[Powered by Google Translate] [Seminar: Surviving the Internet]
[Esmond Kane-Harvard University]
[Dies ist CS50.-CS50.TV]
Hallo, und herzlich willkommen zum "Surviving the Internet."
Es ist eines der Seminare, die Teil dieses CS50 Lehrplan enthalten.
Mein Name ist Esmond Kane. Mein Name und Adresse sind auf der Folie Deck vor Ihnen.
Es ist esmond_kane@harvard.edu.
In meinem Job bin ich einer der Direktoren für IT-Sicherheit HUIT,
aber ich muss zugeben, dass ich heute auf einer Mission entfernt
weshalb ich ein rotes Hemd trägt mich.
Das wird nicht alles, was zurückzuführen ist enthalten
direkt an meinem Job, so ist dies nicht über IT-Sicherheit nach Harvard.
Das ist mehr nur persönliche Informationen, das ist wie wenn du bist -
Dies sind die Art von Fähigkeiten, die Sie erwerben, um zu versuchen und helfen Sie
verhärtet eure Arbeitsplätze und Ihre Umgebung in Ihrer Karriere.
Aber nichts, was ich erwähnen sollte heute zu einem Ihrer angewendet werden
Universität Material, Ihren Servern, Workstations oder Ihre
ohne sich mit Ihrem lokalen IT-Support.
Und in der Tat, wenn ich erwähne alle Anwendungen oder alle Vorfälle als Teil dieses
Diskussion oder Gespräch er meldet alles, was ich zu berichten, bin privilegiert.
Es ist in der Regel öffentlich
Und in der Tat noch sollte jeder beliebigen Anwendung erwähnen implizieren eine
Billigung durch Harvard oder auch jede Verurteilung.
>> Also heute, warum wir hier sind - jetzt, da wir mit dem Haftungsausschluss fertig sind -
wir sind heute hier, um zu überleben das Internet sprechen.
Und warum ist es so ein wichtiges Thema gerade jetzt?
So zu paraphrasieren Perry Hewitt, die in der Harvard Presse und Kommunikation Büro arbeitet -
Ich zum Lesen dieses Recht jetzt entschuldigen - sie hat gesagt: "Wir leben in einem
Atmosphäre der eskalierenden Risiko, sondern auch eine beispiellose Innovation.
Der schnelle Aufstieg des Internet, die Cloud und soziale Technologien
hat in viel mehr Menschen mit öffentlichen Profile online geführt
mit der Tat zu einer ständig wachsenden Palette von Informationen zuzugreifen.
Und das bedeutet, dass jeder und ihre Verbände haben noch nie so sichtbar.
Als digitalen Fußabdruck Harvard - seinem digitalen Netz erweitert,
ziehen wir ein breiteres Publikum.
Wir hoffen, dass für die Verbesserung, aber manchmal werden wir
Besucher einige negative Aufmerksamkeit.
So wie ein Vertreter der Harvard, "und dazu gehört auch jeder
gerade zu Hause oder in der Tat jemand hier, "unserer Fakultät, unseren Studierenden, Mitarbeitern,
unsere Forscher, die das Risiko einer Verletzung zu Ihnen und in der Tat um
Ihr Netzwerk verbunden war noch nie höher. "
>> So oft in der Informationssicherheit, wenn wir versuchen, dieses Gleichgewicht
riskieren es ist eine komplizierte Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit.
In der Ära der Unmittelbarkeit müssen wir nachdenklich Entscheidungen zu treffen
darüber, was Sicherheit ohne größere Unannehmlichkeiten zu verbessern.
Wir sind manchmal eine Unze Prävention lohnt zweimal erzählt die Heilung,
aber bei der Auswahl, Sicherheitsmaßnahmen zu implementieren, um Ihr Risiko zu reduzieren
Wir müssen anerkennen, dass es nie zu reduzieren das potenzielle Risiko auf Null.
So dass die - wir sind heute hier, um über einige einfache und nicht so einfach
Sicherheitsvorkehrungen, die Sie sofort ergreifen können.
Ich sollte auch hinzufügen - wenn Sie irgendwelche Fragen haben in der gesamten
Präsentation nur die Hand heben.
So das erste Thema - sind wir oft gesagt, ein gutes Passwort zu pflücken.
Ein Passwort ist Ihre erste und beste Verteidigung.
Es ist oft das einzige, das Ihnen zur Verfügung steht
wenn Sie entscheiden sich für eine Online-Ressource zu verwenden.
Aber wie wir schon in diesem Sommer zu sehen und zwar im Vorjahr
wir haben Angriffe wie LinkedIn, eHarmony gesehen.
Wir haben RockYou gesehen.
Wir hatten einige von insgesamt 70 Millionen Passwörter und Konten kompromittiert.
Und wenn diese Passwörter wurden in die Public Domain freigegeben
sie auch die Passwort-Hash besteht.
>> Also im Grunde in diesen Tagen, wenn jemand ruft ein Konto Bienenstock
sie nicht brauchen, um ein Passwort zu knacken mehr;. sie nicht auf rohe Gewalt benötigen Sie ein Passwort
weil sie diese massive Fundgrube von veröffentlichten Informationen auf, was die Menschen sich entscheiden.
Sie haben bereits Verhaltensdaten bekam in den Sinn, was die Leute zu bedienen neigen.
Und sie haben das kaputt zu einer Liste von über tausend Passwörter
die umfassen fast 80 bis 90% der Passwörter, die wir wählen in gemeinsamen Nutzung.
So ein kleines Beispiel - jeder will wagen, was Sie dachten
Bashar al-Assad nach seinem Passwort verwendet, wenn es kompromittiert wurde im letzten Jahr?
Dies ist ein Gentleman, der unter intensiver Beobachtung ist.
Und sein Passwort war 12345.
Ok - so sind Lektionen, die wir gelernt haben, wir brauchen zu bewegen
darüber hinaus gerade an einem Passwort.
