Archív

Příspěvek oštítkován ‘Internet’

Změní Snowden a PRISM pravidla chování na internetu?

10.02.2014 Bez komentářů

Oblast mezivládní i obchodní transatlantické spolupráce dostala programem PRISM, sledováním mobilů politiků a vývojem sofistikovaných virů vážný políček. Vážné je také zjištění, že tvůrci a provozovatelé programu PRISM žádným novým způsobem neprolamovali zabezpečení informačních systémů. Ve všech případech se jednalo a jedná o maximální využití současných slabin a naivního přístupu k bezpečnosti.

Bezpečnostní a preventivní principy, které v leteckém průmyslu nebo potravinářtví fungují, v prostředí internetu neexistují nebo pouze „na oko“. Navíc obchodní zástupci softwarových firem vysvětlují novinářům, politikům a všem běžným uživatelům, že vše je v pořádku a jinak to není možné dělat. Lidé po celém světě dlouho IT odborníkům (obchodníkům) důvěřovali a taková vysvětlení přijali. PRISM možná způsobí, že se lidé budou více ptát a budou požadovat změnu jako v případě koňského masa v salámech.

Internet: Komunikace i sledování

Internet byl původně budován jako velmi svobodné prostředí. Počítačové programy byly a zatím ještě jsou chráněny podle autorských zákonů podobně jako básně nebo obrazy. Doba se však změnila, velmi změnila. Z diskusní sítě akademiků je již dlouho informační dálnice pro sousedské tlachání, ale především pro výměnu informací mezi podnikateli, úředníky, politiky, ale také mezi podvodníky a teroristy. V případě počítačových programů se již otevřeně hovoří o softwarovém průmyslu. Internet a počítačové programy se prosadily tak rychle, že uživatelé zapomněli na obezřetnost a kontrolu, která je v potravinářství, farmacii nebo dopravě naprostou samozřejmostí. Lidé bez ohledu na vzdělání a věk v naprosté většině případů důvěřovali tvůrcům programů a především obchodníkům a PR specialistům, kteří propagovali úžasné možnosti internetu, mobilního internetu a počítačových programů.

Sítě a programy jsou příležitost pro obchod a komunikaci mezi lidmi. Současně je to i příležitost pro sledování lidí. Internet, mobilní sítě a počítačové programy dávají vládním i soukromým zpravodajcům možnosti, o kterých se dřívějším generacím zpravodajců ani nezdálo. Ve spojení s programem PRISM a dalšími způsoby sledování občanů se hovoří o NSA a britské GCHQ, ale stejné operace mohou již dnes realizovat i specializované týmy jiných vlád nebo i soukromníci s dostatečným zázemím.

Od objevení příležitosti je jen krůček k maximálnímu možnému využití, které Internet nabízí pro sledování osob, firem a úřadů. Na rozdíl od zkonstruování balistické rakety nebo obohacování uranu je sledování Internetu a vývoj sofistikovaných virů relativně jednoduchá a nenápadná práce.

Porušování pravidel

Vysvětlení, že za problémy se špehováním a pošramocenou důvěrou mezi USA a jeho partnery může Edward Snowden, by bylo velmi zjednodušené a především nepravdivé vysvětlení. USA vytvořili a provozují systém na monitorování elektronické komunikace. Snowden informace o tomto systému a jeho velikost prozradil. Dalším tématem bylo přiznání generála Jamese Cartwrighta, že virus Stuxnet byl vytvořen v laboratořích US Army a americkými programátory. Program PRISM, další podobné systémy a vytvoření počítačového viru Stuxnet, který několik let nedokázaly odhalit antivirové programy v počítačích obětí, názorně ukazují, jaký technický náskok mají americké firmy, armáda i vládní organizace.

