Adobe Systems CORE20 – Digitální svět 1 Kyberbezpečnost Tomáš Plesník et al. CSIRT-MU, 24. 11. 2021 Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 2 Co nás čeká? Kyberhygiena •1. přednáška – 24. 11. 2021 •„Těžko na cvičišti…“ •Jak se bránit Kybernetické útoky •2. přednáška – 1. 12. 2021 •„Lehko na bojišti!“ •Čemu se bránit • Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 3 Představení Tomáš Plesník (přednášející) •Vedoucí Bezpečnostního týmu – CSIRT-MU •Manažer KB MUNI dle z. č.181/2014 Sb. •Správce zabezpečeného IS dle z. č. 412/2005 Sb. •Řešitel (mezi)národních projektů v oblasti KB •https://www.muni.cz/lide/207426-tomas-plesnik Obsah obrázku osoba Popis byl vytvořen automaticky Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 4 Představení Miriam Gáliková •Členka Bezpečnostního týmu – CSIRT-MU •Specialistka kybernetické bezpečnosti •Specialistka na osvětu a vzdělávání v oblasti KB •Lektorka školení uživatelů a U3V •https://www.muni.cz/lide/500327-miriam-galikova ̶ Obrázok, na ktorom je osoba, vnútri Automaticky generovaný popis Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 5 Představení Petra Mikulová •Člen Bezpečnostního týmu – CSIRT-MU •Specialistka na osvětu a vzdělávání v oblasti KB •Lektorka školení uživatelů a U3V •Konzultantka orgranizace Iuridicum Remedium •Spoluautorka osvětových kurzů Kybernetické bezpečnosti •https://www.muni.cz/lide/243499-petra-mikulova ̶ Obsah obrázku osoba, žena, vlasy Popis se vygeneroval automaticky. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 6 Disclaimer Cyber Security ó* Kybernetická bezpečnost ó* Kyberbezpečnost (* alespoň v rámci této přednášky) Dle Akademického slovníku je rovněž kybernetika naukou, která se zabývá studiem složitých informačních systémů. Kybernetika - věda zabývající se obecnými principy řízení a přenosu informací ve strojích, živých organismech a společenstvích. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 7 Definice Kybernetická bezpečnost „Souhrn právních, organizačních, technických a vzdělávacích prostředků směřujících k zajištění ochrany kybernetického prostoru.“ Zdroj: JIRÁSEK, Petr, Luděk NOVÁK a Josef POŽÁR. Výkladový slovník kybernetické bezpečnosti: Cyber security glossary. Třetí aktualizované vydání. Praha: Policejní akademie ČR v Praze, 2015. ISBN 978-80-7251-436-6. Formální definice zní takto, ale o tom to v rámci těchto dvou lekcí nebude Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 8 Regulace Kybernetická bezpečnost •Zákon č. 181/2014 Sb. Zákon o kybernetické bezpečnosti (ZoKB) •Implementace směrnice Evropského parlamentu a Rady EU (NIS Directive) •Aktuálně v přípravě nová verze směrnice (NIS 2 Directive) – očekávaná implementace v 2024 •Vyhláška č. 82/2018 Sb. Vyhláška o kybernetické bezpečnosti (VoKB) •Na základě normy ISO/IEC 27000 (ISMS) – zavedení SŘBI v organizaci •Regulace z pohledu národní autority – NÚKIB •Systémy KII, ISZS a VIS •Na MUNI celkem 2 VIS – IS MU a ESIS MU KB z pohledu formální definice, ale o tom to v rámci těchto dvou lekcí táké nebude Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 9 Motivace Kybernetická bezpečnost •Rychle rostoucí míra digitalizace společnosti a její silná závislost na IS/ICT •Stírající se hranice mezi on-line a off-line světem •Kyberhygiena a orientace v kyberprostoru základem všeobecného přehledu člověka 21. století •Elektronizace všemožných agend (nejen státní správy) •Pandemie a s ní související trendy – home-office a distanční formy výuky • •Potřeba zvyšování digitální gramotnosti populace •Problém celé společnosti – nejen asociálních, dlouhovlasých a nemytých „Ajťáků“ Statistika průměrného času stráveného u telefonu (vice než 8 hodin denně ve věku 15-17 let) Kolik procent informací je nám v rámci internetu volně dostupné (4% má zaindexované google) Bezpečnostní návyky máme/získáváme již od svého dětství (silnice, zamknutí dveří, horká plotýnka, oheň) Adobe Systems 10 Kyberhygiena Obsah obrázku osoba, skupina, lidé, dav Popis se vygeneroval automaticky. CORE20 – Digitální svět - Kyberbezpečnost Není to přednáška o antikyber (buďme všichni zase zpátky offline), ale je to o tom, jak dodržovat a znát správné návyky Jako příklad ze života uvést dodržování hygienických návyků v rámci (zubní hygieny, hygieny