Uns wird gesagt, zu beginnen mit einer Passphrase.
Es ist ein großer Comic aus oder in der Tat ein Web-Comic von Randy Monroe
was geht in der Wahl einer Passphrase, er nutzt - ich möchte sagen -
Batterie, heften, Limit oder so ähnlich - Sie wissen - nur -
oder in der Tat gibt es den Witz, dass jemand, der Goofy, Nemo abgeholt,
Pluto - all diese verschiedenen Charaktere und London, weil ihm gesagt wurde,
bis 8 Zeichen und eine Kapitalerhöhung holen.
Aber - so lernen wir, wir gehen müssen, denken über nur einem Passwort.
>> Es ist eigentlich ein Ezine in Boston namens Ars Technica.
Es ist ein Herr namens Dan Goodin, die dabei eine Reihe an
diese Änderung Geltungsbereich - entweder aus dem Angreifer Raum, wo wir
diese massive Fundgrube für uns
entweder dagegen müssen wir nicht mehr zu stopfen durch Rainbow-Tabellen zu erzeugen;
Wir haben 70 Millionen Passwörter.
Aber auch wir hatten - Sie wissen - ein Wandel in der scape
tatsächlichen Rissbildung Platz, weil diese GPU-Karten haben
praktisch nahezu in Echtzeit.
Und es ist ein Gentleman in Def Con im August, die gemeinsam
12 dieser Karten in einem PC Ware.
Er tat es für etwa $ 2.000 oder $ 3.000, und er war in der Lage zu knacken
die LinkedIn Fundgrube in - Sie wissen - nahezu in Echtzeit.
Es war ziemlich beängstigend.
Dan Goodin der Artikel - ich kann es nur empfehlen, wenn Sie gehen es lesen wollen.
Ein Herr namens Sean Gallagher - heute Morgen - auch eine veröffentlichte
kurzes Update darauf, ein Großteil ihrer Arbeit baut auf -
von Material, das von Bruce Schneier, aber auch aus
Cormac Herely von Microsoft Research.
Sie Art von ca. 5-6 Jahren, dass wir anfangen, über Passwörter müssen angegeben.
Die Vorschläge waren damals Dinge wie Kennwortsätze
gestischen Schnittstellen - solche Sachen.
Sie wissen - wenn etwas, das Sie wissen, ist nicht mehr ausreichend an dieser Stelle;
das ist eines der Dinge, die ich kommunizieren möchte heute.
Wenn Sie ein Kennwort verwenden, lassen Sie uns nicht in die besagt, sollten Sie noch schüchtern
Pick ein gutes, es sollte hoffentlich etwas mehr als 10 Zeichen lang sein.
Es sollte zwischen Groß-und Kleinschreibung zu variieren.
>> Ich würde sehr empfehlen Ihnen nicht, um Passwörter wiederzuverwenden.
Ich kann auf mehrere Fälle, in denen wir gesehen ein Konto bekommen habe sprechen
kompromittiert und jemand hüpfte und hüpfte - den Domino-Effekt.
Sie abzubauen jedes Konto in jeder Phase des Prozesses für diese
Daten, und sie gehen, um diese Daten zu verwenden, dass sie jeweils abgebaut
gegen einen anderen Anmeldeinformationen Quelle.
Also - wieder - Pick ein gutes Passwort.
Machen Sie es einzigartig. Vielleicht möchten Sie über die Verwendung eines Passwort-Manager Service denken.
Es gibt da draußen aus - sie sind alle in den App-Stores.
Es ist eine sogenannte OnePass, KeePass, LastPass -
es ist ein schöner Weg für sie helfen, Sie schaffen einzigartige Anmeldeinformationen, starke Anmeldeinformationen
sondern erleichtern auch das Archiv-und Aufzeichnungspflichten für Sie.
Der Nachteil, dass ist, müssen Sie die zu einem Kennwortspeicher bringen;
Sie müssen sicherstellen, dass Passwort-Manager, dass Sie Vertrauen
ist verdient Ihr Vertrauen als gut.
>> So stellen Sie sicher, die Jungs sind auch mit ein paar gültiges Passwort-Mechanismen.
Insbesondere die, die ich werde jetzt schweigen
ist ein Multi-Faktor-Authentifizierung.
So Multi-Faktor-Authentifizierung - und es gibt mehrere Instanzen ich durch kurz gehen -
Es ist die einfache Hilfsmittel unter etwas, das Sie wissen, wie Ihre
Benutzernamen und Ihr Passwort ein und das Hinzufügen, um es - Sie werden das Hinzufügen eines weiteren Faktors.
So der erste Faktor, dass wir heute erwähnen sind diese, die auf den Brettern.
Es ist etwas, das Sie in Ihrem Besitz, so dass entweder eine Anwendung
das ist auf dem Smartphone laufen oder sogar auf dem Handy selber.
Und Sie könnten in der Lage sein eine SMS erhalten.
Vorsicht, wenn Sie ins Ausland reisen, das nicht notwendigerweise, Ihnen zu folgen.
Eine Anwendung kann arbeiten mehr in dieser Instanz.
Oder auch der andere Faktor, den Sie wollen, zu denken kann, ist etwas, was Sie sind.
>> Nun ist dies immer noch irgendwie sehr skunkworks.
Wir sehen nicht zu viel Einsatz von IT.
Dies ist - Sie wissen - Mission Impossible-Stil - wissen Sie - Ihre Vene Druck,
Ihr Fingerabdruck, Netzhaut Druck.
Die sind so eine Art weiter aus, sie sind nicht wirklich sehr gültige Authentifizierung Faktoren.
Wir sehen - wenn ich zu meinem Kollegen reden Sicherheit - mehr Druck,
Sie setzen auf eine Tastatur, insbesondere Ihre Eingabe-Muster, ist wahrscheinlich
direkt am Horizont - viel mehr als diese anderen biometrischen Identifikatoren.
