3 Termos de segurança essenciais que você precisa entender

Tecnologia mantém movimenta para frente, mais rápido que um excesso de velocidade-frete-trem-bala-gun - ainda mais rápido do que a velocidade da luz. Ok, talvez não aquele

rápido, mas todos nós tivemos essa sensação de perder um momento divisor de águas na tecnologia, ou pelo menos um novo produto com uma nova especificação deslumbrante, e você não tem nenhuma ideia do que ninguém no tiddlywinks regionais social está falando.

relaxar. Acontece. Então, vamos escovar acima em alguns dos termos de segurança mais comumente utilizados e exatamente o que eles significam.

1. Encryption

Vamos começar com um grande problema, e que você provavelmente encontrou. Só porque você encontrou isso, não significa que você entender a importância incrível de criptografia.

Video: Erros Comuns de Jovens Empreendedores

Em poucas palavras, encriptação é a transformação de dados para esconder seu conteúdo de informação. Seja enviando uma mensagem sobre WhatsApp, Microsoft solicitando informações de telemetria criptografada a partir de 10 sistemas Windows, ou acessar seu portal online banking, você está enviando e recebendo informações criptografadas se você sabe ou não.Como o Encryption Trabalho, e é realmente seguro?Como o Encryption Trabalho, e é realmente seguro?consulte Mais informação

E com razão. Você não quer Alan usando um man-in-the-middle no pub local para roubar suas credenciais de conta. Da mesma forma, você não quer apenas alguém para ser capaz de ler o seu e-mail, o seu seguro de mensagens, e qualquer um dos miríade de serviços protegidos com encriptação.

Todos Up in the News

Uma das maiores histórias de criptografia do ano acaba de ser dada uma sacudida rápida de volta à vida. Vou te dar um resumo rápido: em dezembro de 2015, 14 pessoas foram assassinadas em um ato de terrorismo doméstico no Centro Regional Inland, San Bernardino, Califórnia.

Os terroristas foram mortos algumas horas depois em um tiroteio, e o FBI passou a procurar a sua residência local. Eles recuperaram um número de itens, incluindo um do iPhone criptografada do falecido. Este apresentado um problema para o FBI: eles não podiam força bruta (um ataque exaustiva projetado para adivinhar todas as permutações de senha possíveis) Protecção do telefone, como que poderia ter apagado os dados.

A Apple, com razão, recusou-se a criar um backdoor de ouro para o FBI para usar, raciocinando que, uma vez que foi criado seria usado repetidamente. Além disso, eles novamente corretamente declarou sua crença de que tal backdoor inevitavelmente cair nas mãos erradas e ser usado para afetar direta e negativamente outros cidadãos.

Rolar para a frente de alguns meses. O FBI ea Apple tinha sido frente e para trás no tribunal, quando de repente o FBI anunciou que, com a ajuda de um terceiro desconhecido (supostamente uma empresa de pesquisa de segurança israelense), eles com sucesso rachou e acessados ​​os dados no iPhone - que por sua vez, totalizaram basicamente nada.Qual é o sistema operativo móvel mais segura?Qual é o sistema operativo móvel mais segura?Lutando pelo título da maioria dos OS móvel segura, temos: Android, BlackBerry, Ubuntu, Windows Phone e iOS. Qual sistema operacional é o melhor em segurando sua própria contra ataques online?consulte Mais informação

Ainda comigo? Roll em mais alguns meses, até agosto de 2016, e hackers anunciou a “libertação” de dados altamente sensíveis de um servidor auxiliar NSA, especulado para ter sido usado por um dos elite grupos de hackers internos das agências governamentais. Os dados aparentemente continha código detalhando ataques de backdoor em uma série de importantes firewalls, globalmente utilizados, com os dados que estão sendo acondicionados para venda (com um ~ $ 500 milhões de preço pedindo ultrajante).

TL-DR: Backdoors trabalhar até todo mundo sabe sobre eles. Então todo mundo está ferrado.

É toda sobre o Chaves

criptografia segura permanece assim através da assinatura de chaves digitais, trocadas com segurança entre as duas partes. -Chave pública criptografia (AKA criptografia assimétrica) usa um par de chaves para criptografar e descriptografar dados.

o chave pública podem ser compartilhados com ninguém. o chave privada é privado. De qualquer chave pode ser usada para criptografar uma mensagem, mas você precisa da chave oposta para descriptografar no outro extremo.

