szamitogepes bunozes- it biztonsag

2015. Frontvonalban az IT biztonság!

Földünkön napjainkban legalább 1 milliárd informatikai eszköz van forgalomba (ideértve az okos eszközöket is), dinamikusan növekvő tendenciában. 2020-ra 7.7 milliárdra nőhet a népesség, közel 50 milliárd internetes kapcsolat mellett. Az ITbűnözéssel szembeni folyamatos harc tehát nélkülözhetetlen. Előtérben a kiberbiztonság, de kulcsfontosságú a vállalatok érő belső fenyegetésekkel szembeni tudatos védekezés is.

Számítógépek és okostelefonok egyaránt veszélyben!

Az elektronikus vagyonvédelem területén is az adattárolás és a továbbítás, természetesen informatikai alapon történik, így bármilyen színvonalú és hatékonyságú rendszer működését jelentősen veszélyeztetni lehet (de akár hatástalanítani is),  jól célzott hacker támadásokkal.  Sajnos az információs rendszereket egyre gyakrabban érik sokféle irányból biztonsági fenyegetések, legyen az gazdasági hírszerzés, ipari kémkedés, vírus, számítógépes betörés, szolgáltatás bénítás-akadályozás, csalás, szabotázs, adathalászat, stb. 

A kiberbűnözés elleni védekezésben ezért alapvető feladat az adatok tárolása és adatátvitel közbeni védelem. Változatlanul fontos ugyanakkor a klasszikus vírusok (romboló programok) elleni védekezés. Ezeken a területeken megbízható, minőségi versenyképes szolgáltatásokat kell nyújtani a felhasználóknak. Közel naprakész módon válik nélkülözhetetlenné a kártevők beazonosítása, illetve a vírusvédelmi rendszerek folyamatos fejlesztése, tesztelése, minősítése. Ez annál inkább kiemelt szempont, mert a G Data prognózisa szerint, idén a számítógépeket és okostelefonokat egyaránt fertőző kártékony programok terjedésére lehet számítani.

Az IDC számításai szerint 2015-ben a mobil telefon eladás robbanása várható.  Előrejelzésük szerint összesen egymilliárd android alapú okostelefon kerül értékesítésre, ez pedig előrevetíti a kiberbűnözés irányának idei tendenciáját.

vírus

Belső veszélyeztetettségek a vállalatoknál

Meglepő vélemény! Az IT-biztonsági szakemberek tapasztalatai szerint a rosszindulatú belső személyek, munkatársak vagy alvállalkozók tevékenysége még a kibertámadásoknál is nagyobb veszélyt jelenthet a cégek számára. Nagyon fontos ezért kiemelt figyelmet fordítani az adminisztrátori ( rendszergazda) jogok kiosztására, kezelésére és monitorozására.  Sajnos a tapasztalatok azt mutatják, hogy a vállatok jelentős számánál nem történik meg a terület szabályozása, ellenőrzése. A NetIQ Novell SUSE Magyarországi Képviselet a napokban publikálta vázlatosan és lényegre törő módon a legfontosabb teendőket, melyek elősegíthetik a kockázatok csökkentését.  Nézzük melyek ezek.

A legjelentősebb kockázatok felmérése.

Át kell tekinteni az eddigiekben kibocsátásra került kiemelt jogosultságokat. Két kritikus területre különös figyelemmel, ezek a személyazonosságokat tároló adatbázisok, valamint a szerver- és rendszerfelügyeleti jogosultságok.

Korlátoznunk kell a kiemelt felhasználók számát!

Ellenőriznünk kell rendszeresen a hozzáférési jogosultságokat, azaz csak olyan hozzáférésekkel rendelkezzenek az alkalmazottak, amelyekre a munkájukhoz valóban szükség van! Egyben ismét célszerű új koncepció keretében, ismételten átgondolni a jogosultságok engedélyezését és kiosztását, illetve gondoskodni azok visszavonásáról, amikor már nincs rájuk szükség.

Korlátozzuk, a teljes hozzáférések körét!

A vállalatoknál túl sokan rendelkeznek mindenre kiterjedő „super user” engedéllyel olyan esetekben is, ahol az adott munkakőrhöz ez egyébként nem lenne indokolt. Itt célszerű a felülvizsgálat és a jogkörök a tényleges feladatok elvégzéséhez igazodó módosítása (leginkább szűkítése).

Monitorozzuk a tevékenységeket!

Megfigyelésekkel kell kontrolálni a működést. Ezzel nemcsak a kiemelt jogkörökkel rendelkező alkalmazottakat ellenőrizzük, de az esetleges külső támadókat is kiszűrhetjük. Napjainkban ugyanis a támadók gyakran alkalmazzák azt a módszert, hogy belső felhasználónak álcázzák magukat, és a rendszerbe bejutva a rendszergazdák vagy más privilegizált felhasználók szintjére emelik saját jogosultságait. Ilyen hozzáféréssel felruházva már könnyedén ellophatják a kiszemelt adatokat, vagy egyéb módokon is kárt okozhatnak.

Használjunk dedikált eszközt!

Az adminisztrátori és egyéb kiemelt tevékenységek ellenőrzésére és kezelésére több különféle megoldás is elérhető a piacon. A Cég saját fejlesztésére hívja fel a figyelmet. A NetIQ Privileged User Manager rendszer egyszerűen és gyorsan bevezethető és használható, automatikus riasztást küld, bármilyen gyanús tevékenységről.

kapcsolódó cikkek:

IT biztonsági trendek

Mire jók a sérülékenységi vizsgálatok?

Védd magad – és az adataidat!

Az okostelefonos alkalmazások veszélyei

Szerverterem

Fókuszban a szervertermek védelme

A szervertermekben okozott károk jelentősen nehezíthetik az üzemszerű működést, gyakran komoly direkt és járulékos veszteségeket okozva. Megkerülhetetlen feladat, tehát a kockázatok felmérése és hatékony védekezési stratégia kidolgozása. Ebben nyújt segítséget,széleskörű szolgáltatásaival a Pentolt Kft. (tovább…)

windows logo

Veszélyben az összes Windows verzió!

A Microsoft bejelentése értelmében a Windows valamennyi verziója veszélyesen sebezhetővé vált, ezért javasolják az MS14-066 javító verzió azonnali telepítését. Kiemelten azoknak ajánlják, akik rendszeresen honlapokat töltenek le.

A sebezhetőség eredete az SSL/TLS biztonsági protokollokat megvalósító Microsoft secure channel (schannel) nevű biztonsági összetevőjében van. A kockázatot az jelenti, hogy a potenciális támadók speciálisan elkészített csomagokkal kódot futtathatnak a Windows-alapú szervereken.

Veszélyben igazán a Microsoft jelzése szerint a Windows szerverek vannak, de a sebezhetőség minden Windowsban megtalálható, így a hiba akár távolról is kihasználható és az asztali felhasználókat is érintheti, elég, ha bármilyen olyan szoftvert (mondjuk egy FTP-szervert) futtatnak, ami figyel az internetről érkező kapcsolatokra.
Eddig még a sebezhetőséget kihasználó működő kódot nem láttak, de azok megjelenése bármikor várható.

kapcsolódó cikkek:

Mire jók a sérülékenységi vizsgálatok?

A hónap fenyegetése a drive-by letöltés

Védd magad – és az adataidat!

 

Mire jók a sérülékenységi vizsgálatok?

Mire jók a sérülékenységi vizsgálatok?

Az utóbbi időben egyre többször harsogja a média a napvilágra kerülő sérülékenységeket és sebezhetőségeket, mint a Heatbleed vagy a Bash bug. A hozzá nem értők gyakran széttett kézzel olvassák a sorokat, ez a cikk ezt kívánja orvosolni.

Mik is azok a sérülékenységek?

Általánosságban elmondható, hogy szinte minden szoftver rendelkezhet sérülékenységgel, ami programozási hibából adódhat. Ezt a szakzsargon „Bug”-nak nevezi.  Ha a felelős szoftvergyártó tudomására jut a hiba, akkor hibajavítást, azaz „patch”-t készít hozzá, amit a felhasználók a szoftver frissítésével építhetnek be a programba, felvértezve ezzel a rendszerüket a sérülékenység lehetséges kihasználása ellen. Ilyenek például a Windows által kiadott, minden hónap második keddjén megjelenő frissítések is. Ha ezeket az „update”-eket a felhasználó nem telepíti, akkor kockázatnak teszi ki a számítógépét, mivel a támadók étlap alapján dolgozhatnak a behatoláson. Sok szoftver- és hardverfejlesztő vállalat foglalkoztat különböző kutatókat és etikus hekkereket, hogy feltárják ezeket a hibákat. Ám, ha egy olyan hekker fedez fel ilyen sebezhetőségeket, aki a sötét oldalt képviseli, akkor azt eladhatja a feketepiacon. Ezt nevezzük nulladik napi, vagy „zero-day” sérülékenységnek. Sérülékenységeket okozhatnak még a nem megfelelő konfigurálások is.

Hogyan tudnak betörni a gépemre, hálózatomba?

Képzeljük el, hogy a számítógépünk egy ház, amibe 65535 ajtón lehet betörni. Ennyi kapu (port) áll rendelkezésre, hogy kapcsolatot teremtsünk. A portokhoz különböző szolgáltatások tartoznak, a szolgáltatásokból  pedig sérülékenységek adódnak. Azokhoz a sérülékenységekhez pedig, amiket érdemben ki lehet használni, aknák (exploitok) tartoznak. Most már szinte minden kulcsszó a rendelkezésre áll, hogy el tudjuk képzelni, mi fán terem az oly divatos adatlopás a sérülékenységek kihasználásával.

A támadó először felderíti a célpont nyitott kapuit, az azokon futó szolgáltatásokat és azok verziószámát, valamint meghatározza az operációs rendszereket. Ezeket az adatokat a számítógépeink az esetek döntő többségében egyszerűen „kifecsegik”. Ha megvannak a szolgáltatások, akkor számos publikus adatbázis áll a támadó rendelkezésére, ahonnan kikeresheti a hozzájuk tartozó exploitokat, amit kiküld a célgépre. Amennyiben a művelet sikeres, akkor onnantól jogosultságtól függően szinte bármit meg tud tenni. Telepíthet billentyűleütés figyelőt, lekérhet képernyőképeket, feltölthet és letölthet fájlokat.

Vállalati környezet esetén szinte már mindenhol robosztus tűzfallal találja szemben magát a támadó, ezért a behatolások tendenciája manapság sokkal inkább a végpontok felé irányul, ugyanis ha sikerül megszerezni a megfelelő jogkörrel rendelkező számítógép felett az uralmat, attól kezdve szinte borítékolható, hogy bármihez hozzá tud férni a hálózaton belül. Ezt nevezzük Pivotingnek.

Hogyan tudunk védekezni?

A szoftverek, alkalmazások és az operációs rendszerek frissítéseinek napra készen tartása mellett számos megoldás közül választhatunk.

A legjobb defenzív védekezés a megfelelő tűzfal alkalmazása, ami mind hálózati, mind kliens oldalon jelentős szerepet játszik. Csak és kizárólag a legszükségesebb portoknak szabad nyitva lenni, amiket időről időre felül kell vizsgálni. Hálózati szinten komplikáltabb a dolog. Ott a csomagok egyértelműen szűrtek, de az új kihívásokkal is szembe kell nézni, mivel a 80-as portot letiltani „nem lehet”. Így érdemes egy olyan tűzfalat beszerezni, ami képes alkalmazás szinten adatokat szűrni. Ezek az úgynevezett új generációs tűzfalak.

A másik nagyon fontos eszköz az „antimalware”, antivírus program. Mivel a vírusirtó is egy szoftver, bizony lehetnek sérülékenységei is. Sőt! Nagyon fontos szempont a kiválasztás során, hogy mennyire támadható maga a védelmi program, hiszen ezek nem rendszergazda, hanem egyenesen SYSTEM jogkörrel futnak, tehát a támadók az antivírus sérülékenységit használják ki.

Ha valóban törődni akarunk a rendszerünk sérülékenységeinek feltárásával, úgy fel kell vennünk a támadói (offenzív) szemléletet. Ehhez szintén számos automatizált és manuális eszköz áll a rendelkezésre egyaránt. Ezek közül a Nexpose az egyik legkiválóbb, ami számos lehetőséget ad, és ami nagyon fontos, hogy nemcsak a sérülékenységek feltárása terén, hanem azok igazolására is. Ezeknél az automatizált hálózati és webes alkalmazás-szkennereknél sajnos nagyon gyakori az úgynevezett fals-pozitív hiba. Ebben az esetben a vizsgáló program tévesen jelöl meg egy hibát vagy sérülékenységet, ami az esetek többségében valóban fennáll ugyan, csak épp nem lehet érdemben kihasználni, azaz ott biztos nem történhet behatolás. Pontosan ezekre a problémákra kiváló a Nexpose, mivel páratlan lehetőséget ad a nagytestvérével, a Metasploittal történő összekötésre, amivel egyszerűen és zökkenőmentesen lehetséges validálni a kapott értékeket.

Vállalati és kormányzati szinten is egyre inkább elterjedt a saját sérülékenységi vizsgáló licenszelése és használata. Ez sokkal költséghatékonyabb módon ad lehetőséget a folyamatos felülvizsgálatra és ellenőrzésre, mint a külsős etikus hekkerek alkalmi vagy időszakos  megbízása. A grafikus felületek segítségével és az alapvető hálózati ismeretek birtokában a Nexpose tökéletesen használható, kiváló ajánlásokat ad a hibák javításaira, priorizál és számos szabályzásnak megfelelően képes jelentéseket is generálni.

