[MUZYKI] DAVID MALAN: Jest CS50 i to jest początek tygodnia 10. A może pamiętasz ten Obraz od kilku tygodni z powrotem kiedy rozmawialiśmy o Internet i jak to faktycznie realizowany fizycznie. A może pamiętacie, że nie właściwie cała masa kabli jak i bezprzewodowych technologii interkonekt wszystkie węzły lub routery i inne takie technologie w Internecie. I wiele, że jest underseas. Cóż, okazuje się, że ci, Kable underseas są nieco z celem. A dzisiejszy wykład jest całkowicie o bezpieczeństwo, nie tylko groźby, że stoimy wszyscy fizycznie, ale również praktycznie, a także, koniec w kierunku ogona Obecnie niektóre z obrony że my jako użytkownicy mogą rzeczywiście wprowadzone. Najpierw jednak jeden z pierwszego i chyba najbardziej fizyczne threat-- [ODTWARZANIE] -Could Rosja będzie planowanie atak na kablach podmorskich które łączą globalny internet? -rosyjski Statków i łodzi podwodnych podmorskich kabli w pobliżu czai które prowadzą niemal wszystkie światowej internecie. -Cała Internetu prowadzone wzdłuż tych kabli. -pierwsze Wszystkim, co jest www robi pod wodą? Ostatni raz sprawdzone, nie jestem powinien dostać mój komputer mokre. Po drugie, jeśli chodzi o mnie, jak internet podróżuje z kontynentu na kontynent, Bym powiedział satelity lub lasery, lub, szczerze mówiąc, I prawdopodobnie mają tylko, że internet. A co się stało z chmury? Powiedziano mi, że nie było chmur. Pamiętać? Hej, postawmy, że w chmurze. To było jak internet był pary informacji, które okrąża Ziemię, a komputer był jak kadzi że zdobywca się, co potrzebne. Ale okazuje się internet jest rzeczywiście pod wodą bo te kable przewozu więcej niż 95% codziennej komunikacji internetowej. I amerykańskiego wywiadu obawy, że w czasach napięć lub konfliktów, Rosja może uciekać się do ich zerwania. Byłoby to największe zakłócenia do serwisu internetowego od swojej górze sąsiada umieścić hasło na jego bezprzewodowym dostępem do Internetu. OK? Spróbuj imię swojego psa. [Zakończyć odtwarzanie] DAVID MALAN: Przed zwracamy teraz niektóre z bardziej wirtualnych zagrożeń, kilka ogłoszeń. Więc nasi przyjaciele CrimsonEMS są obecnie rekrutacji nowych EMTs, Ratowników medycznych. I to jest rzeczywiście coś szczególnie bliskie mojemu sercu. Dawno, dawno temu, Pamiętam, jak w Ikei wkrótce po ukończeniu studiów, w rzeczywistości. A jak byłem wyjściu ze sklepu, w tym mały chłopiec, który był w wózku rozpoczął toczenia dosłownie niebieskie. A on dusił się niektórych części żywności, który miał zapewne zdobyć w gardle. I jego matka była panikować. Rodzice wokół nich panikę. I nawet ja, który miał trochę znajomości z EMS po prostu w drodze przyjaciół, całkowicie zamarł. I to tylko dzięki czemuś jak 15-letni ratownik, który podbiegła i rzeczywiście wiedział, co robić instynktownie i wezwała pomoc i rzeczywiście wyciągnął Chłopiec z jego wózek i rzeczywiście skierowana sytuację. I dla mnie, to był punkt zwrotny. I to był ten moment, w czas, w którym postanowiłem, do cholery, Muszę mieć mój akt razem i naprawdę wiedzą jak reagować na te rodzaje sytuacji. I dlatego ja sam dostał licencję lat temu jako EMT. I przez absolwenta szkoły ja jeździć karetką MIT przez pewien okres czasu, jak również jak zachowali się moje prawo od. I rzeczywiście, do dnia dzisiejszego, wszystkie personelu tutaj CS50 w Cambridge są rzeczywiście certyfikat CPR, jak również, z podobnych powodów. Więc jeśli jesteś w ogóle zainteresowany tym, nie nigdy nie będzie wystarczająco dużo czasu w dzień wziąć na coś nowego. Ale jeśli chcesz, Nowy Rok rozdzielczości, nie możesz wejść tych facetów lub rozważyć dotarcia do Czerwony Krzyż do certyfikacji, albo tutaj, albo w New Haven, jak również. Tak więc ostatnia obiad CS50 jest w ten piątek. Więc jeśli nie zostały jeszcze dołączył do nas, lub jeśli masz i chcesz jeszcze raz, idź na stronie internetowej CS50 do wypełnić formularz tam. Wiedz też, że nasi przyjaciele w Yale, prof Scassellati, produkuje AI, sztuczna inteligencja, serii dla nas że zacznie do debiutu w tym tygodniu na wideo. Tak, zwłaszcza jeśli jesteś zainteresowany w dążeniu do ostatecznego projektu jakoś związane sztucznej inteligencji, przetwarzanie języka naturalnego, nawet robotyka, uświadomić sobie, że te być wspaniałą inspiracją do tego. I po prostu dać teaser o tym, tutaj jest sam Scaz. [ODTWARZANIE] -Jeden Z naprawdę super rzeczy o informatyce jest, że jeszcze tylko kilka tygodni nauki, masz zamiar być w stanie zrozumieć wielu inteligentnych artefaktów i urządzenia, które zamieszkują nasz współczesny świat. W tym krótkim wideo serii, będziemy szukać na takie rzeczy jak jak Netflix jest w stanie zaproponować i polecić filmów że może mi się podoba, jak to jest, że Siri może odpowiedzieć na pytania, które mam, jak to jest, że Facebook rozpoznaje twarz i automatycznie tagować mnie w fotografii, lub jak Google jest w stanie zbudować samochód, który prowadzi na własną rękę. Więc mam nadzieję, że będziesz ze mną na ten krótki Seria filmów, seria CS50 AI. Myślę, że przekonasz się, że wiesz, znacznie więcej niż Ci się, że nie. [Zakończyć odtwarzanie] DAVID MALAN: Więc te pojawią się na strona kursu w tym tygodniu. Bądźcie czujni. A w międzyczasie, kilka Komunikaty dotyczące tego, co nas czeka. Więc tu jesteśmy. To jest w naszym wykładzie na temat bezpieczeństwa. W najbliższą środę, Scaz i Andy, nasz szef nauczania kolega w New Haven, będzie tutaj, aby spojrzeć na sztuczna inteligencja Sam do spojrzenia na Obliczenia dla communication-- jak budować systemy, które korzystają języka do komunikowania się z ELIZA, jeśli jesteś obeznany z tym Oprogramowanie z przeszłości, do Siri niedawno i Watsona, który cię może wiedzieć z Jeopardy lub tym podobne. Potem przyszły poniedziałek, jesteśmy Nie tutaj, w Cambridge. Jesteśmy w New Haven na sekundę spojrzeć na sztucznej inteligencji z Scaz i company-- AI przeciwników w grach. Więc jeśli kiedykolwiek grałeś przeciwko komputer w jakiejś grze wideo lub gra komórkowa lub podobne, będziemy mówić o dokładnie that-- jak budować przeciwników do gier, jak przedstawiają rzeczy Pod maską za pomocą drzew z gier takich jak Kółko i krzyżyk do szachów do rzeczywistej nowoczesności gry wideo, jak również. Niestety, quiz, jeden jest w krótkim czasie. Więcej szczegółów na temat, że na CS50 na strona jeszcze w tym tygodniu. A nasz ostateczny wykład na uniwersytecie w Yale będzie się, że piątek po quizie. A nasz ostateczny wykład na Harvardzie będzie poniedziałek potem przez naturę planowania. I tak w kategoriach kamieni milowych, oprócz pset osiem z tego tygodnia; raport o stanie, który będzie szybkie sprawdzenia dokonywane między tobą a twój kolega nauczania; hackathon, które będzie tutaj w Cambridge dla studentów z New Haven i Cambridge podobne. Zadbamy o wszystko transport z New Haven. Realizacji Ostateczny projekt będzie należny. A następnie na obu uczelniach tam będzie sprawiedliwy CS50 która pozwala nam podjąć spojrzenie na i radości w tym, co wszyscy już