[Powered by Google Translate] [סמינר: לשרוד את האינטרנט]
[אוניברסיטת הרווארד קיין-Esmond]
[זה CS50.-CS50.TV]
שלום, וברוכים באים ל" לשרוד את האינטרנט ".
זהו אחד מהסמינרים המרכיבים חלק מתכנית לימודי CS50 זה.
השם שלי הוא Esmond קיין. השמי וכתובתי הם שבשקופיות מולך.
זה esmond_kane@harvard.edu.
ביום העבודה שלי אני אחד ממנהלי אבטחת IT עבור HUIT,
אבל אני חייב להודות שהיום אני בשליחות משם
וזו הסיבה שאני לובש חולצה אדומה.
זה לא הולך לשום דבר מהווה שניתן לייחס
ישירות לעבודה שלי היום, אז זה לא על אבטחת IT להרווארד.
זהו מידע אישי פשוט יותר, זה איך שאתה -
אלה הם סוג של מיומנויות שתוכלו לרכוש כדי לנסות ולעזור לך
להקשיח עמדות העבודה שלך ואת הסביבה שלך לאורך כל הקריירה שלך.
אבל שום דבר שאני מזכיר היום צריך להיות מיושם על כל שלך
חומר באוניברסיטה, השרתים שלך, או תחנות העבודה שלך
ללא יצירת קשר המקומי שלך תמיכת IT.
ואכן, אם אני מזכיר את כל יישומים או כל אירוע כחלק מזה
שיחה או דיון שהוא לא דיווח על כל דבר שיש לי זכות לדווח.
זה בדרך כלל ציבור
ואכן לא צריך להזכיר לכל יישום בכל מעיד על כל
תמיכה באמצעות הרווארד או למעשה כל גינוי.
>> אז היום מדוע אנחנו כאן - עכשיו שאנחנו עשו עם את כתב הוויתור -
אנחנו כאן היום כדי לדבר על לשרוד באינטרנט.
ולמה זה נושא כזה חשוב כרגע?
אז בפרפרזה פרי יואיט שעובד בעיתונות הרווארד ומשרד תקשורת -
אני מתנצל על קורא את זה עכשיו - היא הצהירה, "אנחנו חיים ב
אווירה של סיכון הסלמה, אך גם אחד מהחדשנות שאין כמותו.
העלייה המהירה של האינטרנט, הענן, טכנולוגיות וחברתיות
הביא הרבה יותר אנשים שיש פרופילים ציבוריים באינטרנט
אכן עם גישה למערך הולך וגדל של מידע.
וזה אומר שכל אחד והעמותות שלהם מעולם לא היו גלוי יותר.
כטביעת הרגל הדיגיטלית של הרווארד - הרשת הדיגיטלית שלה מתרחבת,
אנו מושכים קהל רחב יותר.
אנו מקווים לשיפור, אבל לפעמים אנחנו יהיו
למשוך קצת תשומת לב שלילית.
אז כנציג של הרווארד, "וזה כולל את כולם
צופה בבית או שמישהו בכלל כאן, "הסגל שלנו, התלמידים שלנו, צוות שלנו,
החוקרים שלנו, את הסיכון של פשרה אליך ואכן
הרשת קשורה שלך מעולם לא הייתה גבוהה יותר ".
>> לעתים קרובות כל כך בתחום אבטחת מידע כאשר אנו מנסים לאזן את זה
סיכון זה הוא סחר מסובך מבין ביטחון ואת חוויית המשתמש.
בעידן של מיידיות שאנחנו צריכים לקבל החלטות מתחשבות
על מה שישפר את האבטחה ללא אי הנוחות גדולה.
נאמר לנו לפעמים גרם אחד של מניעה שווה פי שתיים מהתרופה,
אבל כאשר בוחרים ליישם אמצעי אבטחה כדי לצמצם את הסיכון שלך
אנחנו צריכים להכיר בכך שזה אף פעם לא יהיה להפחית את הסיכון הפוטנציאלי לאפס.
כך שאמר - אנחנו נמצאים כאן היום כדי לדון בכמה פשוט ולא כל כך פשוט
אמצעי ביטחון שאתה יכול לקחת עכשיו.
אני צריך גם להוסיף - אם יש לך שאלות בכל רחבי
מצגת פשוט להרים את היד שלך.
אז הנושא הראשון - לעתים קרובות אמרו לנו לבחור סיסמא טובה.
סיסמא היא קו ההגנה הראשון והכי הטוב שלך.
זה בדרך כלל רק אחד כי הוא זמין לך
כשאתה בוחר להשתמש במשאבים באינטרנט.
אבל כפי שראינו לאורך כל הקיץ הזה ואכן השנה הקודמת
ראינו התקפות כמו LinkedIn, eHarmony.
ראינו RockYou.
היו לנו כמה כולל של 70 מ'סיסמאות וחשבונות שנפרצו.
וכאשר סיסמאות האלה שוחררו לרשות הציבור
הם גם היוו את חשיש הסיסמה.
>> אז בעצם בימים אלה אם מישהו מאחזר כוורת חשבון
הם לא צריכים לפצח את הסיסמה יותר;. הם לא צריכים בכוח הזרוע סיסמא
כי יש להם אוצר האדיר של מידע שפורסם על מה שאנשים בוחרים.
הם כבר קיבל נתונים התנהגותיים על הדעת מה שאנשים נוטים להשתמש בו.
והם שברו את זה לרשימה של כאלף סיסמאות
המהווים כ -80 עד 90% מהסיסמות שאנו בוחרים בשימוש נפוץ.
אז דוגמה מהירה - מישהו רוצה להסתכן מה שחשבת
בשאר אסד המשמש לסיסמה שלו כאשר הוא נפגע בשנה שעברה?
זה הוא ג'נטלמן שכפוף לבדיקה אינטנסיבית.
והסיסמה שלו הייתה 12345.
