Tag: bezpieczeństwo

Gigantyczny wyciek danych. Rosyjscy hackerzy w posiadaniu ponad miliarda haseł i adresów e-mail

Chociaż brzmi to nieprawdopodobnie, rosyjski gang hackerów wszedł w posiadanie danych ponad miliarda nazw użytkownika i haseł internautów z całego świata. Na trop sprawy wpadła firma Hold Security, a sprawę opisał New York Times. To prawdopodobnie największy tego typu wyciek informacji w historii internetu.

Zasięg ataku

Rosyjscy cyberprzestępcy weszli w posiadanie 4,5 miliarda wpisów (adresów e-mail, haseł, nazw użytkowników itd.), ale „tylko” 1,2 miliarda z nich jest unikalna. Dane te zostały skradzione z 420 tysięcy stron internetowych, które umożliwiają przechowywanie takich informacji. Duża różnica pomiędzy posiadaną przez nich bazą danych, a liczbą unikalnych wpisów to wynik tego, że wielu z użytkowników internetu korzysta z tego samego adresu e-mail i hasła do kilku serwisów jednocześnie. Część z danych jest też na pewno błędna lub nieaktualna.

Jak do tego doszło?

Według Hold Security przestępcy początkowo weszli w posiadanie skradzionej bazy danych użytkowników, którą kupili prawdopodobnie na czarnym rynku od innych hackerów. Za pomocą botnetu (grupy komputerów zainfekowanych złośliwym oprogramowaniem) i przy pomocy istniejących luk bezpieczeństwa w bazach SQL wielu stron internetowych udało im się zaatakować ponad 400 tysięcy portali na całym świecie. Z nich wykradziono kolejne dane, co zwiększyło posiadaną przez hackerów bazę danych do 1,2 miliarda unikalnych zestawów adresów e-mail i haseł.

Jakie strony internetowy zostały zaatakowane?

Przestępcy nie ograniczali się do dużych lub małych portali, a ich ofiarami zostały różne strony. Począwszy od małych biznesów, aż do liderów branży technologicznej. Niestety, na razie nie wiemy, czy chodzi też o tak popularne miejsca jak Facebook, Twitter czy Gmail.

Jakie mogą być efekty tej kradzieży?

Za pomocą sparowanych adresów e-mail, nazw użytkownika oraz haseł, przestępcy będą mogli uzyskać dostęp do wielu kont, na którym internauci przechowują ważne informacje. W pozyskanej przez przestępców bazie danych nie ma co prawda informacji bankowych, ale te mogą zostać stosunkowo łatwo „wydobyte” z różnych stron internetowych za pomocą skradzionych danych logowania.

Co można zrobić w tej sytuacji?

Po pierwsze nie wpadać w panikę. Oprócz tego, niestety, niewiele więcej. Administratorzy portali internetowych powinni zrobić audyt bezpieczeństwa, żeby upewnić się, że ich strona nie była narażona na atak. Jeśli była, konieczne jest poinformowanie o tym użytkowników i poradzenie im w sprawie dalszego procesu postępowania.

W przypadku podobnych wycieków zawsze radzimy to samo. Pamiętajcie, aby używać unikalnych haseł dla różnych serwisów internetowych. Dobra alternatywą jest też korzystanie z menedżerów haseł, które pomogą nam w zarządzaniu wieloma zabezpieczeniami jednocześnie.

Będziemy czekali na aktualizację sytuacji i nowe fakty. Na pewno o nich napiszemy.

Źródło: Hold Security, New York Times

Zobacz także:

Czy antywirus może być niebezpieczny? Specjaliści twierdzą, że tak!

Dziura bezpieczeństwa w Instagramie, użytkownicy narażeni na ataki

Obserwuj @PawelKanski na Twitterze

Avast ostrzega: sprzedajesz swój telefon z Androidem? Każdy może z łatwością odzyskać Twoje zdjęcia i dane

Jeśli chcecie właśnie sprzedać swój używany telefon z Androidem, to dobrze się nad tym zastanówcie. Avast przeprowadził bowiem bardzo ciekawy eksperyment. Firma kupiła 20 używanych telefonów na popularnym portalu aukcyjnym, żeby sprawdzić, jak łatwo jest odzyskać z nich dane. Wyniki doświadczenia są niepokojące.

Pracownikom udało się odzyskać ponad 40 000 zdjęć (z czego około 1000 zawierały treści erotyczne) ze wspomnianych 20 urządzeń. Co gorsze, Avast odzyskał z telefonu jeden wniosek kredytowy oraz ponad 750 wiadomości SMS oraz e-mail.

Jak to możliwe? Okazuje się, że nawet przywrócenie ustawień fabrycznych telefonu i usunięcie z niego wszystkich danych nie załatwia sprawy definitywnie. Można je wciąż odzyskać przy pomocy kilku ogólnie dostępnych aplikacji. Jedną z nich jest wykorzystany przez Avast FTK Imager stworzony przez firmę AccessData.

Oczywiście (cóż za zbieg okoliczności) Avast ma w swoim portfolio program, który umożliwia całkowite usunięcie danych. Nazywa się on Avast! Anti-Theft i można go pobrać za darmo ze sklepu Google Play Store. Pozwala on na lokalizowanie skradzionego telefonu i zdalne usunięcie z niego danych. Można to oczywiście zrobić także w przypadku, gdy chcemy telefon sprzedać i mieć pewność, że nikt nigdy nie odtworzy danych, jakie na nim trzymaliśmy. Można też skorzystać z domyślnej funkcji Androida – Menedżera Urządzeń – ale nie mamy pewności, czy jest ona skuteczniejsza od aplikacji Avast.

Jak można w inny sposób zabezpieczyć swoje dane? Po pierwsze trzeba pamiętać, że nawet po usunięciu z systemu pewnych rzeczy wciąż mogą być one odzyskane. Android nie usuwa ich, dopóki nie będą nadpisane przez inne dane. W taki sposób działa właśnie wspomniany Avast! Anti-Theft – zapisuje on w telefonie zupełnie przypadkowe i nic nieznaczące dane, nadpisując w ten sposób zawartość należącą do użytkownika.

Jeśli nie chcecie korzystać z programu od Avast, możecie ten problem rozwiązać sami. Wystarczy wejść w Ustawienia > Zabezpieczenia > Zaszyfruj telefon. Proces szyfrowania może potrwać około godziny, bateria smartfona musi być naładowana, a telefon podłączony do komputera. Po skończeniu procesu dane będą zabezpieczone kodem PIN. Następnie wystarczy przywrócić ustawienia fabryczne. Ten sposób jest jednak czasochłonny i dosyć skomplikowany. Dlatego nie zalecamy go mało doświadczonym użytkownikom.

Szyfrowanie smartfona z Androidem

Zobacz także:

Źródło: avast!

Obserwuj @PawelKanski na Twitterze

Duża luka bezpieczeństwa w Androidzie, Google pracuje nad poprawką

Jeśli korzystacie z telefonu lub smartfona pracującego na systemie Android w wersji 3.1 lub nowszej, możecie być narażeni na szpiegowanie przez innych użytkowników.