dokonane. W rzeczywistości, myślałem, że to byłby dobry moment, by zwrócić uwagę na to urządzenie tu, którego używaliśmy do jakiś czas tutaj który jest miły ekran dotykowy. I rzeczywiście, w zeszłym roku mieliśmy $ 0.99 aplikację że możemy pobrać z aplikacji systemu Windows przechowywać w celu zwrócenia na ekranie. Ale szczerze mówiąc, to było bardzo zagracone. To pozwoliło nam wyciągnąć na ekran, ale nie było jak, wiele ikon tutaj. Interfejs użytkownika było bardzo złe. Jeśli chcesz zmienić niektóre ustawienia, było tak wiele cholerne kliknięć. A użytkownik interface-- lub, odpowiednio, experience-- użytkownika było dość panującymi, zwłaszcza przy użyciu jej w środowisko wykład. I tak doszliśmy się by nasz przyjaciel w firmie Microsoft, Bjorn, który faktycznie były następujące wraz z CS50 Internecie. I jak jego ostatecznego projektu, w istocie, prawda bardzo łaskawie trochę wejście od nas, jak dokładnie Cechy i użytkownika doświadczenia chcemy. A potem poszedł o budowaniu Aplikacja dla Windows to tutaj która pozwala nam draw-- oops-- i pisze na the-- wow. Dziękuję. Aby rysować i pisze na tym ekranie tutaj z bardzo minimalnym interfejsem użytkownika. Więc widziałeś mnie, być może, puknij się tutaj zawsze tak lekko, gdzie teraz Można podkreślić rzeczy w kolorze czerwonym. Możemy przełączać się teraz przejść do białego tekstu tutaj. Jeśli chcemy, aby rzeczywiście skasować ekran, możemy to zrobić. A jeśli rzeczywiście wolą białe płótno, możemy to zrobić. Więc to nie tak strasznie mało przez projekt i robi to dobrze. Tak, że ja futz, miejmy nadzieję, mniej w tym roku w klasie. I dzięki, też się protegowanym swego ja sobie trochę pierścień dzisiaj. To jest Benjamin, który był internowania z Bjorn tego lata. Więc to trochę pierścień. To jest trochę większy niż mojego zwykłego pierścienia. Ale za trochę wybierania na strona tutaj mogę właściwie przesunąć suwaki w lewo i prawo, do przodu iz powrotem, i faktycznie przejść rzeczy bezprzewodowo, tak, że jeden, nie mam aby wracać do baru przestrzeni tutaj. A dwa, że ​​nie trzeba mieć jedna z tych głupich pilotów i zaprzątać moją rękę trzymając cholerstwo cały czas w celu wystarczy kliknąć. I z pewnością, w czasie, będzie sprzęt jak to się super, super mniejsze. Więc na pewno, nie wahaj myśleć poza pole i robić rzeczy i stworzyć rzeczy, które nawet nie istnieje jeszcze ostateczne projekty. Bez ceregieli, spojrzenie na to, co czeka podczas nurkowania w swoim finale Projekty na hackathon CS50 [ODTWARZANIE] [MUZYKI] [Chrapanie] [Zakończyć odtwarzanie] DAVID MALAN: Wszystko w porządku. Więc klipu Stephen Colbert Pokazałem, że przed chwilą faktycznie w telewizji zaledwie kilka dni temu. I faktycznie, kilka innych klipów pokażemy dziś są bardzo niedawno. I w tym, że mówi do faktem, że tak wiele z technologii i, szczerze mówiąc, wiele z pomysłów rozmawialiśmy o w CS50 Naprawdę są wszechobecne. I jeden z celów kurs jest na pewno aby wyposażyć umiejętności technicznych, że rzeczywiście można rozwiązać problemy programowo, ale dwa, tak, że rzeczywiście można podejmować lepsze decyzje i podejmowanie bardziej świadomych decyzji. I rzeczywiście, tematyczny całym naciśnij i wideo online i artykuły te dni jest po prostu przerażające niezrozumienie lub brak zrozumienia, jak technologia działa, zwłaszcza wśród polityków. I tak rzeczywiście się tylko trochę, że będziesz przyjrzeć się jednej z tych informacji, równie dobrze. Ale dosłownie trwać noc miałem siedzi w Bertucci użytkownika, lokalny franczyzy włoska miejsce. I wskoczył na ich bezprzewodowym dostępem do Internetu. A ja bardzo uspokojony aby zobaczyć, że jest to bezpieczne. I wiedziałem, że dlatego, że mówi tutaj "Bezpieczne portal internetowy" gdy na ekranie pojawił się. Więc to była mała szybka która pojawia się w systemie Mac OS lub w systemie Windows po podłączeniu do Sieć Wi-Fi po raz pierwszy. I musiałem przeczytać ich warunki i warunków, a na koniec kliknij OK. I wtedy prowadzono. Zacznijmy więc przemyśleć to, co wszystkie Oznacza to, i już nie ma dla przyznawane co ludzie mówią nam, kiedy spotkać się z różnych technologii. Więc jeden, co to znaczy, że Jest to bezpieczny portal internetowy? Co może Bertucci użytkownika być pocieszające mi? PUBLICZNOŚCI: Pakiety wysłane tam iz powrotem są szyfrowane. DAVID MALAN: Dobra. Pakiety są wysyłane z powrotem iz powrotem są szyfrowane. Jest to, że rzeczywiście tak jest? Jeśli tak by było, to, co chciałbym musisz zrobić lub co muszę wiedzieć? Cóż, można by zobaczyć trochę ikona kłódki w systemie Mac OS lub w systemie Windows mówiąc, że nie jest rzeczywiście niektóre szyfrowania lub starają się dzieje. Ale zanim będzie można użyć zaszyfrowany Portal lub połączenia Wi-Fi, co nie trzeba zwykle wpisać? Hasło. Wiem, że nie ma takiego hasła, ani ja wpisać takiego hasła. Ja po prostu kliknąć OK. Więc to jest zupełnie bez znaczenia. To nie jest bezpieczny portal internetowy. Jest to 100% niepewnie portal internetowy. Nie ma absolutnie żadnego szyfrowania będzie na, a wszystko, co czyni go bezpiecznym jest to, że fraza trzy słowa Na ekranie tam. Tak, że nic nie znaczy, Niekoniecznie, technologicznie. I trochę więcej niepokojące, jeśli rzeczywiście zapoznać się z warunkami, które są zaskakująco czytelne, był this-- "ty Rozumiemy, że zastrzegamy prawo do logowania lub monitorować ruch na zapewnić warunki te są przestrzegane. " Więc to jest trochę przerażające, jeśli Bertucci użytkownika jest oglądanie mój ruch internetowy. Ale większość każda umowa, która już ślepo kliknęli jest na pewno powiedzieć, że wcześniej. Więc co to właściwie oznacza technologicznie? Więc jeśli jest jakieś straszne facet lub kobieta w plecy kto, jak, monitoring cały ruch internetowy, w jaki sposób jest on lub ona dostępu że informacje dokładnie? Jakie są technologiczne za pomocą których że person-- lub przeciwnikiem więcej generally-- może być patrząc na naszego ruchu? Cóż, jeśli nie ma szyfrowania, co takie rzeczy mogą powąchać, że tak powiem, w rodzaju wykryć w powietrzu. Co byś patrzeć? Tak? PUBLICZNOŚCI: Pakiety są wysyłane z komputera do routera? DAVID MALAN: Tak. Pakiety wysyłane z komputer do routera. Więc możesz sobie przypomnieć, kiedy byliśmy w New Haven, mijaliśmy te koperty, fizycznie, całej widowni do reprezentowania Dane przechodzenia przez internet. I z pewnością, jeśli rzucali im przez publiczność bezprzewodowo dotrą do miejsca przeznaczenia, każdy może jakby złapał go i zrobić jego kopię i faktycznie zobaczyć, co jest wewnątrz tej koperty. I, oczywiście, co jest wewnątrz tych kopert Jest wiele rzeczy, w tym adres IP że starasz się dostępu lub nazwę hosta, jak www.harvard.edu lub yale.edu, że starasz aby uzyskać dostęp lub czymś zupełnie innym. Ponadto, ścieżka, too-- wiesz od pset sześć, że wewnątrz żądań HTTP są uzyskać slash something.html. Więc jeśli jesteś w określoną stronę, pobierając konkretny obraz lub wideo, wszystkie z tych informacji znajduje się wewnątrz tego opakowania. I tak ktoś