אוקיי - ולכן אלה הם לקחים שלמדנו, אנחנו צריכים לעבור
מעבר רק חושב על סיסמא.
נאמר לנו להתחיל להשתמש במשפט סיסמא.
יש קומי גדול מאו אכן קומיקס אינטרנט מרנדי מונרו
אשר נכנס בחירת משפט סיסמא; הוא משתמש - אני רוצה להגיד -
סוללה, מצרך, הגבלה או משהו כזה - אתה יודע - בדיוק -
או אכן יש בדיחה שמישהו שהרים גופי, נמו,
פלוטו - כל אלה והדמויות שונות בלונדון, כי נאמר לו
לאסוף 8 תווים והון.
אבל - כך אנו למדים שאנחנו צריכים ללכת לחשוב מעבר רק סיסמא.
>> יש למעשה Ezine בבוסטון בשם Ars Technica.
יש אדון בשם דן גודין שהוא עושה בסדרה
היקף זה משתנה - או מהמקום שבו יש לנו התוקף
בלום המסיבי הזה זמין עבורנו
גם על הדעת שאנחנו כבר לא צריכים לייצר דברים דרך שולחנות קשת;
יש לנו 70 מ'סיסמאות.
אבל גם היו לנו - אתה יודע - משתנה בscape
בפועל פיצוח מרחב בגלל כרטיסי GPU הפכו את זה
כמעט כמעט בזמן אמת.
ויש ג'נטלמן בDef קון בחודש אוגוסט שהרכיב
12 כרטיסים אלה למחשב סחורה.
הוא עשה את זה לכ -2,000 דולרים או 3,000 דולר, והוא היה מסוגל לפצח
בלום בלינקדאין - אתה יודע - זמן אמת קרוב.
זה היה די מפחיד.
מאמרו של דן גודין - אני מאוד ממליץ עליו, אם אתה רוצה ללכת לקרוא אותו.
אדון בשם שון גלאגר - הבוקר - גם פרסם
עדכון מהיר על זה, הרבה העבודה שלהם בנוי על -
מחומר זמין מברוס שנייר, אלא גם מן
קורמק Herely מהמחקר של מיקרוסופט.
הם סוג של קבעו לפני כ 5-6 שנים שאנחנו צריכים להתחיל לחשוב מעבר לסיסמות.
את ההצעות באותה תקופה היו דברים כמו משפטים סיסמא,
ממשקי מחוות - דברים מהסוג הזה.
אתה יודע - אם משהו שאתה יודע זה כבר לא מספיק בשלב זה;
זה אחד הדברים שאני רוצה לתקשר היום.
אם אתה צריך להשתמש בסיסמא, תן לנו לא להיות ביישן באומרו אתה עדיין צריך
לבחור אחד טוב, זה צריך להיות משהו מעבר לתקווה 10 תווים.
זה צריך להשתנות בין עליון ואותיות קטנות.
>> אני מאוד ממליץ לך לא לעשות שימוש חוזר בסיסמות.
אני יכול לדבר לכמה מקרים שבי שראינו לקבל חשבון
נפרץ ומישהו קפץ ודלג - אפקט הדומינו.
הם שלי כל חשבון בכל שלב בתהליך לזה
נתונים, ולאחר מכן הם ממשיכים להשתמש בנתונים שהם ממוקש בכל מקרה
נגד אישורים מקור אחר.
אז - שוב - לבחור סיסמא טובה.
להפוך אותו לייחודי. אולי כדאי לחשוב על שימוש בשירות מנהל סיסמות.
ישנם אלה מבחוץ - הם כולם בחנויות היישומים.
יש אחת בשם OnePass, KeePass, LastPass -
זוהי דרך נחמדה בשבילו כדי לעזור לך ליצור את אישורי ייחודיים, אישורים חזקים,
אלא גם להקל את הארכיון וניהול רישומים עבורך.
למטה בצד כדי שאתה צריך להביא את זה לחנות סיסמא;
אתה צריך לוודא כי מנהל סיסמות שאתה בוטח
הוא ראוי לאמון שלך גם כן.
>> אז ודא כי החבר 'ה האלה גם באמצעות כמה מנגנוני סיסמא חוקיים.
בפרט אחד אני הולך לדבר עכשיו
היא אימות מרובה גורמים.
אימות מרובת גורמים אז - ויש כמה מקרים שאעבור זמן קצר -
זהו אמצעי פשוט של לקחת משהו שאתה יודע כמוך
שם משתמש והסיסמה שלך ומוסיפים לזה - אתה מוסיף גורם נוסף.
אז הגורם הראשון שאנו מזכירים היום הם אלה אלה על הקרשים.
זה משהו שיש לך בחפצים שלך, כך שהוא או יישום
שבו פועל על הטלפון החכם שלך או בטלפון עצמו אכן שלך.
וייתכן שתוכל לקבל הודעות SMS.
היזהר אם אתה נוסע לחו"ל, כי הוא לא בהכרח הולך אחריך.
יישום יכול לעבוד יותר במקרה זה.
או למעשה גורם האחר ייתכן שתרצה לחשוב על משהו שאתה נמצא.
>> עכשיו זה עדיין סוג של skunkworks מאוד.
אנחנו לא רואים יותר מדי אימוץ שלו.
זהו - אתה יודע - בסגנון משימה בלתי אפשרי - אתה יודע - הדפסת הווריד שלך,
טביעת האצבע שלך, הדפסת הרשתית שלך.
אלה הם סוג של עוד יותר החוצה, הם לא ממש גורמי אימות תקפים מאוד.
אנו רואים - כשאני מדבר עם עמיתי הביטחון שלי - יותר לחץ, כי
אתה שם על לוח מקשים, דפוס ההקלדה המסוים שלך, הוא כנראה
ישירות באופק - כל כך הרבה יותר ממזהים ביומטריים אחרים אלה.
