Społeczność
Cybersecurity
W tej społeczności opisuje z czego składają się systemy cyberbezpieczeństwa
Już chyba jakiś czas temu pojawiały się reklamy z lewymi instalatorami.
Ja mam nawyk, że instalkę pobieram u źródła, jak ognia unikam portali typu „instalki” czy „dobreprogramy” które już lata temu doklejały swój syf do instalatorów.
Nie jest to idealne, ale kurde, ten koleś od NFT to słabo ogarnięty delikatnie mówiąc…
Zaloguj się aby komentować
Wrocław. Ktoś rozkleja plakaty z takim kodem QR… „zbiór informacji o obywatelach Ukrainy”. Link prowadzi do Proton Drive…
Gdzie prowadzi QR kod? Do adresu: drive.proton[.]me (usługa storage cloudowego od Protona). Tam z kolei plik .doc: oświadczenie_o_cudzoziemcach_przebywających_w_rp.doc
Czy plik jest złośliwy? Wygląda na to, że nie. Rozmawialiśmy również z CERT Polska, który zaznaczył że przynajmniej wstępna analiza...
KOMUNIKAT!
Ransomware w placówce medycznej w Otwocku. Objęte incydentem dane pacjentów z 5 lat, w tym dane kontaktowe, wyniki badań, dokumentacja medyczna.
(…) w dniu 13 stycznia 2023r. doszło do ataku hackerskiego na infrastrukturę serwerową Centrum Medycznego TW-MED, w wyniku którego nieuprawniony podmiot dokonał zaszyfrowania danych zgromadzonych za serwerze w sposób uniemożliwiający Centrum Medycznemu TW-MED dostęp do danych, w tym wykonanie kopii bezpieczeństwa.
Zakres zaszyfrowanych danych obejmuje bazę wszystkich pacjentów Centrum Medycznego TW-MED z lat 2018 – 2023, w tym takie dane jak: imię i nazwisko, numer PESEL, dane kontaktowe, wyniki badań i inne dane zgromadzone w dokumentacji medycznej pacjenta, w tym w szczególności dane dotyczące stanu zdrowia.
http://www.tw-med.pl/?page_id=717
#cyberbezpieczenstwo #cybersecurity #informatyka
@Krx_S Co ma SSL do panelu logowania do WP jeśli atakujący nie może wykonać man in the middle? W Internecie są tysiące stron na WP z wystawionym panelem logowania, co oczywiście jest kiepską praktyką, ale nadal nie wiem dlaczego według Ciebie sam panel logowania, brak SSL i distro do pentestów == easy task? Mógłbyś przedstawić swój punkt widzenia?
@elmorel Bardziej chodziło mnie o brak zdziwienia atakiem skoro nawet nikt nie zadbał o podstawy. Ot to była taka ciekawostka nic więcej.
@Krx_S Ok, rozumiem. Niestety temat bezpieczeństwa jest traktowany bardzo różnie w polskich realiach instytucji publicznych, a tutaj dziwi to tym bardziej, że jak rozumiem nie jest to placówka stricte publiczna.
Zaloguj się aby komentować
Podpisy cyfrowe
Po co podpisujemy dokumenty? Pytanie wydaje się trywialne, choć nie do końca takie jest. Tak naprawdę istnieją trzy powody tego działania.
Pierwszym z nich jest potwierdzenie autentyczności pochodzenia, naturalnie podpis Jana Kowalskiego należy do Jana Kowalskiego.
Drugim powodem jest niezaprzeczalność, jeżeli pod dokumentem znajduje się podpis Jana Kowalskiego, to oznacza to, że Jan Kowalski go przeczytał, jest to bezpośredni dowód utrudniający wyparcie się przez niego znajomości treści.
Trzecim powodem jest integralność, Jan Kowalski podpisał się pod konkretnym dokumentem i tylko tego dokumentu dotyczy podpis.
Wiadomo, że z podpisami...
Uwierzytelnianie dwuskładnikowe
Niektórzy mówią, że nie można dawać się oszukać i podać swojego loginu i hasła na fałszywej stronie, ale to nieprawda, można tylko trzeba używać klucza u2f, na tym polega odpowiedzialność.
Ale dobra dobra, jakie fałszywe strony, jakie klucze, jaka znowu odpowiedzialność, spokojnie zaraz wszystko będzie jasne.
