Otwieranie skrzynki pocztowej to najczęstsza aktywność w Internecie. Miliony elektronicznych maili codziennie krążą po sieci i dostarczają każdego typu informacji: prywatnych, służbowych, lapidarnych bądź w postaci rozbudowanych elaboratów. Często – o treściach bardzo poufnych. Czy wiemy jednak, co dzieje się z naszą wiadomością, kiedy klikamy „Wyślij”? Jeśli zależy nam na tajności i prywatności naszej komunikacji, warto zadbać o odpowiednią ochronę elektronicznej korespondencji.
Krótki mail do szefa, kawał przesłany do współpracowników, zapytanie ofertowe do potencjalnego kontrahenta, bieżąca korespondencja z klientami – naszą służbową skrzynkę pocztową traktujemy jak bezpieczną przestrzeń, nad którą sprawujemy pełną kontrolę. Jednak codziennie, kiedy wypuszczamy w przestrzeń Internetu oraz odbieramy elektroniczną korespondencję, wystawiamy się na potencjalny atak sieciowych szkodników.
Albo viagra, albo wirus
Zagrożenia internetowe mają rozmaitą naturę. Do najpopularniejszych na pewno należy spam – czyli e-maile z bezużytecznymi treściami, które zaczynają hurtowo trafiać na naszą skrzynkę. Skąd biorą się nagle w firmowej poczcie reklamy viagry? Możemy założyć, że nadawca działał losowo, generując wszystkie możliwe kombinacje liter w nazwach kont na danym serwerze, jednak bardziej prawdopodobne jest, że nasz adres został odnaleziony gdzieś w sieci i przekopiowany. Oczywiście nie odpowiada za to jedna osoba, a maszyna. Na zasadzie skanera przeszukuje strony www, fora, grupy dyskusyjne i wychwytuje podane tam adresy.
Wiedza o mechanizmie tworzenia spamowej bazy danych powinna nam wystarczyć do wdrożenia najprostszej formy ochrony: – Nie ma skuteczniejszego sposobu ochrony przed atakami spamowymi niż niepodawanie swojego adresu mailowego – na żadnych stronach, forach, miejscach wymagających logowania. Do takich celów najlepiej założyć sobie drugi „śmieciowy” adres. Innym trikiem jest podanie adresu w sposób czytelny dla ludzi, ale nie dla maszyny, np. zamiast adam@itkontrakt.pl – adam At itkontrakt dot pl – przekonuje Marceli Smela, dyrektor generalny firmy IT Kontrakt.
Drugą plagą rozsyłanych szkodliwych treści są wirusy. Oczywiście każda firma wyposaża swoje komputery w programy antywirusowe (jeśli pracodawca z jakichś powodów nie chce w taką ochroną zainwestować, powinniśmy zainstalować sobie chociażby którąś z darmowych aplikacji). Programy takie wychwytują zainfekowane pliki i skutecznie je unieszkodliwiają. Co kilka miesięcy powstaje jednak jakiś nowy wirus. Może się zdarzyć, że na naszą skrzynkę trafi odmiana, której program nie będzie potrafił obezwładnić. Musimy mieć świadomość, że nie ma aplikacji i systemów niezawodnych, dlatego po raz kolejny należy podejść do elektronicznej korespondencji z głową. Zasadą powtarzaną od lat, ale mimo wszystko nagminnie ignorowaną, jest ograniczone zaufanie pod adresem otrzymywanych załączników. Przykładem skrajnej lekkomyślności jest otwieranie maila od nieznajomej osoby, jeśli treść ogranicza się tylko do zachęty do otwarcia załącznika. Czujności nie należy jednak tracić nawet w przypadku maili z załącznikiem od znajomego – jeśli wiadomość z jakiegokolwiek powodu wygląda podejrzanie, lepiej upewnić się najpierw, że osoba podana jako jej Nadawca, faktycznie chciała nam coś przesłać.
Przynęta rzucona
Zarówno spam, jak i wirusy, choć mogą spowodować duże straty, przy odpowiedniej dozie ostrożności są łatwe do wykrycia i częściej nękają skrzynki prywatne niż firmowe. Nasz służbowy adres – szczególnie jeśli pracujemy w dużej firmie – może stać się jednak doskonałą przynętą dla phisersów. Phishing, bo tak nazywa się ten typ przestępczości, jest próbą wyłudzenia poufnych informacji poprzez podszywanie się pod instytucję lub jednostkę godną zaufania. Najpopularniejsza forma phishingu opiera się na podrabianiu wiadomości z banku z prośbą o zalogowanie się na swoje konto w celu weryfikacji użytkownika. Klikamy na znajdujący się w mailu link i trafiamy na stronę banku. Pozornie… tak naprawdę właśnie znaleźliśmy się na witrynie imitującej tylko serwis bankowy, więc kiedy wpisujemy nazwę użytkownika i hasło, dostają się one od razu w ręce złodzieja. My oczywiście jesteśmy błyskawicznie przekierowywani na prawdziwą stronę banku, więc nie wyczuwamy niebezpieczeństwa…
No dobrze, więc wiemy już o phishingu i nie damy się nabrać. Ale co, jeśli dostaniemy wiadomość od administratora strony naszej firmy albo szefa działu IT z prośbą o zalogowanie się w sprawie służbowego konta? Jeżeli otworzymy podany link, padniemy ofiarą tzw. phishingu selektywnego. – Taka metoda działania opiera się na klasycznej zasadzie marketingu: kierowanie właściwego przekazu do właściwych ludzi – wyjaśnia dyrektor IT Kontrakt Marceli Smela – przynęta trafia do zamkniętego grona odbiorców, co uwiarygodnia komunikat i usypia czujność odbiorcy. Tymczasem złodziejowi otwiera drogę dostępu do tajnych danych firmy i klientów, a co gorsza pozwala na stałe szpiegowanie każdego kroku przedsiębiorstwa.