Gyebnár Gergő, a Black Cell biztonsági szakértője hozzátette: „Előszerettel használjuk a Nexpose sérülékenységi vizsgálót és csak ajánlani tudjuk. Mindamellet érdemes alaposan megvizsgálni a beállításokat, például kivenni a nyomtatók IP címeit a vizsgálatból, mert könnyen megvadulhatnak és elkezdhetnek „ész nélkül” nyomtatni értelmetlen oldalakat a végeláthatatlanságig.”

Forrás: Black Cell 

A mesterséges intelligencia kijátszhatja az embert?

A mesterséges intelligencia kijátszhatja az embert?

Alan Turing elgondolása szerint öt perces chat beszélgetés során az ember képes kiszűrni, hogy géppel beszélget-e vagy sem. Azonban az 1950-ben írt tanulmány alapján felállított teszten egy magát Eugene Goostmannak kiadó számítógép átment, megtévesztve a vele kommunikáló szakértők 33 százalékát.

A Turing teszt lényege, hogy a gép emberszerű vonásait vizsgálja meg, mennyire képes meggyőző lenni az MI, hogyan tud párbeszédbe elegyedni az emberrel. A teszt során írott szövegben kell kommunikálnia a tesztalanyokkal egy-egy embernek, viszont a tesztalanyoknak csak az egyike valódi személy, a másik egy számítógép. A teszt lényege, hogy a tesztalanyok meggyőzzék chat partnerüket a saját valódiságukról. A sikeres teszthez a kísérletben résztvevők 30 százalékának meggyőzése szükséges, ami eddig egyetlen számítógépnek sem sikerült.

A mostani eredmény 3 százalékkal szárnyalta túl a szükséges értéket, ami elsőre nem tűnhet soknak, de a kutatók állítása szerint már további fejlesztésekre fogja sarkallni a szakembereket, és rövid időn belül ugrásszerű fejlődés várható a mesterséges intelligencia területén. Azonban már a 33 százalékos megtévesztés is rendkívül magasnak számít, és komoly biztonságtechnikai problémákat vet fel, hiszen az online kommunikációban eddig is komoly veszélyforrást jelentettek az előre programozott számítógépek, amelyek rendszereket terheltek le, illetőleg adatokat próbáltak lopni a felhasználóktól pusztán annak segítségével, hogy egy másik embernek adták ki magukat. Amennyiben a mesterséges intelligenciának ilyen irányú felhasználása ugrásszerű fejlődésnek indul, a biztonságtechnikai szakembereknek is fel kell készülniük azoknak a támadásoknak a kivédésére, amelyek során MI technológia bevetésére lehetőség nyílik.

A mesterséges intelligencia kijátszhatja az embert?

Tekintettel arra, hogy az online kommunikáció kizárólag emberi résztvevők jelenléte mellett is hordoz számtalan veszélyt, a „gondolkodó számítógép” megjelenésével újabb veszélyforrások tárulnak fel. 2012-ben már 29 százalékos eredménnyel végzett a teszten ennek a chatrobotnak az elődje, tehát mindössze két évre volt szükség ehhez a szintű fejlesztéshez. Egy olyan világban, ahol a mesterséges intelligencia eredményesen képes elhitetni magáról, hogy egy mindössze 13 éves ukrán kisfiú (a legutóbbi, sikeres teszt során így történt), a biztonságtechnikai szakembereknek komoly kihívásokkal kell majd szembenézniük. Habár Murray Shanahan, az Imperial College London mesterséges intelligencia kutatója erősen vitatja a teszt eredményességét, az MI fejlődését senki sem hagyhatja figyelmen kívül.

A mesterséges intelligencia kijátszhatja az embert?

Forrás: Naked Security

Kapcsolódó cikkek:

A biztonsági szakembereknek jól kell érteniük az informatikához (is)

A hónap fenyegetése a drive-by letöltés

Védd magad – és az adataidat!

IT biztonsági trendek

A hónap fenyegetése a drive-by letöltés

A hónap fenyegetése a drive-by letöltés

A drive-by-download olyan malware letöltést jelöl, mely a háttérben fut észrevétlenül, a felhasználó tudta és beleegyezése nélkül. Az ilyen kéretlen letöltés a böngészők, illetőleg a böngésző plug-in-ek sebezhetőségét használja ki.

Hogyan működik?

A hacker rejtett, rosszindulatú tartalmat helyez el egy weboldalon beleszőve a drive-by-t aktiváló kódokat a magába a weboldalba. Ezáltal nem kell a felhasználót egy adott felületre csábítania, hanem védett, hiteles weboldalak betöltésével tudja megfertőzni a gépet. Amint a felhasználó betölti a felületet, a drive-by aktivizálja magát, megváltoztatja a böngésző működését, és feltűnésmentesen elindítja a háttérben a malware letöltését.

Kell-e aggódni a veszély miatt?

Érdemes. A drive-by letöltés észrevétlenül működik, és megakadályozni is nagyon nehéz. A böngészők nagy része tartalmaz olyan hibafaktorokat, amelyeket az ilyen típusú programok ki tudnak használni, nem beszélve a zero-day támadás lehetőségéről, amikor egy eddig még publikálásra nem került szoftverhibát aknáznak ki a drive-by letöltés programok.

Hogyan lehet védekezni ellene?

Hatékony endpoint/végpont biztonsági szoftver, valamint web biztonsági filter együttes használatával csökkenthető a kockázat. Érdemes biztonsági patcheket is beszerezni a böngészőhöz, valamint olyan alkalmazásokat, amelyek a zero-day támadásokat hivatottak kivédeni (pl. F-Secure DeepGuard 2.0 vagy Cyberoam WAF).

Forrás: Dana Tamir, igazgató, Trusteer biztonsági vállalat, IBM

Kapcsolódó cikkek:

 Hibrid IT előadássorozat és képzés Magyarországon

Védd magad – és az adataidat!

 IT biztonsági trendek

Az okostelefonos alkalmazások veszélyei

IT biztonsági trendek, Fábián Zoltán, a Computerworld B2B ágazatvezetőjének előadása a III. MBF Konferencián

IT biztonsági trendek

 Az informatika biztonságáról, fejlődési irányvonalairól és stratégiákról tartott előadást Fábián Zoltán, a Computerworld B2B ágazatvezetője a III. MBF Konferencián.


Az IT biztonság témája aktuális: nemrég került nyilvánosságra, az amerikai szakszolgálatok az interneten kémkednek a különböző országok után. Ennek fényében hangsúlyozta az előadó: Titkosítsunk! Fábián Zoltán ebben a témakörben három területtel foglalkozott előadásában: az IT biztonsággal, a trendekkel, s azzal, hogy milyen stratégiákat kövessünk.

Az IT egyre hangsúlyosabb szerephez jut az üzleti életben, a kiváló IT ma már versenyelőnyt jelent. Az informatikai biztonság létfontosságú, alapvető érdek, hogy úgy működjön a rendszer, ahogy kitalálták. A rendszert azonban védeni kell. Nem csak a filmekből ismert adatlopások okozhatnak súlyos károkat, a szándékos vagy véletlen tényezők is, és le is lassíthatják a rendszert.
Egy felmérés szerint a külső, rosszindulatú károkozás kevesebb, mint a negyede a rendszert gyengítő tényezőknek, körülbelül ilyen arányú a belső, szándékos károkozás. A hibák 19 százaléka az oktatás hiányosságából származik, ha például a rendszergazda nem megfelelően frissít, sok a vírusfertőzés. Az adatszivárgás a károk 21 százalékát jelenti – ebben gyakran maguk a felhasználók hibásak, rengeteg helyen kiderült, hogy 123456 volt a jelszó.

Tekintse meg az előadásról készült videót

 

A vírusfertőzés egyre veszélyesebb, több országban tizenéves éves gyerekek irkálják a hekker programokat, egészen egyszerű dolgokon tud elcsúszni egy vállalkozás élete. A vírusirtó rendszerek fejlesztésével igyekeznek mindig egy lépéssel előbb járni, mindig a legfrissebbet érdemes alkalmazni.

Irányvonalak

A trendekről szólva kiemelte: várhatóan mamutméretű vállalatok és sok pici vállalkozás lesz, átalakulnak a munkavégzési szokások. A multik méreteik miatt kevésbé rugalmasan működhetnek, sok tevékenység kikerül külső cégekhez, s ezzel az adatok is kikerülnek.
Egyre többen használnak táblagépet, okostelefont – ezekbe bármilyen adatot, sőt vírust bárki beírhat, ez óriási fenyegetettséget jelent. (Néhány cégnél a vendégnek a portán le kell adni a telefont.)
A felmérések szerint Európában rossz a helyzet, a vállalkozások 63 százaléka digitális középkorban él, mielőbb fel kell zárkóznunk.

Alapvetően fontos a biztonsági normák betartása, a valóban titkos jelszó, a Windows, a vírusirtó állandó frissítése, s hogy megbízható legyen a szállító és az üzemeltető.
Nagyon hasznos a mélyebb elemzés, szakértő biztonsági céggel felméretni, mennyire sérülékeny a rendszer, és mit kell tenni a védelmére. Érdemes olyan eszközöket alkalmazni, amelyek szétválasztják a vállalat és a magánélet ügyeit.

Molnár Gábor, az L-Tender Consulting ügyvezetője, és dr. Pataki Gábor, adatvédelmi szakjogász

Védd magad – és az adataidat!

 

Dr. Pataki Gábor, adatvédelmi szakjogász és Molnár Gábor, az L-Tender Consulting ügyvezetője a személyes adatok kezeléséről beszélt az MBF III. Konferenciáján. Előadásukban adataink védelmének fontosságára hívták fel a figyelmet.

Sokan nincsenek tisztában, hogyan védjék a saját és partnereik, munkatársaik adatait. A Nemzeti Adatvédelmi és Információszabadság Hatóság 2012-ben 18 600 000, 2013-ban 20 550 000 forint bírságot szabott ki a helytelen adatkezelésért, és több mint 30 eljárás folyamatban van.

Ellenőrzések

Az ellenőrzések során kiderült, sok helyütt, nagyvállalatoknál, önkormányzatoknál nincs megfelelő adatkezelési utasítás.
Idén különös figyelmet fordítottak a társkereső oldalak adatkezelésére, főként a 18 éven aluliak védelmére, és volt egy 3 milliós bírság ebben a témakörben. Vizsgálták a munkaerő közvetítőket is, hogyan kezelik a jelentkezők adatait, hiszen rengeteg magánszemély adatait gyűjtik össze. A legutóbbi bírság összege1 millió 200 ezer forint volt. Az előadó hangsúlyozta, nagyon fontos megfelelő figyelmet fordítani a szerződések tartalmára.
Adatkezelési szempontból lényeges vizsgálati szempont a követeléskezelés, a termékbemutatók, az adatbázisok vétele–eladása és még sok más terület is.

Személyes adat

Mi számít személyes adatnak? Gyakorlatilag minden: a névtől, a születési időtől kezdve az internet használata is, hiszen itt is nyomon követik szokásainkat.
Mindenki érintett, jobban vagy kevésbé, aki bármilyen tevékenységet végez. Egy átlagos magyar cégnél ott vannak a munkavállalók adatai, ha családi adókedvezményre jogosult, a házastársé is, ha elektronikus beléptetőrendszer van a cégnél, további adatokat gyűjtenek. Gyűlnek az adatok az állásra pályázók beküldött önéletrajzaiból is, s általában szabályozatlan, hogy ezeket az adatokat meddig tárolják.

Dr. Pataki Gábor, adatvédelmi szakjogász
Az előadás

Hatósági ellenőrzések

A hatósági ellenőrzések nagy része bejelentés alapján történik, elégedetlen ügyfél, a konkurencia, elküldött munkatárs tesz bejelentést. A jogosulatlan adatkezelés súlyos esetben akár 3 évig terjedő börtönnel is büntethető bűncselekmény, bár a gyakorlatban főleg pénzbüntetéssel sújtható szabálysértés, amely a 2011. évi CXII. törvény hatálya alá tartozik.

Belső szabályozás

A szolgáltatáshoz kapcsolódó adatkezelés vállalatonként változik, ezeknél a cégeknél egyedi belső szabályozásra van szükség Az ügyfélszolgálatoknál mindig adatkezelési tájékoztatóval kell kezdeni a beszélgetést, nem lehet úgy fölvenni az adatokat, hogy az ügyfél ne tudja, mi történik vele.

Megoldás az adatkezelésre

Mi lehet a megoldás? Az L-Tender Consulting cég módszere: a helyszínen felmérik, milyen adatokat használnak, audit jelentést írnak, elkészítik a szabályzatot, amely minden egyes adatkezelést rögzít, ezt bejelentik az adatvédelmi a hatóságnak, – a nyilvántartás kötelező – s ha ez megvan, akkor rendben a cég.