Uwierzytelnianie
Logowanie do serwisu internetowego zaczynamy od podania loginu, dochodzi w ten sposób do procesu identyfikacji, podczas której deklarujemy, że my to my. Znajomość loginu nie jest oczywiście wystarczająca, żeby stwierdzić, że mówimy prawdę, dlatego w dalszej kolejności musimy przedstawić na to dowód.
W momencie...
O menedżerach haseł
Powiedzmy sobie szczerze, na pewno słyszałeś o menedżerach haseł. W internecie istnieje wiele materiałów promujących właśnie to rozwiązanie nad innymi. Ten materiał mógłby wyglądać jak większość z nich, mógłbym przekonywać cię, że jest to rozwiązanie idealne, całkowicie bezpieczne i sprawdzone, a każde twoje wątpliwości nazwałbym paranoją.
Jaki byłby jednak tego sens? Zapewne część z was korzysta z menedżera haseł, ale zdecydowana większość nadal tego nie robi. Każdy, kto kiedykolwiek natknął się na wpis zachęcający do skorzystania z tego typu aplikacji i nie zdecydował się na zmianę, uznał, że tak naprawdę jej nie potrzebuje, nie widzi w...
Ransomware zaatakował Urząd Marszałkowski Województwa Mazowieckiego: zaszyfrowane dane systemu Elektronicznego Zarządzania Dokumentami (EZD) oraz innych systemów.
Jest super xD
@LovelyPL eee, jak w jednym korpo jakiś kloc zaszyfrował część share'owanych zasobów (nie wiem jak, ale to było w sumie przed antywirem z domyślnie wbudowanymi opcjami antyransom), to IT przywróciło wszystko w 1 dzień.
@SuperSzturmowiec i tak dobrze, że więcej giereczek niż kiedyś portują pod MacOS.
@dsol17 na steamie coraz więcej, zwłaszcza, że steamOS z tego, co pamiętam to też pingwinek/
@Nebthtet Niby tak,ale steam to chmura, a chmura to "trzymanie rzeczy na komputerze kogoś innego".
@dsol17 steamos instalujesz na swoim kompie, gry ściągasz na swojego kompa, możesz grać online. To nie stadia / gfn / luna / cośtam innego
Zaloguj się aby komentować
Szyfrowanie end to end
Tym razem wstępu nie będzie, zamiast tego zadam pytanie. Powiedz, co poleciłbyś użyć do zachowania poufności rozmowy w internecie? Załóżmy, że pracujesz nad rewolucyjnym projektem i chcesz by nikt, oprócz osób zaangażowanych nie mógł czytać waszej korespondencji. No dawaj, masz 3 sekundy na odpowiedź 3…2…1…
W tym momencie zazwyczaj padają nazwy: Signal, Proton, WhatsApp, PGP. Ale co takiego wyróżnia tego typu aplikacje (i protokoły) i czy pierwszy akapit, w którym napisałem, że nie będzie wstępu, nie był przypadkiem wstępem :O?
Jak wiadomo informacji należy szukać u źródła, dlatego wejdźmy na jedną z wywołanych stron https://signal.org i...
W sumie nikt nie popełniał chyba jeszcze wpisu o Yubikeyach, więc potencjalny autorze - jako uzupełnienie tego wpisu masz szansę
No, ale nie o tym.
Zapewne większość z was uwierzytelnia różne rzeczy telefonem - czy to aplikacją bankową, czy też korzystając z aplikacji typu Google Authenticathor, Authy, 2FAS, Ping iD. Wiecie, jak to skonfigurować i jak obsługiwać. Ale czemu działa? I dlaczego jak zgubimy telefon i nie mamy kopii zapasowej, to nie można nijak odzyskać konta bez kodów generowanych przy podpinaniu aplikacji / klucza uwierzytelniającego?
Aby nie pomieszać (bo klucze sprzętowe typu Yubikey to jedno, a aplikacje generujące kody to drugie) warto poznać pojęcie TOTP (Time Based One Time Password). To ten 6-cyfrowy kod, który zmienia się co 30 sekund, który generuje nam aplikacja. To działa, bo istnieje "sekret", który zna authenticator. Owym "sekretem" jest właśnie jest kod (kreskowy, QR itp), który skanuje się łącząc aplikację z kontem. Gdy apka uwierzytelniająca "zna" ten sekret, może wypluwać 6-cyfrowe kody, które pozwolą na zalogowanie się - ale uwaga - nigdy nie ujawnia go ponownie i nie ma jak jej go z bebechów wydłubać.
