Na Gmail míří zákeřná vlna phishingu, může zmást i zkušenější uživatele

100% bezpečný není ani kondom, natož nějaký cloud.

Věřím tomu, že existují i jablka bez pecek

Zase tenhle jablečnej bezmozek, co se snaží hrát na trolla rolls_royce, ale postrádá na to dostatek inteligence.Apple je jednou z nejméně zabezpečených a důvěryhodných firem.

Tak Yahoo je na tom mnohem hure.

Super, Yahoo je na tom hůř. Takže se vlastně Apple vůbec nemusí snažit :)

Jistě, toto může potvrdit sama Jennifer Lawrence a asi dalších nejméně 100 celebrit jak ty jejich pičky icloud "ochránil". Ale spíš jsi jen troll co si dělá srandu.

Pokud nemam 2FA, svuj login napisu do kazdyho formulare, do ktereho se vleze a heslo mam jako tydyt, tak muze byt cloud 120% bezpecny a stejne mi data utecou.
To, ze si nejaka pi*ka spatne zabezpeci ucet nic nerika o zabezpeceni platformy.
Na druhou stranu si nedelam zadne iluze o zabezpeceni ani o nespolupracovani s temi spravnymi agenturami u vsech dostatecne velkych firem.

Problém byl v tom, že iCloud umožňoval neomezený počet pokusů na zadání hesla bez zdržování po několika neplatných pokusech. Což je jedna ze základních bezpečnostních praktik (spolu s nasazením captcha u několikátého špatného zadání) a Apple bez toho umožnil prakticky neomezený bruteforce.

No, to je pravda. Ale pravda je taky to, ze je to už minulostí. Dnes mám větší důvěru v iCloud.com než v Gmail. A upřímně řečeno, měl jsem ho i po profláknutí té aféry...http://www.computerworld.com/article/2489885/security0... ... http://www.forbes.com/sites/thomasbrewster/2016... ...

Takhle to má fungovat u lidí, kteří neví, co otevřit a co ne. Žádné přílohy neotevírat. Pokud to bude od známého, tak se zeptat, odkud to má. Jinou možnost nemá... V domácnostech to jde, ale když někdo v práci musí otevírat životopisy či něco jiného jako přílohy, tak smůla...

První co normálního člověka napadne je, "zas se to odhlásilo, ach jo" a vyplní to. Proč by měl být člověk pi*a? Co jsem tak zjišťovala, to jak poznat že je stránka pravá a jestli má platný certifikát se na základce v hodinách výpočetky stále neučí. Což je podle mě obrovská chyba. Kde se to má tedy technicky nevzdělaný uživatel naučit, aby nebyl pi*a?

Doma je snad kazdy prihlaseny trvale, ne? Pokud se prihlasuje nekolikrat denne, tak je jeste vetsi pi*a

99% lidi nema sajn co je certifikst, ani je to nezajima a nikdy nebudou overovat zda zamecek je ci ne. Proste google a tim to hasne. U nas jedna psytka ve firme z mailu co nezna otevrela prilohu 5x pisi pet krat za sebou a pak volala na it, ze ji prisel mail nejaky a ze otevrela a priliha nejde otevrit, ze to zkousela vicekrat. No a pc se uz krasne sifroval. A takych je opravdu vetsina. Takze tak. Me by take nenapadlo kontrolovat stranky na ktere chodim denne. Ale pokud neco prijde z mailu tak to ano. Ale ne kazdy je jako my.

A o tom to je. Premyslet kdyz neco uvidim v mailu. A nepotrebujes resit nejake certifikaty, ty ja taky neresim. Ale jak vidim neznameho odesilatele, v hlave se mi proste rozezni alarm.
Ale v dnesni dobe uz se snad dostala rizika spojena s pouzivanim internetu do podvedomi 90% uzivatelu internetu.

>ty ja taky neresim
Pak tedy hodně štěstí. Protože třeba při naboření routeru (což je poslední dobou u levných SOHO docela běžná věc) je možné změnit ti nastavení DNS serverů. Pak se klidně můžeš nakrásně přihlašovat na doménu na kterou jsi zvyklý a pokud se nekoukneš na platný certifikát, zvesela vyplníš přihlašovací údaje do webu útočníka.

