Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Początkujący
Awatar użytkownika
Posty: 165
Rejestracja: 30 listopada 2017
Reputacja: 123
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: Yogi77 » poniedziałek, 15 stycznia 2018, 17:17

ShadowOfHarbringer pisze:Nikt nie zabroni Ci się zabić albo okaleczyć. Jeżeli sam z własnej woli to robisz, to zabranianie Ci tego byłoby niemoralne i typowe dla totalitarnych ustrojów.
Oczywiście że nikt z własnej woli tego nie robi, problem w tym że złoźliwe oprogramowanie może
być wkompilowane w dowolną usługe lub nawet dołączone od samego początku w dystrybucji
którą instalujesz.
ShadowOfHarbringer pisze:netstat -anp | grep LISTEN

Sprawdzasz co się pojawi na liście, sprawdzasz co to za usługi i do jakich programów należą i albo przekonfigurowywujesz i restartujesz usługę, albo wywalasz je w managerze pakietów.

5 minut roboty.

Zbudowanie dystrybucji Minta śledzącej dosłownie wszystkie poczynania użytkownika, wysyłającej
raporty na zewnętrzny serwer SMTP, oczywiście z fałszywym poleceniem netstat i innymi podstawionymi komendami systemowymi, a na następnie dystrybuowanie tego na fałszywej ale profesjonalnie wyglądajacej stronie z nazwą domeny sugerującej oficjalną strone produktu z certyfikatem ssl zajmie niewiele więcej czasu.

Nie dajmy się zwariować, ale samo to że pobrałeś sobie skądś tam Linuxa i go aktualizujesz
nie daje Ci 100 % bezpieczeństwa. Pod tym względem nawet kupienie w sklepie oficjalnej dystrybucji
Windowsa może okazać się bezpieczniejsze jeśli ufasz developerom Microsoftu.

mecenas pisze:wolałbym wywalić (odinstalować) konkretne pakiety z systemu odpowiedzialne tylko za dostęp zdalny, tak aby stał się po prostu niemożliwy.
Nigdy nie możesz tego wiedzieć, bo Twoja dystrybucja może być skompromitowana już od samego początku. Analiza ruchu sieciowego z poziomu skompromitowanego systemu (jak radzi ShadowOfHarbringer) jest bezcelowa. Sugeruje ponowną instalacje oraz ponowne pobranie obrazu z zaufanego źródła i zweryfikowanie obrazu płyty

gpg --keyserver keyserver.ubuntu.com --recv-key "27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09"

gpg --verify sha256sum.txt.gpg sha256sum.txt

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
1
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » wtorek, 16 stycznia 2018, 01:54

Yogi77 pisze: Oczywiście że nikt z własnej woli tego nie robi, problem w tym że złoźliwe oprogramowanie może
być wkompilowane w dowolną usługe lub nawet dołączone od samego początku w dystrybucji
którą instalujesz.

Zbudowanie dystrybucji Minta śledzącej dosłownie wszystkie poczynania użytkownika, wysyłającej
raporty na zewnętrzny serwer SMTP, oczywiście z fałszywym poleceniem netstat i innymi podstawionymi komendami systemowymi, a na następnie dystrybuowanie tego na fałszywej ale profesjonalnie wyglądajacej stronie z nazwą domeny sugerującej oficjalną strone produktu z certyfikatem ssl zajmie niewiele więcej czasu.

Nie dajmy się zwariować, ale samo to że pobrałeś sobie skądś tam Linuxa i go aktualizujesz
nie daje Ci 100 % bezpieczeństwa. Pod tym względem nawet kupienie w sklepie oficjalnej dystrybucji
Windowsa może okazać się bezpieczniejsze jeśli ufasz developerom Microsoftu.


(...)
To co powiedziałeś w absolutnie żaden sposób nie podważa tego co ja powiedziałem.

Fakty są takie, że na dzień dzisiejszy, dla zwykłego użytkownika każdy popularny Linux jest w blisko-100% bezpieczny.

Linux jest bezpieczny nie tylko dlatego, że jest dobrze napisany. Cała otoczka tego systemu włącznie ze zwyczajami użytkowników, zachowaniami społeczności, sposobem instalacji oprogramowania, strukturą zabezpieczeń repozytoriów, przejrzystością wszystkiego co się w nich dzieje jest zaprojektowana pod kątem bezpieczeństwa.

