[Powered by Google Translate] [Seminar: Surviving the Internet]
[Esmond Kane-Harvard University]
[Dette er CS50.-CS50.TV]
Hei, og velkommen til "Surviving the Internet".
Det er et av seminarene som utgjør en del av denne CS50 læreplanen.
Mitt navn er Esmond Kane. Min adresse er på dette lysbildet dekk foran deg.
Det er esmond_kane@harvard.edu.
I jobben min er jeg en av de IT-sikkerhet direktører for HUIT,
men jeg må erkjenne at i dag er jeg på en borte oppdrag
det er derfor jeg har en rød skjorte.
Dette er ikke til å omfatte alt som kan tilskrives
direkte til jobben min, så dette handler ikke om IT-sikkerhet til Harvard.
Dette er mer bare personlig informasjon, og dette er hvordan når du har kommet -
disse er den type ferdigheter som du vil tilegne seg for å prøve og hjelpe deg
herde dine arbeidsstasjoner og ditt miljø gjennom hele din karriere.
Men ingenting som jeg nevner i dag skal brukes til noen av dine
universitet materiale, servere, eller arbeidsstasjoner
uten å kontakte din lokale IT-støtte.
Og ja hvis jeg nevne noen programmer eller eventuelle hendelser som en del av dette
diskusjon eller diskusjon det ikke rapporterer noe at jeg er privilegert å rapportere.
Det er vanligvis offentlige
Og heller ikke faktisk bør enhver omtale av enhver applikasjon innebære noen
påtegning gjennom Harvard eller faktisk noen fordømmelse.
>> Så i dag hvorfor vi er her - nå som vi er ferdig med ansvarsfraskrivelse -
Vi er her i dag for å snakke om å overleve på Internett.
Og hvorfor er det så viktig tema akkurat nå?
Så for å omskrive Perry Hewitt som jobber i Harvard Press and Communications kontor -
Jeg beklager leser dette akkurat nå - hun har uttalt: "Vi lever i en
atmosfære av økende risiko, men også en av enestående innovasjon.
Den raske veksten av Internett, Cloud, og sosiale teknologier
har resultert i mange flere mennesker som har offentlige profiler online
med faktisk få tilgang til et stadig økende utvalg av informasjon.
Og det betyr at alle og deres foreninger har aldri vært mer synlig.
Som Harvard digitale fotavtrykk - sin digitale nettverket utvides,
vi tiltrekke et bredere publikum.
Vi håper for det bedre, men noen ganger vil vi
tiltrekke noen negativ oppmerksomhet.
Så som en representant for Harvard ", og dette inkluderer alle
ser hjemme eller faktisk noen her, "våre lærere, våre studenter, våre ansatte,
våre forskere, er risikoen for kompromiss for deg og faktisk til
din tilknyttet nettverket har aldri vært høyere. "
>> Så ofte i informasjonssikkerhet når vi prøver å balansere dette
risikere det er en komplisert avveining mellom sikkerhet og brukeropplevelsen.
I den æra av umiddelbarhet må vi gjøre gjennomtenkte beslutninger
om hva som vil forbedre sikkerheten uten vesentlig ulempe.
Vi blir fortalt noen ganger en unse for forebygging er verdt dobbelt kur,
men når du velger å iverksette sikkerhetstiltak for å redusere risikoen
Vi må erkjenne at det aldri vil redusere den potensielle risikoen til null.
Så som sagt - vi er her i dag for å diskutere noen enkle og ikke så enkelt
sikkerhetsmessige forholdsregler du kan ta akkurat nå.
Jeg bør også legge til - hvis du har noen spørsmål gjennom hele
presentasjonen bare heve hånden.
Så det første temaet - vi blir ofte bedt om å velge et godt passord.
Et passord er din første og beste forsvar.
Det er ofte den eneste som er tilgjengelig for deg
når du velger å bruke en elektronisk ressurs.
Men som vi har sett gjennom hele denne sommeren og faktisk året før
vi har sett angrep som LinkedIn, eHarmony.
Vi har sett RockYou.
Vi har hatt noen totalt 70 millioner passord og kontoer kompromittert.
Og når disse passordene ble sluppet ut i det offentlige rom
de også omfattet passord hash.
>> Så i utgangspunktet i disse dager hvis noen henter en konto bikube
de trenger ikke å knekke et passord lenger,. de trenger ikke å brute force et passord
fordi de har denne massive trove av sluppet informasjon om hva folk velger.
De har allerede fått atferdsmessige data til tankene hva folk pleier å bruke.
Og de har brutt den ned til en liste med ca tusen passord
som utgjør nesten 80 til 90% av de passordene som vi velger i vanlig bruk.
Så en rask eksempel - noen vil våge det du trodde
Bashar al-Assad brukes til passordet hans da det ble kompromittert i fjor?