Aber die, die heute sind Anwendungen oder SMS oder auch nur ein
Challenge-Response-E-Mail, die Sie bekommen werden
zu bestätigen, dass Sie in der Tat entscheiden, melden Sie sich an diesem Punkt in der Zeit.
So gibt es einen Link genau dort, ich habe das slide deck verschickt an diesem Morgen.
Es wird auf der Wiki sein.
>> Sowohl Google Mail und Google tun; Yahoo wird es tun.
Paypal hat; Paypal hat auch ein wenig tatsächliche Hardware-Schlüssel, die eine rotierende Nummer tut.
Aber Sie können auch wählen, um eine Telefonnummer zu verwenden.
Facebook tut auch ein Protokoll in Zustimmung, so dass Sie entscheiden,
genehmigen, sie arbeiten auch in Richtung mehr gültig hart Stärke Sicherheit.
Dropbox bietet 2-Schritt-Verifikation als auch, kann aber auch nur
Kauf eines Hardware-Schlüssel für sie.
Wir haben auch in der Gmail einen oder Google zu sehen, sind eine Menge Leute
tatsächlich kooptieren Google Authenticator, so - zum Beispiel -
Ich benutze LastPass - es spielt keine Billigung - aber sie wiederverwenden können
Google 2-Schritt-Verifikation, so dass bedeutet, dass ich nicht brauchen, um
Spaziergang mit 2-Anwendungen auf meinem Handy.
Aber auch die Forschung Computing in Harvard oder mit einer Analogie
Googles 2-Schritt-Authentifizierung, da das Einmal-Passwort
Algorithmus wurde geöffnet es vor etwa 10 Jahren bezogen.
Haben Sie Fragen? Gut.
>> Also ein weiterer Faktor berücksichtigt über Passwörter ist, wenn Sie
Verwendung dieser Ressourcen bewusst sein, welche Daten Sie sind ihnen zu begehen.
Nur zu begrenzen, was Sie tatsächlich setzen dort oben.
So sind wir uns bewusst, dass diese Menschen, die Erbringung einer Dienstleistung für uns über das Internet -
diese Cloud-Anbieter - sie haben ein ureigenes Interesse an Ihnen
nicht als so sicher wie Sie möglicherweise können.
Sie neigen zur Verfügung zu stellen ein absolutes Minimum Reihe von Sicherheits-,
und dann gibt es eine Reihe von anderen diejenigen, die optional, die Sie wählen, um in zu entscheiden brauchen.
Die Art der wegnehmen diesem Vortrag ist die Sicherheit ist eine gemeinsame Verantwortung.
Es ist zwischen Ihnen und den Partnern, die Sie - die Allianzen, die Sie bilden.
Sie müssen eine aktive Rolle zu übernehmen. Wählen Sie, um zu entscheiden, um die.
Sie wissen - die Zeit nehmen jetzt sicherer machen.
Die Alternative ist, es gibt schon Leute Validieren und Testen
diese Faktoren Sicherheit gegen Sie, je mehr Sie können wählen, in entscheiden
der besser Sie vorbereitet sind für den eventuellen Kompromiss.
Und es ist schließlich.
>> Aber der andere Faktor zu denken ist, wie ich bereits erwähnt
diese Internet-Seiten, die Sie mit Ihren Zugangsdaten vertrauen - mit Ihrer Identität.
Ich gebe dir 2 Analogien; Larry Ellison und Mark Zuckerberg - sie sind beide
auf Rekord Angabe Privatsphäre ist weitgehend eine Illusion.
Und dass das Zeitalter der Privatsphäre ist vorbei.
Das ist eine Art Armutszeugnis, dass wir wirklich warten müssen
für die Regierung auf, in zu zwingen, diese Parteien zu mehr Sicherheit,
mehr Rechtsvorschriften zu erlassen, weil, wenn wir versuchen, mit zu arbeiten
diese Anbieter zum Beispiel einige dieser Dropbox wie Parteien,
sie sind in das Geschäft der Bereitstellung von Dienstleistungen für den Verbraucher.
Sie sind nicht direkt in das Enterprise-Klasse Sicherheitskontrollen interessiert.
Die Verbraucher stimmte mit ihrer Geldbörse,
und sie haben bereits eine Mindestnote akzeptiert.
Es ist Zeit, dass das Denken ändern.
Also, wenn wir unsere Daten liefern, um diesen Parteien, müssen wir zu kooptieren unsere
bestehende Vertrauen Mechanismen, so sind wir soziale Wesen standardmäßig.
>> Also, warum ganz plötzlich, wenn wir setzen die Daten online starten
wir haben nun Zugang zu den gleichen Schutz tun wir persönlich?
Also, wenn ich lesen kann Ihre Körpersprache, wenn ich wählen kann
Netzwerk mit einem sozialen Umfeld und in der Tat in diesem Kreis preisgeben
nur die Informationen, die ich will.
So haben wir Zugang zu dieser Körpersprache, Ausdruck, zu singen,
haben wir Zugang zu dieser Identität Nähe Schutz
in einem physischen Standort, sie sind noch in der Entwicklung online.
Wir haben keinen Zugang zu ihnen, aber wir fangen an, sie zu sehen.
So haben wir in Facebook Facetten - zum Beispiel - wie Gruppen.
Wir haben Zugang zu den Dingen in Google+ wie Kreise.
Absolut nutzen.
Also das letzte, was Sie sehen wollen, ist in diesem Raum insbesondere
wenn Sie einen Job zu bekommen gehen wird, das Sie nun einen großen Teil Ihrer gemacht
Persönlichkeit Öffentlichkeit.
Und wenn jemand will - sollte sie wählen, um - es könnte ein Teil sein
der Unternehmenspolitik oder nicht - es ist sicherlich nicht Teil Harvard's -
aber sie können eine Google-Suche zu tun.
Und wenn sie das tun - wenn Sie bereitgestellt - sagen wir einige Informationen
was würden Sie Schwierigkeiten haben, die hinter -
Sie getan haben, sich selbst einen Bärendienst.
