[Powered by Google Translate] [Séminaire: Surviving the Internet]
[Esmond Université Kane-Harvard]
[C'est CS50.-CS50.TV]
Bonjour, et bienvenue à "Surviving the Internet".
Il est l'un des séminaires qui constituent le cadre de ce programme CS50.
Mon nom est Esmond Kane. Mon nom et l'adresse figurent sur cette série de diapositives en face de vous.
Il est esmond_kane@harvard.edu.
Dans mon travail quotidien, je suis l'un des administrateurs de la sécurité informatique pour HUIT,
mais je dois reconnaître que je suis aujourd'hui en mission loin
C'est pourquoi je porte une chemise rouge.
Cela ne va pas à comprendre tout ce qui est attribuable
directement à mon travail de jour, donc ce n'est pas à propos de la sécurité informatique à l'Université Harvard.
C'est juste plus d'informations personnelles, c'est ainsi que lorsque Tu es -
ce sont le genre de compétences que vous allez acquérir pour essayer de vous aider
durcir vos postes de travail et à votre environnement tout au long de votre carrière.
Mais rien de ce que je parle aujourd'hui devrait être appliqué à l'un de vos
matière universitaire, vos serveurs ou les postes de travail
sans contact avec votre section locale de support informatique.
Et en effet, si je mentionne toutes les applications ou les incidents dans le cadre de cette
conversation ou discussion, il ne fournit aucune donnée tout ce que je suis privilégié à signaler.
Il est généralement publique
Et ni d'ailleurs aucune mention devrait de toute application n'implique aucun
approbation par Harvard, voire aucune condamnation.
>> Donc, aujourd'hui, pourquoi nous sommes ici - maintenant que nous avons fini avec le déni de responsabilité -
Nous sommes ici aujourd'hui pour parler de survivre à l'Internet.
Et pourquoi est-il un sujet aussi important en ce moment?
Donc, pour paraphraser Perry Hewitt qui travaille dans le Harvard Presse et Communication -
Je m'excuse pour la lecture de ce moment - elle a déclaré: «Nous vivons dans un
atmosphère de risque croissant, mais aussi l'une des innovations sans précédent.
L'augmentation rapide de l'Internet, le Cloud et les technologies sociales
a donné lieu à beaucoup plus de personnes ayant des profils publics en ligne
avec effet accéder à un éventail sans cesse croissant d'informations.
Et cela signifie que tout le monde et leurs associations n'ont jamais été plus visible.
Comme l'empreinte numérique de Harvard - son réseau numérique se développe,
nous attirons un public plus large.
Nous espérons pour le mieux, mais parfois nous
attirer une certaine attention négative.
Donc, en tant que représentant de Harvard, "et cela inclut tout le monde
regarder à la maison ou encore quelqu'un ici, "nos professeurs, nos étudiants, notre personnel,
nos chercheurs, le risque de compromission de vous et en effet à
votre réseau associé n'a jamais été aussi élevé. "
>> Très souvent, dans la sécurité de l'information lorsque nous essayons d'équilibrer cette
risque, il est un métier complexe entre la sécurité et l'expérience utilisateur.
À l'ère de l'immédiateté, nous devons prendre des décisions réfléchies
sur ce qui va renforcer la sécurité sans inconvénient majeur.
On nous dit parfois une once de prévention vaut mieux que deux fois la cure,
mais au moment de choisir de mettre en œuvre des mesures de sécurité pour réduire les risques
nous devons reconnaître qu'il ne sera jamais réduire le risque à zéro.
Alors que dit - nous sommes ici aujourd'hui pour discuter de certains simple et pas si simple
précautions de sécurité que vous pouvez prendre dès maintenant.
Je dois aussi ajouter - si vous avez des questions tout au long de l'
présentation juste levez la main.
Ainsi, le premier sujet - on nous dit souvent de choisir un bon mot de passe.
Un mot de passe est votre première et meilleure défense.
Il est souvent le seul qui est disponible pour vous
lorsque vous choisissez d'utiliser une ressource en ligne.
Mais comme nous l'avons vu tout au long de l'été et même l'année précédente
nous avons vu des attaques comme LinkedIn, eHarmony.
Nous avons vu RockYou.
Nous avons eu un certain total de 70 millions de mots de passe et des comptes compromis.
Et quand ces mots de passe ont été publiés dans le domaine public
ils comprenaient également le mot de passe de hachage.
>> Donc, fondamentalement, ces jours-ci, si quelqu'un récupère un compte ruche
ils n'ont pas besoin de casser un mot de passe plus;. ils n'ont pas besoin de la force brute d'un mot de passe
parce qu'ils ont cette mine massive de l'information publiée sur ce que les gens choisissent.
Ils ont déjà des données comportementales à l'esprit ce que les gens ont tendance à utiliser.
Et ils ont rompu que vers une liste d'environ un millier de mots de passe
qui représentent près de 80 à 90% des mots de passe que nous choisissons d'usage courant.
Ainsi, un exemple rapide - Quelqu'un veut-il risquer ce que vous pensiez
Bachar al-Assad a utilisé pour son mot de passe quand il a été compromise année dernière?
C'est un monsieur qui a fait l'objet d'un examen minutieux.
Et son mot de passe est 12345.
