Podstawy cyberbezpieczeństwa (Basics of Cybersecurity)

Cześć, witam was serdecznie. Nie wiem czy dopiero przyszliście, czy już byliście na poprzednich prezentacjach. Wiadomo, że sobota, rano i widzę, że niektórzy jeszcze nieźle sanni, ale może się jakoś rozruszamy. Nazywam się Marcin Karpezo. Będziemy mówili o cyberbezpieczeństwie. Tam macie mój email i to w zasadzie będą dwa slajdy, także nie będzie jakoś tego dużo. No jakoś szczerze powiem nie przemyślałem tego. Już mówiłem tutaj. Niby wiem, że to tak jest, ale na szczęście imię, mała, nazwisko to macie wszędzie na kartkach, także myślę, że damy radę. I na początku chciałem bardzo podziękować, bo to już piąty raz chyba jak tutaj mówię, to jest bardzo fajna sprawa. Szczerze powiem, że bardzo widzę jak ten event się rozwija i pamiętam

jeszcze pierwsze na Politechnice y spotkania i jakby droga profesjonalna czy organizatorów też nieźle idzie do przodu. Także serdeczne gratulacje i dziękuję, że mnie jeszcze raz zaprosiliście. A chciałem z wami porozmawiać o cyberbezpieczeństwie i pierwszym pytaniem, które zawsze wtedy zadaję i mam nadzieję, że tutaj będzie więcej fajnych odpowiedzi. Czym jest bezpieczne hasło? Czym się charakteryzuje bezpieczne hasło? Proszę o odpowiedzi jak najwięcej i wszystkie są dobre najpewniej.

Okej. To moim zdaniem bezpieczne hasło charakteryzuje się tym, że jest wygenerowane losowo. Najlepiej zawiera oprócz liter alfabetu i cyfr jakieś znaki specjalne. Można też używać spacji, bo czemu by nie. Okej, dalej. Szukam więcej odpowiedzi. Przynajmniej musisz to jeszcze powiedzieć do mikrofonu. Przepraszam cię, ale musicie podnosić ręce i szybko do was przywędruje mikrofon. Okej. Y, bezpieczne powinno być takie, które trudno złamać albo dłużej zajmuje złamanie niż jakieś takie brut forcem na przykład. A jakie hasła dłużej się łamie? Takie, które nie są wyrazami alfabet słownikowymi i tak dalej. Okej. Za to za tobą jest jeszcze kolega z odpowiedzią. To po pierwsze nie ma go. Takie byłoby najbezpieczniejsze. System bez hasła. A jeśli już miałoby być hasło, no to

jakieś one time długi losowy string, który właściwie tylko raz używasz. Okej. A jak się z powrotem dostajesz do tej usługi? Musisz pobrać, pójść fizycznie do maszynki, która drukuje ci ten kod, wziąć jeszcze raz kolejny, świeży. I gdzie byś to zastosował? Nigdzie. Ale jeśli już mówimy okej, ale jeśli już mówimy, mówimy o jakimś idealnym rozwiązaniu, takie byłoby chyba najbezpieczniejsze. Okej. No rozumiem, na przykład, nie wiem, biotechnologicznie przykładamy palec i już jesteśmy w usłudze, bo jest związana z naszym kluczem, czy to też już jest zagrożenie tego bezpieczeństwa? Stosujemy je tylko raz. Raz wchodzimy, nigdy nie wychodzimy. Wsiąkamy w Facebooka na zawsze. No mniej więcej tak jak w praktyce, tylko jednak dalej mamy te hasła. Tak. Hasło za każdym razem na maila i tyle.

Okej, dalej szukamy. Czym się jeszcze charakteryzuje bezpieczne hasło. Wszystkie pomysły jakie macie, większość jest dobra. Okej. Czyli, że często musimy zmieniać hasła w ten sposób. Czy jeszcze jakieś macie odpowiedzi? To tak, żebyśmy się rozruszali trochę. Nikt tam z tyłu. E, weź mikrofon, powiedz jeszcze raz i rozwiń. Proszę. wieloskładnikowość bo tu faktor co najmniej. Okej. Żeby nie było właśnie brut forcea typowego. Okej. Jeszcze jakieś odpowiedzi, jeszcze jakieś pomysły? Czym się charakteryzuje bezpieczne hasło? Musisz wziąć mikrofon. No mogę powiedzieć głośno albo nie, bo ludzie wiesz ludzie w internecie niestety mogą cię nie usłyszeć. Chociaż nie wiem jakbyś głośno słyszał. No to powinno mieć dużo entropii. Okej. Jakie jeszcze bezpieczne hasło? jest czym się charakteryzuje takie, które nie jest zapisane pod monitorem.

Bardzo dobrze. Ale to nie jest śmieszne, bo jestem w różnych dziwnych miejscach i często tak się zdarza. Tak. No teraz jak nie widzisz karteczki pod monitorem, musisz jeszcze szukać pod klawiaturą. Tam to jest drugie miejsce, gdzie teraz się szuka hasła w corpo. Jeśli kiedyś byście chcieli skorzystać. Bardzo często są też na ścianie. To też pewnie musisz wziąć mikrofon, nie?

Na ścianach też są. Tak, na ścianach też są. Czym się jeszcze charakteryzuje bezpieczne hasło?

Czym się charakteryzuje bezpieczne hasło? Nie słychać? Tak. Czy jest wszystko dobrze? Bo tutaj nikt nikt nic nie mówi. Dobrze, podajcie mikrofon. zablokowane jest w miarę bezpieczne. Jeszcze raz. Zablokowane jest w miarę bezpieczne. Zablokowane jest w miarę bezpieczne. Zablokowane konto. Tak. Tak. Na hasło przynajmniej. Także okej. Znaczy pragnę zwrócić uwagę, że że pewne pewne pewne wymagania tutaj są sprzeczne, tak? To znaczy nie da się, żeby hasło było równocześnie długie, skomplikowane, często zmieniane i unikalne na każdym systemie. Tak. Znaczy no nie po prostu nie da się a niezapisane, tak? Znaczy to tych tych tych wszystkich rzeczy naraz równocześnie nie da się zaimplementować. Nikt nie jest w stanie tego zrobić. Widzę, że kolega ma repostę z kwalifikatorem bez automatyzacji.