Mam router od sveho poskytovatele, o ktery je vzdy radne starano ze strany providera a taky je pravidelne aktualizovan.

Pak máš nějakého speciálního poskytovatele, protože drtivá většina na to zvysoka kašle. Navíc často nemají co aktulizovat, protože aktualizace výrobce často přestane vydávat poměrně brzy. A pak jsou tu 0-day zranitelnosti. A další možnosti jak MITM útoku docílit, třeba přes malware v PC. Mimochodem, doufám že nemáš v routeru klasické "admin / admin" přihlašovací údaje, protože to je také snadno prolomitelné, i když je zakázané přihlášení zvenku. (což je drtivá většina domácností které mají "router od poskytovatele", který jim jaksi ani neřekl že by bylo záhodno přenastavit to. Většinou ani neví že má router nějakou webovou konfiguraci)

Ale popravdě, ten poskytovatel a router by mě zajímali :) Mohl bys napsat typ routeru a verzi firmware?

To ma ale malokdo, navic vetsinou za zarizenim od isp maji lidi svuj vlastni, ale to je jedno.

Proboha co ty ses za genia? To mi chces namluvit ze na kazdou stranku kterou vlezes tak koukas do zamecku jakej je tam cert? Tomu neveris ani TY!Kdyz udelam mtm na strnaky ktere maj https tak co mi brani udelat na falesnych strankach vlastni cert? Takze se pro utivatele bude obevovat zamecek. Bych musel mit na vsech webech EV cert. A uz vidim jak si ho kazdy kupuje za cca 200 dolacu.Nehlede nato ze posledni dobou maj cert autority problem stim ze daj cert na cokoli komukoli....

Ano, na každé stránce, kde zadávám osobní údaje, se podívám k adrese jestli je certifikát ověřený. Hrozně těžké, že? :) Pokud by mi bylo něco podezřelé, podívám se i na podrobnosti certifikátu. Pokud udělám MITM útok a budu se tvářit jako doména třeba google, vystavím si na tom maximálně self-signed certifikát. Který je jaksi v adresním řádku poznat na první pohled. Pravda, ještě by tomu přispělo kdyby v prohlížečích fungovalo už v základu ověření DNSSEC.

A co tech 10%? No. Mydlis ze jsou jen lide, co ctou maily od znamych? U nas ve firme chodi manazwrum a zamestnancum spousty mailu od cizich lidi ktere nejsou podvod. No a jestli z 100 prijde 1 ci 5 tak v tom frmolu se proste stat muze. Kdyby mel kazdy mail kontrolovat, tak zblbne nebo mu to trva 5x dele. Opeavdu neni to jen o napsani na facebook a cteni newsletteru nebo pohledy od znamych. Ty maily jsou vetsinou nejake dokumenty word, excel, pdf s daty dulezitymi. Jak pak filtrovat na post serveru prilohy? Pokud neprojde dulezita vec, je to v.... No a tak to proste je.

Viděla jsem i malware co přišel jako makro v excelu účetnímu. V perfektně věrohodném mailu z adresy jednoho z klientů :)

Nikdo nemluvi o nekolikaminutovem zkoumani kazdeho mailu. Ale porad mi unika podstata takto napadeneho - PROC nekdo otevre prilohu od odesilatele, ktereho nezna? Vzdyt se to vymyka chapani. Tohle sem tu zacal resit. A zrovna diremni maily bych sem teda nepletl, firma ma sve IT oddeleni a celkove ta prevence a prostredky jsou mnohdy lepsi nez ma nekdo v domacich podminkach. A ve firemni schrance jiste koluje vice mailu od ruznych skupin lidi, mas pravdu.
Ale porad se bavime o nesmyslu. Jak sem zminil - pokud nekdo otevre prilohu ci klikne na URL aniz by se nad tim zamyslel, tak takovy clovek si nic lepsiho nez zavirovane PC nezaslouzi.

O tom se tady bavis jen ty, protoze neni jen domaci otevirani mailu. A jaj jsem psal ve firme to mame osetrene tak jak mame, jak psala katka, staci aby klient mel naboreny os, pak muze odeslat excel nekomu z adresare, a ten v domeni ze je to dulezite tak otevre, to neni nic ze scifi. Takze tak. Doma si to lide hludaji, ve firme kdyz prijde mail s excelem ci odkazem od klienta, z nsboreneho os, ma duvot taky clovek zkoumat telefonucky? To ho nenapadne.