Okay - si ce sont des leçons que nous avons apprises, nous devons aller de l'
au-delà de la pensée d'un mot de passe.
On nous dit de commencer à utiliser une phrase de passe.
Il ya un grand comique de voire une bande dessinée web à partir de Randy Monroe
qui va dans le choix d'un mot de passe, il utilise - je veux dire -
batterie, agrafe, limite ou quelque chose comme ça - vous le savez - tout -
ou bien il ya la blague que quelqu'un qui a choisi Goofy, Nemo,
Pluton -, tous ces différents personnages et Londres parce qu'il a dit
pour prendre 8 caractères et un capital.
Mais - et nous apprenons donc que nous devons aller au-delà de penser juste un mot de passe.
>> Il ya effectivement un Ezine à Boston appelé Ars Technica.
Il ya un monsieur du nom de Dan Goodin qui fait une série sur
ce champ en mutation - soit à partir de l'espace de l'attaquant, où nous avons
cette mine massif disponible pour nous
à l'esprit, soit nous n'avons plus besoin de générer des choses à travers tables arc;
nous avons 70 millions de mots de passe.
Mais aussi nous avons eu - vous le savez - une évolution dans le paysage
réelle fissuration espace parce que les cartes GPU ont fait de cette
pratiquement en temps quasi-réel.
Et il ya un monsieur dans Def Con en Août qui a mis ensemble
12 de ces cartes dans un PC de marchandises.
Il l'a fait pour environ 2000 $ ou 3000 $, et il a réussi à se fissurer
le trésor LinkedIn dans - vous le savez - en temps quasi réel.
C'était assez effrayant.
L'article de Dan Goodin - je le recommande vivement si vous voulez aller le lire.
Un monsieur du nom de Sean Gallagher - ce matin - a également publié un
Mise à jour rapide sur elle, une grande partie de leur travail est construit sur -
à partir de matériaux disponibles à partir de Bruce Schneier, mais aussi de
Cormac Herely de Microsoft Research.
Ils genre de déclaré il ya environ 5-6 ans que nous devons commencer à penser au-delà des mots de passe.
Les suggestions à l'époque étaient des choses comme phrases de passe,
interfaces gestuelles - ce genre de choses.
Vous savez - si quelque chose vous savez ne suffit plus à ce stade;
c'est l'une des choses que je veux communiquer aujourd'hui.
Si vous ne devez utiliser un mot de passe, ne soyons pas peur de dire ce que vous devriez toujours
choisir un bon, il devrait être espère quelque chose au-delà de 10 caractères.
Il devrait varier entre majuscules et minuscules.
>> Je voudrais vous encourager fortement à ne pas réutiliser les mots de passe.
Je peux vous parler de plusieurs cas où nous avons vu arriver un compte
compromise et que quelqu'un a sauté et a sauté - l'effet domino.
Ils extraient chaque compte à chaque étape du processus pour cette
données, puis ils procèdent à utiliser que les données qu'ils exploités dans chaque cas
contre une autre source d'informations d'identification.
Donc - encore une fois - choisir un bon mot de passe.
Rendre unique. Vous voudrez peut-être penser à utiliser un service de gestionnaire de mot de passe.
Il y en a là-bas à partir de - ils sont tous dans les app stores.
Il ya un OnePass appelé, KeePass, LastPass -
c'est un bon moyen pour elle de vous aider à créer des informations d'identification uniques, des titres forts,
mais aussi de faciliter l'archivage et le maintien de l'enregistrement.
L'inconvénient c'est que vous devez apporter que dans un magasin de mot de passe;
vous devez vous assurer que ce gestionnaire de mot de passe qui vous faites confiance
est digne de votre confiance aussi.
>> Donc, assurez-vous que ces gars utilisent également certains mécanismes de mot de passe valide.
En particulier celle que je vais vous citer tout de suite
est l'authentification multi-facteur.
Alors authentification multi-facteur - et il ya plusieurs exemples que je vais passer en revue brièvement -
C'est le simple expédient de prendre quelque chose que vous savez que votre
nom d'utilisateur et votre mot de passe et en ajoutant à cela - vous ajoutez un autre facteur.
Ainsi, le premier facteur qui nous citerons aujourd'hui sont celles-ci sur les planches.
C'est quelque chose que vous avez dans vos biens, de sorte que est soit une application
qui s'exécute sur votre smartphone ou bien sur votre téléphone lui-même.
Et vous pourriez être en mesure de recevoir un SMS.
Attention si vous voyagez à l'étranger qui ne va pas nécessairement de vous suivre.
Une application peut travailler plus dans ce cas.
Ou bien l'autre facteur que vous voudrez peut-être penser à quelque chose que vous êtes.
>> Maintenant, c'est encore un peu très beaucoup skunkworks.
Nous ne voyons pas trop adoption de celui-ci.
C'est - vous le savez - le style Mission Impossible - vous le savez - une veine impression,
votre empreinte digitale, la rétine impression.
Ceux qui sont un peu plus loin, ils ne sont pas vraiment des facteurs d'authentification très valables.
Nous voyons - quand je parle à mes collègues de sécurité - plus de pression que
vous mettez sur un clavier, votre profil de typage particulier, est probablement
directement sur l'horizon - beaucoup plus que ces autres identifiants biométriques.