Dette er en gentleman som er gjenstand for intens gransking.
Og hans passordet var 12345.
Ok - så dette er lærdom som vi har lært, vi trenger å flytte
utover bare tenker på et passord.
Vi får beskjed om å begynne å bruke et passord.
Det er et stort komisk fra eller faktisk en web tegneserien fra Randy Monroe
som går inn å velge en passordfrase, han bruker - jeg vil si -
batteri, stift, begrense eller noe sånt - du vet - bare -
eller faktisk er det vits at noen som plukket Goofy, Nemo,
Pluto - alle disse forskjellige karakterer og London fordi han ble fortalt
å plukke åtte tegn og en kapital.
Men - så vi lærer må vi gå tenke utover bare et passord.
>> Det er faktisk en Ezine i Boston kalt Ars Technica.
Det er en gentleman som heter Dan Goodin som gjør en serie på
Dette endrer omfang - enten fra angriperen plass der vi har
denne massive trove tilgjengelig for oss
enten tankene vi ikke lenger trenger å generere ting gjennom regnbuen;
har vi 70 millioner passord.
Men også vi har hatt - du vet - en skiftende scape i
Selve cracking plass fordi GPU kortene har gjort dette
nesten nær sanntid.
Og det er en gentleman i Def Con i august som satt sammen
12 av disse kortene til en vare PC.
Han gjorde det for ca $ 2000 eller $ 3000, og han var i stand til å knekke
LinkedIn trove i - du vet - nær sanntid.
Det var ganske skummelt.
Dan Goodin artikkel - jeg anbefaler det hvis du vil gå lese den.
En gentleman som heter Sean Gallagher - morges - også publisert en
rask oppdatering på det, mye av arbeidet deres er bygget på -
fra materialet tilgjengelig fra Bruce Schneier, men også fra
Cormac Herely fra Microsoft Research.
De slags uttalt ca 5-6 år siden at vi må begynne å tenke utover passord.
Forslagene på den tiden var ting som passordfraser,
gestikk grensesnitt - den slags ting.
Du vet - om noe du vet er ikke lenger tilstrekkelig på dette punktet;
som er en av de tingene som jeg ønsker å kommunisere i dag.
Hvis du trenger å bruke et passord, la oss ikke være sjenert i begrunnelsen du bør likevel
plukke en god en, det skal være forhåpentligvis noe utover 10 tegn.
Det bør variere mellom store og små bokstaver.
>> Jeg vil sterkt oppfordre deg til ikke å bruke passord.
Jeg kan snakke med flere tilfeller der vi har sett en konto får
kompromittert og noen hoppet og hoppet - det dominoeffekt.
De grave hver konto på hvert trinn i prosessen for dette
data, og så fortsette å bruke disse dataene at de utvunnet i hvert tilfelle
mot en annen credential kilde.
Så - igjen - velger et godt passord.
Gjøre det unikt. Det kan være lurt å tenke på å bruke et passord manager service.
Det er de ute fra - de er alle i app-butikker.
Det er en som heter OnePass, KeePass, LastPass -
det er en fin måte for det å hjelpe deg å lage unike legitimasjon, sterke legitimasjon,
men også legge til rette for arkiv og journalføring for deg.
Ned side til det er du trenger å ta det til et passord butikken;
du må sørge for at at passord manager som du er tillitsfulle
er verdig din tillit også.
>> Så sørg for at disse gutta også bruker noen gyldige passord mekanismer.
Spesielt den jeg kommer til å nevne akkurat nå
er multi-faktor autentisering.
Så multi-faktor autentisering - og det er flere tilfeller jeg vil gå gjennom kort tid -
Det er det enkle å ta noe du vet som din
brukernavnet og passordet ditt og legge til det - du legger en annen faktor.
Så den første faktoren som vi vil nevne i dag er disse de i styrene.
Det er noe du har i dine eiendeler, så det er enten en søknad
som kjører på smarttelefonen eller faktisk på selve telefonen.
Og du kan være i stand til å motta en SMS.
Vær forsiktig hvis du reiser utenlands som ikke nødvendigvis kommer til å følge deg.
Et program kan arbeide større i dette tilfellet.
Eller faktisk den andre faktoren kan være lurt å tenke på er noe du er.
>> Nå er dette fortsatt slags svært mye skunkworks.
Vi ser ikke for mye adopsjon av det.
Dette er - du vet - Mission Impossible stil - du vet - en blodåre print,
tommelen print, din netthinnen print.
De er litt lenger ut, de er ikke veldig gyldige autentiseringsfaktorer.
Vi ser - når jeg snakker med mine sikkerhet kolleger - mer press som
du legger på et tastatur, din spesielle skrive mønster, er trolig
direkte på horisonten - så mye mer enn disse andre biometriske kjennetegn.
