Ako sa z Huawei stala hrozba?

FOTO: flickr.com/Open Grid Scheduler/Grid Engine

Čínsky technologický gigant Huawei aj naďalej zostáva v centre dvoch medzinárodných debát – o obchodnej vojne medzi Spojenými štátmi a Čínou, a výstavbe nových 5G sietí. Doterajšie kroky Bidenovej administratívy totiž nenasvedčujú tomu, že by sa postoj Washingtonu voči tejto spoločnosti mal v blízkej budúcnosti zmeniť. Čo sa však môže zmeniť je postoj štátov z celého sveta, ktoré museli pod jeho priamym či nepriamym nátlakom začať reflektovať túto zahraničnú politiku USA a v niektorých prípadoch sa jej dokonca podrobiť.

Faktom ale naďalej zostáva, že do dnešného dňa nebol predložený jediný dôkaz, ktorý by dosvedčil údajnú čínsku konšpiráciu voči Západu. Spojené štáty naviac neboli vierohodne schopné obhájiť svoje tvrdenia a už vôbec nie to, ako spolupráca čínskych firiem s armádou zapadá do vojenských plánov Číny. A práve to vyvoláva otázky o tom, či je tento spor s Huawei a inými čínskymi spoločnosťami založený na faktických bezpečnostných dôvodoch, alebo tým len Američania sledujú svoje vlastné mocenské záujmy. Text preto poukáže na to, ako a prečo sa z Huawei stala hrozba pre USA, ako sa toto vnímanie problému snažil Washington vnútiť predovšetkým svojim spojencom spoza Atlantiku, a prečo je hrozba, za akú sa táto čínska firma považuje v Spojených štátoch, zle odkomunikovaná.

Pokračovať v čítaní: Ako sa z Huawei stala hrozba?

Ako rozpoznať (ne)priateľa na internete

FOTO: pexels.com/cottonbro

V bežnom živote rozpoznávame známe osoby podľa ich vzhľadu alebo hlasu. Naopak, na identifikáciu neznámych osôb používame občianske preukazy, pasy alebo rodné čísla. V prípade virtuálneho sveta to ale tak ľahko nefunguje. Prezývka, e-mailová adresa ani profil na sociálnej sieti totiž nestačia na to, aby ste si mohli s istotou povedať, kto sedí na druhej strane. Tento problém dokonale vystihuje starý vtip, ktorý hovorí, že na internete nikto nevie, že ste pes. A presne to zneužívajú podvodníci, ktorí sa vydávajú za iné osoby.

V tomto článku vám ukážem jednoduchý trik, vďaka ktorému budete schopní rozpoznať svojho priateľa alebo kolegu v online komunikácii. Na prvý pohľad znie tento scenár možno trochu banálne. S množiacimi sa falošnými a ukradnutými účtami ho ale raz oceníte. Podvodníci totiž pri krádeži identity zabúdajú na jeden aspekt, ktorý ich prezrádza.

Všetko je vo vašich prstoch

Vytvoriť si falošný účet s ukradnutými osobnými údajmi je ľahké. Ukradnúť e-mailový účet alebo účet na sociálnej sieti je o niečo ťažšie. Tá najťažšia časť ale príde po tom, keď sa ho podvodník alebo sociálny inžinier rozhodne použiť pre nejaký nekalý účel, napríklad získanie dôverných informácií alebo intímnych fotografií. Musí sa totiž vžiť do role danej osoby a vierohodne ju napodobniť v písomnej online komunikácii. V čom je teda problém?

Spomeňte si na školské časy a hodiny slovenského jazyka, kedy ste mali napísať úvahu alebo recenziu. Či už ste písali o láske a priateľstve alebo o Starcovi a mori, vo vašom písomnom prejave sa odzrkadlila vaša slovná zásoba a to, ako ovládate pravopis a gramatiku. Niektorí používali nespisovné, slangové slová, iní nevedeli správne písať čiarky a bol tu samozrejme aj fenomén „i“ a „y“. Ak ste slovenčine nevenovali dostatok času, tieto chyby sa prejavujú vo vašich písomnostiach dodnes. Internet naviac obohatil váš jedinečný štýl písania a prejavu aj o ďalšie jedinečné vlastnosti ako napríklad používanie malých písmen na začiatku vety, zdôrazňovanie slov veľkými písmenami, preklepy, chýbajúce diakritické znamienka alebo upravené hláskovanie, tzv. leet speak (1337). Pre lepšiu predstavu uvediem dva vymyslené príklady.