Mais ceux sont aujourd'hui des applications ou des SMS texte ou même juste un
email de réponse de défi que vous allez obtenir
pour valider que vous n'avez en fait choisir de se connecter à ce point dans le temps.
Donc, il ya un lien là, je l'ai envoyé par la poste des diapositives ce matin.
Il sera sur le Wiki.
>> Tant Gmail et Google font cela, Yahoo va le faire.
PayPal a elle, Paypal a aussi une clé matérielle réelle peu qui fait un certain nombre de rotation.
Mais vous pouvez également choisir d'utiliser un numéro de téléphone.
Facebook fait également un journal en signe d'approbation, si vous choisissez de
l'approuver, ils travaillent également à une plus grande sécurité de force dure valide.
Dropbox a vérification en 2 étapes, ainsi, vous pouvez aussi
acheter une clé matérielle pour eux.
Nous voyons aussi dans le Gmail de Google l'un ou l'une, beaucoup de gens sont
effectivement la cooptation de authentificateur de Google, donc - par exemple -
J'utilise LastPass - il n'implique aucune approbation - mais ils peuvent réutiliser
Vérification en 2 étapes de Google si cela signifie que je n'ai pas besoin d'
se promener avec 2 applications sur mon téléphone.
Mais aussi l'informatique de recherche au sein Harvard ou en utilisant une analogie
à l'authentification en 2 étapes de Google parce que le one-time password
algorithme a été ouvert il provient ya environ 10 ans.
Des questions? Bon.
>> Donc, une autre considération de facteurs au-delà des mots de passe, c'est quand vous êtes
l'utilisation de ces ressources se rendre compte de quelles données vous vous engagez à eux.
Tout ce que vous comptez mettre réellement là-haut.
Donc, nous sommes conscients que ces personnes qui fournissent un service pour nous sur Internet -
ces fournisseurs de Cloud - ils ont un intérêt direct à vous
ne pas être aussi sûr que vous pouvez potentiellement.
Ils ont tendance à mettre à disposition un ensemble strict minimum de sécurité,
et puis il ya un tas d'autres ceux qui sont facultatifs que vous devez choisir d'opter pour.
Le genre de tirer de cette conférence est la sécurité est une responsabilité partagée.
C'est entre vous et les partenaires que vous faites - les alliances que vous formez.
Vous avez besoin de prendre un rôle actif. Choisissez d'opter pour cela.
Vous savez - prendre le temps maintenant, le rendre plus sûr.
L'alternative, c'est qu'il ya déjà des gens validation et le test
ces facteurs de sécurité contre vous, plus vous pouvez choisir d'opter
au mieux vous êtes préparé pour le compromis final.
Et c'est éventuelle.
>> Mais l'autre facteur à penser, c'est comme je le mentionnais
ces partis Internet que vous faites confiance à vos identifiants - avec votre identité.
Je vais vous donner 2 analogies; Larry Ellison et Mark Zuckerberg - ils sont à la fois
déclaré publiquement vie privée est en grande partie une illusion.
Et que l'âge de la vie privée est terminée.
C'est une sorte de triste acte d'accusation que nous avons vraiment besoin d'attendre
pour le gouvernement d'intervenir pour forcer ces parties à être plus sûr,
d'introduire une législation plus parce que quand nous essayons de travailler avec
ces fournisseurs Par exemple, certains d'entre eux comme Dropbox parties,
ils sont dans l'entreprise de fournir des services au consommateur.
Ils ne sont pas directement intéressés à ce que les contrôles de sécurité de classe entreprise.
Les consommateurs ont voté avec leur portefeuille,
et ils ont déjà accepté une note minimale.
Il est temps de changer cette façon de penser.
Ainsi, lorsque nous fournissons nos données à ces parties, nous avons besoin de coopter notre
mécanismes d'affectation spéciale existants, de sorte que nous sommes des êtres sociaux par défaut.
>> Alors, pourquoi tout d'un coup, lorsque nous commençons à mettre les données en ligne
avons-nous maintenant accès aux mêmes protections que nous faisons personnellement?
Alors, quand je peux lire votre langage corporel, quand je peux choisir d'
réseau avec un cercle social et même à ce cercle divulguer
seulement les informations que je veux.
Donc, nous avons accès à ce langage du corps, d'expression, de vocaliser,
nous avons accès à ces protections de proximité d'identité
dans un lieu physique, ils sont encore en développement en ligne.
Nous n'avons pas accès à eux, mais nous commençons à les voir.
Donc, nous avons facettes dans Facebook - par exemple - comme des groupes.
Nous avons accès à des choses comme les cercles de Google+.
Absolument utiliser.
Ainsi, la dernière chose que vous voulez voir dans cet espace en particulier
quand vous allez à obtenir un emploi est que vous avez maintenant fait beaucoup de votre
publique de la personnalité.
Et quand quelqu'un veut - s'ils le souhaitent - il pourrait faire partie
de la politique de l'entreprise ou non - ce n'est certainement pas une partie de Harvard's -
mais ils peuvent choisir de faire une recherche Google.
Et quand ils le font - si vous avez fourni - disons quelques informations
que vous auriez du mal debout derrière -
vous avez fait vous-même un mauvais service.
