[Powered by Google Translate] [Seminario: Sobrevivir a la Internet]
[Esmond Universidad Kane-Harvard]
[Esta es CS50.-CS50.TV]
Hola y bienvenidos a "Sobrevivir a la Internet."
Es uno de los seminarios que forman parte de este plan de estudios CS50.
Mi nombre es Esmond Kane. Mi nombre y dirección están en ese conjunto de diapositivas en frente de usted.
Es esmond_kane@harvard.edu.
En mi trabajo yo soy uno de los directores de seguridad de TI para HUIT,
pero tengo que reconocer que hoy estoy en una misión en el exterior
por lo que estoy usando una camiseta roja.
Esto no va a comprender cualquier cosa que es atribuible
directamente a mi trabajo del día, así que no se trata de la seguridad de TI a Harvard.
Esta es la información más justa personal, así es como cuando tú eres -
estos son el tipo de habilidades que va a adquirir para tratar de ayudar a
endurezcáis vuestros puestos de trabajo y su entorno a lo largo de su carrera.
Pero nada de lo que he dicho hoy debe ser aplicado a cualquiera de su
material de la universidad, sus servidores o estaciones de trabajo
sin contacto con su distribuidor local de soporte de TI.
Y de hecho si menciono las aplicaciones o cualquier incidente como parte de este
charla o discusión que no ofrece datos todo lo que tengo el privilegio de informar.
Por lo general, es público
Y como tampoco debe mencionar de cualquier aplicación implica ninguna
apoyo a través de Harvard o de cualquier condena.
>> Así que hoy por qué estamos aquí - ahora que hemos terminado con la exención de responsabilidad -
hoy estamos aquí para hablar de sobrevivir a la Internet.
Y ¿por qué es un tema tan importante en este momento?
Así, parafraseando Perry Hewitt que trabaja en la Universidad de Harvard Prensa y Comunicaciones -
Me disculpo por leer esto ahora mismo - ha declarado: "Vivimos en una
atmósfera de creciente riesgo, pero también una de la innovación sin precedentes.
El rápido crecimiento de Internet, la nube y las tecnologías sociales
ha dado lugar a muchas más personas que tienen perfiles públicos en línea
con efecto el acceso a un conjunto cada vez mayor de información.
Y eso significa que todo el mundo y sus asociaciones nunca han sido más visible.
Como la huella digital de la Universidad de Harvard - la red digital se expande,
atraemos a un público más amplio.
Esperamos por el bien, pero a veces se
atraer alguna atención negativa.
Así como representante de Harvard ", y esto incluye a todo el mundo
viendo en casa o incluso a nadie aquí ", nuestros profesores, nuestros estudiantes, nuestro personal,
nuestros investigadores, el riesgo de comprometer la verdad y que a
su red asociada nunca ha sido mayor ".
>> Muy a menudo en seguridad de la información, cuando tratamos de equilibrar esta
riesgo es un oficio complicado entre la seguridad y la experiencia del usuario.
En la era de la inmediatez que tenemos que tomar decisiones bien pensadas
acerca de lo que va a mejorar la seguridad sin un gran inconveniente.
Se nos dice a veces una onza de prevención vale el doble de la cura,
pero al elegir para poner en práctica las medidas de seguridad para reducir el riesgo
tenemos que reconocer que nunca va a reducir el riesgo potencial de cero.
Así que dijo - estamos aquí hoy para hablar de algunas sencillas y no tan simple
precauciones de seguridad que usted puede tomar ahora mismo.
También me gustaría añadir - si usted tiene cualquier pregunta en todo el
presentación sólo levantar la mano.
Así que el primer tema - nos dicen a menudo que elegir una buena contraseña.
Una contraseña es su primera y mejor defensa.
A menudo es la única que está disponible para usted
cuando usted está eligiendo para utilizar un recurso en línea.
Pero, como hemos visto a lo largo de este verano y de hecho el año anterior
hemos visto ataques como LinkedIn, eHarmony.
Hemos visto RockYou.
Hemos tenido algo de total de 70 millones de contraseñas y cuentas comprometidas.
Y cuando esas contraseñas fueron liberados en el dominio público
también componen el hash de la contraseña.
>> Así que, básicamente, en estos días, si alguien obtiene una colmena cuenta
que no es necesario para romper una contraseña más;. no es necesario a la fuerza bruta la contraseña
porque tienen este enorme tesoro de información dada a conocer sobre lo que la gente está eligiendo.
Ya tienen datos sobre el comportamiento a la mente lo que la gente tiende a usar.
Y han roto esa a una lista de cerca de un millar de contraseñas
que comprenden casi el 80 a 90% de las contraseñas que elegimos de uso común.
Así, un ejemplo rápido - Alguien quiere aventurar lo que pensaba
Bashar al-Assad utilizó para su contraseña cuando se comprometió el año pasado?
Este es un señor que está sujeto a un intenso escrutinio.
