Az információbiztonságról általánosan II.

Az előző írásból sok minden kiderült az információbiztonsággal kapcsolatban, de nem minden. Remélhetőleg a cikk második részéből kiderül minden.

Vírusirtók

Az előző cikket azzal fejeztem be, hogy kell a vírusok ellen tenni szoftveresen. Ennek módja az, hogy antivírust használunk. Kérdés, hogy melyiket, mivel Dunát lehet rekeszteni a megoldásokból. A közös jellemzője ezen termékeknek, hogy egy gyártó sem erőlteti meg magát fejlesztés terén. Kb mindegyik antivírus ugyanazt tudja, ha meg mégis beszívunk valami kártevőt, akkor takaróznak azzal, hogy 100%-os védelem nincs. És igazuk is van. Mi viszont ott maradunk nyakig a szószban és még a pénzünket se kapjuk vissza.

Szoftver fejlesztési szempontból nagyon kifizetődő üzlet lett a vírusirtók gyártása. A felhasználó úgyis csak a felhasználói felületet látja, azt, hogy most mi történik a háttérben, azt nem. Éppen ezért Androidra nem is oly rég volt egy Virus Shield nevezetű program, amit több, mint 30 ezer ember töltött le, és kiderült, hogy semmit se csinált. Persze ez kirívó eset, de ha egyszer megtörtént, akkor mi a garancia arra, hogy a nagy gyártók drága frissítései közül mindegyik ténylegesen csinál is valamit?

Felmerülhet a kérdés, hogy akkor mégis mit csináljunk? Korábban írtam a Windows Security Essentials programról, amely szerves részét képezi a Windows 8 rendszernek. Tapasztalatom szerint elegendő védelmet nyújt kellő körültekintéssel. Gondoljuk csak bele. A Microsoftnak nem érdeke kiadni egy gagyi, sebezhető operációs rendszert, főleg ha ingyen adja hozzá az antivírust.

További érdekesség, hogy egy nem régi kutatás eredménye szerint a legtöbb Antivírus szoftver nemhogy csökkenti a számítógép támadási felületének nagyságát, hanem inkább növeli. Ez azért lehetséges, mert egy antivírus elég sok komponensből áll. Ezek közül elég egy hibásat, vagy nem jól elkészítettet találni és a támadó máris rendszergazdai jogokat tud szerezni, mivel az antivírusok mindegyike rendszergazdai szintekkel fut, megkerülve az operációs rendszer alapvető védelmi mechanizmusait.

A kellő körültekintés alatt azt értem, hogy minden gyanús hülyeséget nem töltök le. Eddig bevált. Jobban megéri egy eleve ingyenes vírusirtót használni, mint egy tört verziós fizetőst. A tört verziós vírusirtók többsége annyi védelmet sem képes nyújtani, mint az integetés az ágyú lövedék ellen.

Operációs rendszer frissítések

Minden érdekes program tartalmaz egy elágazást, egy ciklust és egy rejtett hibát. Nincs ez másként az operációs rendszerek esetén sem. Ezen hibák nem szándékosan kerülnek bele a rendszerbe. Véletlenül születnek meg, vagy a régi kód eleve tartalmazta őket.

Ezeket időközönként javítják, frissítik gyártótól függetlenül. Azonban sokan nem telepítik őket különböző indokokra hivatkozva. Tény, hogy a Windows Update rendszere nem a legjobb, de Linux esetén is érdekes dolgokba lehet belefutni. OS-X rendszerről nem tudok nyilatkozni, mivel nincs hosszú távú tapasztalatom vele.

A frissítéseket sajnos telepíteni kell, mert ha nem telepítjük őket, akkor hiába van a legjobb antivírus telepítve. Nem fog tudni megvédeni bennünket. Az általam preferált Windows Update beállításokról korábban írtam már.

Nyílt forráskód vs zárt forráskód

Biztonsági szempontból azt mondják az „okosok”, hogy a nyílt forrás sokkal jobb, mert bele lehet nézni, és sokan belenéznek, ezáltal kiderülnek a gyenge pontok, ezáltal sokkal biztonságosabb a szoftver.

Ez elvben tökre jól hangzik, azonban a valóság az, hogy hiába néznek bele sokan, ha nem látják meg egy kódban a potenciális hibákat. Ez pedig egy külön szakma, és kevesen kutatnak az anyagi haszonszerzés motivációja nélkül ilyen hibák után.

Ebből adódóan a nyílt forráskódról csak azért mert nyílt, nem mondható el, hogy biztonságosabb, mint egy zárt forráskódú program. Elég csak a nem túl régi heartbleed hibára gondolni, vagy hogy mondjak még extrémebbet, a Linux rendszerek grafikus felülete nem is oly rég elméletileg még igencsak sebezhető volt.