Molnár Gábor, az L-Tender Consulting ügyvezetője, és dr. Pataki Gábor, adatvédelmi szakjogász
Interjú dr. Pataki Gáborral és Molnár Gáborral

Az okostelefonos alkalmazások veszélyei

Az okostelefonos alkalmazások veszélyei

 

Az alkalmazottak egyre több cégnél használják saját mobil eszközeiket, az okostelefonokat és a táblagépeket a munkával kapcsolatos feladatokra. Ez az új irányvonal arra kényszeríti a kis és nagy cégeket, hogy alkalmazkodjon a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) szokáshoz, és megvédje az IT-hálózata biztonságát. A Security Sales & Integration írásában vizsgálja az okostelefonok munkahelyi használatát az Egyesült Államokban.

 

A biztonsági és az informatikai vezetők nem repesnek az örömtől a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) elterjedése kapcsán, hiszen előfordult már, hogy, az alkalmazott a saját okostelefonján keresztül vett le a céges hálózatról anyagot oly módon, hogy közben a vállalati hálózatot rosszindulatú támadásnak tette ki. Az ilyen esetek védekezésre ösztönzik a vállalkozásokat, és olyan alkalmazásokat adnak munkatársaiknak, amelyekkel már biztonsággal használhatják a munkához saját készülékeiket. Növeli a BYOD gyors terjedését, hogy egyre több alkalmazás könnyen hozzáférhető a felhőalapú szolgáltatások számára.

Felmérés

Egy, a közelmúltban készített tanulmány szerint a Cisco partner cégeinek 90 százalékánál használják az alkalmazottak a saját okostelefonjaikat a munkájukhoz. Ezen belül is a munkatársak 39 százaléka nem védi jelszóval a készülékét, emellett 52 százalékuk hozzáfér a nem védett céges WiFi-hálózathoz.

Szabályozás

Miközben a mobil eszközök növelik a munkavégzés rugalmasságát, a cégek próbálják szabályozni az adatok hozzáférési jogosultságait, állítja Paul Boucherle, az Ohio-i székhelyű Matterhorn Consulting munkatársa. „Az IT részlegek még csak a kezdeti szakaszában vannak a szabályozásnak, mert ez nagyon munka” – tette hozzá Boucherle.

NFC-s megoldások

Kézenfekvő megoldásként egyre több biztonságtechnikai alkalmazás is használja a mobil eszközöket. Közel már az az idő, amikor a rövid hatótávolságú vezeték nélküli kommunikációra (Near Field Communication – NFC) képes okostelefonokat (NFC-képes okostelefonok) széles körben használják a beléptetőrendszerekben és hitelesítő alkalmazásokban.

Fejlesztések

Azok a fejlesztők, akik időben befektetnek munkát és pénzt vezető szerephez juthatnak a BYOD piacon mondta Julian Lovelock, a HID Global alelnöke.
„Ez nem fog egyik napról a másikra menni, de a mobilalapú hitelesítés lesz az egyik olyan terület, ahol a befektetés nagyon gyorsan megtérül. A hitelesítést egyaránt lehet használni a fizikai hozzáférés esetében, mint például a beléptetés és a cyber térben is az adatokhoz való hozzáféréshez.”

Négy lépés

A Vector Resources, IT vállalkozás a kaliforniai Torrance-ból már technológiákat és szolgáltatásokat is biztosít BYOD alapú alkalmazásokhoz, bizonyítva a mobil eszközök gyors terjedését a biztonsági és IT területen. A gomba módra szaporodó alkalmazások egyike egy egészségbiztosítási pénztáré, ennél az alkalmazásnál fontos volt az elszámolásokhoz, hogy az ügyfelek használhassák okostelefonjaikat.
„Sok vállalkozás foglalkozik védett egészségügyi információk továbbításával elektronikus rendszerek számára. Sokan használják szerződött orvosok és egészségügyi dolgozók ezeket az alkalmazásokat, és ők nem szeretnék, hogy bárki is korlátozza a mobil eszközök használatát” – tájékoztat Patrick Luce, a Vector igazgatója. „Óriási a kereslet a megfelelő biztonságú BYOD előírások és technológiák iránt.”

Az igazgató hozzátette, négy fő lépésből áll BYOD alkalmazása a vállalkozásoknál:

  • a BYOD használatának szabályozása,
  • a megfelelő biztonsági technológiák kialakítása a mobil eszközök használatához,
  • a szoftverlicencek megvásárlása,
  • a felhasználók képzése.

 

Képzés

A fejlesztőknek megfelelően ki kell képezniük a telepítőket a BYOD technológiákkal kapcsolatban. Bár ez csak egy része a gyorsan fejlődő területnek állítja Chuck Wilson, a rendszerfejlesztők szövetségének, a National Systems Contractors Association (NSCA) ügyvezetője. Majd hozzá teszi a különféle szakmai szövetségeknek is fontos szerepe lesz majd a BYOD legjobb megoldásainak megismertetésében, elterjesztésében, a kockázatok feltárásában és a nyereség növelésében.
„Nem szabad gondolkodás nélkül átvenni a technológiákat, mivel ezek számos kockázatot rejtenek magukban. A telepítőnek kettős feladata van, saját üzleti szempontjai mellett az ügyfele biztonságára is vigyáznia kell.”

Forrás: Security Sales & Integration, securitysales.com

 

 

A biztonsági szakembereknek jól kell értenie az informatikához (is)

A biztonsági szakembereknek jól kell érteniük az informatikához (is)

Előfordulnak gondok abból, ha a biztonsági szakember nem kellően jártas az informatikában. Mára az IT világa annyira áthatja a biztonságtechnikát, hogy elengedhetetlen a biztonsági szakemberek megfelelő informatikai képzése.

Nemrégiben Ausztráliában okozott gondot a biztonsági szakemberek nem elégséges számítógépes tudása. A Googl Wharf 7 office programján keresztül hackelte meg valaki épületfelügyeleti rendszerek bejelentkezési adatait, és átvette az irányítást a beléptetőrendszer felett. Ha a rendszer a távoli hozzáférés érdekében kapcsolódott az internethez, de nem a rendszergazda bejelentkezése volt az alapértelmezett, akkor a hacker könnyen betört a rendszerbe, és szerezte meg a bizalmas adatokat és vette át az ellenőrzését az ajtók felett.

Elég kínos az eset, de mit tegyünk, hogy ez ne történhessen meg még egyszer?

  • Nem kell mindent csatlakoztatni az internethez

Gyakran előfordul, hogy csak azért csatlakozunk egy helyi hálózathoz vagy az Internethez, mert lehet. Végfelhasználó esetén ez nem gond, de ha a telepítő, a szerelő vagy a biztonsági vezető csatlakozik bárhol a hálózatra, akkor nem kellő védelem esetén betörés áldozata lehet. Így ha épp nincs szükség a távoli hozzáférésre, akkor nem csatlakozzon az Internetre.

  • Szoftverei mindig legyenek naprakészek

Az említett ausztráliai esetben azért lehetett könnyen betörni a beléptetőrendszerbe, mert volt egy hiba a szoftverben, amely megakadályozta, hogy bárki megváltoztatása a rendszer alapértelmezett jelszavát. De nem csak ez volt a gond, mert ehhez a programhibához már volt javítás, de ezt nem telepítették. A szoftverek naprakészen tartása lényeges, mégis egyszerű lépés a számítógépes bűnözés elleni védekezés során.

  • Információcsere

Beszélgessen az IT szakemberekkel, és beszéljen az ügyfél IT munkatársával. Sok biztonsági szakember kerüli a kommunikációt, mert attól tart, tudatlannak nézik. Házon belül is az IT-szakemberek is rengeteg tudással rendelkeznek, nem árt kérdezni őket, és fontos az is, hogy tudják, mit is tesz a biztonsági szakember. Érdemes megtudni tőlük, milyen biztonsági intézkedéseket tesznek a cég rendszereinek védelme érdekében.

  • Önképzés

Tanulja meg a legfontosabb internetes biztonsági lépéseket, mert így képes lesz követni a beszélgetést az IT-szakemberekkel. Ezzel elnyeri a bizalmukat, és ha valaha megtámadják a rendszert, akkor bízhat abban, hogy mindent megtett ennek elkerülése érdekében.

 

A fizikai és a digitális biztonság területén átfedés van, és ez egyre nő. A biztonsági vezetőknek, telepítőknek, szerelőknek folyamatos továbbképzésre van szükségük a számítógépes biztonságterületén. A naprakész tudás segít megelőzni a veszélyes helyzeteket a biztonság területén.

 

Colin Bodbyl

Colin Bodbyl, a Zeecure.com alapítója

Forrás: www.ifsecglobal.com

 

 

Adatvédelem a felhőben (Key Management Interoperability Protocol, KMIP)

OASIS szabvány: adatvédelem a felhőben

Nincs csodaszer a felhőben tárolt adatok teljes biztonságára, de az adatok megfelelő titkosítása alapvető része a felhő biztonságának – állítja Richard Moulds, a Thales stratégiai elnökhelyettese.

 

Hatékony titkosításra van szükség a felhőben történő adattárolás során olyanra, amely nem csak, hogy titkosítja az adatokat, hanem az irányítja és ellenőrzi az adtok visszafejtését úgy, hogy legyen is értelme az információknak.

A felhőben történő adattárolás elsődleges célja a takarékosság, de emellett fontos a könnyű elérhetőség, a rugalmasság, az adatforrások megosztása, de az a gond vele, hogy így könnyen kikerülhetnek az adatok az ellenőrzés alól. Sok szervezet számára a nem megfelelő biztonság nagyon fontos akadályt jelent a felhő használatában, és ez lényeges szempont, amikor mérlegeljük a titkosítás szerepét.

Felmérés a felhőről

Kinek ez elsődleges felelőssége megvédeni az érzékeny vagy bizalmas adatokat a felhőben? A Thales e-Security és az Pomenon Institute legújabb felmérés szerint, amely a felhőben tárolt adatok titkosítását vizsgálja, a válaszadók 44 százaléka úgy látja, az adatok védelme elsődlegesen a felhőszolgáltató feladata. Viszont a megkérdezettek 30 százaléka azt gondolja, hogy a felhasználó felel az adataiért. Ebből is látszik, hogy ma még vitatott kérdés, kié is a felelősség a felhő biztonságáért.

Kulcskezelés

A titkosítási algoritmusok védelme középpontjában a kódolás és annak ellenőrzése áll. Hiába a biztonságos zár, ha a kulcsot az ajtóban vagy a lábtörlő alatt tartjuk, esetleg bárkinek másolatot adunk, aki kéri.
Amikor a felhőszolgáltató állítja, hogy az adatainkat biztonságban tudhatjuk, mert titkosítja azokat, akkor azért kérdezzünk rá a szolgáltatónak a kulcskezelési gyakorlatára.

  • Ugyanazokat a titkosítási kulcsokat kapja-e több ügyfél is, netán versenytársak is?
  • Mennyire védett a titkosítás folyamata?
  • Mi garantálja, hogy nem vesznek el az adataink?

 

A szolgáltató valószínűleg nem fog pontos választ adni ezekre a kérdésekre. Igazság szerint nagyon kevés felhőszolgáltató akar valóban felelősséget vállalni a kulcsokért. Azonban a szolgáltatók sokkal hamarabb vállalják felelősségüket, ha látják, hogy az ügyfél figyel erre a kérdésre. Azonban ez néhány újabb kérdést vet fel.

Szabvány

Vonzó az az elképzelés a felhő alapú alkalmazások és tárolás esetén, hogy az ügyfél kezében legyen a titkosítás kulcsa. Ebben az esetben a vállalaton belül elkülönül a titkosítás és az alkalmazások használata, és ez növeli a biztonságot. De ehhez ma már szükség van az alkalmazás és a felhő közötti titkosítás folyamatának szabványosítására. Ezt az eltérő platformok, a beléptetőrendszerek különféle filozófiái és az érvényben lévő egyedi biztonsági intézkedések igénylik.
Szerencsére már, van egy új szabvány, a Key Management Interoperability Protocol (KMIP). Azonban arra is figyelni kell, hogy a titkosítás csak egy lépése az adatkezelésnek. Az adatokat az adatkezelés teljes életciklusa alatt védeni kell, tehát ott is, ahol keletkezik az adat, ahol tárolják és ott is, ahol végül megsemmisítik. Tehát azzal, hogy megoldotta a felhőben tárolt adatok titkosítását, könnyen hamis biztonságérzetbe ringathatja magát mind a szolgáltató, mind az ügyfél.

Adatvédelem a felhőben (Key Management Interoperability Protocol, KMIP)
Angol nyelvű videó a szabványról (Key Management Interoperability Protocol, KMIP)

 A felhőben történő adattárolás esetén fontos a bizalom a szolgáltatóban, de mellette lényeges az ellenőrzés is. Értékelni és számszerűsíteni kell az adatkezelést: szükséges biztonsági auditot készíteni, ellenőrizni, hogy megfelelünk-e az előírásoknak, szabványoknak, jogszabályoknak.

Az alkalmazott üzleti modell lehet eltérő, de a szabályokat be kell tartani. A szolgáltatók keresik az ügyfelek bizalmát a felhőalkalmazások kapcsán. A különböző felhőszolgáltatókat a kritikus pontokon föltett kérdésekre adott válaszok különböztetik meg:

  • Hogyan és hol használják a titkosítást a felhőben történő adattárolás során?
  • Ki vigyáz a titkosítás kulcsaira?

 

A megfelelő válaszok esetén fontos még, hogy azok kiállják az idő próbáját is.