Lukę w bezpieczeństwie systemu odkryła organizacja EFF (Electronic Frontier Foundation), która zajmuje się dbaniem o prawa internautów. Winę za narażanie użytkowników ponosi funkcja „Preferred Network Overload”. W czym tkwi problem?

W dużym uproszczeniu – kiedy ekran Waszego telefonu jest wygaszony, a smartfon nie jest podłączony do Wi-Fi, system szuka bezprzewodowych sieci, z których kiedyś już korzystał. Opcja ta działa w Androidzie od wersji 3.1, wysyłając do różnych sieci historię Waszych połączeń z używanymi kiedyś punktami Wi-Fi. Jednocześnie informuje innych, gdzie przebywamy.

To znaczy, że ktoś może uzyskać dostęp do informacji, gdzie i w jakim czasie się znajdowaliście. Wszystko to dzięki opisowym nazwom sieci. Część z nich pozwala na ich konkretne umiejscowienie ze względu na nazwy, np. Lotnisko imienia Chopina w Warszawie, Firma XYZ, Restauracja QWERTY, itd. Android przechowuje ostatnie 15 zapamiętanych sieci w ustawieniach łączności. To może ułatwić przestępcom atak na użytkownika.

Wifi w Androidzie

Organizacja EFF poinformowała o tym problemie Google, a tam uznano sprawę za dosyć istotną. Stworzono już nawet specjalnego patcha, ale wydanie go użytkownikom dotkniętym problemem będzie trwało bardzo długo i na pewno nie trafi do wszystkich.

Zapominanie sieci w Androidzie

Jednym ze sposobów, by uchronić się przed potencjalnymi problemami, jest wyłączanie Wi-Fi, jeśli nie zamierzamy z niego skorzystać, lub usunięcie zapamiętanych sieci, jeśli nie mamy zamiaru ich używać w najbliższym czasie.

Serwis Niebezpiecznik podaje, że podobny mechanizm stosowany jest także w wielu laptopach i innych urządzeniach obsługujących Wi-Fi.

Zobacz także:

Źródło: Slashgear, EFF , Niebezpiecznik

Obserwuj @PawelKanski na Twitterze

Jak włączyć dwustopniową weryfikację na Facebooku i czy warto to zrobić?

Dwustopniowa weryfikacja staje się coraz popularniejszym rozwiązaniem. Coraz więcej serwisów i usług udostępnia taki sposób zabezpieczania kont. Cel jest prosty – ochrona naszych haseł i prywatności. Dwuetapową weryfikację wprowadziło Google oraz Apple. A co z Facebookiem?

Oczywiście Facebook również oferuje tego typu rozwiązanie. Wprowadzone je już jakiś czas temu. W jaki sposób uruchomić dwustopniową weryfikację na naszym koncie w tym serwisie społecznościowym? Ten krótki poradnik wam pomoże.

Przejdź do ustawień bezpieczeństwa na swoim koncie

Jeżeli chcemy uruchomić dwustopniową weryfikacje logowania do Facebooka, to najpierw musimy przejść do ustawień konta.

Ustawienia konta na Facebooku znajdziesz, klikając strzałkę w prawym górnym rogu widoku i wybierając odnośnik Ustawienia.

Następnie z listy opcji, którą znajdziesz po lewej stronie, wybierz zakładkę Bezpieczeństwo. Wyświetli ona szereg funkcji, które oferuje Facebook dla zwiększenia ochrony Twojego konta.

W przypadku dwustopniowej weryfikacji należy wybrać Zatwierdzanie logowania, zaznaczyć wyświetlające się pole oraz zapisać zmiany.

Uruchomienie zatwierdzania logowania

Po zatwierdzeniu uruchomienia dwustopniowej weryfikacji Facebook poprosi o podanie numeru telefonu, na który prześle kod potwierdzający, a w przyszłości będzie wysyłał kody bezpieczeństwa w przypadku wyboru takiej formy weryfikacji. Numer telefonu można dodać również później w zakładce Facebook Mobile.

Po podaniu naszego numeru telefonu Facebook wyświetli okno informacyjne, w którym opisuje, w jaki sposób działa zatwierdzanie logowania, czyli dwustopniowa weryfikacja.

Od tej pory, jeżeli będziesz się logować do Facebooka z nieznanej przeglądarki, serwis poprosi Cię o wpisanie specjalnego kodu weryfikacyjnego.

Przejdź do mobilnej aplikacji Facebooka na swoim smartfonie

W momencie, gdy chcesz się zalogować na swoje konto na Facebooku z innej niż zwykle przeglądarki, musisz wpisać dodatkowy kod.

Możesz go uzyskać za pośrednictwem swojej aplikacji mobilnej Facebooka, czy to na Androida, czy na iPhone’a. Wystarczy, że przejdziesz w niej do zakładki oznaczonej trzema kreskami, a następnie do działu Ustawienia. Tam znajdziesz funkcję Generator kodów.

Po jej kliknięciu aplikacja przeniesie cię do specjalnego okna, w którym wyświetli się kod. Zmienia się on co 30 sekund, więc należy szybko go wykorzystać.

Wróć do okna logowania na Facebooku

Gdy masz już wygenerowany kod, to możesz wpisać go w specjalne pole.

Następnie Facebook zapyta cię, czy chcesz zapamiętać daną przeglądarkę. Do ciebie należy wybór. Po jego dokonaniu strona się przeładuje i będziesz mieć dostęp do swojego Facebooka.

Podsumowując, dwustopniowa weryfikacja na Facebooku wygląda następująco:

  • logowanie normalnym hasłem na stronie www Facebooka,
  • prośba o kod weryfikacyjny,
  • generowanie kodu za pośrednictwem aplikacji mobilnej Facebooka lub przesłanie kodu za pośrednictwem SMS-a,
  • wpisanie kodu na stronie www i przejście do Facebooka.

Oczywiście, jak w życiu, coś może nie zadziałać. Jeżeli Facebook nie chce przyjąć kodu z Generatora, to dobrze jest go odświeżyć i spróbować jeszcze raz. W przypadku SMS-u kod może być wysyłany nawet do 5 minut, więc nie jest to najszybsza forma jego otrzymania. Warto jednak te 5 minut poczekać nim poprosi się o kolejny kod. W skrajnym przypadku trzeba zgłosić błąd Facebookowi i czekać, aż się z nim uporają.

Czy warto uruchomić dwustopniową weryfikację na Facebooku?

Na to pytanie każdy musi odpowiedzieć sobie sam. Dwuetapowa weryfikacja ma służyć do lepszej ochrony naszej prywatności. W obliczu napływających wieści dotyczących działalności NSA czy wycieków danych przez lukę Heartbleed, dwuetapowe logowanie pozwala nam zbudować drugi mur ochronny dla naszych danych. Taka forma weryfikacji lepiej chroni nas przed przejęciem konta i kradzieżą hasła. Jeżeli więc chcesz się czuć bezpiecznie, to dwustopniowa weryfikacja jest wartą rozważenia opcją.