tam w puszce Bertucci w być patrząc na tę samych danych. Cóż, jakie są jakieś inne zagrożenia wzdłuż tych linii mieć na uwadze przed tobą po prostu zacznij przyjmować jako fakt co ktoś taki jak Bertucci po prostu mówi? Cóż, to był article-- seria artykułów które pojawiły się zaledwie kilka miesięcy temu. Wszystkie wściekłość te dni są te inteligentne telewizory. nowomodny Co to jest Smart TV, jeśli już słyszało o nich, czy masz w domu? PUBLICZNOŚCI: łączność internetowa? DAVID MALAN: Tak, połączenia z Internetem. Więc ogólnie, inteligentny telewizor jest Telewizor z dostępem do Internetu i naprawdę brzydko użytkownika interfejs, który sprawia, trudniej, czy korzystać z internetu bo trzeba korzystać, jak, się, w dół, w lewo iw prawo lub coś na pilocie, po prostu aby uzyskać dostęp do rzeczy, które są tak bardzo łatwiej zrobić na laptopie. Ale bardziej niepokojące o Smart TV, i telewizor Samsung, w tym konkretnym przypadku, było to, że telewizory Samsung i inni te dni przychodzą z pewnym sprzętu aby stworzyć to, co twierdzą to lepszy interfejs użytkownika dla Ciebie. Tak jeden, można rozmawiać niektóre z telewizorów w tych dniach, podobnie Siri lub którykolwiek z inne aktywa w telefonach komórkowych. Więc można powiedzieć, poleceń, jak zmiana kanałów, zwiększyć głośność, wyłącz, lub tym podobne. Ale co jest implikacja z tego logicznie? Jeśli masz telewizor w swoim życiu pokój lub TV u stóp łóżka zasnąć, co jest implikacja? Tak? PUBLICZNOŚCI: Nie może być coś dzieje się poprzez mechanizm do wykrywania mowy. DAVID MALAN: Tak. PUBLICZNOŚCI: że może być wysyłane za pośrednictwem Internetu. Jeśli jest szyfrowane to jest to zagrożone. DAVID MALAN: Rzeczywiście. Jeśli mikrofon wbudowany w telewizji i jej cel w życiu jest, przez projekt, do słuchania ci odpowiedzi na Ciebie, to z pewnością będzie słuchać wszystkiego, co mówisz a następnie tłumaczenia, że ​​do niektóre wbudowane instrukcje. Ale jest haczyk jest to, że większość z nich Telewizory nie są idealnie inteligentnego siebie. Są bardzo zależne od że internet. Tak więc podobnie jak Siri, kiedy mówisz do telefonu, szybko wysyła te dane w całej Internet do serwerów Apple, następnie wraca odpowiedź, dosłownie jest telewizor i ekwiwalenty Samsung tylko wysyłanie wszystko jesteś mówiąc w salonie lub sypialni na serwerach tylko wykrywa on powiedział, włączyć telewizor lub wyłącz telewizor? I Bóg wie co jeszcze może być wypowiedziane. Teraz, jest kilka sposobów w celu zmniejszenia tego, prawda? Podobnie jak to, co robi Siri i co robi Google i inni przynajmniej bronić się przed że ryzyko, że są one słuchać absolutnie wszystko? Musi być aktywowany mówiąc coś jak, hej, Siri, lub hi Google lub podobne lub OK pomocną lub podobne. Ale wszyscy wiemy, że ci, wyrażenia rodzaju bani, prawda? Jakbym był tylko sitting-- faktycznie ostatni raz Byłem w godzinach pracy w Yale, myślę, Jason lub jeden z TF przechowywane krzyczeć, jak, hej, Siri, hej, Siri i robił mój telefon robić rzeczy, bo był zbyt Bliższy do mojego rzeczywistego telefonu. Ale jest odwrotnie, zbyt. Czasami te rzeczy po prostu kopać się, bo to niedoskonałe. I rzeczywiście, naturalne język processing-- frazowanie ludzkiego zrozumienia i potem robi coś na podstawie it-- z pewnością jest niedoskonałe. Teraz, co gorsza, niektóre z może widzieliście lub są w telewizor, w którym można zrobić głupie lub nowy-wieku takie rzeczy zmianie kanałów w lewo lub aby zmienić kanał z prawej lub zmniejszyć głośność lub zwiększyć głośność. Ale co to znaczy telewizor ma? Kamera wskazał na ciebie na wszystkich możliwych czasów. I w rzeczywistości brouhaha około Samsung Telewizory, dla których wziął trochę flack jest to, że jeśli czytasz warunki i warunki TV-- rzeczy na pewno nigdy nie czytał podczas rozpakowywania telewizor dla pierwszego time-- osadzone tam było trochę disclaimer mówiąc równowartość, możesz nie chcieć mieć osobiste Rozmowy z przodu telewizora. I to jest to, co zmniejsza się. Ale nie powinieneś nawet muszą być poinformowani, że. Powinieneś być w stanie wywnioskować z rzeczywistością Kamera i mikrofon, które dosłownie wskazując na mnie cały czas być może jest więcej zła niż dobra. I szczerze mówiąc, to powiem nieco obłudnie. I dosłownie, oprócz tych kamer, Mam malutką kamerę tutaj w moim laptopie. Mam jeszcze jeden tutaj. Mam w moim telefon po obu stronach. Więc żeby umieścić go w dół w niewłaściwy sposób, że można jeszcze oglądać do mnie i mnie słuchać. A wszystko to może być dzieje się cały czas. Więc co powstrzymuje mój iPhone lub Android Telefon z robi to cały czas? Skąd wiemy, że Apple i niektóre straszne osoba w Google, nie słucha się, by to bardzo rozmowę przez telefon lub rozmów Mam w domu lub w pracy? PUBLICZNOŚCI: Ponieważ nasze życie nie są tak interesujące. DAVID MALAN: ponieważ nasze życie nie jest tak interesujące. To rzeczywiście jest właściwą odpowiedzią. Jeśli nie martwisz o szczególnym zagrożeniu, jest to rodzaj kto dba aspekt do niego. Trochę stary mnie nie będzie aby naprawdę być celem. Ale z pewnością może. I tak, chociaż można zobaczyć niektóre kiepskie rzeczy na telewizory i filmy, jak, oh, wróćmy na starcie and-- jak Batman czy to dużo, w rzeczywistości, i rzeczywiście widać Gotham, co jest dzieje się w drodze telefonów ludzi i tym podobne. Niektóre to trochę futurystyczny, ale jesteśmy dość dużo tam w tych dniach. Prawie każdy z nas chodzą z GPS transpondery, które jest mówi Apple i Google i wszyscy, że chce wiedzieć, gdzie jesteśmy na świecie. Mamy mikrofonu. Mamy aparatu. Mówimy rzeczy jak Snapchat i inne aplikacje wszyscy wiemy, wszystkie ich numery telefonów, wszystkich swoich adresów e-mail. I znowu, jedną z bram dzisiaj, mam nadzieję, jest co najmniej przerwy trochę wcześniej tylko ślepo mówiąc: OK kiedy chcesz Wygoda Snapchat wiedząc, kto wszystkich znajomych jest. Ale odwrotnie, teraz Snapchat wie każdy znasz a wszelkie drobne dźwięki może dokonały w kontaktach. Więc to było na czasie, też. Kilka miesięcy temu, Snapchat Sam nie był zagrożony. Ale nie było pewne aplikacji innych producentów które ułatwiły zapisać zaskoczy i połów był że tej usługi innej firmy Sama była zagrożona, po części dlatego, usługi Snapchat w obsługiwane funkcję, która prawdopodobnie nie powinien mieć, co pozwoliło na to archiwizacja przez osobę trzecią. A problem było to, że w archiwum o, jak, 90.000 zatrzaskami, myślę, ostatecznie zostały naruszone. A więc może trochę komfort w takie rzeczy jak Snapchat jest ulotne, dobrze? Masz siedem sekund patrzeć na że nieodpowiednie wiadomości lub notatki, i znika. Ale jedno, większość z was prawdopodobnie zorientowali się, jak robić zdjęcia już, które jest najbardziej łatwy sposób na obejście tego. Ale dwa, nie ma nic zatrzymanie firma lub osoba jest w internecie przechwytywanie, że Dane potencjalnie również. Więc to było dosłownie tylko na dzień lub dwa temu. To był ładny artykuł nagłówek na zasadzie strona w Internecie. "Epic Fail-- Moc Worm Ransomware Przypadkowo