Richard Moulds, a Thales stratégiai elnökhelyettese 

Forrás: www.ifsecglobal.com

Az OASIS (Organization for the Advancement of Structured Information Standards) angol nyelvű cikke a szabványról (Key Management Interoperability Protocol, KMIP)


Személyes adatok korszerű informatikai védelme a gyakorlatban

Személyes adatok korszerű informatikai védelme a gyakorlatban

Jelszavaink megfejtésével könnyen juthatnak adatainkhoz illetéktelenek. Milyen is a jó jelszó? Milyen programmal titkosíthatjuk adatainkat?

Mondhatnánk, hogy ami nincs, azt nem is kell védeni. Azonban mi a XXI. században élünk, és jelen van az informatika az életünkben. És mivel mindenkinek vannak olyan adatai, amelyeket nem szívesen oszt meg a nyilvánossággal, így ezeket védeni szükséges.

Támadási lehetőségek

Cél a jelszó megszerzése, amelyet találgatással a legegyszerűbb megtalálni. Persze ezt programok végzik helyettünk, és azon jelszavakkal próbálkoznak, amelyek nagy eséllyel sikerhez is vezetnek.

Jelszóadatbázisok

Ezek általában egyszerű szöveges fájlok, amelyek a leggyakrabban használt jelszavakat tartalmazzák. Így, ha valaki olyan jelszavat használ, mint például az „1234” vagy „asdf” akkor elég gyorsan megtalálható a jelszava ezzel a módszerrel.

Jelszógenerátorok

Léteznek olyan jelszógenerátor, amelyek a támadott személy jelszavát találja ki megadott paraméterek alapján. Az ilyen rendszer például úgy működhet, hogy megadjuk a célszemély és hozzátartozói születésnapját, családtagok és háziállatok neveit valamint a hobbijával kapcsolatos szavakat. Ezután a generátor ezek kombinációt hozza létre, amelyek közül egy nagy eséllyel lesz a tulajdonos jelszava.

Brute force

Magát az eljárást a legkevésbé kifinomult eljárásnak lehet nevezni, mivel minden lehetséges jelszót kipróbál, ezért ez a leglassabb eljárás, így azután a leghatásosabb is.
A brute force (magyarul nyers erő) az az eljárás, amely esetén az összes lehetséges jelszót kipróbálják a titkosítás kulcsának megtalálása érdekében. A titkosítást végző rendszert ismerve az összes lehetséges kulcsot kipróbálja az eljárás, így előbb-utóbb megtalálja a helyes jelszót. Mivel a számítási igény nagyon nagy lehet, ezért a brute force módszer eredményességét a rendelkezésre álló idő és az alkalmazott hardver számítási sebessége határozza meg. Az eredményes működéshez nagy kapacitású hardverre van szükség. A nagy gépigény miatt alkalmaznak nem csak bérelt szerverfarmokat, de videókártyákat is, mivel ezek a hardverelemek 500 vagy akár 3000 magot is tartalmazhatnak, szemben a személyi számítógépek 2 magjával vagy a korszerű szerverek 12 magjával. A történelem folyamán arra is volt már példa, hogy kifejezetten titkosító algoritmushoz fejlesztettek ki egy brute force célhardvert.

DES megfejtésére készített brute force célhardver

A kipróbált jelszavak száma függ a karakterek számától és attól, hány különböző karaktert alkalmazunk, így világos, hogy egy hosszú, speciális karaktereket is tartalmazó jelszó kitalálása nagyságrendekkel tovább tart, mint egy rövidebb, egyszerűbb jelszó megtalálása.
Védekezni az eljárás ellen úgy lehet a legjobban, ha olyan jelszavat választunk, amely kellően hosszú és a karakterek széles skáláját alkalmazza. Így könnyen találhatunk olyan jelszavat, amely esetén egy brute force évekig vagy akár milliárd évekig tartana.

Backtrack

Ezen linux disztribúció kifejezetten a számítógépek és számítógépes hálózatok biztonsági szintjének felmérésére jött létre. A backtrack ugyan alkalmas jelszavak visszafejtésére is, azonban eredeti célja, hogy az általa feltárt hiányosságokat a rendszerek tulajdonosai pótolni tudják. A legtöbben Wifi hálózatok jelszavának megfejtésére használják, de ugyanúgy alkalmazható akár SQL-adatbázisok jelszavának megtalálására is. Más sérülékenységet vizsgáló rendszerekkel összevetve a backtrack kicsit nagyobb fokú jártasságot vár a felhasználótól, nem úgy működik, hogy megnyomok egy gombot és megcsinál mindent automatikusan. Itt parancsokat kell kiadni, amelyeket sorban végrehajt a rendszer. [1]

Személyes adatok korszerű informatikai védelme a gyakorlatban

A backtrack jelszóadatbázissal rendelkezik, amely a gyakran alkalmazott és a korábban felderített jelszavakat tartalmazza. Ez szöveges txt fájlformátumban található meg a /pentest/password mappában, mérete: 35 Gb. Így azután könnyű elképzelni, mennyi különböző jelszóval rendelkezik, ezeket mind végig próbálja egy jelszófeltörési kísérlet során.

Backtrack tapasztalatok

A program használata során gyűjtött tapasztalatok alapján levonható következtetések a megfelelő jelszó kiválasztása terén:

  • Nem szabad „123456” típusú jelszavakat megadni, hiszen azokat egyszerű találgatással vagy egyszerű szoftvert alkalmazva pillanatok alatt megfejthetők.
  • A valóban hatékony jelszavak így néznek ki: „SG4zvci8n3R4yZngNcqTqV”. A jelszó hosszának növelésénél minden egyes hozzáadott karakterrel nagyságrendekkel növeljük a jelszó biztonságosságát.

Személyes adatok korszerű informatikai védelme a gyakorlatban

Az ábra mutatja, hogy a hosszabb, véletlenszerűnek tűnő jelszavakat is vissza lehet fejteni. A képen a „key found!” sorban látható a backtrack által 5 perc alatt megtalált jelszó.

A legerősebb jelszó tartalmaz írásjeleket, így sokkal több állapotot vehet fel egyetlen karakter is. Az így előállított, megfelelő hosszúsággal rendelkező jelszó a következőképpen néz ki:

Személyes adatok korszerű informatikai védelme a gyakorlatban

TrueCrypt

A TrueCrypt adattitkosítást végző program. Elérhető OS.X, Linux és Windows operációs rendszerekre is, így az elkészített titkosított fájlok bárhonnan elérhetők. Legnagyobb előnye, hogy nincs rajta kiskapu, amellyel ismerőseink, a hackerek vagy valamely nemzetbiztonság beleláthatna a védett tartalmakba.
A programmal lemez képfájlokat hozhatunk létre, amelyeket csatolva az operációs rendszerhez egy virtuális meghajtót kapunk. Titkosíthatunk vele továbbá meglévő partíciókat, meghajtókat vagy egész operációs rendszert is. A titkosított terület beállítható úgy, hogy az rejtve legyen, így, ha kényszerítenek bennünket a jelszó megadására, akkor hamis jelszót beírva bizalmasnak látszó fájljainkhoz jutunk, a titkosított rész pedig üres lemezterületként látszik. [2]

Személyes adatok korszerű informatikai védelme a gyakorlatban

A virtuális meghajtó csatolásához szükség van egy jelszóra vagy egy kulcsfájlra, esetleg mind a kettőre. Addig, ameddig nem azonosítottuk magunkat, addig nem láthatjuk a fájlok tartalmát, de még a titkosított fájlok neveit és a könyvtárszerkezetüket sem. [3]
A TrueCrypt program a nagyszámú hiteles visszajelzések alapján hibák nélkül, stabilan működik, így alkalmazása minden magánember számára ajánlott.

Felhasznált irodalom

  • [1] Shakeel Ali, Tedi Heriyanto: BackTrack 4: Assuring Security by Penetration Testing, April 2011 ISBN 978-1-849513-94-4 P.191
  • [2] FRAUNHOFER VERLAGSIT Technical Reports on the security of cloud storage services 03/2012 ISBN 978-3-8396-0391-8 P.44
  • [3] OTTAWA PC News 2007 June, volume 24, Number 6. ISBN-10 0-596-52720-9 P.5

Őszi Arnold

Óbudai Egyetem Bánki Donát Gépész és Biztonságtechnikai Mérnöki Kar
oszi.arnold@bgk.uni-obuda.hu

Kapcsolódó írásunk

Személyes adatok korszerű informatikai védelmének elmélete

Személyes adatok korszerű informatikai védelmének elmélete

Személyes adatok korszerű informatikai védelmének elmélete

A titkosítás a szöveg módosítása úgy, hogy azt csak egy titkos módszerrel lehet visszaállítani az eredeti, olvasható állapotra.

Ma olyan a korszakban élünk, amelyben az információ nagyon értékes lehet. Az ilyen értékes információ megvédésére mindenkinek és minden szervezetnek szüksége van.
Tárolt adataink valamint kommunikációink védelmére számos megoldás létezik az informatikában. Erre használhatunk tűzfalakat, mac address szűrést, titkosítást, adatrejtést, fizikai elválasztást és még számos eljárást. Jelen cikk ezen megoldások közül a titkosításokat, azon belül a korszerű, informatikában alkalmazott eljárásokat tárgyalja.
A titkosítás alapvető célja, hogy titkos adatokat juttassunk el a feladótól a címzettig egy nem biztonságos csatornán keresztül. A titkosítás másik célja, hogy a tárolt adatokhoz csak bizonyos személyek férhessenek hozzá.

A titkosítások lehetnek

  • szimmetrikusak – amikor a kódoláshoz és a dekódoláshoz ugyanazt a kulcsot használjuk) és
  • aszimmetrikusak – amikor a kódoláshoz és a dekódoláshoz más kulcsot használunk.

Szimmetrikus titkosítás

A szimmetrikus titkosítás előnye, hogy jóval gyorsabb, mint az aszimmetrikus titkosítás. Hátránya, hogy a feladónak és a címzettnek is ismernie kell a kulcsot, amit csak biztonságos csatornán javasolt elküldeni a feladótól a címzettnek, hiszen a kulcs megszerzésével bárki olvashatja az üzenetet.
Szimmetrikus kulcs alkalmazása esetén a kódolás és a dekódolás ugyanazzal a kulccsal történik. A kulcs lehet jelszó vagy kulcsfájl, esetleg ezek kombinációja.
Folyam (stream) titkosító algoritmus esetén a szöveget és a kulcsot bitenként XOR (kizáró vagy) művelettel összerendeljük. Ebben az esetben a kulcsnak és a szövegnek hasonló hosszúságúnak kell lennie, hogy ne lehessen felismerni az ismétlődést.

Az XOR művelet alkalmazása titkosításhoz

Szimmetrikus titkosítás például a DES, azonban ezt már nem szokták alkalmazni, mivel ez a titkosítás rövid időn belül visszafejthető.
Napjaink vezető szimmetrikus titkosító algoritmusainak az alábbiak mondhatóak:

  • AES (Rijndael [‘reinda:l], az AES pályázat nyertese)
  • Serpent (AES pályázatra készült)
  • Twofish (AES pályázatra készült)

A fent listázott titkosító algoritmusok kombinálhatók is, így például, ha AES-el titkosítottunk egy adatot, azt még titkosíthatjuk Serpent algoritmussal is és a végeredményt tovább titkosíthatjuk Twofish-el. Akkor a legnagyobb a biztonság, ha ezeknél egymástól teljesen különböző kulcsot választunk.
Szimmetrikus titkosítást legtöbbször a tárolt adatok titkosítására alkalmazunk. A következő táblázat az néhány titkosítási algoritmus kódolási és dekódolási sebességét mutatja. A táblázat tartalmazza továbbá az egyes algoritmusok összefűzésével történő titkosítások sebességének mérését is. A táblázat az egyes algoritmusokat illetve algoritmusláncokat azok sebessége szerint csökkenő sorrendben ábrázolja.

Algoritmus

Kódolás (MB/s)

Dekódolás (MB/s)

AES

139

137

Twofish

106

126

AES-Twofish

58,0

60,8

Serpent

58,2

58,8

Serpent -AES

40,9

41,3

Twofish-Serpent

39,4

40,3

AES-Twofish-Serpent

30,4

29,8

Serpent-Twofish-AES

29,4

30,8

A szimmetrikus algoritmusok kódolási és dekódolási sebességének összehasonlítása, a méréseket a szerző végezte

Aszimmetrikus titkosítás

Az aszimmetrikus titkosítás alkalmazása esetén a kódolási és dekódolási folyamat lassabb, mint a szimmetrikus módszereket alkalmazva. Emiatt ezt az eljárást nem szívesen alkalmazzák nagyméretű adatok titkosítására.
Az aszimmetrikus titkosítás esetén a kódolás egy nyilvános kulcs segítségével, még a dekódolás egy másik, úgynevezett titkos kulcs segítségével történik.