Men de som i dag er programmer eller SMS tekst eller bare en
Utfordringen svar e-post som du kommer til å få
å validere at du gjorde faktisk velger å logge seg på dette tidspunktet.
Så det er en kobling der, jeg har sendt ut raset dekk i morges.
Det vil være på Wiki.
>> Både Gmail og Google gjøre dette, Yahoo vil gjøre det.
Paypal har det, Paypal også har et lite faktiske hardware nøkkel som gjør en roterende nummer.
Men du kan også velge å bruke et telefonnummer.
Facebook gjør også en logg i godkjenning, slik at du velger å
godkjenne det, de jobber også mot mer gyldig hardt styrke sikkerheten.
Dropbox har 2-trinns bekreftelse, så vel, du kan også bare
kjøpe en hardware nøkkel for dem.
Vi ser også i Gmail ene eller den Google en, mange mennesker er
faktisk co-velger Googles autentifikatoren, så - for eksempel -
Jeg bruker LastPass - det innebærer ikke noen anbefaling - men de kan gjenbruke
Googles 2-trinns bekreftelse, så det betyr at jeg ikke trenger å
gå rundt med to programmer på telefonen min.
Men også forskning databehandling innen Harvard eller bruke en analogi
til Googles 2-trinns autentisering fordi engangspassord
algoritmen ble åpen kildekode det ca 10 år siden.
Eventuelle spørsmål? Bra.
>> Slik at en annen faktor betraktning utover passord er når du er
bruker disse ressursene være klar over hvilke data du forplikter deg til dem.
Bare begrense hva du faktisk sette opp der.
Så vi er klar over at disse menneskene som leverer en tjeneste for oss på Internett -
disse Cloud-leverandører - de har en egeninteresse i deg
ikke å være så sikker som du muligens kan.
De har en tendens til å gjøre tilgjengelig et minimum sett av sikkerhet,
og så er det en haug med andre som er valgfrie at du må velge å melde deg.
Den slags ta bort fra denne talen er sikkerhet er et felles ansvar.
Det er mellom deg og de partnerne som du gjør - de allianser som du danner.
Du må ta en aktiv rolle. Velger å melde deg på det.
Du vet - ta deg tid nå, gjør det sikrere.
Alternativet er det allerede folk validering og testing
disse sikkerhetsoppdateringene faktorer mot deg, jo mer kan du velge å melde deg på
til bedre forberedt er du for eventuelt kompromiss.
Og det er eventuelt.
>> Men den andre faktoren å tenke på er som jeg nevnte
disse Internett partier som du setter din lit til påloggingsinformasjonen - med din identitet.
Jeg skal gi deg to analogier, Larry Ellison og Mark Zuckerberg - de er begge
på posten som sier personvern er i stor grad en illusjon.
Og at alderen på personvern er over.
Det er en slags trist tiltale som vi virkelig trenger å vente
for regjeringen å gå inn for å tvinge disse partiene til å være mer sikker,
å innføre mer lovgivning fordi når vi prøver å jobbe med
disse leverandørene for eksempel noen av disse Dropbox som parter,
de er i bransjen for å tilby tjenester til forbruker.
De er ikke direkte interessert i å ha enterprise-klasse sikkerhetskontroller.
Forbrukerne stemte med lommeboken sin,
og de har allerede akseptert et minimum karakteren.
Det er på tide å endre den tenkning.
Så når vi gir våre data til disse partiene, må vi oppnevne vår
eksisterende tillit mekanismer, slik at vi er sosiale vesener som standard.
>> Så hvorfor alle plutselig når vi begynner å sette data online
gjør vi nå har tilgang til samme beskyttelse vi gjør personlig?
Så når jeg kan lese kroppsspråk, når jeg kan velge å
nettverk med en sosial sirkel og faktisk til at sirkelen røpe
bare den informasjonen som jeg vil.
Så vi har tilgang til denne kroppsspråk, uttrykk, å vokalisere,
vi har tilgang til disse identitet nærhet beskyttelse
i et fysisk sted, de er fortsatt voksende online.
Vi har ikke tilgang til dem, men vi begynner å se dem.
Så vi har fasetter i Facebook - for eksempel - som grupper.
Vi har tilgang til ting i Google+ som sirkler.
Absolutt bruke dem.
Så det siste du ønsker å se er i dette rommet i særdeleshet
når du går for å få en jobb du har nå gjort mye av din
personlighet publikum.
Og når noen ønsker å - bør de ønsker det - det kan være en del
av selskapets policy eller ikke - det er absolutt ikke en del av Harvard's -
men de kan velge å gjøre et Google-søk.
Og når de gjør det - hvis du har oppgitt - la oss si litt informasjon
som du ville ha problemer med å stå bak -
du har gjort deg selv en bjørnetjeneste.
Og ja som jeg nevnte - disse sosiale selskaper de har en egeninteresse
i å gjøre det offentlig - du vet - de trenger å grave dine data.