Okej. Są systemy na przykład Volt parę innych, które ułatwiają coś takiego. Zapisane, nie? Bo jest generowane. Okej. Jeszcze jakieś odpowiedzi proszę? Może nie zapisane w przeglądarce. Okej, to też jest bardzo fajna sprawa. Tak, dobrze o tym pamiętamy. Czy jeszcze jakieś odpowiedzi, bo jest bardzo fajnie. Macie zupełnie inne odpowiedzi niż przeciętna grupa na tego typu warsztatach. Bardzo się z tego cieszę. Ja też się wielu rzeczy uczę po drodze. Jakie jeszcze mamy? Co, co jeszcze wiemy o bezpiecznym haśle? Bliżej mam tak, bo już chyba bliżej dużo nie mogę. Co jeszcze wiemy o bezpiecznym haśle? No to to pewnie oczywiste, ale nie używamy go w więcej niż jednym serwisie. Dokładnie. Co jeszcze wiemy o bezpiecznym haśle?

Dobra, teraz znowu do mikrofonu. Tylko my je znamy, nie dzielimy się z nikim. Bardzo dobrze. Co jeszcze wiemy o bezpiecznym haśle? To dobra, uznajmy, że wystarczy. Teraz zastanówmy się jak te rady zastosować dla zwykłego użytkownika, bo rozumiem, że rozmawiamy sobie o tym my z PC od bezpieczeństwa. Ludzie, którzy w tym siedzimy, którzy wiemy na czym polegają wycieki danych, czym się kończą. Jak zastosujemy to dla zwykłego użytkownika, dla naszej mamy. Jak wytłumaczymy naszej mamie, czym jest bezpieczne hasło i co ma teraz zacząć robić? Czy macie jakieś pomysły? Proszę, to najpierw do tyłu, a potem do przodu. No jeśli ma być w każdym serwisie inne, no to musimy mojej naszej mamnie zainstalować jakiś program do trzymania tych haseł zaszyfrowanych, bo bo nie

zapamięta wszystkich po prostu. Okej, czyli instalujemy naszej mamie Kipasa na przykład. Co jeszcze? To samo. Dobrze. Czy jeszcze jest jakiś inny pomysł? To proszę wziąć mikrofon. Nie wiem, czy w waszych firmach są takie kursiki dla zwykłych użytkowników, jak generować sobie takie hasła, żeby były tylko dla nas i nikt inny ich nie rozpoznawał i nie zapamiętywał i nie domyślił się. W każdym razie wybieramy sobie jakąś frazę lub coś coś takiego, co nie jest oczywiste. Nie imię dziecka czy czy jakiś tam ulubiony kolor, tylko coś troszeczkę bardziej złożonego. Może być nawet całe zdanie. I w tym zdaniu na przykład yyy niektóre litery zamieniamy czy na cyfry, czy na znak specjalny. Powiedzmy a na czwórkę, s na piątkę, czy tam jakieś inne rzeczy

można pokombinować, czy znaki zapytania za coś, tak żebyśmy my pamiętali ten pattern, natomiast ktoś inny niekoniecznie. To znaczy przede wszystkim nie domyśli się tej frazy, bo ona nie jest z niczym związana, co by co by było generalnie rozpoznawalne tylko takie dla nas. Wtedy nie trzeba żadnego paski, nie trzeba nic zapamiętywać nigdzie, bo człowiek sam wie co to jest. Czyli mne nemotechnika. Ja to zegu tłumaczę w ten sposób, że będąc w pomieszczeniu, w którym jesteśmy, szukamy jakiś trzech, czterech rzeczy, staramy się ze sobą połączyć się w jedno zdanie. Mamy już bezpieczne hasło, które jeszcze w dodatku możemy sobie przypomnieć, kiedy jak jesteśmy wzrokowcami, tak pamiętamy obrazy, więc kiedy usadowimy się w tym miejscu, spróbujemy sobie przypomnieć, co wtedy

widzieliśmy, łatwiej jest sobie to hasło przypomnieć. To jest ta sama metoda. Bardzo się cieszę, że prowadzicie t prezentację za mnie. Kolejna odpowiedź. Do mikrofonu głośniej. Czy teraz lepiej? Okej, dzięki. Kupić zestaw kostek i wydrukować ten Diceware. Diceware. Są też fajne oprogramowania do tego. O tym za moment. Y, wiecie w ogóle o co chodzi z Dayswareem? No więc opowiedz o co chodzi z Dayswarem. Zestaw, długi zestaw słów z przypisanymi numerkami rzuca się zestawem przeważnie pięciu kostek i patrzy jakie słowo wyszło i to się powtarza w zależności od potrzeb ctery do ośmiu razy i się ma hasło. Tak. No to jest super metoda. Fajnie byłoby, żeby robił to za nas komputer, nie? I mamy do tego oprogramowanie. No wiadomo, że

bezpieczeństwo tego zawsze jest obniżone, ale też musimy pamiętać o tym, w zasadzie ustalić przed kim chcemy się bronić, bo jakby to nie ma jednego idealnego rozwiązania, które obroni nas przed wszystkim. Więc kiedy tworzymy hasło, tworzymy swoje konta, lekko musimy myśleć o tym i zastanowić się, kto w zasadzie może nam zagrozić, jakie są wektory zagrożeń, które mogą nas trafić. W związku z tym wątpię, żeby na przykład moja mama siedziała z tą kostką i wybierała słowa osiem razy. Tak było c do o c do ośmiu razy. No raczej by tego nie robiła, ale już korzysta ze stronki, którą którą jej przygotowałem z Dwarem, który losuje ze słownika polskiego. Co ciekawe pamięta tych haseł coraz więcej sama, bo Daer okazuje się, że

robi fajne hasła. Jeszcze u niej się akurat losuje siedem słów. Z tego mniej więcej wybiera 4 pi, które ładnie się układają w zdanie, które ona sobie zapamięta i to się sprawdza. To jest fajna metoda. Dodatkowo jeśli połączycie to z kipasem, bo wiadomo, że pamięć jest zawodna, więc jeśli macie jakąś zeszyfrowaną bazę haseł, którą możecie już trzymać tak naprawdę nawet i w Dropboxie, w Google Driveie, w czymkolwiek chcecie, to taka dla mam, dla cioci bardzo fajna metoda. Zresztą dla zwykłego użytkownika w waszej firmie też. To się sprawdzi i bardzo podniesie wam bezpieczeństwo i jest duża szansa, że zastąpi karteczki pod klawiaturą. Także jeśli macie ten problem i myślę, że w zasadzie podsumowaliśmy sobie fajnie, czy wy sobie podsumowaliście