Und in der Tat, wie ich bereits erwähnt - diese sozialen Unternehmen, die sie haben ein ureigenes Interesse
so dass es in der Öffentlichkeit - Sie wissen - sie benötigen, um Ihre Daten abzubauen.
Sie verkaufen Ihre Demografie und Ihre Marketing-Material für jemanden.
Die Art der Analogie in diesem Raum ist - wenn Sie nicht zahlen für ein Produkt
Sie sind das Produkt?
So erstellen Kreisen für Ihre Freunde, vorsichtig sein, fleißig sein,
versuchen Sie nicht, machen alles öffentlich.
>> Eine weitere Analogie, die ich machen, ist Endnutzer Lizenzvereinbarungen
ändern, sie gehen, um Ihnen zu sagen, was sie mit deinen Daten tun,
und sie gehen, um es in einem 50-seitigen Klick begraben durch.
Und sie können wählen, um das zu ändern, und sie nur senden Sie eine kurze E-Mail.
Aber du bist nicht ein Anwalt, es ist sehr viel in Juristendeutsch.
Sie müssen vorsichtig sein, von dem, was du tust.
Sie können Ihre Bilder besitzen, sie können Ihr geistiges Eigentum zu besitzen.
Sie wissen - nur Sorgfaltspflicht.
Ein weiteres Beispiel Library of Congress ist die Archivierung jeden einzelnen Tweet auf den Menschen bekannt. Alles.
Alle 10 Jahre etwa den Körper des Materials, das erzeugt wird,
in, dass 10 Jahre Konten oder stark übertrifft alles, was wir haben
erstellt der gesamten Menschheitsgeschichte.
Die Library of Congress hat ein begründetes Interesse an der Erhaltung dieser Informationen
für die Nachwelt, für zukünftige Archivare, für zukünftige Forscher und Historiker,
so alles, was Sie setzen da draußen ist da.
Es wird tatsächlich eine immense Ressource an einem bestimmten Punkt
wenn die Menschen beginnen, Social Engineering oder Social Networking-Websites abzubauen.
So halten benachrichtigt der Schutz innerhalb jeder Anwendung.
>> Es ist etwas, was ich als auch erwähnen wird, es ist ein Drittanbieter-Tool
genannt Privacyfix, es kann richtig einstecken, einige dieser
Social-Networking-Anwendungen.
Und es kann zu überprüfen, um zu sehen, wo Sie in Bezug auf den Datenschutz sind
das sind auf sie, wenn Sie wählen können, um sie auf weitere Ratsche.
Es gibt Werkzeuge, wie der Data Liberation Front von Google
wo Sie können wählen, zu exportieren oder zu extrahieren Sie Ihre Daten.
Es gibt Dinge, wie das Internet Suicide Machine, die sich einzuloggen werden
um einige Ihrer Profile und tatsächlich jedes einzelne Attribut löschen
ein zu einer Zeit, untag jeden einzelnen Verein Freunde in Ihrem Netzwerk gemacht hätte.
Und es wird zu verfolgen, um iterativ spülen alles über Sie
, dass diese Website würde es wissen.
Wenn ich nur ausüben kann, eine gewisse Vorsicht auch dort, es war eine Instanz
ein paar Jahren in Deutschland, wo ein Bürger beschlossen,
Ausübung seiner Rechte die Freiheit der Information und bitten Facebook um
welche Informationen sie auf Rekord für ihn hatte, auch nachdem er seinen Account gelöscht.
Sie gaben ihm eine CD mit 1.250 Seiten Informationen
obwohl sein Konto theoretisch nicht mehr existierte.
Es ist das Konzept in diesem Raum eine Menge, dass einige von ihnen
Unternehmen wird weiterhin einige Daten über Sie mit Ihrem Verbänden und Ihre Netzwerke zu tun.
Sie sagen, dass sie keine Kontrolle über sie; das ist ein bisschen weit hergeholt meiner Meinung nach.
Sie schaffen diese Schatten-Konten - der Schatten Personas.
Nur vorsichtig sein.
Beschränken Sie, was Sie können.
Bei einer tatsächlichen Geräte-Ebene, wenn Sie nur darüber zu reden -
Sie wissen - Hardware - Ihrem Smartphone, Ihre Tabletten,
Ihren Arbeitsplatz, Ihren Laptop, vielleicht ein Server, den Sie verantwortlich sind.
>> Wahrscheinlich haben Sie über Konzepte wie Betrieb, System-Updates gehört,
Anwendungs-Updates, Antivirus, du hast von Dingen wie Firewalls gehört,
Festplattenverschlüsselung und wieder nach oben.
Das einzige, was Sie beachten sollten, ist, dass Sie nicht hören
diese Art von Schutz in der Handy-Raum.
Sie sind genauso anfällig für die gleichen Bedrohungen.
Wir hatten - ich möchte sagen - eine Million Smartphones sein werden
aktiviert durch die Ende dieses Monats.
Das hat sich erheblich stärker als die - innerhalb der kurzen Zeitspanne, die
sie wurden zur Verfügung hat, die erheblich stärker als das Wachstum der
der PC, den Laptop, den Workstation-Markt.
Aber wir haben keinen Zugang zu den gleichen Kontrollen, und ich
wird darüber kurz zu sprechen.
Also, bevor wir mit dem Mobiltelefon Raum lassen Sie uns darüber reden
was ist es, dass ich nur kurz ging.
So Antiviren-Software - hier sind einige freie Wahl.
Microsoft begeht ihnen - wissen Sie - Sophos begeht für OSX als auch ihre
Bessern Sie Ihren Computer - nur bewusst sein, was auch immer Ihre Lieferanten
aktuellen Patch-Level ist, und Sie sollten nicht eine signifikante Delta aus, dass sein.
Es ist ein nettes Tool von einer Firma namens Secunia.
Und Secunia wird im Hintergrund ausgeführt werden, und es wird Ihnen sagen, wenn es eine
aktualisiert zur Verfügung und wenn Sie es anwenden müssen.
