Tako kibernetski strokovnjak doma skrbi za digitalno varnost in zasebnost

Kako ste vi digitalno zavarovali svoje življenje? Če začneva kar pri vaši nepremičnini, katere pametne in druge naprave imate?

Z družino živim v hiši. Nimam električnega avta, imam pa določene senzorje koncepta pametnih hiš, varnostne kamere in seveda pametne telefone, tablice ter osebne računalnike. Jaz in žena imava tudi službena prenosnika, ki ju velikokrat prineseva domov.

Ker živimo v hiši, sem tudi izpopolnil sistem wifi omrežij, da naprave pri prehodu med zunanjim in notranjim delom hiše ter med posameznimi prostori nikoli ne izgubijo signala.

Ali ste za vse našteto kupili rešitve na trgu?

Razen samih naprav je vse plod mojega dela. Torej od izbora naprav, njihove instalacije do vzpostavitve varnostnih mehanizmov.

Torej so naprave – verjetno govoriva predvsem o kamerah in senzorjih pametnega doma – povezane s spletom?

Do določene mere. Zato sem naredil ločena omrežja. Primarno omrežje je samo za osebne računalnike in prenosnike. Druge pametne naprave pa dostopajo do spleta prek drugega omrežja.

Zakaj pa ste ločili omrežja?

Zaradi morebitnih vdorov. Tudi če nekomu uspe priti v eno izmed omrežij – predvsem bi bilo lahko tarča omrežje za pametne naprave –, ne bo dobil dostopa do ključnih podatkov. V najslabšem primeru bi lahko gledal, kaj snemajo varnostne kamere, ali prebral statuse senzorjev.

Kako pa skrbite, da nihče ne more priti do lokalnega omrežja ?

Na več stopnjah. Wifi je zaščiten z močnim geslom, ločeni so wifi za goste, wifi za naprave in wifi za domače uporabnike. Vhodi (ethx) na usmerjevalnikih, ki se nahajajo izven hiše, so ugasnjeni in/ali zavarovani (802.1x), kar preprečuje fizični priklop na omrežje brez ustrezne avtentikacije.

Potem je tu še požarni zid, ki skrbno pregleda in prečeše promet ter v omrežje in iz njega pusti samo določene povezave.

In ta je standarden, torej kar je na voljo na trgu, ali ste ga prilagodili osebnim zahtevam?

Je prilagojen. Verjetno pa sem malo pretiraval z dodatnimi pravili (smeh, op. a.).

Kaj točno to pomeni? O kakšnih pravilih govorimo?

Gre za nabor pravil, ki jih požarni zid upošteva. Na primer, če se nekdo prevečkrat neuspešno poskuša vpisati v oddaljeno omrežje, se znajde na seznamu blokiranih IP-naslovov in pametnih naprav. Poleg tega se na seznam redno dodajajo zlonamerni naslovi. Blokiran je tudi dostop iz tujine, saj iz tujine ne potrebujejo dostopa do mojega omrežja.

Ali ste zaščitili tudi izhodne podatke, torej to, kar vi pošiljate v splet?

Seveda. Za določene stvari uporabljamo VPN, v tem primeru bolj jaz, ko preizkušam kakšne stvari. Pomemben del pa je tudi odprtokodna programska oprema za preprečevanje sledenja, ki vsakokrat, ko nekdo dostopa do spleta, preveri, ali je iskan spletni naslov na črni listi. Če je odgovor da, potem ne moremo dostopati do te spletne strani. Hkrati blokira tudi spletne oglase, kar je pomembno zato, ker ti lahko vsebujejo tudi povezave do spletnih strani za spletno ribarjenje (phishing) ali pa zlonamerne skripte, ki ranljivosti brskalnikov izkoristijo za zlonamerne aktivnosti.

Če se vrneva nazaj v vaš dom. Ali imate tudi kakšne digitalne stvari, ki niso nikoli povezane z internetom?

Seveda, imam kopije vseh podatkov na napravah, ki niso nikoli povezane s spletom.

Za kakšne naprave gre? NAS, samostojni zunanji diski …?

Veliko si pomagam z Raspberry Pi. Ta je povezan z zunanjimi diski in na njih se avtomatično delajo kopije vseh podatkov z računalnikov.

Ali oblačnih storitev za shranjevanje podatkov ne uporabljate?

Za določene stvari jih uporabljam. Vem, da je zelo težko zaupati zunanjim ponudnikom teh storitev. Kam v resnici gredo naši podatki, kdo dostopa do njih, kaj se s podatki dela … Morda sem glede tega res preveč paranoičen. Res se mora zgoditi nekaj velikega, da bi na primer Googlu uspeli ukrasti podatke. V večini primerov do vdora pride zaradi človeškega faktorja.

Kakšne podatke pa shranjujete v oblaku? Družinske fotografije s pametnega telefona?

