Największe Zagrożenia W Sieci

[brokk]

chciałbym podyskutować o tym co w sieci najniebezpieczniejsze. czy waszym zdaniem jest to phishing czy coś innego?jak sobie z tym najlepiej radzić? jesli macie jakieś spostrzeżenia to zapraszam do dyskusji może powstac fajny wątek...

 

http://pl.wikipedia.org/wiki/Phishing

Edytowane 18 Listopada 2009 przez Kolobos

[Kolobos]

> chciałbym podyskutować o tym co w sieci najniebezpieczniejsze. czy waszym zdaniem jest to phishing czy coś innego?

 

Bezmyslnosc uzytkownikow jest najniebezpieczniejsza i nie ma na nia lekarstwa. To wyczerpuje calkowicie temat.

 

 

PS. Kazdy umie korzystac z wiki, nie musisz wklejac zawartosci na forum!

Edytowane 18 Listopada 2009 przez Kolobos

[ULLISSES]

Dyskutować o niewiedzy, bezmyślności, naiwności i głupocie nie widzę sensu. Jacyś chętni na temat?

[brokk]

niezupełnie takiej reakcji sie spodziewałem 8O szkoda.

najłatwiej powiedzieć że to wina bezmyslności, ok zgoda trzeba z głową siadać do kopa i tak samo w sieci, mysleć co się robi.

ale nie każdy jest świadomy na przykład zagrożeń które powoduje zakladając konto na portalch społecznościowych. czy oprócz tego żeby nie robić nic i nigdzie nie podawać swoich danych można się jakoś jeszcze obronić przed kradzieżą danych? czy antyvirusy zapewniają taką ochronę? czy trzeba tutaj czegoś innego.

[ULLISSES]

Z Twoich wcześniejszych postów wnioskuję, że sam wiesz jak dobrze chronić swoje dane. Dyskusja zmierza raczej w kierunku szkoleń lub kampanii mających na celu uświadomienie tych mniej doświadczonych o zagrożeniach związanych z Siecią (bo to ona jest obecnie głównym zagrożeniem - nie CD z piratami jak kilka lat temu). Przedstaw swoje poglądy i wtedy może temat się jakoś rozwinie.

[brokk]

mam wrażenie że jesteście jakoś tak wrogo nastawieni do nowego tematu. głupota i bezmyślność....hmmm gdyby wszyscy byli tacy mądrzy to problemu ochrony danych itp wogole by nie było a phishing pewnie kojarzyloby się z łowieniem ryb 8O

naprawde nie zawsze da sie miec pewnosc że np mil ktry się dostalo jest proba wyłudzenia danych. licze raczej na rozwiniecie tematu w kwestii czy soft av sobie z tym rdzi i wjakim zakresie który. nie mam zamiaru reklamować bezsensu mojego av.

wasze komentazre niewiele wnosza do dyskusji ktora zacząłem a jestescie wkoncu Mod-ami 8O

[Gość <account_deleted>]

mam wrażenie że jesteście jakoś tak wrogo nastawieni do nowego tematu. głupota i bezmyślność....hmmm gdyby wszyscy byli tacy mądrzy to problemu ochrony danych itp wogole by nie było a phishing pewnie kojarzyloby się z łowieniem ryb 8O

naprawde nie zawsze da sie miec pewnosc że np mil ktry się dostalo jest proba wyłudzenia danych. licze raczej na rozwiniecie tematu w kwestii czy soft av sobie z tym rdzi i wjakim zakresie który.

phishing to metoda działająca tylko na idiotów - każdy bank daje wystarczające instrukcje jak należy bezpiecznie korzystać z konta. Jeśli ktoś tego nie czyta to jego problem i jego pieniądze. To samo jeśli ktoś ładuje do systemu "ruskie" cracki a za chwilę loguje się na swoje konto - debil po prostu.

Maile: jak wyżej - banki nigdy nie proszą w mailu o dane pozwalające ukraść pieniądze. Istnieją też telefony - pozwalające zweryfikować tożsamość nadawcy.

