Kodėl jūsų telefonas žino apie jus daugiau nei jūsų geriausias draugas
Pagalvokite apie tai sekundę. Jūsų telefonas žino, kur jūs buvote vakar vakare, ką pirkote prieš tris savaites, kokius vaizdo įrašus žiūrėjote vidurnaktį ir net kaip greitai plaka jūsų širdis. Jis žino jūsų slaptažodžius, banko sąskaitos numerį, nuotraukas iš atostogų ir tuos žinučių pokalbius, kurių tikrai nenorėtumėte, kad kas nors matytų. Ir visa tai sėdi jūsų kišenėje, prijungta prie interneto 24 valandas per parą.
Telefonų saugumas ir privatumas – tai tema, apie kurią visi žino, kad reikia galvoti, bet retai kas iš tikrųjų ką nors daro. Mes visi esame matę tas ilgas privatumo politikos sutartis, kurias spaudžiame „Sutinku” net neperskaičiusios pirmo sakinio. Mes visi žinome, kad reikia naudoti sudėtingus slaptažodžius, bet vis tiek naudojame savo gimimo datą arba „123456”.
Šiame straipsnyje kalbėsime apie tai, kas iš tikrųjų vyksta su jūsų duomenimis, kokios grėsmės yra realios (o ne tik paranojiškos), ir svarbiausia – ką galite padaryti jau šiandien, kad apsaugotumėte save.
Kas iš tikrųjų renka jūsų duomenis ir kaip
Pradėkime nuo pagrindų. Duomenis apie jus renka ne tik įsilaužėliai ar kenkėjiška programinė įranga. Dažnai didžiausi duomenų rinkėjai yra visiškai legalios, gerai žinomos kompanijos.
Programėlės – tai pirmasis ir akivaizdžiausias šaltinis. Kai atsisiunčiate naują žaidimą ar orų programėlę, ji prašo leidimų. Kartais tie leidimai yra logiški – orų programėlei reikia žinoti jūsų vietą. Bet kodėl žibintuvėlio programėlei reikia prieigos prie jūsų kontaktų? Kodėl nemokamas žaidimas nori žinoti jūsų telefono ID ir visų jūsų įdiegtų programėlių sąrašą? Atsakymas paprastas – duomenys yra pinigai. Jūsų elgesio modeliai, pomėgiai, vieta ir įpročiai yra parduodami reklamos tinklams.
Operacinė sistema taip pat renka duomenis. Tiek „Android”, tiek „iOS” siunčia diagnostikos informaciją, naudojimo statistiką ir kitus duomenis į „Google” bei „Apple” serverius. Tiesa, šios kompanijos bent jau yra skaidresnės apie tai, ką renka, ir suteikia daugiau kontrolės nei daugelis trečiųjų šalių programėlių.
Mobilieji operatoriai mato viską, kas vyksta jūsų ryšio lygmenyje. Jie žino, kokiose svetainėse lankotės (nebent naudojate HTTPS ir VPN), kur fiziškai esate (pagal bokštų signalus), kam skambinate ir kada. Lietuvoje, kaip ir visoje ES, operatoriai privalo saugoti tam tikrus duomenis ir gali juos perduoti teisėsaugai teismo nutarimu.
Praktinis patarimas: kartą per mėnesį peržiūrėkite savo telefono nustatymus ir patikrinkite, kokius leidimus turi kiekviena programėlė. „Android” tai galite padaryti per Nustatymai → Programėlės → Leidimai, „iOS” – per Nustatymai → Privatumas ir saugumas. Būsite nustebinti, kiek programėlių turi prieigą prie jūsų mikrofono ar kameros.
Slaptažodžiai: kodėl jūsų sistema yra laužta
Statistika yra niūri. Remiantis įvairiais tyrimais, apie 80% duomenų pažeidimų įvyksta dėl silpnų arba pakartotinai naudojamų slaptažodžių. Ir vis tiek žmonės nenori keisti įpročių.
Problema su slaptažodžiais yra ta, kad žmonės juos kuria taip, kad būtų lengva atsiminti. O tai reiškia, kad jie yra nuspėjami. Vardas + gimimo metai. Mylimo žmogaus vardas. Kažkoks žodis su skaičiumi gale. Įsilaužėliai tai žino ir naudoja vadinamuosius „žodyno atakas” – programas, kurios per sekundę išbando milijonus dažniausiai naudojamų slaptažodžių kombinacijų.