Y su contraseña era 12.345.
Bien - por lo que estas son lecciones que hemos aprendido, tenemos que avanzar
más allá de pensar en una contraseña.
Se nos dice que empiece a usar una frase de paso.
Hay un gran comic de o incluso un cómic web de Randy Monroe
que va en la elección de una frase, que utiliza - Quiero decir -
batería, grapa, límite o algo así - usted sabe - sólo -
o, de hecho no es la broma que alguien que tomó Goofy, Nemo,
Pluto - todos estos personajes y Londres ya que se señaló
para recoger 8 caracteres y un capital.
Pero - lo que aprendemos que tenemos que pensar en ir más allá de una contraseña.
>> En realidad, hay una publicación electrónica en Boston llamado Ars Technica.
Hay un señor llamado Dan Goodin que está haciendo una serie de
este alcance cambiando - ya sea desde el espacio atacante donde tenemos
este enorme tesoro disponible para nosotros
ya sea la mente que ya no necesitamos para generar cosas a través de las tablas del arco iris;
contamos con 70 millones de contraseñas.
Pero también hemos tenido - usted sabe - un cambio en el paisaje
real craqueo espacio porque las tarjetas GPU han hecho de este
prácticamente casi en tiempo real.
Y hay un caballero en Def Con en agosto que puso juntos
12 de estas tarjetas en un PC mercancía.
Lo hizo por cerca de $ 2.000 o $ 3.000, y él fue capaz de romper
el hallazgo de LinkedIn en - usted sabe - en tiempo real cercano.
Fue bastante aterrador.
El artículo de Dan Goodin - Recomiendo encarecidamente que si quieres ir a leerlo.
Un caballero llamado Sean Gallagher - esta mañana - también publicó un
rápida actualización en él, una gran parte de su trabajo se basa en -
a partir de material disponible de Bruce Schneier, sino también desde
Cormac Herely de Microsoft Research.
Ellos afirmaron tipo de hace unos 5-6 años que tenemos que empezar a pensar más allá de las contraseñas.
Las sugerencias que en ese momento eran cosas como frases codificadas,
las interfaces gestuales - ese tipo de cosas.
Usted sabe - si es algo que usted sabe ya no es suficiente en este punto;
que es una de las cosas que quiero comunicar hoy.
Si tiene que utilizar una contraseña, no seamos tímidos en afirmar que todavía debe
elegir uno bueno, sino que debe ser con suerte algo más allá de 10 caracteres.
Debe variar entre mayúsculas y minúsculas.
>> Me animo a no volver a utilizar contraseñas.
Yo puedo hablar de varios casos en los que hemos visto llegar una cuenta
comprometida y alguien saltó y saltó - el efecto dominó.
Ellos minan cada cuenta en cada etapa en el proceso para esta
de datos, y luego se procede a utilizar esos datos que se extraen en cada caso
contra otra fuente de credenciales.
Así que - una vez más - elegir una buena contraseña.
Lo hacen único. Es posible que desee considerar el uso de un servicio de administrador de contraseñas.
Los hay por ahí de - todos están en las tiendas de aplicaciones.
Hay uno llamado OnePass, KeePass, LastPass -
es una buena manera para que te ayude a crear credenciales únicas, credenciales fuertes,
sino también facilitar el archivo y registro para usted.
El lado negativo de esto es que usted tiene que traer eso a un almacén de contraseñas;
usted necesita para asegurarse de que dicho gestor de contraseñas que usted está confiando
es digno de su confianza también.
>> Así que asegúrese de que los chicos también están utilizando algunos mecanismos contraseña válidos.
En particular, la que voy a hablar en este momento
es la autenticación multi-factor.
Así autenticación de múltiples factores - y hay varios casos que pasarán por poco -
Es el simple expediente de tomar algo que sabes que tu
Nombre de usuario y la contraseña y agregar a ella - que está añadiendo otro factor.
Así que el primer factor que vamos a mencionar hoy son estos los de los tableros.
Es algo que tiene en sus posesiones, por lo que es o bien una aplicación
que se está ejecutando en el teléfono inteligente o incluso en su propio teléfono.
Y es posible que pueda recibir un texto de SMS.
Cuidado si viajas al extranjero que no necesariamente se va a seguir.
Una aplicación puede trabajar más en esa instancia.
O incluso el otro factor es posible que desee pensar en algo que eres.
>> Ahora bien, esto es todavía tipo de muchísimo skunkworks.
No vemos mucho la adopción de la misma.
Esto es - usted sabe - Mission Impossible estilo - ya sabes - la impresión de la vena,
el pulgar de impresión, la impresión de retina.
Son clase de más lejos, en realidad no son factores de autenticación muy válidas.
Vemos - cuando hablo con mis colegas de seguridad - más presión que
se pone en un teclado, su patrón de escritura en particular, es probable que
directamente en el horizonte - mucho más que estos identificadores biométricos.
