. То се основава на еднопосочна математическа функция, която е сравнително лесна за изчисляване, но значително по-трудна за обръщане. Меленето на кафе е добра аналогия на еднопосочна функция. Лесно е да се смели кафе на зърна, но е почти невъзможно да се съберат всички малки парчета обратно заедно, за да се възстанови оригиналното зърно. Всеки път, когато данните се променят, стойността на хеша също се променя. Поради това, криптографските хеш стойности често се наричат цифрови пръстови отпечатъци. Те могат да бъдат използвани за откриване на дублиращи се файлове с данни, промени във версията на файла и подобни приложения. Тези стойности се използват за защита срещу случайна или умишлена промяна на данните и случайна повреда на данни.
Хеш функцията трансформира набор от букви обикновено в по-кратка стойност или ключ с фиксирана дължина, който да представя оригиналния набор. Разликата между хеширането и криптирането е в това как се запазват данните. При криптирания текст, данните могат да бъдат декриптирани чрез ключ. При хеш функцията, след като данните са въведени и преобразувани чрез хеш функцията, чистият текст се унищожава. Хешираните данни остават там за сравнение. Например, когато потребителя вкара парола, паролата се хешира и след това сравнява със запазена хеширана стойност. Ако потребителя забрави паролата, не е възможно да се декриптира запазената стойност и паролата трябва да бъде отново създадена
Подход на уникално потребителско име и парола
Този метод спада както към втората група от подходи, така и към персоналният подход към сигурностра и е най-разпространен в интернет пространството, тъй като е най-евтин и не изисква специално оборудване.
Ефективната сигурност при употребата на пароли е немислима без осъзнатата и действаща отговорност на потребителите. Според класификацията на най-често срещаните пароли в интернет на първо място е 123456, което не е никак добра тактиак. Ако имате таква сменете я веднага, защото много бързо може да бъде пробита.
| № | Парола | Бр. хора | Време за пробив | Изложени пъти |
| 1 | 123456 | 2 543 285 | 1 секунда | 23 597 311 |
| 2 | 123456789 | 961450 | 1 секунда | 7 870 644 |
| 3 | Picture1 | 371612 | 3 часа | 11 190 |
| 4 | password | 360467 | 1 секунда | 3 759 346 |
| 5 | 12345678 | 322187 | 1 секунда | 2 944 678 |
| 6 | 111111 | 230607 | 1 секунда | 3 124 782 |
| 7 | 123123 | 189004 | 1 секунда | 2 238 979 |
| 8 | 12345 | 188268 | 1 секунда | 2 389 912 |
| 9 | 1234567890 | 171124 | 1 секунда | 2 264 487 |
| 10 | senha | 167234 | 10 секунди | 8123 |
Таб. 8. Класация на най-използваните 10 пароли. Източник: https://nordpass.com/most-common-passwords-list/
При съвременната изчислителна мощ при изполване на модерните инструменти за разбоване на пароли с помощта на готови списъци времето за разбиване на раличните пароли е показано в таблицата по-долу.
Табл.9: Време за разкодиране на паролата със съвременни инструменти според броя и вида на символите[8]
От тук следва извода, че силната парола има повече от десет знака, няма думи от речника и е комбинация от големи и малки букви, числа и символи. Не използвайте една и съща парола за вашия акаунт за управление на домейна, за вашия хостинг акаунт и администраторски панел.
Както беше написано по-горе най-лесният начин за разбиване на пароли е Brute Force с който просто паролите се пробват една по-една и естествено първо се започва със списъкът от този сайт.
Без значение какаква парола имате обаче, някои сайтове изискват т.н. „Таен въпрос“, който също може да служи за пробив в системата за пароли. Ако знаете отговора на тайния въпрос лесно може да влезнете в сайта без паола. Някои сайтове даже не дават възможност на потребителите да си измислят собствен въпрос, а оставят предварително създадени въпроси от рода на „Какво е моминското име на майка ви? Кой номер обучвки носите?“ което е лоша компрометираща практика. В 21 век отговора на тези въпроси с помощта на социалните мрежи се намира за минути, затова не отговаряйте на такива въпроси.