Niszczy Ofiary danych Podczas szyfrowania. " Więc kolejny oszukany od nagłówki typu rzeczy tutaj. Więc może trzeba słyszałem o złośliwym oprogramowaniem, które jest złośliwe oprogramowanie software-- tak źle że ludzie o zbyt wiele wolnego czasu napisać. A czasem, po prostu robi głupie rzeczy jak Usuń pliki lub wysyłania spamu lub tym podobne. Ale czasami, i coraz bardziej, jest to bardziej skomplikowane, prawda? Wszyscy wiedzą, jak babrać się w szyfrowaniu. I Cezar i Vigenère nie są bardzo bezpieczne, ale jest inne te, oczywiście, które są bardziej wyrafinowane. I tak, co to przeciwnik zrobił został napisał kawałek złośliwego oprogramowania że jakoś zainfekowaniu kilka komputerów ludzi. Ale był rodzaj idiota i napisał wersji buggy tego szkodliwego oprogramowania tak, że gdy on wdrożyła code-- oh, my jesteśmy coraz wiele of-- przykro. Dostajemy dużo uderza w mikrofon. OK. Więc w czym problem, że on napisał jakiś zły kod. I tak wygenerowany pseudorandomly klucz szyfrowania z którym do szyfrowania czyjeś dane złośliwie a następnie przypadkowo rzucił dala klucz szyfrowania. Tak więc wpływ tego malware nie zgodnie z przeznaczeniem, okup czyichś danych przez szyfrowanie swoim dysku a następnie spodziewa $ 800 US w zamian klucza szyfrowania, w tym momencie ofiara mogła odszyfrować swoje dane. Raczej zły facet po prostu szyfrowane wszystkie dane na dysku twardym, przypadkowo usunięty klucz szyfrowania, i dostał żadnych pieniędzy z tego. Ale oznacza to również, że ofiara jest naprawdę jest ofiarą, bo teraz on lub ona Nie można odzyskać danych, chyba że rzeczywiście mają trochę starej szkoły backup nim. Więc tutaj też jest swego rodzaju rzeczywistości że będziesz czytać o tych dniach. I jak można bronić się przed tym? Cóż, to jest cała puszka robaków, gra słów, na temat wirusów i robaków itp. I nie jest z pewnością oprogramowanie z którym można się bronić. Jednak lepiej jest wystarczy być inteligentnym o tym. W rzeczywistości, haven't-- jest jedna to zrobić, jak mówię, a nie robię rzeczy, perhaps-- ja naprawdę nie używane oprogramowanie antywirusowe w latach bo jeśli na ogół wiedzą, co szukać, można bronić się przed najbardziej wszystko na własną rękę. I rzeczywiście, na czas tutaj w Harvard-- nastąpił błąd lub problem w zeszłym tygodniu, gdy Harvard jest wyraźnie, jak, monitorowanie dużo ruchu sieciowego. I wy wszyscy, nawet odwiedzenie strony internetowej CS50 jest może zdobyć powiadomienie powiedzenie że nie można odwiedzić tę stronę. To nie jest bezpieczne. Ale jeśli spróbujesz odwiedzić Google lub innych stron, także tych, też były niepewne. To dlatego, że Harvard też ma jakiś system filtracji że jest utrzymywanie oko na potencjalnie złośliwe strony aby chronić nas przed nami. Ale nawet te rzeczy są wyraźnie niedoskonałe, jeśli nie buggy, sami. Więc here-- jeśli jesteś ciekawy, będę pozostawić te slajdy się online-- jest rzeczywista informacje że przeciwnik dał. A on był prosząc w bitcoin-- która jest wirtualnym currency-- $ 800 USA faktycznie odszyfrowania danych. Niestety, został całkowicie udaremniony. Teraz przyjrzymy coś bardziej polityczna. I znowu, celem jest zacząć myśleć o tym, jak można podejmować bardziej świadome decyzje. I to jest coś, dzieje się obecnie w Wielkiej Brytanii. I to było wspaniałe tagline z artykułu na ten temat. W Wielkiej Brytanii jest wprowadzenie, jak zobaczysz, nowy nadzór Projekt ustawy, zgodnie z którą Wielka Brytania jest proponuje, aby monitorować wszystko Brytyjczycy zrobić na okres jednego roku. A następnie dane są wyrzucane. Cytat, koniec cytatu: "To będzie Serwujemy tyranii dobrze. " Warto więc spojrzeć z przyjaciel pana Colberta. [ODTWARZANIE] Powitalnego, witamy, witamy do "w zeszłym tygodniu dziś wieczorem." Dziękuję bardzo za przybycie. Jestem John Oliver. Wystarczy raz na szybki podsumowaniem tygodnia. I zaczynamy z Wielkiej Brytanii, Najmniej Magic Kingdom Ziemi. W tym tygodniu debata została szaleje nad tam ponad kontrowersyjnej nowej ustawy. -The Rząd brytyjski jest odkrywając nowe przepisy nadzoru które znacznie rozszerzyć swoją władzę monitorować działalność ludzi w Internecie. -Theresa Maja tam nazywa że licencji na eksploatację. Inni nazywają go do Czarter firmy Snooper, nie mają? Cóż, trzymaj się because-- firmy Snooper Karta nie jest właściwe zdanie. To brzmi jak Umowa ośmiu lat jest zmuszony do podpisania obiecujące wbić zanim wejdzie on sypialnię rodziców. Dexter, podpisać statut tego Snooper lub Nie możemy ponosić odpowiedzialności za to, co można zobaczyć. Ta ustawa może potencjalnie Napisać do prawa ogromne naruszenie prywatności. -W Planach, wykaz stron internetowych odwiedzane przez każdego człowieka w Wielkiej Brytanii będą rejestrowane przez rok i może udostępniane policji i bezpieczeństwa usługi. -To Komunikacja Dane nie ujawniają dokładna strona spojrzał na, ale to pokazuje, że był na miejscu. -OK. Więc to nie przechowywać Dokładna stronę, tylko na stronie internetowej. Ale to wciąż jest wiele informacji. Na przykład, jeśli ktoś odwiedził orbitz.com, to wiadomo, że były myślenia o przy podróży. Jeśli odwiedzili yahoo.com, można by wiem, że po prostu miał wylew i zapomniałem słowo "google". A jeśli odwiedził vigvoovs.com, to wiadomo, że są napalone a ich kluczowym B nie działa. A jednak dla wszystkich zamiatania Uprawnienia ustawa zawiera, Brytyjski minister spraw wewnętrznych Theresa May podkreśla, że ​​krytycy dmuchane go proporcji. -an Rekord internet jest zapis obsługi komunikacyjnej że osoba korzystała, nie rekord z każdej strony mają dostęp. To jest po prostu nowoczesny odpowiednik z wyszczególnioną rachunek telefoniczny. -Tak, Ale to nie jest aż tak pocieszające, jak ona myśli, że jest. I powiem ci dlaczego. Po pierwsze, nie chcę rząd patrząc na moje rozmowy telefoniczne albo. A po drugie, www historia przeglądania jest trochę inny od wyszczególnioną rachunek za telefon. Nikt gorączkowo usuwa ich telefon Rachunek za każdym razem kończą rozmowę. [Zakończyć odtwarzanie] DAVID MALAN: Wzór jest Emerging , w jaki sposób przygotować się do klasy. To jest po prostu do oglądania telewizji przez tydzień i zobaczyć, co z tego wyjdzie, wyraźnie. Więc to też był tylko z ostatniego noc na "ostatnim tygodniu wieczorem." Więc zacznijmy rozmawiać teraz o niektórych obronnych. Rzeczywiście, coś jak to, gdzie Brytyjczyków proponują zapiski z tego rodzaju danych, w których może być pochodzących z? Cóż, pamiętam z pset sześć, pset siedem, osiem i pset teraz że wewnątrz tych wirtualnych envelopes-- co najmniej HTTP-- są wiadomości, które wyglądają tak. I tak się ten komunikat, Oczywiście, nie jest jedynym skierowana do konkretnego adresu IP, które rząd tu czy tam z pewnością mogą się zalogować. Ale nawet w środku, że koperta jest wyraźna wzmianka o nazwie domeny która jest odwiedzana. A jeśli to nie wystarczy slash, to może rzeczywiście być specyficzna nazwa pliku lub specyficzny obraz lub film czy znowu coś z zainteresowanie mogłeś Z pewnością