אבל אלה היום הם יישומים או SMS טקסט או אפילו רק
תגובת דוא"ל אתגר שאתה הולך לקבל
כדי לאמת שאתה אכן בוחר להיכנס בנקודה זו בזמן.
אז יש קשר ממש שם; יש לי בדואר את השקופיות של הבוקר.
זה יהיה בויקי.
>> שניהם Gmail ו-Google לעשות זאת; יאהו יעשה את זה.
יש Paypal; Paypal יש גם מפתח חומרה בפועל קטן שעושה מספר מסתובב.
אבל אתה יכול גם לבחור להשתמש במספר טלפון.
פייסבוק גם עושה יומן באישור, כך שאתה בוחר
לאשר אותו, הם גם פועלים לאבטחת כוח קשה תקפה יותר.
יש Dropbox אימות 2 שלבים, כמו גם, אתה יכול גם פשוט
לרכוש מפתח חומרה עבורם.
כמו כן, אנו רואים באחד Gmail או Google אחד, הרבה אנשים
למעשה במשותף בוחרים המאמת של גוגל, כך - למשל -
אני משתמש LastPass - זה לא להוות אישור - אבל הם יכולים לעשות שימוש חוזר
אימות 2 הצעד של גוגל, כך שאומר שאני לא צריך
להסתובב עם 2 יישומים על הטלפון שלי.
אבל גם מחשוב מחקר בתוך הרווארד או באמצעות אנלוגיה
לאימות 2 הצעד של גוגל, כי סיסמא חד פעמית
אלגוריתם שמקורו שם פתוח לפני כ -10 שנים.
יש שאלות? טוב.
>> אז שיקול גורם נוסף מעבר לסיסמות הוא כאשר אתה
שימוש במשאבים אלה להיות מודעים למה שנתונים שאתה מבצע אותם.
רק להגביל את מה אתה בעצם לשים שם למעלה.
אז אנחנו מודעים לכך שהאנשים האלה שמספקים שירות עבורנו באינטרנט -
ספקי מחשוב העננים הללו - יש להם אינטרס בך
לא להיות בטוח כמו שאתה יכול באופן פוטנציאלי.
הם נוטים להעמיד לרשות קבוצת מינימום של ביטחון,
ואז יש חבורה של האחרים, כי הם אופציונלי שאתה צריך לבחור להצטרף ל.
הסוג של לקחת מן הדיבורים האלה הוא ביטחון הוא אחריות משותפת.
זה בינך ובין בני הזוג שתבצע את הבריתות - שאתה יוצר.
אתה צריך לקחת תפקיד פעיל. בוחר להיכנס לזה.
אתה יודע - לקחת את הזמן עכשיו, לעשות את זה יותר בטוח.
האלטרנטיבה היא כבר יש אנשי אימות ובדיקות
גורמי אבטחה אלה נגדך: ככל שאתה יכול לבחור להצטרף
למוכן טובים יותר אתה לפשרה הסופית.
וזה סופו של דבר.
>> אבל הגורם האחר לחשוב עליו הוא כפי שציינתי
המפלגות האלה באינטרנט שבו אתה אמון עם האישורים שלך - עם הזהות שלך.
אני אתן לך 2 אנלוגיות; לארי אליסון ומארק צוקרברג - הם שניהם
בשיא פרטיות וקבעה במידה רבה אשליה.
ושהגיל של פרטיות הוא מעל.
זה סוג של כתב אישום עצוב שאנחנו באמת צריכים לחכות
לממשלה להתערב כדי לכפות על הצדדים האלה כדי להיות בטוחים יותר,
להציג יותר חקיקה, משום שכאשר אנחנו מנסים לעבוד עם
ספקים אלה לדוגמה כמה מאלה כמו Dropbox צדדים,
הם בעסק של מתן שירותים לצרכן.
הם אינם מעוניינים בכך באופן ישיר בקרות אבטחה ברמה ארגונית.
הצרכנים הצביעו בארנק שלהם,
והם כבר קיבל את ציון מינימאלי.
הגעתי הזמן לשנות את החשיבה של זה.
לכן, כאשר אנו מספקים את הנתונים שלנו למפלגות האלה, אנחנו צריכים לצרפנו
מנגנוני אמון קיימים, כך שאנחנו יצורים חברתיים כברירת מחדל.
>> אז למה פתאום כאשר אנחנו מתחילים לשים את הנתונים באינטרנט
עכשיו יש לנו גישה לאותם הגנות שאנחנו עושים באופן אישי?
לכן, כאשר אני יכול לקרוא את שפת הגוף שלך, כשאני יכול לבחור
רשת עם מעגל חברתי ואכן למעגל שתגלה
רק את המידע שאני רוצה.
אז יש לנו גישה לשפת גוף, ביטוי זה, כדי להשמיע,
יש לנו גישה לגינות הקירבה זהות אלה
במיקום פיזי, הם עדיין בפיתוח באינטרנט.
אין לנו גישה אליהם, אבל אנחנו מתחילים לראות אותם.
אז יש לנו היבטים בפייסבוק - למשל - כמו קבוצות.
יש לנו גישה לדברים ב-Google +, כמו חוגים.
בהחלט להשתמש בם.
אז הדבר האחרון שאתה רוצה לראות במרחב זה בפרט
כשאתה הולך לקבל את עבודה שיש לך עכשיו עשה הרבה
ציבור אישיות.
וכאשר מישהו רוצה - הם צריכים לבחור - זה יכול להיות חלק
מדיניות חברה או לא - זה בהחלט לא חלק מHarvard's -
אבל הם יכולים לבחור לעשות חיפוש בגוגל.
וכשהם עושים זאת - אם סיפק - תן לנו לומר כמה פרטים
שתהיה לך קושי שעמד מאחורי -
יש לך לעשות לעצמך שירות דוב.
ואכן כפי שציינתי - חברות החברתיות אלה שיש להם אינטרס
שבהופך אותו לציבור - אתה יודע - הם צריכים לכרות את הנתונים שלך.