Személyes adatok korszerű informatikai védelmének elmélete

A legismertebb ilyen eljárás az RSA, amely a nevét a három megalkotójáról kapta:
Rivest, Shamir, Adleman

A gyakorlatban a működése úgy néz ki, hogy a kommunikáció résztvevői rendelkeznek saját nyilvános és titkos kulccsal.
A nyilvános kulcs segítségével titkosítható az adat, amely ezután már csak a hozzá tartozó – kizárólag a címzett birtokában lévő – titkos kulcs segítségével fejthető vissza. A nyilvános kulcsról tudni kell, hogy nem állítható elő belőle a titkos kulcs, és a nyilvános kulcs segítségével nem dekódolható az üzenet.
A folyamat tehát a következő a küldő és a címzett között:

  • a címzett megosztja az ő nyilvános kulcsát
  • a küldő a kapott nyilvános kulcs alapján kódolja az üzenetet
  • a küldő elküldi az így titkosított üzenetet a címzettnek
  • a címzett csak nála meglévő titkos kulcs segítségével visszafejti az üzenetet

PGP-módszer

A PGP-módszer alkalmazása egyesíti a szimmetrikus titkosítás gyorsaságát és az aszimmetrikus titkosítás biztonságát. Lényege, hogy az adat szimmetrikus titkosítással kódolt és e mellé elküldi a feladó a hozzá tartozó kulcsot aszimmetrikus titkosítással kódolva. A szimmetrikus titkosításhoz használt kulcsot véletlenszám-generátorral állítják elő, és jellemzően csak egyszer használják fel. Ezt a kulcsot session key-nek is nevezik. A session key kis mérete miatt a titkosítása relatív gyorsan történik.
A folyamat a következőképpen zajlik le a feladó és a címzett között:

  • előállítják a szimmetrikus kulcsot
  • ezen szimmetrikus kulcs segítségével titkosítják az adatot
  • a címzett nyilvános kulcsa segítségével titkosítják a szimmetrikus kulcsot
  • a titkosított adatot és titkosított szimmetrikus kulcsot elküldik a címzetthez
  • a címzett saját titkos kulcsa segítségével dekódolja a szimmetrikus kulcsot
  • a szimmetrikus kulcs segítségével dekódolja az adatot

 

Őszi Arnold

Óbudai Egyetem Bánki Donát Gépész és Biztonságtechnikai Mérnöki Kar
oszi.arnold@bgk.uni-obuda.hu

 

Kapcsolódó írásunk

Személyes adatok korszerű informatikai védelme a gyakorlatban

 

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

A lehallgató eszközök felderítéséről szóló cikksorozatunk utolsó része az ellenőrzés dokumentálását mutatja be, és válaszol arra a kérdésre is, hogy mi a lehallgatásmentesítés célja.

A munkavégzés megkezdése előtt vállalkozói szerződést kell kötni a megrendelővel, amely szabályozza a lehallgató eszközök felderítésére vonatkozó kérdéseket.

 

Sokszor a megrendelő nem kívánja szerződésben, számlán szerepeltetni a végzett tevékenység pontos meghatározását, attól tartva, hogy ez a tevékenység illegális. Pedig ez csak akkor igaz, ha engedéllyel nem rendelkező céggel végezteti a munkát.

A munka elvégzése után írásos összefoglaló jelentést kell készíteni a vizsgálatról. Ebben szerepeljen a vizsgálat lefolytatásának módja, ha az ellenőrzést végző illegális eszközt fedez fel, annak dokumentálása, ha sugároz a lehallgató, akkor spektrumképét, és mindenképp szerepeljen benne az eszköz a fényképe is. Ha a megbízó úgy rendelkezik, akkor az eszközt el kell távolítani, a vizsgálatot lezáró jelentésben pedig célszerű részletes szakvéleményt adni a talált eszközről.

 

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

Egyéb kérdések
A megbízó számára garantálni kell, hogy a munkavégzés során a mérést végző tudomására jutott információkat bizalmasan kezeli, illetve, hogy csak a megbízással összefüggő tevékenységet végezz a vizsgálandó objektumban. Ez lényeges kérdés, érdemes a szerződésben is garantálni, hogy a cég tevékenysége legális, és nem épp a mérés során telepít lehallgató eszközt.

A megbízó részéről szintén igény a felderítési tevékenységgel kapcsolatosan a bizalmas információkezelés. Tudomásul kell vennie és elfogadnia a megbízónak, hogy a mérések során, a területen csak az ellenőrzésben részt vevő dolgozók tartózkodhatnak. Természetesen egy felügyelő személy jelenléte – ha megbízhatóságával kapcsolatban nincs aggály – részt vehet a felderítésben, de csak szemlélőként, a munkát ne akadályozza sem kérdésekkel, sem okvetetlenkedéssel. A felkutatott sugárzó forrásokat, egyéb eszközöket jegyzőkönyvben kell rögzíteni, és bemutatni a megbízó által kijelölt személynek.

A megbízónak meg kell értenie, hogy a vizsgálatnak csak az egyik célja az, hogy felkutassa az illegális információszerzés eszközeit. De nem ez a munka eredményességének fokmérője, hanem az, hogy a terület biztonságos. Tipikusan a vizsgálatok 2–5 százalékában találunk lehallgató berendezéseket.
Mert lehet például, hogy már eleve eltávolították az eszközt, a hangrögzítőt. De az is előfordulhat, hogy a lehallgatót telepítő információt kapott arról, hogy technikai ellenőrzés lesz, ezért már elvitte a lehallgatókat. Természetesen az is lehetséges, hogy valójában nem is voltak ott eszközök.
A szolgáltatás lényege az, hogy a vizsgálat után a terület biztonságos.

Tóth Béla, Diracom Kft.
A cég a szolgáltatást a Magyar Kereskedelmi Engedélyezési Hivatal 3 HI 0900924 számú engedélye alapján végzi)
E-mail: bela@diracom.hu
 

Kapcsolódó írásaink
Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú
Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei
Lehallgatásmentesítés 3. – A szakember kiválasztása
Lehallgatásmentesítés 4. – Az ellenőrzés menete

Lehallgatás és lehallgatásmentesítés

Lehallgatásmentesítés 4. – Az ellenőrzés menete

A lehallgató berendezések felderítése haditechnikai szolgáltatásnak minősül, és csak speciális engedéllyel szabad végezni.

A mérési metodikának olyannak kell lennie, hogy képes legyen a legális sugárzó forrásokat, mint például a rádió, tévé, legális rádióforgalom elkülöníteni az illegális, azaz a lehallgató eszköz által kibocsátott sugárzásától.
Ehhez többszöri, precíz mérésre van szükség és természetesen speciális műszerezettségre.
Az inaktív eszközök kimutatásának egyetlen módja a Nonlinear Junction Detektor (NLJD) alkalmazása. Ez képes detektálni minden félvezetőt tartalmazó eszközt. Megfelelő gyakorlattal, és korszerű NLJD műszerrel felderíthetők a kikapcsolt vagy elemes, de már üzemképtelen, lemerült eszközök is. Az ilyen detektor haditechnikai eszköznek számít, csak speciális engedély alapján vásárolható, birtokolható és alkalmazható.

 

A mérés lépései:

  • rádiófrekvenciás környezeti térkép elkészítése a méréshez
  • a kijelölt területen szemrevételezéssel történő ellenőrzés
  • berendezési tárgyak, építészeti elemek (álmennyezet, falburkolat stb.) ellenőrzése
  • a területen belüli rádiófrekvenciás jelforrások felkutatása, azonosítása
  • a területen lévő egyéb elektromos/elektronikai eszközök felkutatása, mint például „alvó” rádióadók, diktafon, rejtett kamera, mobil hírközlő eszköz stb.

A mérés során célszerű elvégezni az alábbiakat

  • a kijelölt területen az elektromos hálózat és berendezések rádiófrekvenciás ellenőrzését, rádiófrekvenciás sugárzási források és szintek meghatározását, rádiófrekvenciás környezeti térkép elkészítését, illegális rádiófrekvenciás sugárzást kibocsátó eszközök felkutatását
  • a mérést szükség szerint többször megismételve, akár a következő alkalomhoz illeszkedve, például fontos megbeszélés előtt vagy akár csak informálisan kiadott találkozóra szóló meghívó után (provokáció)
  • a napi tevékenységhez nem tartozó, jóvá nem hagyott eszközök felderítését, például hangrögzítő eszköz, rejtett kamera stb.
  • passzív, az ellenőrzés időpontjában nem működő félvezetőt tartalmazó eszközök felderítését („alvó” lehallgató eszközök)

A terület ellenőrzése két módon valósítható meg

  • rádiófrekvenciás sugárforrás keresése

Ebben az esetben az aktív, a mérés idején működő jelforrások által kibocsátott rádiófrekvenciás jeleket kell keresni a tipikusan használt frekvenciatartományokban (0–26 GHz tartományban). A méréskor működő eszközök detektálhatók és utána felkutathatók, általában irányméréssel lokalizálhatók. Ez a módszer csak a mérés ideje alatt aktív, stabil sugárzást kibocsátó eszközök lokalizálására alkalmas.

  • bármely elektronikai eszköz felkutatása

Ebben az esetben a helyiségek teljes fal- és padlófelületét megfelelő eszközzel kell átvizsgálni. Ez rendkívül időigényes, de a méréskor nem működő készülékek is lokalizálhatók. Fontos, hogy a területen belül lévő egyéb elektronikát tartalmazó eszközöket csak aktív sugárzás kibocsátása esetén lehet detektálni, NLJD detektor itt nem alkalmazható, mivel maga a legális eszköz is tartalmazhat félvezetőket, ilyen lehet például a számítógép, a billentyűzet, a fénymásoló, a klímapanel stb. Ezeket az eszközöket célszerű eltávolítani a biztonsági térből, mivel csak burkolatbontással ellenőrizhetők megbízhatóan, ez viszont garanciális és egyéb problémákat is felvethet. Így azután egyszerűbb az ilyen berendezések eltávolítása a biztonsági zónából.

Következő írásunkban az ellenőrzés dokumentálását mutatjuk be.

Forrás: Diracom

 

Kapcsolódó írásaink
Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú
Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei
Lehallgatásmentesítés 3. – A szakember kiválasztása

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

 

 

Lehallgatásmentesítés 3. – A szakember kiválasztása

Lehallgatásmentesítés 3. – A szakember kiválasztása

Ha valaki arra gyanakszik, hogy lehallgatják, akkor ajánlott megbízható szakemberhez fordulnia, aki rendelkezik a megfelelő szaktudással, eszközökkel és engedéllyel. A lehallgató eszközök felderítése haditechnikai szolgáltatásnak minősül, és csak speciális engedéllyel szabad végezni.

 

Gyanú esetén soha ne adjon, kérjen a feltételezett lehallgatási helyről információt a mentesítéssel kapcsolatban. Ne telefonáljon az irodájából, lakásából, és ne használja a vezetékes/mobil telefonját sem a kapcsolat kialakítására. Nagyon fontos még, hogy ne változtasson szokásain, napi tevékenységén, és ne beszélje meg a gyanút munkatársaival, még közvetlen beosztottaival sem, hanem minél előbb kérje szakember közreműködését.
A szakember kiválasztása során ne feledje, hogy az ilyen tevékenység szigorúan haditechnikai szolgáltatási engedélyhez kötött tevékenység.

Az ellenőrzést végző kiválasztása
Itt több szempontnak kell érvényesülnie, nyilván első a bizalom, ezért először mindenki az ismeretségi körében próbál közreműködőt keresni. De sajnos előfordulhat, hogy pont az ismeretségi körből kezdeményezték az információszerzést. A másik nagyon fontos szempont, a törvényesség.
A lehallgatásmentesítés haditechnikai szolgáltatá, ezért ehhez a Magyar Kereskedelmi és Engedélyezési Hivatal (MKEH) engedélye szükséges. Az engedély nélkül végzett tevékenység törvénytelen, ez adott esetben a megbízónak is kellemetlen lehet, ugyanis a törvény nem tudása nem mentesít a következményektől.
Az engedéllyel rendelkezők ellenőrizhetők a MKEH honlapján, de minden ilyen tevékenységet legálisan végző vállalkozás rendelkezik engedélyszámmal, amelyet szintén érdemes ellenőrizni. Előfordult, hogy cégem, a Diracom Kft. engedélyszámával szertett volna valaki illegálisan munkát végezni…

 

A műszerek, szakemberek
Alapvető követelmény a megfelelő műszerpark megléte, illetve a mérést végző szakmai felkészültsége. Nem érdemes egyszerű, polgári területen használt műszerekkel rendelkező személyt megbízni a feladattal, mert ez kidobott pénz, és hamis biztonságérzetet ad.
A profi lehallgatásmentesítés költséges tevékenység, az élvonalbeli, korszerű műszerpark beszerzése több tízezer euróba kerül. A szolgáltatást végző szakembernek pedig folyamatosan – drága külföldi továbbképzéseken – gyarapítania kell tudását, mert a terület, az informatikával és a haditechnikával karöltve rohamosan fejlődik.

A professzionális munkavégzéshez szükség van a fent említett feltételek teljesítésére, mert csak olyannak szabad a lehallgatásmentesítést végeznie, aki utána valóban biztonságos, illegális információszerzéstől mentes irodát/területet ad át a megbízónak. Csakis a valós biztonság és biztonságérzet lehet a végcél.

Következő írásunkban az ellenőrzés menetét mutatjuk be.

Forrás: Diracom

 

Kapcsolódó írásaink
Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú
Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei

Lehallgatásmentesítés 4. – Az ellenőrzés menete

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

 

Lehallgatásmentesítés 3. – A szakember kiválasztása

 

GSM poloska

Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei

Sokféle eszközt szoktak használni a lehallgatáshoz, akár egyszerű MP3-as rögzítőt vagy épp „bébiőrt”, de ezeknél nehezebben felderíthető távvezérelt vagy más digitális készülékeket is. A lehallgató eszközök felderítése haditechnikai szolgáltatásnak minősül, és csak speciális engedéllyel szabad végezni.