Čistě z pohledu technologií byly postupy jak shromažďovat a analyzovat data známé již mnoho let před rozvojem internetu a před přiznáním existence programu PRISM. Teprve internet, internetové aplikace s mnoha milióny uživatelů z celého světa a obrovský výpočetní výkon nabídly úplně nové možnosti pro analýzu obsahu a vyhodnocování souvislostí. To samé platí i pro odposlech mobilních telefonů nebo vytváření sofistikovaných virů. US Army v případě viru Stuxnet a NSA v případě programu PRISM využily své technické znalosti a možnosti na maximum a pro úspěch využily i své silné finanční zázemí a úzké kontakty na americké IT firmy. To je patrné mimo jiné na tom, že sledovací systémy byly dobře otestovány a v technologické rovině nezůstávala žádná „stopa“, která by naznačovala, že se děje něco neobvyklého.

Oblast obchodní a mezivládní transatlantické spolupráce dostala vážný políček tím, že byly zveřejněny informace o programu PRISM, o sledování evropských politiků a dále o vývoji sofistikovaných virů. Jsou činnosti, které není možné dopředu popsat v zákonech a mezivládních smlouvách, ale považuje se za samozřejmost, že proti spřátelené zemi nepovedu špionážní operaci nebo bez jejího vědomí nepovedu protiteroristickou operaci na jejím území. Současně se považovalo za samozřejmost, že organizátoři klasických špionážních nebo vojenských operací dělali maximum proto, aby nebyli odhaleni, případně aby podezření padlo na někoho jiného. Informace zveřejněné Edwardem Snowdenem a generálem Jamesem Cartwrightem potvrdily, že se tyto principy a mnoho dalších pravidel porušovalo. Navíc špionážní činnost využívala pro své maskování i názory „odborníků“, že je normální, pokud tímto způsobem fungují počítačové programy, internetové aplikace a další moderní technologie.

Internet a putování paketů

Na Internetu neexistují hranice v tom smyslu, který známe v reálném světě. Původně internet vznikl na vysokých školách v USA a dodnes je infrastruktura internetu v Severní Americe na velmi vysoké úrovni a stále se systematicky zdokonaluje. To znamenalo a z části to platí i dnes, že datový provoz mezi různými částmi internetu je veden přes USA. Technikům nikdy nevadilo, že data, přesněji pakety putují po celé zeměkouli. Pokud jsou linky do NewYorku rychlé a volné, tak bylo výhodnější řešit například spojení Praha – Berlín oklikou přes USA, protože přímo mezi těmito městy bylo spojení pomalejší. Data, která přes sítě a servery v USA pouze procházejí a nejsou určeny pro americké občany nebo firmy jsou obrovské pokušení pro zpravodajce. Takže stačí pouze „poslouchat“, kopírovat a skládat si pakety. Odesilatel, příjemce, ani ten nejlepší správce počítačové sítě nic nepozná. Proti klasické formě špionáže má tento odposlech výhodu v tom, že lidé, kteří sledují občany, firmy a vlády cizích zemí a jejich počítačovou komunikaci, provádějí tuto činnost z území svého státu. Jejich práce se nepodobá akcím Jamese Bonda, ale spíš úředníkům s pracovní dobou od 8 do 16 hodin.

Dalším zdrojem informací pro zpravodajské služby jsou služby sítě internet, které jsou v naprosté většině případu ogranizovány společnostmi z USA. Úspěchy firem Google, Facebook, YouTube, Microsoft jsou určitě výborným zdrojem zkušeností pro tvůrce nových aplikací. Z pohledu bezpečnosti je podstatné si uvědomit, že se jedná o americké firmy, které podléhají zákonům USA. Nesmíme ani zapomínat na hrdost Američanů na jejich zemi a ochranu zájmů USA. Z jejich úhlu pohledu je rozdíl mezi osobními údaji občanů USA a mezi osobními údaji cizinců odněkud z Evropy. Stejně tak je rozdíl ve vnímání odposlechu amerických politiků na území USA, například v aféře Watergate a odposlouchávání „nějakých“ evropských politiků. Průmyslová špionáž zahraničních firem může být v takovém prostředí dokonce chápána jako skutek, který pomůže vlastním, tedy americkým firmám.