Pre obchodného zástupcu, ktorý komunikuje denne po anglicky viac ako po slovensky je prirodzené, že má klávesnicu nastavenú na anglický jazyk. Neprepína ju pritom ani vtedy, keď potrebuje napísať niečo po slovensky. V drvivej väčšine jeho komunikácie po slovensky tak chýbajú dĺžne a mäkčene. Nedáva si pritom veľmi záležať ani na pravopise a gramatike a v jeho vetách sa sem-tam objaví „presvecit“ alebo „novi kolega“. Svoje správy tiež rád obohacuje o nejaké anglické výrazy, ktoré sa dostali do jadra jeho slovnej zásoby a jeho e-maily sú vždy pekne štruktúrované.

Na druhej strane je fitness tréner, ktorý často komunikuje s priateľmi cez mobil. Možno pre hrubé prsty, možno pre rýchlosť písania si však nedáva pozor na to, čo píše a jeho správy obsahujú množstvo preklepov. Namiesto medzier sa objavujú bodky a namiesto „zavolaj mi“ sa objaví „zsbokaj mi“ – ekvivalent cézarovej šifry. Typická je aj zámena významov „napadlo mi“ a „napadlo ma“, oslovovanie „bráško“, či písanie „kúskovito“, kedy 6-slovnú vetu rozdelí do troch samostatných správ po dve slová.

Buďte všímaví

Pokiaľ by sa podvodník rozhodol vytvoriť si falošný účet s menom a fotkou svojej obete, prípadne by ho niektorému z nich ukradol, pre vierohodnú impersonizáciu by si vopred musel zaistiť dostatočné množstvo kópií ich prejavov, aby sa ich naučil zreplikovať. Akákoľvek nekonzistentnosť v písaní by totiž následne rýchlo vyvolala pri komunikácii s ich známymi pochybnosti a odhalila tak celý podvod.

Z trošku iného súdka, ale predsa demonštruje význam štýlu písania pri prevzatí účtu aj prípad Rossa Ulbrichta. Pre tých, ktorí ho nepoznajú, ide o zakladateľa najväčšieho darknet obchodu Silk Road, kde sa mimo iné vo veľkom obchodovalo s drogami.

Keď sa americkému ministerstvu pre vnútornú bezpečnosť podarilo zadržať moderátorku Silk Road fóra, jej účet prešiel okamžite do rúk špeciálneho agenta Jareda Der-Yeghiayana. Účet mu umožnil prehliadať tajné zákutia fóra, kam mali prístup len vyvolení, ale aj skontaktovať sa s inými vedúcimi predstaviteľmi, vrátane Ulbrichta. Cenný úlovok bolo ale treba strážiť a zamedziť odhaleniu prevzatia účtu.

„Čo nás to stálo, aby sme sa vžili do tohto účtu? Museli sme prečítať viac ako 3 000 chatov. Museli sme poznať obsah každej jednej konverzácie, s kým a kedy sa rozprávali. Počas prebiehajúcej komunikácie sme nemali čas povedať dajte mi chvíľu,“ opísal v tom čase svoju prácu Der-Yeghiayan.

Okrem toho sa musel naučiť moderátorkinu syntax, spôsob vyjadrovania, interpunkciu, štruktúru viet, slang, nadávky atď. Bežne napríklad používala veľké písmena na zdôraznenie záporu, napr. „you will NOT do this“ (to NEurobíš). Der-Yeghiayanovi sa jej prejav síce podarilo zreplikovať. Stálo ho to ale množstvo hodín strávených na fóre, po ktorých si podľa vlastných slov osvojil jej štýl písania natoľko, že ho začal používať aj on sám v osobnej komunikácii s nadriadenými.

Zrátané a podčiarknuté, písomný prejav vašich blízkych je teda niečo, čo podvodník len ťažko napodobní. Skúste si preto odteraz všímať ako vaši známi píšu, kde robia chyby, aké slová používajú… A ak vám nabudúce príde správa od vášho priateľa, v ktorej si žiada intímnu fotografiu, alebo vám príde e-mail od vášho nadriadeného, v ktorom žiada o prevod peňazí, možno sa vám vďaka tomu včas podarí odhaliť takmer dokonalý podvod.

Článok bol pôvodne uverejnený na Preventista.sk.