Fotografije se res shranjujejo v oblaku. Vendar moram poudariti, da zelo pazim, kaj fotografiram. Tudi določene dokumente shranjujem v oblaku. Večji del pa imam na zunanjih diskih in v sefu.

Ljudje se za ponudnika oblačnih storitev odločajo predvsem na podlagi naprav, ki jih uporabljajo. Glavni igralci v Sloveniji so predvsem Apple, Microsoft in Googlov Android. Kaj vi uporabljate?

Za pametne telefone in tablice Android, za osebne računalnike predvsem Microsoftove rešitve, ponekod – predvsem za infrastrukturne rešitve – pa Linux. Sicer je zadnji najboljši, vendar zahteva preveč časa za prilagajanje, poleg tega pa ima velike izzive pri sinhronizaciji rešitev, ki jih na primer potrebujem za službo.

Ali na napravah uporabljate antivirusne rešitve?

Dokler ne dela neumnosti in uporablja požarni zid, za povprečnega uporabnika zadoščajo protivirusne rešitve, ki so v operacijskih sistemih. Govorim o računalnikih. Izpostavil pa bi napako, ki jo dela preveč ljudi: ne imejte na računalniku več kot enega antivirusnega programa. Več ni bolje v tem primeru. Preverjeno.

Torej je na primer Windows defender dovolj?

Da. Dokler pazimo. Ena izmed največjih težav je, da ne posodabljamo operacijskega sistema in programov. Velja tako za Windowse kot Applov operacijski sistem.

Vendar so bili tudi primeri, ko so posodobitve pravzaprav odprle operacijske sisteme hekerjem?

Res je. Sam zato vedno počakam dva ali tri dni, preden jih namestim. V tem času se namreč že identificirajo potencialne napake v posodobitvah.

Kakšni pa so še drugi primeri "neumnosti", ki ste jih prej omenili?

Osebno se držim tega, da ne odpiram sumljivih elektronskih sporočil, ne klikam na phishing povezave, ne "razmetavam" z deljenjem svojih osebnih podatkov po spletu …

Vendar če mi zdaj daste 30 tisoč evrov, vam v roku 48 ur posredujem dva milijona evrov. Zakaj tega ne sprejmete?

(smeh, op. a.) Meni se zdi neverjetno, da take stvari še vedno delujejo, po vsem ozaveščanju. Razumem, da obstajajo morda neke osebne stiske, ki človeka v to prisilijo, vendar se je treba zavedati, da ni nič zastonj. Nihče iz Microsofta ali Googla vas nikoli ne bo poklical in dejal, da je nekaj na vašem računalniku narobe in da vam bo to pomagal popraviti. Nihče in nikoli. Kdo iz Googla se bo ukvarjal z nekom iz Slovenije? Nihče. Ali ste kdaj poskusili dobiti pomoč od Googla, tudi če ste poslovni uporabnik? To traja in traja; dobiti sogovornika, ki ni robot, je skoraj nemogoče.

Če se vrneva nazaj v vaš dom – ena izmed glavnih stvari na področju kibernetske varnosti fizičnih uporabnikov je bila vojna proti geslom. Kako sami upravljate z gesli? Si jih pišete na list papirja, ki je nalepljen na vaš računalniški ekran?

Doma uporabljam programsko rešitev, ki shranjuje vsa moja gesla. Res mi olajša življenje.

Katero programsko rešitev pa uporabljate?

Po intenzivni analizi – kar pomeni, da sem sam pregledal in testiral najpopularnejše rešitve na trgu – sem se odločil za 1password. Za zdaj o njih nisem našel (še) nič slabega.  

Ena izmed najbolj problematičnih naprav tako z vidika kibernetske varnosti kot zasebnosti je zagotovo pametni telefon. Kako se sami soočate s tem izzivom?

Za začetek, vedno ko imam zaupne pogovore, morajo biti pametni mobilniki v drugem prostoru.

Torej je to, da najin pogovor snemam na iPhone, katastrofa?

Nočem biti tako črnogled. Koga pa ta pogovor sploh zanima (smeh, op. a.) ...

Glavna težava pametnih telefonov so aplikacije, ki so dostopne na primer na Google Play ali AppStore. Torej so dostopne vsem uporabnikom in so zaradi dejstva, da so na uradnih tržnicah, menda vredne zaupanja. To pa se mnogokrat izkaže za neresnično. In ljudje potem verjamejo najneverjetnejšim stvarem. Moj oče je celo poklicno življenje preživel v zdravstvenem sektorju. In potem me pred meseci kliče, da je naložil aplikacijo, ki mu izmeri krvni tlak. Kako? Brez vseh senzorjev … Seveda sem aplikacijo preveril in izkazalo se je, da gre za prevaro oziroma orodje, s katerim so nepridipravi prišli do dodatnega zaslužka.

Pa je vsaj izmerila krvni tlak?

Seveda ne. Vse skupaj si je izmislila.