Ma ona jednak również swoje minusy. Pomijając fakt, że logowanie się zajmuje nieco więcej czasu, to jakikolwiek problem z weryfikacją powoduje natychmiastowy brak dostępu do konta. O ile w przypadku, gdy ktoś chce się nam do niego dobrać, jest to dobre, o tyle, gdy jest to wynik jakiegoś błędu, staje się problemem. Poza tym nie wszystkie aplikacje, z których korzystamy, a do których się zalogowaliśmy za pomocą Facebooka, wspierają dwustopniową weryfikację.

Dwuetapowa weryfikacja bez wątpienia zwiększa bezpieczeństwo naszych kont. Jeżeli więc zależy ci na prywatności i ochronie swojego konta na Facebooku, to warto pomyśleć o jej uruchomieniu.

Zobacz także:

Złośliwe oprogramowanie na Androida prosi o uprawnienia – nie wpuszczaj go!

Za każdym razem, gdy instalujesz aplikację, musisz się zgodzić na nadanie jej odpowiednich uprawnień. Ale na co właściwie się zgadzasz? Czy stanowią one zagrożenie dla Twojej prywatności i bezpieczeństwa?

Aby wykorzystać kamerę, internet lub inne zasoby Twojego telefonu, aplikacje w systemie Android muszą prosić o akceptację uprawnień. Aplikacje zostaną zainstalowane tylko, jeżeli się na to zgodzisz, albo zostaną odrzucone – jest to system działający na zasadzie „wszystko, albo nic”. Problem pojawia się jednak, gdy uprawnienia są łączone: przejście przez wszystkie jest bardzo męczące, dlatego zwykle akceptujemy je, nawet nie patrząc.

Bezmyślne akceptowanie uprawnień może niestety nieść ze sobą nieprzyjemne konsekwencje, taki jak przysyłanie SMS-ów lub kradzież danych osobowych, jak ma to miejsce w przedstawionym wirusie. Sprawdzenie uprawnień zajmuje mniej niż minutę, a poświęcona teraz chwila może naprawdę oszczędzić sporo problemów w przyszłości – takich, jak na przykład konieczność zmiany wszystkich swoich haseł.

Poniżej przedstawiam listę uprawnień, o które pytają obecnie aplikacje, oraz wyjaśniam, jakie niebezpieczeństwa mogą się z nimi wiązać i w jaki sposób możesz zapobiegać kłopotom.

Zintegrowane zakupy: uważaj na oszustwa i wymuszenia

Nagłówek ten wydaje się chyba być jasny: Android umożliwia robienie zakupów bez konieczności przejścia przez Google Play. W grach takich, jak na przykład Candy Crush, możesz nabyć przedmioty, które pomagają Ci pokonać kolejne poziomy. Istnieją jednak aplikacje, które wykorzystują ten system aby wyłudzić pieniądze w oparciu o najróżniejsze obietnice.

Na przykład: wirus zwany Fakedefender prezentował użytkownikom fałszywego antywirusa, który alarmował o zagrożeniu, i obiecywał zlikwidować problem po dokonaniu zakupu wewnątrz aplikacji. Inny dość złośliwy przypadek to sytuacja, gdy pełny wygląd gry staje się widoczny dopiero po wykonaniu płatności in-app. Jeśli taką grą bawi się Twoje dziecko, ciężko jest mu odmówić i nie zapłacić.

Android Defender, fałszywy antywirus, który wymusza dokonanie zakupu

Aby uniknąć problemów związanych ze zintegrowanymi zakupami, włącz ochronę hasłem w Google Play. Unikaj również impulsywnych zakupów. A przede wszystkim, nie dawaj się oszukać fałszywym obietnicom.

Dane mobilne / WiFi: kradzież danych tylnym wejściem

Dzięki zarządzaniu połączeniem z Internetem dla aplikacji, obie te strefy są raczej niegroźne. Każda aplikacja która chce połączyć się z Internetem musi wyświetlić powiadomienie. Te uprawnienia mogą stanowić zagrożenie, jeżeli są połączone z innymi, ponieważ dają one zielone światło aplikacji do wysyłania Twoich danych na zewnątrz.

Szczególnie dostęp do listy kontaktów oraz danych mobilnych powinny martwić. Na przykład, po co aplikacji – kalendarzowi miałby być potrzebny dostęp do listy kontaktów? Być może w celach reklamowych, ale nie możesz być tego pewien. Jeśli masz wątpliwości, możesz zablokować połączenie firewallem (co również w niektórych grach pomaga wyłączyć reklamy).

Historia aplikacji i urządzeń: historia i zakładki

Ta grupa uprawnień pozwala na dostęp do danych telefonu, takich jak strony, które odwiedzasz, czy ulubione aplikacje, które najczęściej uruchamiasz. Wyszukiwarka, menedżer aplikacji czy sieć społecznościowa potrzebują dostępu do listy Twoich aplikacji i zakładek, aby wprowadzać modyfikacje, ale na przykład gra – już nie.

Dostęp przez przeglądarkę Chrome do Historii i Ulubionych jest czymś normalnym

Zagrożenia dla Twojej prywatności są oczywiste: tego rodzaju dane ucieszyłyby zarówno NSA jak i każdy inny podmiot zainteresowany Twoimi zwyczajami w sieci. Z drugiej jednak strony, jeżeli aplikacja nie przechowuje Twojej pamięci, nie ma sensu udzielać dostępu do listy uruchomionych aplikacji. Musisz więc po prostu zadać sobie pytanie, czy żądania jakie stawia aplikacja są sensowne.

Tożsamość i konta: Twoje konta dostępne dla każdej aplikacji

Uprawnienia tożsamości pozwalają aplikacji na dostęp do prywatnych danych, które znajdują się na Twoim telefonie. Oczywiście ma to sens w przypadku aplikacji sieci społecznościowych, takich jak Facebook czy Twitter, ale na pewno nie, gdy Twoje dane nie mają nic wspólnego z celem aplikacji. Wówczas wirus wykorzystujący te uprawnienie może – teoretycznie – usunąć wszystkie Twoje konta.

Kontakty/ Kalendarz: uważaj, z kim dzielisz się swoimi planami

Największe zagrożenie wiąże się z zezwoleniem na dostęp do książki adresowej i kalendarza. Złośliwa aplikacja może, na przykład usunąć numery telefonów i maile lub skasować wydarzenia w kalendarzu bez pozwolenia, a nawet zaprosić jakichś ludzi na dane wydarzenia – również bez Twojej zgody.

Na przykład wirus FireLeaker kradnie numery telefonów i maile oraz wysyła je wszystkie na serwer kontrolowany przez cyber-kryminalistów, którzy następnie sprzedają te dane firmom zajmującym się rozsyłaniem spamów w formie maili i SMS-ów.

Lokalizacja: potrzebujesz tej gry, aby wiedzieć, gdzie się obecnie znajdujesz?

Ten zestaw uprawnień daje dostęp do czujników lokalizacji, takich jak GPS. Są przydatne w przypadku map, przewodników i aplikacji, które dołączają lokację do Twoich zdjęć i publikacji. Jeśli jednak podejrzewasz, że te uprawnienia nie mają sensu dla danej aplikacji, należy być bardzo czujnym.