A chave é essencialmente uma longa seqüência de números que tem sido emparelhado com outro longa seqüência de números, mas não são idênticos (tornando-os assimétrico). Quando criptografia de chave pública foi proposta por Diffie e Hellman em 1977, seu trabalho foi considerado inovador e lançou as bases para os muitos serviços digitais seguros que se aproveitam de hoje.

Por exemplo, se você já usou uma assinatura digital, você já usou uma tecnologia baseada em criptologia assimétrica:

Para criar uma assinatura digital, a assinatura de software (como um programa de email) cria um hash unidirecional dos dados eletrônicos a ser assinado. a chave privada do usuário é então usado para criptografar o hash, retornando um valor que é exclusivo para os dados de hash. O hash criptografado, juntamente com outras informações, como o algoritmo de hash, constitui a assinatura digital.

Qualquer alteração nos dados, mesmo para um único bit, resulta em um valor de hash diferente. Este atributo permite que outros para validar a integridade dos dados usando a chave pública do signatário para descriptografar o hash. Se o hash descriptografado corresponde a uma segunda hash calculado dos mesmos dados, isso prova que os dados não foi alterado desde que foi assinado.

Se os dois hashes não coincidirem, os dados ou foi adulterado de alguma maneira (indicando uma falha de integridade) ou a assinatura foi criada com uma chave privada que não corresponde à chave pública apresentada pelo signatário (indicando uma falha de autenticação).

2. OAuth e OAuth2

OAuth é essencialmente uma estrutura de autorização. Ele permite que duas partes para comunicar de forma segura, sem a necessidade de fornecer uma senha de cada vez. Vou explicar como isso funciona usando um exemplo rápido:

Video: 10 motivos para Crer na Bíblia

1. Bill é um usuário. Ele quer um terceiro para acessar com segurança seu fluxo de Twitter (um recurso seguro, usando uma senha).
2. Bill pede a terceiros para acessar com segurança seu fluxo Twitter. O aplicativo de terceiros diz: “Claro coisa, eu vou pedir permissão.”
3. A terceira parte faz a solicitação. O serviço seguro - neste caso, o Twitter - responde, dizendo: “Claro que sim, aqui é um símbolo e um segredo.”
4. O terceiro agora envia Bill de volta ao Twitter para aprovar as alterações e para dar-lhe o token para mostrar o seu envolvimento no processo.
5. Bill pede Twitter para autorizar a pedido forma, e Twitter fazer uma última double-check. Uma vez que Bill diz OK, Twitter envia Bill de volta em seu caminho para o terceiro com um “boa-to-go” token de solicitação.
6. Finalmente, o terceiro recebe uma Acesso token e pode feliz postar fluxo de Twitter de Bill. Lolcats para todos!

Ao longo do processo, Bill nunca teve a fornecer suas credenciais de conta para o terceiro. Em vez disso, eles foram verificados através do sistema de token OAuth. Bill still mantém o controle sobre esse sistema e pode a qualquer momento revogar a token.

Video: TÉCNICAS DE PERGUNTAS EM AUDIÊNCIA TRABALHISTA PARA ADVOGADO DA RECLAMADA - Prof. Marco Antonio

OAuth pode fornecer permissões mais em profundidade também. Em vez de permitir tudo o mesmo acesso às suas credenciais, podemos atribuir permissões de nível granular, como dar um serviço de terceiros acesso somente leitura, mas outro o direito de agir e, como pós como você.

Mesmo? Um segredo"?

Eu sei direito?! Quem sabia terminologia de segurança pode ser tão kawaii! Em toda a seriedade, eu vou explicar esse termo um pouco mais. Ele vem para baixo para o ID do cliente e cliente secreto. Para OAuth para trabalhar, o pedido deve ser registrado com o serviço OAuth. O desenvolvedor tem que fornecer as seguintes informações:

• Nome da Aplicação
• site aplicação
• URI de redirecionamento ou Callback URL

Uma vez cadastrado, o aplicativo receberá um ID do cliente. O ID do cliente é então usada por um serviço para identificar um aplicativo. A chave secreta do cliente é usado para autenticar a identidade do aplicativo para o serviço quando o aplicativo solicitar acesso à conta do usuário. Ele deve permanecer privado entre o aplicativo eo serviço.

