Мінфін - Курси валют України

Встановити
18 липня 2022, 8:30 Читать на русском

Як захиститись від кібератак ворога і чому краще забути про Telegram

Наприкінці червня шахраї вкрали в українців 100 млн грн під виглядом оформлення фінансової допомоги від країн ЄС. Через цю фішингову атаку постраждало 5 тис. осіб. Неодноразово атакам російських хакерів піддавалися українські державні установи. Які методи використовує ворог у кібервійні і як захиститись українцям, виданню Dou розповіли СЕО компанії Hideez Олег Науменко та голова технічної сертифікації у FIDO Alliance Юрій Аккерман. «Мінфін» публікує ключові тези.

Скільки атак витримала Україна

На початку війни кількість кібератак зросла в 400 разів. За статистикою наших провайдерів, торік було 21 тис. атак і 768 тис. за перший місяць війни. На четвертий місяць війни ми бачимо збільшення атак у 500−1000 разів. Це перша кібервійна у світі.

Ми працюємо з Держслужбою спецзв'язку, РНБО, провайдерами критичної інфраструктури, Міністерством цифрової трансформації. Почали з критичної інфраструктури, тому що атаки на неї можуть призвести до великих проблем. Передусім, йдеться про акаунти адмінів у держорганах і тих, хто контролює тепло/енерго/світло/водопостачання населенню. Якщо зламати їхні акаунти, буде колапс, бо ці системи припинять працювати.

Користувачі, які залучені в критичну інфраструктуру, з війною отримали великий стрес. Вони працюють не в офісі та в різних умовах. Хтось просто забув пароль, а якщо його зламали, людина не може зайти до свого облікового запису.

Велика кількість кібератак і велика кількість співробітників у стресі призвели до значної кількості успішних кібератак. І треба було блокувати акаунти людей, щоб вони їх не використовували. Водночас, працівники повинні мати доступ до системи та працювати далі.

Переозброєння користувачів ключами безпеки — це рішення, яке розв’язує дві проблеми: перша — користувач не повинен знати свій пароль і вводити його по 20 разів на день. Не потрібно його щомісяця змінювати, він постійний, бо це ключ безпеки. Друга — немає атак, а навіть якщо вони є, користувач отримує на пошту фішинговий лист і заходить туди, але ключ безпеки там не працюватиме.

Наші рішення на 100% відбивають фішингові атаки та перебір паролів. Паролів більше немає. Немає що підбирати. Коли ми переводимо компанії на безпарольну автентифікацію, ці хакерські методи не працюють.

У нас два типи ключів — програмні та апаратні — Hideez Key. Це бездротовий цифровий ключ, універсальний ідентифікатор, зберігач паролів і генератор одноразових паролів. Це наша власна розробка: є серверна і клієнтська частини.

Ми почали пропонувати свої ключі безпеки безкоштовно тим державним органам критичної інфраструктури, які були під великою кількістю кібератак. На жаль, ми не мали великого складу в Україні, й пристрої швидко закінчились. 10 тис. ключів ми наразі впровадили. А нам надійшов запит на 60 тис. ключів від підприємств критичної інфраструктури. Цикл виробництва пристроїв тривалий, а захищати дані потрібно вже, тож ми звернулися за допомогою.

Ми сконтактували з компанією Yubico — це світовий лідер у виробництві ключів безпеки з головним офісом у США. Вона є одним із розробників стандарту FIDO. Компанія запропонувала нам надати 30 тис. ключів, як донат для українських державних підприємств.

Зараз ми працюємо з партнерами над фінансуванням, адже 30 тис. ключів — це вже 1,5 млн доларів допомоги. Наша мета — до кінця року впровадити 100 тис. ключів. А до кінця наступного року — мільйон, щоб зробити Україну найсильнішою кібердержавою у світі.

Фішинг — інструмент, що доступний Росії

Фішинг і підбір паролів — це найлегший варіант атаки. Знайти злиту базу даних користувачів із України, відфільтрувати провайдерів критичної інфраструктури та підібрати паролі. Або створити фейкову сторінку. Є багато інструментів, які роблять це швидко.

Інші атаки більш таргетовані та потребують спеціалістів, яких у Росії немає. За словами наших партнерів, навіть кіберкримінал не хоче взаємодіяти з путінськими злочинцями. У Росії немає потенціалу на інші атаки, тому вони намагаються зробити фішинг і перебір паролів. Це стандартна схема у світі.