Pomijając już fakt drenowania baterii, zbieranie danych o lokalizacji mocno zagraża Twojej prywatności. Odkryty w 2012 roku malware zwany TigerBot, rozsyła lokalizację Twojego telefonu wraz z Twoimi prywatnymi danymi, takimi jak nagrania rozmów czy obrazy.

SMS: uważaj, wysyłanie krótkich wiadomości może być bardzo drogie

Jeśli widzisz prośbę o takie uprawnienia, odpowiedz sobie na pytanie, dlaczego chciałbyś, aby aplikacja mogła otrzymywać, czytać czy wysyłać wiadomości tekstowe. Niektóre wymagają odebrania SMS-ów w celu potwierdzenia rejestracji, ale czasami będą podstępnie wysyłać drogie SMS-y.

W 2014 r Panda Labs odkryło, że aplikacja do układania diety, która była subskrybowana przez 300.000 użytkowników, oparta była na planie bardzo drogich płatności w formie SMS, będąc tym samym bardzo prostym i skutecznym oszustwem.

Telefon: kiedy aplikacja może do Ciebie dzwonić

Te uprawnienia są stworzone po to, aby umożliwić aplikacjom wykonywanie połączeń. Korzystają z nich komunikatory takie, jak LINE czy WhatsApp, a także automatyczne sekretarki oraz funkcja blokowania połączeń.

Jednak w przypadku aplikacji, gdzie użycie telefonu jest bezcelowe, te uprawnienia mogą wskazywać na ukryte opłaty za połączenia. Wirus MouaBad, odkryty w 2013 roku przez Lookout, umożliwiał hakerom wykonywanie bardzo drogich połączeń na koszt właściciela telefonu, który nie miał o niczym pojęcia.

MouaBad., złośliwe oprogramowanie, które może zdalnie wykonywać połączenia z Twojego telefonu na drogie numery

Zdjęcia, dane i pliki: a jeśli ktoś ma dostęp do Twoich prywatnych materiałów?

Jeśli aplikacja musi przechowywać pliki, musi prosić o uprawnienia, aby zmodyfikować lub usunąć zawartość. Bardzo trudno jest wówczas określić, czy te uprawnienia zostaną wykorzystane w złym celu, na przykład do kradzieży lub usunięcia danych.

Niektóre wirusy mogą przejąć kontrolę nad Twoim telefonem i rozesłać po sieci Twoje zdjęcia lub pliki. Aplikacja Pixer, którą można pobrać z Google Play, podstępem skłania użytkowników do zaakceptowania uprawnień, a następnie kradnie zdjęcia z telefonów i wysyła je na swoje serwery.

Kamera / Mikrofon: uprawnienia, które przypadłyby do gustu Agentowi 007

Kiedy zezwalasz aplikacji na dostęp do Twojej kamery lub mikrofonu, może ona swobodnie robić zdjęcia lub kręcić filmy, a także nagrywać dźwięk. Oczywiście ma to sens dla aplikacji takich, jak Instagram, Skype czy Facebook. W innych wypadkach, trzeba się mieć na baczności.

Aplikacja PlaceRaider może wykonywać losowe zdjęcia i całkowicie odtworzyć wygląd pomieszczenia, w którym się znajdujesz

Aplikacja PlaceRaider to przykład niebezpieczeństwa wynikającego z akceptowania uprawnień lekką ręką. Została stworzona przez zespół amerykańskich naukowców i może robić zdjęcia bez twojej wiedzy, aby odtworzyć wygląd pomieszczenia w którym się znajdujesz. Szpiegostwo, które samemu akceptujesz.

Numer ID urządzenia i dane o połączeniach: identyfikator twojego telefonu

To tajemnicze określenie oznacza udzielenie przez Androida zezwoleń na odczytywanie przez aplikacje takich danych, jak numer IMEI, który jest jak dowód osobisty twojego telefonu. Uzyskanie go jest całkiem proste.

Przykład danych, które mogą być pobrane za pomocą uprawnień ID urządzenia

Mając prawidłowy numer telefonu, ktoś mógłby “sklonować” Twój telefon i sprawić, że jego rachunki przychodziłyby do Ciebie. Twój telefon może również zostać zablokowany przez operatora, jeśli zostanie on poinformowany o tym, że został on skradziony. Wirus BadNews jest przykładem tego rodzaju złośliwego oprogramowania.

Inne: mieszanka największych zagrożeń

Oprócz typowych dla Androida uprawnień, aplikacja może również zapytać o bardziej oryginalne uprawnienia. To bardzo ważne, aby zawsze, gdy masz podaną listę – przeczytać ją dokładnie. Pomiędzy wieloma znanymi mogą się pojawić też dużo bardziej podejrzane, takie jak na przykład czytanie wiadomości na Twoich portalach społecznościowych, dawanie pełnego dostępu do sieci czy sprawowanie kontroli nad urządzeniem. Nie ma granic: wszystko to mogą skrywać uprawnienia, które potężnie nadwerężą bezpieczeństwo Twoich danych.

Złota rada: zdobywaj informacje i dokładnie sprawdź uprawnienia

Jeśli jesteś zdania, że dane uprawnienia po prostu nie mają sensu, zapytaj deweloperów: możesz wysłać im e-maila z Google Play lub zostawić komentarz. Recenzje innych użytkowników oraz rating aplikacji to następne informacje, które pomagają udzielić odpowiedzi na pytanie, czy aplikacja jest bezpieczna. Na pewno nie instaluj niczego podejrzanego bez uprzedniego zdobycia informacji.

A co w przypadku aplikacji, które już są zainstalowane? Istnieją narzędzia pozwalające zmieniać uprawnienia już zainstalowanych aplikacji. Dobrym przykładem jest tutaj F-Secure App Permissions, która skanuje wszystkie uprawnienia wykorzystywane przez Twoje aplikacje i raportuje te najbardziej podejrzane, aby móc zdecydować, co z nimi dalej robić.

F-Secure App Permissions przyznaje ocenę każdej aplikacji, która prosiła o uprawnienia

Po przeczytaniu tego artykułu można by dojść do wniosku, że uprawnienia to Twój wróg, ale wcale tak nie jest: są one podstawą prawidłowego funkcjonowania wielu świetnych aplikacji. Jednak sposób, w jaki Android zajmuje się uprawnieniami nie jest zbyt chwalebny, ponieważ często prowadzi do niebezpiecznych przeoczeń i bardzo łatwo pozwala dopuścić naprawdę niebezpieczne uprawnienia.