fajnie na czym polegają bezpieczne hasła i to jest wszystko co chyba każdy musi sobie jakoś skompilować, znaleźć tą metodę, którą która będzie dla niego działała i ją stosować. Wiadomo, znaczy podstawą, którą któujemy, czyli nie stosujemy jednego hasła w kilku miejscach. Dobrze jest mieć załóżmy sobie, że pięć haseł, które pamiętamy i coś w rodzaju stref bezpieczeństwa, czyli że nie wiem czy tymczasowo, zanim będziemy w lokalizacji, gdzie możemy sobie wygenerować bezpieczne hasło, bo tak też niektórzy robią, stosujemy jedno z tych pięciu haseł w zależności od tego jak ważna jest to dla nas usługa. Poza bazą haseł też dobrze jest mieć kilka haseł, nie wiem, do banku, do do jednej przynajmniej skrzynki pocztowej, takiej, które sami pamiętamy, które są w miarę bezpieczne, po to, że

jeśli z jakiegoś powodu jesteśmy od tej bazy odcięci, bo na przykład nie mamy żadnego urządzenia elektronicznego naszego, takiego, gdzie możemy sobie ściągnąć naszą bazę haseł, no to dobrze byłoby móc się komunikować ze światem. To się zdarza szczególnie ludziom, którzy się uczą, którzy nagle zaczynają wszystko wrzucać do tej bazy haseł, nic nie pamiętać, a potem nie wiem, albo zapomnieli wrzucić to do Dropboxa, albo zapomnieli to zsynchronizować za pomocą pendrivea, czegokolwiek i nagle lądują bez swojej bazy haseł, bez dostępu do czegokolwiek. To jest dosyć kiepskie, dlatego dobrze jest mieć te kilka haseł, które i tak pamiętamy. I w zasadzie ta prezentacja będzie się głównie opierała na tym, że porozmawiamy sobie o tym, jak przekonać zwykłych użytkowników do tego, żeby bezpieczniej

obsług obchodzili się z technologią, bo myślę, że zdajemy sobie wszyscy sprawę, że już dłużej tak się nie da, że rozwiązaniem jest to, że bezpieczniej jest, bo z jakieś technologii nie korzystamy. Nie wiem, bo dalej siedzimy na naszej Noki 3310, więc możemy wyjąć baterię w przeciwieństwie do, nie wiem, Motorolek, MotoG czy do czegokolwiek innego, co ma tą baterię cały czas włożoną. Wiadomo, że jeśli smartfon ma smartfon ma włożoną baterię, to nawet kiedy jest wyłączony, i tak może zostać uruchomiony, i tak może zostać przejęty, i tak można zdobyć z niego dane, bo tak czy siak w każdym momencie jesteś w stanie z niego wykonać połączenie alarmowe. E, no już w tym momencie ciężko jest kupić smartfon z wyciąganą

baterią, a przy Noki 3310 ciężko jest cały czas pozostać, chociaż znam takich, którzy nawet kupili Nokia 3310 z zasilaczem i nową baterią za 33 zł. Da się. [Muzyka] Facebook jest fajnym narzędziem komunikacyjnym. No bez niego teraz już też jest trochę ciężko, zarówno w świecie prywatnym, jak i w świecie biznesu. Mimo tego, że mamy LinkedIna, że mamy maile, że mamy wszystko, to i tak 3/4 ASAPów i innych appów się odbywa Facebookiem, więc o tym też musimy pamiętać. I to są w zasadzie tylko takie podstawowe zabezpieczenia w sensie rzeczy nie wiem które staramy się wyrobić sobie nawyki i stosować automatycznie. Natomiast poza tym nawet jeśli zakładam, że nie korzystamy z Facebooka, możemy i tak paść ofiarą ataku. Świetnym

przykładem będzie jeden z pracowników mojej firmy. O, mam to tu. I nawet się przełączył slajd. Ponieważ się przełączyło, to już tak o tym opowiem. Tam pod tym linkiem to jest, jeśli macie gdzie zapisać to fajnie. jest lista polecanego oprogramowania. Jest dosyć krótka i jest taka jak mam nadzieję, że tam jest oprogramowanie, które możecie komuś polecić do tego, żeby zaczęli sobie wygodnie korzystać. Jest sklasyfikowane na system operacyjne mobilne, desktopowe. Q słucham. QR kod by się przydał, ale chyba byłoby tutaj ciężko ze skanowaniem. Nigdy nie byłem fanem QR kodów. Y, a wracając, nigdy nie korzystając z internetu i tak można paść ofiarą. Przykładem będzie pracownik z mojej firmy, który padł przy padł ofiarą wycieku z neti. Wyciekło w czerwcu

półtora miliona danych klientów i nie klientów i niedoszłych klientów Neti i byłych klientów Neti. zadałem sobie trochę trudu, żeby te dane odszukać i na przykład pan, który w zasadzie swojego jedynego maila w życiu to ma w naszej firmie, bo pracuję w niej od kilkudziesięciu lat, e, nie ma żadnego innego. Telefon komórkowy chyba też ma firmowy, jeśli w ogóle taki posiada. E, jego kontakty z technologią to w zasadzie się kończą na tym, co ma w pracy, gdzie odbiera maile i jest to bardzo stary system, od dawna nieaktualizowany. i pewnie telewizor w domu. A mimo tego na jego temat w internecie pojawiło się data rozmowy, czas rozmowy, temat rozmowy, czyli szybki internet max plus telefon wieczory i weekendy. Dokładnie.