W przypadku aplikacji na smartfony "sekret" jest przechowywany w telefonie. W przypadku kluczy sprzętowych takich jak Yubikey, "sekret" jest przechowywany TYLKO na kluczu (i ujawniony, gdy podłączysz klucz do dowolnego urządzenia, na którym możesz uruchomić Yubikey Authenticator).
Korzystając z aplikacji uwierzytelniających Jeśli chcesz, możesz wydrukować kod kreskowy / QR (czyli ów "sekret") i załadować go do wielu urządzeń (czyli np. 3 smarfony będą w stanie generować te same kody) na początku, gdy po raz pierwszy ustawiasz TOTP lub później w dowolnym terminie. Czyli tylko aplikacje, które "widziały" ów konkretny, sekretny kod będą w stanie generować dla użytkownika działające kody.
Ogólnie przyjmuje się, że najlepiej jest mieć "sekret" w dwóch miejscach, zwłaszcza w przypadku stron / kont, które nie dają opcji awaryjnego uwierzytelniania np. przy pomocy SMS (a pamiętajmy, że opcja awaryjna czyni rzeczy MNIEJ bezpiecznymi np. ta SMS-owa jest podatna na kradzież / klonowanie karty SIM). Większość ludzi w takiej sytuacji skorzystałaby z dwóch fizycznych kluczy (dlatego doradza się od razu kupowanie zapasowego), przechowywałaby wydrukowaną kopię "sekretu" do konfiguracji authenticatorów, albo kodów do odzyskwania konta gdzieś w bezpiecznym miejscu.
To, co warto zrozumieć i zapamiętać, to fakt, że nie możba NIGDY wydostać sekretu z Yubikey lub aplikacji typu Google Authenticator. Nie ma także sposobu na wykonanie kopii zapasowej klucza Yubikey lub Google Authenticator bez oryginalnego kodu kreskowego (lub jego odpowiednika tekstowego).
Klucze Yubikey obsługują również U2F, który jest lepszym, bardziej bezpiecznym rozwiązaniem od TOTP, ponieważ nie ma tu kodu, który można wyłudzić. Niestety wsparcie dla tej opcji jest rzadziej spotykane niż dla TOTP, ale zdecydowanie lepiej jest używać go, jeśli się ma taką możliwość. Jest to coś, czego prawdopodobnie nigdy nie próbowałeś, jeśli nie masz jakiejś odmiany klucza sprzętowego.
Na koniec ciekawostka: żaden polski bank nie umożliwia dodatkowego zabezpieczenia swojego konta przy pomocy kluczy sprzętowych i mimo plotek o trwających pracach, od dwóch lat temat z miejsca nie ruszył.
Uwaga: wyjaśnienie znalazłam w necie i przerobiłam, żeby się lepiej czytało i było przystępniejsze dla przeciętnego człowieka. Wg mojej wiedzy trzyma się kupy, ale jeśli ktoś znacznie lepiej obeznany ode mnie dostrzeże nieścisłości, to proszę o sprostowanie
W ogóle to ciekawe, czy ktoś tę ścianę tekstu w ogóle przeczyta
A tu trochę info o kluczach (i niech was nie pokusi kupować kiedykolwiek używki, czy korzystać z jakiegoś znalezionego na ulicy
Kopie zapasowe kodów TOTP można zrobić w menedżerze haseł. Ja używam https://keepassxc.org/ i w zasadzie na kompie nie mam potrzeby sięgania po telefon aby spisać kod podczas logowania.
Na telefonie wciąż bardziej wygodne Google Auth.
W ogóle KeePass jest super wygodny. Jedna baza w chmurze, synchronizacja ze wszystkimi urządzeniami, kopia zapasowa po każdorazowym zapisie bazy, wtyczka do przeglądarek z autouzupelnianiem.
Hasła przestały być dla mnie jakimkolwiek problemem
@arcy keepass do bazy lokalnej, na fonie keepass2android offline,a do weryfikacji dwuetapowej Authy zamiast google.
Jako poczta polecam proton mail opcjonalnie tutanota.
Zaloguj się aby komentować
Czy warto zainstalować aplikację mobilną swojego banku?
