Tietoturva ja -suoja

[Jeesustelija]

@Sardion

Pidä kaikkien laitteiden ohjelmistot aina ajantasalla. Tämä pätee myös IoT (Internet of Things) -laitteita eli se koskee kaikenmaailman älyjääkaappeja ja älypesukoneita, joita tänä päivänä voi kytkeä kotiverkkoon ja jotka tarjoavat helpon reitin hyökkääjille. Kytke kotiverkkoon mieluummin mahdollisimman vähän laitteita.

Tähän voisi sanoa että älä ylipäätään osta IoT-laitteita, jos ei ole aivan pakko. Sä et tarvi jääkaappiin tai pesukoneeseen puhelinsovellusta.

@Sardion

Ulkomailla ollessasi maksa puhelimesi Apple tai Google Pay -sovelluksella. Nämä salaavat automaattisesti maksukorttisi tiedot mahdollisilta skimmauksilta. Oikeaa maksukorttia tuskin on tarvetta edes pitää mukana ainakaan EU-alueella.

Tämä on ylipäätään jo ihan Suomessakin suositeltavaa. Mobiilimaksaminen on turvallisempaa kuin kortilla maksaminen.

[SammyO]

@Jeesustelija

Tähän voisi sanoa että älä ylipäätään osta IoT-laitteita, jos ei ole aivan pakko. Sä et tarvi jääkaappiin tai pesukoneeseen puhelinsovellusta.

Ok. Mitenkä mun ilppi? Tai mökkiläisten. Ei kaipaa etäohjausta. Naapurin Eki hoitaa? Vai pysytäänkö vaan kotona.

Entä ovikello kameroineen? Minun ei siis tarvitse tietää mitä tontillani tapahtuu kun olen viikon toisaalla? Eki?

Pari muutakin Eki hoitaa, Eki fiksaa?

[Sardion]

Lisäyksiä.

1. Pidä se master keyword ainoastaan omassa päässäsi. Ja luonnollisesti hyökkääjä ei tee tällä salasanalla yhtään mitään, vaan lisäksi hänellä pitää olla pääsy puhelimeesi (fyysinen pääsy + salasana).
2. Totta.
3. Positiivinen luottokielto kuuluisi ehdottomasti listalle myös. Mutta hyökkääjän motiivit voivat olla moninaiset.
4. Pidän itsekin käyttötileillä merkityksettömiä summia. Tämäkin sopisi listalle.
5. Ok. Mutta kyllä virtuaalimaksaminen alkaa olla levinnyt kaikkialle. Jos jostain pankkiautomaatista ei saa nostettua käteistä puhelimesi walletissa olevalla kortilla, niin seuraavasta voi.
6. Jos otat kuvan itsestäsi parvekkeella tai parvekemansikkaviljelmästäsi, niin se yhdistettynä some-profiilissasi lukevaan kaupunkiin riittää selvittämään tarkan osoitteen, missä asut. Siksi suljettu some-profiili.
7. Kyllä. Mutta pahimmillaan joku voi saada käyttäjätunnuksesi ja salasanan tällä tavoin.
9. Hyvä, että tältä osin kunnossa.
10. Bonuskysymyksesi: mikäli puhelimen pääsykoodi on hyökkääjän tiedossa, niin helpointa lienee soittaa maksulliseen nigerialaiseen palvelunumeroon, jolloin raha se vaan juoksee.