Et en effet, comme je l'ai dit - ces entreprises sociales qu'ils ont un intérêt direct
en rendant publique - vous le savez - ils ont besoin pour exploiter vos données.
Ils vendent votre démographie et votre matériel de marketing pour quelqu'un.
Le genre d'analogie dans cet espace est - si vous ne payez pas pour un produit
êtes-vous le produit?
Donc, créer des cercles pour vos amis, soyez prudents, faire preuve de diligence,
essayez de ne pas faire tout public.
>> Une autre analogie que je vais faire, c'est les accords de licence d'utilisateur final
changent, ils vont vous dire ce qu'ils peuvent faire avec vos données,
et ils vont l'enterrer dans un 50 pages de clic.
Et ils peuvent choisir de changer cela, et ils vous envoient juste un bref courriel.
Mais vous n'êtes pas un avocat, il est très bien dans un jargon juridique.
Vous devez être prudent sur ce que vous faites.
Ils peuvent posséder vos photos, ils peuvent posséder votre propriété intellectuelle.
Vous savez - il suffit de faire preuve de diligence.
Un autre exemple de la Bibliothèque du Congrès est d'archiver chaque tweet seule connue à l'homme. Tout.
Tous les 10 ans ou moins le corps de matériau qui est généré
dans les comptes que, 10 ans ou devance largement tout ce que nous avons
créée tout au long de l'histoire humaine.
La Bibliothèque du Congrès a un intérêt direct dans la préservation de l'information
pour la postérité, pour les archivistes à venir, pour les chercheurs et les historiens futurs,
donc tout ce que vous mettez là-bas est là.
Il sera effectivement faire une immense ressource à un moment donné
une fois que les gens commencent à miner l'ingénierie sociale ou les sites de réseautage social.
Ainsi se tenir au courant des protections disponibles au sein de chaque application.
>> Il ya quelque chose que je vais parler ainsi, il ya un outil tiers
appelé Privacyfix, il peut se brancher à droite dans certains de ces
applications de réseautage social.
Et il peut vérifier pour voir où vous êtes en ce qui concerne les protections
qui sont disponibles sur leur si vous pouvez choisir de cliquet-les loin.
Il existe des outils comme le Front de libération des données de Google
où vous pouvez choisir d'exporter ou d'extraire vos données.
Il ya des choses comme le Suicide Machine d'Internet qui se connecteront
à certains de vos profils et fait supprimer tous les attributs unique
un à la fois, désélectionner tous les simples amis de l'association dans votre réseau aurait fait.
Et il poursuivra pour purger de manière itérative tout sur vous
que ce site saura.
Si je peux exercer une certaine prudence là aussi, il y avait une instance
Il ya quelques années en Allemagne où un citoyen a décidé de
exercer son droit de liberté d'information et demander Facebook à fournir
quelles sont les informations qu'ils avaient sur record pour lui, même après avoir supprimé son compte.
Ils lui ont donné un CD avec 1250 pages d'informations
même si son compte théoriquement n'existait plus.
Il est le concept dans cet espace beaucoup que certains de ces
entités conservent des données vous concernant à faire avec vos associations et vos réseaux.
Ils disent qu'ils ne peuvent pas avoir le contrôle sur elle, c'est un peu exagéré à mon avis.
Ils créent ces comptes fantômes - les personas de l'ombre.
Juste être prudent.
Limiter ce que vous pouvez.
Au niveau de l'appareil réel lorsque vous venez de parler -
vous savez - matériel - votre smartphone, vos comprimés,
votre poste de travail, ordinateur portable, peut-être un serveur que vous êtes responsable.
>> Vous avez probablement entendu parler des concepts tels que l'exploitation, mises à jour du système,
mises à jour d'applications, antivirus, vous avez entendu parler de choses comme pare-feu,
chiffrement de disque, et remonter.
La seule chose que vous devriez être au courant, c'est que vous n'avez pas entendu parler
ce genre de protections dans l'espace de la téléphonie mobile.
Ils sont tout aussi sensibles aux mêmes menaces.
Nous avons eu - je veux dire - un million de smartphones allons être
activé par la fin du mois.
Cela a largement dépassé le - dans le court laps de temps que
ils ont été disponibles, qui a largement dépassé la croissance de
le PC, l'ordinateur portable, le marché du poste de travail.
Mais nous n'avons pas accès aux mêmes contrôles, et je
parlera que peu de temps.
Donc, avant d'arriver à l'espace de la téléphonie mobile parlons-
ce qui est disponible là-bas que je viens brièvement allé.
Alors logiciel antivirus - voici quelques choix libres.
Microsoft trahit leur - vous le savez - Sophos trahit leur pour OSX ainsi
Patcher votre ordinateur - juste être conscient de ce que votre fournisseur de
niveau de patch actuel est, et vous ne devriez pas être un delta important de cela.
Il ya un bel outil d'une compagnie appelée Secunia.
Et Secunia se déroulera dans le fond, et il vous dira s'il ya un
mise à jour disponible et si vous avez besoin de l'appliquer.
>> Activer les mises à jour automatiques - Apple et Microsoft auront un aspect de cette.
Ils vous avertissent qu'il ya une mise à jour disponible.
Et Secunia - vous le savez - est une sorte de beau filet de sécurité pour avoir ainsi - tomber mécanisme de retour.