przechwycone, jeśli będzie cały ruch sieciowy jest w jakiś sposób jest proxy przez serwery rządowe, jak już się dzieje w niektórych krajów, lub w przypadku są jakby nieznany lub umowy nieujawnione, tak jak stało się już w tym kraj między pewnym dużym players-- Dostawców usług internetowych i firm telefonicznych i like-- i rząd. Tak zabawne story-- ostatni raz wybrałem badplace.com się w mojej głowie jako przykład szkic strona, ja nie faktycznie Weterynarz wcześniej, czy nie, że rzeczywiście doprowadziło do badplace.com. Na szczęście, ta domena nazwa jest po prostu zaparkowany, I nie ma w rzeczywistości prowadzić do badplace.com. Będziemy więc nadal korzystać z tego jeden na teraz. Ale jak mi powiedziano, że może mam rykoszetem bardzo słabo, że konkretny dzień. Warto więc zacząć teraz rozmawiać o pewne obronne i co otwory tam Może być również w nich. Więc haseł niby iść do odpowiedzi dla wielu mechanizmów obronnych, prawda? Wystarczy zabezpieczyć hasłem, a potem że będzie trzymać przeciwników na zewnątrz. Ale co to właściwie znaczy? Więc pamiętam od hakera dwa, z powrotem, jeśli rozwiązane that--, kiedy trzeba było łamania haseł w file-- lub nawet problemu ustawić siedem, kiedy daje próbki SQL Plik niektórych nazw użytkowników i haseł. Były to nazwy użytkowników można zobaczył, i były to skróty które rozdaliśmy dla edycja haker problemu ustawić dwa. A jeśli już zastanawiasz się, to wszystko Czas, co rzeczywiste hasła były, to jest to, co w rzeczywistości, do ich odszyfrowania, które mogłeś pęknięty w pset dwóch lub mogłeś żartobliwie je zorientowali w problemu ustawić siedem. Wszystkie z nich posiadają niektóre z nadzieją słodkie znaczenie tutaj lub w New Haven. Ale na wynos jest to, że wszystkie z nich, co najmniej tutaj są dość krótkie, dość odgadnięcia. To znaczy, na podstawie listy tutaj, które są najłatwiejszym do zgryzienia, aby dowiedzieć się, pisząc oprogramowanie, które po prostu zgaduje i sprawdza, czy powiedział byś? PUBLICZNOŚCI: Hasło. DAVID MALAN: Hasło użytkownika całkiem nieźle, prawda? I to just-- jeden, to bardzo częstym hasłem. W rzeczywistości, co roku jest to lista najczęstsze hasła świata. A cytat, koniec cytatu "hasło" jest zwykle na szczycie tej listy. Dwa, to w słowniku. I wiesz, od problemu zestaw pięciu, że nie jest że może hard-- być mało czasu consuming-- ale to nie jest takie trudne, aby załadować wielki słownik do pamięci a następnie użyć go do rodzaju domysłów i kontroli wszystkie możliwe słowa w słowniku. Co jeszcze może być dość łatwe do odgadnięcia i sprawdzić? Tak? PUBLICZNOŚCI: Powtarzanie liter. DAVID MALAN: Powtarzanie symboli i liter. Więc rodzaj rodzaj. Tak więc, w fact-- i nie będziemy wchodzić wielki szczegóły here-- wszystkie z nich były solone, co może pamiętacie z Problem ustawić dokumentacji Seven. Niektóre z nich mają różne sole. Więc może faktycznie uniknąć powtarzanie pewnych znaków po prostu przez solenie haseł inaczej. Ale takie rzeczy jak 12345, to dość łatwa rzecz do odgadnięcia. I szczerze mówiąc, problem z tych wszystkich haseł jest to, że wszystkie one są po prostu za pomocą 26 możliwych znaków, a może 52 z jakąś wielką literą, a następnie 10 liter. Nie używam żadnych funkowe znaków. Nie używam zera do O lub te, do I lub L's or-- jeśli ktoś z was myślisz, że jest mądry, choć przez mając zero na O w hasła or-- OK, widziałem kogoś uśmiech. Więc ktoś ma zero dla O w swoim hasłem. Nie jesteś w rzeczywistości jest jak sprytna jak myślisz, prawda? Bo jeśli więcej niż jednej nam robi to w room-- a ja byłem winny to jako well-- Cóż, jeśli każdy jest rodzaj ten sposób, co ma przeciwnik zrobić? Wystarczy dodać zer i jedynek i kilka other-- Może fours dla H's-- do jego lub jej Arsenal i po prostu zastąpić tych, litery do słownika wyrazów. I to tylko dodatkowa pętli czy coś takiego. Tak naprawdę, najlepszym obrony haseł jest czymś o wiele, wiele więcej random-jakby to te. Teraz, oczywiście, zagrożenia wobec haseł czasem to e-maile takie jak to. Więc dosłownie dostaliśmy to w skrzynce odbiorczej cztery dni temu. To z Bretanii, który najwyraźniej pracuje w harvard.edu. A ona napisała mi, jak webmail użytkownika. "My tylko Zauważyłem, że e-mail Konto zostało zalogowany na innym komputerze w innym miejscu, i masz do sprawdzenia Twoja osobista tożsamość. " Więc tematycznych w wielu e-maili, jak To, co przedstawiono przykłady phishing attacks-- P-H-S-I-H-I-N-G-- gdzie ktoś próbuje ryb i trochę Informacje z ciebie, zwykle przez e-mail tak. Ale co to są jedne z Telltale sygnały, że to nie jest w rzeczywistości, uzasadniony e-mail z Uniwersytet Harwardzki? Co to? Tak źle, gramatyka, dziwne kapitalizacji, jak niektóre litery są kapitalizowane w niektórych miejscach. Jest trochę dziwne wcięcia w kilku miejscach. Co jeszcze? Co to? Dobrze, że na pewno helps-- duży żółty okno które mówi, że to może być spam od Google, które jest z pewnością pomocne. Więc jest dużo wskaźnik objawów tutaj. Ale w rzeczywistości jest to e-maile muszą pracować, prawda? To jest dość tanie, jeśli nie za darmo, aby wysłać z setek lub tysięcy e-maili. I to nie tylko przez wysłanie je z własnej ISP. Jedną z rzeczy, które malware ma tendencji do do-- więc wirusy i robaki, które przypadkowo zainfekować lub komputery, bo już zostały napisane przez adversaries-- jeden z co robią jest po prostu masowo spam. Więc co nie istnieje świata, w rzeczywistości Są rzeczy, zwane botnety, który jest fantazyjny sposób na powiedzenie że ludzie z lepszej kodowania umiejętności niż osoba, która napisał, że wersja oprogramowania buggy, rzeczywiście napisane oprogramowanie że ludzie tacy jak my niczego nie podejrzewając zainstalować na naszych komputerach a następnie zacząć biegać za sceny, nie wiemy o nas. A ci, złośliwe oprogramowanie programy komunikować się. Tworzą sieć, botnet, jeśli będzie. I na ogół, najbardziej wyrafinowane przeciwników ma jakieś zdalnej kontroli nad tysiące, jeśli nie dziesiątki tysięcy, komputerów przez tylko wysyłanie z wiadomości w internecie że wszystkie te boty, że tak powiem, są w stanie usłyszeć lub sporadycznie Żądanie od jakiegoś centralnym miejscu, a następnie może być sterowany do wysyłania spamu. A te rzeczy spam może być właśnie sprzedał najwyższą cenę. Jeśli firma lub rodzaj firmy fringe że tak naprawdę nie dba o rodzaj etyki spamowanie swoich użytkowników ale po prostu chcesz hit na milion osób i mam nadzieję, że 1% them-- który jest nadal liczba nietrywialna potencjalnej buyers-- rzeczywiście można zapłacić tych przeciwników w rodzaju czarnego rynku rodzaju wysłać te spamy poprzez swoich botnetów dla Ciebie. Więc wystarczy powiedzieć, to nie jest szczególnie przekonujące e-mail. Ale nawet Harvard Yale i często jak popełniają błędy, w które wiemy od kilku tygodni z powrotem, że można zrobić Link powiedzieć www.paypal.com. I wygląda na to, że tam jeździ. Ale, oczywiście, to, faktycznie nie zrobić. I tak Harvard i Yale, a inne na pewno jest winny w ciągu roku w wysyłaniu