10/22/2019

ABC Prywatności w sieci, czyli podstawy, które dotyczą każdego

Zastosowanie porad z tego tekstu wystarczy do znacznego zwiększenia poziomu bezpieczeństwa i uzyskania podstawowego poczucia kontroli nad prywatnością w internecie. Jeśli zamierzasz przeczytać tylko jeden artykuł na moim blogu, niech to będzie właśnie ten.

Kawałek po kawałku, kosztem prywatności, nasze życie staje się online, dając złudne poczucie wyboru. Jak to złudne!? – zapytasz. Przecież możemy opłacić rachunki gotówką, sprawy bankowe załatwić w placówce, zakupy bieżące robić w sklepach stacjonarnych, a nawet wypłatę otrzymać do ręki. Bądźmy jednak poważni, ile z tych rzeczy Cię jeszcze dotyczy?

Czytasz drugi artykuł z serii o prywatności w internecie. Poprzednio pokazywałem, że jedno z moich haseł zostało widziane 353 razy 😱, a 9 razy mój email był w zbiorach danych, które dostały się w niepowołane ręce. Więcej przeczytasz tu: Prywatność w sieci – czy jest się czym martwić.

Zacznijmy od hasła – podstawowa higiena twojego najważniejszego zabezpieczenia

Ludzie używają często jednego hasła do wszystkich lub większości usług. Fakt ten wydaje się wynikać wyłącznie z naszego lenistwa, choć podejrzewam, że część osób z taką przypadłością nie jest po prostu świadoma problemu. Jest to kardynalny błąd, jeden z bardziej podstawowych i niebezpiecznych, o czym przestępcy doskonale wiedzą. Uzyskując jedno hasło, mogą uzyskać dostęp do wielu usług naraz i spowodować poważne szkody. Nie jest to jednak jedyny błąd, jaki popełniamy.

Zbyt łatwe hasło jest jak chowanie klucza do domu pod wycieraczką, a używanie tego jednego hasła wszędzie jest jak posiadanie jednego klucza do wszystkich drzwi, samochodu i sejfu.

Obie te rzeczy naraz są wręcz zaproszeniem dla włamywacza… a ja byłem kiedyś na tyle gościnny, by to uczynić. 😉 O wyniku tej głupoty już wspomniałem – 353 wystąpienia hasła w miejscach, w których wystąpić nie powinno.

Zatem powiedzieliśmy sobie, że: – Do różnych usług (Facebook, Gmail itp.) lepiej używać różnych haseł – Hasła powinny być skomplikowane

To jasne. Czas na szczegóły.

Jak stworzyć trudne do złamania hasło? (Spoiler: nie wystarczy dodanie cyfr i zamiany „a” na „@”)

Zasady są dość proste: Ma być jak najdłużej, najtrudniej do zapamiętania, najwięcej różnego rodzaju znaków i najmniej sensu. Zerknij na poniższe przykładowe hasła i odpowiedz sobie na pytanie, do którego z nich ma podobną strukturę Twoje hasło.

  1. karuzela
  2. K@ruze1a
  3. K^rv731@1955
  4. K@mPs-?9r2HQ_v,]
  5. 49KkP3-mu_nnBZ7X7XK5%

Jeśli Twoje hasło jest podobne do numerów 4 oraz 5 i w dodatku są to hasła (!), a nie jedno do wszystkiego, jest rewelacyjnie. Możesz sobie odpuścić dalsze czytanie tego akapitu i przejść od razu do wątku o menedżerach haseł. Numer 3 nie jest rewelacyjny, ale całkiem niezły. Warto, żeby hasło miało przynajmniej 16 znaków, nie kończyło się jakimiś łatwymi ciągami cyfr (jak 1234) ani żadnymi datami. Trójka może zostać w większości niekrytycznych stron.

Numer 2 jest beznadziejny. Jedno z moich poprzednich haseł, które miało mniej więcej ten styl, hasało kiedyś po sieci jako łup różnych hakerów. Lepiej zmienić. Numer 1 to absolutna tragedia, która na szczęście nie przejdzie walidacji wielu formularzy rejestracji. Koniecznie je zmień.

Gdzie wygenerować silne hasło?

