Bezpieczeństwo informatyczne

Ostatnio dużo się słyszy o lukach w oprogramowaniu, inwigilacji i przekrętach. Jako, że interesuje się informatyką a głównie programowaniem ciekawi mnie też bardzo bezpieczeństwo IT.

Chciałbym dowiedzieć, nauczyć się paru rzeczy może przydatnych w życiu. Z góry mówię, że nie chcę zostać specem od bezpieczeństwa tylko tyle co potrzeba na własny użytek.

Tak więc czy ktoś z was interesuje się, zajmuje się bezpieczeństwem IT? Nie patrzcie na to ze strony programowania jak zabezpieczyć program tylko ogólnie.

Jak być bezpiecznym w sieci(profesjonalnie a nie 10 zasad bezpieczeństwa z onetu).

Polecacie jakieś kursy, książki, coś od czego można zacząć tą szeroką dziedzinę?

Jak bezpiecznie korzystać z PC, jak chronić swój adres IP, swoją prywatność, pocztę e-mail i komunikacje, co zrobić by strony nas nie śledziły(państwa, organizacje też) jak być anonimowym w Internecie? Jak chronić się przed hakerami.

Dla troli informacja, że nie jestem zainteresowany Linuxem tylko użytkowanie Windows ;)

Tak więc czy ktoś z was interesuje się, zajmuje się bezpieczeństwem IT?

Może @Gynvael Coldwind ? ;)

Dla troli informacja, że nie jestem zainteresowany Linuxem tylko użytkowanie Windows ;)

No to kijowy hackier z ciebie będzie bez linuxa xdddd

Dobre pytanie ;)
Żadnych pozycji w tym temacie nie znam niestety, ale poniżej kilka tipów.

Domyślam się, że mówimy o statystycznym użytkowniku, który zazwyczaj sam w sobie nie jest celem ataku (w rozumieniu spear phishingu, czy wręcz 0-dayów stworzonych specjalnie w tym celu), ale zdarza się, że pada ofiarą masowych ataków (tj. takich, które są przeprowadzane np. na 1mln. "losowych" użytkowników na raz, a nie na tą konkretną osobę) - jest to o tyle istotne, że zmienia się podejście do obrony (tj. ew. dopuszczalne jest pójście na skróty w kilku kwestiach).

Zaczynając od bepieczeństwa samego komputera, to powtórzane do znudzenia "aktualizuj aplikacje/system" jest jak najbardziej prawdziwe (sporo malware korzysta ze starych, znanych publicznie luk w nadzieji, że ktoś nie było popatchowany). Dotyczy to również przejścia na nowego Windowsa jak tylko to ma sens (każdy kolejny Windows wprowadza szereg zmian w okolicach jądra i "rdzenia" systemu, które mają bardzo dobry wpływ na bezpieczeństwo; np. Windows 7 64-bit wprowadził patch guard / wymóg podpisanych sterowników, Windows 8 pozwolił na zabronienie aplikacji używania syscalli do win32k, a Windows 10 przeniósł obsługę czcionek z kernela do procesu z niskimi uprawnieniami).

Poza tym jak najwięcej izolacji, gdzie się tylko da. Kilka pomysłów poniżej.

• Warto potworzyć osobnych użytkowników z bardzo ograniczonymi uprawnieniami, i korzystać z softu słabszej jakości tylko z nich (można to sobie fajnie poskryptować, żeby dana aplikacja odpalana była zawsze z uprawnieniami danego usera). Przykłady aplikacji, z których każda powinna dostać osobnego usera: Adobe Reader, Microsoft Office, VLC, etc.
• (EDIT) Można pomyśleć o używaniu mniej popularnych aplikacji - o ile często są one jeszcze mniej bezpieczne niż ich popularne odpowiedniki, o tyle nie przeprowadza się na nie masowych ataków (to jest to pójście na skróty o którym wspominałem).
• No i standardowo - klikanie każdego exeka i pliku z admina brzmi jak słaby pomysł. Można wrzucić je np. na virus total i zobaczyć, czy ktoś tego już nie wrzucił np. miesiąc temu, i nie jest na zielono.
• Ściąganie exeków z sieci zawsze jest trochę ryzykowne - warto sprawdzić czy mają podpis cyfrowy, i jeśli tak, to czy jest prawidłowy (we Właściwościach Pliku jest zakładka Certyfikaty or sth).
• W przypadku statystycznego użytkownika nie zaszkodzi jakiś antywirus (w przypadku użytkowników będących konkretnym celem danego ataku bym to natomiast odradził, bo zwiększa atak surface).
• Backupy zawsze spoko (ransomware niegroźny jak się ma dobre backupy).
• Idealnie mieć zupełnie oddzielną maszynę (np. na Chrome OS albo Qubes OS), której będzie się używać tylko i wyłączenie do operacji bankowych / na kontach maklerskich / etc (co wymaga wprowadzenia żelaznej zasady typu "nie loguje się na konto bankowe/etc z innej maszyny" i "nie korzystam z tej maszyny do niczego innego").
• (EDIT) W przypadku laptopów/komórek: szyfrowanie dysków (w razie kradzieży).