Колкото по- дълга ви е паролата толкова повече време ще отнеме на атакуващите да се изпишат тези пароли. Затова третият метод за разбиване на паролите е т.н. Markov Attack, при която не се използват всички комбинации, а се изполват различни речници и приоми на психологията. Например, повечето хора капитаизират първата буква от името си в паролата си. Ако е мъж можем да пробваме любимия му отбор, в кой град е роден, фомрила едно, егн и др. Ако е жена имена на деца, дата на сватба, домашен любимец, телефонен номер и др.
Последния вариант при който могат да ви компрометират паролата е, това че използвате една и съща парола в различни сайтве. Редовно се случва даден сайт да бъде пробит и тази информация влиза в различни хакерски списъци и инструменти. Те могат да се изполват да ви влезнат в имейла и ако там имате същата парола, започват да разплитат кошницат едно по едно докато влизнат в електронното банкиране.
В сайта https://haveibeenpwned.com/ се съхранват такива списъци и там може да проверите дали вашият имейл или дадена парола се съдържат в такъв списък[9] . Пробвайте вашите имейли и пароли и редовно ги сменяйте.
Затова политиката за информационна сигурност, предвижда, подписването на декларации от страна на служителите, с които потвърждават, че са наясно с възприетата политика и отговорностите за поддържане на контрол над достъпа до предоставените им услуги и ресурси. Това налага необходимостта от спазването на множество корпоративни правила и изисквания за съставянето на паролите и секретната информация на лицето.
Наложените добри практики в това отношение, посочват изисквания, като: паролите да бъдат лесни за помнене, но трудни за отгатване, да бъдат дълги поне 10 символа, включително малки и главни латински букви, цифри и специални символи (#, @, $, % …); не трябва да бъдат свързани със специфични данни или друга лична информация на потребителя, данни за други лица (име, дата на раждане и т.н.).
Може да проверите избраната от вас комбинация за парола, като посетите сайта www.passwordmeter.com или www.geekwisdom.com/dyn/passwdmeter.
Много е важно паролите периодично да се подменят и обновяват, без да бъдат повтаряни стари пароли и никога да не разкривате паролата си на никого. Ползвайте различни пароли за всеки Ваш потребителски профил. Ако използвате обща парола в най-различни сайтове, всичко, което е необходимо, е този сайт да бъде хакнат, за да могат и други да получат достъп до целия Ви онлайн свят.
Практиката показва, че правилното формиране на изискванията на политиката за сигурност, методът основан на потребителско име и пароли, може да гарантира добро ниво на защитеност на системата. Същевременно, при прилагането на този подход за идентификация, се разкриват някои ключови проблеми, които са резултат от съществуващите в момента практики и крият риск за цялостната система за електронен бизнес на организациите и стопанските субекти. Подобен извод, се подкрепя от резултатите от проучването на RSA Security, при което са анкетирани IT-директори, мениджъри и администратори. Резултатите показват, че повече от 28% от анкетираните служители използват в работата си 13 или повече пароли за достъп, по време на работа. Същевременно 81% от IT-специалистите използват повторно пароли в множество приложения, без да обръщат внимание на добрите практики за сигурност и в противоречие с приетата от тях корпоративната политика за сигурност. Така, ако крайните потребители биха се опитали да запомнят своите пароли, то служителите прибягват до други, начин, като: – 25% от служителите съхраняват своите пароли в електронни таблици или друг документ на компютъра си; – 22% от тях записват паролите си на преносими устройства; – 15%, съхраняват паролите си записани на хартия в близост с компютъра.
В крайна сметка, сред множеството от потребителите/ служителите (88%) се наблюдава разпространено чувство на неудовлетвореност от управлението на паролите, като около 20% от анкетираните служители са заявили, че им е необходимо между 6 и 15 минути от работното време за управлението на изгубена или забравена парола, което води до загуба на производителност.