>> Automatische Updates aktivieren - sowohl Apple und Microsoft wird einen Aspekt dieses haben.
Sie wird Sie warnen, dass es ein Update verfügbar ist.
Und Secunia - Sie wissen - ist eine Art Sicherheitsnetz schön so gut haben - zurückgreifen Mechanismus.
Auf dem Host-Schicht - nicht immer auf Smartphones noch.
Aktivieren Sie die Firewall-native zu dem Betriebssystem.
Es gibt einige Informationen über das Windows in der OSX ein.
Testen Sie Ihre Firewall, nicht nur dort lassen und denken, dass es eine sichere Mechanismus ist.
Nehmen Sie eine aktive Rolle, es ist eine Anwendung, dort von GRC - Steve Gibson.
Wi-Fi-Sicherheit in diesem Raum - dies kann auch auf dem Smartphone und dem Tablet gelten -
wenn Sie die Wahl, um auf die Straße gehen, müssen Sie sich bewusst sein,
, dass es verschiedene Arten von drahtlosen Netzwerken.
Und vor allem nicht wählen Sie die am häufigsten zur Verfügung ein.
Es könnte kostengünstig sein, aber es könnte ein Grund dafür sein.
Vielleicht sind sie Bergbau Ihrer Daten.
Wir sehen dies mehr, wenn Sie ins Ausland reisen.
Es gibt einige wirklich hocheffiziente Cyber ​​Verbrechersyndikaten
die Lage zu nutzen, was wir in der Regel in den Nationalstaaten "Spionage sehen sind.
Ein Faktor, wo sie geradezu injiziert werden sich in einem Netzwerk-Stream.
Sie ziehen Zeug raus, und sie sind Injizieren
Anwendungen auf den Arbeitsstationen.
>> Es ist - die andere Seite, die ich kenne in einige von ihnen erwähnt wurde
Sicherheit Seminare - Seminare oder nicht CS50 Seminare - ist ein Tool namens Firesheep.
Und Firesheep war ein bestimmter Angriff in der Handy-Raum
wo einige dieser Social-Networking-Anwendungen wurden Senden von Anmeldeinformationen im Klartext.
Und das war ganz allgemein akzeptiert, weil jeder zu diesem Zeitpunkt
dachte, dass es keinen Appetit in den Consumer-Bereich für sie,
dass eine höhere Festigkeit Verschlüsselung verwenden implizierte eine Leistung Belastung
auf dem Server, so dass, wenn sie nicht, es zu tun - sie wollte nicht.
Und dann, ganz plötzlich, wenn dieser Sicherheitsexperte gemacht
der Angriff trivial sehr schnell - du weißt schon - haben wir begonnen, diese Art von sehen
Verbesserung, dass jeder in der Sicherheit Platz hatte
worden beschweren für einen nicht unerheblichen Zeitraum.
So - insbesondere - Firesheep konnte Facebook, Twitter abrufen
Anmeldeinformationen von der Wi-Fi-Stream.
Und weil es im Klartext war, und sie waren in der Lage, zu injizieren.
>> Auch, wenn Sie gehen, um Wi-Fi verwenden wählen, eine, die zu verwenden
ausreichend geschützt - WPA2 wenn du kannst.
Wenn Sie verwenden müssen unverschlüsselte WLAN - und insbesondere ich rede
niemanden, der mit der Harvard University Wireless wird -
möchten Sie vielleicht über die Verwendung von VPN denken. Ich sehr empfehlen es.
Andere Faktoren, die Sie wollen, zu denken können, sind, wenn Sie kein Vertrauen in die Wi-Fi
Sie sind auf möchten Sie vielleicht den Einsatz begrenzen.
Tun Sie das nicht jede E-Commerce; machen keine Banking.
Greifen Sie nicht auf Ihre Universität Anmeldeinformationen.
Es ist ein wichtiger Sieg in diesem Raum, wenn jemand
nicht stehlen Ihre Anmeldeinformationen - Sie wissen - sie haben dein Handy?
Also - Sie wissen - das ist ein weiterer Faktor, dass sie nicht unbedingt können entführen
oder macht einfach ihren Angriff komplizierter.
Verschlüsseln Sie Ihre Festplatte.
Wir sind in einem Zeitalter gerade jetzt - Verschlüsselung verwendet werden, um eine große Sache sein vor 10 Jahren.
Es zeigte sich eine signifikante Auswirkung auf die Leistung.
Es ist nicht mehr - in der Tat - die meisten Mobiltelefone und solche Sachen
sie tun es in der Hardware, und Sie müssen nicht einmal bemerken -
die Leistung ist so unbedeutend.
>> Wenn Sie über eine Workstation sprechen, sprechen wir über BitLocker reden.
Wir freuen uns über File Vault reden; ermöglichen es - die Zeit nehmen jetzt.
In der Linux-Raum offensichtlich wahr Krypten können über diese beiden zu arbeiten.
Sie können zu denken - in der Linux-Raum - es ist dm-crypt,
gibt es Luxcrypt - es gibt eine Reihe anderer Optionen - auch wahr Crypt.
Andere schnelle Möglichkeit, sich am Arbeitsplatz zu schützen Ebene
eine Sicherungskopie Ihrer Festplatte.
Und eine kleine Falte hier - es ist nicht ausreichend, um eine Verwendung
diese Wolke Synchronisation Anbieter, so Dropbox oder G-Drive oder etwas anderes
Das ist nicht ein Backup-Lösung.
Wenn jemand etwas löscht auf eines dieser Geräte
weil sie selbst eingefügt irgendwie geht -
das Löschen wird in Ihrem gesamten persona repliziert.
Das ist nicht ein Backup, das ist nur eine Ausbreitung Mechanismus.
So ist es gut, eine Backup-Lösung zu haben.
Es gibt einige Vorschläge hier für einige Leute, einige von ihnen sind kostenlos -
Kapazität basiert - 2 GB back up - Sie können es tun.