Pero los que hoy en día son las aplicaciones o los SMS de texto o incluso una
desafío correo electrónico de respuesta que se va a conseguir
para validar que de hecho elige iniciar la sesión en este punto en el tiempo.
Así que hay una relación ahí, he enviado por correo la cubierta deslizante esta mañana.
Será en la Wiki.
>> Tanto Gmail y Google hacen esto, Yahoo hará.
Paypal lo tiene; Paypal también tiene una pequeña llave de hardware real que hace una serie de rotación.
Pero también se puede optar por utilizar un número de teléfono.
Facebook también hace un registro en la aprobación, por lo que optan por
aprobarlo, sino que también están trabajando hacia una mayor capacidad de seguridad válida duro.
Dropbox tiene verificación de 2 pasos, así, también puede simplemente
comprar una llave de hardware para ellos.
También vemos en el Gmail o Google uno, una gran cantidad de personas son
en realidad cooptación autenticador de Google, por lo que - por ejemplo -
Yo uso LastPass - no implica la aprobación - pero pueden reutilizar
Verificación de 2 pasos de Google por lo que significa que no es necesario que
caminar con 2 aplicaciones en mi teléfono.
Pero también computing investigación en Harvard o el uso de una analogía
la autenticación de 2 pasos de Google ya que la contraseña de una sola vez
algoritmo fue abierta proviene allí hace unos 10 años.
¿Alguna pregunta? Bueno.
>> Así que otro factor ajeno a la consideración contraseñas es cuando usted está
el uso de estos recursos sea consciente de los datos que se está comprometiendo a ellos.
Sólo limitar lo que en realidad se está poniendo allí.
Así que nos damos cuenta de que estas personas que están prestando un servicio por nosotros en la Internet -
estos proveedores de la nube - que tienen un interés personal en que
no ser tan seguro como usted posiblemente puede.
Ellos tienden a poner a disposición de un conjunto mínimo de seguridad,
y luego hay un montón de otros que son opcionales que tiene que elegir a optar por.
La clase de quitar de esta charla es la seguridad es una responsabilidad compartida.
Es entre usted y los socios que se realizan - las alianzas que usted forma.
Usted necesita tomar un papel activo. Elija de optar por eso.
Usted sabe - tomar el tiempo ahora, que sea más seguro.
La alternativa es que ya hay gente de validación y pruebas
estos factores de seguridad contra ti; cuanto más pueden optar por no participar en
el más preparado esté para la eventual compromiso.
Y es posible.
>> Pero el otro factor a considerar es como he mencionado
estas partes de Internet que usted está confiando en sus credenciales - con su identidad.
Te voy a dar 2 analogías, Larry Ellison y Mark Zuckerberg - que son a la vez
constancia indicando privacidad es en gran parte una ilusión.
Y que la era de la privacidad ha terminado.
Eso es una especie de triste acusación de que realmente tenemos que esperar
para que el gobierno intervenga para obligar a los partidos a ser más seguro,
introducir más legislación, porque cuando tratamos de trabajar con
estos proveedores, por ejemplo algunos de estos Dropbox como fiestas,
que están en el negocio de prestar servicios a los consumidores.
Ellos no están interesados ​​directamente en tener los controles de seguridad de nivel empresarial.
Los consumidores votaron con su cartera,
y ya han aceptado una calificación mínima.
Es hora de cambiar ese pensamiento.
Así que cuando nos ofrecemos nuestros datos para estos partidos, tenemos que cooptar a nuestra
mecanismos de confianza existentes, por lo que son criaturas sociales por defecto.
>> ¿Por qué, de repente, cuando comenzamos a poner los datos en línea
qué ahora tenemos acceso a las mismas protecciones que hacemos personalmente?
Así que cuando puedo leer su lenguaje corporal, cuando puedo elegir
red con un círculo social y de hecho a ese círculo divulgar
sólo la información que quiero.
Así que tenemos acceso a este lenguaje corporal, expresión, a vocalizar,
tenemos acceso a estas protecciones proximidad de identidad
en un lugar físico, sino que todavía se están desarrollando en línea.
Nosotros no tenemos acceso a ellos, pero estamos empezando a ver.
Así que tenemos facetas en Facebook - por ejemplo - como grupos.
Tenemos acceso a las cosas en Google+ como círculos.
Absolutamente utilizarlos.
Así que la última cosa que quiero ver es en este espacio en particular,
cuando usted va a conseguir un trabajo es que ahora han hecho una gran cantidad de su
pública personalidad.
Y cuando alguien quiere - si optan por - que podría ser parte
de la política de la empresa o no - que ciertamente no es parte de Harvard's -
pero pueden optar por hacer una búsqueda en Google.
Y cuando lo hacen - si usted proporcionó - digamos un poco de información
lo que tendría dificultad para pararse detrás -
usted ha hecho un flaco favor.
Y de hecho, como he mencionado - estas empresas sociales que tienen un interés personal
en lo que es público - usted sabe - que necesitan para extraer los datos.