הם מוכרים דמוגרפיים שלך וחומרי השיווק שלך למישהו.
הסוג של אנלוגיה במרחב זה הוא - אם אתה לא משלם על מוצר
הם לך את המוצר?
אז ליצור עיגולים לחברים שלך, להיות זהיר, להיות חרוץ,
תנסה לא להפוך את הכל לציבור.
>> אנלוגיה נוספת שאני אעשה היא הסכמי רישיון למשתמש קצה
לשנות, הם הולכים לספר לך מה הם יכולים לעשות עם הנתונים שלך,
והם הולכים לקבור אותו בלחיצה אחת 50 עמודים דרך.
והם יכולים לבחור כדי לשנות את זה, והם פשוט ישלחו לך דוא"ל מהיר.
אבל אתה לא עורך דין, הוא במידה רבה בשפה משפטית.
אתה צריך להיות זהיר של מה שאתה עושה.
הם יכולים להחזיק את התמונות שלך, הם עשויים להחזיק בקניין הרוחני שלך.
אתה יודע - רק בדיקה גופנית.
דוגמה נוספת לספריית הקונגרס בארכיון כל ציוץ הידוע לאדם. הכל.
בערך כל 10 שנים בגוף של חומר שנוצר
בכך 10 חשבונות שנים או במידה רבה outpaces כל מה שיש לנו
נוצר לאורך ההיסטוריה האנושית.
ספריית הקונגרס יש אינטרס בשימור המידע ש
למען הדורות הבאים, לארכיונאים בעתיד, לחוקרים וההיסטוריונים בעתיד,
אז כל מה שאתה מכניס לשם הוא שם.
זה יהיה למעשה להפוך את משאב עצום בשלב מסוים
ברגע שאנשים יתחילו לכרות הנדסה חברתית או אתרי רשתות חברתיים.
אז לשמור apprised של ההגנות הזמינות בכל יישום.
>> יש משהו שאני לא אזכיר גם כן, יש כלי צד שלישי
קרא Privacyfix, הוא יכול לחבר את זכות לכמה מאלה
יישומי רשתות חברתיים.
והוא יכול לבדוק איפה אתה נמצא ביחס להגנות
שזמינים עליהם אם אתה יכול לבחור להחריף אותם עוד יותר.
ישנם כלים כמו חזית שחרור נתונים מ-Google
שבו אתה יכול לבחור לייצא או לחלץ את הנתונים שלך.
יש דברים כמו מכונת ההתאבדות באינטרנט שמתחברים למחשב ב
לחלק מהפרופילים שלך ובעצם למחוק את כל תכונה
אחד בכל פעם, untag כל חברים עמותה יחידים ברשת שלך היה עושה.
וזה ירדוף כדי לטהר את כל מה שעליך iteratively
כי האתר שהיה יודע.
אם אני רק יכול לממש קצת זהירות גם שם, לא היה מקרה
לפני כמה שנים בגרמניה, שם אזרח החליט
לממש את החופש של זכויותיו ולבקש מידע על מנת לספק פייסבוק
מה מידע שהיו להם בשיאו אפילו אחרי שהוא מחק את החשבון שלו.
הם מסופקים עם תקליטור אותו עם 1,250 עמודים של מידע
למרות שהחשבון שלו באופן תיאורטי כבר לא היו קיימים.
יש מושג במרחב זה הרבה שכמה מאלה
גופים יהיו לשמור על כמה נתונים עליך לעשות עם העמותות והרשתות שלך שלך.
הם אומרים שלא יכולים להיות להם שליטה עליו, כלומר קצת למתוח לדעתי.
הם יוצרים חשבונות אלה הצל - את אישיות הצל.
רק להיזהר.
להגביל את מה שאתה יכול.
ברמת מכשיר בפועל כאשר אתה רק מדבר -
אתה יודע - חומרה - הטלפון החכם שלך, הטבליות שלך,
תחנת העבודה שלך, המחשב הנייד שלך, אולי שרת שאתה אחראי.
>> יש לך כנראה שמע על מושגים כמו פעולה, עדכוני מערכת,
עדכוני יישומים, אנטי וירוס, ששמעת על דברים כמו חומות אש,
הצפנת דיסק, וגיבוי.
דבר אחד שאתה צריך להיות מודע הוא שאתה לא שומע על
אלה סוג של הגנות בשטח הטלפון הנייד.
הם רגישים בדיוק כמו לאותם איומים.
היה לנו - אני רוצה להגיד - מיליון טלפונים חכמים הולכים להיות
מופעל על ידי סוף החודש זה.
כי במידה רבה יש outpaced - בתוך הפרק הזמן הקצר, כי
הם היו זמינים, שיש בהרבה outpaced הצמיחה של
המחשב, המחשב הנייד, שוק העבודה.
אבל אין לנו גישה לאותם הבקרים, ואני
ידבר על כך בקרוב.
אז לפני שנגיע למרחב הטלפון הנייד נתן לנו לדבר על
מה זמין שם שניגשתי רק לזמן קצר.
אז תוכנת האנטי וירוס - הנה כמה אפשרויות חינמיות.
מיקרוסופט מסגירה אותם - אתה יודע - Sophos מסגיר אותם לOSX כמו גם
תיקון המחשב שלך - רק להיות מודע לכל מה שהספק שלך של
רמה הנוכחית היא תיקון, ואתה לא צריך להיות דלתא משמעותית מזה.
יש כלי נחמד מחברה שנקראת Secunia.
Secunia ויפעל ברקע, ואת זה יגיד לך אם יש
עודכן זמין ואם אתה צריך ליישם את זה.
>> לאפשר עדכונים אוטומטיים - שניהם אפל ומיקרוסופט תצטרך היבט כלשהו של זה.
הם יתריע לך שיש עדכון זמין.