Podstawowa zasada postępowania jest tu taka jak w przypadku wszystkich internetowych zagrożeń: działać zdroworozsądkowo. Nie klikać bez zastanowienia w podane łącze, a upewnić się, że wiadomość została wysłana z pewnego źródła.
Tajne przez poufne
Oczywiście, sama ostrożność nie wystarczy, żeby uchronić przesyłane informacje przed atakami. Na szczęście branża IT nie siedzi też z założonymi rękami, dając wolną rękę internetowym przestępcom. Aby maksymalnie zadbać o bezpieczeństwo korespondencji, wypracowano metody szyfrowania poczty.
Najskuteczniejszy model szyfrowania polega na wygenerowaniu pary kluczy – prywatnego, przypisanego uczestnikowi komunikacji i publicznego – ogólnie dostępnego. Użytkownik A, chcąc zachować poufność wysyłanych danych, przesyła Użytkownikowi B wiadomość, którą szyfruje kluczem publicznym Użytkownika B. Aby odszyfrować wiadomość, Użytkownik B musi użyć swojego klucza prywatnego – tłumaczy Łukasz Korzeniowski, programista i konsultant IT Kontrakt.
Najpopularniejszymi dostępnymi standardami są PGP (Pretty Good Privacy) oraz S / MIME.
Można powiedzieć, że PGP działa na zasadzie „przyjaciele naszych przyjaciół są naszymi przyjaciółmi”. Poziom autentyczności publicznego klucza jest determinowany przez sumę zaszyfrowanych za jego pomocą wiadomości przez różne osoby znające posiadacza klucza. Im zatem większe grono osób potwierdzających ten klucz, tym zaufanie jest „silniejsze”.
W przypadku szyfrowania S/MIME do skontrolowania wiarygodności angażujemy trzecią stronę, tzw. Urząd Certyfikacji. Urząd ten, wystawiając klucze i certyfikaty, może potwierdzić autentyczność obu zwracających się do niego stron.
Najpopularniejszym sposobem zabezpieczanie plików jest posługiwanie się hasłem. Metoda ta ma jednak tę wadę, że hasła albo są zbyt proste i łatwo je złamać za pośrednictwem ataków słownikowych czy tablic tęczowych, albo są zbyt złożone, przez co trudne do zapamiętania.
Dlatego skuteczniejszym sposobem ochrony danych jest używanie generatorów haseł lub szyfrowanie plików (zdjęć, filmów) przed wysłaniem. Szyfry to algorytmy matematyczne służące do zabezpieczania plików. Mogą być one oparte o system kluczy, dzięki czemu osoby nieposiadające klucza nie będę mogły odtworzyć pliku i tekstu jawnego.
Tak jak różne są zagrożenia, tak rozmaite są sposoby ochrony elektronicznej korespondencji. Wszystko zależy od naszych potrzeb, a także ilości wysyłanych informacji – najczęściej wystarczy np. zainstalować filtr antyspamowy, ale jeśli przesyłamy kilkaset wiadomości dziennie, lepiej zdecydować się na rozwiązanie mocniejsze, tzw. bramę. Standardy uwierzytelniania poczty, protokoły przesyłania danych – to wszystko ma kolosalne znaczenie, ale u podstaw każdej działalności leży edukacja użytkowników. Tylko, jeśli z pełną świadomością czyhających zagrożeń podejdziemy do zarządzania pocztą elektroniczną, będziemy w stanie odpowiednio wcześnie rozpoznać próbę oszustwa i skutecznie bronić się przed atakami – podsumowuje Marceli Smela.
Autor:
Izabela Strońska z Praktycy.com – jest zespołem doświadczonych ekspertów, którzy w sposób kompleksowy i strategiczny budują komunikację marketingową i PR-ową, kreują wizerunek oraz promują kluczowe polskie i międzynarodowe marki w świecie rzeczywistym i online. Wśród naszych klientów znajdują się, m.in.:
|
|