Paplanie w stylu, że "zawsze może się coś stać" tego nie zmieni. Zawsze może też pieprznąć nas asteroid i wszyscy zginiemy.

Windows to shit pod względem bezpieczeństwa ale zwycięzca pod względem wygody, ponieważ tak został od początku zaprojektowany i pomyślany przez Billa Gatesa. Linux odwrotnie - został rozpoczęty od myślenia pod kątem bezpieczeństwa i dlatego jest trudniejszy w obsłudze na początku.
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Początkujący
Awatar użytkownika
Posty: 165
Rejestracja: 30 listopada 2017
Reputacja: 123
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: Yogi77 » wtorek, 16 stycznia 2018, 04:07

ShadowOfHarbringer pisze: Windows to shit pod względem bezpieczeństwa ale zwycięzca pod względem wygody, ponieważ tak został od początku zaprojektowany i pomyślany przez Billa Gatesa. Linux odwrotnie - został rozpoczęty od myślenia pod kątem bezpieczeństwa i dlatego jest trudniejszy w obsłudze na początku.
Konkrety poproszę. Jak w obecnej wersji systemu Windows można wykonać złośliwy kod bez potwierdzenia tego po stronie użytkownika ? Nie jest to możliwe, chyba że na skutek popełnienia nieświadomego błędu lub jakiejś nieznanej podatności, która zostałaby załatana w aktualizacji natychmiast po jej odkryciu (ale to dotyczy również Linuxa i każdego systemu).

Linux nie daje żadnej magicznej ochrony. :) Przykład ? Przecież zdecydowana większość serwerów webowych działa obecnie pod Linuxem i włamania są tu regularne. Serwisy o których piszesz w pierwszym poście tego wątku to na czym niby działają ? Po prostu jest to najpopularniejsza platforma w tym obszarze i dlatego jest celem ataku. Na desktopie jest odwrotnie, ale tylko z powodu nikłego udziału linuxa tutaj.

Jeśli twierdzisz inaczej to odpowiedz na proste pytanie: jaki rodzaj ataku można wykonać na obecnym i aktualnym Windowsie ale nie jest to możliwe na obecnym i aktualnym Linuxie ? Podaj konkret.

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
5
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » wtorek, 16 stycznia 2018, 09:07

Zebrałem szereg przykazań bezpieczeństwa dla użytkowników kryptowalut.
Niektóre są bardziej ogólne i podstawowe, a inne bardziej upierdliwe, ale żadne nie są hardkorowe (no może trochę punkt 3.8).

1. Ogólne
  1. 1.1 Stosuj środki bezpieczeństwa proporcjonalne do ważności/wartości przechowywanych rzeczy.
    1.2 Nie przechowuj ważnych środków na giełdzie.
    1.3 Nie przechowuj bardzo ważnych środków na komputerze/smartfonie (użyj portfela sprzętowego/papierowego).
2. Komputer
  1. 2.1 Pracuj wyłącznie na koncie typu zwykły użytkownik (nie administrator) w systemie operacyjnym.
    2.2 Instaluj aktualizacje systemu operacyjnego.
    2.3 Nie uruchamiaj programów z znieznanych/niezaufanych źródeł.
    2.4 Zanim zaczniesz czytać odebrany email zweryfikuj jego nadawcę (używaj skrzynek, które weryfikują SPF/DKIM/DMARC/ARC).
    2.5 Korzystaj ze stron www, które używają szyfrowane połączenie i najlepiej gdy dodatkowo posiadają certyfikat wydany na podmiot a nie tylko na domenę (kliknij kłódkę na belce adresowej).
    2.6 Nie używaj do celów kryptowalutowych komputera, do którego mają dostęp osoby obce/niezaufane.
    2.7 Nie używaj do celów kryptowalutowych komputera, na którym uruchamiasz cracki/strony torrentowe/porno.
    2.8 Zainstaluj oprogramowanie antywirusowe.
3. Giełdy
  1. 3.1 Włącz na giełdzie 2FA na smartfona (Google Authenticator, FreeOTP).
    3.2 Włącz na poczcie 2FA na smartfona (Google Authenticator, FreeOTP).
    3.3 Ustaw na giełdzie unikalne, losowe, przynajmniej kilkunastoznakowe hasło (duże i małe litery, cyfry).
    3.4 Ustaw na poczcie unikalne, losowe, przynajmniej kilkunastoznakowe hasło (duże i małe litery, cyfry).
    3.5 Do każdej giełdy zakładaj osobne, dedykowane konto pocztowe.
    3.6 Dane kont (loginy, hasła, itp.) przechowuj w menedżerze haseł (np. KeePass lub inny).
    3.7 Nie przechowuj wiadomości na skrzynce pocztowej (niech program pocztowy je pobiera na komputer i usuwa z serwera) lub używaj poczty szyfrowanej (ProtonMail, Tutanota).
    3.8 Włącz na giełdzie szyfrowanie PGP dla wiadomości email wychodzących z giełdy (Kraken, Bitfinex).