Závislost na jednom typu počítačových programů

V minulosti došlo k rozšíření jednoho typu operačních systémů a dalších aplikačních programů, které mají svůj původ v USA. Na tom není na první pohled nic špatného. Úspěšná firma dokázala svojí prací a obchodnickým umem obsadit trh a následně udávat směr v této oblasti. Jenže programy těchto firem si bez vědomí svého uživatele komunikují s centrálou v USA. Nikde není záznam o tom co operační systém a další programy předávají svým tvůrcům. S tím souvisí i jeden na první pohled odborný problém, který se opět týká všech uživatelů. Jedná se o chyby, které se týkají několika po sobě jdoucích verzí operačního systému a jsou opraveny až po 10 a více letech. Pokud by byla stejná chyba ve starém Favoritu i nejnovější Octavii, tak by to bylo srozumitelné i běžným řidičům. V případě programů se lidé (manažeři, novináři, politici i právníci) zatím spokojovali s názorem, že jinak není možné programy vytvářet.

Mimo jiné dvě z takových skrytých slabin, které se v té době týkaly Windows 7, Vista i Windows XP, zneužíval virus Stuxnet. To upozorňuje ještě na jeden problém, kterým jsou zdrojové kódy počítačových programů a přístup k nim. Například společnost IBM měla v 90 letech zdrojové kódy operačních systémů ke svým serverům pod svojí výhradní kontrolou. Zdrojáky k jednotlivým verzím Linuxu jsou naopak veřejně přístupné pro zvědavce, programátory i podvodníky. V případě operačního systému Windows si společnost Microsoft zavedla svá vlastní pravidla, podle kterých zdrojové kódy poskytuje vládám vybraných zemí nebo vysokým školám. Již jsem zmínil společné chyby (je jich dlouhodobě více jak 80% ze všech nově objevených) ve Windows 8 a starých Windows XP . To znamená, že zástupci státu nebo vysoké školy, kteří mají zdrojáky starých Windows XP je mohou studovat, vytvářet užitečné programy, ale také počítačové viry, které vzhledem ke společným základům mohou pracovat i v prostředí Windows 7 nebo 8. Zneužití zdrojových kódů pro objevení slabin a vývoj sofistikovaných virů je podobná situace jako když v minulosti některá země vycvičila vojáky v jiné zemi, v této zemi následně došlo ke změně politického systému a její vojáci používali zbraně proti těm, kteří je vycvičili.

Vývoj sofistikovaných počítačových virů v sobě dále skrývá nebezpečí podobné pokusům s vývojem biologických zbraní. Z dostupných informací je zřejmé, že virus Stuxnet byl vytvořen pro zpomalení počítači řízených technologických systémů určených pro obohacování uranu v Iranu. Jenže tento virus se začal šířit i do jiných systémů. Podobná situace byla později zaznamenána i s počítačovými viry Flame, Gausse, Miniduku, NetTraveller, atd. Ve všech případech nedokázaly antivirové programy v prvních týdnech a měsících zmíněné viry odhalit a ony se šířily i mimo oblast a servery, na kterou byly zaměřeny.

Jak z toho ven?

President Obama přednesl 28. ledna 2014 svoji „Zprávu o stavu Unie“. Krátce se v ní zmínil, že Evropská unie je významný partner USA. Současně, ale více pozornosti věnoval zvýšení zaměstnanosti a podpory amerických firem. Vláda a president mohou firmy podporovat snižováním daní, státními zakázkami, podporou exportu, ale také analýzou konkurence schopnosti (špehováním) zahraničních firem. Program PRISM, zadní vrátka v počítačových programech nejsou pro presidenta Obamu a politiky v USA těmi nejdůležitějšími tématy. Je tedy víc než jasné, že pokud se má něco změnit musí se změnami začít jednotlivé firmy, občané, politici v České republice a EU.

