U poslednjih nekoliko nedelja pojavile su se četiri nepovezane bezbednosne priče. Istraživač je otkrio da se alarm za automobil sa naknadnom ugradnjom, pod nazivom KARR — ugrađen u procenjenih više od 2 miliona vozila — može nečujno otključati, deaktivirati ili onesposobiti iz bilo čije blizine koja je u dometu Bluetooth-a. Istraživač pretnji iz kompanije Bitsight otkrio je da popularni jeftini striming-uređaj H96 već godinama neprimetno iznajmljuje internet veze svojih vlasnika i klikće na lažne oglase, predstavljajući se kao mobilni telefon. Jedan haker je priznao krivicu za upade povezane sa podacima više od 100 miliona ljudi; pristup nije dobio nekim domišljatim iskorišćavanjem ranjivosti, već korisničkim lozinkama koje su ostale sačuvane nakon infekcije infostealerom od pre više godina, na nalozima na kojima višefaktorska autentifikacija nikada nije bila uključena. A istraživači su pokazali da malver, pod odgovarajućim uslovima, može da izvuče pristupne ključeve sinhronizovane kroz Google Password Manager — upravo sistem koji su mnogi od nas usvojili posebno da bi se udaljili od rizika povezanog sa lozinkama.
Posmatrane pojedinačno, ovo su četiri različite kategorije problema: hardverski propust, prevara u lancu snabdevanja, upad u korporativni sistem i problem implementacije kriptografije. Ali svima je zajednički osnovni uzrok koji nema nikakve veze sa korišćenom tehnologijom. U svakom slučaju, ranjiva stvar je jednom instalirana, aktivirana ili napravljena — a zatim je više niko nije ponovo proverio.
Obrazac ispod naslova
Bezbednosni dug se gomila upravo na mestima na koja prestanete da obraćate pažnju. Alarm za automobil se ugradi kao deo dodatnog paketa kod prodavca i više vam nikada ne padne na pamet, sve dok ne postane razlog zbog kog je vaš automobil završio u tuđim rukama. Striming-uređaj se priključi na televizor, godinama radi kako treba i nikada ne podigne uzbunu jer i dalje reprodukuje ono što ste tražili — saobraćaj povezan sa prevarama sa oglasima i deljenjem propusnog opsega odvija se nevidljivo uporedo s tim. Pristupni podaci se naprave, posluže za prijavljivanje, a zatim godinama stoje u bazi podataka nakon što se uređaj koji ih je otkrio odavno zaboravi, jer menjanje lozinke o kojoj ne razmišljate nije zadatak koji iko stavlja u kalendar. Pristupni ključ se podesi upravo zato da bi bio „bezbedniji od lozinke“, a ta reputacija postane razlog da prestanete da razmišljate o tome šta štiti uređaj na kojem se on nalazi.
Ni za šta od ovoga napadaču nije bilo potrebno da pronađe neku sofisticiranu, novu ranjivost koju niko nije predvideo. Alarm za automobil i krađa pristupnih ključeva jesu uključivali stvarno tehničko istraživanje. Ali ono što je zaista omogućilo da šteta nastane u velikim razmerama bio je jaz između „podešeno jednom“ i „nikada ponovo provereno“.
20-minutna provera stvari koje već posedujete
Ne morate ništa da kupujete niti da postanete drugačija osoba da biste zatvorili veći deo ovog jaza. Potrebno je da jednom prođete kroz gore navedene kategorije, tretirajući to kao posao koji se ponavlja, a ne kao jednokratno podešavanje.