Están vendiendo su demografía y su material de marketing para alguien.
El tipo de analogía en este espacio es - si usted no está pagando por un producto
eres el producto?
Por lo tanto crear círculos para sus amigos, tener cuidado, ser diligente,
trate de no hacer que todo sea público.
>> Otra analogía que haré son los acuerdos de licencia de usuario final
cambiar; ellos van a decirte que pueden hacer con tus datos
y van a enterrar en un 50 páginas de clics.
Y pueden optar por cambiar eso, y simplemente le enviará un correo electrónico rápido.
Pero usted no es un abogado, sino que está muy en jerga legal.
Es necesario tener cuidado con lo que estás haciendo.
Pueden tener sus imágenes, que pueden ser dueño de su propiedad intelectual.
Usted sabe - sólo diligencia ejercicio.
Otro ejemplo de la Biblioteca del Congreso está archivando cada tweet solo conocido por el hombre. Todo.
Cada 10 años más o menos el cuerpo de material que se genera
en que los 10 años de cuentas o supera ampliamente el todo lo que hemos
creado a lo largo de la historia humana.
La Biblioteca del Congreso tiene un gran interés en la preservación de la información
para la posteridad, para los futuros archiveros, para futuros investigadores e historiadores,
así que todo lo que están poniendo por ahí está.
En realidad, se crea un recurso inmenso en algún momento
una vez que la gente empieza a minar la ingeniería social o de los sitios de redes sociales.
A fin de mantener al tanto de las protecciones disponibles dentro de cada aplicación.
>> No es algo que voy a hablar así, no es una herramienta de terceros
llama Privacyfix, sino que puede conectar a la derecha en algunos de estos
aplicaciones de redes sociales.
Y se puede comprobar para ver dónde se encuentra en relación con la protección
que están disponibles en ellos si se puede optar por trinquete ellos aún más.
Hay herramientas como el Frente de Liberación de Datos de Google
donde se puede optar por exportar o extraer sus datos.
Hay cosas como la Suicide Machine Internet que conectarse
a algunos de los perfiles y de hecho eliminar todos los atributos sola
uno a la vez, desmarcará todos y cada uno los amigos de la asociación en la red habría hecho.
Y va a seguir para depurar iterativamente todo sobre ti
que ese sitio sabría.
Si pudiera ejercer cierta cautela allí también, no había una instancia
hace un par de años en Alemania, donde un ciudadano decidió
ejercer su derecho de libertad de información y pedir Facebook para proporcionar
qué información tenían constancia de que él incluso después de eliminar su cuenta.
Ellos le proporcionaron un CD con 1.250 páginas de información
a pesar de que su cuenta teóricamente ya no existía.
No es el concepto en este espacio un montón que algunos de estos
entidades mantendrán algunos datos sobre usted que ver con sus asociaciones y sus redes.
Dicen que no pueden tener control sobre ella, es decir un poco exagerado en mi opinión.
Ellos crean estas cuentas sombra - los personajes sombra.
Sólo ten cuidado.
Limite lo que pueda.
A nivel real del dispositivo cuando se está hablando -
usted sabe - hardware - el teléfono inteligente, los comprimidos,
la estación de trabajo, el ordenador portátil, tal vez un servidor que usted es responsable de.
>> Usted probablemente ha oído hablar de conceptos como el funcionamiento, las actualizaciones del sistema,
actualizaciones de aplicaciones, antivirus, usted ha oído hablar de cosas como cortafuegos,
encriptación de disco y copias de seguridad.
La única cosa que usted debe tener en cuenta es que no se oye hablar
ese tipo de protecciones en el espacio móvil.
Ellos son tan susceptibles a las mismas amenazas.
Teníamos - Quiero decir - un millón de smartphones van a ser
activa a finales de este mes.
Eso ha superado ampliamente el - en el corto período de tiempo que
han estado disponibles, que ha superado ampliamente el crecimiento de
la PC, el ordenador portátil, el mercado de trabajo.
Pero nosotros no tenemos acceso a los mismos controles, y
hablaremos de eso en breve.
Así que antes de llegar al espacio móvil hablemos de
lo que está disponible allí que me fui brevemente.
Así que el software antivirus - aquí están algunas opciones libres.
Microsoft regala las suyas - sabes - Sophos regala las suyas para OSX, así
Parche ordenador - apenas ser consciente de lo que su proveedor de
nivel de parche actual es, y no debe ser un delta importante de eso.
No es una buena herramienta de una empresa llamada Secunia.
Y Secunia se ejecutará en segundo plano y le dirá si hay una
actualizada disponible y si usted necesita para su aplicación.
>> Habilite las actualizaciones automáticas - Apple y Microsoft tendrán algún aspecto de este.
Se le avisará de que hay una actualización disponible.
Y Secunia - usted sabe - es una especie de buena red de seguridad para tener así - mecanismo de caer de nuevo.