Wenn Sie Universität G-mail - Universität Google auf dem College und co, G-Drive
wenn es nicht schon - es wird in Kürze verfügbar sein.
Es ist ein guter Ersatz.
Wir werden auch auf diese Dinge wie Mozy Home aussehen.
Es ist gut, 2 Lösungen haben.
Haben nicht alle Eier in einen Korb.
Wenn Sie etwas entsorgen oder in der Tat, wenn Sie in den Prozess
Senden von etwas geheim zu halten - einige Vorschläge hier, um
Sicheres Löschen des Geräts.
Darik der Boot and Nuke - das ist eine Art mehr für die IT-versierte.
Sie können über nur ihm, einige von ihnen denken
kommerzielle Anbieter, wenn du kannst.
>> Verschlüsseln e-mail - wenn es sein muss - es gibt einige Dienste auf dem Campus
genannt Accellion, Sie sind außerhalb des Campus oder für den persönlichen Gebrauch werde ich Hushmail empfehlen.
Wir sehen es viele in Whistleblower verwendet, es ist eine der wichtigsten
Mechanismen für WikiLeaks
sowie Tor und einigen anderen Mitteln.
Und - jetzt, über die Telefon-Ebene sprechen - so das Problem hier ist
es ist nicht so viel Appetit noch.
Leider sind die meisten Smartphones und den Tablet-Betriebssystemen
sie sind immer noch auf einige der Prinzipien, die wir in den 1990er Jahren sah basiert.
Sie haben nicht wirklich einige Verbesserungen eingebaut
die wir sehen am Arbeitsplatz Ebene. Sie sind nicht tut Wärmeschutz.
Sie sind nicht zu tun - Sie wissen - Schicht Randomisierung.
Sie sind nicht tut Adresse Schutz.
Sie tun nicht ausführen Schutz - solche Sachen.
Aber auch das Gerät selbst durch defacto wird nicht jeder haben
Endpunkt Sicherheit hinein gebaut.
Also fangen wir an, diese Änderung zu sehen - mal wieder - die meisten Smartphone
Hersteller - Android, Apple und Windows - nur der Appetit
war nicht da; war die Benchmark Blackberry.
Aber Blackberry hat Art verlor seine Traktion auf dem Markt an dieser Stelle.
Und Apple hat wirklich trat in.
Vor ca. 2 Jahren gab es einen Wendepunkt, wo sie
begonnen, in einem viel mehr Unternehmen Typs Kontrollen zu bauen.
Und - in der Tat - im August hatte sie einen Vortrag bei Def Con, die gerade unerhört war.
>> So werden sie tun, die minimalen Kontrollen, die ich beschrieben.
Sie tun starkes Passwort, sie werden eine Eingabeaufforderung für das Kennwort auf Leerlauf zu tun -
das Gerät - Sie vergessen darüber und es nach 15 Minuten aktiviert.
Sie tun Verschlüsselung, und sie werden auch das tun, was Remote Wischen genannt.
Im Android und Windows Raum sind noch TBD - bestimmt werden.
Android hat Zugriff auf einige Anwendungen genannt Prey und Lookout.
Und in der Tat einige der Endpunkt-Sicherheits-Tools wie Kaspersky Ich weiß, es tut.
Ich weiß, ESET tut es auch
Sie lassen Sie senden eine SMS und reinigen Sie das Gerät.
Windows phone an dieser Stelle ist es in erster Linie orientiert
Corporate Design - was heißt Austausch.
Exchange ist ein robuster Mail-Infrastruktur, und es kann einige dieser Kontrollen beauftragen.
Windows 8 nur ausgeliefert letzte Woche, also kann ich nicht auf die endgültig zu sprechen.
Windows 6.5 war der große Sicherheitseinrichtung.
Windows 7 Handy war eine Katastrophe, sie hat nicht alle diese native Steuerelemente
zwingend in den verschiedenen Anbietern.
So musste man jedes Windows Mobile 7 Telefon ein zu einer Zeit zu ratifizieren.
>> Android - seit der 3.0 Raum hat eine wesentliche Verbesserung hatte als gut.
Honeycomb, Ice Cream Sandwich, Jellybean - sie werden unterstützt diese Mindestanforderungen Kontrollen
und in der Tat werden sie unterstützt einige der Unternehmenssteuerung, dass Sie auch tun können.
In Ihrem persönlichen Konto Raum gibt es eine persönliche Google Sync, dass
Sie aktivieren, wenn Sie Ihre eigenen Google Raum sowie zu haben.
Also, was tun Sie, wenn es geht alles schief?
Und wenn ich kann - ein weiterer zum Mitnehmen aus, das ist wirklich, wenn - wenn es nicht.
Das wird für uns alle irgendwann passieren. Was können Sie tun?
Also, was Sie tun können - und es gibt eine Rutsche - die nächste Folie wird
verweisen Sie auf einige der FTC Ressourcen für IT,
aber ein Minimum Ort ein Betrug Warnung auf Ihrem Kreditkarten.
Wenn ich ermutige Sie, darüber nachzudenken, wenn Sie mit einer Kreditkarte sind
in einer Online-Kapazität - je nach Transaktion du machst
Debitkarten - die Fähigkeit, zu behaupten oder die Fähigkeit, eine betrügerische einfahren
Anspruch auf eine Debit-Karte ist eigentlich ein viel kleineres Fenster, als es auf einer Kreditkarte ist.
Also, wenn Sie Ihren Bericht auf einer EC-Karte haben Sie nur eine bestimmte
Zeitrahmen - und es ist sehr niedrig - die Bank von einem betrügerische Transaktion zu informieren.
Kreditkarten, es ist viel größer, es neigt dazu, eine Grenze, bis sein, um über $ 50.000
bevor sie wirklich in der Lage sein, Ihnen zu erstatten.
Also das ist eine ganze Menge Geld, sie stieß es von etwa $ 13.000 oder $ 18.000 gibt es vor kurzem.