Tomki, warto przeczytać artykuł z linku, zwłaszcza jeżeli ktoś ma jakieś obiekcje.
Niektórzy z Was boją się aplikacji mobilnych swoich banków. Czasem piszecie do nas i pytacie “czy apka banku jest bezpieczna”? Albo wprost informujecie nas, że apki banku nie zainstalujecie i pytacie co Wam grozi, jeśli pozostaniecie przy potwierdzaniu transakcji SMS-em? Czy strach przed instalacją aplikacji mobilnej banku jest uzasadniony? Dziś spróbujemy odpowiedzieć na te pytania.
https://niebezpiecznik.pl/post/czy-warto-zainstalowac-aplikacje-mobilna-swojego-banku/
Dzięki, podsyłam do ojca
Zaloguj się aby komentować
Artykuł o backupie zniknął i go nie będzie. Muszę to rozpisać trochę inaczej. Nie było ładu i składu.
Chyba najgorszy temat o jakim można pisać w securit jak dla mnie. Jest strasznie rozległy i żeby było dobrze trzeba opowiedzieć o wszystkim. Mam plan rozdzielić to na trzy albo cztery części nawet.
Muszę znaleźć na to sposób. Na ten moment przepraszam za zamieszanie, w piątek mam podróż pociągiem to napiszę coś o DLP albo UTMach
Zaloguj się aby komentować
Losowość w informatyce
Czy zastanawiałeś się kiedyś, co wspólnego mają: zegar, lampa i rozpad promieniotwórczy pierwiastków? Cóż zapewne nie, yyyy…. Tak czy inaczej, w tym wpisie odpowiem między innymi na to pytanie.
Prawdziwy generator liczb losowych.
Zapewne zdarzyło ci się kiedyś rozwiązać konflikt za pomocą rzutu monetą. Metoda ta wydaje się sprawiedliwa, każdy ma w niej 50% szans na wygraną, akceptujemy to, że los ma zdecydować o naszej przyszłości. Ale czy rzut monetą naprawdę możemy nazwać losowym?
Zgodnie z mechaniką klasyczną wszystko jest przyczynowo-skutkowe, jeżeli bylibyśmy w stanie przeanalizować całe otoczenie, to zdołalibyśmy przewidzieć...
Nie dodałem ostatnio nic bo leżałem chory, dzisiaj jeszcze odpocznę ale jutro już coś dla was napiszę! Obiecuje!
Poniżej ciekawostka która się wydarzyła stosunkowo niedawno
Ktoś wysłał komornikom fałszywą wiadomość e-mail i wyłudził od nich hasła do portalu Krajowej Rady Komorniczej. Komornicy publikują tam obwieszczenia o licytacjach, np. zajętych nieruchomości. Atakujący ze zhackowanycych kont komorników opublikował fałszywe obwieszczenia — zaproszenia do licytacji. Osoby, które zdecydowały się przystąpić do tych licytacji, zgodnie z wymogami musiały wpłacić wadium. Problem w tym, że podane konto bankowe należało do złodzieja…
https://niebezpiecznik.pl/post/udany-atak-na-polskich-komornikow/
Zaloguj się aby komentować
- Nowy Cyberalert.
Uwaga na SMS-y obiecujące kupony od Żabki! https://niebezpiecznik.pl/post/uwaga-na-sms-y-obiecujace-kupony-od-zabki/
@Krx_S hehe, też mi właśnie alert o tym wpadł
Zaloguj się aby komentować
O utajnianiu wiadomości w komunikacji bezpośredniej
Każdy człowiek ma sekrety, coś czym nie chce się dzielić ze wszystkimi. Od zarania dziejów ludzie rozumieli wartość informacji i zagrożenia płynące z ich ujawnienia. Wraz z rozwojem cywilizacji narastała potrzeba chronienia danych przed osobami niepowołanymi, mogącymi wykorzystać je przeciwko nam.
Steganografia
V wiek p.n.e. na dwór króla Leonidasa dochodzi wiadomość od Demaratosa, jest ona jednak nietypowa, posłaniec wręcza bowiem drewnianą tabliczkę pokrytą woskiem. Nie byłoby w tym nic nadzwyczajnego, gdyż w tamtych czasach popularną metodą zapisu wiadomości było jej wyrycie w wosku. Ta tabliczka była jednak inna, powierzchnia wyglądała...