Lors de la couche hôte - ne pas avoir de smartphones encore.
Activer le pare-feu natif pour le système d'exploitation.
Il ya quelques informations sur les fenêtres de la OSX un.
Testez votre pare-feu, ne pas le laisser là et je pense que c'est un mécanisme sécurisé.
Jouer un rôle actif, il ya une demande il ya de GRC - Steve Gibson.
Sécurité Wi-Fi dans cet espace - ce qui peut également s'appliquer sur le smartphone et la tablette -
lorsque vous choisissez d'aller sur la route, vous devez être au courant
qu'il existe différentes classes de réseau sans fil.
Et en particulier ne pas choisir le plus couramment disponibles un.
Il pourrait être à faible coût, mais il pourrait y avoir une raison à cela.
Peut-être qu'ils extraient vos données.
Nous voyons cela plus lorsque vous voyagez à l'étranger.
Il ya des groupes criminels cybernétiques vraiment très efficaces
qui sont en mesure de tirer parti de ce que nous voyons habituellement dans l'espionnage des Etats-nations.
Un facteur où ils sont carrément s'injecter dans un flux réseau.
Ils tirent des choses sortir de là, et ils injectent
applications sur votre poste de travail.
>> Il s'agit - l'autre aspect que je connais a été mentionné dans certains de ces
des séminaires de sécurité - ou non séminaires CS50 séminaires - est un outil appelé Firesheep.
Et Firesheep est une attaque particulière dans l'espace de téléphone mobile
où certaines de ces applications de réseautage social envoyaient des informations d'identification en texte clair.
Et cela a été assez communément acceptée, car tout le monde à cette époque
pensait qu'il n'y avait pas d'appétit dans l'espace des consommateurs pour elle,
que d'utiliser un cryptage plus élevé implique un fardeau de la performance
sur le serveur, si elles n'ont pas eu à le faire - ils ne veulent pas.
Et puis tout d'un coup lorsque ce chercheur en sécurité a fait
l'attaque trivial très rapidement - vous le savez - nous avons commencé à voir ce genre de
amélioration que tout le monde en l'espace de sécurité avait
été se plaindre pour une période de temps significative.
Ainsi - en particulier - Firesheep a pu récupérer Facebook, Twitter
identification du flux Wi-Fi gratuite.
Et parce qu'il était en texte brut, et ils ont réussi à injecter.
>> Encore une fois, si vous allez utiliser une connexion Wi-Fi choisir d'utiliser celui qui
est suffisamment protégé - WPA2 si vous le pouvez.
Si vous devez utiliser une connexion Wi-Fi non chiffré - et en particulier je parle
à toute personne qui utilise l'Université de Harvard sans fil -
vous voudrez peut-être penser à utiliser VPN. Je l'encourage fortement.
D'autres facteurs que vous voudrez peut-être penser sont, si vous n'avez pas confiance dans le Wi-Fi
que vous êtes sur que vous voudrez peut-être limiter l'utilisation.
Ne pas faire de l'e-commerce, ne pas faire de la banque.
Ne pas accéder à vos informations d'identification de l'université.
Il s'agit d'une victoire majeure dans cet espace si quelqu'un
ne voler vos identifiants - vous le savez - ont-ils votre téléphone mobile?
Alors - vous le savez - qui est un autre facteur qu'ils ne peuvent pas détourner nécessairement
ou fait simplement leur attaque plus compliqué.
Chiffrer votre disque dur.
Nous sommes à une époque en ce moment - le chiffrement utilisé pour être un gros problème il ya 10 ans.
C'était un impact important sur les performances.
Il n'est plus - en fait - la plupart des téléphones mobiles et ce genre de trucs
ils le font dans le matériel, et vous ne remarquent même pas -
le rendement est donc négligeable.
>> Si vous parlez d'un poste de travail, nous parlons de BitLocker.
Nous parlons de File Vault; lui permettre - prendre le temps maintenant.
En l'espace Linux évidemment vrai cryptes peuvent travailler ensemble à la fois de ceux-ci.
Vous voudrez peut-être penser - dans l'espace Linux - il est dm-crypt,
il ya Luxcrypt - il ya un tas d'autres options - aussi vrai crypte.
Autre moyen rapide pour vous protéger au niveau du poste de travail
sauvegarder votre disque dur.
Et une légère ride ici - il ne suffit pas d'utiliser l'un des
ces fournisseurs de synchronisation Cloud, de sorte Dropbox ou G-Drive ou autre chose
Ce n'est pas une solution haut du dos.
Si quelqu'un supprime quelque chose sur un de ces appareils
parce qu'ils se sont insérés en quelque sorte il va -
que la suppression obtient répliquée sur l'ensemble de votre personnage.
Ce n'est pas un back up, c'est juste un mécanisme de propagation.
Donc, il est bon d'avoir une solution en place du dos.
Il ya quelques suggestions ici pour certaines personnes, certains d'entre eux sont gratuits -
Capacité basée - 2 Go de sauvegarde - vous pouvez le faire.
Si vous utilisez l'université G-mail - Google université à l'université et co, G-Drive
si ce n'est pas déjà - il sera bientôt disponible.
C'est un bon remplacement.