mysli, těla a dalšího) Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 11 Co je Kyberhygiena a proč je důležitá? •Pomocí kyberhygieny udržujeme svá data a zařízení v dobrém stavu a zvyšujeme svou bezpečnost •Tvořena většinou z drobností, které dokáží ochránit nás a naše data •Dodržování těchto zásad navíc není až zas tak složité Skupina studentů pracujících v knihovně Todo: doplnit komentář Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 12 Kyberhygiena •Hesla •Zabezpečení zařízení •(Ne)bezpečí na síti •Bezpečnost e-mailové komunikace •Digitální identity Podstatné: Zařazení návyků kyberhygieny nestojí prakticky žádnou finanční ani časovou investici. Jde o bezpečnostní návyky, které se stanou automatizovanými - např. Zamykání dveří od bytu Pouze pár oblastí, které když se podchytí, tak je to velká pomoc, jelikož se by v případě jejich neřízení měli poměrně závažný dopad. Adobe Systems 13 Hesla •Základní mechanismus autentizace •Heslem prokazujeme svou identitu •Hesla odemykají naše informace a tajemství •Hesla skrývají nejen informace o nás, ale často i o našich blízkých Obsah obrázku text, podepsat, obálka, výprodej Popis se vygeneroval automaticky. CORE20 – Digitální svět - Kyberbezpečnost Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 14 Poznáte silnější heslo? R52@n0F& BotaTancujePolku Dokážete rozpoznat silnější heslo? Hlasujme. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 15 Poznáte silnější heslo? R52@n0F& BotaTancujePolku 8 hodin 2 biliony let Ti, kdo zvolili heslo nalevo jistě vylovili v paměti některé požadavky na tvoření uživatelského jmé na a hesla - velká písmena, malá písmena, číslice, speciální znaky, krev jednorožce.... A měli by do jisté míry I pravdu, jenže u hesel platí VŽDY PREFEROVAT DÉLKU PŘED SLOŽITOSTÍ. Heslo o 8 znacích rozhodně nemůžeme považovat za bezpečné. V prolomitelnosti hesel si řekneme proč. Že heslo napravo trvá prolomit 2 biliony let? Nikdo to nečekal? Seznamte se s nejnovějším trendem ve tvoření silných hesel - frázová hesla. Je možno zmínit entropii, ale né moc Možno zmínit 12 znaků pro uživatele a 17 znaků pro správce z pohledu ZoKB Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 16 Bezpečná hesla = Frázová hesla •Pro lidský mozek lehce zapamatovatelná a jedinečná hesla pro každého •Základ frázového hesla: •část básně •scenérie cestou do práce, školy či výletu •vzpomínka z dětství •pořekadlo či říkanka •hláška z oblíbeného filmu •Na délce záleží = aspoň 3 slova! Umění tvořit bezpečná (silná) hesla nespočívá ve využití desítek speciálních znaků a symbolů, ze kterých se vám motá hlava i jazyk. Jak to? Tajemství silných hesel totiž tkví v kombinaci pro vás zapamatovatelných slov. Taková hesla označujeme jako frázová (například BotaTancujePolku) a prolomit je by trvalo několik miliónů až biliónů let. Naproti tomu nabourat se do účtu s heslem se zástupnými znaky na očekávatelných místech (@ místo a, $ místo S, ! místo i, tečka na konci atp.) zabere hodiny až týdny. Pozor! Při přechodu na nové frázové heslo mají lidé tendenci si jej vytvořit velmi kreativně a komplikovaně – a pak jej zapomenou za pár dní. Nové frázové heslo si raději ze začátku často opakujme, než se spolu sžijeme. Nebo můžeme využít správce hesel, o kterých si řekneme už za chvíli. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 17 Prolomitelnost hesel 1.Sociální inženýrství – prozradíme je sami 2.Útok hrubou silou – „uhádne“ je specializovaný SW • •Sdílení hesel s ostatními osobami •Opakování hesel •Jednoduše odvoditelná hesla (jména domácích mazlíčků či dětí) •Seznam hesel „na papíru“ přilepeném na monitoru v kanceláři • Myslíte si, že vy nebo někdo koho znáte je tak dobrý, že jeho heslo je neprolomitelné? Uděláme vám jasno. Neprolomitelná hesla neexistují. Mluvíme zcela vážně. Na planetě Zemi nenajdete osobu, která by takové heslo dokázala vytvořit. Jste překvapení? Na hesla se totiž nikdy nekoukáme způsobem JESTLI naše heslo někdo může prolomit, ale ZA JAK DLOUHO. A to platí u všech různých hesel, které si dokážete představit.