[SammyO]

1.Tämä edellyttää kyllä miettimistä edelleen. Yksi laatikko on yksi laatikko. Monta laatikkoa on monta avattavaksi

5.Siis itselläni fyysinen lompakko kulkee auton hansikaslokerossa ajokortin vuoksi. Välillä erilaisissa olosuhteissa kanniskelen sitä, jotta olisi helpompi tunnistaa ja ilmoittaa läheisille. Sopiva maksuvalmius digitaalimaksamisen eri muodoissa löytyy

6.Minun osoitetiedoillani ei tee kukaan mitään

7.Miten niin. Nehän suojasimme jo kohdassa 1

10.Ei tarvitse olla tiedossa. Aukeavat kyllä. Maa on Somalia. Puhelimeesi Joka on dumpattu latauksessa jonnekin) soitetaan ja siitä on ohjattu soitonsiirto ulos sovittuihin palvelunumeroihin. Muistini mukaan 255 soitonsiirtoa voidaan puhelimeen asettaa

[bastardo]

Perusjuttuja edellisten lisäksi:

• Perusta ns. ykkösmaili, jota käytät vain esim. valtionhallinnon, pankin yms. oikeasti tärkeiden palveluiden käyttöön, äläkä mainosta sitä tai anna sitä mihinkään muuhun palveluun.
• Käytä Gmailia tms. ns. humppamailina ja kirjaudu sillä Iltalehteen, Suomi24:ään ja kaikkeen toisarvoiseen skeidaan. Jos tämä maili ja sen salasana pöllitään jostain palvelusta, se ei saa aiheuttaa oikeaa vahinkoa.
• Älä syötä pankkikorttisi numeroa nettipalveluihin, vaan käytä Mobilepaytä, Paypalia, Google/Apple Paytä. Esim. Paypalin bisnes perustuu ihmisten pankkitietojen säilytykseen, joten sen tietoturva on sen mukainen.
• Vältä salasanojen käyttöä milloin pystyt, käytä biometristä tunnistautumista tai secure key -tyyppistä kirjautumista. Ja se MFA pitää olla käytössä jokaisessa palvelussa missä käsittelet rahaa, tai missä sinulla on rahan arvoista sisältöä (pelit, e-kirjat, ostettua musaa yms.).
• Hanki se salasanamanageri, ja laita sen salasanaksi biometriikan kylkeen joku mietelause, jonka vain sinä muistat, ja jota et hoe koko ajan kännissä baarissa. Esim. “EnHaluaisiEnääNähdäSavinOttavan32MinuuttiaJäähyjä” on tehokas salasana, jonka vain sinä tiedät ja sen saa luriteltua tarpeen tullen näppäimistöltä helpommin kuin “&63k_syJd%9Kdnc+”:n. Hyvän salasanamanagerin tietokannan saa synkattua eri laitteiden välillä jonkun pilvipalvelun kuten Google Drive, Onedrive tai pCloud kautta ja laite ehdottaa kirjautumisissa haetaanko tunnusta salasanamanagerista, joka sen jälkeen avataan biometriikalla. Käyttö ei voisi olla paljoa iisimpää. Huonoon salasanamanageriin on pääsy netin kautta niiden oman sivuston kautta, koska noita kaikki koittaa murtaa ja on siinä jo onnistunutkin.
• Tekstiviesti ei ole kelvollinen MFA, koska niitä voidaan väärentää ja spämmätä kunnes käyttäjä kyllästyy ja hyväksyy pyynnön. Proton/Google/Microsoft authenticator käyttöön.
• Salaa läppärin levy esim. Bitlockerilla ja ota varmistukset datasta pilveen.

@SammyO Jos puhelin on hallussa huijarit kait yleensä ottavat sen omistajan nimissä pikavippejä ja lainoja.

[SammyO]

Toit nyt yhden lyhenteen lisää keskustekuun. MFA.

Turha teidän ammattilaisten täällä on ketään opastaa nätisti kohentamaan oman elämänsä tietoturvallisuutta jos sitä ei kansantajuisesti tehdä.

(tuo puhelinjuttu ei osunut lähimainkaan hehtaarille)

[Spartak]

Awesome Privacy -listaukset myös ihan käteviä, jos on yhtään nörtin vikaa.

Awesome Privacy

[iceman (【ツ】)]

@SammyO

Toit nyt yhden lyhenteen lisää keskustekuun. MFA.

Multi-Factor Authentication eli monivaiheinen todennus palveluun kirjautuessa (kaksi tai useampivaiheinen).