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » wtorek, 16 stycznia 2018, 09:53

Yogi77 pisze:
ShadowOfHarbringer pisze: Windows to shit pod względem bezpieczeństwa ale zwycięzca pod względem wygody, ponieważ tak został od początku zaprojektowany i pomyślany przez Billa Gatesa. Linux odwrotnie - został rozpoczęty od myślenia pod kątem bezpieczeństwa i dlatego jest trudniejszy w obsłudze na początku.
Konkrety poproszę.
Konkrety ? Jaśnie Pan raczy żartować.

Ostatnie 15 lat historii jest "konkretem".

99,999% wirusów na systemy desktopowe jest i było na windowsa.

Na androida wirusów nie ma i nie było. Jeżeli user używa tylko sklepu Play lub F-Droid, to ma blisko 100% prawdopodobieństwa że Bitcoiny z telefonu mu nie zginą.

Linux jest bezpiecznym środowiskiem dla przeciętnego użytkownika na dzień dzisiejszy. Nie muszę nawet tego udowadniać, to jest wiedza powszechna.

Dla mnie temat jest zakończony.
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » wtorek, 16 stycznia 2018, 15:08

ShadowOfHarbringer pisze: 99,999% wirusów na systemy desktopowe jest i było na windowsa.
Jak 99,999% januszy używa Windowsa na desktopach to po co ktoś miałby pisać wirusa na Linuxa?
To bez sensu.
ShadowOfHarbringer pisze: Na androida wirusów nie ma i nie było.
Masz tu konkret z dzisiaj:
Niedawno zaobserwowaliśmy kampanie z wykorzystaniem złośliwego oprogramowania na systemy Android skierowane do polskich użytkowników. Malware stanowi wariant popularnej rodziny BankBot, różniący się od oryginalnego oprogramowania kilkoma szczegółami. Do infekcji dochodziło przez instalację aplikacji z serwisu Google Play Store. W Google Play Store zostały umieszczone co najmniej 3 próbki, które obeszły jego zabezpieczenia antywirusowe. Nazwy złośliwych aplikacji to:

Crypto Monitor
StorySaver
Cryptocurrencies Market Prices

Zgodnie z analizą firmy ESET dwie pierwsze próbki z samego Google Play Store zostały pobrane od 1000 do 5000 razy. Niemniej za każdym razem malware kamuflował się jako niegroźna aplikacja.

Jedną z podstawowych funkcji bota jest wykradanie danych logowania do kont bankowych. Dane te zawarte są w wewnętrznej liście aplikacji pod które trojan próbuje się podszywać. Na celowniku znalazło się wiele polskich banków takich jak PKO Bank Polski, mBank, ING Bank Śląski czy Bank Pekao SA (pełny spis aplikacji znajduje się niżej). Przeanalizowany wariant nie atakuje obcojęzycznych serwisów. Jedna z próbek o nazwie „Cryptocurrencies Market Prices” jest starszą wersją opisywanego oprogramowania i trafiła do serwisu VirusTotal dnia 13.10.2017.