Kitas didelis problema – slaptažodžių pakartotinis naudojimas. Jei naudojate tą patį slaptažodį „Facebook”, el. paštui ir banko sąskaitai, tada kai kuris nors mažas forumas, kuriame užsiregistravote prieš dešimt metų, patiria duomenų nutekėjimą – įsilaužėliai gauna jūsų slaptažodį ir išbando jį visur kitur. Šis metodas vadinamas „credential stuffing” ir jis veikia siaubingai gerai.
Ką daryti:
- Naudokite slaptažodžių tvarkyklę. Rimtai. „Bitwarden” yra nemokama, atviro kodo ir veikia puikiai. „1Password” yra mokama, bet labai patogi. „Apple” vartotojams yra integruota „iCloud Keychain”. Slaptažodžių tvarkyklė generuoja ir saugo unikalius, sudėtingus slaptažodžius kiekvienai svetainei – jums tereikia atsiminti vieną pagrindinį slaptažodį.
- Įjunkite dviejų faktorių autentifikaciją (2FA) visur, kur galima. Ypač el. paštui, bankininkystei ir socialiniams tinklams. Geriausia naudoti autentifikatoriaus programėlę kaip „Google Authenticator” arba „Authy”, o ne SMS žinutes – SMS gali būti perimtos.
- Patikrinkite, ar jūsų duomenys nebuvo nutekinti svetainėje haveibeenpwned.com. Įveskite savo el. pašto adresą ir pamatysite, ar jis figūruoja žinomuose duomenų pažeidimų sąrašuose.
Viešasis Wi-Fi: patogumas, kuris gali kainuoti brangiai
Kavinė, oro uostas, viešbutis – visur yra nemokamas Wi-Fi. Ir visi juo naudojasi. Tai yra suprantama, bet reikia suprasti rizikas.
Viešieji Wi-Fi tinklai dažnai nėra šifruoti arba naudoja labai silpną šifravimą. Tai reiškia, kad kitas žmogus tame pačiame tinkle gali potencialiai „klausytis” jūsų srauto. Metodas vadinamas „man-in-the-middle” ataka. Praktiškai tai reiškia, kad jei jungiatės prie svetainės, kuri nenaudoja HTTPS (ieškokite spynelės piktogramos naršyklėje), kažkas gali matyti, ką siunčiate ir gaunate.
Dar blogiau – yra atakos tipas vadinamas „evil twin”. Įsilaužėlis sukuria Wi-Fi tinklą su tuo pačiu pavadinimu kaip ir teisėtas tinklas (pvz., „Starbucks_WiFi”). Jūsų telefonas automatiškai prisijungia, nes mano, kad tai tas pats tinklas, prie kurio jungėtės anksčiau. Ir štai – visas jūsų srautas eina per įsilaužėlio įrenginį.
Geroji žinia: šiandien dauguma svetainių naudoja HTTPS, kas apsaugo duomenų turinį net viešame tinkle. Bet tai nereiškia, kad galite visiškai atsipalaiduoti.
Praktiniai patarimai viešajam Wi-Fi:
- Niekada nedarykite bankinių operacijų viešame Wi-Fi tinkle. Tiesiog ne. Naudokite mobilius duomenis.
- Naudokite VPN (Virtual Private Network). Tai šifruoja visą jūsų srautą. „Mullvad”, „ProtonVPN” arba „ExpressVPN” yra patikimi pasirinkimai. Venkite nemokamų VPN – jie dažnai patys renka ir parduoda jūsų duomenis.
- „Android” nustatymuose išjunkite automatinį prisijungimą prie žinomų tinklų arba bent jau įjunkite patvirtinimą prieš prisijungiant.
- Jei naudojate „iPhone”, „iOS 14” ir naujesnės versijos automatiškai naudoja atsitiktinį MAC adresą kiekvienam Wi-Fi tinklui, kas apsaugo nuo sekimo per tinklus.
Programėlių leidimai ir sekimas: kas vyksta fone
Viena iš labiausiai ignoruojamų saugumo sričių – tai programėlių leidimai. Dauguma žmonių spaudžia „Leisti” refleksiškai, net nepagalvodami, kodėl konkrečiai programėlei reikia konkrečios prieigos.