Źródło wykorzystanych grafik: Google Play, Tudocelular, MIT, CodePainters, TheDroidGuy

Zobacz także:

Jakiego menadżera haseł wybrać? Porównanie Lastpass, 1Password oraz Dashlane

Korzystamy przynajmniej z kilkunastu serwisów internetowych, każdy z nich wymaga loginu i hasła. Używając tego samego łatwo stać się ofiarą wycieku haseł i innych ataków. W celu zwiększenia naszego bezpieczeństwa warto stosować złożone jednorazowe hasła i zmieniać je regularne. Trudno jest je jednak spamiętać, ale od czego są programy do zarządzania hasłami? Tylko, który z nich wybrać? W obecnych warunkach korzystanie z menadżera haseł jest niemal niezbędne. Oprogramowanie to generuje skomplikowane hasła i przechowuje je bezpiecznie. Zamiast dziesiątek haseł musimy pamiętać tylko o jednym. Ryzyko zapomnienia jest więc zmniejszone. A pozostałe hasła są bezpieczne, nie musimy się martwić w razie wycieku haseł na jednym serwisie o bezpieczeństwo naszych danych w innych.

Pozostaje pytanie, który program wybrać. Postanowiliśmy porównać 3 najpopularniejsze: Lastpass, 1Password oraz Dashlane. Czy któryś z nich przypadnie Wam do gustu? Przekonajcie się!

LastPass

LastPass

Baza danych i szyfrowanie

W LastPass wszystkie dane są szyfrowane lokalnie przy wykorzystaniu AES-256 i tylko tak można je odblokować. Nasz klucz pozostaje na urządzeniu i nigdzie nie jest udostępniany.

Jedynym minusem jest fakt, że klasyczna wersja LastPass wymaga połączenia z internetem, a nasze zaszyfrowane dane przechowywane są na serwerach LastPass. Można jednak skorzystać z dedykowanej aplikacji niewymagającej dostępu do internetu o nazwie LastPass Pocket.

Plusem LastPass jest obsługa wielostopniowego uwierzytelniania. To praktyczne rozwiązanie zwiększające bezpieczeństwo.

Integracja z przeglądarką

LastPass jest kompatybilny z Firefox, Chrome, Safari, Opera, Maxthon, Internet Explorer, Firefox Mobile oraz Dolphin Browser.

LastPass

Platformy

Windows, Mac, Linux, iPhone, iPad, Android, Blackberry, Windows Phone, Windows Mobile, Symbian oraz Firefox OS. Posiada też dedykowaną stronę internetową.

Zapobieganie zagrożeniom

LastPass oferuje ochronę przez phisingiem. Menadżer haseł ostrzega nas przed wypełnianiem formularzy na zainfekowanych stronach internetowych. Aplikacja umożliwia też analizowanie haseł co do ich słabości. LastPass wysyła też powiadomienia odnośnie nowych zabezpieczeń na stronach.

Pobierz LastPass dla Windows

Pobierz LastPass dla Mac

1Password

1Password

Baza danych i szyfrowanie

1Password korzysta również z szyfrowania przy wykorzystaniu standardu AES-256. Rozszyfrowywanie ich odbywa się lokalnie, nawet jeśli decydujemy się na synchronizacje danych z innymi urządzeniami. Odszyfrowane dane nigdy nie są zapisywane na dysku.

W 1Password korzystanie z chmury nie jest obowiązkowe. Aplikacja pozwala na synchronizację danych pomiędzy urządzeniami za pośrednictwem iClodu lub Dropbox, a także lokalnie przy wykorzystaniu Wi-Fi. To ostatnie rozwiązanie jest idealne dla tych, którzy cenią sobie większe bezpieczeństwo.

Integracja z przeglądarką

1Password jest kompatybilny z Safari, Chrome, Firefox oraz Opera. Rozszerzenia podpowiadają siłę haseł i wspierają auto-uzupełnianie formularzy.

1Password

Platformy

Mac, Windows, iPhone, iPad, Android, Windows Phone

Zapobieganie zagrożeniom

Funkcja Watchtower w 1Password identyfikuje strony narażone na cyber-ataki i ostrzega o nich. Aplikacja informuje o zmianach w zabezpieczeniach i konieczności aktualizacji hasła. 1Password informuje też o sile hasła, duplikatach oraz terminie ważności.

Pobierz 1Password dla Windows

Pobierz 1Password dla Mac

Dashlane

dashlane

Baza danych i szyfrowanie

Podobnie jak LastPass i 1Password, także Dashlane wykorzystuje AES-256 do szyfrowania bazy danych. Klucz ten pochodzi od hasła głównego. Nasze dane mogą być przechowywane na urządzeniu lub na serwerach Dashlane.

Dashlane daje możliwość trzymania danych lokalnie na jednym urządzeniu lub synchronizowania ich poprzez zabezpieczone serwery Dashlane. Dane te są za każdym razem pobierane z serwerów i odszyfrowywane przy każdym użyciu.

Aplikacja posiada wiele opcji uwierzytelniania użytkownika, aby zwiększyć bezpieczeństwo hasła głównego.

Integracja z przeglądarką

Dashlane jest kompatybilny z Firefox, Safari, Chrome oraz Internet Explorer. Aplikacja pozwala na import haseł z Firefoxa.

Dashlane

Platformy

Mac OS X, Windows XP, Vista, 7, 8 Android, iPhone oraz przez stronę internetową.

Zapobieganie zagrożeniom

Dashlane wyświetla komunikaty o zagrożeniach i zmianach w zabezpieczeniach. Aplikacja podpowiada też odnośnie mocy haseł i ich duplikatach.

Pobierz Dashlane dla Windows

Pobierz Dashlane dla Mac

Liczą się detale

Porównywane aplikacje do zarządzania hasłami są pod wieloma względami do siebie podobne. Wszystkie trzy posiadają ten sam standard bezpieczeństwa AES-256 i pozwalają na przechowywanie swoich danych lokalnie, bez przekazywania ich przez internet. To dodatkowe funkcje w każdym oprogramowaniu mogą zadecydować o tym, które rozwiązanie wybierzemy.

W przypadku Dashlane są to aplikacje mobilne, które oferują praktycznie pełną funkcjonalność, jak w wersji na komputerze jeśli chodzi o auto-uzupełnianie, szukanie haseł itd. W Androidzie jest też dedykowana klawiatura, a w iOS aplikacja oferuje pełną przeglądarkę internetową.

Natomiast LastPass wyróżnia się różnorodnością wspieranych platform. Aplikacja dostępna jest także na Linuksa, smartfony z BlackBerry, Windows Mobile, Symbian, a nawet Firefox OS. LastPass jest więc idealny, jeśli używamy tych platform. Aplikacja jednak może zniechęcić przeciwników chmury, ponieważ nasze zaszyfrowane hasła są przechowywane na domyślnych serwerach LastPass.

1Password to przede wszystkim łatwość obsługi oraz elegancki design. 1Passowrd wydaje się najlepszym menadżerem haseł dla mniej zaawansowanych użytkowników, a jednocześnie oferuje wiele możliwości. Zaawansowani użytkownicy docenią opcję synchronizacji urządzeń po Wi-Fi zamiast przechowywania danych w chmurze.

Wciąż zastanawiacie się czy warto zainstalować menadżera haseł? Odpowiadamy, dlaczego warto to zrobić!