Dodatkowo BankBot potrafi również przechwytywać SMS-y i wyświetlać fałszywe powiadomienia, rzekomo od prawdziwych aplikacji.
https://www.cert.pl/news/single/analiza ... -bankbota/

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » wtorek, 16 stycznia 2018, 22:16

The Real McCoin pisze:
ShadowOfHarbringer pisze: Na androida wirusów nie ma i nie było.
Masz tu konkret z dzisiaj:
Niedawno zaobserwowaliśmy kampanie z wykorzystaniem złośliwego oprogramowania na systemy Android skierowane do polskich użytkowników. Malware stanowi wariant popularnej rodziny BankBot, różniący się od oryginalnego oprogramowania kilkoma szczegółami. Do infekcji dochodziło przez instalację aplikacji z serwisu Google Play Store. W Google Play Store zostały umieszczone co najmniej 3 próbki, które obeszły jego zabezpieczenia antywirusowe. Nazwy złośliwych aplikacji to:

Crypto Monitor
StorySaver
Cryptocurrencies Market Prices

Zgodnie z analizą firmy ESET dwie pierwsze próbki z samego Google Play Store zostały pobrane od 1000 do 5000 razy. Niemniej za każdym razem malware kamuflował się jako niegroźna aplikacja.

Jedną z podstawowych funkcji bota jest wykradanie danych logowania do kont bankowych. Dane te zawarte są w wewnętrznej liście aplikacji pod które trojan próbuje się podszywać. Na celowniku znalazło się wiele polskich banków takich jak PKO Bank Polski, mBank, ING Bank Śląski czy Bank Pekao SA (pełny spis aplikacji znajduje się niżej). Przeanalizowany wariant nie atakuje obcojęzycznych serwisów. Jedna z próbek o nazwie „Cryptocurrencies Market Prices” jest starszą wersją opisywanego oprogramowania i trafiła do serwisu VirusTotal dnia 13.10.2017.

Dodatkowo BankBot potrafi również przechwytywać SMS-y i wyświetlać fałszywe powiadomienia, rzekomo od prawdziwych aplikacji.
https://www.cert.pl/news/single/analiza ... -bankbota/
Ekhm.

To nie jest wirus. Nie replikuje się, nie roznosi się na inne urządzenia - niezgodne z definicją wirusa.

Użytkownik sam to instaluje dając mu uprawnienia, nie ma tutaj wykorzystania żadnej dziury.

To jest tak zwane malware, oprogramowanie które podszywa się pod prawdziwe aplikacje. Użytkownik powinien wiedzieć co instaluje i jeżeli instaluje jakieś gówno z dziesięcioma pobraniami i bez ocen, nie patrząc nawet co instaluje, to na taką głupotę nie ma rady.

To jest właściwie atak typu phising - podszywanie się, a nie atak wirusowy, robakowy czy trojanowy.

To jest tak samo, gdyby ktoś obok banku PKOBP założył biuro "BKOBP" i ludzie, którzy nie doczytali szyldu nie patrzą gdzie wchodzą i idą do oszustów. Nie jest to żaden haking, tylko wykorzystywanie głupoty i nieuwagi. Na głupotę ludzką rady nie ma - jest nieskończona.

Powtórzę to jeszcze raz: Na androida nie ma wirusów.
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » środa, 17 stycznia 2018, 10:07

ShadowOfHarbringer pisze: To nie jest wirus. Nie replikuje się, nie roznosi się na inne urządzenia - niezgodne z definicją wirusa.
Bez znaczenia.
Obecnie setki milionów, czy miliardy, komputerów/smartfonów januszy, z systemami Windows i Android działają niemal wyłącznie w małych sieciach (jedno, dwa, lub max trzy urządzenia tego typu) schowanych za routerami domowymi lub operatora komórkowego. Z tego powodu nie jest możliwe, żeby między takimi sieciami przenosiło się coś złośliwego w sposób innych niż przy aktywnym udziale janusza.
ShadowOfHarbringer pisze: Użytkownik powinien wiedzieć co instaluje i jeżeli instaluje jakieś gówno z dziesięcioma pobraniami i bez ocen, nie patrząc nawet co instaluje, to na taką głupotę nie ma rady.
Widzisz? Sam sobie odpowiedziałeś.
Wspaniały ekosystem Androida nie zagwarantuje bezpieczeństwa jeżeli człowiek będzie miał dziury w systemie operacyjny swojego mózgu.
https://www.cert.pl/news/single/analiza-polskiego-bankbota/ pisze:Jak się okazało, aplikacje na Google Play Store również mogą być niebezpieczne.
Poza tym fakty są takie, że Android jest dziurawy jak ser szwajcarski.
Dowód? Wystarczy przejrzeć biuletyny bezpieczeństwa by zobaczyć co trzeba łatać.
Przykład:

Lipiec 2017 https://source.android.com/security/bulletin/2017-07-01
11 podatności RCE critical (zdalne wykonanie kodu)
6 podatności RCE high
15 podatności EoP high (podniesienie uprawnień)

Sierpień 2017 https://source.android.com/security/bulletin/2017-08-01
10 podatności RCE critical
1 podatność RCE high
8 podatności EoP high

W tym miesiącu (styczeń 2018) są już:
4 podatności RCE critical
16 podatności EoP high

I teraz uwaga na ten fakt: Android jest najgorszym systemem operacyjnym jeżeli chodzi o dystrybucję aktualizacji.
Producentów smartfonów jest wielu i każdy wymusza na klientach jak najszybszy zakup nowego modelu.
Skutkiem tego jest to, że aktualizacje są opóźnione bo producent musi najpierw dostosować/sprawdzić modyfikacje ze swoimi urządzeniami.
Aktualizowane są tylko modele nowsze oraz flagowe. Jak miną 2-3 lata to producent już zapomina o aktualizacjach dla takiego modelu.

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » środa, 17 stycznia 2018, 11:37

The Real McCoin pisze:Widzisz? Sam sobie odpowiedziałeś.
Wspaniały ekosystem Androida nie zagwarantuje bezpieczeństwa jeżeli człowiek będzie miał dziury w systemie operacyjny swojego mózgu.
Chwila moment, ale czego właściwie oczekujesz.

Że komputer będzie myślał za Janusza ?

Nigdy tak nie będzie, no chyba że w każdym telefonie i desktopie będziesz miał AI.

Generalnie zarażenie Androida syfem jest naprawdę bardzo, bardzo trudne. Nawet jeżeli jest to niezaktualizowany android. Trzeba zrobić to z premedytacją i zignorować masę ostrzeżeń, które się pokazuje (np. uprawnienia, brak ocen).

Głupoty nie da się wyleczyć technologią (na dzień dzisiejszy). ta reguła działa wszędzie - w komputerach, samochodach, a nawet kiju od mopa. Jeżeli ktoś jest debilem, to kijem od mopa może się przypadkiem zabić.

Linux/Android jest na tyle bezpieczny na ile się da. Ale użytkownik MUSI mieć chociaż minimalne pojęcie co robi !
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » środa, 17 stycznia 2018, 11:47

ShadowOfHarbringer pisze: Linux/Android jest na tyle bezpieczny na ile się da. Ale użytkownik MUSI mieć chociaż minimalne pojęcie co robi !
To samo dotyczy Windowsa na desktopie.

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » środa, 17 stycznia 2018, 12:06

The Real McCoin pisze:
ShadowOfHarbringer pisze: Linux/Android jest na tyle bezpieczny na ile się da. Ale użytkownik MUSI mieć chociaż minimalne pojęcie co robi !
To samo dotyczy Windowsa na desktopie.
Nie dotyczy.

Windows ma długą i tragiczną historię zawirusowania i zatrojanowania.

Do tego standardową praktyką na windowsie jest instalowanie softu z gównostron. Na linuksie tego nie ma, bo źródłem oprogramowania jest generalnie tylko repozytorium, instalowanie z poza repo jest utrudnione. To także się składa na jego bezpieczeństwo

Poza tym o czym tutaj gadać. Teoria swoje a praktyka swoje. Przez 10-12 lat serwisowałem ludziom komputery. Na Windowsie. W sumie to dalej serwisuję.

Ale teraz instaluję tylko Linuksa. Odkąd zacząłem instalować Linuksa ludziom, którzy mają zerowe pojęcie o działaniu komputera, liczba wirusów i trojanów na ich komputerach spadła do zera. I dodam, że na Windowsie (moja ciotka ma 1 linuksa i 1 windowsa) nadal wpieprzają się trojany (głównie takie przekierowywujące główną stronę przeglądarki na inny adres).

Więc teoretycznie windows używany z głową (i załatany) jest bezpieczny. Ale praktycznie to gówno prawda. Znam z autopsji.

Także tutaj jest tak samo jak w tym dowcipie o różnicy między teorią a praktyką (chyba wszyscy znają?).