​ ​ Zjednodušeně můžeme říct, že existují pouze dva způsoby, jak prolomit heslo. Sociálním inženýrstvím, tudíž kdy útočníkovi nějakým způsobem prozradíme své heslo sami, nebo útok takzvaně hrubou silou. Níže si rozebereme jednotlivé větve, jakou roli při nich hraje složitost hesla a jak se proti nim bránit. ​ ​ Sociální inženýrství: Útočník vám pošle například falešný email s připojením k dané službě, my mu formulář ochotně vyplníme a bum! Naše heslo je v jeho rukou. Jedná se o prachsprostou lidskou manipulaci. Tady pomůže pouze zdravá nedůvěra a obezřetnost. Pozor! Co si odnést? 1) Útočník nemusí disponovat nijak velkou technickou znalostí. 2) Složitost našeho hesla nehraje roli, protože jej útočníkovi sdělíme sami. 3) Jedinou účinnou obranou je rozpoznávání technik sociálního inženýrství a zdravá nedůvěra. 4) Věnujte proto zvýšenou pozornost tomuto tématu v modulu Sociální inženýrství . Útoky hrubou silou: Všechny fungují na principu do jisté míry náhodného generování znaků na různé pozice. Pro tenhle účel existují takzvaní boti (zjednodušeně vysvětlit oč jde), kteří jsou schopni vyzkoušet několik tisíc hesel za pár vteřin. Představme si tento útok na konkrétním případu. Uživatel má na svém mobilním zařízení nastavený PIN kód pro odemknutí mobilu. Ten je 2233. Pomocí útoku hrubou silou lze k jeho telefonu připojit malé šikovné zařízení, které velmi dobře dělá svoji práci. Začne logicky vyplňovat pozice na PIN kódu dle instrukcí svého stvořitele. Začne 1111, pokračuje 2222, za nějakou dobu už je na pozici 1122. Za jak dlouho se dostane k PIN kódu tohoto uživatele? Brzy. Pozor! Co si odnést? 1)Útoky hrubou silou mohou probíhat absolutně bez našeho vědomí nebo kontaktu s útočníkem 2)Jejich úspěšnost záleží zcela na složitosti našeho hesla 3) Proti útokům hrubou silou se lze velmi efektivně bránit vícefaktorovým ověřováním Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 18 Pamatujete si slajd, kde jsme se bavili o prolomitelnosti hesel? Zde je názorná ukázka. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 19 Správce hesel •On-line či off-line trezor našich hesel (nejenom) •Chráněno jedním „hlavním a silným“ heslem •Možnost volby různorodých či generovaných hesel • •OS Windows: Bitwarden, LastPass, KeePass, NordPass, Keeper •OS Linux: Bitwarden, LastPass, KeePassX(C), Buttercup, Keeper •Mac OS X: Klíčenka, 1Password, LastPass, DashLane, Keeper správce hesel. Co je jeho úkolem? Jedná se vlastně o jakýsi trezor, který zašifrovaně střeží naše hesla. Funguje jako databáze, kam si hesla ukládáme. Správců hesel existuje celá řada: například ve formě doplňku do prohlížeče. Většina správců hesel pak dokonce za nás i hesla při přihlašování vyplňuje, takže je ve správci nemusíme zdlouhavě dohledávat. Všichni správci hesel mají jedno společné: do všech se přihlašujete jedním heslem, takzvaným master heslem. Od momentu, kdy si správce hesel zařídíte, je to jediné heslo, které je si třeba pamatovat. Je jako velký zlatý klíč k vaší pokladnici. Správce hesel po uložení hesla zašifruje, takže i kdyby se k vaší databázi dostal někdo cizí, bez master hesla nezmůže doopravdy nic. Toto heslo tedy musí být opravdu silné. Pozor! Své master heslo opravdu nikdy nikdy nesmíte zapomenout. Jinak se do svého trezoru a ke svým uloženým heslům nedostanete. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 20 Vícefaktorové ověřování •MFA – Multi-Factor Authentication •Často známé a používané „Dvoufaktorové ověření – 2FA“ •Další „pokročilejší“ vrstva ochrany proti prolomení hesel •Klíčové pro ochranu “důležitých“ účtů •Eliminace většiny útoků a přitom stačí udělat jen o krok navíc Vícefaktorové ověřování (MFA) přidává do procesu přihlašování další vrstvu ochrany. Při přístupu k účtům nebo aplikacím provádějí uživatelé dodatečné ověření identity, například nasnímají otisk prstu nebo zadají kód, který jim přijde na telefon. Útočníci neustále přicházejí s novými a sofistikovanějšími metodami, jak se dostat k našim přihlašovacím údajům a jak se nabourat do našich účtů. Používat pouze hesla ne vždy stačí. Proto pro ochranu účtů s vysokým stupněm důležitosti musíme být ještě o krok napřed. K tomu nám dokáže pomoct právě vícefaktorové ověřovaní nebo autentizace, která přidává další krok do procesu přihlašování se k účtu. Proč se nám táto práce navíc při každém přihlašování vyplatí? Vícefaktorové ověření poskytuje pokročilejší vrstvu ochrany, která je klíčová u aplikací jako je například internetové bankovnictví. V případě, že uživatel používá jenom ověření jménem a heslem, je náročné rozeznat, zda se k účtu přihlašuje skutečně vlastník účtu nebo útočník, který tyto údaje podvodně získal. Vícefaktorové ověření přidává jeden nebo několik dalších faktorů ověření totožnosti přihlašujícího. Základním pilířem tohoto ověřování je fakt, že přídavný faktor je pro útočníka velmi náročné získat nebo duplikovat, ať už z pohledu limitovaného času nebo osobní vzdálenosti. Z toho důvodu se útočník už nemůže dostat v přihlašovaní dál, i když se mu třeba podařilo uloupit naše heslo. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 21 Vícefaktorové ověřování Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 22 Vícefaktorové ověřování • Faktor znalosti (něco, co znáte) – kombinace uživatelského jména a hesla, PIN, jednorázové OTP (One-time password) hesla nebo bezpečnostní otázky • Faktor vlastnictví (něco, co máte) – jiné důvěryhodné zařízení, platební karta nebo bezpečnostní hardwarový token. • Faktor biometrie (něco, co jste) – otisk prstu či ucha, sken očnice, rozpoznání obličeje či hlasu, obraz krevního řečiště Po zadání a úspěšném ověření našeho uživatelského jména a hesla se nám zobrazí výzva k další formě prokázání totožnosti, například pomocí pinu z ověřovací aplikace nebo otisku prstu. Po zdárném ověření dalšího požadovaného faktoru získáme přístup ke svému účtu. Toto sekundární ověření může mít mnoho podob a pro zjednodušení je dělíme do 3 kategorií faktorů: Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 23 Biometrie •Budoucnost vícefaktorového ověřování •Otisk prstu, sken obličeje, oční sítnice, krevního řešiště, autentizce ucha (neinvazivní) •Další výzkum primárně v oblasti otisků prstů •Problémy zneužití •Padělky otisků prstů – možné vyrobit i v domácím prostředí či jednoduše sejmout •Autentizace za pomoci fotografie (digitalizovaný obraz tváře) •Problémy revokace •Biometrické údaje na celý život – revokace prstu či ucha??? •Prozatím řešeno generováním sady šablon jedinečných pro jednotlivce Budoucnost vícefaktorového ověřování se bude pravděpodobně zaměřovat na další výzkum otisků prstu. Zároveň se předpokládá nárůst používání současne netradičních biomerických metod jako je například autentizace ucha, jehož sebrání ověřovacího vzorku je neinvazivní. Mohlo by se zdát, že identifikace pomocí vlastností našeho těla funguje naprosto bezchybně. Nemusí to tak vždy být, dukazem jsou například padělky otisků prstů, které je možno vyrobit i v domácim prostředí (úspečnost útoku závisí i na kvalitě autentizačných metod cíle). Dalším neslávnym příkladem je rozpoznávaní obličeje na noteboocích interní kamerou. Na bezpečnostní konferenci Black Hat bylo demonstrováno jak snadno je možné proniknout do notebooků firem Lenovo, Toshiba a Asus. Stačila mu k tomu digitální fotografie skutečných uživatelů. Problém spočívá v neschopnosti technologie rozlišovat mezi digitalizovaným obrazem a skutečnou tváří. Útočníkovi by stačilo získat fotografii uživatele a pomocí běžně dostupných nástrojů ji upravit tak, že systém rozdíl zkrátka nezjistí. Na rozdíl od čísla kreditní karty nebo hesla, ktoré mohou být člověku vystavěny a později pokud jsou kompromitovány také odvolány, biometrické údaje mají osoby na celý život. Problémem pak je vyvinout biometrické šablony, které lze snadno zrušit a znovu vydat, které jsou také jedinečné pro uživatele a lze je snadno použít k identifikaci a ověření. Metody revokace biometrie jsou většinou řešeny prostřednictvím metody pro generování sady šablon, které jsou pro jednotlivce zcela jedinečné a také odvolatelné. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 24 Překonané metody* •Zapisovat hesla na papírky či si je pamatovat nazpaměť •Pravidelně měnit heslo (např. 180 dnů) •Hlídat dříve nastavená hesla (5 posledních) •Nahrazovat písmena speciálnymi znaky nebo čísly (@#$~^1234) •100% spoléhat na bezpečnost hesla • *dle doporuční NIST (National Institute of Standards and Technology) Vím, že o tvorbě správného hesla nejspíše neslyšíte poprvé. I tady se ale trendy mění, tak se pojďme ještě podívat na zastaralá doporučení, která se časem ukázala jako neefektivní, ba někdy i kontraproduktivní – mnohdy se jimi ale stále nevědomky řídíme. Tohle jsou