Pedig a Linux rendszerben a közhiedelem szerint nincs hiba. Pedig sajnos abban is van, csak nem használják ki aktívan, hiszen az internetező felhasználók csupán 1%-a futtat Linux rendszert. Én ha gonosz Hacker lennék, akinek a világ leigázása lenne a célja, akkor biztos egy olyan platformra fejlesztenék vírust, amit a világ legalább 85%-a használ. Az OS-X rendszerekben is vannak hibák, csak ott sem annyira jellemző, hogy találkoznának vele köszönhetően annak, hogy cél gép kell hozzá.

Ezzel nem azt mondom, hogy a zárt kód az isten. A nyílt forráskód igen is hasznos elgondolás, csak nagyon nem mindegy, hogy milyen licenc szerződés alatt lesz valami kiadva. De ez már más téma.

Viszont a nagy szoftvergyártók többségéről elmondható, hogy van információbiztonsági csapatuk, akik a forráskódokban keresnek potenciális sebezhetőségeket. Ebből adódóan jobb lehetne a kódjuk, de mivel pár kiválasztotton kívül legálisan senki sem férhet hozzá, így nem mondható az, hogy bármelyiknek előnye lenne biztonsági szempontból.

Biztonsági mentések

Az adatainkat nem csak gonosz hackerek veszélyeztetik. A merevlemezek, CD és DVD lemezek igen sérülékenyek. Ezért a fontos adatainkról nem árt időközönként biztonsági másolatot készíteni. Egy régi mondás szerint kétféle ember létezik: Akinek veszett már el adata és akinek fog.

A biztonsági másolat készítés nem a legjobb móka, de szükséges. Tapasztalataim szerint addig nem foglalkoznak a kérdéssel az emberek, amíg nem veszítenek el valami fontosat. A megoldás lehet egyszerű CD/DVD írás vagy mobil HDD-re másolat készítés időközönként, esetleg felhő alapú megoldások, mint a Dropbox, OneDrive, Google Drive és társaik.

Felhő alapú megoldások biztonságossága

A Snowden NSA lehallgatási ügy óta sokakban igencsak megrendült a bizalom a felhő alapú megoldásokkal szemben jogosan. Még akkor is, ha hivatalosan minden szolgáltató tagadta, hogy az NSA-nek adatokat adott ki a felhasználók értesítése nélkül.

Ezért felhő alapú rendszerre csak olyan adatokat bízzunk, amelyeknél nem gond ha az NSA is belenéz. A probléma részben áthidalható extra titkosítások beiktatásával. Azért csak részben, mert ezek plusz erőforrást igényelnek és nem transzparens a működésük. Tehát nem csak annyi dolgom van az adatokkal, hogy bedobom őket egy mappába, hanem használat után titkosítani kell őket, illetve használat előtt fel kell oldani a titkosítást. Problémás, de járható út. Céges környezetek számára létezik fizetős megoldás, ami ezen problémákat áthidalja és megkönnyíti a felhasználók életét, de ez nem olcsó mulatság, főleg otthoni felhasználók számára.

Valamint a felhő esetén nem látunk bele a belső működésbe. Azaz nem tudhatjuk, hogy a feltöltött fájljainkról hány helyen van másolat,  nem bizonyosodhatunk meg róla, hogy tényleg törlődnek, mikor töröljük, és nem tudhatjuk, hogy hány ember fér hozzá.

Persze ezen hátrányok mellett ott van az, hogy kényelmes és egyszerű a használat. Ezért nem mondom, hogy ne használjunk felhő megoldásokat, de át kell gondolni, hogy mit is tárolunk ott. Ami túl bizalmas azt pedig eleve csak titkosítottan töltsük fel, ha feltöltjük.

Vezeték nélküli billentyűzetek

A vezeték nélküli billentyűzetet többsége nem alkalmaz semmilyen titkosítást, vagy ha alkalmaz is, akkor is rém egyszerű annak a visszafejtése. Ez annak tudható be, hogy igyekeznek minimalizálni a gyártási költségeket. Ezért a legtöbb ilyen billentyűzetben egy olcsó, kis teljesítményű mikrovezérlő van, ami nem képes bonyolult titkosítási algoritmusokat alkalmazni valós időben úgy, hogy a billentyű lenyomása után ne kelljen várni több másodpercet, míg az megjelenik a képernyőn.

A lehallgatásra alkalmas kütyü megszerzéséhez nem kell titkos ügynöknek lenni, akár otthon is megépíthetjük a szükséges eszközt, amely SD kártyára naplózza a leütött billentyűket. Ezért nem a legbiztonságosabb a vezeték nélküli billentyűzetek alkalmazása. Persze USB-s vagy PS/2 billentyűzetre is lehet készíteni hardveres keyloggert, de azért az mégiscsak feltűnőbb és nem utolsó sorban fizikai hozzáférés kell a géphez. Míg a vezeték nélküli megoldások esetén elég zsebbe tenni az eszközt és már naplóz is mindent.