Moja recepta na bezpieczeństwo dla nowych userów jest następująca:
https://www.linuxmint.com/download.php

Jak ktoś chce używać Windowsa i kryptowalut, to niech używa. Niektórzy lubią ryzyko i balansowanie na krawędzi śmierci. Nie można im odmówić takiego prawa.
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Weteran
Awatar użytkownika
Posty: 1237
Rejestracja: 19 września 2017
Reputacja: 918
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: Canis Lupus » środa, 17 stycznia 2018, 12:38

@ShadowOfHarbringer, czy chodzi o ten żart z matką, córką dziadkiem i murzynem?

to ja jeszcze wkleję bo to fajne
różnica między teorią a praktyką jest taka, że w teorii nie ma różnicy między teorią a praktyką, a w praktyce jest.
stówka nie padła ale i tak było zajebiście.

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » środa, 17 stycznia 2018, 12:42

ShadowOfHarbringer pisze: Nie dotyczy.

Windows ma długą i tragiczną historię zawirusowania i zatrojanowania.
Kiedyś, jak sam pisałeś, Windows był nakierowany wyłącznie na wygodę, ale przez lata dopracowano w nim mechanizmy bezpieczeństwa, i teraz już upodobnił się do Linuxa.
Jeżeli używa się najnowszego Windows, z aktualizacjami i na koncie zwykłego użytkownika to trudno, żeby bez udziału człowieka mogło coś wejść.
A historię złośliwego softu ma bogatą bo to on jest używany na setkach milionów komputerów a nie Linux.
Jak ktoś chce napisać złośliwy program, który miałby zostać uruchomiony na maksymalnej liczbie komputerów desktopowych to napisze go dla takiego systemu, który jest używany (czyli Windows) a nie dla takiego, którego użycie wśród januszy jest nikłe, bo to by było bez sensu.

Generalnie to lepszego bezpieczeństwa systemu Linux nie da się uargumentować, bo nikt nigdy nie zrobił eksperymentu i nie podmienił kilkuset milionom januszy systemu operacyjnego na desktopie na Linuxa i nie kazał im dwie dekady temu go używać przez 15 lat (przypuszczam, że już po kilku latach, użytkowania wczesnego, bardziej commandline'owego Linuxa, połowa popełniłaby samobójstwo).

pm7
Weteran
Posty: 7893
Rejestracja: 20 maja 2012
Reputacja: 969
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: pm7 » czwartek, 18 stycznia 2018, 16:16

ShadowOfHarbringer pisze:
The Real McCoin pisze:
ShadowOfHarbringer pisze: Liczba jest trzymana przez bota, nie na serwerze reddita.
No właśnie, dlaczego w takim razie do przekazywania napiwków, czyli przelewania małych kwot, nie używa się po prostu kryptowaluty?
To znaczy w profilu konta redditowego podać adres kryptowalutowy i jak ktoś będzie chciał to przeleje napiwek na ten adres.
Wypiłeś już tą kawę w końcu czy nie?

Odpisałem Ci wyżej, że jeden z botów obsługuje tylko taki tryb - /u/chaintip.

Dlaczego ludzie tego nie używają ? Bo jest to niewygodne, nie ma sensu się pierniczyć dla małych kwot - takich jakie lecą w napiwkach.
Ponadto dzięki botom można dać napiwki ludziom nieużywającym kryptowalut, co zachęca ich do zainteresowania się :)
ShadowOfHarbringer pisze: Prawda jest taka, że większość serwerów poza google wciąż nie wymusza szyfrowania (albo ma złą konfigurację, jak sam wykryłeś). Sama obsługa to za mało.
Jestem prawie pewien, że Google również nie wymusza szyfrowania, bo mnóstwo maili by nie dochodziło/wychodziło i ludzie by obwiniali Google. Generalnie szyfrowanie maili działa na zasadzie "jak jest dostępne, to może użyjemy". Wciąż każdy pośrednik (głównie serwer pocztowy nadawcy i serwer pocztowy odbiorcy) ma dostęp do odszyfrowanej wersji, bo szyfrowanie jest tylko w tranzycie.