Tästä oli juuri esimerkki kuinka tilejä kaapattu Whatsapissa ja Telegramissa:

@iceman

Kannattaa käyttää palstallakin kaksivaiheista tunnistautumista:

[iceman (【ツ】)]

Notepad++ -sovellus ollut kiinalaisen tietomurron kohteena:

Suositussa sovelluksessa massiivinen tietomurto

Koodareiden suosikkisovelluksessa massiivinen tietomurto

[iceman (【ツ】)]

Iso tietomurto ministeriöihin:

Iso tietomurto ministeriöihin – KRP:ltä uutta tietoa

Epäilty tietomurto tapahtui torstaina 29. tammikuuta. Tapaus siirtyi KRP:lle esitutkintaan 2. helmikuuta.

Epäilty murto kohdistui Valtorin tuottamaan mobiililaitteiden hallintapalveluun.

[iceman (【ツ】)]

Kiinalaista tietojenkalastelua:

(Aukesi incognito-moodissa)

Verkkorikollisten suosima työkalu paljastui – Suurin laatuaan maailmassa?

Google on ryhtynyt toimiin erittäin laajaa epäilyttävää välityspalvelinten verkkoa vastaan. Tiettävästi yli 500 eri tahoa käytti verkkoa toimintaansa.

Verkkosivuillaan julkaisemassaan päivityksessä Googlen työryhmä arvelee, että muun muassa Android-laitteista koostunut verkko oli suurin laatuaan maailmassa. The Hacker Newsin mukaan siihen kuului yli kuusi miljoonaa ip-osoitetta.

Verkkoa piti yllä kiinalainen yhtiö nimeltä Ipidea , joka mainosti itseään maailman suurimpana välityspalvelinten tarjoajana.

[iceman (【ツ】)]

Älä asenna ohjelmia tuntemattomista linkeistä…

Tietoturvayhtiö varoittaa: Poikkeuksellinen vakoiluohjelma leviää puhelimissa...

[bastardo]

Omenoissa on madon reikiä:

Käytätkö jotain näistä Applen laitteista? Päivitä heti!

[bastardo]

Kaikkihan sen tietää, että IoT on paskaa, koska kiinalaisia ei tietoturva kiinnosta, mutta ehkä tämä herättelee ajattelemaan mitä kiinalaisia kameroilla varustettuja käkättimiä kotiinsa hankkii, mitä/keitä ne kuvaa ja kenelle.

The DJI Romo robovac had security so poor, this man remotely accessed...

But when his homegrown remote control app started talking to DJI’s servers, it wasn’t just one vacuum cleaner that replied. Roughly 7,000 of them, all around the world, began treating Azdoufal like their boss.

He could remotely control them, and look and listen through their live camera feeds, he tells me, saying he tested that out with a friend. He could watch them map out each room of a house, generating a complete 2D floor plan. He could use any robot’s IP address to find its rough location.

“I found my device was just one in an ocean of devices,” he says.

Separately, Azdoufal pulled up his own DJI Romo’s live video feed, completely bypassing its security PIN, then walked into his living room and waved to the camera while I watched. He also says he shared a limited read-only version of his app with Gonzague Dambricourt, CTO at an IT consulting firm in France; Dambricourt tells me the app let him remotely watch his own DJI Romo’s camera feed before he even paired it.

Azdoufal was able to enable all of this without hacking into DJI’s servers, he claims. “I didn’t infringe any rules, I didn’t bypass, I didn’t crack, brute force, whatever.” He says he simply extracted his own DJI Romo’s private token — the key that tells DJI’s servers that you should have access to your own data — and those servers gave him the data of thousands of other people as well. He shows me that he can access DJI’s pre-production server, as well as the live servers for the US, China, and the EU. (He says his tool wipes the data each time he closes it.)

If Claude Code can spit out an app that lets you see into someone’s house, what keeps a DJI employee from doing so? And should a robot vacuum cleaner have a microphone? “It’s so weird to have a microphone on a freaking vacuum,” says Azdoufal.