To była rezygnacja, rozmowa rezygnacyjna z usługi, yyy, imię, nazwisko, yyy, potem adres zamieszkania pełny, yyy, potem numer telefonu domowego, jednak ma komórkę, więc numer komórkowy i numer maila w naszej firmie. No dlatego się dowiedziałem, że ktoś od nas jest na tej liście. Jego jedyne kontakty z technologią, mail w pracy, telefon komórkowy i telewizor. I w zasadzie wiemy gdzie mieszka, możemy tam pójść. Słucham. To po co rezygnował z internetem? Nie używał, bo nie używał, bo jego rodzina przestała mieszkać już w jego domu. Wyprowadziła się dorosły internet kiedyś miał internet, tak? i z niego rezygnował, natomiast nie korzystał z niego, dzieci z niego korzystały i na takie informacje się znalazły. Znalazły się również informacje o pracownikach, którzy na przykład

wypełniali, którzy wypełniali formularz komunikacyjny, ale nie skończyli tego robić, czyli nie nacisnęli wyśli, po prostu przestali zamknęli zakładkę i tyle. Te dane i tak zostały zapisane. Była tam informacja o przeglądarce, o systemie operacyjnym, akurat to było u buntu, o dacie adres IP. znowu wyciekła. Tak naprawdę możemy dojść do lokalizacji, skąd on to robił, prawdopodobnie z domu albo z pracy. Yyy, dalej znowu powyciekały numery telefonów i przede wszystkim były informacje o tym, jakimi yyy jakimi ofertami klienci byli, czy nie doszli klienci byli zainteresowani, jak długo na ten temat byli w stanie rozmawiać. Są też komentarze konsultantów telefonicznych. Na przykład bez szczegółów poczekam potem, kiedy z panią porozmawiam na temat internet do 100 mbitkundę przez godzinę. To nam mówi o tej pani całkiem sporo.

Znamy jej maila, znamy jej numer telefonu i wiemy, że jesteśmy w stanie z nią porozmawiać przez godzinę o niczym. To jest całkiem spore źródło. Jeśli ktoś chce, jeśli ktoś chce tej pani wyrządzić szkodę, nie wiem, dostać się do do jej miejsca pracy, zdobyć więcej informacji na jej temat czy na temat jej znajomych, bo załóżmy, że ma wpływowych znajomych, którzy są rzeczywiście celami naszego ataku, to wiemy, mamy dane kontaktowe tej pani i wiemy, że możemy z nią porozmawiać przez godzinę o niczym i wyciągnąć masę informacji. Przy okazji naprawdę nie musimy dużo szukać.

Dobra, to nic. Prezentacja to jakby ja się zdecydowałem na slajdy całkiem niedawno i muszę to jeszcze poćwiczyć i to jest tylko przykład tego, jak dużo danych może wyciec, nawet jeśli dalej posługujemy się naszą noą 3310. Czyli zarówno nasze babcie, nasze ciocie, nasi dziadkowie, starsi pracownicy naszej firmy też mogą paść ofiarami ataku i chcą, nie chcą, czy lubią te technologie, czy jej nie lubią, muszą sobie zdawać sprawę, że nawet jeśli z niej nie korzystają, jeśli z kimkolwiek rozmawiają i przekazują jakiekolwiek dane na swój temat, mogą paść ofiarami jakiegoś kosmicznego, wirtualnego wycieku danych, które jest wielką bazą informacji z kim, o czym, jak długo i gdzie mieszka i jak można z nim o tym porozmawiać. półtora miliona danych na ten temat,

półtora miliona osób, które możemy zaatakować, które możemy wysłać maila z tej strony Netia. No bardzo przepraszamy. Ups, wylało się. Mamy dla pana super ofertę. Jest w tym pliku PDF, który jest oczywiście zainfekowany. Pyk, mamy komputer, z którego możemy działać. I ci ludzie dostawali takich maili masę. To nagle Netia przepraszała ich z każdego możliwego adresu mailowego. Przepraszała 10 razy dziennie SMS-owo, telefonicznie, bo oczywiście przechodziły nawet te SMS-y z niebezpiecznika, co były, które potrafiły, nie wiem, tam wyłączać telefon czy go zawieszać. Wszystko szło naprawdę. I ci ludzie nie znając się niestety na tym specjalnie, bardzo często się nabierają. Jeśli po takim wycieku pracownicy waszej firmy yyy zakładam, że jeśli zajmujecie się bezpieczeństwem, to gdzieś waszym obowiązkiem jest co jakiś

czas skanować, czy dane waszych waszych pracowników nie wyciekają, czy w kolejnych wyciekach z Polski nie pojawiają się chociażby maile z domeny waszej firmy. Jeśli się pojawiają, to warto ustalić co tam było y i przeszkolić pracowników, czego mogą się spodziewać, co powinni dalej zrobić, tak że powinni zablokować swoje konta, w miarę możliwości zmienić numer telefonu. Oczywiście to jest trudniejsze bądź łatwiejsze. Zmiana maila jest akurat całkiem łatwa. Przede wszystkim zmieniamy wszystkie hasła. Tak naprawdę ustalamy co się stało, co wyciekło, co z tym dalej zrobić. blokujemy karty. Jakie informacje na nasz temat można jeszcze zdobyć mając te dane? A mając numer telefonu maila można zdobyć całkiem sporo i ale w zasadzie takie ataki to oczywiście nie jest jedyne źródło

informacji. I świetnym przykładem jest inny z mojej firmy. Dostęp do twojego konta bank zachodni WBK został zablokowany. W tym momencie wszystkim zwykłym użytkownikom krew mrozi w żyłach. Co ważniejsze, nawet tym, którzy nie są klientami bez SWPK, bo w zasadzie jest konta, bank został zablokowany i wykrzyknik to już w ogóle, to jest już masakra. Tak, w trosce o bezpieczeństwo naszych klientów zablokowaliśmy konto w systemie BZWBK24 internet. Powodem jest nieautoryzowany dostęp do konta. W celu odzyskania dostępu prosimy o weryfikację właściciela rachunku logując się na centrum bzwbk.top@email. E, taki piękny link. Oczywiście tylko kliknij i zaloguj się. Mało kto najedzie, żeby sprawdzić. To jest coś, czego uczymy wszystkich zwykłych użytkowników. Najedźcie, żeby wam się pojawiło tam na dole w rogu ten pełny

adres, żebyście to zweryfikowali. To rzeczywiście może być ta domena. To nie trwa dużo, oni to szybko łapią. Bardzo wam polecam zastosowanie czegoś takiego, bo kiedy zobaczą kilka takich wycieków danych i zobaczą kilka naprawdę prostych metod przeciwdziałania, czyli potwierdzenia chociażby adresu, od razu dużo rzeczy się zmienia. Przestają klikać, przestają przechodzić do fejkowej strony, na której muszą podać imię, nazwisko, numer telefonu jednego, drugiego maila. Tam było jeszcze chyba imię ojca, imię matki, numer dowodu osobistego, PESEL, bo my przecież wszystko musimy potwierdzić, żeby teraz ten dostęp do konta odblokować, nie? I ludzie to wypełniali i klikali. A dalej reszta danych się zgadzała, w sensie na tamten czas kapitał zakładowy i wpłacony był w porządku, krsy i tak dalej. No tylko ten mail