וSecunia - אתה יודע - הוא סוג של בטיחות נחמדה נקי שיש, כמו גם - מנגנון ליפול בחזרה.
בשכבת המארח - לא מקבל לטלפונים חכמים עדיין.
להפעיל את חומת האש המקומית למערכת ההפעלה.
יש קצת מידע על Windows בOSX אחד.
בדוק את חומת האש שלך, רק אל תשאיר אותו שם וחושב שזה מנגנון מאובטח.
לקחת חלק פעיל, יש שם מיישום GRC - סטיב גיבסון.
אבטחת רשת אלחוטית במרחב הזה - זה יכול לחול גם על הטלפון החכם ומחשב הלוח -
כאשר אתה בוחר ללכת על הכביש אתה צריך להיות מודע
כי יש סוגים שונים של רשת אלחוטית.
ובפרט לא בוחר ביותר זמין בדרך כלל אחד.
זה יכול להיות בעלות נמוכה, אבל ייתכן שיש לכך סיבה.
אולי הם כריית נתונים שלך.
אנחנו רואים את זה יותר כשאתם נוסעים בעולם.
יש כמה סינדיקטים פליליים באמת יעילים ביותר סייבר
כי הם הצליחו למנף את מה שאנחנו בדרך כלל רואים בריגול של מדינות הלאום.
גורם שבו הם נמצאים על הסף הזרקה עצמם בזרם רשת.
הם מושכים דברים משם, והם מזריקים
יישומים על לתחנות העבודה שלך.
>> זה - ההיבט האחר שאני יודע שהוזכר בכמה מאלה
סמינרי ביטחון - או לא סמינרי CS50 סמינרים - הוא כלי שנקרא Firesheep.
וFiresheep היה התקפה מסוימת במרחב הטלפון הנייד
שבו כמה מיישומי רשתות החברתיים אלה היו שולחים את אישורי בטקסט רגיל.
וזה היה מקובל למדי בדרך כלל, כי כולם באותו הזמן
חשבתי שאין תיאבון במרחב הצרכן לזה,
כי כדי להשתמש בהצפנת חוזק גבוהה יותר משתמעת נטל ביצועים
בשרת, כך שאם הם לא היו צריכים לעשות את זה - הם לא רוצים.
ואז פתאום, כאשר חוקר אבטחה זה עשה
התקפת טריוויאלי מהר מאוד - אתה יודע - התחלנו לראות סוג כזה של
שיפור שהיה כולם במרחב הביטחון
כבר מתלונן על לזמן משמעותי.
כך - בפרט - Firesheep יכול היה לשלוף פייסבוק, טוויטר
האישורים מהזרם Wi-Fi.
ובגלל שזה היה בטקסט רגיל, והם היו מסוגלים להזריק.
>> שוב, אם אתה הולך להשתמש באינטרנט אלחוטי בוחרים להשתמש באחד ה
מוגן מספיק - WPA2 אם אתה יכול.
אם אתה צריך להשתמש ברשת אלחוטי ללא הצפנה - ובפרט אני מדבר
לכל מי שמשתמש באלחוטית אוניברסיטת הרווארד -
ייתכן שתרצה לחשוב על שימוש VPN. אני מאוד מעודד את זה.
גורמים נוספים שכדאי לחשוב עליו הם אם אתה לא סומך על Wi-Fi
כי אתה בייתכן שתרצה להגביל את השימוש.
אל תעשה את כל מסחר אלקטרוני, לא עושה שום בנקאי.
לא לגשת לאישורים באוניברסיטה שלך.
יש נצחון גדול במרחב הזה אם מישהו
אין לגנוב את אישורי שלך - אתה יודע - יש להם הטלפון הנייד שלך?
אז - אתה יודע - שהיא גורם נוסף שהם לא יכולים בהכרח לחטוף
או רק עושה את ההתקפה שלהם יותר מסובכת.
להצפין את הדיסק הקשיח שלך.
אנחנו נמצאים בעידן שעכשיו - הצפנה הייתה אמור להיות גדול לפני 10 שנים.
זה היה השפעה משמעותית בביצועים.
זה כבר לא - למעשה - רוב הטלפונים הניידים ודברים מסוג הזה
הם עושים את זה בחומרה, ואתה אפילו לא שם לב -
הביצועים הוא כל כך זניח.
>> על תחנת עבודה אם אתה מדבר, אנחנו מדברים על BitLocker.
אנחנו מדברים על קובץ Vault; לאפשר לה - לקחת את הזמן עכשיו.
במרחב לינוקס כמובן Crypts האמיתי יכול לעבוד מול שני אלה.
אולי כדאי לחשוב על - בחלל לינוקס - יש DM-קריפטה,
יש Luxcrypt - יש חבורה של אפשרויות אחרות - גם קריפטה האמיתית.
דרך מהירה אחרת כדי להגן על עצמך ברמת תחנת העבודה
לגבות את הדיסק הקשיח שלך.
וקמטים קלים אחד כאן - זה לא מספיק כדי להשתמש באחד מ
ספקי סנכרון ענן אלה, ולכן Dropbox או G-Drive או משהו אחר
זה לא פתרון של דבר בחזרה.
אם מוחק מישהו משהו על אחד מהמכשירים האלה
משום שהם עצמם הוכנסו איכשהו זה הולך -
כי מחיקה משוכפלת מקבל פני הפרסונה כולו שלך.
שלא לגבות, כלומר רק מנגנון התפשטות.
אז זה טוב שיש פתרון של דבר חזרה.
יש כמה הצעות כאן לכמה אנשים, חלקם ללא תשלום -
קיבולת מבוססת - 2 הופעות של גיבוי - אתה יכול לעשות את זה.
אם אתה משתמש באוניברסיטת G אלקטרוני - האוניברסיטה גוגל במכללה ושיתוף, G-Drive
אם זה לא כבר - זה יהיה זמין בקרוב.
זה תחליף טוב.
אנו גם להסתכל על הדברים האלה כמו בית Mozy.