[bastardo]

Petteri Järvinen selittää miten se mobiilivarmenne oikein kaapataan:

Mobiilivarmenteen kaappaus yhdellä pankkitunnistuksella

Pitkä juttu niin en ala referoimaan, mutta lyhyesti ensin kaapataan pankkitunnukset ja niillä haetaan uusi mobiilivarmenne hyökkääjän puhelimeen.

[iceman (【ツ】)]

Hupsista… vahinkoja sattuu:

Käyttäjä otti vahingossa tekoälyllä hallintaansa 7000 robotti-imuria

Robotti-imurin omistaja Sammy Azdoufal halusi ohjata laitettaan Play Station 5-ohjaimella, ja tuli samalla paljastaneeksi merkittävän tietoturva-aukon.

Azdoufal teki Claude Code -tekoälytyökalulla sovelluksen, jotta voisi yhdistää uuden DJI Romo -imurinsa PS5 -ohjaimeen. Sitten hän huomasi jotain outoa: sovellus ei ohjannut vain hänen omaa imuriaan, vaan se ohjasi tuhansia…

Hyvä huomio on myös, että miksi kiinalaisvalmisteisessa imurissa on ylipäätään mikrofoni?

[taakka]

Yli 15 miljoonan ihmisen terveystiedot on hakkeroitu massiivisessa tietomurrossa, kertoi Ranskan terveysministeriö perjantaina.

Ranskalaisen televisiokanavan mukaan vuodettujen tietojen joukossa on muun muassa tunnettujen ranskalaispoliitikkojen tietoja, jotka ovat nyt nähtävillä verkossa. Tiedoissa on muun muassa mainintoja siitä, onko potilas homoseksuaali tai onko hänellä aids.

Terveysministeriön mukaan viime vuoden lopussa tehdyssä tietomurrossa varastettiin tietoja noin 1 500:sta terveydenhuollon kohteesta, jotka kaikki käyttivät saman yhtiön valmistamia ohjelmistoja.

Ranskassa taas tietomurto, miljoonien terveystiedot hakkereille

[iceman (【ツ】)]

Halvat epämääräiset android -laitteet saattavat sisältää tietoturvariskin:

Elisa varoittaa: Tämä ostos on vaarallinen – verkossa satoja saastuneita...

• Teleoperaattori Elisa varoittaa halpalaitteista, joissa on BadBox-haittaohjelma valmiiksi tehtaalla asennettuna.

• Elisa on havainnut verkossaan alkuvuodesta satoja saastutettuja laitteita, erityisesti halpoja tv-bokseja ja muita Android-laitteita.

• Haittaohjelma liittää laitteen rikollisten hallitsemaan bottiverkkoon ja altistaa käyttäjän henkilötiedot väärinkäytölle.

[iceman (【ツ】)]

Isompi kyberhyökkäys Stryker -lääkejättiä vastaan - taustalla iranilainen hakkeriryhmä Handala?

(Aukesi incognito-moodissa)

Kyberhyökkäyksissä hurja muutos – Tietojen varastaminen ei enää riitä

-200 000 laitetta rikki, 50 000 gigatavua varastettu jättiyhtiöltä.

-Lääkelaitejätin järjestelmiä pyyhittiin tyhjäksi iskussa.

[iceman (【ツ】)]

IPhone haavoittuvuus havaittu:

Miljoonia iPhoneja vaarassa – Pelkkä verkkosivulla vierailu riittää

Googlen uhkatiedusteluryhmä GTIG on havainnut nollapäivähaavoittuvuuksia hyödyntävän hyökkäysketjun, jonka avulla IOS-laitteen voi kaapata kokonaan. Googlen tutkijat ovat nimenneet hyökkäysketjun Darkswordiksi.

…haavoittuvuus koskee IOS-laitteita versiosta 13 versioon 18.6.2.