Я проаналізував нинішні фішингові атаки та дійшов висновку, що у перші місяці вони були масовими, через два місяці вороги перейшли до перебору паролів, а зараз відбувається цілеспрямований фішинг і на користувачів, і на підприємства критичної інфраструктури.

Читайте також: ESG-трансформація на тлі геополітичних викликів — план дій для банків

Є багато неефективних тренінгів для користувачів, як захистити себе від фішингу, як зрозуміти, чи це він. Я був на десятку таких і регулярно їх критикую. Люди — не машини, й не можуть стовідсотково розпізнати фішинг. Тому ми розробили протокол так, що користувачу не треба про це думати, бо браузер вже знає, що у вас захищена сесія з сервісом.

Як захистититись українцям

Для українців кібербезпека є такою ж фундаментальною, як ЗСУ. Бо ми бачили приклади фільтраційних таборів, через які проходять наші люди. Якщо окупанти можуть отримати доступ до вашої інформації, то у вас будуть проблеми. Доступ до ваших сторінок і сторінок ваших сімей — це можливість вас дискредитувати, шантажувати родину. Для України безпека даних — питання життя або смерті — і це жахливо.

Якщо говорити про поради, як захиститися від кібератак, то для звичайних користувачів правила не змінились:

  • Вмикайте двофакторну автентифікацію. Навіть якщо це смс.
  • Віддавайте перевагу парольним менеджерам: Dashlane, Lastpass, OnePass тощо.
  • Використовуйте захищені рішення для комунікації. Не Telegram, у якого є фундаментальні проблеми з кібербезпекою. Росія його застосовує для шпигування за журналістами, дисидентами. Було багато прикладів цього. В Росії та Україні Telegram дуже популярний, на Заході — ні. Якщо у вас є більш конфіденційна інформація, вам потрібно використовувати кращі рішення для безпеки. Наприклад, Signal, WhatsApp.
  • Не відкривайте незнайомі файли.
  • Тримайте систему оновленою. Завжди оновлюйте свої пристрої до останніх версій.
  • Якщо у ваших пристроїв вдома є дефолтні паролі, їх теж треба змінити.

Не оновлювати пристрої — це застаріла інформація, яка йде з 2000-х років, коли Windows випускала оновлення, і це було пекло. Сьогодні ми дійшли до прямих, швидких і ефективних оновлень. Microsoft має сильну команду спеціалістів, які займаються кібербезпекою, тому всі пристрої треба тримати оновленими.

На щастя, ми бачимо, що люди, які займаються кібербезпекою та кібератаками в Росії, не дуже фахові. Технології, які вони використовують, давно відомі, і захистися від них теж не складно. Але радіти рано, це теж змінюється. Підвищується наша обороноздатність у кіберпросторі, водночас посилюються і видозмінюються кібернапади з боку росіян.

Тому нам треба оновлювати систему, вчити фахівців сучасних методів кіберзахисту і впроваджувати повсюдно Security policy. У Штатах вони, наприклад, оновлюються щороку, залежно від того, що відбувається у кіберпросторі. Треба, щоб усі розуміли, що потрібно робити, аби не було дуже боляче.

Читайте також: Правила роботи криптобірж: чому рахунок Kuna можна поповнити на 400 тис, а Binance — на 100 тис

Попри мінуси та проблеми, Україна дуже стійко та гідно бореться у кіберпросторі навіть із застарілими технологіями. Останні два роки РНБО і Держспецзв’язку розробляла кіберстратегію. Вона неідеальна, але нині добре захищає. І ще міжнародні спеціалісти з кіберзахисту на нашому боці — і це круто.

Коментарі - 20

+
+73
Три літри
Три літри
18 липня 2022, 9:47
#
Не Telegram, у якого є фундаментальні проблеми з кібербезпекою.

Голосновное утверждение.

Росія його застосовує для шпигування за журналістами, дисидентами. Було багато прикладів цього.

А это вообще вранье без единственного доказательства.

В Росії та Україні Telegram дуже популярний, на Заході — ні.

И что? Вообще не аргумент. Очень много приложений в первую очередь популярны там где были разработаны. В том числе и потому что не имеют украинской/русской локализации. Как например Фейсбук на заре своей деятельности не смотря на мегапопулярность в США сливал по полной аналогичному по функционалу Фконтакту который в свою очередь был популярен в России и сопредельных странах опять же потому что изначально имел русскоязычных интерфейс. Как и Одноклассники.

Якщо у вас є більш конфіденційна інформація, вам потрібно використовувати кращі рішення для безпеки. Наприклад, Signal, WhatsApp.