Nous allons aussi regarder ces choses comme Mozy Home.
Il est bon d'avoir 2 solutions.
Vous n'avez pas tous vos oeufs dans le même panier.
Si vous souhaitez vous débarrasser de quelque chose ou bien si vous êtes dans le processus
d'envoyer quelque chose de confidentiel - quelques suggestions ici à
effacer en toute sécurité un périphérique.
Boot et Nuke Darik - qui est une sorte de plus pour l'IT savvy.
Vous voudrez peut-être penser à tout donner à certains d'entre eux
fournisseurs commerciaux si vous le pouvez.
>> Chiffrement email - si vous devez - il ya certains services sur le campus
appelé Accellion, vous êtes hors campus ou pour une utilisation personnelle, je vous recommande Hushmail.
Nous voyons beaucoup utilisé dans dénonciateur, il est l'un des principaux
mécanismes de WikiLeaks
ainsi que Tor et d'autres équivalents.
Et - maintenant parler du niveau de téléphone - si le problème est ici
il n'y a pas beaucoup d'appétit pour le moment.
Malheureusement, la plupart des smartphones et la tablette des OS
ils sont encore basés sur certains des principes que nous avons vu dans les années 1990.
Ils n'ont pas vraiment intégré certaines des améliorations
que nous voyons au niveau du poste de travail. Ils ne font pas de protection thermique.
Ils ne font pas - vous le savez - randomisation de couche.
Ils ne font pas la protection d'adresse.
Ils ne font pas la protection d'exécution - ce genre de choses.
Mais aussi l'appareil lui-même par de facto ne va pas avoir d'
terminer la sécurité des points intégrée.
Donc, nous commençons à voir ce changement - encore une fois - la plupart des smartphones
- fabricants Android, Apple et Windows - l'appétit seulement
n'était pas là, le benchmark était Blackberry.
Mais Blackberry a un peu perdu de son attrait sur le marché à ce stade.
Et Apple a vraiment intensifié po
Il ya environ 2 ans il y avait un moment décisif où ils
commencé à construire dans un grand nombre de commandes de type plus l'entreprise.
Et - en effet - en Août ils ont fait une présentation à Def Con qui était du jamais vu.
>> Ils vont donc faire les contrôles minimaux que j'ai décrits.
Ils feront mot de passe fort, ils vont faire une invite pour que le mot de passe au ralenti -
l'appareil - vous oublier et après 15 minutes, il active.
Ils feront le cryptage, et ils seront également faire ce qu'on appelle un essuyage à distance.
Au Android et l'espace de Windows ce sont encore à déterminer - à déterminer.
Android a accès à certaines applications appelées Prey et Lookout.
Et en effet, quelques-uns des outils de sécurité des points finaux tels que Kaspersky je connais le fait.
Je sais ESET t-il ainsi
Ils vous permettront de vous envoyez un SMS et purger l'appareil.
Windows phone à ce stade, il est surtout orientée vers l'
style de l'entreprise - ce qui est appelé échange.
Exchange est une infrastructure de messagerie robuste, et il peut imposer certaines de ces contrôles.
Windows 8 seulement livré la semaine dernière, donc je ne peux pas répondre à cette question de manière définitive.
Windows 6.5 a été le grand dispositif de sécurité.
Windows 7 mobile a été un désastre, ils n'ont pas fait tous ces contrôles natifs
obligatoire entre les différents fournisseurs.
Donc, vous avez eu à ratifier chaque mobile Windows Phone 7 un à la fois.
>> Android - depuis l'espace 3.0 a eu une amélioration majeure.
Honeycomb, Ice Cream Sandwich, Jellybean - ils soutenir ces contrôles minimaux,
et en effet ils soutiendront une partie du contrôle de l'entreprise que vous pouvez faire aussi bien.
Dans votre espace compte personnel il ya une synchronisation personnelle que Google
vous pouvez activer si vous avez votre propre espace Google ainsi.
Alors, que faites-vous quand tout va mal tourné?
Et si je peux - un autre plat à emporter à partir de ce moment est vraiment - ce n'est pas le cas.
Ce qui va se passer pour nous tous à un moment donné. Que pouvez-vous faire?
Donc ce que vous pouvez faire - et il ya un toboggan - la diapositive suivante
vous montrer certaines des ressources du FTC pour elle,
mais un lieu de minimum une alerte de fraude sur vos cartes de crédit.
Si je peux vous encourager à penser lorsque vous utilisez une carte de crédit
dans une capacité en ligne - en fonction de l'opération que vous faites
cartes de débit - la capacité de réclamer ou de la capacité de se rétracter une frauduleux
réclamation sur une carte de débit est en réalité une fenêtre plus petite que ce soit sur une carte de crédit.
Donc, une fois que vous obtenez votre rapport sur une carte de débit vous avez seulement un certain
laps de temps - et il est très faible - de notifier à la banque d'une transaction frauduleuse.
cartes de crédit, il est beaucoup plus grande, il tend à y avoir une limite à environ 50,000 $
avant ils vont vraiment être en mesure de vous rembourser.
Donc, c'est beaucoup d'argent, ils heurté le haut d'environ 13.000 $ ou 18.000 $ il ya peu.