Program PRISM a informace, které postupně zveřejňuje Edward Snowden, podkopávají důvěru v dodavatele operačních systémů, tvůrce a provozovatele moderní aplikací pro počítače i mobilní telefony. Monitorování a vyhodnocování provozu v síti internet, záměrně vytvářená zadní vrátka v bezpečnostních a šifrovacích programech, vývoj sofistikovaných virů ukazují, jaký náskok mají firmy a vládní agentury USA proti zbytku světa.

V prostředí počítačových programů, internetu a chytrých telefonů dlouhodobě vítězil marketing a PR síla jednotlivých firem nad zdravým rozumem a obezřetností. Program PRISM a další podobné program jsou výsledkem takové činnosti.

Řešení existují, stačí se inspirovat v prostředí leteckého průmyslu nebo v potravinářství. Prosazení změn nebude jednoduché, mimo jiné proto, že tato řešení budou narážet na odpor softwarových firem a jejich partnerů, kterým současný stav vyhovuje. Dalším úskalím, na které jsem narážel i sám, je přístup politiků a vysokých úředníků v ČR a EU, kteří se slepě spoléhají na dodavatele IT řešení a jejich barevné presentace. Někteří politici, právníci i manažeři se stále i dnes domnívají, že jde o čistě technický problém a stačí, když se tomuto úkolu budou věnovat technici. Koňské maso v salámech a další podobné aféry způsobily, že se o složení potravin začali více zajímat jak zákazníci, tak také kontrolní orgány a politici. Program PRISM je podobná aféra, ale v prostředí informačních a komunikačních technologií. Kontrolní orgány v této oblasti zatím neexistují a rázná reakce politiků také zatím nepřišla.

Neřešení zmíněných nedostatků a hrozeb bude dál napomáhat ztrátě konkurence schopnosti České republiky a Evropské unie a může to mít i další dopady na jednotlivé občany i fungování vlád jednotlivých zemí.

Autor: Jiří Nápravník (foto), zabývá se počítačovou bezpečností a zjednodušováním pracovních postupů.

Jak kybernetičtí podvodníci získávají peníze

11.02.2013 Bez komentářů

Praha  – Fortinet® (NASDAQ: FTNT) − přední světový výrobce řešení v síťové bezpečnosti – zveřejňuje studii o vývoji kybernetických hrozeb ve 4. čtvrtletí roku 2012. Analýza, kterou vypracoval tým odborníků laboratoří FortiGuard Labs, ukazuje 4 typické metody, které internetoví podvodníci používají při okrádání svých obětí; každé z těchto metod odpovídají i konkrétní druhy malwaru. Studie také upozorňuje na rostoucí množství malwaru pro systém Android (zejména reklamní sady) a aktivity hacktivistů, např. pokusy o skenování webových serverů a hledání jejich zranitelností.

Vladimír Brož (foto), Fortinet Territory Manager pro ČR, SR a Maďarsko, uvádí: „V posledním čtvrtletí loňského roku odhalily laboratoře FortiGuard Labs 4 škodlivé kódy, které ukazují typické způsoby, jimiž dnes kybernetičtí podvodníci získávají peníze“ a dále jednotlivé kódy popisuje.

Simda.B: Tento sofistikovaný malware předstírá, že se jedná o aktualizaci přehrávače Flash Player. Po instalaci malware krade uživatelská hesla, což útočníkovi umožní získat přístup k účtům oběti. E-mail a účty na sociálních sítích se poté zneužívají k šíření spamu a dalšího malwaru. Spravuje-li oběť nějaký web, podvodníci sem začnou umísťovat škodlivý obsah, pokoušejí se rovněž zneužít účtů v on-line platebních systémech.