Kto odpisuje na wiadomość od "Alexy Roxany" napisany niepoprawną polszczyzną lub po angielsku?

 

Największym zagrożeniem w sieci (ale i w realu) jest ludzka głupota - jak już wcześniej napisano.

[Gość Pigmej]

1. gdyby wszyscy byli tacy mądrzy to problemu ochrony danych itp wogole by nie było

2. a phishing pewnie kojarzyloby się z łowieniem ryb 8O

3. naprawde nie zawsze da sie miec pewnosc że np mil ktry się dostalo jest proba wyłudzenia danych.

4. licze raczej na rozwiniecie tematu w kwestii czy soft av sobie z tym rdzi i wjakim zakresie który. nie mam zamiaru reklamować bezsensu mojego av.

1. Byłby. Zawsze ktoś chce UKRAŚĆ dane w pełni świadomie. Nie z głupoty, czy przypadku.

2. Myślę że teraz też tak się większości kojarzy.

3. Zawsze. Kwestia znajomości podstawowych zasad bezpieczeństwa w sieci. Wszystkie linki w mailach, itp są ZAWSZE nieprawidłowe, bo np. nie mogą prowadzić do domeny banku. Więc są PODOBNE. Jeżeli ktoś się łapie na podobieństwo to... wracamy do punktu wyjścia- naiwności/ nieuwagi/ etc. W skrócie czynnik ludzki.

4. Tematów o antywirach już kilka jest.

[ULLISSES]

Myślę, że nasze komentarze wnoszą 100% do dyskusji. Albo się jest rozsądny, ostrożnym i świadomym zagrożeń, albo nie. Dawniej do Internetu mieli dostęp ludzie rozsądni i wykształceni. Teraz ma dostęp praktycznie każdy i stąd tyle problemów związanych z bezpieczeństwem. To tak, jak by nagle każdy mógł jeździć samochodem nie posiadając prawa jazdy. Przesadzone porównanie? Nie sądzę...

 

A jeśli chcesz zacząć poważną dyskusję, na której tak Ci zależy, to pisz wolniej (gubisz znaki), stosuj duże litery tam gdzie należy i wszystkie polskie znaki. Nie chce wyjść na tego, który używa ortografii jako argumentów, ale wali to po oczach, gdy osoba domagająca się poważnej dyskusji, pisze posty na poziomie gimnazjum.

[Jurson]

jak brokk chcesz takiej dyskusji to stwórz słownik z krótkimi definicjami i jak sobie z nimi radzić8O

[brokk]

a może Ty to zrobisz? masz coś do powiedzenia w tym temacie czy też zamierzasz mój watek skrytykować?

 

przepraszam za błędy będę sie starał pisać poprawnie i nie gubić znaków.

ponad to wydaje mi się że phishing nie dotyczy tylko i wyłącznie wykradania informacji z kont bankowych. a numer telefonu? jakieś tego typu dane? login i hasło na pocztę?

[ULLISSES]

A co tu można dużo mówić?

Tacy ludzie wykorzystują naiwność, łatwowierność i brak podstawowej wiedzy w zakresie korzystania z kont internetowych (poczta/bankowe itd). Zarówno w umowach, jak i na stronach banków jest zaznaczone, że bank (jego przedstawiciele) nigdy nie proszą i nie będą prosić o podanie loginu/hasła/numeru konta.

Jeśli ktoś jest naiwny i podaje te dane bez zastanowienia przez telefon lub na stronie, to już nic nie da się zrobić.

 

Antywirusy czy firewalle nie mają takich możliwości (a przynajmniej nie widziałem tego w żadnym z nich), ale przeglądarki potrafią sprawdzać podpisy cyfrowe, certyfikaty bezpieczeństwa oraz ogólnie pojętą wiarygodność strony. Nie pamiętam w której przeglądarce (FF czy Opera), ale widziałem opcję sprawdzania wiarygodności strony przy użyciu Google. W przypadku podejrzenia podszywania się, użytkownik dostaje informację, że strona którą przegląda nie jest tą, za którą się podaje, że jest przekierowana.