Zrovna v uvedeném útoku ty maily často přišly od odesilatele, kterého dotyčný zná.

Tady je to blbě napsané. Ten e-mail ti přijde od známého který už je nakažen. Na rootu je to napsané nebulvárním způsobem. A pro borce jako ty pochopitelným způsobem...

Někdy mi příjde, že tu jsou lidi co žijou mimo realitu naopak 90% lidí nenapadne něco kontrolovat a řešit prostě se přihlásí. Sem chodí lidi, který PC živí, nebo je mají jako koníček, ale většina lidí je jen využívá jako prostředek pro práci nebo zábavu. Plno lidí jezdí denně autem a neznamená to že nutně musí znát princip spalovacího motoru a ještě to neznamená, že je ten člověk hlupák. Hlupák je ten, kdo si myslí, že každého musí nutně zajimat to co zajímá jeho, ale to je blbost.

To není dobré přirovnání. Princip spalovacího motoru znát nemusí, ale určitě by měli umět auto aspoň obstojně řídit = ovládat, aby neublížili sobě nebo ostatním. A se spotřební elektronikou je to stejné, po BFU nikdo nechce aby rozuměli principům fungování mikroprocesoru nebo uměli programovat, ale měli by umět počítač/mobil obstojně ovládat, aby nezpůsobili újmu sobě nebo ostatním. A stejně jako se učíme o pravidlech bezpečnosti provozu na pozemních komunikacích, existují i nějaké zásady obezřetného chování pro digitální dobu, která už tady je pěkně dlouho. Schvalovat to, že dnes stále nikdo nic neví, protože se o to nezajímá, je jako schvalovat po 20 letech masového automobilismu, že si přece každý může jezdit jak jej napadne, protože auto ho a taky nezajímá, "jenom" v něm jezdí za prací a zábavou.Já bych se tedy těch běžných uživatelů tak nezastával, ano, může jím přijít perfektně věrohodný mail s makrem z klientova napadeného PC, ale ve většině případů je to hlavně o bezhlavém rozklikávání příloh od Hassana Mustafy, tedy otázka nerespektování základních zásad a otázka totální ignorance. A tito lidé by si už mohli končně po těch letech co používáme prostředky el. komunikace uvědomit, že tady zkrátka může číhat nebezpečí a je vhodné si osvojit aspoň základní návyky, které odfiltrují naprostou většinu typických hrozeb a udělají jim život snadnějším.

OK přirovnání asi nebylo nejlepší uznávám a taky se těch lidí nezastávám, ale realita je bohužel taková samozřejmě v autě si dávají lidi pozor (většinou) tam může ohrozit sebe i druhé. U PC nebo founu to tak neberou dělal jsem help desk pro jednu společnost, která vyrábí PC a nevěřil bys čeho jsou lidi schopný. Často se řeší bezpečnost na PC, ale celkem málo se mluví o founech skus pozorovat lidi kolem sebe a všimni si jak málo lidí má zamknutý telefon a přitom o ten člověk příjde spíš než o PC a tam máš většinu služeb na tvrdo přihlášených mail, fora atd. Většina lidí ani neví, že je živě nebo mobilmania a podobné stránky tak jak se to mají dozvědět? Tím se nikoho nezastávám, ale je to tak dceři je 12 má ve škole informatiku hrají tam hry, ale neumí ani kopírovat složky. Mě je 47, když jsem chodil do školy největší výkřik elektroniky byli hodinky ze 7 melodiema a myslíš, že pokladní v Albertu, která koukne na video, pošle mail a přečte si novinky ze světa bude někde hledat stránky o zabezpečení? Nebude, protože pro ní to bude stejný jako bych já čet odborný článek o operaci čelního laloku. Nikoho se nezastávám, ale realita je taková.

Nebo se ti snad gmail nekdy odhlasil behem otevirani prilohy? Ja pouzivam gmail denne a to jiz asi 7 let a nikdy se mi to nestalo. Je to nemozne. Maximalne se to muze odhlasit pri zavreni celeho prohlizece, ale NIKDY pri otevirani prilohy.

