„MMXIV Security” — czy mamy się czego obawiać?

Jak się okazało, również po „ciemnej stronie internetu”, w sieci Tor, doszło do wielu dziwnych incydentów. Jednym z najważniejszych było zamknięcie przez FBI usługi Freedom Hosting i aresztowaniu jej założyciela. W tym wypadku wykorzystano lukę i exploit 0-day w pakiecie wykorzystywanym do łączenia z Torem i korzystającym z przeglądarki Firefox 17. To zresztą nie jedyny przypadek zamknięcia sporego serwisu funkcjonującego w tej sieci. W przeciągu minionego roku w zasadzie przestały istnieć większe polskie fora, które padały lub znikały w dziwnych okolicznościach jedno po drugim. Zamknięty został także Silk Road, najpopularniejsza czarnorynkowa giełda, na której można było kupić przede wszystkim narkotyki.

Wszystko to nie stanowiło problemu dla rozwoju niezależnych od finansistów i rządów poszczególnych państw kryptowalut z Bitcoin na czele. W tym roku zyskał on bardzo na znaczeniu, wystarczy wspomnieć, że niedawno został uznany w Polsce za coś, co nie jest niczym nielegalnym. Coraz więcej firm oferuje możliwość płacenia za pośrednictwem tej waluty, choć z drugiej strony niesamowite wahania jej kursu powodują, że dla wielu osób jest zbyt niestabilna, aby z niej korzystać na co dzień. Sam Bitcoin okazał się również nie do końca bezpieczny ze względu na to, że podobnie jak i inne waluty jest narażony na ataki w cyberprzestrzeni. Słabość dotyczy oczywiście użytkowników i oprogramowania, jakie pozwalają na wygodniejsze korzystanie z tej waluty, np. wadliwa implementacja SecureRandom w wypadku Androida.

Zdarzały się również kradzieże Bitcoinów, ostatnia bardziej znana z nich miała miejsce w listopadzie i dotyczyła waluty o wartości przeszło 1,3 miliona dolarów. Tak w tym jak i w podobnych przypadkach celem ataku była giełda, a zarazem miejsce do ich przechowywania. W roku 2013 nie brakowało także włamań do znacznie bardziej popularnych usług i serwisów. Największy z nich dotyczy firmy Adobe, z którego po uderzeniu hakerów wypłynęły dane ponad 150 milionów użytkowników. Nie mniej spektakularne ataki przeprowadzono wiosną na popularną usługę tworzenia i synchronizacji notatek jaką jest Evernote, zaś w czerwcu do sieci Opery. W jej wyniku opublikowana została fałszywa aktualizacja przeglądarki, która roznosiła złośliwe oprogramowanie do niczego nie spodziewających się użytkowników. Oczywiście trudno byłoby wymienić wszystkie przypadki dotyczące naruszeń bezpieczeństwa, ataków, czy odkryć podatności… niemniej już z tych przytoczonych można śmiało powiedzieć, że rok 2013 z pewnością dał nam wiele do nauki, a niektórym osobom wiele wrażeń, nerwów i... więcej siwych włosów na głowie.

Jak natomiast będzie wyglądał pod tym względem rok 2014? Tego oczywiście nie możemy stwierdzić na pewno. Historia, los lubią zaskakiwać i pewnie jeszcze nie raz usłyszymy o atakach, wyciekach danych i naruszeniach prywatności. Wiele z usług dostępnych jest już nie tylko w tradycyjnej formie aplikacji, lecz także poprzez przeglądarkę, w chmurze i przy wykorzystaniu nowoczesnych technologii internetowych takich jak HTML5. Z pewnością ich udział będzie rósł, co pokazuje dynamiczny rozwój niektórych platform (w tym i mobilnych), jakie na nie postawiły. Rodzi to nowe problemy i nowe możliwości ataków. Już wspomniany wcześniej Adobe boleśnie przekonał się o tym, gdy w zaledwie jeden dzień złamano zabezpieczenia Photoshopa z usługi Creative Cloud i pozwolono na jego pirackie wykorzystanie. To nie jest jedyny problem, tym bardziej, że taki model dystrybucyjny oprogramowania nie odpowiada wszystkim użytkownikom ze względu chociażby na inne skalowanie kosztów (stały abonament zamiast kupowania ich raz na kilka lat).