Mariaesa kosznikhomathom.pl to jedyne w zasadzie co tak no wystarczy. Wiem, że klikali w to również nie klienci bezwk, więc to naprawdę była przyjmująca dla nich wiadomość i to to jest bardzo zabawne, dopóki nie jest to jakaś historia z naszego otoczenia, dopóki to się nawet nam nie zdarza, bo znam wielu ludzi, którzy razem ze mną prowadzą kryptoparty, różne warsztaty, a też dzień przed jednym warsztatem, kiedy mamy wyjść, powiedzieć ludziom jak mają korzystać z Facebooka, że mają oddzielać życie prywatne od służbowego, że powinni się wylogowywać z Facebooka. mój kolega na swoim profilu nagle publikuje link do jakiegoś fejkowego posta. Jak zobaczyłem to to go zapytałem czy on to tak na poważnie, bo to nawet nie było, no to nie było związane z jego

tematami, którymi się na Facebooku, których się na Facebooku podejmuje. No okazało się, że nie, to nie było to, bo niestety był zalogowany na Firefoxie mobilnym po to, żeby nie być w aplikacji, która szpieguje i wszystko, ale kliknął w jakiś link, no i poszło. Zdarza się najlepsze. Natomiast potem mamy wirusa na Facebooku, z którym jest sobie ciężko poradzić. Zwykłe resety haseł nie wystarczą. Trzeba czyścić przeglądarkę, najlepiej ją odinstalować, wycizyć wszystkie dane, zainstalować ponownie. A wiadomo, że jak mamy jakikolwiek malware, to tak naprawdę najlepiej jest sformatować i zainstalować od nowa cały system, bo to, że usuniemy coś, co widzimy, na pewno mamy tych zagrożeń na komputerze jeszcze więcej. Więc skutki nawet prostego wirusa na Facebooku czy no tego haka, tak to można

to nazwać hakiem, mogą być znacznie poważniejsze, bo z reguły takim prawdziwym działaniem, które powinniśmy wykonać to nie tylko wyczyścić wszystkie ustawienia prywatności, ale też sformatować nasz komputer, bo wtedy mamy pewność, że rzeczywiście usunęliśmy wszystko, bo wiele razy jest tak, że usunęliśmy wszystko, co widać, wszystko co się rozsyła, wszystkich zaprasza do tego wydarzenia czy do tej grupy, a za dwa tygodnie mimo tego, że już korzyst zostaliśmy bezpiecznie i znowu się problem pojawia, czy ten, czy zupełnie inny. Najczęściej po prostu zostaje już w naszej przeglądarce jakaś furtka albo poza nią, która która pozwala nas atakować z powrotem. Yyy, mamy też oczywiście maile z PDFami, z zipami, z dokami. To są takie pliki, które bardzo łatwo infekują nasze

komputery. No i tutaj przychodzą różne. No załóżmy, że moją firmę interesują granty. No więc jeśli coś jest związanego z grantami, to słuchajcie, od razu wszystko otwierają. W sensie, no przychodzi mail, proszę mi powiedzieć, czy ja mogę tego maila otworzyć bezpiecznie, bo wydaje mi się podejrzane, z drugiej strony jest to Grantak, więc chyba jednak chcę go otworzyć. I tak naprawdę no nie trzeba się bardzo starać, żeby stargetować jakąś osobę i sprowokować ją do otworzenia maila. Bardzo dobrze o tym wiemy, bo w ten sposób padła Netia, bo w ten sposób padł Dropbox. Z neti półtora miliona danych klientów, z Dropboxa 25 milionów loginów i haseł, bo jakiś pracownik w biurze otworzył zainfekowanego doka. Prawdopodobnie tak samo padło Jachu

ostatnio, chociaż mam wątpliwości, bo ich zyski na tym całym wycieku były są tak duże, że nie wiem czy oni tego sobie nie zrobili specjalnie, jak świat się nagle dowiedział, że mają 500 milionów kont, do których teraz nagle muszą się do każdego odezwać i wymusić interakcj, zmieni hasło. świetna, świetny sposób na odnowienie kontaktów z naszymi obecnymi i byłymi klientami i upewnienie się, że to, że ta baza klientów jest i po pierwsze pokazanie wszystkim, że upadająca od 10 lat firma dalej istnieje i ma się całkiem nieźle, ma nie zasięg i akcje jachu w zasadzie albo się nie ruszyły, albo poszły nawet trochę w górę po tej informacji. Y, chociaż nie, znowu y chociaż nie czytałem tak naprawdę żadnego jeszcze

podsumowania tego ataku. pewnie dopiero jakieś będzie albo jeszcze do mnie nie trafiło. Także się dowiemy w jaki sposób jak upadło dopiero niedługo. Yyy i to jest chyba najprostsza i najpowszechniejsza metoda właśnie te zainfekowane pliki rzeczami, których musimy uczyć naszych znajomych, zwykłych użytkowników, nasze mamy, nasze babcie, kogokolwiek, kto korzysta z internetu. Nie otwieraj maila, jeśli nie masz pewności, że znasz osobę, która go wysłała. Jeśli nie spodziewasz się od niej tej wiadomości, tego typu wiadomości, z reguły masz no albo wyślij do niej maila i zapytaj, czy na pewno, czy na pewno wysyłała ci tę wiadomość, albo zadzwoń i zapytaj, albo przejdź się dwa pokoje dalej i zapytaj, czy na pewno wysłała ci tę wiadomość. To nie jest

dużo, a jest bardzo ważne, bo łatwo jest się pod kogoś potrzeć, chyba że ma adres mailu, bo wtedy jest trudniej, ale poza tym to wpisać sobie innego maila, wysłać to jest żaden problem. W zasadzie każdy trochę bardziej zaawansowany użytkownik komputera to potrafi. Także musimy przede wszystkim uwrażliwiać ich na to, żeby stosowali te bezpieczne hasła, żeby to nie było jedno hasło do wszystkiego, że jak już ma z tego wszystkiego cokolwiek wprowadzić, to niech to chociaż będzie ten kipas, niech to będzie ta, nazwijmy to, książką telefoniczną, gdzie sobie zapisujesz adresy i dane logowania, o których musisz pamiętać tylko jedno hasło. Zapamiętaj to jedno hasło. Resztą już ten kipas się zajmie. zainstalować im to na telefonie, zainstalować im to na dowolnym systemie

