COTM - Avugst 2023

Curiosities of the Month
21

Ok, desava se da se u nekim torrentima nadje malver neki. A recimo, radi diskusije, da se to nikada ne desava da li bi @1van bio i dalje protiv piraterije ?

Piraterija je deljenje fajlova, deljenje intelektualne svojine, a intelektualna svojina je kradja, bukvalno nanosi stetu drustvu i svetu u kome zivimo.

Na linux-u nisam na nikada nisam imao problem sa malverom od piraterije, gomile i gomile pdf-ova i filmova. Sa windowsom jesam od igrice koja mi je sjebala komp, ali opet nista strasno i nepopravljivo mi se nije desilo.

I sada su mi verovatno marnuli broj telefona ili jmbg ili neke druge licne podatake sa sajtova koji uopste nemaju veze sa piraterijom. I plus to sto generisem gomilu podataka dnevnim pretrazivanjem interneta za big-tech, koji od toga prave profit i “stvaraju vrednost” bez da ista radim za njih, kao pijavice(mada i za pijavice moram nesto da radim), to nije problem a piraterija koja ljude oslobadja od ropstva intelktualne svojine je problem.

22

Poenta ovog kolaža/alata je “security awareness”, i to posebno za manje IT pismene grupe (npr. zaposlene u državnim institucijama koji redovno kupe malware sa torrenta i sumnjivih web lokacija). Ove poruke treba da budu kratke i direktne, sa ciljem da spreče neželjeno ponašanje (bez ulaženja u polemiku oko piraterije, stručnosti i slično).

Slobodno predložite poruke koje želite da vidite tamo, dodaću ih.

23

Ne znam kakve veze imaju sajtovi sa gledanjem besplatnih filmova imaju ista vecu sansu da imaju malware nego bilo koji drugi sajt.

Nisu besplatni filmovi nista veca pretnja za bezbednost od sajtova sa receptima za kuvanje, igrica itd.

A za skidanje svih aplikacija zatvorenog koda pretstavlja opasnost. Pogotovu ako su autori vec poznati po postavljanju malware u aplikacije kao Google,Microsoft,Apple i ostali giganti.

24

Preporucujem sledecu poruku:

Skidanje aplikacija koje nemaju otvoreni i transparenti kod vas izlaze potencijalnoj opasnosti. Neki popularni autori softvera su poznati po postavljanju malware-a u aplikacije. Najcesce maliciozne aplikacije su napisane i distribuirane od stane populanih IT kompanija kao sto su Google,META,Microsoft i Apple, ali ukljucuju i ostale popularne aplikacije, kao sto su TikTok i Viber.

Koriscenje web sajtova bez Noscript add-on vas izlaze riziku malicioznog koda. Ako zelite da prisupite nekom sajtu koji ne radi sa ukljucenim noscript-om, preporucujemo da koristite altarnativne izvore istog materijala. Za dokumente i video sadrzaj mozete skinuti fajlove direktno i otvoriti ih sa programima otvorenog koda kao sto su Libreoffice i VLC. Skidanje video i tekstualnog materijala sa website-a i torrenta je manje rizicno od koriscenja sajtova bez noscript dodatka za vas pretrazivac.

Imajte na umu i da digitalna bezbednost nije iskljucivo individualan problem. Vecina korisnika je primorano da koristi maliciozne programe radi drustvene inkluzivnosti, posla i obrazovnih ustanova. Korisenjem aplikacija drustvenih mreza zatvorenog koda doprinosite drustvenom pritisku koji primorava ostale korisnike da koriste iste aplikacije. Prvi korak u drustvenoj bezbednosti je da pruzite alternativu svakoj osobi sa kojom komunicirate da vas kontaktira preko aplikacije otvorenog koda i otvorenog decentralizovanog protokola. Koriscenjem barem jedne aplikacije otvorenog i decentralizovanog protokola pruzate svima alternativu da biraju bezbedniji digitalni zivot za sebe. Neke od popularnijih decentralizovanih mreza su Mastodon i Matrix.

25

Ne mogu da se složim sa tobom da svi sajtovi predstavljaju isti rizik. Takođe ne mogu ni da se složim da su najčešće maliciozne aplikacije distribuirane od strane popularnih IT kompanija. Ali o tome možemo u nekoj zasebnoj temi gde bi prvo definisali šta je maliciozno (kako, i po koga, i koje sve mere zaštite, eskalacije i monitoringa imamo u tim slučajevima).