Na ataki będą narażeni również sami użytkownicy, bo przecież tak wspomniane technologie mogą zawierać luki bezpieczeństwa. Wymóg posiadania odpowiedniego konta i przechowywania na nim niektórych danych powoduje, że są one w obszarze, o którego poziomie bezpieczeństwa decyduje nie właściciel informacji, lecz samej usługi. To samo dotyczy się wszelkich magazynów plików, które z roku na rok zdobywają coraz większą popularność. Na szczęście w wyniku międzynarodowej afery związanej z NSA oferowane są rozwiązania kładące szczególny nacisk na bezpieczeństwo. Jednym z nich jest chociażby… MEGA Kima Dotcoma, które wystartowało w styczniu. Choć usługa początkowo została za pewne niuanse techniczne skrytykowana, tak szybko podjęto działania mające na celu jej lepsze zabezpieczenie. Nic nie zapowiada, aby podobne usługi nie powstawały, będzie wręcz przeciwnie i to od konkretnego przypadku będzie zależeć, czy użytkownicy zyskają czy stracą na swoim bezpieczeństwie. Rosnąca ilość usług w Internecie to także dodatkowe zagrożenia płynące z ataków np. typu DDoS na nie. Nawet jeżeli użytkownicy nie stracą żadnych danych, mogą zostać odcięci od codziennych narzędzi pracy, a w większych firmach oznaczać to będzie kolosalne straty.

Jeżeli chodzi o oprogramowanie zabezpieczające możemy być pewni, że w dalszym ciągu promowany i rozwijany będzie model chmury po stronie producenta. Jest to rozwiązanie, które przy odpowiedniej implementacji oferuje nie tylko znacznie szybszą reakcję na nowe zagrożenia, ale także o wiele większą wydajność, o którą trudno w wypadku tradycyjnych metod detekcji za pomocą ogromnych baz sygnatur. Aby móc walczyć z rosnącą lawinowo ilością zagrożeń niezbędne są systemy reputacji i zaufania bazujące nie jak do tej pory na walce przy pomocy czarnych list, lecz nadawaniu uprawnień zaufanym aplikacjom (białe listy). Oczywiście również taki model nie jest bez wad, dlatego koniecznie jest rozwijanie mechanizmów analizy behawioralnej i izolowania aplikacji przed dostępem do niepowołanych zasobów. Tutaj dużą nadzieję można upatrywać w systemie operacyjnym Qubes, który niedawno doczekał się wersji R2, a który został stworzony przez Joannę Rutkowską, polską specjalistkę i jej zespół. Pewne jest, że firmy tworzące oprogramowanie zabezpieczające dla mas, takie jak popularne pakiety Internet Security, a które nie zdecydują się na wykorzystanie chmury i nowych metod wykrywania nowych zagrożeń będą miały ciężki żywot, z szczególnym uwzględnieniem ich działów pomocy technicznej.

Możliwe także, że 2014 zobaczymy po raz kolejny pakiety sygnowane na dwa lata do przodu… Przypomnijmy, że pod koniec ubiegłego roku zaczęły się pojawiać tego typu wersje (choć co prawda testowe) oznaczane jako Internet Security 2015… choć nie ma to większego znaczenia z bezpieczeństwem, pokazuje, że marketing czasami sam nie wie do czego ma już dążyć. Ciosem dla wielu osób będzie koniec wsparcia dla Windows XP i idące za tym zagrożenia płynące z publikowanych w późniejszym czasie biuletynów zabezpieczeń. Sam producent tego systemu będzie dawał atakującym do ręki informacje, jakie dziury mogą znaleźć w tym wydaniu. Tymczasem sporo firm i użytkowników indywidualnych nadal z niego korzysta co oznacza, że po zakończeniu wsparcia staną się bardzo atrakcyjnym celem do ataku.

Nie mniejszą rolę będą grały próby wymuszenia i szantaże, głównie skierowane na osiągnięcie zysków materialnych. Nie musimy wcale długo szukać takich przykładów, w ubiegłym roku sam serwis Dobreprogramy otrzymał wiadomość nakazującą opublikowanie artykułu o włamywaczach, którzy rzekomo przejęli bazę użytkowników serwisu. W tym wypadku okazało się to bzdurą, a niespełnienie żądań pokazało, że tak naprawdę do wycieku żadnych danych nie doszło. Trzeba mieć jednak na uwadze, że ataki tego typu będą coraz częstsze. Rośnie liczba oprogramowania, które w sposób zarówno prosty jak i zaawansowany odcina użytkowników od swoich danych wymagając np. uiszczenia odpowiedniej opłaty do odzyskania dostępu. Wiele osób, jakie pomagają chociażby znajomym z ich kłopotami dotyczącymi komputerów widziało zapewne sławny już przykład „akcji policji” i zablokowaniu komputera z powodu rzekomego wykrycia nielegalnego oprogramowania lub przeglądania nieodpowiednich stron. Bardziej zaawansowane ataki dotyczyły szyfrowania danych. Zagrożenie CryptoLocker zebrało ogromne żniwo wśród użytkowników, a jego ofiarą padli nawet amerykańscy funkcjonariusze policji, którzy ostatecznie zdecydowali się zapłacić haracz aby odzyskać ważne dane. Zyski z jakich mogą cieszyć się autorzy tego typu zagrożeń jasno pokazują, że możemy liczyć jedynie na zwiększenie się ich popularności.Phishing? Spam? To jest coś, co już „ma się bardzo dobrze” i ilość zagrożeń płynących z ich strony będzie się tylko zwiększać. Podobnie ma się sprawa z różnego rodzaju akcjami wymierzonymi w użytkowników sieci społecznościowych. Należy spodziewać się zwiększenia popularności ataków typu likejacking (nakłanianie użytkownika do klikania przycisków, które powodują polubienie danej strony / materiału), które już teraz są prawdziwą plagą. Zagrożeniem dla naszej prywatności staną się także gadżety takie jak elektroniczne okulary z Google Glass na czele. Czy to będzie koniec ery, w której będziemy mogli spokojnie przejść ulicą? Czym innym jest mimo wszystko monitoring miejski, od ewentualnego monitoringu od zupełnie przypadkowej osoby, która wyposażona w odpowiednie okulary będzie mogła nagrywać to co robimy bez żadnego uprzedzenia nas o tym.