Przeglądarka Chrome posiada ostatnio funkcję generowania haseł podczas rejestracji – polecam z niej korzystać (abstrahując od polityki prywatności Google). Jeżeli Twoja przeglądarka Chrome nie proponowała Ci tego wcześniej, prawdopodobnie masz tę opcję domyślnie wyłączoną. Aby włączyć, przejdź pod adres chrome://flags – działa oczywiście tylko na Chrome. Wystarczy wyszukać słowo kluczowe password i włączyć opcję Automatic password generation.

Techporadnik-generowanie-hasel

Jeśli chcesz wygenerować silne hasło samodzielnie, polecam skorzystać z tego generatora i ustawić minimalną długość na 16 znaków (choć lepiej więcej): https://passwordsgenerator.net/

Jak ogarnąć wiele haseł? Z pomocą przychodzą dwie usługi

Pierwszą jest zapisanie haseł np. na koncie Google, gdzie przeglądarka Chrome jest ich głównym dystrybutorem. Po zalogowaniu się na swoje konto na przeglądarce, uzyskamy natychmiastowy dostęp do zapamiętanych usług. Jest to jakieś rozwiązanie, choć fanem nie jestem. Lepiej korzystać z tego niż z niczego i zapomnieć swoje hasła, albo (tylko nie to!) trzymać w jakichś notatnikach…

Ale jeszcze lepsze od bezgranicznego zaufania do Chrome jest użycie menedżera haseł. Jest to program (aplikacja?) do bezpiecznego zarządzania hasłami i utrzymania ich w porządku. Dodatkowo, są to całkowicie bezpieczne rozwiązania, choć początkowo trudno było mi w to uwierzyć i to zrozumieć. Ich sens polega na zapamiętaniu jednego hasła, stworzonego zgodnie z zasadami, które opisałem kilka akapitów wyżej i zostawienia im reszty „roboty” pod tytułem używania innych i długich haseł do każdej z usług.

Menedżer haseł – który wybrać?

W branżach, w których zaufanie odgrywa kluczową rolę, niestety rzadko zdarza się szeroki wybór produktów. W przypadku menedżerów haseł jest na szczęście trochę lepiej, natomiast wszelkie czołówki rankingów zdominowane są przez 1password i LastPass.

Poza nimi mamy do wyboru na przykład Keeper, Dashlane czy KeePass. Zachęcam do odwiedzenia przydatnego artykułu porównawczego na ich temat. Jeśli nie chcesz zagłębiać się w temat tak bardzo, z mojej strony polecam 1password.

Temat haseł za nami, czas na logowanie do serwisów.

Czy mogę się bezpiecznie logować się do różnych serwisów z różnych komputerów?

Odpowiadając na pytanie z nagłówka – tak i nie. Sama koncepcja logowania się np. do banku z różnych komputerów może być całkowicie bezpieczna, o ile przestrzega się kilku zasad:

  1. Komputer nie jest zainfekowany złośliwym oprogramowaniem – jeśli nie masz pewności, nie masz gwarancji bezpiecznego logowania się
  2. Nie zapiszesz (zapamiętasz) swoich danych logowania na komputerze, z którego korzystają inne osoby

Inną sprawę stanowi logowanie się z różnych sieci WiFi (na przykład publicznych). Tutaj nie stanowi różnicy, czy posiadasz używany w danym momencie komputer, czy nie. Ważniejsze, żeby zwrócić uwagę na kłódkę po lewej stronie adresu strony w przeglądarce. Więcej informacji poniżej.

Logowanie się z tego samego komputera ale innej sieci WiFi

Logowanie się do stron z publicznych sieci WiFi (lub takich, z których mógłby korzystać ktokolwiek, komu nie ufamy) nie jest generalnie w pełni bezpieczne.

Wspomniałem o kłódce po lewej stronie od adresu – oznacza ona szyfrowane połączenie poprzez protokół https. To dobry znak i faktycznie zapewnia znaczą poprawę bezpieczeństwa, a przynajmniej fakt, że zawartość wysyłanych przez nas formularzy (np. zawierających hasło i login) nie zostanie odczytana przez osoby trzecie.