 

A lehallgatás legegyszerűbb módja a hangfelvétel-készítés. Erre a kereskedelemben beszerezhető kommersz MP3/4-es rögzítőket is használják, ezek kis méretüknél fogva alkalmasak a feladatra. Legtöbbjük úgynevezett voice üzemmódban is működtethető, ez azt jelenti, hogy csak háttérzaj/beszéd alkalmával kapcsolódnak be. Így extrém hosszú ideig alkalmasak lehetnek információgyűjtésre. Hátrány viszont, hogy eszköz elhelyezése mellett gondoskodni kell a kijuttatásáról is. Viszont ezzel szemben hallatlan előny, hogy olcsó, speciális szakértelmet nem igénylő módszer.
Az igaz, hogy némelyik eszköz hangminősége nem a legjobb, de lehet kapni professzionális hangrögzítőt is, bár ezek ára akár néhány százezer forint is lehet. Az ilyen eszköz felkutatása csak speciális célműszerrel lehetséges, amelyről később bővebben szólunk.

Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei

Tollba rejtett MP3-as hangrögzítő

A klasszikus rádiófrekvenciás úton történő lehallgatás a legegyszerűbb eszközöktől a professzionális, erre a célra készült haditechnikai besorolású eszközökig terjed.
Ma könnyen beszerezhető interneten az egyszerű, sokszor „bébiőrnek” definiált lehallgató eszköz. Többségük minősége és hangminősége árukkal arányos. A néhány ezer/tízezer forintos eszközök nem mindig alkalmasak a feladatra, általában nagyon gyenge az akusztikus képességük, a velük készült „felvétel” sokszor érthetetlen, zajos.
Viszont tény, hogy hozzá lehet jutni minőségi eszközökhöz is, döntően külföldi spyshopokban és internetes kereskedelem útján is. Itt már lehet találni kiemelkedő minőségű eszközöket, azonban ezek ára is magas. És itt megint előjön az ár/érték arány, ér-e annyit az információ, hogy ezért drágább eszközt alkalmazzanak?

Az egyszerűbb analóg rádiós lehallgató eszközök felderítése megfelelő szakértelem birtokában és speciális célműszerekkel gyorsan és egyszerűen elvégezhető. Sokszor olvasni a neten „poloskafelderítő” olcsó eszközökről, ezek csak arra jók, hogy az eladó pénzt keressen velük, komolyabb eszközt képtelen detektálni, viszont hamis biztonságérzetet ad a vásárlónak. Vajon milyen „műszert” lehet adni néhány ezer forintért, amikor az alsó kategóriás spektrum analizátor ára milliókban mérhető. Sok botcsinálta „varázsló” is ilyen játékszerekkel „dolgozik”.

Az analóg eszközök közül a távvezérelt lehallgató egységek detektálása már bonyolultabb. Az ilyen berendezések „üzemen kívül” inaktívak, rádiófrekvenciás kisugárzás alapján nem deríthetők fel. Itt jön ismét a szaktudás és a speciális célműszer kérdése. Ezek nélkül már az ilyen egyszerű eszközök felkutatásánál is csődöt mond a magát szakértőnek kikiáltó, valójában az ügyfelet lehúzó „szakember”.

Külön kategória a digitális kódolású eszköz. Az analóg felderítésre készült eszközök nem tudják egyszerűen és megbízhatóan detektálni és azonosítani ezeket, főleg a szakaszosan működő egységeket.

A rádiós eszközök között a csúcskategóriát jelentő, változó frekvencián üzemelő vagy a szórt spektrum elvén adást generáló készülékek kimutatása még profiknak is nehéz dió. Ha az alkalmazott mérőeszköz és mérési metodika nincs felkészülve az ilyen eszközök érzékelésére, akkor ez szinte reménytelen vállalkozás.

A hálózati – telefonos és erősáramú – eszközök detektálása szintén komoly feladat, csak célkészülékekkel érhető el megfelelő eredmény.
De terjed a WIFI és a Bluetooth technika alkalmazása is. Ezek lokalizálása sem egyszerű feladat.

Az itt említett rádiófrekvenciás módszerek mellett megjelent egy viszonylag egyszerű, különleges szakértelmet nem igénylő lehallgató eszköz is a piacon. Ez pedig a GSM poloska. Ennek telepítése egyszerű, hívással/SMS-sel aktiválhatók, felderítésük szintén céleszközzel oldható meg a leghatékonyabban.

 

GSM poloska

GSM poloska

A legnehezebb dió, ha egy eszköz aktív ugyan, de széles (fizikai) területen sugároz, ilyenek például a hálózati eszközök. Itt már szükség van a korszerű speciális célműszerekre és a megfelelő felkészültségre a mérést végző személy részéről. A kapott spektrumkép alapján nem egyszerű eldönteni, hogy valójában mit is látunk. Tény, hogy a digitális, a sprednet vagy a hálózati eszköz már nem az amatőrök területe, a profik közül is kevesen alkalmazzák ezeket az eszközöket (jellemző, hogy civil körben csak az egyszerű analóg eszközöket forgalmazzák, de igaz itt is, hogy pénzért feltehetően bármi beszerezhető…) És a multik harcában minden elképzelhető…

Bármilyen hihetetlen, az említett lehallgató eszközök közül sokfajtát a civil szférában is alkalmaznak.
A hivatalos szervek által végzett lehallgatás nem jelent igazi problémát, mivel ezeket csak jogosított szervezetek adott céllal, megfelelő jogi kontrol mellet végezhetik.
A civil szférában attól függ az alkalmazott technika, hogy a lehallgatást végző milyen felkészültségű, illetve milyen értékes a megszerezni kívánt információ, magyarán „mennyi pénz van rá”.

Következő írásunkban a lehallgatásmentesítés módozatait mutatjuk be.

 

Forrás: Diracom

 

 

Kapcsolódó írásaink

Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú
Lehallgatásmentesítés 3. – A szakember kiválasztása
Lehallgatásmentesítés 4. – Az ellenőrzés menete

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

 

Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei

Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú

Technikai ellenőrzés, avagy lehallgatásmentesítés 1. – A gyanú

A lehallgatás eszközei nagyon széles skálán mozognak: az MP3 rögzítőtől a rádiós készülékeken át a hálózati eszközökig. Mikor kezdjünk gyanakodni, hogy lehallgatnak bennünket?

A lehallgatásmentesítést bemutató sorozatunkkal egyrészt azokat szeretnénk segíteni, akiknek szükségük van erre a szolgáltatásra, de nem tudják, hogy merre induljanak el. Másrészt fontosnak tartjuk, hogy a szakma is fölismerje, ez a tevékenység nem az amatőrök területe, hanem a felkészült profiké. Profi szaktudás és profi berendezések nélkül nem megy. Sajnos, a piacon vannak olyan cégek is, amelyek sem engedéllyel, sem megfelelő szaktudással, sem megfelelő műszerekkel nem rendelkeznek, így nem is tudnak hatékony munkát végezni. Miközben hamis biztonságérzetet sugallnak megbízóiknak.

A gyanú
Amikor üzletünkből, irodánkból, magánéletünkből nemkívánatos információk kerülnek nyilvánosságra, nem is gondolunk arra, hogy az információ megszerzéshez technikai eszközöket alkalmaztak velünk szemben. Sokan úgy vannak ezzel, el sem hiszik, hogy ilyen az életben is lehetséges, nem csak a filmekben. Pedig a mai üzleti- és magánszférában viszonylag gyakori az ilyen illegális információszerzés. Ez mára külön szolgáltatási ággá vált, pedig néhány alkalmazott módszer ebből illegális.

 

 

Milyen események utalnak arra, hogy velünk szemben illegális adatgyűjtést folytatnak?

Az üzleti életben

  • Versenytárgyaláson, pályázat során azonos tartalmú, de kedvezőbb ajánlatot adnak be konkurenseink. Ez általában nem jelent automatikusan titkos információszerzést, de ha a tartalom szinte azonos, elképzelhető.
  • Üzleti akciók, vásárlások során minimális előnnyel, de elütnek bennünket az üzlettől, például néhány órával, nappal korábban adják meg azt az árat bizonyos termékekért, amit mi terveztünk beszerezni, avagy épp értékesíteni.
  • Akvizíció során szinte minimális idővel, de megelőznek bennünket.
  • Nem várt konkurens lép be a piacra, kedvezőbb feltételekkel, de kísértetiesen hasonló tartalommal.
  • Vállalton belüli szervezeti változásokról olyanok is értesülnek, akire ez nem tartozik, így például vezetőváltásról, fejlesztésekről.

 

A magánéletben

  • Családi, belső konfliktusok jutnak ismeretlenek tudomására.
  • Vagyoni helyzetünket pontosan ismerik idegenek.
  • Vagyonmegosztás során előnytelen helyzetbe kerülünk, például válás során.
  • Szokásaink – például üdülési, utazási – nem kívánt részletei mások tudomására jutnak vagy nyilvánosságra kerülnek.
  • Ingatlanvásárlási, -eladási szándékunk mások tudomására jut.

 

lehallgatás

 

Az információáramlás felderítése
Az ilyen felderítés összetett feladat, erre szakosodott cégek, szakemberek közreműködését igénylik. Amatőr módszerekkel nem lehet eredményesen fellépni az illegális információszerzéssel szemben.

Az információ kiszivárgása két módon történhet

  • Az egyik a humán területen történő kiszivárogtatás. Ez általában nehezen nyomonkövethető tevékenység, de megfelelő felkészültségű szakemberek, magánnyomozók ezt képesek felderíteni, és a továbbiakban meggátolni az ilyen jellegű cselekményt.
  • A másik fő terület, amivel részletesen is foglalkozunk, a technikai információszerzés. Ennek klasszikus megoldása a lehallgatás, ebben az esetben a helyiségekre, lakásokra, gépjárművekre és személyekre irányul a cselekmény. Itt többféle technikai megoldást alkalmaznak.

Következő írásunkban a lehallgatás eszközeit mutatjuk be.

 

Forrás: Diracom

 

Kapcsolódó írásaink
Technikai ellenőrzés, avagy lehallgatásmentesítés 2. – A lehallgatás eszközei
Lehallgatásmentesítés 3. – A szakember kiválasztása
Lehallgatásmentesítés 4. – Az ellenőrzés menete

Lehallgatásmentesítés 5. – Az ellenőrzés dokumentálása

Ian Pearson

A joghurtos pohárban annyi intelligencia elfér, mint Európa összes fejében? Mi a biztonság jövője?

Ian Pearson jövőkutató gondolatai a technika fejlődéséről és az abban rejlő veszélyekről. Okos por, intelligens baktériumok és zombik szerepeltek előadásában, amely a londoni Global Security Summit konferenciáján hangzott el.
Körülbelül 20 év múlva a szabványos méretű joghurtos pohárban annyi intelligencia elfér, mint az összes európai ember fejében – kezdte előadását Ian Pearson jövőkutató Londonban a Global Security Summit konferencia és kiállításon, amelyet 2012. október 11–12-én rendeztek meg. Előadása eléggé bizarr volt, amelyet gondolatébresztőnek szánt, és például egyik figyelmeztetése szerint a zombik átveszi bolygónk irányítását, de előrejelzései szólnak a retina méretű iPad-ekről is.

 

Okos por
Pearson arra figyelmeztetett, hogy a folyamatos miniatürizálás az egyik legnagyobb fenyegetés a következő 5–10 évben. Az egyik ilyen fejlesztés az úgynevezett „okos por” (smart dust), amely fogalom vezeték nélküli kommunikációra képes apró mikro elektromechanikai rendszereket takar. Gondoljunk csak bele mekkora a különbség a korai 90-es évek technológiája és a mai iPhone 5 között. Néhány generációnyi iPhone után az Apple is használni fogja ezt a technológiát.

Merre halad az okos por, tette fel a kérdést a jövőkutató, amikor elkezdték a fejlesztéseket, az okos por 1–2 cm átmérőjű volt, ma 50 mikron körül tartunk, majd hozzátette, a legkisebb dolog, amit még látunk az 100 mikron körüli. De mire is lehet ezt használni? Például valaki okos port hint a számítógépünk billentyűzetére, amit gépelünk, azt továbbítja, bármiféle bizalmas adatokat, azelőtt, hogy a számítógépnek lett volna esélye vírust keresni.
Vagy egy még inkább futurisztikus ötlet: a levegőbe szórják az okos port úgy, hogy azt beszívva csatlakozik idegrendszerünkhöz, és amikor a bankautomata előtt arra gondolunk mi is a PIN-kódunk, az okos por már elfogta a gondolatot, és továbbítja azt, s már föl is törték bankszámlánkat.
Lehet, hogy ezek a gondolatok fantáziadúsnak tűnnek, de elméletileg mindez már lehetséges. Az apró intelligens részecskék fenyegetése valamely szervezet biztonsága ellen egyelőre jelentéktelen. De hogy ez ne is fordulhasson elő, ahhoz először is el kell képzelnünk mekkora fenyegetettséget jelenthet ez a technológia.