De selger dine demografi og din markedsmateriell for noen.
Den slags analogi i dette rommet er - hvis du ikke betaler for et produkt
er du produktet?
Så lage sirkler for dine venner, være forsiktig, være flittig,
prøv å ikke gjøre alt publikum.
>> En annen analogi jeg vil gjøre er sluttbruker lisensavtaler
endre, de kommer til å fortelle deg hva de kan gjøre med dine data,
og de kommer til å begrave den i en 50-siders klikke seg gjennom.
Og de kan velge å endre det, og de bare sende deg en kjapp e-post.
Men du er ikke en advokat, det er veldig mye i juridisk.
Du må være forsiktig med hva du gjør.
De kan eie bildene dine, de kan eie din åndsverk.
Du vet - bare øvelse diligence.
Et annet eksempel Library of Congress er arkivering hver eneste tweet kjent mann. Alt.
Hvert 10 år omtrent legemet av materiale som er generert
i 10 at års regnskap eller sterkt overgår alt vi har
skapt gjennom menneskehetens historie.
The Library of Congress har en egeninteresse i å bevare denne informasjonen
for ettertiden, for fremtidige arkivarer, for fremtidige forskere og historikere,
så alt du legger ut der er der.
Det vil faktisk gjøre en enorm ressurs på et tidspunkt
når folk begynner å grave social engineering eller nettsamfunn.
Så hold underrettet om den beskyttelsen som finnes innenfor hvert program.
>> Det er noe jeg vil nevne så vel, det er en tredjepart verktøy
kalt Privacyfix, det kan plugge rett inn i noen av disse
sosiale nettverk applikasjoner.
Og det kan sjekke for å se hvor du er i forhold til den beskyttelse
som er tilgjengelig på dem hvis du kan velge å skralle dem opp videre.
Det finnes verktøy som Data Liberation Front fra Google
hvor du kan velge å eksportere eller hente ut data.
Det er ting som internett Suicide Machine som vil logge seg på
til noen av profilene dine og faktisk slette hver enkelt attributt
en om gangen, untag hver eneste foreningen venner i nettverket ditt ville ha gjort.
Og det vil forfølge iterativt rense alt om deg
at dette området ville vite.
Hvis jeg kan bare utøve litt forsiktig der også, det var en forekomst
et par år siden i Tyskland der en borger besluttet å
utøve sin frihet av informasjon rettigheter og be Facebook for å gi
hvilken informasjon de hadde på posten for ham selv etter at han slettet sin konto.
De ga ham en CD med 1250 sider med informasjon
selv om hans konto teoretisk ikke lenger eksisterte.
Det er konseptet i dette rommet mye at noen av disse
enheter vil opprettholde noen data om du skal gjøre med dine foreninger og dine nettverk.
De sier at de ikke kan ha kontroll over det, det er litt av en strekk etter min mening.
De skaper disse skygge kontoer - skyggen personas.
Bare vær forsiktig.
Begrenser hva du kan.
På en faktisk enhet nivå når du bare snakker om -
du vet - hardware - smarttelefonen, tablettene dine,
arbeidsstasjonen, din laptop, kanskje en server som du er ansvarlig for.
>> Du har sikkert hørt om begreper som drift, systemoppdateringer,
programoppdateringer, antivirus, du har hørt om ting som brannmurer,
disk kryptering, og opp igjen.
Det eneste du bør være klar over er at du ikke hører om
de slags beskyttelse i mobiltelefonen plass.
De er like utsatt for de samme truslene.
Vi hadde - jeg vil si - en million smarttelefoner kommer til å være
aktiveres ved slutten av denne måneden.
Som har langt overgått den - innenfor den korte tiden som
de har vært tilgjengelig, har som langt overgått veksten av
PC, laptop, arbeidsstasjonen markedet.
Men vi ikke har tilgang til de samme kontrollene, og jeg
vil snakke om dette om kort tid.
Så før vi får til mobiltelefonen plass la oss snakke om
hva som er tilgjengelig der som jeg bare kort gikk over.
Så antivirusprogramvare - her er noen frie valg.
Microsoft gir bort deres - du vet - Sophos gir bort deres for OSX så vel
Lappe datamaskinen - bare være klar over hva din leverandørs
dagens patch nivået er, og du bør ikke være en betydelig delta fra det.
Det er et fint verktøy fra et firma som heter Secunia.
Og Secunia vil kjøre i bakgrunnen, og det vil fortelle deg om det er en
oppdateres tilgjengelig og hvis du trenger å bruke den.
>> Aktivere automatiske oppdateringer - både Apple og Microsoft vil ha noen aspekter av dette.
De vil varsle deg om at det er en oppdatering tilgjengelig.
Og Secunia - du vet - er slags en fin sikkerhetsnett å ha også - falle tilbake mekanisme.