Há uma chance muito alta que você usou OAuth sem nunca perceber. de ter registrado em um site de terceiros usando sua conta Facebook, Google ou Microsoft? Então você fez uma conexão segura usando OAuth.Você deve pensar duas vezes antes de fazer login usando Contas Sociais?Você deve pensar duas vezes antes de fazer login usando Contas Sociais?consulte Mais informação

3. Ransomware

Esta variante de malware está se tornando rapidamente o flagelo da internet.

Assim como o malware tradicional infecta seu sistema, ransomware faz o mesmo. Mas, em vez de meramente roubar seus dados e transformando seu sistema em um nó botnet, ransomware criptografa ativamente seus dados e, em seguida, pede um pagamento para garantir o seu lançamento. Olhamos para criptografia de chave pública no início deste artigo - e a grande maioria dos ransomware utiliza tecnologia de criptografia disponíveis ao público.O Site final Ransomware Você Deve Saber SobreO Site final Ransomware Você Deve Saber SobreRansomware é uma ameaça crescente, e você deve fazer tudo o que puder para evitar isso. Se você precisa de informações ou precisar de ajuda após ser atingido por ransomware, este recurso incrível pode ajudar.consulte Mais informação

Veja como o Center for Internet Security define:

A criptografia é um método usado para criptografar ou corrida, o conteúdo de um arquivo de tal forma que apenas aqueles com o conhecimento de como descriptografar ou decodificar, o conteúdo pode lê-los. Ransomware, um tipo de malware que contém um computador ou arquivos para o resgate, continua a destacar o uso malicioso de criptografia.

Por exemplo, uma das primeiras formas de ransomware para ganhar notoriedade mundial foi CryptoLocker. Tipicamente propagada como um anexo de e-mail malicioso, Uma vez instalado o ransomware marcaria o lar de um servidor de comando e controle para gerar um par de chaves RSA de 2048 bits, o envio de uma volta para o computador infectado. Seria então de forma constante criptografar vários arquivos importantes usando uma lista pré-ordenada de extensões, anunciando a sua conclusão com uma mensagem de resgate e exigindo um pagamento em Bitcoin para a libertação segura da chave privada (que permitiria que os arquivos a ser decifrada).Uma História de Ransomware: Onde Tudo Começou & Onde está indoUma História de Ransomware: Onde Tudo Começou & Onde está indoRansomware data de meados dos anos 2000 e como muitas ameaças de segurança de computadores, originada da Rússia e da Europa Oriental antes de evoluir para se tornar uma ameaça cada vez mais potente. Mas o que o futuro reserva para ransomware?consulte Mais informação

Se um usuário não tinha feito o backup de seus arquivos, eles seriam obrigados a pagar o resgate ou enfrentar exclusão permanente. As chaves de criptografia geradas pelo ransomware CryptoLocker eram comumente de 2048 bits RSA, o que significa que com a tecnologia atual, quebrando as chaves é essencialmente impossível (o poder de computação pura necessária para quebrar a criptografia é atualmente inviável).

Muitas outras variantes

O ransomware CryptoLocker banco de dados de chave privada foi recuperado quando o botnet Zeus Gameover foi retirado em 2014. Ele permitiu aos pesquisadores de segurança a chance de criar uma ferramenta de decodificação livre para disseminar a esses usuários afetados, embora tenha sido estimado que os desenvolvedores ransomware parecia ter coagido cerca de US $ 3 milhões por meio de usuários infectados:CryptoLocker Is Dead: Aqui está como você pode obter seus arquivos de volta!CryptoLocker Is Dead: Aqui está como você pode obter seus arquivos de volta!consulte Mais informação

Em 2012, a Symantec, usando dados de um servidor de comando e controle (C2) de 5.700 computadores comprometidos em um dia, estima-se que cerca de 2,9 por cento desses usuários comprometidos pagou o resgate. Com um resgate média de US $ 200, isso significava atores maliciosos lucrou $ 33.600 por dia, ou US $ 394.400 por mês, a partir de um único servidor C2. Estas estimativas demonstram como ransomware rentável pode ser para os atores maliciosos.