En la capa de host - no llegar a smartphones todavía.
Habilitar el servidor de seguridad nativas del sistema operativo.
Hay algo de información acerca de las ventanas de la OSX uno.
Pon a prueba tu firewall, no dejarlo ahí y pensar que se trata de un mecanismo de seguro.
Tome un papel activo, no es una aplicación allí de GRC - Steve Gibson.
La seguridad Wi-Fi en este espacio - esto también se puede aplicar al smartphone y la tableta -
cuando usted está eligiendo para ir en el camino que tiene que ser consciente
que hay diferentes clases de red inalámbrica.
Y en particular, no elegir el más comúnmente disponibles.
Puede ser que sea de bajo costo, pero puede haber una razón para ello.
Tal vez se están extrayendo los datos.
Vemos esto más cuando viaja al extranjero.
Hay algunas organizaciones criminales cibernéticos muy alta eficiencia
que son capaces de aprovechar lo que normalmente vemos en el espionaje de los Estados-nación.
Un factor donde son francamente inyectando en una corriente de red.
Ellos están tirando cosas de allí, y ellos están inyectando
aplicaciones para estaciones de trabajo.
>> Es - el otro aspecto que yo sepa se ha mencionado en algunos de estos
seminarios de seguridad - o no CS50 seminarios seminarios - es una herramienta llamada Firesheep.
Y Firesheep fue un ataque en particular en el espacio móvil
donde algunas de estas aplicaciones de redes sociales estaban enviando las credenciales en texto plano.
Y esto fue aceptado con bastante frecuencia porque todo el mundo en ese momento
pensaba que no había apetito en el espacio de los consumidores para que,
que utilizar el cifrado de mayor resistencia que soportar unos costes rendimiento
en el servidor, por lo que si ellos no tienen que hacerlo - que no quieren.
Y entonces, de repente, cuando este investigador de seguridad hicieron
el ataque trivial rápidamente - usted sabe - que comenzó a ver que tipo de
mejora que todo el mundo en el espacio de seguridad tiene
se quejan por un período significativo de tiempo.
Por lo tanto - en particular - Firesheep pudo recuperar Facebook, Twitter
credenciales de la corriente de Wi-Fi.
Y debido a que se encontraba en texto plano, y fueron capaces de inyectar.
>> Una vez más, si usted va a utilizar Wi-Fi optar por utilizar uno que
está suficientemente protegida - WPA2 si es posible.
Si usted tiene que utilizar sin cifrar Wi-Fi - y en particular me refiero
a nadie que está utilizando la Universidad de Harvard inalámbrica -
es posible que desee considerar el uso de VPN. Yo animo a ello.
Otros factores que usted puede querer pensar en que si usted no confía en el Wi-Fi
que está en es posible que desee limitar su uso.
No haga ningún e-commerce; no hagas ninguna bancario.
No acceder a sus credenciales universitarias.
Hay una gran victoria en este espacio si alguien
no robar sus credenciales - usted sabe - no tienen su teléfono móvil?
Así que - usted sabe - es otro de los factores que no necesariamente pueden secuestrar
o simplemente hace su ataque más complicado.
Cifrar el disco duro.
Estamos en una era en este momento - cifrado que solía ser un gran problema hace 10 años.
Fue un impacto en el rendimiento significativa.
Ya no es - de hecho - la mayoría de los teléfonos móviles, y ese tipo de cosas
lo están haciendo en el hardware, y ni se dan cuenta -
el rendimiento es tan insignificante.
>> Si usted está hablando de una estación de trabajo, estamos hablando de BitLocker.
Estamos hablando de almacén de archivos, permitir que - tomar el tiempo ahora.
En el espacio Linux obviamente cierto criptas pueden trabajar a través de dos de ellos.
Es posible que desee pensar - en el espacio de Linux - no es dm-crypt,
hay Luxcrypt - hay un montón de otras opciones - también es cierto cripta.
Otra forma rápida de protegerse en el nivel de estación de trabajo
copia de seguridad del disco duro.
Y una ligera arruga aquí - no es suficiente para utilizar uno de
estos proveedores de sincronización de la nube, por lo que Dropbox o G-Drive o algo más
Eso no es una solución a la espalda.
Si alguien elimina algo en uno de estos dispositivos
porque se insertaron alguna manera se va -
que la supresión se replica en toda su persona.
Eso no es una copia de seguridad, esto es sólo un mecanismo de propagación.
Así que es bueno tener una solución hasta la espalda.
Hay algunas sugerencias aquí para algunas personas, algunos de ellos son gratuitos -
Capacidad basada - 2 gigas de copia de seguridad - usted puede hacerlo.
Si está utilizando universitario G-mail - Universidad Google en la universidad y co, G-Drive
si no lo es ya - que estará disponible en breve.
Es un buen reemplazo.
También vamos a ver estas cosas como Mozy Home.