nejznámější a nejčastěji zaužívané heslové retro pravdy, která už neplatí a je lepší se jim vyhnout: Častá změna hesla: Pravidelná změna hesla se může jevit jako rozumný způsob, jak se vyhnout potenciálnímu riziku ohrožení našeho účtu. Jisté období tento přístup prosazovali i mnohé popřední IT organizace, ale čas ukázal a výzkum potvrdil, že tento přístup přináší více škody než užitku. Stručně řečeno: nutit uživatele, aby si často resetovali heslo, způsobuje primárně to, že si vytvářejí slabší hesla. Uživatelé pokaždé udělají v jejich heslech jenom drobné, předvídatelné změny (často přidání nebo změnění posledního znaku), které útočník snadno odhalí. Na druhé straně ovšem platí, že když jsme si vědomi, že došlo k úniku našeho hesla například prostřednictvím phishingu , je nutno heslo skutečně co nejrychleji změnit! Nezapisovaní si hesel a pamatováni si hesel nazpaměť: Stále platí, že zapsat si heslo od počítače na papírek a přelepit jej na monitor je jeden z největších heslových přešlapů. Není však v naších silách zapamatovat jsi hesla ke všem účtů (obzvlášť, když se držíme zásady, že pro každý účet máme jiné jedinečné heslo). Je tak vhodné využívat správce hesel, o kterých si ještě povíme. Zaměňovaní některých písmen za podobné číslice či speciální znaky: Mnohdy jsme při tvorbě nového hesla nuceni splnit složité požadavky na kompozici a použit malé a velká písmena, aspoň jednu číslici či speciální znak. Problémem je, že taková pravidla jen zřídka nabádají uživatele k nastavování silnějších hesel a vedou spíše k heslům, která jsou slabá a těžko zapamatovatelná. Často ve snaze splnit požadavky nahrazujeme písmena podobnými čísly nebo speciálním znaky, například velké písmeno E je často nahrazováno číslem 3, nebo namísto písmena „a“ použijeme @ atp. Ale tohle útočníci velmi dobře vědí! Držme se proto při tvorbě hesel zásad dlouhých frázových hesel, protože jsou pro nás lehko zapamatovatelná a jak mnohé výzkumy potvrdili, také bezpečná. Adobe Systems 25 CORE20 – Digitální svět - Kyberbezpečnost Osoba píšící na přenosném počítači •Zařízení jsou branou do světa internetu •Preventivní návyky jsou účinná zbraň •Z maličkostí se dá udělat účinná ochrana Zabezpečení zařízení Počítače, telefony, tablety, chytré hodinky, robotické vysavače nebo na síť připojené centrifugy v laboratoři. To všechno (a mnoho dalšího) jsou zařízení, která mohou být využita k útoku na naši kyberbezpečnost. Musíme je proto chránit, a to jak s ohledem na jejich fyzickou ochranu, tak s důrazem na jejich programové vybavení a data, která do nich ukládáme. V další části přednášky se společně zaměříme na obecná pravidla ochrany zařízení, promluvíme si o zamykání obrazovky, náhledech notifikací nebo potřeby zálohování dat. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 26 Co je na této fotografii špatně? • • • • Co uživateli reálně hrozí? Obsah obrázku text, interiér, kancelář Popis se vygeneroval automaticky. Ano, I kamera na večejnosti může ukrást údaje z vaší kreditní karty :) Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 27 Uzamykání obrazovky mobilního zařízení •Výrazně snižuje riziko zneužití dat či zařízení •Heslo do zařízení je základním prvkem ochrany před vniknutím či ovládáním •Metody pro odemčení u chytrých telefonů: •PIN, heslo •kreslená gesta •biometrický zámek (otisk prstu – TouchID, rozpoznání obličeje – FaceID) •Nejméně a nejvíce bezpečná metoda odemykání obrazovky? •U počítačů se používá ruční zamykání obrazovky pomocí klávesových zkratek •Windows klávesa + L (OS Windows), Controle + Command + Q (Mac OS X) Výrazně snižuje riziko zneužití dat na zařízení. Heslo do zařízení představuje základní prvek ochrany vašeho zařízení před nechtěným vniknutím a ovládáním. U chytrých telefonů je možné použít PIN, heslo, kreslená gesta, nebo nejvíc bezpečný je biometrický zámek (otisk prstu, rozpoznání obličeje) v kombinaci se silným heslem. Nejméně bezpečné je kreslené gesto. U počítačů se používá ruční zamykání obrazovky (klávesová zkratka je tlačítko Windows s písmenem L). Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 28 Náhledy notifikací •Dokáží komukoliv poblíž odhalit naše soukromí •U mobilních zařízení prozrazují více informací, než je zdrávo •A to nejen při odcizení •Poškozují obrazovky u mobilních zařízení •Kompromisem je nastavit si náhled pouze na jméno osoby •Nejčastěji u SMS či IM zpráv •V případě počítače řešení pomocí zamykání obrazovky U mobilních zařízení prozrazují víc informací, než byste (nejen při odcizení) uvítali. Zkuste chvíli sledovat, jaké zprávy běžně posíláte a dostáváte a kolik z nich je určeno jen pro vaše oči. Kompromisem mezi praktickými rychlými náhledy a bezpečností, je nastavit si náhled pouze na jméno osoby (najdete v Nastavení, v sekci typu Oznámení či Centrum upozornění). U počítače toto řeší opět zamykání obrazovky. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 29 Antivirové řešení •Dnes již komplexní bezpečnostní řešení •Antivir, Antispam, Antispyware, Antimalware, Rezidentní ochrana, Firewall, Spouštění aplikací •Síto na odfiltrování nebezpečí (nejen) internetu •Detekují podezřelé soubory, SW, malware, síťový provoz, externí disky •Nutnost aktualizace AV databáze •Nejznámější výrobci AV řešení: •Microsoft Defender, ESET, AVAST, F-Secure, Kaspersky, Bitdefender • Každý den stahujeme soubory z internetu a otvíráme dokumenty z pošty. Naším zařízením projdou desítky a stovky souborů, které mohou být potenciálně nebezpečné: mohou v sobě ukrývat škodlivý kód. Mít na svém zařízení antivirový program, který dokáže tyto potenciálně nebezpečné soubory identifikovat a zastavit dříve, než napáchají škodu, je jednoznačně potřeba. Antivirový program je také nutné udržovat aktualizovaný, ale o to se většinou postará program sám automaticky. Víte že... více není vždy lépe? Není dobré na jedno zařízení instalovat více antivirových programů. Ačkoliv se může zdát, že duální ochrana bude efektivnější, dva a více aktivních antivirových programů mohou vést naopak ke kontraproduktivní detekci nebo nedostatečné ochraně. Tématem je také antivirový program na mobilních zařízeních. Obecně ho doporučujeme i zde, zásadnější prevencí je tu však pravidelná aktualizace operačního systému (např. Android) a nainstalovaných aplikací. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 30 Pravidelné aktualizace •Přijdou vždy, když se to nejméně hodí a jsou otravné! • •Poskytují ale vyšší bezpečnost vašeho SW i HW •Opravují chyby, zkrášlují nebo vylepšují služby prostřednictvím instalace nejnovějších verzí softwaru •Klíčové je neotálet a dělat je pravidelně Ano, aktualizující se Windows v momentě, kdy to nejméně potřebujeme (třeba když máme za pět minut důležitou přednášku), to je skutečně otrava. Ale aktualizace nejsou jen nové funkce a vizuální změny v operačním systému – aktualizace jsou především reakce na odhalené bezpečností díry. Automatické aktualizace proto nikdy nevypínáme a pokud je nám nabídnuta možnost je odložit, odkládáme je jen ve velmi zásadních případech. Tato pravidla se týkají nejen operačního systému Windows, ale také všech nainstalovaných aplikací a programů a samozřejmě i systému na našem mobilním telefonu nebo tabletu (např. Android). Většina systémů a aplikací se aktualizuje sama a automaticky (popřípadě nám existenci aktualizací oznámí a vyzve nás k jejich instalaci), ale i tak je dobré kontrolovat, že automatické aktualizace probíhají. Pokud zjistíme, že tomu tak není, je vhodné tuto skutečnost hlásit a řešit s IT podporou. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 31 Testované zálohy To nejdůležitější: •Je dobré zálohovat důležité soubory, protože o ně můžeme lehko přijít. •Kromě nečekaného selhání pevného disku nás může ohrozit i ransomware. •Ransomware zašifruje naše data a za přístup k nim bude žádat výkupné. •Když máme data někde zálohována, bolí nás tahle nepříjemná situace méně. •Zálohovat se dá do cloudu (OneDrive atp.) nebo lokálně (externí pevný disk atp. •Občas je dobré také zálohy otestovat, že fungují. ̶ ̶ ̶ ̶ ̶Jak nepřijít o svá data i v případě krádeže, ransomware nebo poškození zařízení? ̶ ̶Využít on-line nástroje: ̶OneDrive ̶Google Drive ̶Apple iCloud Propočty jsou to možná trochu divoké, ale uvádí se, že jen v USA každý týden selže na 140 000 pevných disků. Ve spěchu každodenní činnosti si mnohdy ani neuvědomíme, co by se stalo, kdyby zrovna náš disk odešel do věčných lovišť. Ve chvatu digitálních životů necháváme soubory na ploše v počítači nebo ve složce Dokumenty na lokálním zařízení, na