Este sucesso financeiro provavelmente levou a uma proliferação de variantes ransomware. Em 2013, mais variantes ransomware destrutivas e lucrativos foram introduzidas, incluindo Xorist, CryptorBit, e CryptoLocker. Algumas variantes criptografar não apenas os arquivos no dispositivo infectado, mas também o conteúdo de unidades compartilhadas ou em rede. Estas variantes são considerados destrutiva porque criptografar arquivos dos usuários e organizações, e torná-los inútil até criminosos receber um resgate.

A maré não virou. Embora entendamos mais sobre ransomware do que nunca, os desenvolvedores ransomware são constantemente atualizando e aprimorando seus produtos para garantir o máximo de ofuscação e rentabilidade máxima.

Junho de 2016 viu a reintrodução de uma forma “mais velho” de ransomware. Locky já tinha ido “offline” com novas infecções muito reduzida em favor de outra variante ransomware, Dridex. No entanto, quando Locky devolvido, que tinha sido dado um modo extra-dragão-perfurador deathblow de ataque. Anteriormente, o ransomware teve para marcar o lar de um servidor de comando e controle para gerar e compartilhar as chaves assimétricas que discutimos anteriormente:Sua nova ameaça de segurança para 2016: javascript RansomwareSua nova ameaça de segurança para 2016: javascript RansomwareLocky ransomware tem preocupado os pesquisadores de segurança, mas desde a sua breve desaparecimento e retornar como um multi-plataforma javascript ameaça ransomware, as coisas mudaram. Mas o que você pode fazer para derrotar o ransomware Locky?consulte Mais informação

Na semana passada, de quarta a sexta-feira nós observamos um aumento notável na quantidade de spam distribuição Locky. No máximo nós vimos 30.000 acessos por hora, aumentando o total diário de 120.000 hits.

Ontem, terça-feira, vimos duas novas campanhas com uma magnitude totalmente diferente: mais de 120.000 acessos de spam por hora. Em outras palavras, mais de 200 vezes mais do que em dias normais, e 4 vezes mais do que em campanhas da semana passada.

Se o ransomware não poderia marcar casa, ele iria lançar impotente. Aqueles usuários que perceberam que tinham sido infectadas extremamente cedo poderia combater a infecção sem ter todo o seu sistema criptografado. faz o Locky atualizado não precisa discar casa, em vez de emitir uma única chave pública para cada sistema que infecta.

você pegou por que isso pode não ser tão ruim quanto parece?

Em teoria, usando uma única chave pública significa uma única chave privada poderia desbloquear cada sistema criptografado pelo ransomware Locky - mas eu ainda não iria depositar meus arquivos de sistema em descobrir!

ISO Padronizado Glossário

Nós olhamos três terminologias diferentes que você pode encontrar em sua vida diária. Estes são termos universais que carregam o mesmo significado em todo o mundo da segurança e gestão da informação. Na verdade, como esses sistemas são tão vasto, tão inequivocamente importante, tocando todos os cantos do globo, existem estruturas de terminologia robustos para facilitar as comunicações abertas e uniformes entre os diferentes parceiros.

As terminologias são fornecidos pela ISO / IEC 27000: 2016, que dá uma visão abrangente dos sistemas de gestão de segurança da informação cobertos pela família ISMS de padrões e define os termos e definições relacionadas.

O padrão é importante, pois estabelece as bases para comunicações de missão crítica entre todas as partes interessadas.

Conhecimento é poder

Encontramos desinformação em todos os lugares que vamos. Por que isso acontece? Infelizmente, as pessoas com poder suficiente para tomar decisões que podem afetar positivamente a nossa segurança raramente entendem o suficiente para fazer uma política informada, progressiva para manter a privacidade e segurança. Suas decisões devem ser medidos contra a segurança das massas, e normalmente leva a uma diminuição da privacidade. Mas para o que ganham?

Aproveite o tempo para aprender e entender a terminologia de segurança contemporânea. Ela vai fazer você se sentir mais seguro!

Gostaria que para cobrir mais terminologia de segurança? O que você acha que precisa explicar mais? Deixe-nos saber seus pensamentos abaixo!