FakeAlert.D: Jedná se o falešný antivirus (scareware). Šíří se prostřednictvím pop-up oken, která tvrdí, že počítač je infikován. Malware předstírá, že po zaplacení odstraní z počítače oběti nalezené viry. FakeAlert.D se chová způsobem typickým pro tuto kategorii malwaru.

Ransom.BE78: Jde o software vydírající uživatele (ransomware), který oběti brání v přístupu k datům na počítači. Mohou nastat problémy při bootování (spouštění) počítače nebo malware zašifruje uživatelova data. Podvodník pak požaduje, aby uživatel zaplatil za opětovné zpřístupnění dat. Ransomware na rozdíl od falešného antiviru nedává uživateli volbu program nainstalovat, ale instaluje se automaticky sám.

Zbot.ANQ: Tento trojský kůň je programem z rodiny nechvalně známého malwaru Zeus. Funguje na straně klienta, zachytí přihlašovací údaje do on-line bankovnictví a pomocí sociálního inženýrství se pokouší o instalaci i do smarpthonu. Pak dokáže ovládnout celou bankovní transakci včetně kódu k potvrzení platby posílaného SMS zprávou a začne z bankovního účtu oběti převádět peníze na účty prostředníků (bílých koní).

Android: Nevyžádaná reklama na vzestupu

Výzkumníci FortiGuard Labs zaznamenali již ve 3. čtvrtletí roku 2012 reklamní sadu Android Plankton. Tento malware na infikovaném zařízení se systémem Android zobrazuje ve stavovém řádku nevyžádanou reklamu a provádí i další škodlivé aktivity. V posledních třech měsících sice samotná sada Plankton ustoupila, nicméně se objevily kity s podobnou funkčností, které se jí zřejmě přímo inspirovaly. Uživatelům lze pro ochranu doporučit, aby si při instalaci nové aplikace vždy všímali, jaká požaduje práva. Mobilní aplikace by se také měly stahovat ze spolehlivých zdrojů; je vhodné vybírat aplikace, které již vyzkoušeli a kladně hodnotili další uživatelé.

Skenování webových serverů

V posledním čtvrtletí roku 2012 byla také zaznamenána vysoká aktivita nástroje ZmEu. Jedná se o sadu vyvinutou rumunskými hackery, která slouží k nacházení webových serverů, na nichž běží zranitelná verze nástroje phpMyAdmin (slouží pro administraci databáze MySQL). Útočníci, především z řad hacktivistů, mohou takový server ovládnout. Laboratoře FortiGuard Labs doporučují přejít na nejnovější verzi softwaru phpMyAdmin.

Microsoft představil sadu bezplatných testovacích nástrojů pro vývojáře webových stránek

31.01.2013 Bez komentářů

Praha, 31. ledna 2013 - Společnost Microsoft dnes představila modern.IE, sadu bezplatných nástrojů a zdroj informací pro vývojáře webových stránek, které umožní rychlé otestování funkčnosti a vzhledu stránek a zajistí tak snadnou optimalizaci pro různé druhy zařízení i internetových prohlížečů. Současně bylo uzavřeno partnerství s přední cloudovou službou BrowserStack, která umožňuje webovým vývojářům otestovat své stránky v kterémkoli webovém prohlížeči, na kterémkoli zařízení i operačním systému. Vývojáři, kteří tuto službu navštíví přes portál modern.IE, ji mohou v průběhu tohoto roku využívat po tři měsíce zdarma.

Cílem nástrojů modern.IE je učinit vývoj internetových stránek o něco snadnějším. Obsahují průvodce, který na základě zadání internetové adresy proskenuje kód stránky a vyhledá časté programovací postupy, které by mohly vést k omezení funkčnosti stránek a umožňují rychle najít řešení. Patří sem zejména otázka podpory webových standardů v rámci starších verzí webového prohlížeče, kompatibilita na stále se zvětšující škále různých zařízení včetně chytrých telefonů, tabletů nebo moderních televizorů, či návrhy úpravy pro prohlížení stránky na dotykovém zařízení, případně i využití dlaždice na úvodní obrazovce Windows 8. Projekt modern.IE se bude nadále rozvíjet v aktivní spolupráci s komunitou webových vývojářů, kteří jej mohou pomoci vylepšit.