Es bueno tener 2 soluciones.
¿No tienes todos los huevos en una sola canasta.
Si va a desechar algo o incluso si usted está en el proceso de
de enviar algo confidencial - algunas sugerencias para
borrar de forma segura un dispositivo.
Boot y Nuke Darik - que es una especie de más por el IT inteligente.
Es posible que desee pensar en sólo dar a algunos de ellos
proveedores comerciales, si puedes.
>> Cifrado de correo electrónico - si tienes que - hay algunos servicios en el campus
llamado Accellion, usted es fuera de la escuela o para el uso personal que le recomendará Hushmail.
Lo vemos mucho usado en denunciante, sino que es uno de los principales
mecanismos de WikiLeaks
así como Tor y algunos otros equivalentes.
Y - ahora hablar sobre el nivel del teléfono - por lo que el problema es
todavía no es mucho de un apetito.
Desafortunadamente, la mayoría de los teléfonos inteligentes y la tableta SOs
que todavía se basan en algunos de los principios que vimos en la década de 1990.
Realmente no han incorporado algunas de las mejoras
que vemos en el plano de trabajo. Ellos no están haciendo la protección del calor.
Ellos no están haciendo - ya sabes - la asignación al azar capa.
Ellos no están haciendo la protección de direcciones.
Ellos no están haciendo ejecutar protección - ese tipo de cosas.
Pero también el propio dispositivo de facto no va a tener ningún
punto final de seguridad incorporado.
Así que estamos empezando a ver este cambio - de nuevo - la mayoría de los teléfonos inteligentes
- fabricantes de Android, Apple y Windows - el apetito sólo
No estaba allí, el benchmark era Blackberry.
Pero Blackberry ha perdido su tipo de tracción en el mercado en este momento.
Y Apple realmente ha intensificado pulg
Hace aproximadamente 2 años se produjo un punto de inflexión en el que
comenzado a construir en muchos controles de tipo más empresarial.
Y - de hecho - en agosto lo hicieron una presentación en Def Con lo cual era algo inaudito.
>> Así que van a hacer los controles mínimos que he descrito.
Que van a hacer una contraseña segura, sino que van a hacer una solicitud para que la contraseña de inactividad -
el dispositivo - que olvidarse de él, y después de 15 minutos que se active.
Harán cifrado, y también hacer lo que se llama limpieza con remotas.
En el Android y el espacio de Windows son aún por determinar - que se determinarán.
Android tiene acceso a algunas aplicaciones llamadas Prey y Lookout.
Y, de hecho algunas de las herramientas de seguridad de punto final como Kaspersky conozco hace.
Sé que ESET lo hace así
Que le permitirá enviar un SMS y purgar el dispositivo.
Teléfono de Windows en este momento es principalmente orientada hacia
estilo de firma - lo que se llama intercambio.
Exchange es una infraestructura de correo robusta, y puede ordenar algunos de estos controles.
Windows 8 sólo envió la semana pasada, así que no puedo hablar de eso definitivamente.
Windows 6.5 fue el gran dispositivo de seguridad.
Windows 7 Mobile fue un desastre, no hicieron todos estos controles nativos
obligatoria en los distintos proveedores.
Así que tenía que ratificar cada Windows Mobile 7 teléfono de uno en uno.
>> Android - desde el espacio 3.0 ha tenido una importante mejora también.
Honeycomb, Ice Cream Sandwich, Jellybean - que apoyará estos controles mínimos,
y de hecho van a apoyar parte del control de la empresa que puede hacerlo también.
En su espacio cuenta personal hay una sincronización personal que Google
puede habilitar si usted tiene su propio espacio Google también.
Así que, ¿qué hacer cuando todo va muy mal?
Y si puedo - otra comida para llevar de todo esto es cuando realmente - no es si.
Esto va a pasar a todos nosotros en algún momento. ¿Qué se puede hacer?
Así que lo que puede hacer - y hay una diapositiva - la siguiente diapositiva se
Puedes señalar algunos de los recursos de la FTC para ello,
sino un lugar mínimo una alerta de fraude en sus tarjetas de crédito.
Si puedo animar a que piense en cuando se utiliza una tarjeta de crédito
en calidad de línea - en función de la operación que está haciendo
tarjetas de débito - la capacidad de reclamar o la capacidad de retraer una fraudulenta
reclamación en una tarjeta de débito es en realidad una ventana mucho más pequeña de lo que es en la tarjeta de crédito.
Así que una vez que obtenga su informe sobre una tarjeta de débito sólo tiene una cierta
marco de tiempo - y es muy bajo - a notificar al banco de una transacción fraudulenta.
Las tarjetas de crédito es mucho más grande, tiende a haber un límite de hasta 50.000 dólares
antes de que realmente va a ser capaz de reembolso.
Así que es un buen montón de dinero, sino que chocaron para arriba de unos 13.000 dólares o 18.000 dólares no hace muy poco.