“Staram się dbać o swoją prywatność” – porady dotyczące bezpieczeństwa od Mikko Hyponena, ekspera od antywirusów

Mikko Hyponnen to Chief Research Officer i specjalista od wirusów w firmie antywirusowej F-Secure z Finlandii. Hypponen to jeden z wiodących ekspertów w dziedzinie internetowego bezpieczeństwa, a także mówca sławnych konferencji TED. Udało nam się z nim spotkać podczas Next14-Conference w Berlinie i porozmawiać o prywatności i bezpieczeństwie sieci po aferze z NSA oraz zbieraniu danych przez Google.

Softonic: Na początek proste pytanie – korzysta Pan z usług Google?

Tak korzystam, zapewne tak samo jak Wy. Bardzo ciężko jest ich uniknąć. Chciałbym tego nie robić, ale jak do diabła uniknąć Google? Nawet jeśli znajdziemy alternatywy dla map i Gmaila, to jak zastąpimy wyszukiwarkę? Nie możemy uniknąć też YouTube, ponieważ wszystkie filmiki i tak tam trafiają. Nawet jeśli samemu uda nam się ominąć Google, to i tak jesteśmy skazani na Google Analytics i Google AdBanner, które śledzą nas w internecie.

Zróbmy drobne obliczenia: ile Google zarobiło w zeszłym roku? W 2013 roku było to 17 miliardów dolarów przy miliardzie użytkowników. A to oznacza, że na każdym, kto korzystał z usług Google, firma zarobiła 17 dolarów. Ja, czy Wy, nic nie zapłaciliśmy, ale i tak każdy z nas dał im 17 dolarów zysku. Chociaż ja wolałbym im zapłacić, niestety nie ma takiej możliwości. Dla Google bardziej wartościowe są nasze dane, niż nasze pieniądze.

Tak przy okazji, to wcale nie było takie proste pytanie.

Mówisz, że Google, Yahoo i podobne serwisy wiedzą o nas więcej niż nasze rodziny. Czy jako użytkownicy możemy coś z tym zrobić?

Możemy usunąć pliki Cookie z Google. Możemy korzystać z tych serwisów bez logowania się. Jest wiele sposobów w jaki łączą oni nas z konkretnym komputerem, tabletem i smartfonem i zbierają dane. Tak naprawdę nie ma dobrego rozwiązania, aby tego uniknąć.

A co z serwisami społecznościowymi? Korzystasz aktywnie jedynie z Twittera. Dlaczego właśnie z niego?

Twitter jest całkowicie otwarty, nie ma tam nic prywatnego, nic do ukrycia. Nie jestem przeciwnikiem social mediów. Ludzie pytają mnie dlaczego nie jestem obecny na Linkedin oraz Facebooku. Odpowiedź jest prosta – staram się dbać o własną prywatność. Jeśli korzystasz normalnie z Facebooka nie ma sposobu na ukrycie swojego życia.

Najlepszą drogą do prywatności jest żyć z dala od Facebooka, ale ma to swoje wady. Nie śledząc Facebooka nie wiem, kto z moich znajomych się pobrał, rozwiódł, czy ma dzieci, gdzie jest impreza. Jestem ostatnią osobą, która o tym się dowiaduje. Wszyscy inni wiedzą, a ja nie, ponieważ nie ma mnie na Facebooku.

NSA oraz Bug Heartbleed  to kolejne złe wiadomości. Użytkownicy internetu są przestraszeni, nie mają pojęcia, co naprawdę dzieje się w sieci. Jak zwykły użytkownik może chronić siebie, korzystając z internetu?

Najprostszą rzeczą jest zachowanie tzw. password culture, czyli przestrzegania stosowania bezpiecznych haseł. Złe hasła zachęcają internetowych przestępców i są źródłem problemów. Należy używać menadżerów haseł, dbać o swoje kopie zapasowe. Na wypadki narażony jest każdy.

Do przeglądania internetu zalecam każdemu korzystanie z sieci TOR. Nie tylko wtedy gdy chcemy coś ukryć, ale cały czas. Ponadto zalecam używanie VPN. TOR ukryje to, kim jesteśmy, a VPN zaszyfruje nasze dane. Co ważne: szyfrowanie działa. I to jest cytat Edwarda Snowdena. Szyfrujcie swoje wiadomości e-mail oraz dane przechowywane w chmurze. Szyfrowanie działa.

Mikko Hypponen

Ty i Twoja firma walczycie z twórcami wirusów, a te wydają się coraz potężniejsze. Czy ta wojna nie jest już stracona?

Nie uważam, aby była stracona. Wcale nie jest łatwo być przestępcą w internecie. Wiele osób staje się e-kryminalistami ponieważ to najlepsza z najgorszych opcji. To ludzie, którzy mają umiejętności, ale nie mają takich szans, jak my. Wiele internetowych przestępstw pochodzi z ubogich krajów.

Nadal jednak nie jest łatwo być przestępcą w sieci. Trzeba pozostać incognito, a to jest niezwykle trudne. Jeden popełniony błąd i zostaną złapani. Ta wojna nie jest przegrana. Trudno ukazać widoczne zmiany, ale jesteśmy bliżej łapania cyberprzestępców niż kiedykolwiek wcześniej. My na pewno się nie poddamy.

Szkodliwe oprogramowanie coraz częściej pojawia się na telefonach z Androidem. Jakie mamy możliwości, aby chronić swoje urządzenia z systemem Android?

Użytkownicy Androida nie padają bezpośrednio ofiarami ataków malware, chyba że zainstalują je na swoim urządzeniu sami.

Istnieje ryzyko, że na naszym telefonie, przy użyciu Google Play lub innego sklepu z aplikacjami, zainstalujemy Angry Birds, Boom Beach lub cokolwiek innego, co będzie wyglądało jak prawdziwa gra, a w rzeczywistości będzie szkodliwym oprogramowaniem. Nigdy nie mamy pewności, czy taka aplikacja nie będzie wykonywała kosztownych połączeń. To jest problem Androida. Trzeba być uważnym, co instalujemy.

Edward Snowden  uważa, że największym problemem może być to, że po wycieku NSA nic się nie zmieni. Czy zauważył Pan jakieś zmiany w ostatnich miesiącach?

Tak, widzę zmiany i mam taką nadzieję. To nie są drastyczne zmiany, ale widać, że coś się dzieje. Coraz więcej osób myśli o tym problemie i zaczyna zadawać pytania. Początkowo ludzie wydawali się być bezsilni, nie wiedzieli co mogą zrobić.

Kiedy o tym mówię staram się zwrócić uwagę, że można z tym coś zrobić. Nie należy się zamartwiać, tylko zacząć coś zmieniać. Możesz być wściekły na to co się dzieje, ale możesz działać. Jestem pełen nadziei.

Dziękujemy bardzo za rozmowę.

Zdjęcie: Mikko Hyponnen

Zobacz także:

5 porad, jak uniknąć zawirusowanych aplikacji przy instalacji APK na Androidzie

Android daje swoim użytkownikom możliwość instalowania aplikacji bez pośrednictwa Google Play, jednak mogą one ukrywać wirusy. Poniższe porady pomogą Ci instalować aplikacje bez ryzyka.