Szkoda, że PGP się nie przyjęło.
mecenas pisze: Myślę, że jak dla mnie to działania zbyt zaawansowane, wolałbym wywalić (odinstalować) konkretne pakiety z systemu odpowiedzialne tylko za dostęp zdalny, tak aby stał się po prostu niemożliwy.
Normalne dystrybucje po instalacji nie mają aktywnych programów umożliwiających zdalny dostęp.

Początkujący
Awatar użytkownika
Posty: 86
Rejestracja: 11 grudnia 2017
Reputacja: 62
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: Piffinator64 » czwartek, 18 stycznia 2018, 16:31

The Real McCoin pisze:Jeżeli używa się najnowszego Windows, z aktualizacjami i na koncie zwykłego użytkownika to trudno, żeby bez udziału człowieka mogło coś wejść.
Bardzo łatwo. Wystarczy, żeby program mający możliwość wykonania jakiejś czynności np. odczytu wpisywanych klawiszy, instalacji sterownika, dostępu do pliku, dostępu do graficznego systemu okien został złamany i atakujący ma już tym samym mozliwość wykonania tej czynności. Podobnie na Windowsie, jak i na innych systemach.

Jedynym wobec powyższego sensownym modelem bezpieczeństwa jest izolacja, jak w Qubes OS czy Subgraph (na razie w. alfa).

Dodatkowo na Windowsie użytkownicy mają jeszcze jeden potężny wektor ataku, jakim jest uruchamianie programów z nieznanych źródeł ze względu na brak menedżera pakietów.

Początkujący
Awatar użytkownika
Posty: 165
Rejestracja: 30 listopada 2017
Reputacja: 123
Reputacja postu: 
2
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: Yogi77 » poniedziałek, 22 stycznia 2018, 01:39

ShadowOfHarbringer pisze:Konkrety ? Jaśnie Pan raczy żartować.

Ostatnie 15 lat historii jest "konkretem".
No to gdzie ten "konkret" o którym piszesz ? To nie są argumenty techniczne tylko marketingowe (język medialny). Powtarzasz jak mantrę, że Linux w przeciwieństwie do Windowsa nie jest podatny co po prostu nie jest prawdą. Chcesz konkret historyczny ?

https://pl.wikipedia.org/wiki/Shellshock

Masz tutaj przykład ataku, który wykorzystuje występujący przez nie 15 a 30 lat (!) błąd w powłoce bash. Atak może zostać przeprowadzony jedynie na maszynie z unixowym systemem, takim jak Linux lub Mac OS, a nie na przykład na systemie Windows, ponieważ nie występuje tam ta powłoka (pomijając jakieś specyficzne przypadki wykorzystania powłoki bash w Windows 10 czy cygwin).
ShadowOfHarbringer pisze:99,999% wirusów na systemy desktopowe jest i było na windowsa.
Produkuje się tam gdzie jest zapotrzebowanie. Jeśli chodzi o serwisy webowe, które działają głównie pod linuxami, to większość exploitów wychodzi pod linuxy.
ShadowOfHarbringer pisze:Ale teraz instaluję tylko Linuksa. Odkąd zacząłem instalować Linuksa ludziom, którzy mają zerowe pojęcie o działaniu komputera, liczba wirusów i trojanów na ich komputerach spadła do zera.
No ale skąd ty to niby wiesz ? Musiałbyś chyba zainstalować tą samą dystrybucję, z taką samą listą pakietów, na takim samym sprzęcie i porównywać kopię binarną ich dysków, żeby tak naprawdę wykluczyć, że tam jakiś rootkit nie siedzi. I tak się w zasadzie robi, ale z uwagi na czasochłonność, w wyjątkowych sytuacjach.
Piffinator64 pisze:Dodatkowo na Windowsie użytkownicy mają jeszcze jeden potężny wektor ataku, jakim jest uruchamianie programów z nieznanych źródeł ze względu na brak menedżera pakietów.
Jest przecież ten sklep Microsoft.

A jeśli chodzi o instalacje spoza repozytorium to oczywiście w Linuxie też można.

Można np. dystrybuować w formie pakietu instalacyjnego deb:

https://pl.wikipedia.org/wiki/Deb

można udostępnić skrypt instalacyjny itp.

A poza tym te pakiety w oficjalnych repozytoriach to nie są pierwszej świeżości i czasem bezpieczniej zainstalować aktualną wersję spoza.