operacyjnym, zsynchronizować to. Jeśli nie mamy w firmie żadnej chmury, no to zwykłym Dropbox Kipas jest wystarczająco bezpieczny. I o takich rzeczach musimy pamiętać i w ten sposób podchodzić użytkowników, bo to w zasadzie jest prezentacja o tym, jak podejść użytkowników, żeby oni zwiększyli swoje bezpieczeństwo. Starać się powoli wprowadzać im to oprogramowanie, nie zastępować im wszystkie usługi, gdzie mają wszystkich znajomych, bo to hakerzy lubią robić najchętniej, ale po coś ten Facebook, masz to jest spory. Tylko, że to jest spory, zobacz, tutaj jest wszystko wolne. Tutaj nikt nie będzie ruszał twoich postów, tutaj nikt cię nie śledzi, tutaj nikt cię nie cenzuruje. No wszystko fajnie. wchodzę, zakładam konto, mam dwójkę znajomych i w zasadzie to wszystko, bo dalej mam dużo ludzi,

których nie znam i na początku nawet mnie to interesuje i wchodzimy w interakcj, ale już chyba na swoją desporę się nie logowałem za d lata prawie, a prowadziłem portal diaspora.pl i zajmowałem się promowaniem tego w Polsce. To niestety się nie uda. Zastępowanie Twittera, wszystkich innych rzeczy, to to nie ma sensu. Nie ma sensu zastępowanie, nie ma sensu też dokładanie nowych, skomplikowanych narzędzi. musimy znaleźć jakieś jedno proste czy najchętniej proste zachowania, które które oni sobie zrobią z nich nawyki i zaczną je stosować. Czyli sprawdzanie, czy ten email należy do tej firmy. Zanim kliknę w odnośnik w mailu, to niech mi się chociaż wyświetli na dole, żeby miał pewność, że to jest ta domena co trzeba. Jeśli nie jestem pewny, że takiego maila

powinienem otrzymać od tej osoby, dzwonię i pytam. Jeśli do mnie dzwoni infolinia i teraz zaczyna mi proponować super nową usługę, to jednak dzwonię do firmy, której jestem oczywiście pamiętając, że jestem, sprawdzam, czy jestem jej klientem. Tak? Jeśli jestem jej klientem, to dzwonię na infolinii i pytam, czy takiego maila mi wysyłają. Ale to akurat wiedzą całkiem całkiem wiele osób to wie, bo każdy bank o tym informuje na samej górze, jak się ktokolwiek zaloguje, że MBBank nie wysyła maili, IDBank nie wysyła maili bez WBK i nie wysyłają maili. A ludzie i tak klikają, więc w zasadzie trzeba im to z każdej strony przypominać w każdym momencie i w zasadzie minimum ten kipas. Fajnie jest ograniczyć ich przeglądanie do

dwóch, do Firefoxa i do Chromea. Jeśli korzystając z czegoś innego, dobrze, żeby już z tego następnego dnia nie korzystali. A jeśli to jest Firefox albo Chrome, dobrze, żeby to był, nie wiem, privacy Budger, Ublock czy Dawniej Microblock i HTTPS Everywhere. To są wtyczki, które nie wpływają negatywnie na ich korzystanie, a bardzo zwiększają ich bezpieczeństwo. Głównie dlatego, że nawet na Onecie zdarzają się reklamy, które nieopatrzne kliknięcie zamiast zamknij w reklamę powodują nas instalację malwaru na na przeglądarkach. Więc dopóki to się nie zmieni, dopóki reklamodawcy nie zaczną nas szanować i nie przestaną nam instalować malwareu, to ja niestety nie mam do nich szacunku i wam blokujcie wszystkie reklamy jakie się da dla własnego bezpieczeństwa, bo oni wcale o nie dbają i to jest bardzo

duży problem i bardzo ważna sprawa, którą trzeba zarówno sobie jak i osobie, z którą rozmawiamy uświadomić, że każdy serwer za momencik, okej? Każdy serwer, każda strona to jest tylko i wyłącznie czyjś komputer, o który ktoś dba tak samo jak my dbamy o nasz, którym on się zajmuje, który może zapomnieć zaktualizować, który może zaniedbać, który może stać się serwerem, który od 10 lat jest w naszej firmie, nikt się go nie dotykał, zmienił się admin trzy razy, nikt nawet nie pamięta hasła, a my nagle na niego trafiamy i 10 lat stała na przykład usługa, która jest usługą chmurową stojącą na zewnątrz w naszej firmie. Nikt o nie pamiętał, bo już dawno nikt z tego nie korzystał, ale stało i stało

się wektorem ataku. Zawsze jest to komputer drugiego człowieka, którym drugi człowiek się opiekuje i który również może popełniać błędy. Warto jest zarówno sobie, jak i innym zdać sprawę z tego, że te firmy, szczególnie te duże firmy, bardziej stać na to, żeby sobie poradzić z wyciekiem niż na to, żeby się dobrze zabezpieczyć. Mi wcale nie zależy na tym, żeby się dobrze zabezpieczyć, bo wyciek jest tańszy. dużo więcej kasy wydadzą na zabezpieczenie swojej firmy niż na to, żeby nie wiem raz na pół roku, raz na rok, raz na parę miesięcy poradzić sobie z wyciekiem. I to jest fakt, to nie jest teoria spiskowa. Po prostu jest pewien próg zabezpieczeń, na które pieniądze idą i dalej już nie pójdą, dalej już nie będą

tego robić. I to robią najwięksi. I to widać bardzo dobrze po Dropboxie, to widać bardzo dobrze po jachu. Im wcale nie zależy na tym, żebyśmy, żeby nasze dane były super bezpieczne, bo jak one od czasu do czasu wyciekną, to ludzie się przyzwyczają do tego. No przecież nasze dane wyciekają, to normalne. Pomyślę sobie jeszcze parę lat temu, 9, 10 lat temu gdzieś udostępniliśmy nasz numer telefonu albo kasowaliśmy go z książek telefonicznych, skądkolwiek już naszego maila. No to tylko znajomym, bo zaraz będą rozsyłali spam. Nie publikujemy go nigdzie. Jak go publikujemy, to jeszcze dajemy, nie wiem, kropkę zamiast małpy, podkreślnik zamiast pl, cokolwiek, żeby gdziekolwiek to jest opublikowane, to żeby nie dało się w to kliknąć, żeby nie klikały w to