Neodhlásil. Ale to nic neznamená. V některých službách prostě člověku po nějakém čase dojde platnost cookie a je zvyklý že jednou za čas se přihlásit znovu musí. Nedojde mu že se to sotva stane při prohlížení přílohy. Navíc ta phishingová stránka může vést na úplně jinou službu kterou uživatel používá a tam už být takhle odhlášen může. Je to v podstatě jedno. Selský rozum sice pomůže, ale bez současného vzdělání je i ten selský rozum občas krátký. A urážet někoho proto, že to vzdělání neměl jak získat je mi trochu proti srsti.

Jak "zas se to odhlásilo"? Vám se to samo odhlašuje? Mě se jednou stalo, že na mě nečekaně vyskočilo přihlášení do Google účtu a byl jsem tehdy velmi obezřetný a dlouho jsem zkoumal, o co jde. Nakonec jsem, myslím, raději ručně šel na accounts.google.com a tam se přihlásil.Samozřejmě, technicky nevzdělaný uživatel zvyklý bez rozmyslu odklepávat co mu vyskočí se chytí, ale článek pojednává o zkušenějších uživatelích a ti by takovouhle začátečnickou chybu udělat fakt neměli.

Ach jo, co takhle číst. Psala jsem co si pomyslí běžný uživatel. A ano, odhlašuje, i když ne zrovna často. Těch důvodů pro zrušení Session ID cookie může být víc, nebo může vypršet samo.

Ale článek je o "zkušenějších" uživatelích, tak co do toho motáte BFU?

Aha, já nevěděla že když je článek o tom že může zmást „i zkušenější“, znamená to že je výhradně o zkušenějších.

BFU userov je cela kopa, zmazu si ikonu z desktopu a su v takej panike ze v ten den ani v noci nespia ;).

Tyhle veci ti v pohode ukazou i stranku a 2FA, kam zadas klic/sms (krasne nam to ve firme ukazali na prakticke ukazce).

Jakákoliv forma autentizace padá, pokud si člověk není schopen ověřit pravost stránky na které je. Tam je potřeba směřovat vzdělání jako první. Pak teprve ukázat i výhody 2FA.

pokud vím, google vyžaduje a posílá e-maily s autorizací IP adresy, stačí se 14 dní nepřihlásit... K tomu 2FA

Ještě se mi to nestalo. Ale při pokusu o přihlášení z nějaké hodně vzdálené adresy si dovede vyžádat další ověření, což když se kouknu na nejčastější zachycené pokusy z botnetů připojit se na můj router ( http://imgur.com/16Evxap... ) velkou spoustu zombií v botnetech spolehlivě vyřadí. (sice je za většinou zachycených paketů podle cílového portu Mirai, který spamy pokud vím nerozesílá, ale to rozložení je podobné u všech botnetů)

Tebe áno, väčšina užívateľov nemá šajnu, čo nejaké https znamená...

Hmmm, v článku se ale píše, že odkaz vede právě na https://accounts.google.com... Takže nějaké povědomí o nutnosti používání https je nám celkem k ničemu...

To proto že se to v článku píše špatně. V odkazu se sice dá přečíst nějaké "https", ale není
1) na začátku kde má být a definovat protokol
2) tam není vidět ověření certifikátu (a to je to co je potřeba znát i s povědomí o používání https. Laikovi stačí vědět že "https + zelený zámeček")V odkazu je jako první "data:text", což je způsob jak se dá v podstatě napsat celá webová stránka v adrese.
Klidně si zkus zadat do adresního řádku: data:text/html, Hello world

Pochopitelně mi to ořezalo tagy :) http://pastebin.com/ASNbGjFC...

a nebo muzes browser pouzivat jako zapisnik:
data:text/html,

tak jeste jednou
http://pastebin.com/vnRzRgsL...

Většina phishingu již dnes jede na HTTPS díky certifikátu zdarma od Let's Encrypt, tvůj test na podvodný web tak poněkud selhává.

To pak ovšem jedou na trochu jiné doméně :) Jasně, občas se dá přehlédnout že goggie není google, ale holt si člověk musí krom certifikátu hlídat kam leze.

Mimochodem, LE není první certifikát zadarmo.