זה טוב שיש 2 פתרונות.
אין לי את כל הביצים שלך בסל אחד.
אם אתה להיפטר ממשהו או למעשה, אם אתה נמצא בתהליך
לשלוח משהו סודי - כמה הצעות לכאן
מאובטח למחוק מכשיר.
האתחול של Darik וNuke - שהוא סוג של יותר מתמצא-IT.
אולי אתה רוצה לחשוב על זה רק נותן לכמה מאלו
ספקים מסחריים אם אתה יכול.
>> הצפנת דואר אלקטרוני - אם יש לך - יש כמה שירותים בקמפוס
קרא Accellion; אתה מחוץ לקמפוס או לשימוש אישי אני אמליץ Hushmail.
אנחנו רואים את זה הרבה בשימוש במפוח משרוקית, הוא אחד הגורמים המרכזי
מנגנונים וליקיליקס
כמו גם טור ועוד כמה שווה אחרות.
ו-- עכשיו לדבר על רמת הטלפון - אז הבעיה כאן היא
אין כל כך הרבה תיאבון עדיין.
לצערנו רוב הטלפונים החכמים ומחשב לוח OSS
הם עדיין מבוססים על חלק מהעקרונות שראינו בשנת 1990.
הם לא באמת התאגד כמה השיפורים
כי אנו רואים ברמת תחנת העבודה. הם לא עושים הגנת חום.
הם לא עושים - אתה יודע - אקראי שכבה.
הם לא עושים הגנת כתובת.
הם לא עושים לבצע הגנה - דברים מסוג הזה.
אלא גם את המכשיר עצמו על ידי defacto לא הולך לי שום
בסופו של אבטחת נקודה המובנה בתוכו.
אז אנחנו מתחילים לראות את השינוי הזה - שוב - רוב הטלפונים החכמים
יצרנים - אנדרואיד, אפל, ו-Windows - התיאבון רק
לא היה שם; אמת המידה הייתה בלקברי.
אבל יש סוג של בלקברי איבד את כוח המשיכה שלה בשוק בשלב זה.
וApple באמת נכנס פנימה
לפני כשנתי 2 היה רגע שבו הם קו פרשת מים
התחיל לבנות בפקדים מסוג ארגוניים יותר הרבה.
ו-- אכן - בחודש אוגוסט שהם עשו מצגת בDef קון שהיה פשוט בלתי מתקבל על דעת.
>> אז הם יעשו את הבקרות המינימאליות שתארתי.
הם יעשו סיסמא חזקה, הם יעשו את הפקודה לסיסמא שעל סרק -
המכשיר - לך לשכוח את זה ואחרי 15 דקות הוא מפעיל.
הם יעשו את ההצפנה, והם גם יעשו את מה שמכונים מנגב מרוחק.
באנדרואיד ושטח החלונות האלה עדיין TBD - שייקבעו.
אנדרואיד יש גישה ליישומים מסוימים הנקראים טרף ותצפית.
ואכן כמה מכלי אבטחת הנקודות הקצה כמו קספרסקי שאני מכיר עושה את זה.
אני יודע שעושה את זה ESET כמו גם
הם ייאפשרו לך לשלוח הודעות SMS ולטהר את המכשיר.
טלפון Windows בשלב זה הוא בעיקר מכוון לכיוון
סגנון ארגוני - מה שנקרא חליפין.
Exchange הוא תשתית אלקטרוני חזקה, והוא יכול לחייב חלק מפקדים אלה.
Windows 8 נשלח רק בשבוע שעבר, אז אני לא יכול לדבר בודאות ש.
חלונות 6.5 הייתה התקן האבטחה הגדול.
Windows 7 הנייד היה אסון, הם לא עשו את כל בקרות הילידים האלה
חובה על פני ספקים השונים.
אז אתה הייתי צריך לאשרר כל Windows Mobile 7 טלפון אחד בכל פעם.
>> אנדרואיד - שכן יש לו את המרחב 3.0 שיפור משמעותי גם כן.
חלת דבש, הגלידה סנדוויץ, סוכריות - הם תומכים בפקדים מינימאליים אלה,
ואכן הם יתמכו בחלק משליטת הארגון שאתה יכול לעשות גם כן.
בחלל החשבון האישי שלך יש סנכרון אישי שגוגל
אתה יכול לאפשר, אם יש לך מקום משלך גוגל גם כן.
אז מה אתם עושים כאשר כל זה הולך נורא לא בסדר?
ואם אני יכול - ממסעדה אחרת מזה היא באמת כש-- זה לא אם.
זה הולך לקרות לכל אחד מאיתנו בשלב מסוים. מה אתה יכול לעשות?
אז מה אתה יכול לעשות - ויש שקופיות - השקופית הבאה תהיה
להפנות אותך לחלק ממשאבי ה-FTC על זה,
אלא מקום מינימום התראת הונאה בכרטיסי האשראי שלך.
אם אני יכול לעודד אותך לחשוב עליו כאשר אתה משתמש בכרטיס אשראי
בקיבולת מקוונת - בהתאם לעסקה שאתה עושה
כרטיסי חיוב - היכולת לתבוע או את היכולת לחזור בו הונאה
תביעה על כרטיס חיוב היא למעשה חלון קטן בהרבה מזה בכרטיס אשראי.
אז ברגע שאתה מקבל את הדוח שלך על כרטיס חיוב שיש לך רק מסוימת
מסגרת זמן - וזה מאוד נמוך - כדי להודיע ​​לבנק של עסקת הונאה.
כרטיסי אשראי זה הוא הרבה יותר גדול, שם נוטה להיות מגבלה של עד כ 50,000 $
לפני שהם באמת יהיו מסוגלים יפצה אותך.
אז זה די הרבה כסף, הם נתקלו זה למעלה מכ 13,000 $ או 18,000 $ לשם לא מזמן.