Teraz możesz instalować aplikacje na Androidzie z pobranych plików instalacyjnych, tak jak na Windowsie. Pliki te, noszące nazwę APK, to skompresowane pakiety, dzięki którym nie musisz sięgać do Google Play, oficjalnego sklepu z aplikacjami.

Wielu deweloperów oferuje pliki APK, ponieważ Google Play czasami zawodzi, albo po prostu dlatego, iż uważają dystrybucję aplikacji bez pośredników za dającą większe poczucie niezależności.

Taka opcja może jednak okazać się niebezpieczna, jeśli nie zwracasz wystarczająco pilnej uwagi na pochodzenie tego, co instalujesz na swoim telefonie. Instalując aplikację z pliku APK omijasz kontrolę bezpieczeństwa i jakości Google i możesz w ten sposób zainstalować program zainfekowany wirusem.

Jeśli więc nie chcesz rezygnować z wygody, jaką daje instalowanie plików APK, lub jeśli jeszcze z nich nie korzystasz, a chcesz się dowiedzieć czegoś więcej, przyjrzyj się naszym wskazówkom odnośnie bezpieczeństwa i zminimalizuj ryzyko zainfekowania wirusem swojego urządzenia z Androidem.

Zaznacz pole Weryfikuj aplikacje w Ustawieniach Google

Kiedy zezwalasz na instalację aplikacji z nieznanych źródeł, na przykład instalując pliki APK, pojawia się nowa opcja zwana Weryfikuj aplikacje. Dzięki niej aplikacja zostanie przeszukana pod kątem ukrytych niebezpieczeństw. To trochę jak posiadanie darmowego antywirusa, który praktycznie nie zużywa zasobów.

bezpieczeństwo

W Androidzie 4.2 lub wyżej przejdź do Ustawienia > Zabezpieczenia lub Ustawienia Google

Jeśli aplikacja, którą zamierzasz zainstalować, zostanie wykryta jako szkodliwa, Google wyświetli ekran powiadomienia i zapyta, czy chcesz ją zainstalować mimo wszystko. Ja jednak to doradzam, chyba, że wiesz co robisz.

Google Play Store

Jeżeli Google określi jakąś aplikację jako szkodliwą, zablokują ją lub całkowicie usuń ze swojego urządzenia. Oto, co zobaczysz na ekranie:

Google Play Store

Zwróć uwagę na uprawnienia podczas instalowania z pliku APK

Android wymaga, aby każda aplikacja zainstalowana z pliku APK określała, jakich uprawnień wymaga, na przykład dostępu do listy kontaktów, wysłania wiadomości itp.

informacje o aplikacji

Zawsze sprawdzaj uprawnienia aplikacji, które instalujesz. Jeśli gra wymaga na przykład wysłania SMS, to wiedz, że coś się dzieje.

bezpieczeństwo

Jeśli masz wątpliwości, najlepiej zrezygnować z instalacji i poszukać informacji na specjalistycznych stronach lub forach, a nawet bezpośrednio skontaktować się z deweloperami.

Zainstaluj antywirus na Androidzie

Jeśli nie możesz się obyć bez instalowania aplikacji z plików APK, zainstaluj antywirusa na swoim urządzeniu, aby wzmocnić linię obrony przed niechcianymi programami.

avast! na Android

Avast Mobile Security jest jednym z najbardziej popularnych i kompletnych antywirusów na Androida

Większość antywirusów jest w stanie szybko przejrzeć uprawnienia aplikacji i zidentyfikować te najbardziej podejrzane. Inną opcją jest też uploadowanie plików APK do antywirusa online.

Uruchom plik APK na emulatorze [Zaawansowane]

Podejrzane pliki APK można również uruchomić na emulatorze Androida, takim jak Bluestacks, lub na wirtualnej maszynie z zainstalowanym Androidem, bez narażania swojego urządzenia.

Bluestacks

Bluestacks jest Androidem, który może działać na Windowsie

W ten sposób możesz zobaczyć, co robi aplikacja, zanim zainstalujesz ją na swoim telefonie lub tablecie. Jeśli zdecydujesz się na tę bardziej zaawansowaną metodę, nie przechowuj swoich danych i haseł na wirtualnej maszynie.

Staraj się pobierać pliki APK ze sprawdzonych źródeł

Pewne źródła to takie, gdzie znani są deweloperzy i gdzie możemy znaleźć do nich kontakt w razie jakichkolwiek problemów. Jeśli jakaś aplikacja wzbudza Twój niepokój, zrezygnuj z niej.

Możesz również skorzystać z alternatyw dla plików APK, takich jak Amazon Appstore czy F-Droid, które są bardzo bezpieczne, lub pobierać aplikacje ze stron posiadających recenzje i opinie użytkowników.

Amazon appstore

Amazon Appstore jest alternatywą dla Google Play, która używa plików APK

Unikaj aplikacji z czarnego rynku. Wiele aplikacji, które możesz tam znaleźć stanowią zagrożenie dla Twojego telefonu.

APK jak EXE

Instalacja z pliku APK jest bezpieczna, jeżeli zwracasz uwagę, jakich uprawnień ona żąda. Google i oprogramowanie antywirusowe pomogą Ci zabezpieczyć się przed zagrożeniami, ale nie zrobią wszystkiego za Ciebie: najważniejszy jest zdrowy rozsądek i pobieranie aplikacji z zaufanych źródeł.

Czy spotkały Cię kiedyś jakieś kłopoty przez instalację z pliku APK?

Zobacz także:

Dlaczego warto korzystać z menedżera haseł?

Luka bezpieczeństwa o nazwie Heartbleed w ostatnim czasie dowiodła, że dwie trzecie serwerów internetowych jest podatnych na włamania hakerów. Luka ta (lub też bug) umożliwia kradzież loginów i haseł użytkowników. Nawet tak popularne serwisy jak Google czy Yahoo! okazały się być narażone na ataki hakerów, niemniej kryzys ten został już zażegnany.

W sytuacji, kiedy ciężko jest powstrzymać hakerów przed włamywaniem się na strony internetowe, możesz samodzielnie przedsięwziąć pewne środki bezpieczeństwa aby chronić swoje dane. Pierwszą linią obrony jest tworzenie bezpiecznych i unikalnych haseł dla wszystkich usług i portali, z których korzystasz. Pewnie zadasz sobie teraz pytanie: jak zapamiętać wszystkie te hasła? O dziwo, jest na to prosta odpowiedź: korzystaj z menedżera haseł.

Czym jest menedżer haseł?

1password for Mac

Menedżery haseł to programy, które generują, przechowują i szyfrują wszystkie Twoje hasła. Musisz zapamiętać jedynie jedno, silne hasło główne, aby dostać się do swojej bazy haseł.

Poprzez stworzenie unikalnych i losowych haseł zbudowanych z liter, cyfr i symboli, możesz uniknąć narażenia wszystkich swoich kont, jeśli hasło zostanie skradzione. Jeśli ktoś włamie się na Twoje konto na Facebooku, haker jest w stanie z łatwością uzyskać dostęp do innych Twoich kont, na których posiadasz to samo hasło.