At det vert lag - ikke får til smarttelefoner ennå.
Aktivere brannmuren innfødt til operativsystemet.
Det er litt informasjon om Windows i OSX en.
Test din brannmur, ikke bare la det der og tror at det er en sikker mekanisme.
Ta en aktiv rolle, og det er et program der fra GRC - Steve Gibson.
Wi-Fi sikkerhet i dette rommet - dette kan også gjelde for smarttelefon og tablet -
når du velger å gå på veien du må være klar
at det er ulike klasser av trådløst nettverk.
Og spesielt ikke velger den mest tilgjengelige en.
Det kan være lav pris, men det kan være en grunn for det.
Kanskje de er gruvedrift dine data.
Vi ser dette mer når du reiser internasjonalt.
Det er noen virkelig effektive cyber kriminelle syndikater
som er i stand til å utnytte det vi vanligvis ser i nasjonalstatene 'spionasje.
En faktor hvor de er direkte injisere seg selv i et nettverk strøm.
De drar ting ut av det, og de injiserer
applikasjoner på dine arbeidsstasjoner.
>> Det er - det andre aspektet som jeg vet ble nevnt i noen av disse
sikkerhet seminarer - eller ikke seminarer CS50 seminarer - er et verktøy kalt Firesheep.
Og Firesheep var en spesiell angrep i mobiltelefonen plass
hvor noen av disse sosiale nettverk applikasjoner skulle sende legitimasjon i ren tekst.
Og dette var ganske allment akseptert fordi alle på den tiden
tenkte at det var ingen appetitt i forbrukermarkedet plass til det,
at å bruke høyere styrke kryptering innebar en forestilling byrde
på serveren, så hvis de ikke trenger å gjøre det - de ikke vil.
Og da alle plutselig når denne sikkerhetsoppdateringen forskeren gjort
angrepet trivielle svært raskt - du vet - vi begynte å se den slags
forbedring at alle i sikkerhet plass hadde
vært klaget på for en betydelig lengre tid.
Så - i særdeleshet - Firesheep var i stand til å hente Facebook, Twitter
legitimasjon fra den Wi-Fi-stream.
Og fordi det var i ren tekst, og de var i stand til å injisere.
>> Igjen, hvis du skal bruke Wi-Fi velger å bruke en som
er tilstrekkelig beskyttet - WPA2 hvis du kan.
Hvis du må bruke ukryptert Wi-Fi - og spesielt jeg snakker
til noen som bruker Harvard University trådløs -
kan det være lurt å tenke på å bruke VPN. Jeg sterkt oppfordre den.
Andre faktorer kan være lurt å tenke på er hvis du ikke stoler på Wi-Fi
at du er på det kan være lurt å begrense bruken.
Ikke gjør noen e-handel, ikke gjør noen bank.
Ikke tilgang til universitetets legitimasjon.
Det er en stor seier i dette rommet hvis noen
stjeler din påloggingsinformasjon - du vet - de har ikke din mobiltelefon?
Så - du vet - det er en annen faktor som de ikke nødvendigvis kan kapre
eller bare gjør sitt angrep mer komplisert.
Kryptere harddisken.
Vi er i en tid akkurat nå - kryptering pleide å være en stor avtale for 10 år siden.
Det var en betydelig påvirkning på ytelsen.
Det er ikke lenger - faktisk - de fleste av mobiltelefoner og den slags ting
de gjør det i hardware, og du trenger ikke engang merke til -
ytelsen er så ubetydelig.
>> Hvis du snakker om en arbeidsstasjon, vi snakker om BitLocker.
Vi snakker om File Vault, gjør at den - ta deg tid nå.
I Linux plass åpenbart Sanne Crypts kan arbeide på tvers av begge disse.
Det kan være lurt å tenke på - i Linux-plass - det er dm-crypt,
det er Luxcrypt - det er en haug med andre alternativer - også Tro Crypt.
Annen rask måte å beskytte deg selv ved arbeidsstasjonen nivå
sikkerhetskopiere harddisken.
Og en liten rynke her - det er ikke tilstrekkelig å bruke en av
disse Cloud synkronisering leverandører, så Dropbox eller G-Drive eller noe annet
Det er ikke en back up-løsning.
Hvis noen sletter noe på en av disse enhetene
fordi de satt seg liksom det kommer -
at sletting blir gjenskapt over hele personligheten.
Det er ikke en back up, det er bare en forplantning mekanisme.
Så det er godt å ha en back up-løsning.
Det er noen forslag her for noen mennesker, og noen av dem er gratis -
kapasitet basert - to konserter med opp - du kan gjøre det.
Hvis du bruker universitetet G-mail - universitet Google på college og co, G-Drive
hvis den ikke allerede er - det vil snart være tilgjengelige.
Det er en god erstatning.
Vi vil også se på disse tingene som Mozy Home.