roboty. W tym momencie nawet my, jeśli to robimy, to to w zasadzie nie ma większego znaczenia, ponieważ nasze dane już jeśli to był Gmail, jeśli to było cokolwiek, już pewnie wyciekły i nasz email i tak tam jest. Codzienne wycieki danych, to że firmy średnio dbają albo wcale nie dbają o bezpieczeństwo danych swoich użytkowników doprowadziło do tego, że dla nas całkowicie normalne, że wyciekają nasze maile, wyciekają nasze dane kart kredytowych, nasze PESEL, bo to też chyba była sprawa całkiem niedawno, wycieka wszystko, nawet najbardziej coraz bardziej prywatne dane wyciekają i coraz mniej nas to rusza, a coraz częściej ktoś znajduje się w sytuacji, w której ktoś wziął na jego dane chwil i musi sobie nagle poradzić z wziętym na

jego dane kredytem albo zrobionym na zrobionym przez jego konto zakupem na 28000 na Allegro na laserową maszynkę CNC, ponieważ miał iPona. Ten iPhone został podłączony do podstawionej sieci Wi-Fi. Przejęto dane, przejęto dane logowania. Dostano się do telefonu, dostaną się do banku. akurat z jego banku tego nie zrobili, ale dokonano zakupu z płatnością przy odbiorze na 28000 zł. Okazało się, kiedy podstawili mu tą wielką maszynę i wielką pakę pod drzwi. Wtedy się dowiedział, że ktoś go zhakował i że ma, że ma, że ma problem. Wystarczyło, no tak, za którą nie stać go, żeby zapłacić, więc wtedy poszedł na policję. Udało się to jakoś odkręcić. Trochę kasy na tym niestety stracił. No na pewno wymienił telefon. Już ze

zwykłego użytkownika stał się tak zaangażowanym użytkownikiem, który na każdym swoim kolejnym telefonie instaluje cenogen moda. Najchętniej jeszcze z modowanym kernelem, firewallem i wszystkim. Człowiek się uczy, jakby sparzył się raz i teraz został trochę frikiem, jeśli idzie o zabezpieczenie siebie i swojego korzystania z internetu e i z technologii. I to może dotknąć każdego z nas, bo wiele z nas ma iPhony, wiele z nas niekoniecznie zwraca uwagę podłączając się do sieci domowej. A przecież wystarczy tylko podstawić coś, no załóżmy, że większość z nas pewnie ma albo w przedpokoju, albo w w salonie router z internetem. Więc pewnie w łazience albo w kuchni zasięg będzie trochę słabszy. No więc wystarczy przez ścianę albo w okolicy podstawić trochę mocniejszą sieć WiFi o tej samej nazwie,

tym samym haśle. Zdobywanie haseł do sieci WiFi nie jest dużym problemem.

Okej. Znaczy no dobrze to widzisz są są na to sposoby. Bardziej chodzi o fakt, że iPhone się niestety, jak to powiedziałeś, iPhone się nie wysrał. Niestety iPhone się przełączył i iPhone zdradził wszystkie dane. A mimo tego, że wiele z nas ma Androidy, bo iPhony są po prostu drogie, to wielu ludzi, których którzy operują większą gotówką i mają większe aktywa i mają jakby większe moce przerobowe i więcej znaczą, korzysta z iPhonów, a te iPhony jak widać łatwo jest zhakować. I tak samo jest z Andrej. Tak. A czy możecie tam podać mikrofon? Gdzie jest mikrofon? Podajcie mikrofon. Jeszcze przepraszam na chwilkę pytanie. Czy twoje pytanie jest jeszcze aktualne, czy już nie? Czy twoje spostrzeżenie jest jeszcze aktualne? Dobrze, to zaraz do niego

wrócimy. Takie pytanie mam co do tego zachowania, co mówiłeś o telefonach Apple. Czy MacBooki tak samo się zachowują? Nie wiem. Wiesz, bo jakby mój kontakt z MacBookiem w zasadzie był ostatnim pół roku temu. Ja nie mam z nimi dużo kontaktu. Y, to bardziej się opieram na historiach znajomych, na tym, co ich doświadczyło. Pewnie jest to do sprawdzenia, czy k, jeśli ktokolwiek maa, to pewnie możecie sobie poradzić i sprawdzić, czy teraz, czy w przerwie na lunch, czy na after party. Także tutaj zostawiam to tobie niestety do wyszukania. Nie mam dla ciebie odpowiedzi. I wróćmy do spostrzeżenia kolegi z przodu.

Czy świeci się czerwona lampka? Już się świeci. Jestem. Przez moment udało mi się pracować jako administrator sieciowy i z mojego doświadczenia najfajniej wychodziło podmienienie na wszystkich kompach pliku hosts. Jest w internecie cała masa takich już przygotowanych fajnych plików. Można wziąć sobie nawet kilka i skonkatenować i to już się na poziomie pliku host no on wywala te niefajne serwery, niefajne reklamy. Część po prostu się nie uruchamia. Tak. I to jest tak. My jako firma fajnie, jeśli o takie rzeczy dbamy. Z drugiej strony ktoś może nam zarzucić, że narzucamy cenzurę. No dobrze, ale tak naprawdę taki zwykły użytkownik nawet tego nie zobaczy. Y, jak zrobiliśmy taki eksperyment, że powpisywaliśmy też do tego pliku host Facebooka, to nikt nie wiedział co się stało, a żaden

antywirus tego nie wykrywał, bo to nie jest wirus. No dobrze, więc kolejny sposób na dbanie o bezpieczeństwo naszych użytkowników. Jeśli zdzycie się z tym, możecie tego spróbować. U mnie nie przeszło, bo próbowałem. Chodziło o o aktualizację do Windowsa 10. Niestety lista hostów po pierwsze rosła, które trzeba było blokować, po drugie zmieniała się i niektóre adresy zaczęły być używane do żółkizacji trzeba było je odblokowywać. Miałem ten sam problem, a potem rozwiązałem go odinstalowując aktualizacje które no wyskakiwały te Tak, no my generalnie chcieliśmy to zrobić. Mieliśmy na to gotowy skrypt. Niestety mieliśmy ponad 800 komputerów, na których trzeba by to zrobić, więc to niestety odpadało. Nie mieliśmy na to mocy przerobowej. No także to są przykłady mamy i w