Razumem vaše stavove ali morate da shvatite da forum Bezbedan Balkan ima za prioritet neke drugačije teme od onih koje vi obrađujete ovde. Ideja je skrenuti pažnju na očigledne probleme i najčešće uzroke, i približiti ove teme onima koji ih ne razumeju.

Sviđaju mi se komentari vezani za Noscript i kolektivnu odgovornost. Bilo bi super ako bi mogao da ih sažmeš u jednu max dve rečenice po temi.

1 Like
26

Pa nije isti rizik naravno, Facebookove i Google stranice su poznati po spyware-u, ali svakako da li je film besplatan ili ne, nema veze sa rizikom sajta, isto kao i da li je drustvena mreza,antivirus ili search engine besplatan ili ne. I oni koji se naplacuju idalje imaju spyware. Jedina bitna razlika je da li je otvorenog koda ili nije.

Izvinjavam se, ali mi stvarno nije jasno sta je prioritet za Bezbedan Balkan. Koliko sam te razumeo u proslom postu, edukacija o bezbednosti i u ovom postu ocigledne probleme i najcesce uzroke.

Ocigledno je problem sto nam par kompanija prati svaki nas korak bez nase volje i ne mozemo da se odreknemo tih aplikacija, ako zelimo idalje da imamo posao. To je nesto sto treba ljude edukovati i objasniti im da najcesci uzroci za te probleme nisu torrenti kao sto vecina misli, nego kompanije koje imaju vecu zaradu od GDP-a nasih drzava i imaju moc da daju milione politicarima,policajcima i sudijama.

20 godina se bavim digitalnom bezbednoscu, nisam nikad bio zainteresovan za drustvene probleme. Posmatrao sam digitalnu bezbednost kao individualni problem. Medjutim vremenom sam shvatio da od toga ne mozes pobeci, ne razumno je plasiti se tinejdzera i torrenta, nikada nisam imao malware u hiljadama filmova koje sam do sada odgledao. Pravi problem koji ne mogu da zaobidjem je sto na svakom poslu gde se prijavim zahtevaju od mene da koristim whatsup/viber/teams/zoom i na faklutetu da koristim facebook. Da su to kompanije od kojih ne mogu da ocistim racunar antivirusom, jer su oni pisali sam opertivni sistem. Kriminal malo drugacije izgleda nego sto sam mislio kad sam bio mali.

Noscript addon za vas pretrazivac blokira izvrsavanje potencijalno malicioznih programa na vasem racunaru prilikom posecivanja web stranica. Ako web stranica ne radi sa ukljucenim Noscriptom, raspitajte se za alternative i procenite rizik.

Imajte na umu da digitalna bezbednost nije iskljucivo individualan problem. Vecina korisnika je primorano da koristi maliciozne programe radi drustvene inkluzivnosti, posla i obrazovnih ustanova, zato je bitno takodje koristiti aplikacije kao sto su Matrix i Mastodon.

27

Uhvatio si se za jedini primer koji ima veze sa temama koje ti podržavaš (decentralizacija, otvoreni kod), i nastavljaš diskusiju u pravcu koja tebe interesuje. Molim te da razumeš da ja ne pričam o tome, niti želim da sa tobom to diskutujem. Ako ne razumeš rizike (iz ugla manje IT pismenih), i šta je poenta foruma Bezbedan Balkan, to možemo u nekoj drugoj temi. Neću se više nastavljati.

28

Pogresno si me shvatio, ja sam se uvek interesovao samo za digitalnu bezbednost i privatnost. Decentralizacija i otvoreni kod su samo ocigledan proizvod toga.

29

Postoji asocijacija između malvera i piratizacije, opravdanost te asocijacije možemo da ostavimo po strani. Ja mislim da je uzrok te asocijacije to što je dosta tracker sajtova i sajtova na kojima se mogu gledati filmovi besplatno preplavljeno banner reklamama, popupovima itd. Mislim da bi tu koristan savjet bio koristenje ad blocker, pop-up blockera i odbijanje većine zahtjeva kao default pozicija. Znači savjeti:

  1. Koristi ad blockere za svoj pretraživač
  2. Koristi popup blockere za svoj pretraživač
  3. U slučaju dobijanja popup, pročitaj upit ili obaveštenje, i ako nisi siguran šta je zahtev, odbij ga.