e-maili które są zgodne z prawem, ale zawierają hiperłącza w nich. A my, jako ludzie, zostały przeszkoleni według rodzaju urzędników, dość często, aby faktycznie wystarczy wykonać linki, które otrzymujemy w e-mailu. Ale nawet to nie jest najlepsza praktyka. Więc jeśli kiedykolwiek e-mail jak this-- a może to jest z Paypal lub Harvard czy Yale czy Bank of America lub like-- nadal nie powinno kliknij związek, nawet jeśli wygląda uzasadnione. Należy wpisać ręcznie z tego adresu URL samodzielnie. I szczerze mówiąc, to co administrator systemu należy informując nas do tego, że nie jesteśmy nabrać na ten sposób. Teraz, jak wielu z was, być może patrząc w dół na swoje miejsce, Hasła zapisane już gdzieś? Może w szufladzie w swoim pokoju w akademiku lub Może under-- w plecaku gdzieś? Portfel? Nie? PUBLICZNOŚCI: W ognioodpornym lockbox? DAVID MALAN: W ognioodpornym lockbox? OK. Tak, że lepiej niż notatkę na ekranie monitora. Tak więc na pewno niektóre jesteś podkreślając brak. Ale coś mi mówi, że to Nie musi. Tak jak o łatwiejszy, bardziej prawdopodobne question-- ilu z was są za pomocą To samo hasło dla wielu witryn? Aha spoko. Teraz jesteśmy uczciwi. W porządku. Więc to jest wspaniała wiadomość, prawda? Bo jeśli oznacza to, że jeśli tylko jeden z tych strony wszyscy korzystający jest zagrożona, teraz przeciwnik ma dostęp do dodatkowych danych o sobie lub więcej potencjalnych exploitów. Więc to jest łatwe do uniknięcia. Ale ilu z was mają dość odgadnięcia hasła? Może nie tak źle, jak to, ale co? Z jakiegoś głupiego miejscu, prawda? To nie jest wysokiego ryzyka, nie posiadam karty kredytowej? Wszyscy z nas. Jak, nawet mam hasła, które są prawdopodobnie tylko 12345, na pewno. Więc teraz spróbować zalogowaniu do każdej strony internetowej można myśleć o malan@harvard.edu i 12345 i sprawdzić, czy działa. Ale możemy to zrobić, też. Więc dlaczego? Dlaczego tak wielu z nas albo całkiem proste hasła lub te same hasła? Co znajduje się w świecie rzeczywistym Uzasadnieniem dla tego? Jest łatwiej, prawda? Gdybym powiedział, a nie, akademickim, chłopaki powinien być naprawdę wyboru Hasła pseudolosowych, że są długie, co najmniej 16 znaków i mają kombinacja liter alfabetu, cyfry i symbole, którzy się do cholery dzieje aby być w stanie zrobić to, albo pamiętam te hasła, a co dopiero dla każdego i każdy możliwy strona? Więc co jest dobrym rozwiązaniem? Cóż, jeden z Największym dania na wynos dziś zbyt pragmatycznie, by być, szczerze mówiąc, aby rozpocząć przy użyciu jakiegoś rodzaju menedżera haseł. Teraz istnieje upsides i Wady tych rzeczy też. Są to dwa, że zazwyczaj zaleca się CS50. One o nazwie przycisk 1Password. Jeden nazywa LastPass. A niektórzy z was mogą z nich korzystać już. Ale to na ogół oprogramowanie, które ma ułatwić generowanie duże Hasła pseudolosowych, że Nie można zapamiętać jak człowiek. Przechowuje te pseudolosowych Hasła w swojej bazie danych, mam nadzieję, że na lokalnym dysku drive-- szyfrowane, jeszcze lepiej. I wszystko, co ludzki, trzeba pamiętać, zazwyczaj jest hasło jednym panem, który Prawdopodobnie będzie bardzo długa. A może to nie jest przypadkowe znaki. Może to, jak, kary lub krótki akapit, które można zapamiętać i można wpisać raz dziennie aby odblokować komputer. Więc używać szczególnie duże Hasło do ochrony i szyfrowania wszystkich innych haseł. Ale teraz jesteś w nawyk korzystania z oprogramowania tak, aby wygenerować pseudolosowych haseł we wszystkich stronach internetowych odwiedzasz. I rzeczywiście, mogę wygodnie powiedzieć teraz, w 2015 roku, Nie wiem, większość moje hasła już. Wiem, że moje hasło główne, i wpisać, że nieświadomie, jeden lub więcej razy dziennie. Ale Plusem jest to, że teraz, jeśli w ogóle z moich jednego konta jest zagrożona, nie sposób ktoś jest zamiar korzystać z tego konta aby dostać się do innego, ponieważ żaden z moje hasła są już takie same. I z pewnością, nikt, nawet jeśli lub pisze kontradyktoryjności oprogramowania do Brute Force rzeczy i Chyba wszystkie możliwe passwords-- szanse, że mają zamiar wybierz swoje 24-znakowe długich haseł jest tak, tak nisko, ja po prostu nie jestem martwi się o tym zagrożeniu już. Więc co to jest kompromis tutaj? To wydaje się wspaniałe. Jestem o wiele bardziej bezpieczne. Co znajduje się w kompromis? Tak? PUBLICZNOŚCI: Czas. DAVID MALAN: Czas. Jest to o wiele łatwiejsze do wpisz 12345 i jestem zalogowany w porównaniu z czymś, co jest 24 znaków lub krótki akapit. Co jeszcze? PUBLICZNOŚCI: Jeśli ktoś łamie hasła głównego. DAVID MALAN: Tak. Więc rodzaju zmiany scenariusz zagrożenie. Jeśli ktoś odgadnie lub dane się lub czyta notatkę Post-it w bezpiecznej przechowalni plików, hasło główne masz, teraz wszystko jest zagrożona przy czym poprzednio to może tylko jedno konto. Co jeszcze? PUBLICZNOŚCI: Jeśli chcesz użyć dowolnego kont na innym urządzeniu i nie masz LastPass [niesłyszalne]. DAVID MALAN: Tak, to jest rodzaj połowu, zbyt. Dzięki tym narzędziom też, jeśli nie masz komputera i jesteś w, na przykład, niektóre kawiarni lub jesteś w domu przyjaciela lub pracowni komputerowej lub gdziekolwiek i chcesz zalogować się na Facebooku, nawet nie wiem co Twoje hasło Facebook jest. Teraz czasami można ograniczyć Ten poprzez rozwiązanie że będziemy rozmawiać o za chwilę zwane uwierzytelnianie dwuskładnikowe przy czym Facebook cię tekst lub wyśle ​​specjalny zaszyfrowanej wiadomości do telefonu lub na jakiś inny Urządzenie, które nosisz na pęku kluczy z których można się zalogować. Ale to jest, być może, irytujące, jeśli jesteś w podziemiach centrum nauki czy gdzie indziej tutaj w kampusie New Haven. Możesz nie mieć sygnału. I tak to niekoniecznie rozwiązaniem. Tak naprawdę jest to kompromis. Ale to, co chciałbym zachęcić Państwa do do-- jeśli przejdziesz do strony internetowej CS50, w faktycznie umieszczone na pierwszy te firmy do licencji miejscu, że tak powiem, dla wszystkich studentów CS50 więc nie trzeba zapłacić 30 $ lub tak normalnie kosztuje. Dla komputerów Mac i Windows, można sprawdzić 1Password za darmo na stronie internetowej CS50, w a my połączyć ciebie z tym. Sobie sprawę, też, że niektóre te tools-- tym LastPass w jednym z jej forms-- jest chmurze, jak Colbert mówi, co oznacza, haseł są encryptedly przechowywane w chmurze. Pomysł nie jest to, że można przejść do jakiś przypadkowy człowiek lub komputer znajomego i zalogować się na Facebook konto lub podobne bo najpierw udać się do lastpass.com, dostęp do hasła, i wpisz go w. Ale co jest scenariusz zagrożenie istnieje? Jeśli przechowywania rzeczy w chmurze, a ty jesteś dostępu do tej strony internetowej od jakiegoś nieznanego komputera, co może twój przyjaciel robić do Ciebie lub do klawiszy? OK. Będę ręcznie postępu slajdy na na zewnątrz. Keylogger, prawda? Innym rodzajem złośliwego oprogramowania jest keylogger, który jest tylko program, który w rzeczywistości loguje wszystko co piszesz. Więc nie, zbyt, to chyba lepiej jakieś urządzenie wtórnego takiego. Więc co jest