Also - Sie wissen -, wenn Sie über die Verwendung einer Kreditkarte online zu denken,
können Sie über die Verwendung eines Top-up-Karte oder eine Einweg-Kreditkarte, einen Brenner Card?
>> Wenn Sie etwas sehen - und ich werde Ihnen zeigen, wie Sie Zugang zu kurz -
schließen jegliche betrügerische Konten, wenn Sie aufmerksam gemacht werden es.
Stellen Sie eine Anzeige, wenn Sie auf dem Campus sind.
Erreichen Sie HUPD - lassen Sie sie wissen.
Denken Sie über eine Identität Monitoring-Service.
wenn als Teil der - wenn Sie gefährdet zu tun bekommen - möglicherweise müssen Sie -
sie finanzieren Identität Schutzdienst.
Wenn sie nicht vielleicht tun Sie es tun sollten.
Sammeln Sie und halten Sie alle Beweise - insbesondere keine Diskussionen du hattest
mit irgendwelchen kriminellen Behörden
insbesondere für die Versicherung.
Ändern Sie alle Ihre Passwörter.
Ändern Sie die Antworten auf alle Fragen der Sicherheit, mit der Sie Ihr Passwort zurücksetzen können.
Deaktivieren Sie alle historischen Identität Dienstleistungen.
Also, wenn Sie die Wiederverwendung von Ihrem Facebook-Konto zur Anmeldung auf Twitter oder umgekehrt,
brechen, dass, wenn der Kompromiss beteiligt Ihre E-Mail-Konto
überprüfen, um zu sehen, wenn etwas weitergeleitet wird.
Weil sie sonst noch Zugriff auf Ihre Daten.
Und wenn der Diebstahl beinhaltet Ihre Harvard Konto benachrichtigen Sie bitte IThelp@harvard.edu.
Ich kann das nicht genug, aber auch insbesondere mit, wenn das Gerät verloren geht oder
gestohlen und es hatte den Zugriff auf Ihre Daten und Universität vielleicht
nicht über einige dieser Schutz sein jeweiligen, bitte lassen Sie uns wissen -
HUPD und IT an der Harvard Hilfe.
>> Also der Link, den ich gerade erwähnt, die geht in die mit mehr Details
FTC.gov / identitytheft.
Die Post hat auch einige Betrug oder Identity Protection Services -
Sie legen sich lediglich ein Halt oder ein Anschlag auf Kreditkarten gehen durch oder sowas.
Das FBI hat einen Link als auch, ist es in den Notizen von den Folien, die ich geschickt.
Und in der Tat Massachusetts Better Business Bureau und
Consumer Protection Bureau hat einige Leitlinien als auch, ist es in den Erläuterungen.
Nehmen Sie jetzt die Zeit, machen Sie sich bewusst, was Sie tun können, und nehmen Sie die Aktion.
Das Prinzip - wie ich bereits erwähnt - ist, wenn Sie nicht über einen Plan
für Ihre Identität gestohlen werden Sie sofort los zu sein
unterliegen einer Menge Arbeit, wenn es geschieht, und es ist, wenn.
Aber selbst wenn man diese Vorsichtsmaßnahmen zu ergreifen - lassen Sie mich nur fügen Sie eine
leichten Wort der Vorsicht - kein Plan überlebt ersten Kontakt mit dem Feind.
So auch bei, dass wir immer noch der Meinung, dass es einige Subversion sein - du weißt schon -
Ihre Bank zum Beispiel, die Ihnen all diese Schutzmechanismen gebaut haben um
sie beeinträchtigt bekommen; diese vertrauenswürdigen Dritten, dass Sie Ihre Daten gegeben.
So sind Sie Ihr eigener beste Verteidigung.
Sie wissen - wachsam bleiben - wachsam bleiben.
Nehmen Sie jetzt die Zeit, zu wählen, zu entscheiden, in diese, hoffentlich knüpfen
dies, um zu sprechen mit Ihren Freunden.
Wählen Sie gute Passwörter; verwenden einzigartige Passwörter für Ihre Konten.
Und nicht wiederverwenden Passwörter - insbesondere - um einige
Ihr empfindlicher Vermögenswerten; verwenden Sie nicht Ihre Uni-Account anderswo.
Verwenden Sie nicht Ihr Kreditkartenkonto anderswo.
Passwort zum Schutz Ihres mobilen Geräts zeigen.
Und Mobilgerät Ich Smartphone bedeuten, ich meine das Tablet.
>> Denken Sie über die Verwendung gute Sicherheit Reset Fragen, und ich will reden
diese kurz, warum, überprüfen Sie Ihre Kredit-Bericht.
Eine weitere Möglichkeit, dass Sie ein guter Bürger in diesem Raum sein
wird die Regierung gezwungen die 3 Agenturen Experian, Transunion und Equifax
Kredit-Berichte zu veröffentlichen.
Für einige der Harvard Gemeinschaft, vor allem in der Schüler-Raum,
dies könnte neu sein, aber Sie dürfen diejenigen ziehen
Agenturen mindestens einmal im Jahr.
Gut Vorsicht - gehen auf dieser Website, es ist auf der FTC ein.
Und tun es alle 4 Monate statt, und Sie sind in der Lage zu halten
Registerkarten auf die erbittet Anfragen für Ihre Kreditkarten-Informationen,
oder wenn in der Tat, wenn jemand öffnet jegliche betrügerische Konten.
Und - in der Regel - die Führung ist sich bewusst sein.
Und ich werde Ihnen ein konkretes Beispiel kurz,
aber das ist im Wesentlichen das Fleisch und Kartoffeln der Diskussion.
>> Also warum dies wichtig ist gerade jetzt im Sommer ist es ein
Herr namens Matt Honan - wenn Sie draußen sind vielen Dank
weil sie so bevorstehenden mit Ihren Informationen.
Aber was passiert mit Matt ist er für Wired Magazine,
und einige cyperhacktivists ging nach seinem Twitter-Account.