 

Walczyć z tym można jedynie przez osobiste informowanie każdego nowego posiadacza "e-konta", aby nigdy nie podawał nikomu swoich danych osobistych, i aby korzystał z przeglądarki sprawdzającej wiarygodność wyświetlanej strony podczas logowania. Nic więcej nie da się zrobić.

 

Jak zwykle po raz kolejny człowiek okazuje się najsłabszym ogniwem systemu - w tym wypadku systemu zabezpieczeń.

[Jurson]

A co tu można dużo mówić?

Tacy ludzie wykorzystują naiwność, łatwowierność i brak podstawowej wiedzy w zakresie korzystania z kont internetowych (poczta/bankowe itd). Zarówno w umowach, jak i na stronach banków jest zaznaczone, że bank (jego przedstawiciele) nigdy nie proszą i nie będą prosić o podanie loginu/hasła/numeru konta.

Jeśli ktoś jest naiwny i podaje te dane bez zastanowienia przez telefon lub na stronie, to już nic nie da się zrobić.

 

Antywirusy czy firewalle nie mają takich możliwości (a przynajmniej nie widziałem tego w żadnym z nich), ale przeglądarki potrafią sprawdzać podpisy cyfrowe, certyfikaty bezpieczeństwa oraz ogólnie pojętą wiarygodność strony. Nie pamiętam w której przeglądarce (FF czy Opera), ale widziałem opcję sprawdzania wiarygodności strony przy użyciu Google. W przypadku podejrzenia podszywania się, użytkownik dostaje informację, że strona którą przegląda nie jest tą, za którą się podaje, że jest przekierowana.

 

Walczyć z tym można jedynie przez osobiste informowanie każdego nowego posiadacza "e-konta", aby nigdy nie podawał nikomu swoich danych osobistych, i aby korzystał z przeglądarki sprawdzającej wiarygodność wyświetlanej strony podczas logowania. Nic więcej nie da się zrobić.

 

Jak zwykle po raz kolejny człowiek okazuje się najsłabszym ogniwem systemu - w tym wypadku systemu zabezpieczeń.

z phishingiem walczą już nie tylko producenci antywirusów ale również instytucje jak bank czy operatorzy tv. Dzisiaj na stronie Aster przed logowaniem było info o nie podawaniu danych osobowych itp. Tylko ciekawe ile osób bierze sobie takie rzeczy do serca..??

[Gość <account_deleted>]

...

ponad to wydaje mi się że phishing nie dotyczy tylko i wyłącznie wykradania informacji z kont bankowych. a numer telefonu? jakieś tego typu dane? login i hasło na pocztę?

sorry, ale nie rozumiem Twoich intencji - ciągniesz temat dla licznika postów czy masz coś konkretnego do powiedzenia?

Jest banalny sposób, który kładzie cały phishing na łopatki: wystarczy zrobić zakładkę z adresem IP (najlepiej v6) - koniec tematu - definitywny.

[brokk]

dla licznika postów????a po co mi to? pisze na forach bo lubie, nie mam ambicji żeby mieć 500000000 postow.8O

to jest dość płytkie traktowanie tematu. może specem jak wy nie jestem i zadaję pytania i drążę bo naprawdę interesuje mnie czy mozna jakoś np zabezpieczyć moich rodziców dla przykładu? można im mowić rózne rzeczy i prosić i ostrzegać ale i tak klikają nieswiadomie. "ciągnę" ten wątek który tak bardzo wam się nie podoba z ciekawości czy jak im kupie i zainstaluje odpowiednie oprogramowanie to czy uda mi sie choc troche zwiekszyc bezpieczenstwo ich danych.

czy lepszy filtr antyphish w przeglądarce (jesli tak to w której) czy może w av?