uwierzytelnienie dwuskładnikowe? Jak sama nazwa wskazuje, to masz nie jeden, ale dwa czynniki, z którymi do uwierzytelniania na stronie internetowej. Tak więc, zamiast użycia tylko hasłem, masz jakiś inny drugi czynnik. Otóż, na ogół, jeden, czynnikiem jest coś wiesz. Więc coś w rodzaju oczami wyobraźni, która jest hasło, które już na pamięć. Ale dwa, a nie coś innego że wiesz, czy na pamięć ale coś fizycznie mają. Chodzi o bycie Twój zagrożenie już nie może być jakiś przypadkowy człowiek w internecie, który można po prostu Chyba lub dowiedzieć się hasła. On lub ona musi mieć fizyczny dostęp do czegoś, co masz, która nadal jest możliwe i nadal, być może, tym bardziej fizycznie groźne. Ale to co najmniej różnego rodzaju zagrożenia. To nie jest milion bezimiennych ludzi tam próbuje w swoich danych. Teraz jest to bardzo specyficzny osoba, być może, że jeśli to jest problem, to kolejny problem w ogóle, jak również. Tak, że na ogół istnieje dla telefonów lub innych urządzeń. I rzeczywiście, Yale tylko walcowana to się w połowie semestru, takich że nie wpływają ludzie w tym pokoju. Ale ci z was, po razem w New Haven wiedzieć, że jeśli chcesz zalogować do swojej yale.net ID, oprócz wpisując Nazwa użytkownika i hasło, masz wtedy poproszony o to. I, na przykład, jest to zrzut ekranu wziąłem rano Kiedy zalogowany na swoje konto Yale. I wysyła mi równowartość z wiadomości tekstowej do mojego telefonu. Ale w rzeczywistości, pobrałem aplikację z góry, że Yale teraz rozprowadza, i muszę teraz wystarczy wpisać w Kod, które wysyłają do mojego telefonu. Ale, aby być jasne, odwrotnie jest to, że teraz nawet jeśli ktoś domyśla się, moje hasło Yale, jestem bezpieczny. To nie wystarczy. To tylko jeden klucz, ale potrzebuje dwóch odblokować moje konto. Ale to, co jest minusem, być może, systemu Yale? I damy Yale wiedzieć. Co jest wadą? Co to? Jeśli nie masz usługę komórkową lub jeśli nie mają dostępu Wi-Fi, bo jesteś tylko w piwnicy, czy coś, to może nie być w stanie dostać wiadomość. Na szczęście, w tym konkretnym przypadku, będzie korzystać z bezprzewodowego dostępu do Internetu lub coś innego, który działa wokół niego. Ale możliwy scenariusz. Co jeszcze? Możesz stracić swój telefon. Po prostu nie ma. Bateria umiera. To znaczy, nie ma wiele od irytujących scenariusze ale możliwe scenariusze, które mogą się zdarzyć które sprawiają, że żałuję tej decyzji. A najgorsze możliwe Wynik, szczerze mówiąc, to będzie dla użytkowników to wyłączyć całkowicie. Więc nie zawsze będzie będzie to napięcie. I trzeba znaleźć dla siebie jako rodzaj użytkownika sweet spot. I to zrobić, potrwać kilka konkretnych propozycji. Jeśli używasz Google Gmail lub Google Apps, wiem, że jeśli się do tego adresu URL tutaj, można włączyć dwuskładnikowego poświadczenie. Google nazywa to weryfikacja 2-stopniowy. I kliknij przycisk Ustawienia, a następnie zrobić dokładnie to. To dobra rzecz do zrobienia, szczególnie te dni, ponieważ dzięki ciasteczka, nie jesteś zalogowany prawie cały dzień. Więc rzadko mają do wpisz swoje hasło i tak. Więc może to zrobić raz tygodnie, raz na miesiąc, raz na dzień, i jest to mniej wielkie radzenia sobie niż w przeszłości. Facebook też ma tego. Jeśli jesteś trochę zbyt luźne z pisania Twoje hasło Facebook do znajomych " komputery, przynajmniej umożliwić dwuskładnikowego uwierzytelniania tak, że przyjaciel, nawet jeśli on lub ona ma Rejestrator naciśnięcia klawisza, że nie mogą dostać się do swojego konta. Cóż, to dlaczego? Nie mogą po prostu zalogować Kod mam wpisane w moim telefonie że Facebook wysłał do mnie? PUBLICZNOŚCI: [niesłyszalne]. DAVID MALAN: Tak. Dobrze zaprojektowane oprogramowanie zmieni te kody które są przesyłane do telefonu co kilka sekund lub za każdym razem, i tak, tak, nawet jeśli on lub ona domyśla się, co twój kod jest, wciąż jesteś bezpieczne, ponieważ będzie to wygasły. I to jest to, co wygląda jak na stronie Facebooka. Ale jest inne podejście całkowicie. Więc jeśli te rodzaje kompromisów nie są szczególnie intrygujący, ogólną zasadą w dziedzinie bezpieczeństwa będzie będzie dobrze, tylko przynajmniej rzeczy audytu. Nie rodzaju umieścić głowę w piasek i nigdy nie wiadomo, czy i kiedy już zostały naruszone lub ataku. Przynajmniej założyć jakiś mechanizm która informuje natychmiast jeśli coś nietypowe działo się tak, że co najmniej wąski Okno, w czasie które ktoś może zrobić szkody. I przez to, mam na myśli following-- w Facebooku, na przykład można włączyć, co nazywają powiadomienia logowania. A teraz, mam włączone e-mail Zaloguj się powiadomienia, ale nie powiadomień. A co to znaczy, że jeśli Facebooku ogłoszeń I już zalogowany do nowego computer-- jak nie mam ciasteczko, To inny adres IP, to inny rodzaj computer-- będą one w tym scenariuszu, wyślij mi email mówiąc, hej, David. Wygląda na to, że jesteś zalogowany ze związku zna komputer, tylko do Twojej wiadomości. A teraz moje konto może być zagrożona, albo mój irytujące przyjacielem mogło zalogowaniu się moje konto teraz delegowania rzeczy na mojego kanału informacyjnego lub tym podobne. Ale przynajmniej ilość czasu z której jestem ignorantem, że jest super, bardzo wąskie. I mam nadzieję, że mogę odpowiedzieć. Tak więc wszystkie trzy z nich, że tak powiedzmy, są bardzo dobre rzeczy do zrobienia. Jakie są zagrożenia które są nieco trudniejsze dla nas, użytkowników końcowych w celu ochrony przed? Czy ktoś wie co Sesja porwanie jest? To zagrożenie bardziej techniczny, ale bardzo dobrze zna się teraz, że mamy zrobić pset sześć i siedem, a teraz osiem. Tak więc przypomnieć, że podczas wysyłania ruchu przez internet, kilka rzeczy się zdarzają. Pozwólcie mi iść do przodu i zaloguj się do C9 lub CS50.io. Daj mi tylko jeden moment do zalogować się na konto jHarvard. PUBLICZNOŚCI: Jakie jest Twoje hasło. DAVID MALAN: 12345. W porządku. I tutaj, wiem, że jeśli pójdę dalej i poprosić o internecie page-- a tymczasem, pozwól mi to zrobić. Pozwól mi otworzyć Chrome Inspector Zakładka i mój ruch w sieci. I pozwól mi iść do http://facebook.com i wyczyść to. Właściwie, wiesz co? Przejdźmy do bardziej zaznajomieni jedno- https://finance.cs50.net i kliknij przycisk Enter i zaloguj ruch tutaj sieci. Więc tutaj odnotować, gdy patrzę w moim ruchu w sieci, Odpowiedź headers-- chodźmy się tutaj. Odpowiedź headers-- tutaj. Tak więc pierwszy wniosek, że wysłane, co było dla domyślnej strony, nie odpowiedział te nagłówki odpowiedzi. I rozmawialiśmy o rzeczy takie jak lokalizacja. Podobne, oznaczają położenie przekierowanie do login.php. Ale jedno nie rozmawialiśmy ogromny Kwota o to linie takie jak ten. Tak to jest w środku z wirtualny koperta to wysyłane z CS50 Finance-- wersja wy napisał, too-- do laptopa użytkownika lub komputer stacjonarny. I to jest ustawienie pliku cookie. Ale co to jest plik cookie? Wróć myślami do naszej dyskusji o PHP. Tak? Tak, jest to sposób mówienia stronie internetowej, że nadal jesteś zalogowany. Ale jak to działa? Cóż, na odwiedzenie