Det er godt å ha to løsninger.
Ikke ha alle eggene i én kurv.
Hvis du kvitter deg med noe eller faktisk hvis du er i ferd
å sende noe konfidensiell - noen forslag her
sikkert slette en enhet.
Darik sin Boot og Nuke - det er slags mer for IT kunnskapsrike.
Det kan være lurt å tenke på å bare gi det til noen av disse
kommersielle leverandører hvis du kan.
>> Kryptering av e-post - hvis du må - det er noen tjenester på campus
kalt Accellion, du er off-campus eller for personlig bruk, vil jeg anbefale Hushmail.
Vi ser det mye brukt i whistle blower, det er en av de viktigste
mekanismer for WikiLeaks
samt Tor og noen andre ekvivalenter.
Og - nå å snakke om telefonen nivå - så problemet er her
det er ikke så mye av en appetitt ennå.
Dessverre er de fleste av smarttelefoner og tablet operativsystemer
de er fortsatt basert på noen av prinsippene som vi så på 1990-tallet.
De har egentlig ikke tatt noen av forbedringene
at vi ser på arbeidsstasjonen nivå. De gjør ikke varmebeskyttelse.
De gjør ikke - du vet - lag randomisering.
De gjør ikke adressen beskyttelse.
De gjør ikke utføre beskyttelse - den slags ting.
Men også selve enheten ved defacto ikke kommer til å ha noen
sluttpunkt sikkerhet bygget inn i den.
Så vi begynner å se denne endringen - igjen - de fleste av smarttelefonen
produsenter - Android, Apple og Windows - appetitten bare
var ikke der, var referanseindeksen Blackberry.
Men Blackberry har slags mistet sin trekkraft i markedet på dette punktet.
Og Apple har virkelig trappet i.
Om to år siden var det et vannskille øyeblikk hvor de
begynte å bygge i en mye mer enterprise typen kontroller.
Og - ja - i august gjorde de en presentasjon på Def Con som bare var uhørt.
>> Så de vil gjøre de minste kontrollene som jeg beskrev.
De vil gjøre sterkt passord, de vil gjøre en ledetekst for at passord på tomgang -
enheten - du glemme det og etter 15 minutter aktiverer den.
De vil gjøre kryptering, og de vil også gjøre det som kalles eksterne tørke.
I Android og Windows plass disse er fortsatt TBD - skal fastsettes.
Android har tilgang til noen programmer som kalles Prey og Lookout.
Og faktisk noen av de endepunktdata sikkerhetsverktøy som Kaspersky jeg kjenner gjør det.
Jeg vet ESET gjør det også
De vil la deg sende en SMS og rense enheten.
Windows phone på dette punktet er det først og fremst rettet mot
bedriftens stil - det som kalles utveksling.
Exchange er en robust mail infrastruktur, og det kan mandat noen av disse kontrollene.
Windows 8 bare sendt i forrige uke, så jeg kan ikke snakke til som definitivt.
Windows 6.5 var den store sikkerhetsenhet.
Windows 7 Mobile var en katastrofe, de gjorde ikke gjøre alle disse innfødte kontroller
obligatorisk på tvers av de forskjellige leverandører.
Så du måtte ratifisere hver Windows Mobile 7 telefon, ett om gangen.
>> Android - siden 3.0 plassen har hatt en stor forbedring også.
Honeycomb, Ice Cream Sandwich, Jellybean - de vil støtte disse minimumskravene kontroller,
og faktisk de vil støtte noen av foretaket kontroll som du kan gjøre i tillegg.
I din personlige konto plass det er en Google personlig sync at
du kan aktivere hvis du har din egen Google-plass også.
Så hva gjør du når alt går fryktelig galt?
Og hvis jeg kan - et annet takeaway fra dette er egentlig når - det er ikke om.
Dette kommer til å skje med oss ​​alle på et tidspunkt. Hva kan du gjøre?
Så hva kan du gjøre - og det er et lysbilde - neste lysbilde vil
henvise deg til noen av FTC ressurser for det,
men et minimum sted en svindel varsle på ditt kredittkort.
Hvis jeg kan oppfordre deg til å tenke på når du bruker et kredittkort
i en online kapasitet - avhengig av transaksjonen du gjør
debetkort - evnen til å kreve eller evnen til å trekke tilbake en falsk
krav på et debetkort er faktisk et mye mindre vindu enn det er på et kredittkort.
Så når du får rapporten på et debetkort du bare har en viss
tidsramme - og det er svært lav - til å varsle banken av et svindelforsøk.
Kredittkort det er mye større, det pleier å være en grense opp til ca $ 50 000
før de virkelig vil være i stand til å refundere deg.
Så det er ganske mye penger, de dunket den opp fra ca $ 13 000, eller $ 18 000 der ganske nylig.