Štai keletas konkrečių pavyzdžių, kurie turėtų sukelti įtarimų:
Žaidimas, kuriam reikia prieigos prie jūsų kontaktų. Kontaktų sąrašas yra labai vertinga informacija – ne tik apie jus, bet ir apie visus jūsų draugus. Šie duomenys gali būti naudojami socialinės inžinerijos atakoms arba tiesiog parduodami rinkodaros kompanijoms.
Programėlė, kuri prašo leidimo visada sekti jūsų vietą (ne tik kai programėlė veikia). Daugeliui programėlių tikrai reikia žinoti jūsų vietą – navigacijai, orų prognozei, restoranų paieškai. Bet „visada” sekimas reiškia, kad programėlė žino kiekvieną jūsų judėjimą visą dieną. Tai yra labai detalus jūsų gyvenimo žemėlapis.
Programėlės, kurios prašo prieigos prie mikrofono arba kameros be akivaizdžios priežasties. Taip, yra teorijų apie tai, kad programėlės „klauso” pokalbių, kad rodytų tikslinę reklamą. Nors tai nėra įrodyta masiniame maste, techniškai tai yra įmanoma, jei suteikiate atitinkamus leidimus.
Konkrečios rekomendacijos:
- „Android” naudotojai: eikite į Nustatymai → Privatumas → Leidimų tvarkyklė ir peržiūrėkite kiekvieną leidimų kategoriją. Ypač atkreipkite dėmesį į vietą, mikrofoną, kamerą ir kontaktus.
- „iOS” naudotojai: „App Tracking Transparency” funkcija (iOS 14.5+) reikalauja, kad programėlės paprašytų leidimo sekti jus tarp skirtingų programėlių ir svetainių. Visada atsisakykite, nebent turite labai gerą priežastį leisti.
- Reguliariai ištrinkite programėles, kurių nenaudojate. Neveikiančios programėlės vis tiek gali rinkti duomenis fone.
- Prieš atsisiunčiant programėlę, patikrinkite jos privatumo politiką arba bent jau perskaitykite atsiliepimus – kartais vartotojai rašo apie įtartiną elgesį.
Fizinis saugumas: tai, ką dažnai pamirštame
Kalbame apie kibernetines grėsmes, bet kartais paprasčiausia grėsmė yra fizinė – kažkas paima jūsų telefoną į rankas.
Ekrano užraktas yra absoliutus minimumas. Bet ne bet koks. PIN kodas iš 4 skaitmenų turi tik 10 000 galimų kombinacijų – šiuolaikinis kompiuteris jas išbandytų per sekundes. 6 skaitmenų PIN jau yra 1 milijonas kombinacijų – žymiai geriau. Brūkšninis užraktas (pattern) atrodo sudėtingai, bet tyrimai rodo, kad žmonės linkę naudoti labai nuspėjamus brūkšnius (dažniausiai pradedant iš kampo), be to, ant ekrano lieka pirštų atspaudų pėdsakai.
Biometriniai užraktai – veido atpažinimas ir pirštų atspaudai – yra patogūs ir paprastai saugūs kasdieniam naudojimui. Bet reikia žinoti jų ribas. Pirštų atspaudas gali būti panaudotas be jūsų sutikimo, jei esate be sąmonės arba miegote. Veido atpažinimas gali būti apgautas nuotrauka (nors modernūs 3D veido atpažinimo sistemos, kaip „Face ID”, yra žymiai sunkiau apgaudinėjamos). Teisine prasme, daugelyje šalių biometriniai duomenys gali būti naudojami teisėsaugos be jūsų sutikimo, o PIN kodas – ne.
Šifravimas yra dar vienas svarbus aspektas. Šiuolaikiniai „iPhone” telefonai yra visiškai šifruoti pagal nutylėjimą. „Android” įrenginiai taip pat šifruojami pagal nutylėjimą nuo „Android 10”. Tai reiškia, kad net jei kažkas fiziškai paima jūsų telefoną ir bando nuskaityti jo atmintį, be jūsų PIN kodo ar slaptažodžio duomenys bus neįskaitomi.
Taip pat pagalvokite apie tai, ką rodote viešai. Ar jūsų telefonas rodo pranešimus užrakintame ekrane? Tai labai patogu, bet reiškia, kad kiekvienas, kas pažiūri į jūsų telefoną, gali matyti jūsų žinučių turinį. Rekomenduojama nustatyti, kad užrakintame ekrane būtų rodomi tik siuntėjo vardas, bet ne žinutės turinys.