telefonu nebo třeba tabletu. Tam naše data nejvíce ohrožují dvě hrozby: nečekané selhání zařízení (resp. pevného disku) a hrozba zvaná ransomware. Četli jste příběhy v prvním modulu? Tak to už jste o ransomware útocích slyšeli. Co zálohovat? Prioritizujte! Ne všechny soubory jsou si rovny, některé jsou důležitější než jiné. Rozepsaná diplomka nebo draft odborného článku mají zcela jistě vyšší hodnotu než vtipné obrázky stažené z Facebooku. Až ransomware zaútočí, kvůli veselým GIFům s koťátky nejspíš nebudeme peněženku ani otevírat – kvůli bakalářce ve stavu téměř před odevzdáním už ale v zoufalství možná prasátko rádi rozbijeme. Není proto třeba zálohovat úplně všechno, ale hodí se rozsegmentovat si soubory: vyberte to nejdůležitější, nejzásadnější. Pravidlo 3-2-1 Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 32 Ztráta zařízení •Co dělat v případě ztráty? •Volat o pomoc? Volat kamarádovi? Volat Policii ČR? Nevolat? •Ideálně využít on-line služby „Najdi moje zařízení“: •Vzdáleně zabezpečí zařízení (vymažou data, vyfotí zloděje) •Nechají telefon vyzvánět •Zobrazí jej na mapě •Najdi moje zařízení (pro Android) •Najít můj iPhone (pro iOS) • Pro řešení ztráty zařízení se doporučuje použít online službu Najdi moje zařízení (pro Android) nebo službu Najít (pro Apple iOS), které vzdáleně vymažou data, zabezpečí zařízení, nechají telefon vyzvánět a zobrazí jej na mapě. Adobe Systems 33 (Ne)bezpečí sítí CORE20 – Digitální svět - Kyberbezpečnost Obrázok, na ktorom je elektronika Automaticky generovaný popis •Nejde jen o to, dostat se na internet, ale dostat se tam bezpečně •Ne každá WiFi síť je stejná •Ne každá WiFi je bezpečná •Nebezpečí veřejných WiFi sítí Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 34 Veřejné WiFi sítě bez hesla •Velké bezpečnostní riziko pro citlivé údaje a data •Lovení obětí pomocí “fakových” veřejných WiFi v nákupních centrech, kavárnách či letištích •Na WiFi bez hesla Vás vidí všichni připojení (a že je jich hodně) •Není obtížné získat vaše hesla, data či údaje o kreditní kartě •Dobré je vypnout funkci automatického připojování na dostupné WiFi bez hesla • Lovení pomocí fake veřejných WiFi v nákupních centrech a letištích. Zdůraznit vypínaní funkci automatického připojování na dostupné WiFi bez hesla (automatické připojování je vhodné pro domácí či pracovní WiFi síť). Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 35 Veřejné WiFi sítě s heslem •O něco bezpečnější pohyb na internetu •Vidí Vás jen legitimně připojení uživatelé (lepší než nic) •Nicméně data jsou stále čitelná/odchytnutelná pro připojené uživatele •Správu nad sítí má pouze administrátor dané sítě •Jste si jisti čistými úmysly správce? :) Myšlenka: je to sice lepší než WiFi bez hesla, ale nikdy si nemůžeme být plně jisti úmysly toho, kdo ji spravuje. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 36 Virtuální privátní síť (VPN) •Pomyslný tunel do „bezpečné“ sítě •Dovnitř VPN útočník neuvidí jen tak nevidí •Zajišťuje bezpečné připojení odkudkoliv, i z veřejné WiFi sítě •Typicky poskytovaná služba zaměstnavatelem nebo i VVŠ •VPN na MUNI – https://it.muni.cz/sluzby/vpn • „virtuální privátní síť“ nám umožňuje připojit se do sítě univerzity z domova a využívat tak všech služeb a výhod naší instituce, jako bychom byli přímo na univerzitě. Internetový provoz je při využití technologie VPN šifrován, takže nikdo nemůže zachytit, pozměnit nebo dokonce monitorovat naši aktivitu. VPN můžete využít například pro přístup k placeným elektronickým odborným zdrojům z domova? Využijte ji ale i pro mnoho dalších činností. Návody ke zprovoznění VPN na naší univerzitě najdete na https://it.muni.cz/sluzby/vpn Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 37 Eduroam •Jedná se o bezpečné připojení a máme i na MUNI! •WiFi infrastruktura provozovaná mezinárodní výzkumnou a vzdělávací komunitou •Dostupný celosvětově, a dokonce ne nutně v okolí tamější akademické půdy •Aby Eduroam fungoval jak má, je třeba instalace konfiguračního nástroje Eduroam CAT Eduroam na akademické půdě běžně využíváte, možná ale nevíte, co jej odlišuje od běžných WiFi sítí a jaké výhody přináší? Eduroam je WiFi infrastruktura provozovaná mezinárodní výzkumnou a vzdělávací komunitou, což z ní činí rozsáhlou světovou