Så - du vet - når du tenker på å bruke et kredittkort på nettet,
kan du tenke på å bruke en topp opp kortet eller engangsgrill kredittkort, en brenner kort?
>> Hvis du ser noe - og jeg vil vise deg hvordan du kan få tilgang kort tid -
lukke eventuelle falske kontoer dersom du blir gjort oppmerksom på det.
Inngi en politianmeldelse hvis du er på campus.
Nå ut til HUPD - la dem vite.
Tenk om en identitet overvåking tjeneste.
hvis som en del av - hvis du blir kompromittert - du må kanskje -
de kan finansiere identitet beskyttelse service.
Hvis de ikke gjør kanskje du bør gjøre det.
Samle og holde alle bevis - spesielt noen diskusjoner du har hatt
med noen kriminelle myndigheter
spesielt for forsikring formål.
Endre alle passordene dine.
Endre svar på eventuelle sikkerhetsspørsmål som kan brukes til å tilbakestille passordet.
Deaktiver eventuelle tidligere identitetstjenester.
Så hvis du gjenbruke din Facebook-konto for å logge på Twitter eller vice versa,
bryte den, hvis kompromisset involvert din e-postkonto
sjekk for å se om noe blir videresendt.
Fordi ellers de fortsatt har tilgang til dine data.
Og hvis tyveriet inkluderer Harvard-konto, vennligst gi beskjed IThelp@harvard.edu.
Jeg kan ikke si det nok, men også særlig hvis enheten blir mistet eller
stjålet og det hadde tilgang til ditt universitet data og kanskje du
ikke har noen av disse beskyttelsene være respektive, vennligst gi oss beskjed -
HUPD og IT-hjelp ved Harvard.
>> Så linken som jeg nettopp nevnte som går inn i det med flere detaljer
FTC.gov / identitytheft.
The Postal Service har også noen bedrageri eller identitet beskyttelse tjenester -
du bare sette et tak eller en stopp på kredittkort går gjennom eller sånt.
FBI har en link så vel, det er i notene til lysbildene som jeg sendte ut.
Og faktisk Massachusetts Better Business Bureau og
Consumer Protection Bureau har litt veiledning så vel, det er i notene.
Ta deg tid nå, gjør deg klar over hva du kan gjøre, og ta handling.
Prinsippet - som jeg nevnte tidligere - er hvis du ikke har en plan
for din identitet blir stjålet du umiddelbart kommer til å være
gjenstand for mye arbeid når det skjer, og det er når.
Men selv når du tar disse forholdsreglene - la meg bare legge til en
liten ord av forsiktighet - ingen plan overlever første kontakt med fienden.
Så selv på at vi fortsatt tror at det kan være noen omveltning - vet du -
din bank for eksempel som du har bygget alle disse beskyttelsene rundt
de kan bli kompromittert, og disse troverdige partier som du har gitt dine data til.
Så du er din egen beste forsvar.
Du vet - være årvåken - være oppmerksom.
Ta deg tid nå til å velge å melde deg på disse, forhåpentligvis sosialisere
dette, snakk med dette med dine venner.
Plukke gode passord, bruke unike passord for kontoene dine.
Og ikke gjenbruke passord - spesielt - rundt noen av
dine mer følsomme eiendeler, ikke bruk ditt universitet konto andre steder.
Ikke bruk kreditkort andre steder.
Passordbeskytte den mobile enheten akkurat nå.
Og ved mobilenheten jeg mener smarttelefon, mener jeg din tablett.
>> Tenk om bruk av gode sikkerhetsrutiner nullstilt spørsmål, og jeg vil snakke om
dette kort hvorfor, sjekke kreditt rapporten.
En annen måte at du kan være en god borger i dette rommet
er regjeringen tvunget tre byråer Experian, TransUnion og Equifax
å frigjøre kreditt-rapporter.
For noen av Harvard samfunnet, spesielt i student plass,
dette kan være nye for dem, men du har lov til å trekke dem
byråer minst en gang i året.
God forsiktighet - gå på til dette området, det er tilgjengelig på FTC ett.
Og gjøre det hver 4 måneder i stedet, og du er i stand til å holde
orden på hvem er pengeinnsamling forespørsler om din kredittkortinformasjon,
eller om faktisk hvis noen åpner noen uredelig kontoer.
Og - generelt - veiledning er å være klar.
Og jeg kommer til å gi deg et konkret eksempel kort tid,
men som er vesentlig kjøtt og poteter av diskusjonen.
>> Så hvorfor dette er viktig akkurat nå er om sommeren det var en
gentleman kalt Matt Honan - hvis du er der ute takk
for å være så imøtekommende med informasjon.
Men hva skjedde med Matt er han jobbet for Wired Magazine,
og noen cyperhacktivists gikk etter sin Twitter-konto.