finance.cs50.net, wygląda na to, że serwer że realizowany jest ustawienie pliku cookie. I to ciasteczko jest konwencjonalnie zadzwoń PHPSESSID identyfikator sesji. A może myślisz o tym jak wirtualny handstamp w klubie lub, jak, park rozrywki, mały kawałek z czerwonym atramentem, że idzie na rękę tak, że gdy następnym razem odwiedzić brama, po prostu pokazać swoją rękę, i bramkarz w drzwiach pozwolisz przechodzą lub w ogóle nie opiera się na tej pieczęci. Więc kolejny wnioski, że moja przeglądarka sends-- jeśli pójdę do następnego życzenie i obejrzysz nagłówków żądania, można zauważyć więcej rzeczy. Ale najważniejsze jest to Podświetlona część here-- ale nie ustawić ciasteczko ciastko. A jeśli przerzucać każdego z tych kolejnych żądań HTTP, za każdym razem, chciałbym zobaczyć rękę zostało przedłużone o które dokładnie to samo PHPSESSID, to znaczy To jest mechanism-- ten wielki pseudolosowych number-- że serwer do utrzymywania iluzji z PHP $ _SESSION obiektu, do którego można przechowywać rzeczy jak ID użytkownika lub, co jest w ich koszyku lub dowolną liczbę innych fragmentów danych. Więc co jest implikacja? A co, jeśli to dane nie są szyfrowane? I, w rzeczywistości, w najlepszym Praktyka szyfrowania dość dużo każdy z witryn CS50 w te dni. Ale jest to bardzo często są dni na stronach internetowych wciąż nie mają HTTPS na początek adresu URL. Są po prostu HTTP, okrężnicy, slash slash. Więc co jest implikacja nie? Który oznacza, że wszystkie z tych nagłówków są wewnątrz tego wirtualnego kopercie. A każdy, kto wącha powietrze lub fizycznie przechwytuje tego pakietu fizycznie można zajrzeć do środka i zobaczyć co to ciasteczko jest. I tak przechwycenia sesji jest to po prostu technika że przeciwnik używa do wykrycia danych w powietrzu lub w jakiejś sieci przewodowej zajrzeć do tego koperta, i zobaczyć, oh. Widzę, że ciasteczka jest 2kleu cokolwiek. Pozwólcie mi iść do przodu i zrobić Kopię stempla strony a teraz rozpocząć zwiedzanie Facebooka lub Gmail czy jak ja i właśnie prezentujemy dokładnie to samo handstamp. A rzeczywistość jest, przeglądarek i Serwery są naprawdę, że naiwny. Jeśli serwer widzi, że sam cookies, jego celem w życiu należy powiedzieć, oh, To musi być David którzy po prostu zalogować się trochę temu. Pokażę ten sam użytkownik, przypuszczalnie Skrzynka Dawida lub Facebook wiadomości lub cokolwiek innego do którego twój zalogowany. A jedyną obroną przed jest to po prostu szyfrowania wszystko wewnątrz koperty. I na szczęście, wiele stron podoba Facebook i Google itp robią, że w dzisiejszych czasach. Ale każdy, że nie opuszczę cię Doskonale, doskonale podatny. A jedną z rzeczy, które możesz do-- i jednym z ciekawych funkcji, szczerze mówiąc, z 1Password, oprogramowanie Wspomniałem wcześniej, to w przypadku zainstalowania go na Mac lub PC, oprogramowanie, oprócz przechowywania Hasła, będzie również ostrzec, jeśli kiedykolwiek spróbować logując się na stronie internetowej, która jest zamiar wysłać swoją nazwę użytkownika i hasło niezaszyfrowana i jasne, że tak powiem. W porządku. Więc sesji porwanie sprowadza się do tego. Ale jest to inna sposób, że nagłówki HTTP mogą być stosowane, aby skorzystać z nas. I to jest jeszcze trochę problem. To jest naprawdę urocze przepraszam postawić Cookie Monster tutaj. Ale Verizon i AT & T i inne było dużo flak kilka miesięcy temu do wstrzykiwania, Początkowo bez wiedzy użytkowników, dodatkowy nagłówek HTTP. Tak więc ci, którzy mieli Verizon Wireless lub komórkowego AT & T telefony, a Przyjeżdżam strony internetowe, za pośrednictwem telefonu, wiemy o tobie, po HTTP wnioski zostawić Chrome lub Safari lub cokolwiek w telefonie, przejdź Verizon i AT & T routera, oni rozmyślnie przez pewien czas były wstrzykiwanie nagłówek, który wygląda jak this-- parę klucz-wartość gdzie klucz jest tylko X-UIDH o unikalnym identyfikatorem nagłówka, a następnie kilka duża wartość losowa. I robią to tak, że mogą one wyjątkowo zidentyfikować wszystkie swoje ruchu w sieci w celu osoby pobierające żądania HTTP. Teraz, to dlaczego Verizon oraz AT & T i tym podobne Aby jednoznacznie zidentyfikować do wszystkie strony internetowe odwiedzasz? PUBLICZNOŚCI: Lepsza obsługa klienta. DAVID MALAN: Better-- nie. Jest to dobra myśl, ale to nie dla lepszej obsługi klienta. Co jeszcze? Reklama, prawda? Dzięki czemu mogą one przyczyniać się do sieć reklamowa, przypuszczalnie, przy czym nawet jeśli wyłączeniu plików cookie, nawet jeśli masz specjalne Oprogramowanie w telefonie utrzymuje, że jest w trybie incognito mode-- ha. Nie ma trybu incognito, gdy Mężczyzna w middle-- dosłownie, Verizon lub AT & T-- jest wstrzykiwanie dodatkowe dane, na które nie masz kontroli, a tym samym odsłaniając kim jesteś do tego wynikającego stronie znowu i znowu. Tak więc istnieją sposoby, aby zrezygnować z tego. Ale i tu jest coś że szczerze mówiąc, tylko w ten sposób wcisnąć z powrotem na to, aby opuścić przewoźnik w ogóle, wyłącz go jeśli nawet pozwalają, lub, jak to miało miejsce w przypadku zrobić sporo zamieszania w Internecie, takich że przedsiębiorstwa faktycznie odpowiedzieć. To też jest tylko kolejnym urocza okazja, aby pokazać. I rzućmy okiem na, powiedzmy, powiedzieć, jedną lub dwie ostatnie zagrożeń. Więc rozmawialiśmy o CS50 Finansów tutaj. Tak więc można zauważyć, że mamy to słodkie mała ikonka na przycisk Zaloguj się tutaj. Co to oznacza, jeśli zamiast używać tej ikony? Więc przed, po. Przed po. Co po myśli? Jest to bezpieczne. To, co chciałbym Ci myśleć. Ale jak na ironię, jest bezpieczna bo mamy HTTPS. Ale to, jak łatwo jest zmienić coś na stronie, prawda? Wszyscy wiecie, trochę HTML i CSS teraz. A w rzeczywistości, to całkiem łatwe to-- i jeśli nie zrobił it-- zmienić ikonę. Ale to też jest co Firmy nauczyły nas zrobić. Więc oto zrzut ekranu z Banku od strony amerykańskiej rano. I zauważyć, jeden, są one uspokaja mnie, że jest to bezpieczne Zaloguj się w lewym górnym rogu. I mają również ikona kłódki na przycisk, co oznacza, co do mnie, użytkownika końcowego? Naprawdę nic, prawda? Jakie ma znaczenie, jest fakt, że nie jest to duży zielony Adres URL do góry z protokołu HTTPS. Ale jeśli powiększyć to, jest po prostu jak ja, znając trochę HTML i trochę CSS, i mówiąc: hej, moja strona jest bezpieczna. Jak każdy może umieścić kłódkę i Słowo bezpiecznego logowania się na swojej stronie internetowej. I to naprawdę nic nie znaczy. Co nie znaczy, coś jest coś takiego, gdzie widzą https: // faktu, że Bank of America ma to duży zielony pasek, natomiast CS50 nie, oznacza po prostu zapłacili kilkaset dolarów więcej, aby mieć dodatkowe Weryfikacja odbywa się z ich domeny w Stanach Zjednoczonych, tak że przeglądarek, którzy wyznają tej normy będzie również pokazać nam, trochę więcej. Będziemy więc zostawić rzeczy na które, straszyć trochę bardziej niebawem. Ale w środę, będziemy dołączył Scaz Yale do spojrzenia na sztuczna inteligencja i to, co możemy zrobić z tymi maszynami. Będziemy zobaczenia następnym razem.