zasadzie teraz już każdy ma telefon w kieszeni. Na tych telefonach szczęśliwie jakby wiemy, że ich moce obliczeniowe rosną. Teraz się to chyba trochę zastopuje zarówno po iPhonach 7 jak i po notach 7kach, których już nie produkują, bo jeszcze technologia baterii niestety nie nadgania za całą resztą kręcenia, które wykonują w tych małych urządzeniach. Y, ale stopniowo zaczynamy na tych telefonach robić coraz więcej. Ja już nie noszę ze sobą laptopa. Większość pracy wykonuję na swoim telefonie. Podłączam do niego klawiaturę na Bluetooth. To wystarczy. Do mojej pracy, do pulbitów zdalnych, dołączenia się z serwerami. Faktem jest, że bardzo dbam o to, żeby mój telefon był dobrze zabezpieczony. Ma firewalla, ma swoją listę hostów, z którymi się nie może łączyć. Wielu

rzeczy nie robię. Jeśli już robię, to robię je w w osobnych aplikacjach, które nie mają z niczym połączenia. No ale to jest akurat telefon, który służy mi do pracy. Większość ludzi tego nie robi. Większość ludzi nie ma na swoim telefonie Firewalla, a przecież to jest taki sam komputer jak każdy inny. I w dodatku już w tym momencie coraz więcej stron odnotowuje nawet 60% ruchu z telefonów mobilnych, a nie z komputerów. W tym momencie musimy bardziej się zająć dbaniem o komputery, czy o urządzenia mobilne naszych użytkowników, naszych sieci, naszych znajomych, naszej rodziny, niż o korzystanie z komputerów. Jest pytanie z tyłu. Proszę o przekazanie mikrofonu.

Cześć. O, mówiłeś o firewallu na telefonie. Z tego co wiem, żeby taki firewall zainstalować, w szczególności na Androidzie, trzeba telefon zrotować, prawda? Tak. Zgadza się. Czy uważasz, że telefon wtedy jest bezpieczniejszy niż kiedy nie jest zrotowany? Uważam, że kiedy telefon jest zrutowany, ale ma zablokowanego bootloadera, jest bezpieczniejszy. Ważne jesting

się udał. Jeśli idzie o rutowanie, zawsze musimy pamiętać o zablokowaniu bootloadera. To jest ta rzecz, która pozwala odszyfrować zaszyfrowane telefony, odblokowany bootloader. Także jeśli się w to bawimy, znaczy zakładamy, że jesteśmy tym przyjacielem informatykiem, do którego przychodzą z problemami, z różnymi zagadnieniami, które im się pojawiają. Czy to chodzi o przeinstalowanie Xpaeka, bo nie chcą się przenosić na nowy system, a już też się spowolnił. Yyy, czy chodzi o, nie wiem, aktualizację Fedory 4 do nowej wersji. Yyy to się zdarzyło pół roku temu i było całkiem fajnym doświadczeniem. Byłem pod wielkim wrażeniem, że Fedora była w stanie się łączyć normalnie z internetem, nie miała problemów. Fedora 4 działała do do zeszłego roku. Yyy, udało się metodą aktualizacji podnieść,

tak, ale to już jest taka ciekawostka i to jest trochę poza tematem. Także samo rotowanie samo w sobie nie jest niebezpieczne, jeśli zadbamy o całą resztę. Wiadomo, że w przypadku iponea jailujemy i tracimy wszystko i w zasadzie sam jail też nie jest gwarancją dobrego działania systemu. No w przypadku Androidów jest trochę lepiej, bo Canogen Mot obsługuje coraz więcej urządzeń, działa bardzo fajnie i użytkownicy bardzo szybko odczuwają, że jest fajniej, bo telefon działa szybciej, nie ma tyle aplikacji, z których i tak nie korzystają. Czy macie jeszcze jakieś pytania, bo to w sumie już jest dobry moment na pytanie, bo takim podsumowaniem mojej prezentacji w zasadzie nie mieliśmy. Mieliśmy bezpieczne hasło, mieliśmy sprawdzanie i to są takie rzeczy, które

które po prostu trzeba wypracowywać z ludźmi, trzeba powoli zmieniać ich nawyki, nie robić tego od razu, nie pozrzucać im wszystkiego. Teraz korzystajcie tylko z tego oprogramowania, używajcie tylko tego, co przerabialiśmy na naszym kursie, na naszym warsztacie, bo to to się nie sprawdzi. Jeśli dacie im całą listę oprogramowania, oni z tego będą taką jak ja dałem wam, a oni z tego zainstalują trzy programy, to mieć najlepszy warsztat w życiu, bo naprawdę zaczęli stosować dużo z tego co powiedzieliście. Jedna, dwie aplikacje, jeśli się zmieniają, jeśli zainstalują chociaż te trzy dodatki do przeglądarek i będą z nich korzystali, to jest super sukces. Tak powoli zmieniają się doświadczenia użytkowników, a z nimi nie spędzam godziny, z nimi spędzam 4 godziny i

więcej. rozmawiając na te tematy, yyy, babrając się w komputerach, pokazując różne rzeczy, nie jest łatwo i trzeba naprawdę robić to bardzo, bardzo powoli i trzeba pamiętać przed czym chcemy ich zabezpieczyć. To nam bardziej chodzi o to, żeby w ogóle stosowali jakiekolwiek zabezpieczenia, niż żeby nie stosowali ich wcale tak, jak to robią teraz najpewniej w większości. Jeśli idzie o użytkowników naszych firm, jeśli idzie o nasze rodziny, jeśli idzie o nasze mamy, jeśli powiecie swojej mamie na czym polega bezpieczne hasło, to umiecie im wyjaśnić wszystko naprawdę. Także bardzo wam dziękuję za uwagę. Jeśli macie jakieś pytania, to chyba albo teraz jest czas, albo potem w kuluarach jeszcze trochę będę na pewno. To do zobaczenia i dzięki. [Aplauz]