Na przykład proszę, wersja elektrum z repozytorium debiana:

dpkg -s electrum | grep Version
Version: 2.7.9-1

Stan repozytoriów dla wersji stabilnej jest zamrażany z nowym wydaniem (w tym wypadku stretch), podczas gdy twórcy electrum zalecają zainstalowanie najnowszej wersji z ich strony z uwagi na ten krytyczny błąd związany z javascriptem.

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » wtorek, 23 stycznia 2018, 21:13

Kilka statystyk od inżyniera Google na temat używania 2FA na poczcie Gmail:
It has been nearly seven years since Google introduced two-factor authentication for Gmail accounts, but virtually no one is using it.

In a presentation at Usenix's Enigma 2018 security conference in California, Google software engineer Grzegorz Milka today revealed that, right now, less than 10 per cent of active Google accounts use two-step authentication to lock down their services. He also said only about 12 per cent of Americans have a password manager to protect their accounts, according to a 2016 Pew study.

The Register asked Milka why Google didn’t just make two-factor mandatory across all accounts, and the response was telling. “The answer is usability,” he replied. “It’s about how many people would we drive out if we force them to use additional security.”

Google has tried to make the whole process easier to use, but it seems netizens just can’t handle it. More than 10 per cent of those trying to use the defense mechanism had problems just inputting an access code sent via SMS.

What if you don't have two-step authentication, and someone hijacks your account? Well, Google is on the look out for that, too.
To spot criminals and other miscreants commandeering a victim's webmail inbox, the Chocolate Factory has increased its use of heuristics to detect dodgy behavior. A typical attacker has a typical routine – once they manage to get into an account, they shut down notification to the owner, ransack the inbox for immediately valuable stuff like Bitcoin wallet stuff or intimate photos, copy the contacts lists, and then install a filter to mask their action from the owner.
https://www.theregister.co.uk/2018/01/1 ... ntication/

m.m
Początkujący
Posty: 963
Rejestracja: 25 grudnia 2017
Reputacja: -21
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: m.m » środa, 24 stycznia 2018, 13:39

Yogi77 pisze: No to gdzie ten "konkret" o którym piszesz ? To nie są argumenty techniczne tylko marketingowe (język medialny). Powtarzasz jak mantrę, że Linux w przeciwieństwie do Windowsa nie jest podatny co po prostu nie jest prawdą. Chcesz konkret historyczny ?
nie przetłumaczysz, wyzwie Cie od gówniarstwa i zacznie ignorować.

Przez lata wszyscy mają w poważaniu podstawy bezpieczeństwa a teraz zamiast edukować wciskamy 2FA, każdy głupi wie jaka platforma na tym zyska...

Weteran
Posty: 2518
Rejestracja: 21 marca 2014
Reputacja: 1468
Reputacja postu: 
0
Napiwki za post: 0 BTC

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: The Real McCoin » środa, 24 stycznia 2018, 22:13

@ShadowOfHarbringer, na reddicie właśnie dodali 2FA GA dla zwykłych użytkowników:
https://www.reddit.com/r/announcements/ ... ntication/

Zawsze mam rację
Awatar użytkownika
Posty: 6923
Rejestracja: 15 lutego 2011
Reputacja: 4513
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Zmienna

Twój komp jest bezpieczny ? To za mało, zakładaj 2FA. Złodzieje masowo hakują serwisy emailowe

Postautor: ShadowOfHarbringer » środa, 24 stycznia 2018, 22:15

The Real McCoin pisze:@ShadowOfHarbringer, na reddicie właśnie dodali 2FA GA dla zwykłych użytkowników:
https://www.reddit.com/r/announcements/ ... ntication/
Spoko, ja już mam 2FA na reddicie od miesiąca albo półtorej.

Żeby aktywować 2FA trzeba było wcześniej założyć własny subreddit i zostać modem.

Dobrze, że jest to teraz dostępne dla wszystkich bez kombinowania.
Gotówka P2P da światu wolność. To są jej wrogowie: Bitcoin Core, Blockstream, Lightning Network.
Ocenzurowane i zmanipulowane fora: /r/Bitcoin, /r/CryptoCurrency, BitcoinTalk
Klucze GPG/PGP: [3072D/F92EDBA4]

Wróć do „Bezpieczeństwo”

Kto jest online

Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 4 gości