Všechny komentáře k článku:Kyberzločinci začali využívat nových technik k získání citlivých dat
Můžete být IT profíci a stejně můžete být podvedeni..
Ono je to těžké, osobně si myslím že ano, samozřejmně, co se týče phishingu, jedná se zde o lidský faktor toho, že kdo se na interentu neorientuje, své citlivé údaje beze strachu sdělí, protože netuší, že by se mohlo jednat o podvod. ALE existují právě sposuyt dalších možností podvodů, kdyz zkrátka ani IT profík nepozná, že právě odesílá údaje o své kreditce hackerovi. Jedná se právě o to, že hacker nastrčí svůj server před DNS server řekněme internetového bankovnictví. Jeho server může být přesnou kopíí serveru originálního a díky tomu, že je na cestě mezi zákazníkem a originálním serverem, zákazník zkrátka nemá šanci to poznat. Jasně, zavádí se různá šifrování a tak, ale ani ty nejsou proti tomuto DNS povádění účinné... vím jen o tom, že v současné době je ve vývoji metoda, která by tomuto měla předcházet, ale NYNNÍ neexistuje stoprocentní obrana proti tomuto - vlastně se dá říct že proti podstrčení hackerova DNS serveru zákazníkovi současně nefunguje NIC co by tomu zabránilo. Phishing je sice populární, ale zdaleka tak účinný jako toto. Takže pozor, profíci, co si myslí, že nejsou hloupí a že nemůžou naletět - ani oni nejsou v bezpečí, ať již sou sebevíce PC gramotní.
O tomhle jsem ještě neslyšel, asi to nebude jen tak lehce proveditelné. Způsob jak to odhalit by mohl být zkontrolovat si certifikát, ten těžko někdo hackne. Stejně mi nějak nedochází, jak se to nechá udělat, můžeš to trochu rozvést?
@mervart: Rád bych, ale už opravdu nevím podrobnosti, měli jsme o tom ve škole přednášku od lidí z CZ.NIC kteří věřím že se v tom to poměrně orientují, jen si už fakt nepoamatuju ty podrobnosti :(
Podvrhnout DNS je samozřejmě jednoduché, ale normální internetové bankovnitví jede přes SSL a certifikáty a podvrhnout certifikát serveru je prakticky vyloučeno.
@Martin54515: Jasný no, jenomže kolik uživatelů si všimne že jedou bez certifikátu? 1 ze 100 ? :) Kdybych měl kontrolovat certifikáty u všech důležitejch věcí, který doma dělám přes net tak bych nedělal nic nic jinýho, nehledě na to, že mít svůj vlastní SLL certifikát pro server není niajk složitá záležitost, takže pokud si někdo dává tu práci a kontroluje certifikáty, kontroluje také jaké jsou to certifikáty? To už by bylo na palici :)
@Lukášek9991: Kontrolovat ze k bankovnictvi (a dalsim dulezitym sluzbam) se pripojuji pres SSL mi prijde jako samozrejmost - a rozhodne nic slozityho nebo vyzadujici neuzivatelske znalosti. V tom ze si muzes jednoduse vytvorit podvrzeny certifikat se nastesti pletes. Kazdy browser bude na na uzivatele vylozene RVAT ze certifikat neni schvaleny.To nic nemeni na tom ze sikovne podvrhnut DNS je dost nebezpecny - jen ted nevim jestli to DNSsec kompletne resi. Dalsi vec je podpora v bankach - zkus zavolat do vasi banky at vam sdeli fingerprint certifikat
@Lukášek9991: > Jasný no, jenomže kolik uživatelů si všimne že jedou bez certifikátu?Mas pravdu ze tohle by webove prohlizece mohli take zlepsit - ted pouze varuji pri prechodu z https na http, ale napriklad moznost povolit pro nejakou domenu pouze https by byla hezka - ze by namet do bugzilly firefoxu ? ;-)
@pheeror: Jestli se nemýlím tak Firefox3 už primárně zakazuje přístup na "samocertifikované" stránky bez ověření proti certifikační autoritě.Musí se to výslovně povolovat pro daný server a firefox při tom řve že server nelze ověřit... možná v tomto případě útoku bude dokonce řvát že pravý server má jiný certifikát.
@HUDSONSTAN: Jo, tahle fičurka mě docela překvapila, školní certifikáty samozřejmě nejsou ověřené žádnou pořádnou certifikační autoritou...
Tohle je zavadejici. Na odborniky kyberzlocinci kaslou - je jich drtiva mensina a naprosto jim to nestoji za to. Mnohem lepsi je zamerit se na masu nezkusenejch duverivejch lidi, protoze i s nejhloupejsim utokem se proste nekdo chyti. Zkratka porad je rozhodujici lidskej faktor. Ale k vyjadrenymu problemu - 1) duveryhodnejm profi DNS serverum by se nemelo stat, ze si nechaj napadnout DNS zaznamy. To uz je vec hackingu, proti kterymu se da dobre chranit. 2) Treba FF3 uz celkem pekne zobrazuje pritomnost certifikatu a zobrazit si certifikacni autoritu je otazka par vterin. 3) Stoprocentni ochrana proti tomuhle je zadavat adresu v podobe IP adresy ;-) Nebo spis zavest si statickej preklad.