In danes je takih aplikacij malo morje. Nevarne so predvsem tiste, ki sledijo vsem informacijam, ki jih vnašate v druge aplikacije ali spletne rešitve. Spletni kriminalci tako dobijo vaše podatke za spletno banko.

Poudaril pa bi še, da niso težava samo aplikacije in druge programske rešitve. Danes so velik izziv posebni polnilni kabli, ki so na voljo za majhen denar. Ti kabli imajo poseben čip, ki se ob stiku s pametnim telefonom obnaša kot terminalna oprema. Temu dodaš še kak klic v smislu tehnične pomoči in že lahko upravljaš z mobilnim telefonom.

Nevarnosti je veliko. In orodja za hekanje so danes postala zelo dostopna, iznajdljivost nepridipravov pa eksponentno raste, sploh z uporabo umetne inteligence.

Za intervju z vami sem se odločil, ker ste kibernetski strokovnjak, čigar služba je kibernetska varnost, posledično pa vsak dan spremljate, kaj vse se dogaja na tem področju. Vendar malo ljudi ima energijo, denar in pa sploh željo, da bi se ukvarjali z osebno kibernetsko varnostjo. Zato me zanima, kako vaši otroci in žena vidijo kibernetsko varnost in kaj od vaših navodil upoštevajo.

Tako bom rekel: žena in otroci potrebujejo trdo roko (smeh, op. a.).

Otroka sem nekako še uvedel v svoj način razmišljanja, žene pa še ne čisto. Otrok se je vsaj v šoli malo srečal s to tematiko. Enkrat me je presenetil, ko je prišel iz šole in me začel spraševati o požarnem zidu in drugih stvareh. In z veseljem sem mu vse razložil.

Žena pa – kot primer – ne verjame v pomembnost spreminjanja in ustvarjanja močnih gesel. Vsake toliko časa jo tako prijazno opomnim. Sva pa vsaj dosegla soglasje, da je sistem postavljen tako, da tudi če je ona žrtev, ne more kompromitirati drugih članov družine (smeh, op. a.).

Kako pa ste znotraj družine naslovili nevarnost phishinga?

Z učenjem. Očeta mi je na primer uspelo prepričati, da sumljiva elektronska sporočila posreduje meni. Potem mu jaz interpretiram, ali gre za phishing ali ne. Na žalost požarni zid in povprečen antivirusni program nista stoodstotna rešitev. Predvsem v primerih, ko je phishing "nov" in še ni zabeležen v bazi. Pri phishingu je zato najbolj ključen človeški faktor.

Kaj pa zaščita osebnih podatkov?

Z ženo sva imela resen pogovor med drugim tudi o tem, koliko prijateljev ima na Facebooku. In kdo so. Imeti pet tisoč prijateljev na Facebooku je super. Vendar to pomeni, da lahko pet tisoč ljudi hkrati dostopa do tvojih fotografij, objav ipd. In na podlagi tega lahko hitro ugotovijo, kje se giblješ, kje živiš, kako izgledajo tvoji otroci, v katero šolo hodijo …

Ljudje se sploh ne zavedajo, katere vse osebne podatke puščajo na spletu. Ali ste vedeli, da če sklenete uradno predporočno pogodbo, je ta delno javno objavljena na spletu? Vsakdo lahko vidi vaša ime in priimek, vaš naslov … Na to nihče ne opozarja. Paradoks je, da naročnike skrbi, da jim bomo strokovnjaki za varnost brskali po podatkih, če se bodo odločili za storitve centra kibernetske varnosti. V resnici pa mi dostopa do njihovih podatkov sploh nimamo, mi zgolj skrbimo za njihovo varnost – strokovno, sistematično, celovito, 24/7, z najsodobnejšimi orodji. Naš celoten poslovni model temelji na varovanju zasebnosti naših naročnikov! Po drugi strani pa sami brez skrbi puščajo svoje podatke na spletu.

OSINT (tehnike in orodja za zbiranje in analiziranje javno dostopnih podatkov) je čudovita stvar. Če seveda veš, kaj delaš.

(smeh, op. a.) Tisti, ki bodo iskali take podatke, jih bodo hitro našli na temni strani spleta. Za plačilo.

Pa menite, da ste v svojem iskanju zasebnosti dovolj učinkoviti, torej da vaši podatki niso naprodaj?

Skoraj drznem si trditi, da mojih osebnih podatkov, ki bi jih lahko izkoristili, ne morete kupiti nikjer. Najdejo pa se kakšni zastareli podatki, ki so že zdavnaj neuporabni. Najverjetneje se nihče ni rodil z zavedanjem o varovanju osebne identitete.

Novice Določene informacijske storitve na mariborski univerzi spet delujejo

Novice Po hudem napadu na Univerzi v Mariboru trdijo: Študij poteka nemoteno

Novice Italija tarča obsežnega hekerskega napada: izsiljevali so politike, tudi Mattarello