Und sie verwendet einige dieser Ressourcen - einige dieser öffentlichen persona
dass er zur Verfügung gestellt.
Und sie bauten eine Karte, sie wussten, wo sie angreifen und wann.
Also davon, dass sie begannen, in Scheiben schneiden und würfeln Sie die Informationen, die er gemacht
zur Verfügung, und sie fand, dass er ein Gmail-Konto hatte.
So wurde er mit einem weniger als klug Passwort für seine Gmail,
und er hatte keine Multi-Faktor-Authentifizierung auf sie.
So sie seine Gmail kompromittiert; sobald sie hatte zu seinem Gmail zugreifen
sie sahen all diese anderen Konten, die er in seinem Gmail gesteckt.
Tatsächlich hatte sie Zugang zu seiner ganzen ganzen Gmail oder Google persona.
Und - vor allem - sie begann zu bemerken, dass er ein Amazon-Konto hatte
denn es gab einige E-Mails an ihn berichtet.
So bekamen sie dann an seine Amazon, und sie haben an seinen Amazon
nur durch das Zurücksetzen seines Passworts, weil es zu seinem Gmail ging.
Er hatte nicht - er hatte eine Art Domino-Effekt oder Anmeldeinformationen Verkettung geht hier
wo sie einst seine Gmail bekam sie hatte die Schlüssel zum Königreich.
Also wenn sie einmal an seine Amazon - und dies war ohne Verschulden
auf diese anderen Jungs - das war - Sie wissen - Matt hatte nicht gewählt
entscheiden in diesen sicherer Mechanismen, dass nur diese Menschen zur Verfügung gestellt hatte
und all diese Internet-Quellen.
>> Also wenn sie einmal an seine Amazon sie Zugang hatten - es ihnen nicht gezeigt hätte
seine Kreditkarte, aber es zeigte ihnen die letzten 4 Ziffern
nur damit er wusste, was es war, es zeigte ihnen seine Lieferadresse.
Es zeigte ihnen einige andere Informationen, die er auf einige Aufträge erledigt.
Und dann aus, dass sie beschloss, seine Apple-Account angreifen.
Und sie soziale engineered Apple Helpdesk.
Apple sollte es nicht getan haben, aber auf der Grundlage dieser Informationen, die
sie waren in der Lage, von den anderen 2 Accounts abzubauen.
Sie wissen - der Mann an der Helpdesk wahrscheinlich dachte, er ist
ein guter Bürger - Sie wissen - ich bin als hilfreich, es ist ein Apple-Kunde
gibt, wird es auf seine eigene gestrandet, und ich brauche, um ihm zu helfen.
Aber es war nicht der eigentliche Apple-Kunden.
Und sie setzen seine Apple-Account, und sie schickten die Informationen an die Gmail.
Sobald die Angreifer hatten Zugriff auf seine Apple-Account
Matt hatte alle seine Geräte in seiner iCloud gebunden,
und sie begannen die Erteilung Meineid Sets und wischte alles.
Wieder hatte er gerade seine Daten weitergegeben, er wurde mit dem Synchronisations-Mechanismus wie iCloud.
Also, wenn sie gelöscht es ging alles Knall.
Sie hatten noch Zugriff an dieser Stelle auf seinem Twitter-Account, die, was ist
sie hatte versucht, anzugreifen.
Ich weiß nicht, ob sie Maltego oder eines Teils dieser andere Mechanismen verwendet
den weiteren Ausbau seiner Internet persona, aber - Sie wissen - in einer Angelegenheit von
Natürlich bekamen sie Zugang zu 4 verschiedene Dienstleistungen Identität vor
sie stand auf Twitter, und es kostete Matt -
Matt war ganz glücklich sah er es geschehen, weil seine Kinder zu ihm kam
wenn das iPad gesperrt selbst aus.
Und sie sagte - Sie wissen: "Papa, es ist etwas los mit dem iPad."
Und er schloss alles ab, weil er bemerkte, war es passiert überall.
Und er begann Aufruf Apfel zu sehen, was zum Teufel gerade geschehen war.
Und Apple tatsächlich dachte, dass es etwas los
dass iCloud gegangen Schelm, bis sie herausgefunden -
er tatsächlich herausgefunden, dass sie die Übermittlung von Informationen und
sie nannten ihn den falschen Namen.
Da Apple hatte auf Datei-Informationen, dass der Angreifer hatte unterlaufen.
>> Ok - damit ist die Art von Informationen, die wir verwenden, um dies zu bauen
Art von best practice, wir nutzen dies als Teil einer ganzen Reihe von
Seminare bis Oktober - Nationale CyberSecurity Awareness Month.
Es wurde Ihnen zur Verfügung gestellt guys.
Ich werde dafür sorgen, dass ich es geschickt in der Wiki als David macht es mir zur Verfügung als auch.
Aber es gibt Beratung und Anleitung in dort viel mehr als granular
Ich bin in der Lage, in dieser kurzen Zeit, die ich zur Verfügung haben zusammenzufassen.
um, was heißt, Wolkig mit Aussicht von Identity Theft:
Picking gute Benutzernamen und Kennwörter.
Ist es überhaupt nicht sozial? Und die Antwort ist nein, es ist immer soziale,
aber Sie müssen sich bewusst sein, was das bedeutet.
Und es ist Taming Löwen, Tiger und Windows ist die um
Härten Betriebssystemen mit einigen der Informationen, die wir bis heute ging.
Und der letzte wurde etwa, haben Geräte, Will Travel
um zu gehen, mit dieser Art von Datenquellen Handy sprechen.
Also anders als dass, wenn Sie irgendwelche Fragen haben, meine E-Mail-Adresse ist
dort, und wenn jemand in den Raum irgendwelche Fragen hat bitte die Hand heben.
Other than that, ich werde, um die Aufnahme zu stoppen.
In Ordnung. Fertig.
[CS50.TV]