Наблюдаваната тенденция в поведението на потребителите/служителите е към нежелание и отказ за изпълнение на предписанията в политиката за сигурност на организациите, което критично застрашава информационната сигурност на организациите и стопанските субекти. Същевременно, съществен недостатък на този подход и риск за информационната сигурност е и фактът, че получената от системата авторизация на потребителите/служителите е в следствие на потвърждаване на съществуващи уникално име и идентификационен стринг, които могат да бъдат, забравени изгубени, или още по-лошо, предоставени или откраднати от злонамерено лице.
В допълнение, според проучване на SecurEnvoy, почти 75% от служителите споделят своите корпоративни пароли с колегите си, а в 84% от анкетираните големи организации, нарушенията по сигурността са свързани с участието на служителите.
Така автентикацията извършена въз основа на знанието и информацията, както и тази основана на притежание на физически предмети, не гарантира напълно идентичността на индивида и крие потенциални рискове за несанкциониран достъп до системните активи и ресурси. С цел отстраняване на подобни практики и повишаване на сигурността на организациите, се налага осъществяването на последващи нива на физически и логически контрол на достъпа.
Изследванията и отчетените добри практики според, показват необходимостта от използването на два или повече способа за идентифициране на личността, което се нарича двуфакторна автентикация. Използвайте я винаги когато уебсайтовете предоставят тази възможност.
Комбинацията от няколко независими, но свързани помежду си методи за идентификация и автентификация, реализират многофакторна идентификация, която е по-мощен и сигурен механизъм за постигането на информационна сигурност, още повече когато е постигната като резултат от комбинирането на традиционни методи за автентикация с биометрично – базирани такива.
Съвременни подходи за биометрично разпознаване на потребителите.
Отчитайки недостатъците и повишените нива на риск на традиционните методи за контрол на достъп до защитени зони и ресурси, съвременните организации и стопански субекти трябва да заложат в своята стратегия за развитие на системата за електронен бизнес, иновативните решения обхващащи внедряването на биометричните системи и устройства.
При това биометричните технологии са естествено продължение в развитието на технологичните иновации за автентикация, чрез които се извършва по-прецизно идентифициране на потребителите/служителите в организациите и се повишава нивото на контрола над достъпа.
Важно предимство при избора и внедряването на биометричните технологии в организациите и стопанските субекти е гарантирането на присъствието на потребителя/служителя в момента на удостоверяването му.
По този начин, се заменят конвенционалните подходи за автентикация, чрез потребителско име, пароли, PIN кодове, смарт-карти и други с биометрично – базирани такива. Биометричната идентификация се отнася до идентифицирането на дадено лице въз основа на неговите отличителни физиологични или поведенчески характеристики.
Постъпването на биометричната информация се осъществява посредством сензор, а последледващото и преобразуване се извършва от подходящи мощни алгоритми и специализиран софтуер. Биометричната система извършва разпознаване на постъпващите биометрични образци, посредством съпоставянето им със съхранените преди това записи в база данни.
В биометричната система се съхраняват и обработват не самите биометричните изображения, а техните цифрови модели – шаблони, като обратния процес – на възстановяване на реалното биометрично изображение на базата на цифровия шаблон е невъзможен.
Съществуват множество биометрични технологии, които са приложими в процеса на идентификация и автентикация на потребителите. Те могат да се извършват въз основа на биологични характеристики (физиологични или поведенчески), чиито специфични модели – шаблони са уникални за индивида, като: подпис, глас, походка, клавишна динамика на въвеждане на текст, пръстови отпечатъци, геометрия на ръката или пръстите, лицеви контури, ирисът и ретината на очите, пръстови вени или вени на ръцете, ДНК или др.
Прилагането и използването на биометричните характеристики в биометричните приложения, предполага те да отговарят на основни изисквания, които са структурирани от изследователите в тази област и други, като включват: универсалност, уникалност, постоянство, измеримост и приемливост от потребителите.
