Úno

7

Mějte svá data v bezpečí!

By borys

V souvislosti se současnou situací ohledně ochrany autorských práv mě napadlo, že napíšu článek, kde bych se pokusil jednoduše vysvětlit, jak bezpečně stahovat data z internetu, jak se zabezpečeně připojovat, jak šifrovat disky a soubory v počítači, jak ukládat citlivá data do cloudu a jak např. okamžitě poznáte, jestli webová stránka spolehlivě chrání vaše heslo.

Hned na začátku bych rád zdůraznil, že nejsem žádný kryptografický ani bezpečnostní specialista. Pokud se dopustím nepřesností, snažte se to tolerovat a brát s rezervou.

Bezpečné surfování internetem

Při surfování mějte vždy na paměti, že vaše veškeré nešifrované přenášené informace si může kdokoliv “po cestě” přečíst. Je to stejné, jako když si stoupnete na náměstí a začnete vykřikovat vaše přihlašovací údaje. Drtivá většina lidí si vás pravděpodobně nebude všímat, protože nikoho nenapadne, že pejsek1234 je vaše heslo do e-mailu. Vždycky se ale najde nějaký šťoural, který se v tom začne vrtat a může této informace zneužít. Proto se vždy snažte používat prefix https:// namísto http://, pokud máte na vybranou a stránka to umožňuje. HTTPS je v podstatě protokol HTTP, přičemž přenášená data jsou šifrována pomocí SSL nebo TLS.

Nastavte si HTTPS na vašem Facebooku, Gmailu a všech ostatních důležitých webech.

U Facebooku toto najdete v “Nastavení účtu” -> “Zabezpečení” -> “Zabezpečené procházení”:

HTTPS Facebooku

V případě Gmailu najdete je to přímo pod položkou “Nastavení”:

HTTPS Gmailu

Podobně může vypadat certifikát vaší banky:

Certifikát České Spořitelny

Ne vždy jsou ale všechna data přenášena důvěryhodně – většinou se jedná hlavně o reklamy. To někdy může, ale někdy nemusí být na škodu. Poznáte to tak, že kliknete na ikonku zámku vedle webové adresy. Pokud víte, že stránce můžete důvěřovat, ale některé informace jsou přenášeny nezabezpečeně, pořád není důvod se znepokojovat.

seznam.cz

Šifrované vyhledávání na Googlu

Pokud používáte Google Chrome, můžete si vynutit šifrované vyhledávání z adresního řádku.

Dostaňte se do nastavení Chrome – například tak, že napíšete následující odkaz místo adresy: chrome://settings/browser. V oddílu Search vyberte Manage search engines (pokud používáte český prohlížeč, postupujte analogicky). Přidejte nový vyhledávací engine následovně:

Name Google Secured Search
Keyword gssl
URL https://encrypted.google.com/search?{google:acceptedSuggestion}{google:originalQueryForSuggestion}sourceid=chrome&ie={inputEncoding}&q=%s

Potvrďte Enterem a potom nastavte Google SSL jako defaultní vyhledávací engine.

Všechno, co odteď budete hledat přes adresní řádek, bude šifrované.

Zdůrazňuju, že si vyhledáváč i tak bude ukládat, co hledáte. Pořád je to ale lepší, než když váš soused bude znát všechno, co na internetu hledáte.

Jestli se nepletu, pro Firefox existuje doplněk, který má podobnou funkci.

Je moje domácí síť bezpečná?

Z mých statistik vyplývá, že se vás hodně připojuje na tyto stránky přes wifi. Udělejte si jednoduchý test – najeďte vpravo dole na ikonku wifi, rozklikněte ho a potom najeďte myší na současnou síť, ke které jste připojení. Uvidíte podobnější informace.

WPA2-PSK

V zásadě existují 3 typy zabezpečení wifi – žádné, WEP a WPA.

Pokud není vaše domácí síť nijak zabezpečená, připomínám, že je to to samé, jako když vykřikujete své osobní údaje na náměstí. Kdokoliv ze sousedů nebo kolemjdoucích k nim má přístup.

WEP už je určitá forma “ochrany”, i když velmi slabá. Prolomit WEP je otázka chvilky. Líbilo se mi, když jednou jeden silně podnapilý kamarád, který už sotva chodil, prohlásil: “Jestli je to WEPka, prolomím ji hnedka” a skutečně se mu to během chvilky podařilo.