Alors - vous le savez - quand vous pensez à utiliser une carte en ligne de crédit,
pouvez-vous penser à utiliser une carte de recharge ou d'une carte de crédit jetable, une carte de brûleur?
>> Si vous voyez quelque chose - et je vais vous montrer comment vous pouvez obtenir l'accès sous peu -
tous les comptes frauduleux si vous êtes mis au courant de cela.
Déposer un rapport de police si vous êtes sur le campus.
Tendez la main à HUPD - faites-leur savoir.
Pensez à un service de surveillance d'identité.
si dans le cadre de - Si vous n'obtenez compromise - vous pourriez avoir à -
ils peuvent financer des services de protection de l'identité.
S'ils ne le font pas peut-être vous devriez le faire.
Recueillir et conserver toutes les preuves - en particulier les discussions que vous avez eues
avec les autorités pénales
notamment à des fins d'assurance.
Changez tous vos mots de passe.
Changez les réponses à toutes les questions de sécurité qui peuvent être utilisés pour réinitialiser votre mot de passe.
Désactivez tous les services d'identité passées.
Donc, si vous réutilisez votre compte Facebook pour vous connecter à Twitter, ou vice versa,
briser ce, si le compromis impliqué votre compte de messagerie
vérifier pour voir si quelque chose est transmis.
Parce que sinon, ils n'ont toujours pas accès à vos données.
Et si le vol comprend votre compte Harvard veuillez en informer IThelp@harvard.edu.
Je ne peux pas affirmer que suffisant, mais aussi en particulier si l'appareil est perdu ou
volé et il a eu accès à vos données universitaires et peut-être vous
ne pas avoir certains de ces protections être respective, s'il vous plaît laissez-nous savoir -
HUPD et IT Aide à Harvard.
>> Donc, le lien que je viens de mentionner qui va dans ce avec plus de détails
FTC.gov / UsurpationIdentité.
Le service postal a aussi une certaine fraude ou de services de protection de l'identité -
vous venez de mettre une cale ou un arrêt sur cartes de crédit en passant par ou des trucs comme ça.
Le FBI a un lien aussi bien, c'est dans les notes des diapositives que j'ai envoyé.
Et en effet, Massachusetts Better Business Bureau et
Bureau de la protection des consommateurs a quelques conseils ainsi, c'est dans les notes.
Prenez le temps maintenant, prendre connaissance de ce que vous pouvez faire, et prendre les mesures.
Le principe - comme je l'ai mentionné plus tôt -, c'est que si vous n'avez pas un plan
pour que votre identité soit volée, vous êtes immédiatement allez être
soumis à beaucoup de travail quand cela arrive, et c'est quand.
Mais même lorsque vous prenez ces précautions - laissez-moi d'ajouter un
légère mot d'avertissement - aucun plan ne survit au premier contact avec l'ennemi.
Ainsi, même à ce que nous pensons toujours qu'il peut y avoir une certaine subversion - vous le savez -
votre banque par exemple qui vous avez construit toutes ces protections autour
ils peuvent être compromis; ces parties de confiance que vous avez donné vos données.
Donc, vous êtes votre propre meilleure défense.
Vous savez - rester vigilant - rester vigilant.
Prenez le temps de choisir d'opter pour ces; socialiser espérons
cela, parler avec tes amis.
Choisissez des mots de passe, utiliser des mots de passe uniques pour vos comptes.
Et ne pas réutiliser les mots de passe - en particulier - autour de certains des
vos biens les plus sensibles, ne pas utiliser votre compte universitaire ailleurs.
Ne pas utiliser votre compte de carte de crédit ailleurs.
Mot de passe protéger votre appareil mobile en ce moment.
Et par appareil mobile, je veux dire smartphone, je veux dire votre tablette.
>> Pensez à utiliser les bonnes questions de réinitialisation de sécurité, et je vais parler
ce peu pourquoi; vérifier votre rapport de crédit.
Une autre façon que vous pouvez être un bon citoyen dans cet espace
le gouvernement a forcé les 3 agences Experian, TransUnion et Equifax
à publier des rapports de crédit.
Pour une partie de la communauté Harvard, en particulier dans l'espace étudiant,
c'est peut-être nouveau pour eux, mais vous êtes autorisé à tirer les
agences au moins une fois par an.
Bonne prudence - aller à ce site, il est disponible sur le FTC-ci.
Et le faire tous les 4 mois à la place, et vous êtes capable de garder
languettes qui sollicite des demandes de renseignements de votre carte de crédit,
ou si effectivement si quelqu'un ouvre tous les comptes frauduleux.
Et - en général - la direction est d'être conscient.
Et je vais vous donner un exemple précis prochainement,
mais c'est essentiellement la viande et les pommes de terre de la discussion.
>> Alors, pourquoi ce qui est important maintenant, c'est pendant l'été il y avait un
monsieur s'appelle Matt Honan - si vous êtes là merci beaucoup
pour être si à venir avec votre information.
Mais ce qui s'est passé avec Matt, il a travaillé pour le magazine Wired,
et certains sont allés cyperhacktivists après son compte Twitter.
Et ils ont utilisé une partie de ces ressources - une partie de ce personnage public
qu'il a fait disponible.
Et ils ont construit une carte, ils savaient où et quand attaquer.