LastPass secure password example

Słabe hasła składające się jedynie z liter i cyfr są podatne na ataki hakerów. Krótkie hasła wręcz ułatwiają intruzom dostanie się na Twoje konta.

Aplikacje, takie jak 1Password czy LastPass to świetna opcja dla każdego, kto pragnie chronić swoje dane. Programy te posiadają także inne funkcje, niż tylko zarządzanie Twoimi hasłami: mogą również przechowywać dokumenty o wrażliwej treści, informacje dotyczące kart kredytowych, a nawet licencje oprogramowania.

Co się stanie, jeśli ktoś ukradnie moje hasło główne?

Jest to wysoce nieprawdopodobne, a menedżery haseł utrudniają hakerom złamanie hasła głównego. Rozmawialiśmy w tej sprawie z Jeffrey’em Goldberg’iem, Obrońcą Przed Czarną Magią (tak, to naprawdę jego tytuł – Defender Against the Dark Arts) aby dowiedzieć się, w jaki sposób aplikacja chroni hasła główne. „Dane w aplikacji 1Password są szyfrowane za pomocą klucza wyliczonego z Twojego hasła głównego. Nikt nie ma dostępu ani do klucza, ani do Twojego hasła głównego. Jeśli ktoś wejdzie w posiadanie danych z Twojej aplikacji, nie będzie mógł ich odszyfrować bez znajomości Twojego hasła głównego”.

LastPass for Chrome

Aplikacja LastPass oparta jest na tym samym mechanizmie. Program ten synchronizuje bazę Twoich haseł ze swoimi serwerami, jednak nie wysyła ani nie przechowuje zaszyfrowanych kluczy. Wszystkie klucze wyliczone są z Twojego hasła głównego i przechowywane lokalnie na Twoim komputerze lub urządzeniu mobilnym.

“Używamy SSL jedynie jako zabezpieczeń na drugim poziomie. Główna ochrona oparta jest na lokalnym przechowywaniu kluczy”, oświadczył dyrektor generalny LastPass, Joe Siegrist.

Czy naprawdę muszę zmienić wszystkie swoje hasła?

Przede wszystkim sprawdź, które z używanych przez Ciebie stron zostały zaatakowane przez Heartbleed i upewnij się, że problem ten został już rozwiązany. Na stronie Mashable znajdziesz całą listę znanych stron internetowych i ich odpowiedzi na Heartbleed. Upewnij się, że dany serwis jest już bezpieczny, zanim zmienisz dotychczasowe hasło, gdyż inaczej ryzykujesz możliwość ponownego ataku. Pomimo, iż pojawiały się głosy, jakoby Heartbleed Bug miał być mocno przesadzony, warto jednak zachować ostrożność.

Cloudflare, dostawca usług dostarczania treści, rzucił wyzwanie hakerom by ukradli oni prywatne klucze używając stron dotkniętych przez Heartbleed. W ciągu kilku godzin, kilkunastu osobom udało się przy pomocy bugu wejść w posiadanie zaszyfrowanych prywatnych kluczy, co dowiodło, że zagrożenie jest bardzo poważne.

[Heartbleed] to nie jest przesada,” wypowiedział się Siegrist. “Eksperyment Cloudflare dowiódł, że zagrożenie jest realne. Bardzo prawdopodobne, że hakerzy dostali się do loginów i haseł.”

LastPass Heartbleed checker

Zmiana haseł przy użyciu menedżera jest bardzo prosta; aplikacje zapamiętają nowe hasła i przechowają je bezpiecznie dla Ciebie. LastPass jeszcze upraszcza sprawę, dzięki ostrzeganiu użytkowników, których strony lub konta są podatne na lukę Heartbleed. Oferuje również stronę internetową, na której możesz sprawdzić, czy dany adres URL został dotknięty przez Heartbleed. Mashable z kolei przygotowało całą listę odpowiedzi na lukę.

Ponieważ nie istnieją żadne narzędzia do automatyzacji, zarówno 1Password jak i LastPass pracują na tej funkcji.

“Musisz samodzielnie znaleźć formularz do zmiany hasła, a następnie przy pomocy 1Password stworzyć i zapisać nowy, silny login. Staramy się maksymalnie ulepszać ten proces”, powiedział Goldberg.

Jak widać, odrobina wysiłku jest w stanie uchronić Cię przed prawdziwymi kłopotami w przyszłości.

Co jeszcze mogę zrobić, aby chronić swoje dane?

Menedżery haseł to pierwszy krok jaki należy wykonać w celu ochrony swoich kont. Śledź również nowości dotyczące ochrony oraz zwracaj uwagę na strony internetowe, które odwiedzasz.

Inną popularną formą wyłudzania od użytkowników ich loginów i haseł jest tworzenie stron, które podszywają się pod inne (tzw. phising). Nigdy nie klikaj w podejrzane linki na swojej skrzynce pocztowej lub otrzymane na czacie.

Menedżery haseł pomagają również w tej kwestii, dzięki kierowaniu użytkowników bezpośrednio na właściwe strony. Czasami, nawet najmniejszy błąd w adresie może skierować nas na podrobioną stronę, która umożliwi innym przejęcie naszych danych.

Chrome browser lock

“Ludzie powinni zacząć brać na poważnie ostrzeżenia SSL/TLS w swoich wyszukiwarkach”, mówi Goldberg. Kłódka znajdująca się w pasku adresu nowoczesnych wyszukiwarek wskazuje, które strony są legalne i szyfrowane. Większość wyszukiwarek powiadomi Cię, jeśli znajdziesz się na podejrzanej stronie, jednak ostrożności nigdy za wiele.

Warto również korzystać z dwuetapowej weryfikacji, jeśli to możliwe. Wymaga ona zastosowania dwóch form identyfikacji: hasła oraz losowo generowanego kodu. Po wprowadzeniu hasła, musisz dostarczyć również losowy kod, który zostanie przesłany do Ciebie przez SMS lub przez aplikację do uwierzytelniania, jak na przykład Google Authenticator. Kod jest możliwy do wprowadzenia tylko w krótkim przedziale czasu, zanim wygaśnie.

Dropbox two factor authentication

Facebook, Google, Twitter, Evernote i wiele innych firm oferują tę dodatkową formę ochrony. Być może trzeba będzie trochę więcej czasu, aby dostać się na swoje konto, jednak możesz mieć pewność, że Twoje dane są dobrze zabezpieczone.

Pamiętaj również, aby regularnie aktualizować swoje komputery, telefony czy tablety, gdyż luki bezpieczeństwa są często niwelowane w aktualizacjach systemu i oprogramowania.

Aplikacje takie jak Avast! ostrzegają użytkowników o przestarzałym oprogramowaniu. Softonic dla Windows również przypomina na bieżąco o aktualizacjach.

Aby dowiedzieć się więcej na temat Heartbleed i sposobach chronienia swoich danych, sprawdź poniższe artykuły.

Lastpass:

1Password:

WIĘCEJ NA TEMAT HEARTBLEED