Takođe, kad sam već spomenuo pop-upe, moram da spomenem i kolačiće. Preporuka za redovno brisanje kolačića i ako sajtovi koje koristimo insistiraju na kolačićima, davanja minimalnog potrebnog dopuštenja, iako većina sajtova čini taj proces dužim nego prosto prihvatanje default-a (svi mogući kolačići za praćenje svega mogućeg lol). Savet:

  • Namesti automatsko brisanje kolačića za svoj pretraživač

Još par tih linija sa kolaža na koje želim da komentarišem:

Ne koristi javne (besplatne) Wi-Fi mreže bez VPN konekcije i bezbedne konfiguracije uređaja.

VPN servisi mogu biti kompromitovani, često imaju komercijalne interese koji se kose sa interesima korisnika, i takođe je nemoguće proveriti istinitost tvrdnji ne čuvanja logova etc., nisu panacea, već dugo ljudi pričaju o problemima korištenja VPN-a kao sigurnosne mere ili mere zaštite privatnosti. Ovo može da naškodi laicima više nego što može da im pomogne, bolji savjet je što ređe korištenje javnih mreža, idealno nikad.

Kreiraj redovno rezervne kopije podataka, i testiraj proces u slučaju incidenta.

Korisnici koji znaju da naprave sigurne, redundantne, i automatski testirane backupe ne trebaju ovakve savjete, a korisnici koji ne znaju teško mogu da saznaju nesto novo na osnovu ovako kratkog savjeta. Nije loš savjet, ali još sažetiji način da se izrazi isti sentiment je: "Pročitaj nešto o backupu i osiguravanju podataka. "

Ne deli svoje privatne podatke u zamenu za besplatne stvari na internetu.

Ovo je sentiment sa kojim svako može da se složi, ali je koristan samo u kontekstu TOS-a većine servisa koju većina ljudi na internetu danas koristi, koje niko ne čita. Korisniji savjet bi bio: "Ako je neka usluga koju koristiš besplatna, zapitaj se šta se radi sa tvojim podacima, koliko o sebi deliš i koliko vremena provodiš koristeći taj servis. "

Izaberi jake šifre koje drugi ne mogu da pogode, koristi MFA.

Ovde se pretpostavlja da laik zna šta je sigurna šifra, većina laika istrenirana od strane sajtova koji već decenijama zahtevaju šifre od 8 ili više karaktera, sa bar jednim velikim slovom, sa bar jednim brojem, sa bar jednim simbolom smatra da su sigurne šifre nešto što liči na izlaz hash funkcije.
Mislim da se ovo može zameniti sa par savjeta:

  1. Koristi pass fraze! (passphrase)
  2. Koristi password manager sa veoma sigurnom master šifrom i.e. pass frazom od bar 8 reči
  3. Koristi diceware za generisanje šifri i.e. pass fraza
  4. Koristi posebnu šifru za svaki servis koji koristiš; nemoj da koristiš istu šifru na više servisa!
  5. Koristi više emailova za kompartmentalizaciju; nemoj da koristiš isti email za servise na kojima plaćaš nešto i registraciju na nasumične forume
  6. Imaj što manje naloga! Briši naloge koje ne koristiš!
  7. Možda upitan savjet, ali svakako ću ga ostaviti: Periodično menjaj šifre na starim nalozima (ali ovaj savjet pretpostavlja korištenje password managera za generisanje šifri, teranje korisnika na smišljanje novih šifri svakih n dana dovodi do umora i biranja varijanti veoma nesigurne šifre, znaju firme koje to rade iz iskustva lol)
1 Like
30

Povodom diceware-a, nisam siguran da postoje liste za srpski jezik, ako ne postoje, to bi bio interesantan projekat za decentralu, mislim da bi moglo da se relativno prosto uradi, možda korištenjem crawlera i scrapera… otom potom

31

Mislis na liste srpskih reci? Toga ima dosta

(Attachment sr-Latin.txt is missing)

32

Diceware lista nije prosta lista reči. EFF objašnjenje pojašnjava da se reči biraju za memorabilnost, dužinu (ne prekratke, tipa jednoslovne reči, ali ne i preduge), poznate reči umesto nepoznatih, bez ličnih imena, bez čudnih ili repetitivnih sekvenci, reči bez punktuacije (ovo u srpskom ne bi trebao biti problem), bez skraćenica, bez brojeva, bez vulgarnih reči…

Evo linka za članak, konciznije je nego da ponavljam šta piše u njemu:

1 Like