Og de brukte noen av disse ressursene - noe av denne offentlige persona
at han gjort tilgjengelig.
Og de bygget et kart, de visste hvor de skulle angripe og når.
Så fra at de begynte å dele opp den informasjonen som han gjorde
tilgjengelig, og de fant ut at han hadde en Gmail-konto.
Så han brukte en mindre enn klok passord for sin Gmail,
og han hadde ikke noen multi-faktor autentisering på den.
Så de kompromittert sin Gmail, når de hadde tilgang til sin Gmail
de så alle disse andre kontoer som han hadde koblet til sin Gmail.
Faktisk hadde de tilgang til hele hans hele Gmail eller Google persona.
Og - spesielt - de begynte å legge merke til at han hadde en Amazon-konto
fordi det var noen e-poster blir rapportert til ham.
Så da de fikk på sin Amazon, og de fikk på sin Amazon
ved bare å tilbakestille passordet sitt fordi det gikk til hans Gmail.
Han hadde ikke - han slags hadde en dominoeffekt eller credential kjeding skjer her
der når de fikk sin Gmail de hadde nøklene til riket.
Så når de kom på Amazon sin - og dette var uten skyld
til disse andre gutta - dette var - du vet - Matt ikke hadde valgt å
melde deg på disse sikrere mekanismer som bare disse menneskene hadde gjort tilgjengelig
og alle disse Internet kilder.
>> Så når de fikk på sin Amazon de hadde tilgang - det gjorde ikke vise dem
hans kredittkort, men det viste dem de siste fire sifrene
bare så han visste hva det var, det viste dem sin leveringsadresse.
Det viste dem noen annen informasjon som han har gjort på noen ordrer.
Og deretter fra det bestemte de seg for å angripe hans Apple-konto.
Og de sosiale konstruert Apple help desk.
Apple burde ikke ha gjort det, men basert på denne informasjonen
de var i stand til å utvinne fra de andre to kontoer.
Du vet - fyren ved help desk sannsynligvis trodde han var
en god borger - du vet - jeg blir nyttig, og det er en Apple-kunde
der ute som er strandet der ute på egen hånd, og jeg må hjelpe ham.
Men det var ikke den virkelige Apple kunden.
Så de nullstille hans Apple-konto, og de sendte informasjonen til Gmail.
Når angriperne hadde tilgang til hans Apple-kontoen
Matt hadde alle sine enheter knyttet til iCloud hans,
og de begynte å utstede mened sett og tørke alt.
Igjen, hadde han bare hans data overført, han var med iCloud som synkroniseringen mekanismen.
Så når de slettet den alt gikk bang.
De fortsatt hadde tilgang på dette punktet til sin Twitter-konto som er det
de hadde prøvd å angripe.
Jeg vet ikke om de brukte Maltego eller noen av disse andre mekanismer
å bygge ut sin Internet persona, men - du vet - i løpet av
selvfølgelig de fikk tilgang til fire forskjellige identitetstjenester før
de fikk på Twitter hans, og det kostet Matt -
Matt var ganske heldig han så det skje fordi barna hans kom til ham
når iPad låste seg av.
Og de sa - du vet, "Pappa, det er noe som skjer med iPad."
Og han stenge alt ned fordi han la merke til det som skjedde overalt.
Og han begynte å ringe Apple for å se hva i helvete som nettopp hadde skjedd.
Og Apple virkelig trodde at det var noe på gang
at iCloud hadde gått rogue før de funnet ut -
han faktisk funnet ut at de skulle sende informasjon, og
de begynte å kalle ham feil navn.
Fordi Apple hadde på filinformasjon at angriperen hadde undergravd.
>> Ok - så det er den type informasjon som vi bruker til å bygge dette
slags beste praksis, vi bruker dette som en del av en hel serie av
seminarer til oktober - National CyberSecurity Awareness måned.
Det har blitt gjort tilgjengelig for dere.
Jeg skal sørge for at jeg sendte det ut i Wiki da David gjør den tilgjengelig for meg også.
Men det er råd og veiledning i det mye mer granularly enn
Jeg er i stand til å oppsummere i denne korte tiden jeg har tilgjengelig.
rundt det som kalles, Skyet med a Chance of Identity Theft:
Plukke gode brukernavn og passord.
Er det noen gang ikke sosialt? Og svaret er nei, er det alltid sosialt,
men du må være klar over hva det betyr.
Og det er Taming Lions, Tigers, og Windows som er rundt
herding operativsystemer med noe av den informasjonen vi gikk til i dag.
Og den siste var om, ha enhet, Will Travel
å snakke om å gå mobil med denne typen datakilder.
Så annet enn at hvis du har noen spørsmål min e-postadresse er
der, og hvis noen i rommet har noen spørsmål kan du heve hånden.
Annet enn det, jeg kommer til å stoppe opptaket.
OK. Ferdig.
[CS50.TV]