V krátkosti k novele zákona o kybernetickej bezpečnosti

FOTO: wikimedia.org/Wizzard

Vláda schválila v stredu 24. februára novelizáciu zákona o kybernetickej bezpečnosti, ktorá by mala priniesť viacero zmien do právomocí Národného bezpečnostného úradu (NBÚ). Zaviesť by sa mala napríklad povinnosť poskytovať úradu súčinnosť v rámci kybernetickej bezpečnosti, automatizované zasielanie systémových informácií zo sietí a informačných systémov kritickej infraštruktúry, inštitút blokovania škodlivého obsahu a aktivít alebo certifikácia.

V tomto texte sa ale zameriam na právomoc, ktorá môže predstavovať z politického hľadiska problém v blízkej či vzdialenej budúcnosti. Ide o zákaz alebo obmedzenie používania niektorých produktov, procesov a služieb.

Pokračovať v čítaní: V krátkosti k novele zákona o kybernetickej bezpečnosti

Proti ransomvéru krok za krokom

FOTO: flickr.com/Christiaan Colen

Ryuk, Djvu, Maze, DoppelPaymer, CryptoLocker, Avaddon, Sodinokibi, GandCrab… v posledných rokoch sa ako keby s týmito škodlivým programami roztrhlo vrece. Najprv vám zašifrujú súbory na disku a následne od vás žiadajú peniaze. Pre prevádzkovateľov týchto ransomvérov je samozrejme oveľa výhodnejšie zaútočiť na súkromné firmy, ktoré si môžu v krajnom prípade dovoliť zaplatiť požadovanú sumu za dešifrovanie. To však ale neznamená, že táto hrozba obchádza bežných používateľov. Práve naopak. Tým vie spôsobiť ešte väčšie škody.

Pokračovať v čítaní: Proti ransomvéru krok za krokom

Sociálne inžinierstvo a princípy presviedčania

FOTO: pixabay.com/gabrielle_cc

Už tradične sa za jeden z najnebezpečnejších a zároveň najčastejších vektorov útokov považuje phishing. Táto forma sociálneho inžinierstva ide cestou najmenšieho odporu a zneužíva najslabší článok každého bezpečnostného systému – človeka. Hoci existujú technologické riešenia, ktorých snahou je zamedziť takýmto správam, aby sa dostali k adresátovi, nie vždy sa to podarí. Tobôž  nie ak správa prichádza z dôveryhodného účtu, nad ktorým útočník prevzal kontrolu. Efektívna obrana preto v konečnom dôsledku závisí len a len od bezpečnostného povedomia a návykov adresáta.

Pokračovať v čítaní: Sociálne inžinierstvo a princípy presviedčania

Budúcnosť kybernetickej obrany na Slovensku: medzi aktivitou a pasivitou

FOTO: flickr.com/U.S. Army Cyber Command/Staff Sgt. George Davis

Na Slovensku v súčasnosti prebieha Audit informačnej bezpečnosti, ktorý má za cieľ podporiť prípravu akčného plánu v boji proti hybridným hrozbám a tiež nových strategických dokumentov SR. Jeho hlavnou slabinou je však, že sa obmedzuje len na informačné (vplyvové) operácie, teda šírenie dezinformácií, propagandy a ovplyvňovanie verejnej mienky. Hoci ide o dôležitú a aktuálnu tému, takáto iniciatíva musí už len z podstaty jej názvu reflektovať nielen kognitívnu (ak už teda preberá ruský a čínsky koncept informačnej bezpečnosti), ale aj tú kybernetickú stránku.

Týmto textom chcem preto vyplniť vzniknutú „dieru na trhu“ a zamyslieť sa nad tým, kam by mala smerovať kybernetická stratégia, resp. obrana Slovenska v budúcich rokoch. Čím ďalej, tým viac štátov sa totiž uchyľuje k „zbrojeniu“ v kybernetickom priestore, zatiaľ čo zhoda na výklade medzinárodného práva stále v tomto ohľade absentuje a metafora „divokého západu“ sa tak stáva reálnou praxou.