[ULLISSES]

Ok, zadam sobie trud.

 

Mozilla Firefox 3.5.5:

 

Preferencje->Bezpieczeństwo

- Ostrzegaj, kiedy witryny próbują instalować dodatki (zaznaczyć)

- Blokuj zgłoszone witryny stwarzające zagrożenie (zaznaczyć)

- Blokuj zgłoszone próby oszustwa internetowego (zaznaczyć)

- Pamiętaj hasła do witryn (odznaczyć!)

Pierwszy przycisk [Wyjątki]. Upewnić się, że na liście znajdują się jedynie strony zatwierdzone przez "Mozilla". Domyślna lista to:

addons.mozilla.orgupdate.mozilla.org

Wszelkie inne strony - szczególnie nie mające "mozilla.org" w nazwie należy dla bezpieczeństwa usunąć z listy.

 

Poza tym dobrze jest zainstalować Adblock Plus w celu zablokowania reklam. Następnie dodać definicje filtrów dla Polski:

- BSI Lista Polska

- Lista Basa

- PLgeneral

Z zasady blokuje reklamy, ale blokuje także niebezpieczne witryny oraz wyskakujące okienka, na które może nieumyślnie kliknąć użytkownik, aby się go tylko pozbyć.

 

Opera posiada podobne mechanizmy zabezpieczeń i także można z nich korzystać. Z racji, że nie używam tej przeglądarki, zostawiam pole do popisu komuś innemu.

 

Antywirusy (o ile mi wiadomo) nie potrafią robić takich rzeczy. Być może potrafią to firewalle lub pakiety zabezpieczeń (Comodo, Kasperski itp), ale o tym trzeba poczytać w opisie programu lub jego pomocy.

 

Wprawdzie Internet Explorer w najnowszej wersji ze wszystkimi łatkami też jest w miarę bezpieczny, ale z racji że wykorzystuje go wiele aplikacji do spamowania (znane jest jego położenie w systemie, jest możliwość włączania samej kontrolki IEwindow), zalecam zmianę nazwy lub całkowite usunięcie pliku iexplore.exe (dotyczy to także kopii w C:\Windows\System32\Dllcache).

 

Nie rozsądne jest też zapisywanie numerów kont i haseł w plikach tekstowych na komputerze. Dużo bezpieczniejsza jest zwykła kartka papieru schowana w szafce.

 

I jeszcze tak na szybko z Google:

http://www.pkobp.pl/index.php/id=bez_przegl/section=ipko

http://dnbnord.pl/pl/oferta-/bankowosc-ele...a-przegladarki/

http://kopalniawiedzy.pl/bankowosc-elektro...Opera-5355.html

http://www.lukasbank.pl/bezpieczenstwo_e-bank.asp

 

http://gospodarka.gazeta.pl/gospodarka/1,52981,3744366.html

Jedne z ciekawszych:

http://www.pulsmedycyny.com.pl/index/archi...,bankowych.html

http://www.se.pl/twoje-pieniadze/poradnik-...ieci_69585.html

[Gość <account_deleted>]

Mozilla Firefox 3.5.5:

 

Preferencje->Bezpieczeństwo

...

oraz:

 

Ustawienia -> prywatność

- wyłączyć trzymanie historii - koprzystać z zakładek

- wyłączyć pamiętanie wpisów formularzy

 

Dane prywatne:

- włączyć czyszczenie po zamknięciu programu, opcinalnie wyłączyć pytanie o czyszczenie

Dane prywatne/Ustawienia: zaznaczyć wszystko, opcjonalnie bez historii wyszukiwania i historii pobrań

 

- Przed zalogowaniem do banku zamknąć i ponownie otworzyć przeglądarkę

 

Korzystać tylko z własnoręcznie zrobionych zakładek, które w polu adres mają wpisane IP strony.

To chroni przed przekrętami z DNS cache.