1. Uređaji naknadno ugrađeni i dodatni uređaji
Obiđite sve što je ugradila treća strana, umesto da je bilo ugrađeno fabrički — alarme za automobile, kamere na komandnoj tabli, pametne brave i uređaje za naknadno praćenje. Proverite da li proizvođačka aplikacija ili sajt nude mehanizam za ažuriranje firmvera i zaista ga pokrenite. Kada je konkretno reč o alarmu KARR, istraživači su naveli da je lak vizuelni znak nalepnica „KARR“ na prozoru sa vozačeve strane; ako je imate, proverite sa instalaterom ili proizvođačem da li postoji zakrpa, pre nego što pretpostavite da je sve u redu. Šira navika koju vredi izgraditi jeste sledeća: sve što ima radio-vezu i aplikaciju proizvođača jeste uređaj kojem je potrebno povremeno održavanje, baš kao telefonu ili laptopu.
2. Sve što je priključeno na televizor
Vredi pažljivo proveriti generičke striming-boksove koji se prodaju na internet-berzama pod imenima poput H96 i često reklamiraju uz jednokratnu naknadu za „neograničen“ sadržaj. Ako posedujete jedan takav uređaj, imajte na umu da rizik nije samo u piratskom sadržaju — već u tome što se sam uređaj može ponašati kao drugi računar na vašoj mreži, sa sopstvenim planovima. Ako ne možete da proverite šta uređaj radi na vašoj mreži, a potiče od nepoznatog brenda koji obećava nešto što je predobro za tu cenu, to je dovoljan razlog da ga izolujete na mreži za goste ili zamenite glavnim striming-uređajem kompanije koja ima reputaciju koju želi da zaštiti.
3. Stare lozinke, naročito one koje se ponavljaju ili miruju
Upad povezan sa priznanjem krivice hakera koji je doveden u vezu sa Snowflakeom nije izazvao propust na platformi. Izazvali su ga pristupni podaci koje je malver godinama ranije prikupio sa nečijeg računara, a koje niko nije promenio, na nalozima na kojima je višefaktorska autentifikacija bila isključena. To je potpuno izbežan način nastanka problema, a veoma je čest: svaki nalog koji ste jednom podesili i na koji se retko prijavljujete upravo je ona vrsta naloga na kojoj se možda i sada koristi procurela lozinka stara godinama. Ako vaš menadžer lozinki nudi proveru kompromitovanih ili ponovljenih lozinki, pokrenite je. Ako nalog podržava MFA, a ona je isključena, uključite je — ova jedna kontrola sprečila bi upad u kojem su otkriveni podaci više od 100 miliona ljudi.
4. Nalog koji štiti vaše pristupne ključeve
Pristupni ključevi predstavljaju stvarno poboljšanje u odnosu na lozinke kada je reč o konkretnim problemima fišinga i ponovne upotrebe lozinki. Ali nedavno istraživanje krađe sinhronizovanih pristupnih ključeva kroz Google Password Manager koristan je podsetnik da pristupni ključ nije magija — on nasleđuje bezbednost naloga i uređaja kroz koje se sinhronizuje. To znači da nalog na kojem se čuvaju vaš menadžer lozinki ili sinhronizacija pristupnih ključeva zaslužuje najjaču zaštitu koju imate: snažnu, jedinstvenu šifru za sam uređaj, MFA na nalogu koji obavlja sinhronizaciju i pažnju prema onome što instalirate na tom uređaju, jer se istraživanje oslanja na malver koji već radi na računaru, a ne na propust koji možete „zakrpiti“ u samim pristupnim ključevima.
Zašto ovo vredi uraditi sada, a ne kasnije
Nijedna od ove četiri priče ne opisuje pretnju zbog koje danas treba da paničite. Ali sve četiri opisuju pretnje koje su rasle mesecima ili godinama upravo zato što se niko nije vratio da ih ponovo proveri. Rešenje nije novi alat ili pretplata — već određivanje vremena koje će se ponavljati, možda uz neku naviku koju već imate, poput provere izvoda iz banke, kako biste postavili dosadno pitanje o stvarima koje već posedujete i kojima već verujete: kada sam poslednji put proverio ovu stvar i da li još neko, osim mene, ima razlog da je nadgleda?