Pokud tedy používáte něco jiného než WPA (ideálně WPA2-PSK s AES), nechte si zabezpečit router třeba od kamaráda, který tomu rozumí. Není to vůbec složité, ale bohužel univerzální návod neexistuje, protože každý router je jiný. Pokud ale budete chtít být až přehnaně paranoidní, používejte kabel.

Možná si říkáte: “Ale moje wifi přece nikoho nezajímá!”. Omyl. Zajímá. Dneska každý trošku chytřejší telefon dokáže jenom pomocí okolních wifi bez problémů zjistit, kde se nacházíte. Nevím jak je to možné, ale např. moji domácí wifi Google moc dobře zná a pokud jsem doma, dokáže moji polohu určit s přesností na pár metrů i s vypnutou GPS. Není důvod se zbytečně znepokojovat – využívá se toho například při zobrazování relevantnější reklamy nebo při určování hustoty dopravy. Nemá to se “špehováním” nic společného.

Pokud nejste bezpečně připojení, jak už jsem řekl, může být velmi jednoduché sledovat, po jakých stránkách se pohybujete a co na nich děláte. Myslete na to.

Jestli nedodržujete výše uvedené zásady, není problém, aby kdokoliv přišel před váš dům a například pomocí mobilu a jediného tlačítka se vám během pěti sekund naboural do Facebooku (jak na to se dozvíte např. zde)

Mají weby bezpečně uložené moje heslo?

Poslední tip, který mě momentálně napadá je jednoduchý test, jak si proklepnout bezpečnost nějaké stránky bez jakýchkoliv znalostí o například o kryptografii. Určitě vás někdy napadlo, proč někdy nemůžete získat svoje zapomenuté heslo tak, že si ho necháte poslat třeba e-mailem. Vždycky vám to vygeneruje nové. Proč to tak je? Pokusím se naznačit malinko teorie.

Webová stránka by nikdy neměla ukládat heslo v čisté podobě. Existuje několik možných algoritmů, jak vytvořit otisk hesla. V praxi to funguje tak, že pokud si zvolíte např. heslo ahoj, stránka si vygeneruje otisk, který bude např. po “prohnání” algoritmem MD5 vypadat takhle: 79C2B46CE2594ECBCB5B73E928345492 – jak je vidět, se slovem ahoj nemá na první pohled nic společného. Tento otisk se potom uloží do databáze a při každém vašem přihlášení se zakóduje to, co jste napsali; porovná se to s otiskem v databázi a pokud oba otisky shodují, hesla jsou stejná. Všechny tyto šifry jsou jednosměrné, to znamená, že zpátky z otisku není možné v reálném čase získat zpátky původní heslo – pokud je algoritmus dobře navržen, vaše heslo zpětně nedokáže zjistit ani programátor, který stránky programoval a k tabulce s otisky má přístup.

(Ve skutečnosti se většinou používají mnohem silnější algoritmy než MD5, protože to se dá zpětně rozlousknout pomocí rainbow tables. Pokud vás tato problematika víc zajímá, zkuste si zakódovat nebo dekódovat různé šifry třeba na http://www.onlinehashcrack.com/. Správně by se proti útoku přes rainbow tables měla využívat kombinace více algoritmů a použití soli, ale to už není předmětem tohoto článku).

Rád bych se vrátil zpátky k tomu, proč teda některé stránky posílají vaše heslo (když ho zapomenete) a některé vám vygenerují nové. Pokud jste pozorně četli, odpověď už znáte! Pokud vám některá stránka pošle vaše zapomenuté heslo, znamená to, že jej má někde uložené v čisté podobě. Když to vyženu hodně do extrému, každá uklízečka si potom může zjistit jakékoliv vaše citlivé údaje, zvláště pokud máte nastavené stejné heslo na více službách. To je velmi nebezpečné. Naopak, pokud vám systém automaticky vygeneruje nové heslo, je velmi vysoká pravděpodobnost, že je vaše heslo chráněné a nejde zpětně nikým zjistit.

Pro dnešek stačilo. V příštím článku bych se rád věnoval tomu, jak zabezpečit data v cloudu, napíšu něco o stahování filmů/seriálů/hudby z internetu a potom zkusím napsat stručný přehled o tom, jak se šifrují disky.

Leave a comment