На практика, всяка биометрична характеристика, притежава дадени предимства и недостатъци, и не е възможно да бъдат изпълнени всички изисквания за ефективност. Затова е необходимо да бъдат направени компромиси при извършването на избор и внедряване на дадена биометрична технология в дейността на съответна стопанска организация. В зависимост от използваното приложение и избраната политика за сигурност в организацията, трябва да бъдат взети в предвид различните аспекти (възможни предимства и недостатъци) на биометричната технология.
Съществуването на специфични случаи, като вродена или придобита инвалидност или професионално обременяване на лицата, също трябва да бъдат взети под внимание, тъй като при определени обстоятелства, биха могли да възпрепятстват процеса на автентикация. При извършването на оценка на значимостта на дадена биометрична система е необходимо да се направи сравнение на някои аспекти на биометричните технологии, които оказват съществено значение за сигурността и ефективността им. Такива са:
– сигурност/ устойчивост при опит за фалшификация на системата;
– точност при идентификация;
– скорост при обработка и съхранение на биометричните шаблони;
– цена на биометричните устройства;
– простота при употреба от страна на потребителите.
От особено значение за характеризирането на дадена биметрична система са стойностите на величините характеризираща риска, неоторизирани лица да бъдат валидирани от биометричната система като легитимни и оторизирани лица да бъдат отхвърлени от системата като нелегитимни.
Тези величини трябва да са с „допустими стойности”, като биометричните системи с високо ниво на точност, трябва да имат нисък процент на фалшиво отхвърляне и нисък процент на фалшиво приемане.
Една от най-атрактивните биометрични технологии в света е безконтактната биометрична технология, основана на снемането на образци получени от пръстови вени. Вариацията на мрежата от венозни съдове е изключително голяма, което гарантира тяхната уникалност и неизменност при всеки индивид. При извършване на качествено съпоставяне между по-популярни биометрични технологии от Hitachi ICT Solutions се вижда, че биометричната технология основана на разпознаване на индивида, чрез пръстови вени (finger vein recognition), притежава предимствата на биометричния метод основан на пръстови отпечатъци, който са ползва с изключителна популярност и разпространение на пазара на биометрични технологии, поради ниската си достъпна пазарна цена и компактни размери.
Едновременно с това, обаче безконтактнта биометрична технология основана на пръстови отпечатъци, преодолява недостатъци, свързани с влиянието на образците от влага, замърсявания, износване или повърхностни наранявания, стареене и др. В допълнение, качеството на изображението получено от пръстови вени е по-надеждно от вените на дланта, тъй като има повече пръсти за идентификация (десет – всеки от които е уникален), а и повечето потребители на биометрични системи са привикнали към използването на пръстова идентификация, поради популярността на пръстовия отпечатък, като заместител на пароли за достъп до лаптопи. Тази технология предлага и висока скорост на обработка на постъпващата информация, и по-висока степен на прецизност и точност при идентификация на индивида, която е съизмерима с ирисовата диагностика. В допълнение при съпоставянето на биометричните характеристики спрямо степента на трудност при опит за фалшифициране, че образците основани на пръстови вени са с най-висока степен на устойчивост при опит за възпроизвеждане, за разлика от пръстовите отпечатъци и други форми на биометрични данни. Ключов аспект при това е фактът, че вените са вътрешна биометрична характеристика за индивида.
Основни аспекти при избора на безконтактната биометрична технология, базирана на пръстови отпечатаъци при внедряването и в организациите са:
– висока скорост на обработка на информацията;
– високата степен на сигурност;
– трудност при опит за фалшифициране;
– много ниските стойности на фалшиво отхвърляне и фалшиво приемане;
– биометричните образци не се повлияват от процеси като стареене, влага, замърсявания, износване или повърхностни наранявания;
– ниска цена и компактни размери;
– бърз, лесен и точен метод за идентифициране на потребителите/служителите.
