nejlepší a nejdůležitější programy zdarma!

Šifrované USB flash disky

Šifrované USB flash disky firem SanDisk, Kingston nebo Verbatim měly být zcela bezpečné – používají totiž 256bitové AES šifrování, které je považováno za prakticky neprolomitelné. Získaly také certifikát FIPS (Federal Information Processing Standard), což je bezpečnostní standard, který používají federální úřady USA. Navíc po deseti neúspěšných pokusech o zadání hesla se veškerý obsah USB flash disku vymaže.

Nicméně profesionální hackeři ze společnosti SySS přišli na dvě „mouchy“. AES šifrovací algoritmus nebyl bezpečně implementován a kontrolu hesla měl na starosti program, který bylo snadné analyzovat. Pouhé dva dny tedy expertům stačily na vytvoření nástroje, který zadání hesla obešel. Prolomení „klíčenek“ ohlásila i česká firma Datarecovery.

Ochrana: Tři poskytovatelé zabezpečených flash disků mezitím odstranili „zadní vrátka“, musíte si však nainstalovat update, který je dostupný na jejich stránkách.

Zmanipulovaný flash

On-line hry nebo jiné flashové aplikace odesílají data z počítačů uživatelů na server, kde jsou webové stránky – například kvůli záznamu dosaženého skóre ve hře „Moorhuhn“. Zmanipulovat tato data snad ani nemůže být snadnější. Jediné, co k tomu potřebujete, je doplněk k Firefoxu nazvaný Tamper Data. Doplněk zadrží odesílaná data, umožňuje je pozměnit a po stisku tlačítka je odešle na server. Doplněk totiž zobrazuje všechny měnitelné parametry, a to jak statické, tak dynamické. Není tedy problém změnit „High score“, „body“ a podobně, případně i URL adresy, které tyto informace posílají. Pokud tedy „hacker“ pozmění hodnotu skóre, může se rázem vyšvihnout na čelo žebříčku nejlepších hráčů a server toto podvodné jednání nemůže odhalit. On-line hráči mají tyto jednoduché, ale účinné triky k dispozici už dlouho, a tím se také vysvětluje neuvěřitelně vysoké skóre některých hráčů.

Vyrabování účtu

Vyrabování účtu

On-line bankovnictví má být zabezpečeno pomocí tzv. transakčního jednorázového kódu TAN (něco jako PIN) a jeho generátoru. Zařízení, která rozdávají banky svým klientům, čtou blikající kód vygenerovaný bankou a zobrazený na webových stránkách. Pomocí kódu se můžete verifikovat pro přístup k bankovnímu kontu. V podstatě by měl být tento systém neprolomitelný.

Odborníci na bezpečnost z RedTeam Pentesting však poukázali na to, že hackeři mohou přenos zmanipulovat pomocí trojského koně: změní binarní kód, který obdrží bankovní ústav. To ale funguje pouze v případě dávkového zpracování, protože se na TAN generátoru zobrazuje jen celková částka, a nikoli částky jednotlivých operací. Jednotlivé položky si totiž uživatel nemůže ověřit. Trojské koně mohou také manipulovat jednotlivé transakce s mezinárodním číslem bankovního účtu IBAN. Generátor TAN zobrazuje pro ověření pouze šest z 34 znaků. Ty jsou uvedeny na internetových stránkách banky. Trojan pak může změnit tuto informaci tak, že uživatel autorizuje nesprávný cílový učet.

Ochrana: Vyhněte se dávkovému placení a plaťte jednotlivé položky zvlášť a zvlášť je kontrolujte. Mezinárodní platby pak raději provádějte přímo v bance.

Zabezpečovací kamery

Bezpečnostní kamery sledují nemovitosti, muzea, obchody nebo sklady. Většina těchto kamer posílá obraz do bezpečnostního řídicího centra v nezašifrované podobě. S vhodným přijímačem, kterým může být klidně i dětská „chůvička“ s displejem, je možné tato data zachytit. Hackeři tedy využívají toho, že kamery posílají data pouze v několika málo volných frekvenčních pásmech.

Za využití jiných frekvencí musí výrobci platit, a kamery jsou z toho důvodu mnohem dražší. Proto riziko, že se kdokoli zvědavý a vybavený dětskou chůvičkou podívá do přísně střežených objektů, je poměrně velké, a to i z delší vzdálenosti. Některé modely jsou totiž schopné přijímat signál i na vzdálenost více než pěti kilometrů.

Ochrana: Používejte kamerky, které nabízí i šifrování – například bezdrátové kamerky s podporou WEP2.

Odemykaní WLAN jako služba

Americká společnost WPA Hacker nabízí profesionální hackerské služby. Umožňuje svým zákazníkům přistupovat do zabezpečených WLAN sítí, pokud použijí speciální nástroje jako  aircrack-ng (http://www.aircrack-ng.org), které dokáží bezdrátovou síť odposlouchávat. Za asi 40 USD pak tato firma pomocí cloudu s asi 800 počítači rozlomí heslo WLAN sítě, zabezpečené pouze pomocí WPA. Zkouší přitom cca 284 milionů možných hesel v angličtině a němčině. Trvá to jen asi 55 minut. Na jednom počítači by prolomení WPA trvalo přibližně dva týdny.

Ochrana: Při nastavení Wi-Fi routeru zvolte vyšší úroveň zabezpečení WPA2 a také nastavte bezpečné heslo – dostatečně dlouhé a skládající se i z čísel a speciálních znaků.

Jak přelstít webový obchod

Neschopní programátoři jsou nejlepšími kamarády hackerů. I když jsou populární triky hackerů už dlouho známé, stále se najde dost webových obchodů, na kterých mohou celkem snadno manipulovat s cenami nabízených výrobků. Některé obchody uvádějí kupní cenu v URL, pokud se výrobek vloží do košíku. Hackerovi pak stačí změnit cenu v URL, a po vložení do košíku si klidně může koupit nový kufřík místo za 125 třeba jen za 5 eur.

U dalších obchodů potřebují hackeři přece jen lepší výbavu – legální a freewarové doplňky pro internetové prohlížeče (Web Developer pro Firefox nebo HtmlBar pro IE), které zobrazují skrytá pole formuláře na webové stránce. Tato pole mohou obsahovat nejrůznější informace, jako je název výrobku, počet, objem a podobně, a někdy dokonce i cenu. Pak už hackerovi stačí zadat jiné množství, a hned je v košíku mnohem nižší cena než původně. Proces objednávky v podstatě akceptuje i záporné ceny, čímž si hackeři mohou připisovat kredit. V případě automatické fakturace tak může majitel obchodu na podvod přijít až po několika týdnech.

Zneužití Googlu

Hackeři jistě souhlasí s mottem Googlu „Don’t be evil“ a tento známý vyhledávač určitě často a úspěšně používají. Mohou si díky němu najít řadu důvěrných informací. Pokud tedy například zadají do vyhledávače „file-type: xls username password“, naleznou XLS tabulky, ve kterých jsou uložena hesla uživatelů webových stránek. Pomocí podobného příkazu mohou najít i e-mailové adresy, mezery v databázi nebo servery, na kterých je použita verze softwaru s nějakou dírou. Google Hacking Database (GHDB), kterou najdete na webových stránkách, obsahuje přes 1 200 parametrů dotazů. Uživatel proti tomu nemůže dělat téměř nic, kromě toho, že na internet o sobě umístí co nejméně informací.