Jak zdobyć IP:

a) ping adresu www

b) <najlepiej> http://www.who.is (lub podobne strony)

[ULLISSES]

Ewentualnie (zamiast zakładki) własny wpis do /etc/hosts (\etc\hosts dla Windows). Można przy tym walnąć sobie dowolną nazwę domeny. Np:

192.168.77.222 konto_bankowe.pl

Gdy wklepiemy w przeglądarkę "konto_bankowe.pl", to przeniesie nas na stronę naszego banku.

 

Dla kompletnych paranoików jest mobilna wersja przeglądarki, którą można wrzucić na pamięć przenośną (pendrive, telefon) i tylko przez nią logować się do banku.

[Jurson]

Ewentualnie (zamiast zakładki) własny wpis do /etc/hosts (\etc\hosts dla Windows). Można przy tym walnąć sobie dowolną nazwę domeny. Np:

192.168.77.222 konto_bankowe.pl

Gdy wklepiemy w przeglądarkę "konto_bankowe.pl", to przeniesie nas na stronę naszego banku.

 

Dla kompletnych paranoików jest mobilna wersja przeglądarki, którą można wrzucić na pamięć przenośną (pendrive, telefon) i tylko przez nią logować się do banku.

a co sądzicie o wirtualnych klawiaturach do wpisywania haseł w bankach??

[brokk]

z wirtualnej klawiatury nigdy nie korzystałem bo nie było okazji.

 

 

swoją drogą to chyba temat jaki poruszyłem jest mocno na topie , w KŚ i chipie cos o tym wspominają. czytał ktoś ?

w KS jest też ten długotrwający test antyvirusów, ja moge się tylko cieszyć w takiej sutuacji, bo Panda na pierwszym miejscu, ale myslę że G data nie wiele odbiega...

[Jurson]

z wirtualnej klawiatury nigdy nie korzystałem bo nie było okazji.

 

 

swoją drogą to chyba temat jaki poruszyłem jest mocno na topie , w KŚ i chipie cos o tym wspominają. czytał ktoś ?

w KS jest też ten długotrwający test antyvirusów, ja moge się tylko cieszyć w takiej sutuacji, bo Panda na pierwszym miejscu, ale myslę że G data nie wiele odbiega...

wirtualną klawiaturę mają niektóre programy antywirusowe... z tego co wiem to Panda tego nie praktykuje.. .a chciałbym się dowiedzieć czy to coś pomaga??

[Gość <account_deleted>]

Klawiatura ekranowa teoretycznie zabezpiecza przed wykradaniem loginów i haseł poprzez "podsłuchiwanie" klawiatury (sprzętowe lub softwareowe). Jeśli jednak mamy u siebie taką pluskwę to już bardzo źle - znaczy to że nasze zabezpieczenia i/lub ochrona budynku są g.ówno warte.

edit: Z drugiej strony to co klikamy na ekranie jest o wiele łatwiejsze do zobaczenia przez osoby postronne niż to co klepiemy w klawisze.

Edytowane 30 Listopada 2009 przez tomazzi

[Jurson]

Klawiatura ekranowa teoretycznie zabezpiecza przed wykradaniem loginów i haseł poprzez "podsłuchiwanie" klawiatury (sprzętowe lub softwareowe). Jeśli jednak mamy u siebie taką pluskwę to już bardzo źle - znaczy to że nasze zabezpieczenia i/lub ochrona budynku są g.ówno warte.

edit: Z drugiej strony to co klikamy na ekranie jest o wiele łatwiejsze do zobaczenia przez osoby postronne niż to co klepiemy w klawisze.

czy Ty piszesz o wirtualnej klawiaturze w programie antywirusowym??

[brokk]

a ja coś słyszałem że jak się korzysta z tej wirtualnej klawki to jest opcja tego typu że mogą zrobić screen każdego klikięcia i gotowe. prawda to czy coś pokręciłem?