Jeśli chodzi o korzystanie z sieci, to:

• Jeśli gdzieś korzysta się z public key crypto / certyfikatów, które nie są podpisane przez CA (np. shell na jakimś serwerze, itp), nie jest złym pomysłem spisanie fingerprintów kluczy / certyfikatów i wrzucenie karteczki do portfela - patrz niżej.
• Korzystając z publicznych (tj. niezaufanych) sieci wszystko jest OK w przypadku HTTPS, SSH, itp, pod warunkiem, że albo mieliśmy zapamiętany certyfikat/fingerprint klucza, albo (jeśli dostaniemy warning) zgadza się on z tym spisanym.
• Korzystając z publicznych sieci warto ograniczyć dostęp do czegokolwiek co jest nieszyfrowane (HTTP, FTP, SMTP, POP3). Jeśli koniecznie musimy, to z pomocą przychodzą takie rozwiązania jak tunelowanie w SSH (w stym SOCKS5) lub VPN, oczywiście prowadzące do zaufanych sieci.
• Jeśli chodzi o samo logowanie do różnych serwisów, to generalnie HTTPS jest obowiązkowe. Jeśli dotarliśmy do serwisu i logowania w jakiś dziwny sposób (tj. jakikolwiek poza wprowadzeniem adresu w pasku adresów, w szczególności np. klikając na link w mejlu), to warto 2 razy sprawdzić domenę (może jest .corn zamisat .com ?;>) i rzucić okiem na certyfikat. Ewentualnie otworzyć nowy tab, wejść na danych serwis wpisując jego adres i logując się w tamtym tabie.
• Jeśli chodzi o e-mail, to niestety często lata on niezaszyfrowany po sieci (jest kilka wyjątków - np. wysłanie e-maila w obrębie jednego serwisu, np. gmail-to-gmail). Do tego nie jest problemem podrobienie nadawcy. Z pomoca przychodzi kryptografia i gpg (co pozwala na szyfrowanie i podpisywanie wiadomości).
• (EDIT) No i kwestia haseł: różne, niesłownikowe <-- dwa słowa kluczowe. Idealnie korzystać z jakiegoś generatora (który generuje hasło na podstawie np. domeny i znanego tylko nam sekretu) lub bazy haseł (keepass, etc)

Jeśli chodzi o prywatność, to głównym problemem jest to co się samemu wrzuca w odmęty sieci - ograniczenie tego bardzo zmniejsza problem.

Jeśli chodzi o śledzenie przez strony, to technicznie trudno coś z tym zrobić - nawet jak się wyłączy wszystkie cookiesy, etc, to zostaje fingerprinting. Zresztą, śledznie w przypadku statystycznego użytkownika ma zazwyczaj tylko na celu dostosowanie reklam pod niego, co nie brzmi specjalnie groźnie (vs np. wyciek e-maili, albo wyzerowanie konta bankowego). Pewnie jakieś noscript/adblock/DNT/etc by trochę tu pomogły.

Jeśli chodzi o adres IP, to argumentowałbym, że w przypadku statystycznego użytkownika ukrywanie IP nie jest specjalnie istotne. Masowe ataki które wymagają IP (mniejszość) i tak przeprowadza się na prawie wszystkie IP z danego regionu; IP do śledzenia jest umiarkowanie przydatne (owszem, może zdradzić skąd użytkownik jest, but that's about it) - co chwile się zmienia, nie wiadomo czy siedzi za nim jeden czy wielu użytkowników, etc.
Ostatecznie jeśli jednak nie chcesz by ktoś widział Twoje IP, to pozostają rozwiązania typu VPN/proxy/TOR (ale idzie za tym szereg utrudnień).

Tyle mi przychodzi do głowy na szybko. Pewnie sporo pominąłem, więc domyślam się, że ktoś coś jeszcze zasugeruje.

Dzięki za bardzo ciekawą odpowiedź ;)

Sprawa jest głównie dla mnie jako przeciętnego informatyka tak więc interesujące są rzeczy poza silnymi hasłami, generatorami, nie siedzeniu cały czas na koncie administratora czy klikanie w nieznane.

Muszę się z tym dogłębniej zapoznać.

Skąd się uczyć skoro nie ma "polecanych" pozycji. Przeglądając wydawnictwo Helion pod kątem książek o bezpieczeństwie jest tego sporo ale wszystko o tym samym? i raczej nie dla świeżych w temacie.