Faktyczne bezpieczeństwo zapewnia dopiero użycie VPNa oraz korzystanie z szyfrowanych (z kłódeczką) stron. VPN czyli Virtual Private Network to usługa, która w publicznym Internecie tworzy dla nas, mówiąc najprościej, osobny tunel, którym się poruszamy. To tak, jakby do morza pełnego rekinów wrzucono nas w klatce – możemy pływać, możemy podziwiać, a jednak nas nie zjedzą, o ile nie zachowamy się nieodpowiedzialnie.

Na temat VPN, włączając rekomendację konkretnych rozwiązań, zamierzam rozpisać się w jednej z następnych części serii o prywatności. Mam dwie zachęty, żeby wrócić na mój blog po te informacje – pierwsza jest taka, że sam VPNa używam i mogę co nieco powiedzieć na jego temat z perspektywy użytkownika, a druga to fakt, że totalitarne reżimy z reguły zakazują używania VPNów, co dowodzi poniekąd ich skuteczności.

Czy zaklejać kamerę i mikrofon w laptopie?

Zaklejać. Ludzie dysponują oprogramowaniem zdolnym przechwycić obraz i dźwięk bez naszej zgody i wiedzy. Jest to najkrótszy podpunkt i może przez to nie brzmieć jak prawdziwy, poważny i długi tekst o poważnych sprawach ale faktem i jego jedynym przesłaniem jest, że jeżeli wolisz nie współdzielić swojego życia z innymi, powinieneś lub powinnaś zakleić przynajmniej kamerę.

Schodzimy na ziemię, a raczej na nasz komputer – szyfrowanie dysku.

„Nie mam nic do ukrycia, bo jestem uczciwy(a)”

Najczęstsza wymówka osób, które chciałyby zostać spółkami publicznymi lub otwartą księgą. Wiele osób na swoich dyskach posiada informacje o rodzinie, zawodzie, dane osobowe, nawyki, decyzje zakupowe, pasje, zainteresowania i masę innych rzeczy, pozwalających na sprofilowanie nas i pozbawienie ostatecznie informacji.

Jeżeli czyimś celem nie jest zostanie jednoosobową spółką akcyjną, która automatycznie publikuje raporty ze swojego życia osobom, które o to poproszą, dobrze jest zapoznać się z szyfrowaniem zawartości dysku.

Polega ono na tym, że osoby nieposiadające naszego hasła lub kodów bezpieczeństwa nie będą w stanie użyć ani zobaczyć zawartości naszych plików.

FileVault – Szyfrowanie dysku na MacOS

Użytkownicy Apple mają do dyspozycji rewelacyjną funkcję FileVault. Zachęcam gorąco do aktywowania jej, zwłaszcza, że jest to dziecinne proste i idealnie spełnia swoją rolę.

Aby aktywować FileVault wejdź w Preferencje systemowe, następnie Ochrona i Prywatność, następnie należy wybrać zakładkę FileVault. Na miejscu znajdują się dokładne i proste instrukcje, które należy wykonać.

Szyfrowanie dysku na Windows

W przypadku Windows temat wygląda podobnie. Korzystając z dokumentacji firmy Microsoft, podążaj za poniższą instrukcją:

Wybierz przycisk Start, a następnie wybierz kolejno opcje Ustawienia > Aktualizacje i zabezpieczenia > Szyfrowanie urządzenia. Jeśli opcja Szyfrowanie urządzenia nie jest wyświetlana, oznacza to, że nie jest dostępna. Zamiast tego można użyć standardowego szyfrowania funkcją BitLocker.

Szyfrowanie dysku na Linuxie odpuścimy. Jeżeli ktoś używa Linuxa, myślę, że z szyfrowaniem sobie poradzi.

Podsumowanie

Zamiast nudnego słowa zakończenia zachęcam Cię do zastosowania po kolei kroków, które opisałem. Pozwolą Ci zaoszczędzić wiele nerwów, potencjalnie pieniędzy i sprawią, że odzyskasz kontrolę nad podstawowym poziomem swojego bezpieczeństwa i prywatności w sieci.

To będzie dla Ciebie milowy krok, bo większość osób nie stosuje nawet tych prostych zasad. Ty od dziś będziesz ponad 🙂