Персонална безопасност на личните данни в онлайн пространството
Попълвайте формуляри само в сигурни сайтове. Множество сайтове, реклами и други примамват потребителите с обещания. В замяна, трябва да попълните формуляр с Вашето име, адрес, електронна поща и/или номер на кредитна карта. Внимавайте с въвеждането на данните си в интернет пространството. Правете го само когато сте убедени, че всичко е легитимно. Специално за онлайн банкирането никога не следвайте линк по имейл, а изписвайте уебсайта на банката Ви в браузъра. Банките и другите финансови институции редовно актуализират общите си правила и условия, така че може да се осведомявате лесно за тях. Най-големият риск тук за нарушаване на защитата на личните данни се крие в това, че банките разкриват или препродават конкретно разпознаваема информация за клиентите на доставчици или партньори на трети страни, които могат да започнат да Ви „бомбардират“ с оферти за допълнителни услуги. Внимателно прочетете условията на Вашата банка за съхраняване и ползване на лична информация, ако е възможно, се откажете от “оферти за продукти, за да направите банкирането по-лесно и по-удобно.
Научете се да разпознавате различни видове фишинг атаки. Освен изпращането на фишинг имейли има и фишинг сайтовете, които копират действително съществуващи адреси с минимални, трудно забележими разлики. Потребителите, които нямат навика да проверяват изцяло адресите, а това за жалост са повечето хора, могат лесно да бъдат подведени да извършат определено действие в мнимия сайт. Внимателно филтрирайте Вашите имейли. Блокирайте спама. Хакерите стават все по-находчиви и измислят нови идеи, за да зарибят потребителите да разкрият потребителските си имена и пароли.
Деактивирайте функциите „Автоматично попълване“ и „Запаметяване на пароли на браузъра си. Тъй като зависимостта ни от дигитални канали за комуникация, бизнес и развлечения се увеличава, предприемането на мерки за опазване и защита на личните данни става все по-наложително. Важно е да се знае, че всички големи търсачки проследяват историята на търсенията Ви и Ви възприемат като потребителите, към които да насочват своите реклами и резултати от търсенето. Въпреки че на пръв поглед това изглежда много удобно, то създава и сериозни рискове за сигурността, от които не можем да избягаме
Потърсете името си в интернет чрез популярни търсачки. Търсене на текст и изображения. Ако откриете ваши лични данни в уеб сайт, потърсете информация за връзка и изпратете заявка за премахване на вашата информация. Редица фирми и други организации събират данни от онлайн акаунти при извършване на покупка в онлайн магазин, регистрация за конкурс или участие в проучване, изтегляне на безплатен софтуер или сърфиране в интернет, използване на приложения на вашия компютър или мобилно устройство, публикуване на снимки или състояние в социалните мрежи
Използвайте само подсигурени сайтове със сертификатът за сигурност на сайт (SSL). Това е международен стандарт, който осигурява кодиране на онлайн комуникацията между посетителя и сайта. Може да го разпознаете по иконата на катинарче, последвана от името на фирмата с https пред домейна. Без наличието на такъв, информацията се подава в лесно достъпен формат и може да бъде атакувана от злонамерен софтуер, който е внедрен с цел кражба на данни (напр. ако вашето устройство е заразено с вирус). Това е задължителна технология за криптиране на връзката между уеб сървър и браузъра на крайния потребител, днес вече е преименуван на TLS (защита на транспортния слой), но все още се нарича TLS / SSL. Повечето съвременни браузъри не показват сайтовете без SSL сертификат като несигурни. В следствие на това някои от посетителите ще се откажат да следват подобни връзки и трафикът към сайта ще намалее. От друга страна търсещите машини приоритезират връзките с HTTPS (Hypertext Transfer Protocol Secure) и дори понякога даден сайт се класира с HTTPS версията си без да има валиден сертификат, защото е отворен порт 443, например.
Фиг.36: Работа на SSL[10]
Ако не използвате вашето собствено устройство за сърфиране в интернет, отваряйте само раздели или прозорци InPrivate. Когато използвате раздели или прозорци InPrivate, данните от сърфирането (например хронологията, временните интернет файлове и бисквитките) не се записват на компютъра, след като приключите. Въпреки това трябва да сте внимателни и да не въвеждате важни пароли на споделен компютър.