Czytałem trochę o TOR ale tak właściwie po co to jest tak na prawdę?

Czy warto uczyć się (podstaw) kryptografii czy to raczej gdy chcę się coś zrobić z szyfrowaniem?

Bezpieczne korzystanie z internetowych kont bankowych, poczty, operatorów komórkowych w sensie zabezpieczenia przed

1. Udostępnianiem zbyt wielu danych do owego dostawcy(banki, operatorzy) bo w końcu oni i tak "TO" mają tak samo ograniczenia w Windows 10 bo w końcu z tego korzystamy.
2. Chronienie tego przed osobami nieuprawnionymi - by czuć się bezpiecznie i być bezpiecznym

Skąd się uczyć skoro nie ma "polecanych" pozycji. Przeglądając wydawnictwo Helion pod kątem książek o bezpieczeństwie jest tego sporo ale wszystko o tym samym? i raczej nie dla świeżych w temacie.

Jest mi o tyle trudno odpowiedzieć na to pytanie, że osobiście szedłem w górę stosu (od low-level, do bezpiecznego użytkowania), więc nie miałem w ogóle styczności z pozycjami, które by o traktowały o problemie w drugą stronę.
Anyone?

Czytałem trochę o TOR ale tak właściwie po co to jest tak na prawdę?

Technicznie TOR (the onion routing), to dość sprytny protokół, który automatyzuje przesyłanie pakietów przez kilka "proxy TORa" (nazywanych węzłami / node'ami). W trakcie przesyłania pakiety (w rozumieniu paczek danych TCP jeśli mnie pamięć nie myli) są zaszyfrowane (wielokrotnie/rekursywnie, za pomocą klucza publicznego każdego z kolejnych proxy - stąd "onion" - szyfrowanie pod szyfrowaniem pod szyfrowaniem ...); ostateczny cel również jest zaszyfrowany i znane są tylko adresy kolejnych węzłów (każdy kolejny węzeł ma odpowiedni klucz prywatny i deszyfruje kolejny kolejną porcje danych, w tym cel).
Ostatecznie zdeszyfrowany pakiet jest dostępny dopiero dla ostatniego węzła (exit node), który przesyła go do serwera docelowego. Oczywiście całość wprowadza pewnego laga.

Powyższe de facto utrudnia (od strony docelowego serwera) poznanie prawdziwego IP nadawcy - widoczne jest jedynie IP exit node (i tyle; znane są przypadki, że exit node'y sobie logowały rozszyfrowany ruch; wyciekło tak trochę haseł do jakiś mejli urzędników z azji kilka lat temu).
Oprócz tego jest jeszcze cała sprawa z domeną .onion, czyli de facto serwisami (www, etc), które są dostępne tylko poprzez sieć TOR, i które dodatkowo ukywają swoje własne IP (tu odsyłam do jakiegoś lepszego źródła; tylko pobieżnie wiem jak to działa).

W zamyśle TOR miał być używany przez dziennikarzy/aktywistów w krajach z mocną cenzurą / łamiących prawa człowieka / etc.
W praktyce jest jak Wizzie napisał w komentarzu wyżej.

Czy warto uczyć się (podstaw) kryptografii czy to raczej gdy chcę się coś zrobić z szyfrowaniem?

Nie zaszkodzi. Na pewno trochę applied cyrpto też nie zaszkodzi + wiedzy co do czego można wykorzystać (tj. jaka jest różnica między szyfrem symetrycznym a asymetrycznym, między HMACiem, hashem, checksumem, etc.)

Bezpieczne korzystanie z internetowych kont bankowych, poczty, operatorów komórkowych w sensie zabezpieczenia przed

1. Udostępnianiem zbyt wielu danych do owego dostawcy(banki, operatorzy) bo w końcu oni i tak "TO" mają tak samo ograniczenia w Windows 10 bo w końcu z tego korzystamy.
2. Chronienie tego przed osobami nieuprawnionymi - by czuć się bezpiecznie i być bezpiecznym

Chodziło mi o to drugie.
(choć to że korzysta się z Windows nie znaczy, że chce się by dane były wysyłane do MS ;>)

(OK, mam boarding, więc ew coś dopisze jutro z domu)

Zaleca dane skanera do identyfikacji wirusów kryptologów grupy TeslaCrypt http://nabzsoftware.com/types-of-threats/vvv-file. Dla zabawy, sprawdziłem zestaw danych, gdzie on sam umieszczone zainfekowany plik - i naprawdę działa. Nie jestem pewien, że będzie to również być skuteczne wobec innych kryptologów, ale warto spróbować, ponieważ działają na tej samej zasadzie. Cóż, bardziej wszechstronny niż kopii zapasowych skończone sredstava