Aktív bőr
A nanotechnológiát azonban az üzleti világban a biztonsági megoldások továbbfejlesztésére is lehet alkalmazni. A biometrikus ujjlenyomat-olvasók egy része annak van kitéve, hogy valaki lopott ujjnyomattal használja. De mennyire növelné a biztonságot, ha maga az ujj is tartalmazna egy összetett PIN-kódot, amelynek adatait az emberi bőrsejtek tárolják? Ian Pearson elgondolása szerint 4 MB-nyi adatot helyeznének el egyetlen bőrsejten, ez több tízezer tranzisztoroknak felelne meg egy négyzetcentiméternyi bőrfelületen, amelyek infravörös kapcsolaton keresztül lennének hálózatba kötve, így már valóban hatékony eszköz lehetne a tenyerünk vagy az ujjunk.
És használunk majd olyan 3D-s nyomtatókat, amellyel magunk készíthetjük el saját elektromos készülékeinket. A biztonsági őr képes megtalálni a telefont vagy a laptopot, de mondjuk egy ékszernek álcázott elektronikus eszközt miként fog fölfedezni?

Mindezen gondolatok a miniatürizálásból fakadó logikus következtetések. Képzeljük el mekkora hatalmas számítási teljesítmény nyújthatnak az intelligens baktériumok. Egy joghurtos pohárban elfér 20 millió baktérium, és ezek mindegyike egy-egy apró számítógép. E baktériumok képesek lennének biológiailag alkalmazkodni úgy, hogy szinte bármilyen környezetben élhessenek. Tehát a címben is említett módon egy joghurtos pohárban annyi intelligencia elfér, amennyit az összes európai ember képvisel. „Még nincs arra ötletem, folytatja Ian Pearson, hogyan lehet 25 év múlva biztonságos a világ, amikor is az intelligens baktériumok veszik át az uralmat.”

 

A joghurtos pohárban annyi intelligencia elfér, mint Európa összes fejében?

A joghurtos pohárban annyi intelligencia elfér, mint Európa összes fejében?

Zombi apokalipszis
Majd tovább szőtte gondolatait Pearson, elméletileg lehetséges a nem túl távoli jövőben, hogy megjelennek a zombik. Mondjuk 2060 körül várhatók, és gyermekeinknek jó móka lesz megpróbálni kitalálni, honnan is származnak a zombik. A zombik nem csak a sci-fikben vannak már, van néhány remek ötlet, hogy mire is lehet őket használni, például katonai célokra. Ez egyelőre nem fenyeget bennünket, nekünk még nem kell aggódnunk, csak gyermekeinknek…

„Régebben aggódtam az éghajlatváltozás miatt” – fejezte be előadását a jövőkutató, Ian Pearson.

 

Forrás: Rob Ratcliff írása, www.info4security.com

 

English
Yoghurt with a higher IQ than Europe? What is the future of security?
By Rob Ratcliff
Between Frost & Sullivan’s presentation on integration vs interoperability and a presentation from the security manager of an NHS Trust came a strange warning.

“A standard sized pot of yoghurt could have the same IQ as all the people in Europe – in around 20 years time,” said Ian Pearson, a futurologist speaking at the Global Security Summit.

His presentation was a bizarre, thought-provoking one with warnings of zombies taking over the planet and predictions of retina-sized iPads.

Smart dust
Pearson gave a warning over the continued miniaturisation of technology as being one of the biggest threats to organisations in the next 5-10 years and the development of so-called ‘smart dust’ – tiny microeletromechanical systems that communicate wirelessly.
He said: “We’ve gone from a quarter ton of technology in the early 90’s to an iPhone 5 today. But there’ll only be a few more generations of iPhones and then Apple will wake up and move away from this.
“Where we’re heading is smart dust.

“We’re used to the idea of smart dust being 1 or 2 cm across. The latest smart dust is 50 microns across (the smallest thing you can see is 100 microns across).”

Imagine a scenario were someone sprinkles smart dust onto your computer keyboard, where it picks up what you’re typing and has broadcast the confidential data before your computer has even had a chance to scan for a virus.
Or even more incredibly, said Pearson, a scenario where you breathe in smart dust so that it connects to your nervous system – when you think ‘What’s my PIN again?’ the smart dust as already intercepted it, broadcast it and hacked into your bank account.

This kind of technology might seem fanciful, but it’s theoretically already possible.

The threat of tiny intelligent particles to an organisation’s security is almost unquantifiable. In order to protect against it, you first have to imagine the scale of the threat.

Active skin
With nanotechnology this nano however, imagine the improved security measures your business could employ as well.

Biometric fingerprint readers are vulnerable to someone stealing a fingerprint. But wouldn’t they be safer if a finger also contained a complex PIN algorithm, with the data stored between a person’s skin cells?
Ian thinks you could get 4mb of data onto a single skin cell – leading to tens of thousands of transistors in a square cm of skin, all networked using infrared to create a truly powerful device in the palm of our hands (well, fingers).

You will also be using those 3D printers we’ve all heard so much about to create your own electrical devices. A security guard might be able to intercept a phone or a laptop, but an electronic device disguised as a piece of jewellery would be harder to find.

Zombie apocalypse
The ‘logical’ conclusion of all of this miniaturisation, Ian says, is smart bacteria cultivated with a huge computing power. A single pot of ‘smart yoghurt’ could contain 20 million bacteria, each with a computing core within them.

“A standard sized pot of yoghurt could have the same IQ as all the people in Europe – in around 20 years time. Those bacteria could be biologically adapted to survive just about any environment.
“This is the Terminator scenario – except at least in Terminator 1, 2 and 3 you could see them. In 4 you’ll be breathing them in.
“I haven’t got any clue how to make the world secure in 25 years time, when smart bacteria has taken over.”
He went further, describing a not-too-distant future of zombies, again already theoretically possible: “You would expect zombies to appear around 2060. Your kids will have really good fun trying to work out where the zombies will come from.

“Zombies are not just science fiction. We have some great ideas about why this might be real, why the military might want it to be real.

“This isn’t a security threat – you’re not worried about it, but your kids will have to be.”

And there I was worrying about climate change.

Source: www.info4security.com

Törvénybe foglalták a közösségi oldalakra kihelyezett adatok védelmét

Törvénybe foglalták a közösségi oldalakra kihelyezett adatok védelmét

Az USA több államában is törvénnyel védik már a közösségi oldalakra kihelyezett adatokat. Legutóbb Kaliforniában, ahol is az államok legszigorúbb adatvédelmi törvényét fogadták el, amellyel azt kívánják megakadályozni, hogy a főnök vagy az oktató hozzájusson személyes adatokhoz az olyan közösségi oldalakról, mint a Facebook vagy a Twitter.

Ezen túl a cégek vagy az iskolák nem kérhetnek hozzáférést a dolgozó vagy a tanuló közösségi oldalra föltett adataihoz vagy az e-mail fiókjához – áll a frissen aláírt törvényjavaslatban.
Az eddigi gyakorlat az volt, hogy a munkáltató elkérte a dolgozó jelszavait vagy az állásinterjún belenézett a jelölt közösségi oldalába. A vállalatok vagy iskolák egyre jobban figyeltek munkavállalók és a diákok személyes oldalaira a Facebookon, a Twitteren vagy épp a Google+-on, ahol is kompromittáló fotókat vagy kényes megjegyzéseket kerestek. És mivel van lehetőség az idegenek elől elzárni az oldalakat, elkérték a hozzáférést a személyes adatokhoz. Több példa is volt arra, hogy aki megtagadta a leendő munkáltatótól a hozzáférést, azt nem alkalmazták. Most több államban is törvényi úton kívánják megszüntetni ezt a gyakorlatot.

 

Törvény szerint eddig sem volt már joga a munkaadónak vagy oktatónak a jelöltet olyan személyes adatiról faggatni, mint például életkor, családi állapot és szexuális irányultság. Ezeket az információkat az e-mailekből vagy a közösségi oldalakról próbálták megszerezni. Azokhoz adatokhoz, amelyeket nem védünk, bárki hozzáférhet, a törvény most azt mondja ki, hogy a védett adatokhoz ne kérhessenek hozzáférést a cégek. De mindenképp javasolt, az adatvédelmi beállításokra figyelni, hogy ne férhessen bárki személyes adatainkhoz. És a törvényektől függetlenül is alaposan meg kell gondolni, ki, mit tesz közzé magáról az Interneten.

Kalifornia az első állam, amely egyaránt törvénnyel védi a diákokat és a munkavállalókat. Marylandban és Illinoisban idén jóváhagyott törvények csak a munkavállalókat, amíg Delawareban csak a diákokat védték. Ma már tucatnyi más állam és a kongresszus is fontolgatja hasonló jogszabályok megalkotását.

Forrás: Joel Griffin írása, www.securityinfowatch.com

 

English
Best practices for dropping a monitoring customer

by Joel Griffin
Industry experts discuss the financial, legal implications of disconnecting accounts

California, home to many of the world’s social media companies, now has the nation’s strictest privacy laws preventing your boss or college from surfing through the personal information you post on sites like Facebook.

It will be illegal for companies or universities to ask for access to your personal social media or email accounts under two bills signed Thursday by Gov. Jerry Brown.

“The Golden State is pioneering the social media revolution, and these laws will protect all Californians from unwarranted invasions of their personal social media accounts,” Brown said in a statement.

Recent accounts of employers asking for personal passwords or requiring applicants to open their Facebook pages during interviews sparked the new laws.

Companies and universities are increasingly trying to keep tabs on workers and students — and vet prospective hires and admissions — by monitoring their personal pages like Twitter and Google (GOOG)+ to see if they’ve posted anything like drunk photos or insensitive comments. But many people block public access to these posts through privacy settings.

Then in March, details of Maryland correctional officials asking for access to job applicants’ personal Facebook accounts led to similar stories around the nation. Some people said they were turned down for jobs after refusing to give employers their social media information, prompting lawmakers around the nation to propose bills banning the practice.

“No boss should be able to ask for this kind of personal information,” said state Sen. Leland Yee, D-San Francisco, who wrote the California bill banning schools from asking students for their passwords. “You don’t go on a fishing expedition when (people) apply for a job or admission for college.”

Proponents say the laws apply 21st century reality to existing standards that protect job hunters and school applicants from giving out personal information like age, marital status and sexual orientation — details often revealed on social media pages.

“There’s enough information on the Internet where you can find out ample information about people — about what is relevant to hiring a person,” said Jacqueline Moshref, a human resources manager for a small medical device company in Sunnyvale. Anything more “is an invasion of privacy.”

Despite the laws, there is nothing to prevent employers and universities from looking through your social media pages if they are made public. Experts recommend tweaking your privacy settings to protect yourself so not everyone can see your personal posts.

“You still need to be very careful with what you post online,” said Bradley Shear, a Maryland-based social media attorney who advised lawmakers in California and other states on their new laws. “It still comes down to common sense.”

California is the first state to enact laws protecting both students and workers after Maryland and Illinois earlier this year approved laws affecting just workers and Delaware did the same for just students. About a dozen other states and Congress are considering similar legislation.

The two laws — SB 1349 from Yee and AB 1844 from Assemblywoman Nora Campos, D-San Jose — overwhelmingly passed the Legislature in late August and had broad support from employee unions, technology companies and consumer groups.

Source: www.securityinfowatch.com

 
A vadnyugat határán a kibertér

A vadnyugat határán a kibertér

Az állami és magánszervezetek állandó harcban állnak a hackerekkel, és úgy tűnik, a rabló-pandúr játékban, mindig a rablók járnak egy lépéssel előrébb.

Szinte naponta, hetente felröppen egy-egy hír, amely megkérdőjelezi a számítógépes hálózatok biztonságát. Hol személyes adatokat lopnak el, hol rést találnak valamely biztonsági rendszeren, ezzel veszélyeztetve fontos létesítményeket.
Nemrégiben az Amerikai Egyesült Államok Belügyminisztériuma jelentette be, hogy biztonsági rést fedeztek fel egy ipari vezérlő szoftveren. Ezen keresztül a számítógépes bűnözők erőműveket és más létfontosságú intézményeket támadhattak volna meg. A kutató, aki fölfedezte a rést egy konferencián mutatta be, miként hallgatta le az egyik nagynevű gyártó hálózati rendszerének adatforgalmát.

A technológiai fejlesztések minden bizonnyal sok mindent könnyebbé tesznek a mindennapi életben, de a kinyitott ajtón keresztül a rossz szándékkal érkezők is be tudnak lépni. Az egyik szállodai on-line zárakat gyártó cég termékeit is hackertámadás érte. Egy hacker kevesebb, mint 50 dollár értékű eszközökkel mutatta be, hogy meg tudta csapolni a társaság által gyártott zárak adatait. A támadás után a cég bejelentette, mechanikus védelmet helyez el a zárakon és frissíti a szoftvereket.

A technológiai megoldásokat szolgáltató CDW felmérést készített az adatvesztésekről, azzal a céllal, hogy megismerje, mit tesznek a számítógépes fenyegetések ellen a felhasználók. A felmérés eredménye szerint a legnagyobb gond az adatvesztés (32 százalék), a második pedig a rosszindulatú támadás (18 százalék). A felmérésben résztvevők fele úgy látja, hogy a személyes adatok – ezek ügyfél-, diák-, munkavállalói és betegadatok– a legvalószínűbb célpontjai számítógépes támadásoknak. És csak a válaszadók 35 százaléka rendelkezett adatvesztés ellen védő legmagasabb szintű megoldásokkal.