síť s mnoha partnery – proto na Erasmu, služební cestě nebo zkrátka na výletě narazíte na Eduroam připojení k internetu, a to dokonce ne nutně v okolí tamější akademické půdy. Jako člen zapojené instituce (Masarykovy univerzity) se na mnoha místech připojíte přes UČO a sekundární heslo. Nezapomeňte ale, že do všech zařízení byste měli nainstalovat konfigurační nástroj Eduroam CAT, který zajišťuje bezpečné připojení. Adobe Systems 38 •E-mail = hlavička a tělo •Šifrování a digitální podpis •Kritické myšlení při podezřelých e-mailech CORE20 – Digitální svět - Kyberbezpečnost Bezpečnost e-mailové komunikace Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 39 Jak je to s těmi e-maily? Obsah obrázku text Popis se vygeneroval automaticky. Tak základní věc jako je e-mail. Opravdu víte co je například e-mailová hlavička? Co představují všechny pole znázorněné na obrázku? Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 40 Elektronický podpis •Zajišťuje integritu a nepopiratelnost přenášené zprávy a odesilatele •Elektronický podpis garantuje, že zprávu odesíláte opravdu vy a že zpráva nebyla během přenosu změněna •Nahrazuje klasický vlastnoruční podpis •Realizován za pomoci osobního certifikátu X.509 či PGP klíče • Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 41 Šifrování •Zajišťuje důvěrnost přenášené zprávy •Zprávu si nepřečte nikdo kromě legitimního příjemce •Zpráva se převádí z čitelného textu na nečitelný šifrovaný text, který může dešifrovat jenom „skutečný“ příjemce •Zajišťuje oblast kryptografie – symetrická či asymetrická Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 42 Kritické myšlení při podezřelých e-mailech Obrázok, na ktorom je text Automaticky generovaný popis Adobe Systems 43 Digitální identita CORE20 – Digitální svět - Kyberbezpečnost •Vzniká na základě digitální stopy •Reflektuje nás a naše chování v online světě •Slouží jako vstupní brána do IS Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 44 Digitální stopa •Vytváříte ji veškerou svou činností ve virtuálním prostředí •V dnešní době je už téměř nemožné se ji vyhnout •Vědomé vs. nevědomé sdílení informací •Historie prohlížení, cookies, zakoupené produkty, navštívená místa s GPS, sociální sítě •Ani s anonymním prohlížečem nejsme neviditelní •Vždy dobře zvažujte co umístíte na sociální sítě •Za pár let to bude zajímat HR oddělení •Toto vše pak tvoří Vaší digitální identitu •Je velmi cenná, soukromá a dá se s ní velmi dobře obchodovat Část informací po sobě zanecháváte takřka nevědomky: historii prohlížení, cookies – avšak jejich množství můžete zredukovat třeba nastavením (cookies) nebo využitím anonymního prohlížeče. Vědomé sdílení informací (typicky na sociálních sítích) si pečlivě hlídejte: nastavte si soukromý profil, komunikujte (sdílejte) s lidmi, které znáte, zvažte, co opravdu potřebujete sdílet s celým kybersvětem. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 45 Elektronická identita Část informací po sobě zanecháváte takřka nevědomky: historii prohlížení, cookies – avšak jejich množství můžete zredukovat třeba nastavením (cookies) nebo využitím anonymního prohlížeče. Vědomé sdílení informací (typicky na sociálních sítích) si pečlivě hlídejte: nastavte si soukromý profil, komunikujte (sdílejte) s lidmi, které znáte, zvažte, co opravdu potřebujete sdílet s celým kybersvětem. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 46 Závěrečná úvaha Obrázok, na ktorom je text Automaticky generovaný popis Jen pozor na češtinu: "Čím vyšší..., tím víc" Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 47 Chcete se dozvědět více? •Stránky CSIRT-MU – https://csirt.muni.cz •Bezpečnostní portál MUNI – https://security.muni.cz •Kurz Kyberkompas •Kurz GDPR •Techniky sociálního inženýrství •Projekt CRP-KYBER21 Část informací po sobě zanecháváte takřka nevědomky: historii prohlížení, cookies – avšak jejich množství můžete zredukovat třeba nastavením (cookies) nebo využitím anonymního prohlížeče. Vědomé sdílení informací (typicky na sociálních sítích) si pečlivě hlídejte: nastavte si soukromý profil, komunikujte (sdílejte) s lidmi, které znáte, zvažte, co opravdu potřebujete sdílet s celým kybersvětem. Adobe Systems CORE20 – Digitální svět - Kyberbezpečnost 48 Děkujeme za pozornost