אז - אתה יודע - כשאתה חושב על שימוש בכרטיס אשראי באינטרנט,
אתה יכול לחשוב על שימוש עליון את כרטיס או בכרטיס אשראי חד פעמי, צורב, כרטיס?
>> אם אתה רואה את כל דבר - ואני אראה לך איך אתה יכול לקבל גישה לזמן קצר -
לסגור את כל חשבונות כוזבים אם אתה נעשים מודע לכך.
להגיש תלונה במשטרה אם אתה בקמפוס.
להגיע אל HUPD - להודיע ​​להם.
תחשוב על שירות ניטור זהות.
אם כחלק מ-- אם אתה מקבל התפשר - ייתכן שתהיה על -
הם עשויים לממן את שירות הגנת זהות.
אם לא, אולי כדאי לך לעשות את זה.
לאסוף ולשמור את כל הראיות - בפרט כל דיונים שהיו לך
עם כל רשויות פליליות
במיוחד לצרכי ביטוח.
לשנות את כל סיסמאות שלך.
לשנות את תשובות לכל שאלות אבטחה שיכול לשמש לאיפוס הסיסמה שלך.
להשבית את כל שירותי זהות האחרונים.
אז אם אתם שימוש חוזר חשבון הפייסבוק שלך כדי להתחבר לטוויטר או להיפך,
לשבור את זה, אם הפשרה מעורבת חשבון הדוא"ל שלך
לבדוק אם מתבצע העבירו שום דבר.
כי אחר עדיין יש להם גישה לנתונים שלך.
ואם הגניבה כוללת חשבון הרווארד בבקשה להודיע ​​IThelp@harvard.edu.
אני לא יכול לקבוע כי די בכך, אלא גם ובמיוחד אם הולך לאיבוד או המכשיר
נגנב ולא היה לו גישה לנתונים שלך באוניברסיטה, ואולי לך
לא הייתה לי חלק מהגינות אלה יהיה מתאימה, אנא יידעו אותנו -
HUPD וIT Help באוניברסיטת הרווארד.
>> אז הקישור שאני רק ציינו כי נכנס כי עם קבלת פרטים נוספים
FTC.gov / identitytheft.
שירות הדואר יש גם כמה הונאה או שירותי הגנת זהות -
אתה פשוט לשים את האחיזה או עצירה על כרטיסי אשראי של עוברת או דברים כאלה.
יש את ה-FBI, כמו גם קישור, הוא בביאורים של השקופיות ששלחתי החוצה.
ואכן מסצ'וסטס הלשכה עסקית טובה יותר ו
יש הגנת צרכן הלשכה קצת הדרכה וכן, הוא בביאורים.
קח את הזמן עכשיו, להפוך את עצמך מודע למה שאתה יכול לעשות, ולנקוט בפעולה.
עיקרון - כפי שציינתי קודם לכן - הוא אם אין לך תכנית
לזהותך נגנבה אתה מייד הולך להיות
בכפוף להרבה עבודה כאשר זה קורה, וזה מתי.
אבל גם כשאתה לנקוט באמצעי הזהירות הללו - תנו לי רק להוסיף
מילה קלה של זהירות - אין תכנית שורדת מגע ראשון עם האויב.
אז גם שבאנחנו עדיין חושבים שלא יכולים להיות כמה חתרנות - אתה יודע -
הבנק שלך, למשל, שיש לך את כל הגנות שנבנו סביב אלה
הם עשויים לקבל בסכנה; צדדים מהימנים אלה שנתתם את הנתונים שלך אליו.
אז אתה ההגנה הטובה ביותר שלך.
אתה יודע - לעמוד על המשמר - להישאר ערני.
קח את הזמן עכשיו לבחור להצטרף לאלה; תקווה להתרועע
זה, לדבר על זה עם החברים שלך.
בחר סיסמאות טובות; להשתמש בסיסמות ייחודיות לחשבונות שלך.
ולא לעשות שימוש חוזר בסיסמות - בפרט - סביב כמה
הנכסים יותר הרגישים שלך, אל תשתמשו בחשבון האוניברסיטה שלך במקום אחר.
אל תשתמש בחשבון כרטיס האשראי שלך במקום אחר.
סיסמא להגן על המכשיר הנייד שלך עכשיו.
ועל ידי מכשיר נייד חכם אני מתכוון, אני מתכוון למחשב הלוח.
>> לחשוב על שימוש בשאלות איפוס אבטחה טובה, ואני אדבר על
זה זמן קצר למה; לבדוק בדו"ח האשראי שלך.
דרך נוספת שאתה יכול להיות אזרח טוב במרחב זה
הוא אילץ את הממשלה 3 סוכנויות Experian, TransUnion, ו Equifax
לשחרר את דוחות אשראי.
לחלק מקהילת הרווארד, במיוחד בשטח הסטודנט,
זה עשוי להיות חדש להם, אבל מותר לך למשוך את אלה
סוכנויות לפחות פעם בשנה.
זהירות טובה - ללכת לאתר ש; זה זמין על ה-FTC אחד.
ולעשות את זה כל 4 חודשים במקום, ואתה יכול לשמור על
לשוניות שבשידול בקשות למידע על כרטיסי האשראי שלך,
או אם אכן אם מישהו פותח חשבונות כוזבים.
ו-- באופן כללי - הכוונה היא להיות מודע.
ואני הולך לתת לך דוגמה ספציפית זמן קצר,
אבל זה בעצם הבשר ותפוחי האדמה של הדיון.
>> אז למה זה חשוב עכשיו הוא בחודשי הקיץ היה
אדון בשם מאט Honan - אם אתה שם בחוץ תודה רבה לך
בשביל להיות כל כך קרובה עם המידע שלך.
אבל מה שקרה עם מאט הוא שהוא עבד עבור מגזין Wired,
וכמה cyperhacktivists הלך אחרי חשבון הטוויטר שלו.