Pokračovať v čítaní: Budúcnosť kybernetickej obrany na Slovensku: medzi aktivitou a pasivitou

Ako sa triezvo pozerať na prípad Huawei a v čom spočíva jeho riešenie

FOTO: flickr.com/Kārlis Dambrāns

Meno čínskeho telekomunikačného giganta Huawei sa od nástupu Donalda Trumpa objavuje na titulkách novín minimálne raz za týždeň a debata o bezpečnosti a roli jeho produktov v mobilných sieťach piatej generácie neušla pozornosti už ani laickej verejnosti. V tomto texte preto nebudem zbytočne rozpitvávať to, čo viedlo k týmto pochybnostiam a čo už každý minimálne tuší. Práve naopak. Túto debatu chcem zasadiť do širšieho geopolitického kontextu a upozorniť na to, že dopyt po zákaze cenovo dostupnejších 5G produktov od Huawei je viac politicky motivovaný než bezpečnostne.

Ak sa Slovensko nemá nechať vtiahnuť do nejakej obchodnej hry (slovami bývalého premiéra Pellegriniho), musí zaujať triezvy postoj, ktorý vyváži bezpečnostný, politický ale aj ekonomický rozmer tohto problému. To však bude možné, len pokiaľ do debaty začleníme aj tretiu nezávislú stranu, ktorá potvrdí alebo vyvráti naše pochybnosti.

Pokračovať v čítaní: Ako sa triezvo pozerať na prípad Huawei a v čom spočíva jeho riešenie

COVID-19 #1.2: Tipy, ako rozpoznať phishingový e-mail a podvod

FOTO: Viliam Kaliňák

V minisérií COVID-19 vám predstavím základné informácie o prebiehajúcich phishingových kampaniach a podvodoch a poradím, ako rozpoznať podvrhnuté správy a webstránky, bezpečne narábať s dôvernými dátami na svojich domácich zariadeniach, zabezpečiť online komunikáciu či vyhnúť sa iným problémom, s ktorými sa môžete pri práci z domu stretnúť.

Prvý článok som venoval informáciám o prebiehajúcej phishingovej kampani a tzv. Business Email Compromise (BEC) podvodoch, s ktorými sa na internete určite stretnete. Popísal som ich charakteristické znaky, predstavil súčasnú situáciu a prípady na Slovensku a vysvetlil, prečo by ste mali dbať o svoju kybernetickú ochranu.

V tomto článku sa pozriem na phishingové e-maily a podvody podrobnejšie a na ukážkach z konkrétnych prípadov ukážem, ako ich rozpoznať.

Pokračovať v čítaní: COVID-19 #1.2: Tipy, ako rozpoznať phishingový e-mail a podvod

COVID-19 #1.1: Informácie o phishingovej kampani a BEC podvodoch

FOTO: Viliam Kaliňák

V minisérií COVID-19 vám predstavím základné informácie o prebiehajúcich phishingových kampaniach a podvodoch a poradím, ako rozpoznať podvrhnuté správy a webstránky, bezpečne narábať s dôvernými dátami na svojich domácich zariadeniach, zabezpečiť online komunikáciu či vyhnúť sa iným problémom, s ktorými sa môžete pri práci z domu stretnúť.

Prvý článok venujem informáciám o prebiehajúcej phishingovej kampani a tzv. Business Email Compromise (BEC) podvodoch, s ktorými sa na internete určite stretnete. Popíšem ich charakteristické znaky, predstavím súčasnú situáciu a prípady na Slovensku a vysvetlím, prečo by ste mali dbať o svoju kybernetickú ochranu.

Pokračovať v čítaní: COVID-19 #1.1: Informácie o phishingovej kampani a BEC podvodoch

Čo sľubujú politické strany pre kybernetickú bezpečnosť štátu pred voľbami?

FOTO: Viliam Kaliňák

Vybral som pre vás sľuby len tých strán, ktoré sa podľa posledného prieskumu agentúry AKO zo 14. februára 2020 dostali nad 5% hranicu zvoliteľnosti do parlamentu. Strany sú zoradené podľa čísla, s ktorým pôjdu do volieb.

Sloboda a Solidarita

Strana Sloboda a Solidarita verí, že bezpečnostná a obranná politika SR musí popri spojeneckom ukotvení SR reflektovať aj hybridné hrozby či kybernetické útoky. Pre oblasť kybernetickej bezpečnosti sa však v rámci celého jej volebného programu ušiel len jediný bod, v ktorom strana tvrdí, že:

„Stransparentníme akvizície a opatrenia v rámci kybernetickej obrany zdieľaním zodpovednosti za túto oblasť v súčasnosti výlučne v rukách Vojenského spravodajstva aj na jednu z civilných zložiek MO SR.“

Pokračovať v čítaní: Čo sľubujú politické strany pre kybernetickú bezpečnosť štátu pred voľbami?