Dzisiaj nie dam rady wpisu zrobić ale macie ciekawostkę
Atak hakerski na serwery Senatu. "Charakter wielokierunkowy, w tym między innymi z terenu Federacji Rosyjskiej"
@Takebushi @Nebthtet @starebabyjebacpradem
W sumie nie wiem po co kłócić się z idiotą. Pamiętajcie że może was sprowadzić do swojego poziomu i pokonać doświadczeniem.
Szczerze nie wiedziałem że taka imb4 będzie w komentarzach xD
@Krx_S czasem warto poszturchać, żeby sami się poujawniali
@Krx_S świetnie, nie taguj, olać regulamin, olać standardy społeczności, wyniosłeś to z wykopu? trzeba będzie powiadomić admina bo i tu bezczelnie zaczynacie robić chlew ze swoją marną propagandą.
atak wielokierunkowy, który w istocie był zwykłym ddosem xD
Zaloguj się aby komentować
UWAGA LUKA W OPENSSL!
Luka jest na tyle poważna, że ekipa OpenSSL zdecydowała się informację o łatce ogłosić odpowiednio wcześnie:
Pełna informacja o szczegółach podatności (i zapewne exploit…) pojawi się 1. listopada. Jak widzimy całość dotyka tylko linii 3.x OpenSSL.
Warto też podkreślić, że ekipa OpenSSLa zachowuje status 'Critical’ na naprawdę poważne okazje. Od początku szacowania podatności (koniec 2014 roku), ta etykieta była do tej pory zastosowana tylko raz
@Nebthtet no tak! Zapomniałem o wykopie xD
@Takebushi @Nebthtet Wiadomo, jednak warto zwrócić uwagę na problem. Ja u klientów spotykam jeszcze W98 bo jakiś program na nich działa. Tu nie ma co dyskutować xDDD
Ale małysz. Nikt już SSL-a nie używa. Od lat świat jest TLS-only.
@Takebushi zdziwiłbyś się: SSL to powszechna nazwa na Secure Socket Layer rozumiane jako ogólne pojęcie "połączenie szyfrowane". Nie mylić, tak jak to zrobiłeś z protokołem SSL, którego zabił google swoim 0 day i który został zastąpiony przez TLS. Nawet nikt nie wspomina o HTTPS. OpenSSL jest podstawą szyfrowanej komunikacji pomiędzy serwerami. Korzysta zeń większość bibliotek systemowych, aplikacji i nie tylko na linux ale także windows. Po co samemu implementować, skoro jest OpenSSL? Przykład aplikacji korzystającej z OpenSSL: ssh.
Zaloguj się aby komentować
Jako że stworzona społecznośc cybersecurity ma nie tylko uczyć ale i chronić to jest ważna informacja!
Informujecie nas, że otrzymujecie SMS-y z numeru “669979971“, które przywołują w treści marki “Inpost” i “PGE”. Wiadomości zachęcają do odwiedzenia strony CBZC i zastanawiacie się o co chodzi… Uspokajamy: to nie atak, to akcja Centralnego Biura Zwalczania Cyberprzestępczości. Policjanci ostatnio złapali szajkę okradającą Polaków takimi SMS-ami i aktualnie poszukują poszkodowanych, którzy w wyniku złośliwych SMS-ów mogli stracić pieniądze. Jeśli straciłeś pieniądze na skutek tego oszustwa lub znasz kogoś kto je stracił — zobacz co należy zrobić.
<br />
Więcej informacji: https://niebezpiecznik.pl/post/centralne-biuro-zwalczania-cyberprzestepczosci-wysyla-sms-y-poszkodowanym/
@SuperSzturmowiec to racja. W szkole na informatyce powinni uczyć na co uważać, a było rysowanie w paint. Chociaż zagrożenia też są świeże więc ciężko.
Chyba trzeba traktować to tak że jak widzisz co ktoś odwala to wiesz z kim masz do czynienia xD
@SuperSzturmowiec nawet sobie nie wyobrażasz ile ludzi z pokolenia internetu przychodzi zgłaszać oszustwa na które się złapali.
@Brickstone I te słynne łocapy olx.
A o tinderach to nawet nie wspominam. Mi by było wstyd zgłosić takie oszustwo
Zaloguj się aby komentować