 

Már akkora a létfontosságú infrastruktúrák biztonságát fenyegető számítógépes veszély, hogy Obama elnök fontolgatja rendelet kibocsátását a potenciális támadások kivédése érdekében.
„Bár eddig még nem sikerült súlyosan károsítani vagy megzavarni fontos infrastruktúrákat, de akár ellenséges külföldi kormányok, bűnözői csoportok vagy épp magányos hackerek nap, mint nap szondázzák a pénzügyi, energetikai és az állami biztonsági rendszereket” – áll Obama elnöknek a témában júliusban írt cikkében. „Nem kell nagy fantázia ahhoz, hogy elképzeljük, milyen következményekkel járna egy sikeres kibertámadás. Egy jövőbeli konfliktusban, a támadó a katonai siker érdekében meg fogja támadni az ellenfél számítógépes rendszereit, és például a banki rendszerek támadásával pénzügyi válságot idézhet elő. De a tiszta víz hiánya és a kórházak számítógépes rendszereinek megbénítása közegészségügyi vészhelyzet hozhat létre. És ahogy az már látható volt az elmúlt időszak áramszünetei alatt, a kieső villamosenergia-hálózatok városokat és teljes régiókat tehet működésképtelenné” – tette hozzá az elnök.

A hálózatok ma nagyobb kockázatnak vannak kitéve, mint bármikor a múltban, de nem biztos, hogy a rendelet tényleg eléri a célját. A szakértők szerint a különböző iparágakban, a legtöbb vállalat komolyan veszi a számítógépes fenyegetések. Bár ez egy állandó macska-egér harc a hackerek és az IT-biztonságért felelős szakemberek között.
„Ez fegyverkezési verseny – mondta Mark Knight, az Thales e-Security vezetője – bármit is tesznek a szakemberek a támadók mindig is keresni fogják az új technikák gyenge pontjait.”

Forrás: securityinfowatch.com
 

 

English
The Wild West frontier of cyberspace
by Joel Griffin
Created: August 24, 2012
Organizations engaged in constant battle with hackers

It seems like everyday there is gloomy news for those security professionals charged with the responsibility of keeping their organization’s computer networks safe. Whether it’s a data breach involving the theft of personal information or some new vulnerability that could be exploited by hackers to take command of a facility’s automated systems; the threats are never ending.
Just this week, the Department of Homeland Security announced that it was looking into a vulnerability discovered by a researcher in industrial control systems software that could enable cyber criminals to launch attacks against power plants and other critical infrastructure sites. The researcher reportedly made a presentation recently at a conference where he showed that he was able to eavesdrop on traffic moving through networking equipment made by Siemens.
While advancements in technology have certainly made many things easier in our every day lives, it has also opened the door a little bit more for those will ill intentions. Even something as simple as a door lock is now susceptible to hackers. Lock maker Onity was recently in the news after a hacker, using less than $50 worth of equipment, demonstrated that he could tap into the company’s hotel door locks using an exposed port located underneath the lock. The company has since announced that it will be providing its customers with a mechanical cap to place over the port or a firmware upgrade to address the issue.
Technology solutions provider CDW recently conducted a data loss straw poll of more than 650 IT professionals to gauge the biggest cyber threats as seen by the IT community. Data loss (32 percent) was considered to be the top threat among survey respondents, followed by malicious attacks (18 percent). Half of the survey participants said that personally identifiable information including customer, student, employee and patient data, were the most likely targets of cyber attacks. Only 35 percent of respondents gave their data loss security programs an “A” grade.
The concerns surrounding the cyber security of critical infrastructure have become so great that President Obama is considering issuing an executive order following Congress’ failure to pass legislation that would have bolstered the government’s ability to ward off potential attacks.

Source and continue: securityinfowatch.com

e-bűnözés

Az e-bűnözés 205 millió fontba került a brit kiskereskedőknek

Megerősödik az e-bűnözés, amely most a legnagyobb veszélyt jelenti a kiskereskedelmi ágazat számára.

A British Retail Consortium (BRC) által készített – az első e-bűnözésről szóló – tanulmány becslése szerint 2011–2012-ben legalább 205,4 millió fontot veszítettek a kiskereskedők az e-bűnözés miatt. A teljes eladások értékének arányában az e-bűnözés kétszer olyan nagy kárt okoz, mint az egész lakossági bűnözés. A teljes lakossági online kiskereskedelmi értékesítés 28 milliárd fontot tett ki 2011-ben, ennek 0,75 százaléka az említett 205,4 millió font. A teljes lakossági kiskereskedelmi értékesítés 303 milliárd font volt, ennek 0,36 százaléka, 1,4 milliárd font volt a lakossági bűnözés.

Az e-bűnözés típusai a kereskedelemben
A tanulmány szerint a kiskereskedőket érintő leg több kárt okozó típusú e-bűntettek a személyazonosítással kapcsolatos csalások voltak, ezek során 20 millió fontos veszteséget könyvelhettek el 2011–2012-ben. A kártyacsalások kerültek a második helyre, 15 millió font veszteséget okozva a kiskereskedőknek ugyanezen időszak alatt. A visszatérítéssel kapcsolatos csalások pedig 1,2 millió fontos veszteségért voltak felelősek.
Más kategóriában az e-bűnözés különösen nagy problémát okoz a brit kiskereskedőknek, de azokat nehezebb számszerűsíteni mondta el Stephen Robertson, a BRC főigazgatója. Ilyen például a hamis weboldalakkal végzett adathalászat. Az Egyesült Államokbeli cégek után a Nagy-Britannia-i márkák és cégek a kerültek a második helyre a bűnözők célpontjai között a világon.
Körülbelül 112 millió font veszteséget jelentett az e-kereskedelem elutasítása az e-bűnözéstől való félelem miatt, illetve a becsületes ügyfeleket visszatarthatja az online vásárlástól az általuk túlzottnak vélt biztonsági intézkedések.

 

Stephen Robertson, a BRC főigazgatója

A piac
Az Egyesült Királyság a világ egyik vezetője az online kiskereskedelem területén. Az Egyesült Királyságban a legnagyobb az egy főre jutó internetes költés: 11 százaléka a globális internetes kiskereskedelmi eladásoknak. A BRC úgy véli, hogy a kormánynak és jogalkalmazóknak most lépniük kell, ha azt szeretnék, hogy a kiskereskedelmi ágazat lehető legjobban hozzájáruljon a gazdasági növekedéshez. Ugyanakkor sok kiskereskedő nem bízik abban, hogy az e-bűnözést visszaszorítják a kormányzati intézkedések. A felmérés során megkérdezettek a 60 százaléka azt mondta, hogy az e-bűnözésnek körülbelül 10 százaléka jut a rendőrség tudomására.

Új lehetőségek a bűnözők számára
E-kereskedelem gyors növekedése az Egyesült Királyságban azt mutatja, hogy bár előnyt jelent az ügyfelek számára, de egyben új lehetőségeket hoz bűnözőknek – tette hozzá Stephen Robertson. Az online kiskereskedelemben óriási kereskedelmi terjeszkedés lehetősége rejtőzik, de a kormány és a rendőrség megfelelő döntéseket kell hozniuk az e-bűnözés visszaszorítása érdekében, mivel ez nem csak a kereskedők, hanem a teljes gazdaság érdeke.
A kiskereskedők jelentős értékeket fektetnek be az e-kereskedelembe a fogyasztók védelme és a költségek csökkentése érdekében, de a jogalkotóknak és jogalkalmazóknak is meg kell mutatniuk, hogy hasonlóan elkötelezettek az e-bűnözés visszaszorítása terén. A bűnüldöző szerveknek és a kormánynak együtt kell működniük a kereskedőkkel, egységes, központosított eljárást kell kidolgozni a jelentéstételre, a vizsgálatra, és forrásokat is kell biztosítani összhangban a feltörekvő e-bűnözés fenyegetésével. Ezzel arra ösztönözve a kiskereskedőket, hogy jelentésék a bűncselekményeket, és segítsék a rendőrség munkáját a jobb azonosítás érdelében, egyszersmind, hogy hatékonyabbak legyenek az új fenyegetésekkel szemben.

Forrás: www.info4security.com

 

e-bűnözés

 

English

Online crime costs UK retailers £205 million

E-crime is the biggest emerging threat to the retail sector as the rapid growth in e-commerce sees new ways of shopping being accompanied by new types of crime.

By Ron Alalouff

In its first ever e-crime study published today, the British Retail Consortium (BRC) estimates that the total cost to retailers in 2011-2012 was at least £205.4 million. In proportion to the total value of sales, e-crime is twice as costly as overall retail crime. At £205.4 million, e-crime represents 0.75% of the £28 billion of online retail sales in 2011. The £1.4 billion cost of retail crime as a whole is 0.36% of the £303 billion value of all retail sales.

ID-related fraud: most expensive type of e-crime
According to the study, the most expensive type of e-crime for retailers was personal identification-related frauds, which produced £20 million of losses in 2011-12. Card fraud was in second place with £15 million of losses to retailers during the same period, while refund frauds were responsible for £1.2 million in losses. Other categories of e-crime which are a particular problem for UK retailers, but harder to quantify says the BRC, include phishing (bogus websites). After the USA, UK brands and companies are the second most targeted in the world. Retailers also lost £112 million to e-crime as a result of genuine business being rejected because of crime-prevention measures. For example, honest customers may be deterred from continuing with an online purchase by additional online security measures.
With the UK a world leader in online retailing – the UK has the biggest Internet spend per capita of any nation and 11% of global Internet retail sales – the BRC believes Government and law enforcers need to take e-crime more seriously if the sector is to maximise its contribution to economic growth.
However, many retailers lack confidence in the official response to e-crime, says the BRC. Of those questioned in the survey, 60% said it was unlikely they would report any more than 10% of e-crimes to police.

Source and continue: www.info4security.com

Adatok a személyes felhőben (Forrás: D-Link Magyarorzág)

Adatok a személyes felhőben

A D-Link bemutatta legújabb fejlesztésű cloud – felhő termékeit, amelyek július végétől itthon is kaphatók lesznek. A mydlink platformot továbbfejlesztve a D-Link három új routert, egy adattárolót és egy mobil útitársat mutatott be, amelyek biztosítják adataink és otthoni hálózatunk elérését, bárhol is tartózkodjunk a világban.

Az Egyesült Államokban a cloud – felhő alatt az otthoni felhasználók adatainak felhőben tárolását értik. Az adatokat ingyenesen vagy minimális havidíj ellenében weben keresztül elérhető tárhelyre töltik fel, és innen érik el. A D-Link azonban nem ebben látja a biztonságot.

„Úgy látjuk, hogy Magyarországon az emberek akkor érzik adataikat, fotóikat, filmjeiket biztonságban, ha azt otthon tárolják. Ez a gondolkodás megegyezik a D-Link fejlesztéseinek irányával, jelmondatunk: Tároljon otthon, és érje el adatait bárhonnan ingyenes Android és iOS alkalmazásokkal. Ehhez az adattárolót, a routert és a személyes felhőt bármikor, bármilyen – ADSL, kábel, Wi-Fi vagy 3G – Internetkapcsolat birtokában biztonságosan elérhető a Mobil Útitárssal” – mutatta be az új termékcsaládot dr. Kilbertus Viktor, a D-Link Magyarország sajtókapcsolati tanácsadója.

„Az okostelefonok a telekommunikációs és IT-ipar leggyorsabban fejlődő szegmense. A D-Link mostani fejlesztéseivel ezt a hullámot szeretné meglovagolni, és még az idén kitörni az olcsó routergyártó szerepből. Ehhez adja a fegyverzetet a számos szolgáltatást kínáló új cloud portfolió” – jelölte ki a cég új stratégiai irányát Ebinger Norbert, a D-Link Magyarország képviselet vezetője.
 

A D-Linkcloudportfolio legfontosabb szolgáltatásai:

Cloudrouterek (DIR-605L, DIR-636L, DIR-826L)

  • Android, iPhone alkalmazásokkal széleskörű monitoring lehetősége
  • számítógépek csatlakozásának engedélyezése / tiltása az otthoni hálózathoz
  • e-mail-értesítés a behatolási kísérletekről
  • meglátogatott domainnevek listája

Cloud tároló (DNS-320L)

  • adatok, filmek, zenék, fotók biztonságos tárolása és elérése a világon bárhonnan
  • SharePort Mobile alkalmazással streamelés Androidos ostelefonra, iPhone-ra, iPad-re

Cloud kamerák (DCS-930L, DCS-932L, DCS-942L, DCS-5222L, DCS-2132L és DNR-322L NVR)

  • otthonunk megfigyelése vezetékek nélkül akár okostelefonról vagy iPhone-ról (mydlinkLite vagy mydlink Plus alkalmazással)
  • e-mail értesítés mozgás esetén távolról indítható rögzítéssel

SharePort Mobile Companion (Mobil útitárs – DIR-505)

  • vezeték nélküli Internet-kapcsolat bárhol ADSL, kábel-, Wi-Fi vagy 3G mobilinternet megosztásával
  • Wi-FiHotspot szolgáltatás
  • az okostelefon töltésének lehetősége
  • akár otthoni routerként, akár szállodában, középületekben is azonnal alkalmazható

A most bemutatott cloud termékportfolió fejlesztése tovább halad, ősszel újabb termékek bemutatása várható.

Forrás: D-Link Magyarorzág

Lap teteje