Бисквитките (Cookies ) са малки текстови файлове, които се запазват на вашия компютър или мобилно устройство, когато посещавате даден уебсайт. Те позволяват на уебсайта да запаметява вашите действия и предпочитания (като например потребителско име, език, размер на шрифта и други настройки за показване) за определен период от време, за да не се налага да ги въвеждате всеки път, когато посещавате сайта или преминавате от една страница към друга. Бисквитките улесняват работата ви онлайн, като спестяват информация за сърфирането. Въпреки това някои бисквитки може да изложат вашата поверителност на риск, като проследяват сайтовете, които посещавате. Най-общо има два вида „бисквитки“:
- „Бисквитките“ от първа страна се създават от посещавания от вас сайт. Сайтът се показва в адресната лента.
- „Бисквитките“ на трети страни се създават от други сайтове. Тези сайтове притежават част от съдържанието, като реклами или изображения, които виждате на уеб страницата, която посещавате.
Можете да персонализирате начина, по който браузъра помага да бъде защитен вашият компютър от потенциално опасно или злонамерено уеб съдържание. В зависимост от нивото на защита на сайта дадена част от съдържанието може да бъде блокирана, докато не изберете да я разрешите. ActiveX контролите може да не се изпълняват автоматично или може да виждате предупредителни съобщения за определени сайтове. Най-добре е да изтриете бисквитите и да включите функция забрана на проследяването, както и да спрете изкачащите прозорци.
Заплахите за мрежовата сигурност включват дейности като сканиране на портове, разкриване на пароли, шпиониране и кражба на самоличност. Защита включва регулярна проверка на сигурността от специалист, въвеждане на контроли за защита на уеб сайтове и приложения, както и постоянен мониторинг за зловредна активност.
Безжичната мрежа (Wi-Fi) ви дава възможност да свързвате компютъра си с интернет без да се налага да използвате кабел. Тя обикновено съдържа безжичен рутер, който използва радиосигнали, за да предава данни към компютри в рамките на мрежата. Безжичните рутери се доставят с предварителни настройки, които са много несигурни, така че дават възможност много потребители да се свързват към тях едновременно, и в повечето случаи не са защитени дори с парола – това означава също, че други лица могат да следят трафика и да влязат във вашия интернет акаунт доста лесно.
Процесите в една операционна система трябва да бъдат защитени един от друг при тяхната работа с различните ресурси – апаратни (процесор, памет, устройства) и логически (програми, таблици, файлове). Всеки ресурс трябва да се използва само от процеси, получили съответни права от операционната система.
Ролята на защитата е да даде механизъм за налагане на политиките, управляващи използването на ресурсите. Политиките за сигурност могат да бъдат установени по различи пътища:
- фиксирани при проектирането на системата;
- формулирани от мениджмънта на системата;
- дефинирани от индивидуалните потребители за защита на собствените им файлове и програми.
Компютърната система трябва да бъде защитена срещу неоторизиран достъп, злонамерен достъп до системната памет.
Инсталирайте антивирусен софтуер на всички устройства и редовно ги сканирайте, за да ги предпазите от злонамерен софтуер. Никога не изтегляйте актуализации или файлове от непроверени сайтове и доставчици.
Уверете се, че имате най-новите версии на програмите и лицензиран софтуер. Можете да посетите следния адрес: http://windowsupdate.microsoft.com, който да провери автоматично какво е необходимо за вашата операционна система и вашия браузър, и след това да го изтегли по ваше искане.
Погрижете се за данните извън мрежата Пазете данните си. Преглеждайте извлеченията от вашите банкови сметки и кредитни карти за наличие на необичайни транзакции или тегления и незабавно уведомете банката ако подозирате, че има някакви несъответствия.
Ето четири лесни стъпки, които ще ви помогнат в повишаване на сигурността, независимо от използваната технология.