WhatsApp сливает всю информацию в тот самый Фейсбук. Да-да, это конечно безопаcней :D
+
+15
ototo
ototo
18 липня 2022, 16:34
#
Так это же очевидная разводка — ругаем то, что плохо контроллируется, хвалим то, что контроллируется хорошо. По той же логике государственные представители ругают криптовалюты и хвалят нац валюту. Простейшая защита своих интересов.
+
+15
melifaro2012
melifaro2012
18 липня 2022, 20:24
#
Таке враження, що ці рекомендації розроблені агентов ФСБ, якого забембало «ламати» телеграм…
+
+15
bonv
bonv
18 липня 2022, 11:07
#
Думати що і де говорити та писати.
+
+15
Sage05
Sage05
18 липня 2022, 22:07
#
Основная проблема безопасности телеграма: когда тебе УФСИНовец или ФСБшник швабру в очко вставляет- пароль автоматически оказывается у них в руках. Беда, проблема. Однозначно телеграм плохой.
+
+28
Yuriy Ackermann
Yuriy Ackermann
19 липня 2022, 20:34
#
Привіт. Це Юрій Аккерманн із статі DOU. Ми дуже багато років слідкуємо за телеграм. Є декілька специфічних питань до його безпеки.

Перше: Всі чати телеграма за замовчуванням не зашифровані. Це означає що сервера телеграма бачать усі ваші повідомлення. Також у телеграма нема шифрування групових чатів, на відміну від Signal або Whatsapp.

По друге: Якщо ми йдемо глибше то протокол шифрування для безпечних чатів має проблеми з атаками повтором, паддинг атаками, оракл атаками, та в цілому не є криптографічно стійким протоколом end-to-end шифруванням, навідмінну від Axolotl протокла шифрування у Signal або Whatsapp.

Третье: Сервера телеграма не відкриті, і сама робота телеграма не прозора відміну від Signal.
Четверте: Є багато прикладів шпигунства на дисидентів та політ активістів у Росії та Ірані через телеграм.

https://www.forbes.com/sites/thomasbrewster/2022/02/25/ukraine-warned-over-danger-of-russian-spying-on-unencrypted-telegram/?sh=14a43e6d487f
https://www.vice.com/en/article/jgqqv8/five-reasons-you-should-delete-telegram-from-your-phone
https://thehackernews.com/2022/02/iranian-hackers-using-new-spying.html
https://habr.com/ru/post/580582/
+
0
Три літри
Три літри
26 липня 2022, 9:26
#
Дуже багато років у ватсапа не було шифрування. Те що вони нарешті його додали не означає що він став мегазахищений.

Всі коментарі на цьому сайті теж не шифруються.

ПО сайта Мінфін не надається як ПО з відкритим кодом.

Але це не означає що сайт Мінфін небезпечний.
+
+13
Yuriy Ackermann
Yuriy Ackermann
19 липня 2022, 20:35
#

Відповідая на питання «Чому Signal або Whatsapp?»

Обидва месенджера використовують протокол шифрування та обміну ключами Axolotl для end-to-end, з прямою секретністю. Це значить що якщо хтось зможе розшифрувати одне повідомлення, це буде єдине скомпроментоване повідомлення. У телеграмі якщо я зможу розшифрувати одне, то я зможу розшифрувати усі. Це дає впевненість у тому що сервера Signal та Whatsapp не можуть витягнути хоть якусь інформацію із ваших повідомлень.

Протокол Axolotl був розроблений кваліфікованними криптографами з досвідом роботи у сфері високої приватності, та був перевірений коммандами з найбільшими університетів планети.
Месенджер Signal та його інфраструктура повністю відкрита, та керується некомерційним фондом Signal Foundation, та оперує повністю незалежно.

Також Signal має дуже багато фіч захисту приватності. Signal не зберігає ніякої вашої інформації, і навіть для пошуку контактів використовує гешовані контакти. Тобто якщо хтось і зільє вашу інформацію з серверів Signal там буде одна строка «Останній раз був онлайн». Це все.

Стосовно Whatsapp: Whatsapp використовує протокол шифрування від Signal, тобто ваша комунікація у безпеці. Алє як ми знаємо їм володіє Facebook (Meta) і це створює проблеми з приватністью. Так Whatsapp має копію ваших повідомлень, і меньший захист вашої приватності, але він космічно кращій ніж телеграм.
+
+13
Yuriy Ackermann
Yuriy Ackermann
19 липня 2022, 20:36
#

Ну і останнє: Чи кажемо ми що Українцям потрібно видалити телеграм? Ні. Користуйтесь та спілкуйтесь, але майте на увазі що розголошувати якусь приватну інформацію, або інформацію рівня нацбезпеки там небезпечно. Користуватесь телеграмом як ви користуєтесь фейсбуком. Новини, друзі, сім'я. Телеграм це соцмережа просто.