והם השתמשו בחלק מהמשאבים אלה - חלק מהפרסונה ציבורית זה
שהוא נעשה זמין.
והם בנו את המפה, הם ידעו היכן לתקוף ומתי.
כך שמהם התחילו לחתוך לקוביות את המידע שהוא עשה
זמין, והם מצאו שיש לו חשבון ב-Gmail.
אז הוא משתמש בפחות מסיסמא חכמה ל-Gmail שלו,
ולא הייתה לו שום אימות מרובת גורמים על זה.
אז הם התפשרו Gmail שלו, ברגע שהיינו להם גישה ל-Gmail שלו
הם ראו את כל אלה לחשבונות אחרים שהוא מחובר אליו ב-Gmail.
ואכן, היה להם גישה לכולו כולו Gmail או Google הפרסונה.
ו-- בפרט - הם התחילו לשים לב שיש לו חשבון אמזון
כי היו שם כמה הודעות דוא"ל שדווחו לו.
ואז הם עלו עליו לאמזון, והם עלו עליו לאמזון
רק על ידי איפוס הסיסמה שלו משום שהוא הלך ל-Gmail שלו.
לא הייתה לו - הוא היה סוג של אפקט דומינו או שרשור אישורים קורה כאן
שבו ברגע שהם קיבל את Gmail שלו לא היה להם את המפתחות לממלכה.
אז ברגע שהם עלו עליו לאמזון - וזה היה שלא באשמה
לבחורים אחרים - זה היה - אתה יודע - מאט לא בחר
להצטרף למנגנונים מאובטחים יותר אלה שרק האנשים האלה עשו זמינים
ואת כל מקורות באינטרנט אלה.
>> אז ברגע שהם עלו עליו לאמזון שהיה להם גישה - זה לא להראות להם
כרטיס האשראי שלו, אבל זה הראה להם את 4 הספרות האחרונות
רק כדי שידעתי מה זה היה, זה הראה להם את הכתובת למשלוח שלו.
זה הראה להם קצת מידע אחר שהוא עשה בכמה הזמנות.
ולאחר מכן שמהם החליטו לתקוף את החשבון אפל שלו.
והם מהונדסים חברתיים מחלקת התמיכה של אפל.
אפל לא הייתי צריך לעשות את זה, אבל על סמך מידע זה, כי
הם הצליחו לכרות מן 2 חשבונות האחרים.
אתה יודע - הבחור בדלפק העזרה כנראה חשב שהוא סתם
אזרח טוב - אתה יודע - אני להיות מועיל, יש ללקוח של אפל
שם בחוץ, כי הוא תקוע בחוץ בכוחות עצמו, ואני צריך לעזור לו.
אבל זה לא היה לקוח של אפל האמיתי.
אז הם לאפס את החשבון אפל שלו, והם שלחו את המידע ל- Gmail.
פעם היו לתוקפים גישה לחשבונו של אפל
היה כל ההתקנים שלו קשור אליו iCloud מאט,
והם התחילו להנפיק סטי עדות שקר ומנגב את הכל.
שוב, הוא לא רק את הנתונים שלו מופצים; הוא משתמש iCloud כמנגנון הסנכרון.
לכן, כאשר הם מחקו אותו הכול התפוצץ.
עדיין לא היה להם גישה בשלב זה לחשבון שלו וזה מה שטוויטר
הם ניסו לתקוף.
אני לא יודע אם הם השתמשו Maltego או חלק ממנגנונים אחרים אלה
כדי לבנות את האישיות שלו באינטרנט, אבל - אתה יודע - כעניין של
כמובן שיש להם גישה לשירותי 4 זהות שונות לפני
הם הגיעו לטוויטר שלו, וזה עלה מאט -
מאט היה די בר מזל שראה את זה קורה, כי הילדים שלו באים אליו
כאשר האייפד ינעל את עצמו.
והם אמרו - אתה יודע, "אבא, יש משהו שקורה עם האייפד".
והוא סגר את הכל, כי הוא שם לב שזה קורה בכל מקום.
והוא התחיל לקרוא אפל כדי לראות מה לכל הרוחות הייתה פשוט קרה.
ואפל באמת חשב שיש משהו קורה
iCloud שהלך נוכלים עד שהם הבינו -
הוא הבין בעצם שהם שולחים מידע, ו
הם החלו לקרוא לו בשם הלא נכון.
כי לא היה לי אפל על מידע קובץ שהפורץ שחתר תחת.
>> בסדר - אז זה הסוג של מידע שאנו משתמשים כדי לבנות את זה
סוג של התרגול הטוב ביותר, אנחנו משתמשים בזה כחלק מסדרה שלמה של
סמינרים עד אוקטובר - חודש מודעות CyberSecurity הלאומי.
זה כבר נעשה זמין לך החבר 'ה.
אני אוודא שאני שלחתי אותו החוצה בויקי כאשר דוד עושה את זה זמין לי גם כן.
אבל יש ייעוץ והכוונה לשם הרבה יותר מאשר granularly
אני יכול לסכם בכמות זמן קצרה זה יש לי זמין.
סביב מה שנקרא, מעונן עם סיכוי לגניבת זהות:
בחירת שמות משתמש טובים וסיסמאות.
האם זה אי פעם לא חברתי? והתשובה היא לא, זה תמיד חברתי,
אבל אתה צריך להיות מודע למה שזה אומר.
והוא אילוף אריות, נמרים וWindows, אשר סביב
מערכות הפעלת התקשות עם חלק מהמידע הלכנו להיום.
ועבר על אחד, יש מכשיר, יצא למסע
לדבר על הולך נייד עם סוג של מקורות נתונים אלה.
אז חוץ מזה, אם יש לך שאלות את כתובת הדוא"ל שלי היא
שם, ואם מישהו בחדר יש שאלות אנא הרם את ידך.
חוץ מזה, אני הולך לעצור את ההקלטה.
בסדר. עשה.
[CS50.TV]