[Gość <account_deleted>]

Jak już masz takiego syfa to co za różnica w jaki sposób odczytają co piszesz? (btw wystarczą pozycje wskaźnika podczas klknięć)

Między innymi dla tego bardzo dobrze sprawują się hasła jednorazowe - bo trzeba zdobyć text którego jeszcze nigdzie nie napisałeś 8O - można je zdobyć praktycznie tylko przez phishing lub fizyczną kradzież.

[Jurson]

Jak już masz takiego syfa to co za różnica w jaki sposób odczytają co piszesz? (btw wystarczą pozycje wskaźnika podczas klknięć)

Między innymi dla tego bardzo dobrze sprawują się hasła jednorazowe - bo trzeba zdobyć text którego jeszcze nigdzie nie napisałeś 8O - można je zdobyć praktycznie tylko przez phishing lub fizyczną kradzież.

ja używam kodów sms, ponieważ zawsze dostanę kod i mogę go tylko raz użyć. z kartą kodów może być problem, ponieważ zgubisz, ukradną czy coś i jesteś uziemiony...;/

[koszalek]

Korzystać tylko z własnoręcznie zrobionych zakładek, które w polu adres mają wpisane IP strony.

To chroni przed przekrętami z DNS cache.

Jak zdobyć IP:

a) ping adresu www

b) <najlepiej> http://www.who.is (lub podobne strony)

Ewentualnie (zamiast zakładki) własny wpis do /etc/hosts (\etc\hosts dla Windows). Można przy tym walnąć sobie dowolną nazwę domeny. Np:

KOD

192.168.77.222 konto_bankowe.pl

 

Gdy wklepiemy w przeglądarkę "konto_bankowe.pl", to przeniesie nas na stronę naszego banku.

 

Dla kompletnych paranoików jest mobilna wersja przeglądarki, którą można wrzucić na pamięć przenośną (pendrive, telefon) i tylko przez nią logować się do banku.

Jest też ryzyko że wpiszemy/skopiujemy nie ten adres co trzeba lub np strona (np who.is ) nam źle poda...

 

 

 

DODANO:

Domyślnie większość ludzi wpisuje adres bank_internetowy.pl Zapytanie o ten adres jest kierowane w sieć i tylko od poprawności przypisania tej nazwy do adresu IP na jednym z serwerów zależy czy zostaniemy przekierowani do właściwego banku - tak to rozumiem. Więc po drodze mogą nas specjalnie źle przekierować... sprawdza to w ogóle ktoś czy to sie wszystko zgadza i nikt przekrętu złego przekierowania nie robi?

 

Trzeba by więc certyfikat banku sprawdzać po połączeniu z tą stroną. Ale nie bardzo wiem jak to porównywać.

Edytowane 4 Grudnia 2009 przez koszalek

[ULLISSES]

Bez przesady - nie róbmy się idiotami. 8O

 

Strona WHOIS nie może nam podać źle.

A przy złym skopiowaniu/przepisaniu zamiast strony banku uzyskamy np. sklep z antykami, więc średnio zdolny szympans połapie się, że coś źle wpisał.

 

Równie dobrze można stwierdzić, że pewnego dnia wyjeżdżając z domu coś nam się w główce pokiełbasi i będziemy jechać lewym pasem...

[koszalek]

Odnośnie tych cytatów które podałem to te sposoby zapobiegają chyba tylko przed np modyfikacją odniesień do stron u nas na komputerze, czyli jak np nie mamy fałszywych wpisów w hosts to nam to nie potrzebne? Bo jeśli któryś z serwerów po drodze do banku będzie chciał to i tak przekieruje połączenie do fałszywego serwera banku i nic nie da czy wpiszemy IP czy nazwę.

Edytowane 4 Grudnia 2009 przez koszalek

[ULLISSES]

Bo jeśli któryś z serwerów po drodze do banku będzie chciał to i tak przekieruje połączenie do fałszywego serwera banku i nic nie da czy wpiszemy IP czy nazwę.

Haker musiał by się podszyć pod IP banku, co jest raczej nie wykonalne z powodu unikalności adresów IP w Sieci.