Socialinė inžinerija ir sukčiavimas: žmogaus faktorius
Galite turėti geriausią antivirusinę programą, sudėtingiausius slaptažodžius ir VPN, bet vis tiek tapti auka, jei jus apgauna. Socialinė inžinerija – tai manipuliavimas žmonėmis, o ne sistemomis, ir tai yra vienas efektyviausių įsilaužimo metodų.
Telefonu sukčiavimas (smishing – SMS sukčiavimas ir vishing – balso sukčiavimas) yra vis labiau paplitęs. Gaunate SMS žinutę, kad jūsų banko sąskaita užblokuota ir turite paspausti nuorodą. Arba skambina „banko darbuotojas” ir prašo patvirtinti jūsų duomenis. Arba „DHL” praneša, kad jūsų siuntinys sulaikytas ir reikia sumokėti muitą.
Šie sukčiavimo bandymai tampa vis sudėtingesni. Su dirbtinio intelekto pagalba galima klonuoti balsus – yra žinomų atvejų, kai sukčiai paskambino žmonėms, naudodami jų artimųjų balsų klonuotus įrašus, prašydami pinigų. Tai skamba kaip mokslinė fantastika, bet tai vyksta jau dabar.
Kaip apsisaugoti:
- Niekada nespauskite nuorodų SMS žinutėse iš nežinomų siuntėjų. Net jei žinutė atrodo oficiali – geriau atidarykite naršyklę ir patys įveskite svetainės adresą.
- Jei skambina „bankas” ar kita institucija ir prašo duomenų – padėkite ragelį ir patys paskambinkite oficialiu numeriu, kurį rasite jų svetainėje.
- Sukurkite šeimos „slaptažodį” – žodį ar frazę, kurią žino tik jūsų artimieji. Jei kas nors skambina ir tvirtina esąs jūsų šeimos narys, paprašykite to žodžio.
- Įdiekite „Google” arba „Apple” integruotus sukčiavimo filtrus. Abi platformos turi funkcijas, kurios automatiškai filtruoja įtartinas žinutes ir skambučius.
Kai viskas susideda į vieną vaizdą: jūsų skaitmeninis gyvenimas yra vertas apsaugos
Telefonų saugumas nėra paranoja ar tik IT specialistų reikalas. Tai yra praktinis klausimas, kuris liečia kiekvieną iš mūsų. Jūsų telefonas yra jūsų bankas, jūsų albumas, jūsų dienoraštis, jūsų navigatorius ir jūsų ryšys su artimaisiais – viskas viename įrenginyje.
Gera žinia yra ta, kad didžioji dalis apsaugos nereikalauja techninių žinių ar daug laiko. Slaptažodžių tvarkyklė, dviejų faktorių autentifikacija, reguliari leidimų peržiūra ir sveika skeptika dėl įtartinų žinučių – tai keturi dalykai, kurie dramatiškai padidina jūsų saugumą. Tai nėra raketų mokslas, tai tiesiog skaitmeninė higiena.
Svarbu suprasti, kad absoliutaus saugumo nėra. Net ir geriausiai apsaugotos sistemos kartais yra pažeidžiamos. Tikslas nėra tapti neįveikiamu – tikslas yra tapti pakankamai sunkiu taikiniu, kad įsilaužėliai ar sukčiai pereitų prie lengvesnės aukos. Didžioji dalis kibernetinių nusikaltimų yra oportunistiniai – jie ieško lengvų taikinių, o ne konkrečiai jūsų.
Pradėkite nuo mažo. Šiandien įdiekite slaptažodžių tvarkyklę. Rytoj įjunkite 2FA el. paštui. Kitą savaitę peržiūrėkite programėlių leidimus. Mažais žingsniais galima sukurti solidų apsaugos sluoksnį, kuris apsaugos tai, kas jums svarbiausia – jūsų privatumą, jūsų duomenis ir jūsų ramybę.
Skaitmeninis pasaulis nėra priešiškas – jis tiesiog yra sudėtingas. Ir kaip ir realiame gyvenime, šiek tiek atsargumo ir sąmoningumo gali labai daug nuveikti.