Así que - usted sabe - cuando se piensa acerca del uso de una tarjeta de crédito en línea,
se puede considerar el uso de una tarjeta de recarga o una tarjeta de crédito disponible, una tarjeta del quemador?
>> Si usted ve cualquier cosa - y yo te mostraré cómo usted puede tener acceso en breve -
cierre las cuentas fraudulentas si se le informa de la misma.
Presentar un informe de la policía si usted está en el campus.
Llegar a HUPD - hacerles saber.
Piense en un servicio de monitoreo de la identidad.
si como parte de - si no te comprometiste - puede que tenga que -
pueden financiar servicios de protección de identidad.
Si no lo hacen tal vez debería hacerlo.
Recopilar y mantener todas las pruebas - en particular, las discusiones que ha tenido
con las autoridades penales
sobre todo para el seguro.
Cambie todas sus contraseñas.
Cambiar las respuestas a las preguntas de seguridad que se pueden utilizar para restablecer tu contraseña.
Desactive los servicios de identidad en el pasado.
Así que si vuelve a utilizar su cuenta de Facebook para iniciar sesión en Twitter, o viceversa,
romper eso, si el compromiso involucrado su cuenta de correo electrónico
compruebe si se está remitiendo nada.
Porque de lo contrario, siguen teniendo acceso a sus datos.
Y si el robo incluye la cuenta de Harvard, por favor notifique IThelp@harvard.edu.
No puedo decir que lo suficiente, sino también, en particular, si el dispositivo se pierde o
robado y tenía acceso a los datos de la universidad y tal vez
no tienen algunas de estas protecciones sean respectiva; por favor háganoslo saber -
HUPD y IT Help en Harvard.
>> Así que el enlace que acabo de mencionar que se dedica a eso con más detalle
FTC.gov / identitytheft.
El Servicio Postal tiene también algo de fraude o de servicios de protección de identidad -
usted acaba de poner una bodega o un stop en las tarjetas de crédito pasando por o cosas por el estilo.
El FBI tiene un vínculo así, es en las notas de las diapositivas que me envió.
Y, en efecto Massachusetts Better Business Bureau y
Oficina de Protección al Consumidor tiene alguna orientación, así, es en las notas.
Tómese el tiempo ahora, te haces consciente de lo que puede hacer, y tomar la acción.
El principio - como dije antes - es que si usted no tiene un plan
por haber robado su identidad que de inmediato va a ser
sujeto a una gran cantidad de trabajo cuando sucede, y es cuando.
Pero incluso cuando se toman estas precauciones - Permítanme añadir un
pequeña palabra de advertencia - no hay plan sobrevive el primer contacto con el enemigo.
Así que incluso en ese seguimos pensando que puede haber cierta subversión - usted sabe -
su banco, por ejemplo, que usted ha construido todas estas protecciones alrededor
que pueden quedar en entredicho; estas partes de confianza que le ha dado sus datos.
Así que es su mejor defensa.
Usted sabe - no bajar la guardia - permanecer alerta.
Tome el tiempo para elegir a optar por ellos, ojalá socializar
esto, hablar con sus amigos.
Elige una buena contraseña, el uso de contraseñas únicas para sus cuentas.
Y no volver a utilizar contraseñas - en particular - en torno a algunos de los
sus activos más sensibles y no utilice su cuenta de la universidad en otro lugar.
No use su tarjeta de crédito en otro lugar.
La contraseña protege su dispositivo móvil en este momento.
Y por el dispositivo móvil Me refiero smartphone, me refiero a tu tablet.
>> Piense en usar buenas preguntas restablecimiento de seguridad, y voy a hablar de
esto en breve por qué, revisar su informe de crédito.
Otra forma en que puede ser un buen ciudadano en este espacio
es el gobierno obligó a las 3 agencias de Experian, TransUnion y Equifax
para liberar los informes de crédito.
Para algunos de la comunidad de Harvard, especialmente en el espacio estudiante,
esto podría ser nuevo para ellos, pero se le permite tirar de los
agencias, al menos, una vez al año.
Bien cuidado - ir a ese sitio, que está disponible en la FTC uno.
Y hacerlo cada 4 meses en lugar, y que son capaces de mantener
alerta sobre quienes está solicitando solicitudes de información de su tarjeta de crédito,
o si es que si alguien abre las cuentas fraudulentas.
Y - en general - la guía es ser consciente.
Y voy a dar un ejemplo específico en breve,
pero que es esencialmente la carne y las patatas de la discusión.
>> ¿Por qué esto es importante en este momento es durante el verano hubo un
caballero llamado Matt Honan - si es que hay muchas gracias
por ser tan próxima con su información.
Pero lo que pasó con Matt trabajó para la revista Wired,
y algunos cyperhacktivists fueron después de su cuenta de Twitter.
Y utilizaron algunos de estos recursos - algo de este personaje público
que se puso a disposición.