Co natomiast z urządzeniami mobilnymi? Można spodziewać się tego, że przejmą one na swoje barki jeszcze większą ilość zadań. Już teraz stanowią zagrożenie znacznie większe niż wcześniej, bo w wypadku zagubienia lub kradzieży zwykłego telefonu problemem była w zasadzie jedynie szybka blokada karty SIM. Jak to wygląda teraz? Na smartfonach korzystamy z wielu aplikacji, jesteśmy zalogowani do wielu kont i utrata niezabezpieczonego sprzętu może okazać się prawdziwą katastrofą. Zwraca to uwagę włamywaczy, którzy poprzez kradzieże sprzętu mobilnego lub włamania do nich mogą uzyskać dostęp do danych znacznie cenniejszych, niż jest wart sam sprzęt, na którym się one znajdują. Podobnie ma się sprawa z inwigilacją przez same aplikacje. Te potrafią wymagać o wiele zbyt wielkich uprawnień niż są one im naprawdę potrzebne do pełnienia oczekiwanych przez nas funkcji. Nic nie zapowiada jednak zmiany tej sytuacji, bo wielkie firmy posiadające swoje sklepy z aplikacjami przywiązują większą uwagę do zysków z prowizji po sprzedaży i liczby aplikacji, aniżeli z bezpieczeństwa i prywatności użytkowników.

Trudno powiedzieć, czy w jakiś sposób zwiększy się w tej dziedzinie świadomość samych użytkowników. Metody ochronne, takie jak szyfrowanie całego urządzenia są dostępne już od jakiegoś czasu, zaś od premiery Windows 8 i jego pochodnych dostęp np. do BitLockera jest łatwiejszy niż wcześniej. Podobnie jak w przypadku aktywności internetowej, tak i tutaj największe zmiany mogą dotyczyć osób, które zdają sobie sprawę z realnych zagrożeń i poczuwają się do odpowiedzialności jaką biorą na siebie korzystając z nowych technologii. Rozpowszechnienie Tora, odejście od dużych sieci społecznościowych i przesiadka na serwisy niszowe.. to coś, co będzie dotyczyło osób chcących zadbać o swoje bezpieczeństwo. Zwykli użytkownicy mogą natomiast zostać nieświadomi rosnącego zagrożenia i stanowić łatwiejsze cele do ataków.

Na co chciałbym natomiast sam zwrócić największą uwagę i o czym przypomnieć? O tożsamości. Osoby aktywne w sieci, a takich na naszym portalu nie brakuje mają wiele kont w różnych miejscach. W niektórych podawane dane są prawdziwe, w innych z pewnością jedynie zmyślone. Nie ma jednak co ukrywać tego, że korzystamy z coraz większej ilości usług, cały czas do przodu postępuje cyfryzacja naszego życia. Nie wolno nam zapominać, że najważniejsza jest nasza tożsamość, a ta budowana w sieci również jest bardzo ważna. Jesteśmy ludźmi z krwi i kości, odpowiadamy jednak nie tylko za to co mówimy bezpośrednio, ale również za to co robimy i piszemy w Internecie, tym bardziej, że on nam niczego nie zapomni. Dbajmy o własną tożsamość, zwracajmy uwagę na zabezpieczenia naszych najważniejszych elementów cyfrowego istnienia, jak chociażby głównej skrzynki email.

Producenci wprowadzając np. dwuskładnikowe uwierzytelnienie możliwe do zrealizowania przy pomocy telefonów, dedykowanych aplikacji czy tokenów naprawdę nie chcą źle. Możliwe zresztą, że metody te zostaną jeszcze bardziej spopularyzowane chociażby poprzez Google, które pracuje nad wykorzystaniem tokenów do logowania. Można przypuszczać, że konkurencja nie pozwoli zostawić się w tyle i szybko zaoferuje podobne rozwiązania. Warto skorzystać z tych prostych zabiegów mających na celu zwiększenie poziomu naszego bezpieczeństwa. Nigdy nie będzie ono pewne, nigdy nie będziemy już w pełni anonimowi, możemy jednak poświęcając chwilę znacznie zwiększyć jego poziom. Wszystkiego dobrego w nowym, 2014 roku!