Для всього іншого є Signal, та на крайній випадок Whatsapp.
+
+13
Yuriy Ackermann
Yuriy Ackermann
19 липня 2022, 20:37
#
Тфу. Whatsapp має копію ваших контактів.
+
+30
ototo
ototo
19 липня 2022, 21:41
#
1. Telegram по умолчанию использует сквозное шифрование, а WhatsApp и Signal — нет.

2. Telegram позволяет установить таймер самоуничтожения сообщений, в то время как WhatsApp и Signal этого не делают.

3. Telegram предлагает секретные чаты, а WhatsApp и Signal — нет.

4. В Telegram есть встроенный VPN, а в WhatsApp и Signal — нет.

5. Telegram позволяет создавать групповые чаты с количеством участников до 200 000 человек, в то время как WhatsApp и Signal — до 100 человек.

6. Telegram доступен на большем количестве платформ, чем WhatsApp и Signal.

7. Telegram имеет открытый исходный код, а WhatsApp и Signal — нет.
+
+13
Yuriy Ackermann
Yuriy Ackermann
19 липня 2022, 22:04
#
Это какой-то сарказм я надеюсь? Тут все ложь кроме того что да, whatsapp закрытий как и сервера телеграма. Может ссылки хоть приложешь?
+
+12
ototo
ototo
19 липня 2022, 22:17
#
Это нейросеть выдала)
+
+12
Sage05
Sage05
20 липня 2022, 12:25
#
Уши пиара сигнала спрячь, торчат сильно. сигналом пользуются те, кто якобы в хай-тек теме, но на самом деле нет. Просто неудачный околомесенджер. Смирись и найди за кого топить повыгоднее будет, и не так очевидно.
+
0
Три літри
Три літри
26 липня 2022, 9:29
#
Так Whatsapp має копію ваших повідомлень,

Так класно все починалось, а наприкінці вийшло що ватсап це той самий телеграм. Фейспалм.
+
+15
Sage05
Sage05
26 липня 2022, 11:12
#
Не такой же: в телеге есть полноценные боты с открытым кодом, я могу к примеру сообщения разбрасывать через разные месенджеры, а бот будет собирать их как переписку в одном. Лучше телеги, в данный момент, ничего нет.
+
0
Три літри
Три літри
26 липня 2022, 12:42
#
Полностью согласеш на счёт ботов. Единственный известный мне конкурент это вайбер, но там всё сложнее, нелогичнее и в целом неудобней. А для вотзапа боты это вообще какой-то хрен моржовый — обязательно подключение через посредников. Юрий про эту сторону телеграма вообще забыл почему-то.
+
+30
Sage05
Sage05
26 липня 2022, 17:16
#
Именно. А это самая топ фича. Если я, вдруг, головой сильно ударюсь и буду бояться каких-то там мнимых ФСБ, я просто создам 2х ботов, и буду одним кодировать сообщения sha256 шифрованием, а другим- декодировать, и буду в безопасности настолько, насколько в данный момент позволяют этому случиться технологии) В том же сигнале- там даже за мысль о таком, скажут: боты- не нужны, вот конхфета- кюшай.
+
0
Три літри
Три літри
26 липня 2022, 12:50
#
Юрий, хочу обратить внимание что далеко не всем нужна секретность уровня «я шпиён КГБ передающий сведения о биолабораториях». Обычные звонки через мобильную сеть гораздо меньше защищены в сравнении с чатами телеграма. Кого-то это волнует? Нет. Для рядового пользователя шифрованность сигнала избыточна, а отстуствие удобного поиска наоборот существенный минус. Там где надо поднять секретность — просто используется «секретный чат» с автоудалением. Но для чатов уровня «наше ОСББ», «бензина 95 львів» никакая секретность не нужна. А большинство чатов в месенжерах это как раз такое общение.

+
0
Ranet
Ranet
25 липня 2022, 0:43
#
Кто эти мощные старики из DOU на инвестиционном сайте? Настоящие создатели Revolut? Обладатели криптографических патентов, за которыми очередь из starlink & motorola? Венчурные инвесторы? Нет? За российским кораблём!
Щоб залишити коментар, потрібно увійти або зареєструватися