Y construyeron un mapa, sabían por dónde atacar y cuándo.
Así que desde que comenzaron a examinar minuciosamente la información que hizo
disponibles, y se encontró que tenía una cuenta de Gmail.
Así que él estaba usando una contraseña de menos de sabio por su Gmail,
y él no tenía ningún tipo de autenticación de factores múltiples sobre el mismo.
Así se comprometieron a su Gmail, una vez que habían acceder a su Gmail
vieron estos otros relatos que había conectados a su Gmail.
En efecto, no tenían acceso a todo su conjunto Gmail o Google personaje.
Y - en particular - que comenzaron a notar que tenía una cuenta de Amazon
porque había algunos mensajes de correo electrónico que se le informe.
Entonces se llevaban a su Amazon, y llegaron a la Amazonía
con sólo restablecer su contraseña, ya que fue a su Gmail.
No tenía - que de alguna manera tenía un efecto dominó o cadena credencial pasando aquí
donde una vez que llegaron a su Gmail que tenían las llaves del reino.
Así que una vez que llegaron a su Amazon - y esto fue sin culpa
a esos otros chicos - fue - sabes - Matt no había decidido
optar a estos mecanismos más seguros que sólo estas personas se habían puesto a disposición
y todas estas fuentes de Internet.
>> Así que una vez que llegaron a la Amazonía tenían acceso - que no les mostrara
su tarjeta de crédito, pero les mostró los últimos 4 dígitos
sólo para que él sabía lo que era, sino que les mostró su dirección de envío.
Se les mostró alguna otra información que le ha hecho en algunas órdenes.
Y después de eso, decidieron atacar a su cuenta de Apple.
Y ingeniería social, la mesa de ayuda de Apple.
Apple no debería haberlo hecho, pero en base a esta información que
fueron capaces de extraer de las otras 2 cuentas.
Ya sabes - el tipo de la mesa de ayuda probablemente pensó que estaba siendo
un buen ciudadano - usted sabe - que estoy siendo útil, no es un cliente de Apple
por ahí que está varado allí por su cuenta, y necesito su ayuda.
Pero no fue el cliente de Apple real.
Así que restablezcan su cuenta de Apple, y enviaron la información a la de Gmail.
Una vez que los atacantes tuvieron acceso a su cuenta de Apple
Matt tenía todos sus dispositivos de atado en su iCloud,
y comenzaron a emitir series perjurio y limpiando todo.
Una vez más, acababa sus datos propagados, estaba usando iCloud como el mecanismo de sincronización.
Así que cuando se eliminan que todo fue explosión.
Todavía tenían acceso en ese momento a su cuenta de Twitter que es lo que
que habían tratado de atacar.
No sé si se utilizan Maltego o algunos de estos otros mecanismos
para construir su personaje de Internet, pero - sabes - en cuestión de
Por supuesto que consiguieron acceso a 4 servicios de identidad diferentes antes
llegaron a su Twitter, y cuestan Matt -
Matt era bastante afortunado que vio lo que pasó, porque sus hijos se acercaron a él
cuando el iPad bloqueado por sí solo.
Y ellos dijeron: - ya sabes, "Papá, hay algo que hacer con el iPad."
Y cerrar todo porque se dio cuenta de lo que estaba ocurriendo en todas partes.
Y él comenzó a llamar a Apple para ver qué demonios había sucedido.
Además, Apple realmente pensó que había algo
que iCloud había convertido en corrupto hasta que se dieron cuenta de -
en realidad descubrió que estaban enviando información, y
comenzaron a llamarlo el nombre equivocado.
Debido a que Apple tenía en la información de archivo que el atacante había subvertido.
>> Bien - por lo que es el tipo de información que utilizamos para construir este
clase de las mejores prácticas; usamos esto como parte de toda una serie de
seminarios a Octubre - Mes Nacional de Concientización sobre la seguridad cibernética.
Se ha puesto a disposición de ustedes.
Me aseguraré de que lo envié en el Wiki cuando David lo hace disponible para mí también.
Pero hay asesoramiento y orientación en allí mucho más granular que
Soy capaz de resumir en este corto período de tiempo que tengo disponible.
todo lo que se llama, nublado con posibilidad de robo de identidad:
Buena selección de nombres de usuario y contraseñas.
¿Puede ser que no social? Y la respuesta es no, siempre es social,
pero hay que ser consciente de lo que eso significa.
Y es Taming Leones, tigres, y ventanas que es de alrededor
sistemas operativos de endurecimiento con algunas de las informaciones que nos fuimos al día de hoy.
Y el último que se acerca, que Device, Will Travel
para hablar acerca de ir móvil con este tipo de fuentes de datos.
Así que aparte de que si usted tiene alguna pregunta mi dirección de correo electrónico es
allí, y si alguien en la sala tiene alguna pregunta, por favor levanten la mano.
Aparte de eso, voy a dejar de grabar.
Está bien. Hecho.
[CS50.TV]