1. Вие като потребител:
Хакерите знаят, че един от начините да получат това, което искат, е да атакуват самите вас. Ако искат паролата ви, номера на банковата ви карта или контрол над компютъра ви, те ще се опитат да ви убедят да им ги предоставите, често с използване на усещане за спешност. Например могат да ви се обадят, представяйки се на техническа поддръжка от Майкрософт, твърдейки, че компютърът ви е заразен, докато те всъщност са просто престъпници, целящи да получат достъп до компютъра ви. Могат също така да ви изпратят имейл, че въображаема пратка за вас не може да бъде доставена и да поискат да потвърдите адреса си на посочен от тях уебсайт, като всъщност въпросният сайт е предназначен да проникне в компютъра ви. Най-добрата защита срещу такива атаки сте самите вие. Използвайки здравия си разум, можете да разпознаете и спрете атаките.
2. Използване на фрази-пароли:
Когато създавате парола в уебсайт, използвайте силна и уникална фраза. Фразите-пароли са вид парола, която е лесно да се запомни, като например “petar plet plete prez tri pleta”. Колкото по-дълга е фразата, толкова е по-силна. Уникална фраза-парола означава използване на различна такава за всяко устройство или онлайн акаунт. По този начин, ако една от тях е компрометирана, всички останали акаунти и устройства са в безопасност. Не можете да помните всичките тези фрази?
Използвайте мениджър за пароли, който е специализирана програма, съхраняваща всичките ви пароли в криптиран формат (както и много други полезни неща).
Последно, но не по важност – включете удостоверяването в две стъпки (наричано two-factor/2FA/ или multi-factor authentication). То използва паролата ви, но добавя втора стъпка като например допълнителен код, изпратен на телефона ви или генериран от специализирано приложение. Това е важна стъпка, която можете да предприемете, за да повишите допълнително защитата на онлайн акаунтите си.
3. Обновяване на софтуера (Update):
Уверете се, че всяко едно от използваните устройства (компютър, лаптоп, таблет, телефон) работи с най-новата версия на софтуера. Инсталираните приложения също трябва да бъдат обновявани редовно. Хакерите постоянно търсят нови уязвимости в софтуера и приложенията, които се използват. Когато открият уязвимост, с помощта на специални програми те се възползват от уязвимостта, за да проникнат в устройствата ви. Компаниите, създатели на софтуер и приложения за тези устройства, работят непрекъснато по премахването на уязвимостите и публикуват обновления. Когато обновленията се инсталират своевременно, компрометирането (хакването) на устройството е много по-трудно. За да бъде обновено всичко навреме, просто активирайте автоматичното обновяване, където е налично. Това правило се отнася за почти всяка технология с мрежова връзка, включително умни телевизори, бебефони, камери, домашни рутери, игрови конзоли и дори автомобили.
4. Архив и възстановяване:
Понякога, колкото и да сте внимателни, е възможно да бъдете хакнати. Ако се случи, често единственият начин да възстановите информацията си е от архив. Уверете се, че архивирате редовно важната за Вас информация и проверете далиможе да възстановявате данните си от архива. Повечето операционни системи и мобилни устройства поддържат автоматично архивиране на външно устройство или в облачна услуга.
[1] https://static-course-assets.s3.amazonaws.com/CCNAS2/en/index.html
[2] https://static-course-assets.s3.amazonaws.com/CCNAS2/en/index.html
[3] Пак там
[4] https://static-course-assets.s3.amazonaws.com/CCNAS2/en/index.html#7.3.1.2
[5] https://static-course-assets.s3.amazonaws.com/CCNAS2/en/index.html#7.4.1.1
[6] Наков, С. Java за цифрово подписване на документи в уеб. Софийски университет „Св. Климент Охридски” 2005
[7] https://static-course-assets.s3.amazonaws.com/CCNAS2/en/index.html#7.2.1.1
[8] The Security Factory https://www.thesecurityfactory.be/password-cracking-speed/
[9] https://haveibeenpwned.com/
[10] https://postvai.com/seo/ssl-https-wordpress.html