Donc, de ce qu'ils ont commencé de découper l'information dont il a fait
disponibles, et ils ont trouvé qu'il avait un compte Gmail.
Alors qu'il utilisait un mot de passe de moins de sage pour son Gmail,
et il n'a pas eu d'authentification multi-facteurs sur elle.
Donc, ils compromis son Gmail, une fois qu'ils ont eu accès à son Gmail
ils ont vu toutes ces autres comptes qu'il avait branché sur son compte Gmail.
En effet, ils ont eu accès à l'ensemble de la totalité de son compte Gmail ou Google persona.
Et - en particulier - ils ont commencé à remarquer qu'il avait un compte Amazon
parce qu'il y avait quelques e-mails signalés à lui.
Alors ils ont eu à sa Amazon, et ils sont arrivés à son Amazon
simplement en réinitialisant son mot de passe, car il est allé à son Gmail.
Il n'avait pas - il genre de a eu un effet domino ou le chaînage des titres de compétences qui se passe ici
où une fois qu'ils ont obtenu sa Gmail qu'ils avaient les clés du royaume.
Donc, une fois qu'ils ont obtenu sur son Amazon - et ce fut sans faute
à ces autres gars - c'était - vous le savez - Matt n'avait pas choisi de
optent pour ces mécanismes plus sûrs que seules ces personnes avaient mis à la disposition
et l'ensemble de ces sources Internet.
>> Donc, une fois qu'ils ont obtenu sur son Amazon elles avaient accès - il n'a pas montré les
sa carte de crédit, mais il leur a montré les 4 derniers chiffres
tellement il savait ce que c'était, il leur montra ses adresse de livraison.
Il leur a montré une autre information qu'il fait sur certaines commandes.
Et puis, à partir de ce qu'ils ont décidé d'attaquer son compte Apple.
Et ils sociale ingénierie au service d'assistance d'Apple.
Apple devrait pas pu le faire, mais sur la base de ces informations que
ils ont été en mesure d'extraire des 2 autres comptes.
Vous savez - le gars au bureau d'aide a probablement pensé qu'il était
un bon citoyen - vous le savez - je suis étant utile, il est un client d'Apple
à qui il est échoué là-bas sur le sien, et je dois l'aider.
Mais ce n'était pas le vrai client de Apple.
Donc, ils réinitialisent son compte Apple, et ils ont envoyé l'information à la Gmail.
Une fois que les attaquants ont eu accès à son compte d'Apple
Matt avait tous ses appareils attaché dans son iCloud,
et ils ont commencé à émettre des ensembles de parjure et de tout effacer.
Encore une fois, il venait de ses données propagées; qu'il utilisait iCloud comme le mécanisme de synchronisation.
Alors, quand ils supprimé tout s'est bang.
Ils n'avaient toujours pas accès à ce point de son compte Twitter qui est ce
ils avaient tenté d'attaquer.
Je ne sais pas si ils ont utilisé Maltego ou partie de ces autres mécanismes
de construire sur son personnage Internet, mais - vous savez - dans une affaire de
Bien sûr, ils ont eu accès à 4 services différents d'identité avant
ils sont arrivés à son Twitter, et ça nous a coûté Matt -
Matt était assez chanceux, il a vu se produire parce que ses enfants sont venus lui
lorsque l'iPad lui-même verrouillé off.
Et ils ont dit - vous savez, "Papa, il ya quelque chose à faire avec l'iPad."
Et il tout arrêter parce qu'il avait remarqué qu'il se passait partout.
Et il a commencé à appeler Apple pour voir qu'est-ce qui venait de se passer.
Et Apple véritablement pensé qu'il y avait quelque chose
iCloud qui était allé voyous jusqu'à ce qu'ils ont compris -
il a effectivement compris qu'ils envoyaient des informations, et
ils ont commencé à l'appeler le mauvais nom.
Parce que Apple a eu sur les informations de fichier que l'attaquant avait renversé.
>> Okay - de sorte que c'est le genre d'information que nous utilisons pour construire cette
genre de meilleures pratiques, nous utilisons cela comme faisant partie de toute une série de
séminaires à Octobre - Mois national de sensibilisation à la cybersécurité.
Il a été mis à disposition à vous les gars.
Je vais m'assurer que je l'ai envoyé dans le Wiki lorsque David rend disponible pour moi aussi.
Mais il ya des conseils et des orientations en at-il beaucoup plus granulaire que
Je suis capable de résumer dans ce court laps de temps dont je dispose.
autour de ce qu'on appelle, nuageux avec un risque de vol d'identité:
Cueillette de bonnes noms d'utilisateur et mots de passe.
Est-il toujours pas social? Et la réponse est non, il est toujours social,
mais vous devez être conscient de ce que cela signifie.
Et il apprivoise Lions, tigres, et Windows qui est autour de
systèmes d'exploitation durcissement avec certaines des informations, nous sommes allés à aujourd'hui.
Et le dernier était sur le point, avoir un dispositif, Will Voyage
pour parler de Going Mobile avec ce genre de sources de données.
Donc, sauf si vous avez des questions mon adresse e-mail est
là-bas, et si quelqu'un dans la salle a des questions s'il vous plaît, levez la main.
En dehors de cela, je vais arrêter l'enregistrement.
Très bien. Terminé.
[CS50.TV]