„Nový projekt modern.IE je součástí naší trvalé snahy pomoci webovým vývojářům trávit méně času testováním a více času vytvářením nápaditých stránek,“ říká Lukáš Křovák (foto), manažer divize Windows Client ve společnosti Microsoft. „Zatímco Internet Explorer 9 i nově uvolněný Internet Explorer 10 představují zcela novou kapitolu prohlížení webu, jsme si dobře vědomi toho, že je zde stále velké množství uživatelů na starších verzích IE, pro něž není snadné web uzpůsobit, obzvláště pro vývojáře na jiných platformách než Windows. A právě s tím chceme vývojářům pomoci.“    

Další informace o nástrojích pro webové vývojáře jsou k dispozici na stránkách http://modern.ie/

Laboratoře CZ.NIC se rozšiřují do Plzně

31.01.2013 Bez komentářů

Praha, 31. ledna 2013 – Sdružení CZ.NIC, správce české národní domény .CZ, rozšiřuje kapacity svého výzkumného centra Laboratoře CZ.NIC o novou pobočku, kterou otevírá v Plzni. Stejně jako v pražské centrále nebo v brněnském sídle laboratoří i zde se budou výzkumníci a vývojáři věnovat především projektům týkající se bezpečnosti a stability Internetu a rozvoje internetové infrastruktury. Laboratoře CZ.NIC byly otevřeny v roce 2009 a mezi jejich celosvětově úspěšné projekty patří například směrovací démon BIRD nebo DNS server Knot DNS.

„V roce 2010 jsme otevřeli pobočku našich laboratoří v Brně a to především na základě dlouhodobé a úspěšné spolupráce s technickými fakultami brněnských vysokých škol. Podobné je to i v tomto případě. Rádi bychom začali více spolupracovat s technicky zaměřenými školami ze západu Čech. Počítáme tedy s tím, že novou pobočku obsadíme především studenty a absolventy plzeňských technických fakult,“ říká k otevření plzeňské pobočky Ondřej Surý (foto), vedoucí Laboratoří CZ.NIC.

V plzeňské pobočce se budou pracovníci Laboratoří CZ.NIC věnovat především vývoji a výzkumu, který je zaměřený na systém doménových jmen (DNS). Vedle této technologie bude pozornost věnována také protokolu IPv6, jenž řeší problém s docházejícím počtem volných IP adres verze 4 nezbytných pro připojení k Internetu.

„V našich laboratořích vznikla za poměrně krátkou dobu řada projektů určených především české internetové komunitě. Za všechny bych rád jmenoval klienta pro přístup do datových schránek – Datovka, nebo DNSSEC Validátor, který ověřuje bezpečnost internetových stránek pomocí technologie DNSSEC,“ doplnil Ondřej Filip (foto), výkonný ředitel sdružení CZ.NIC. „Poměrně velkou mezinárodní pozornost si potom získaly směrovací démon BIRD oceněný LINX Awards nebo DNS server Knot DNS.“

Aktivity Laboratoří CZ.NIC se opírají i o mezinárodní spolupráci, například s organizacemi IETF (Internet Engineering Task Force), RIPE (Réseaux IP Européens) či DNS-OARC (DNS Operations, Analysis, and Research Center). Hlavním účelem spolupráce je testování nových nástrojů určených pro rozvoj Internetu v odlišných prostředích různých registrů národních domén.

O Laboratořích CZ.NIC
Laboratoře CZ.NIC jsou vývojovým a výzkumným pracovištěm sdružení CZ.NIC, které se zabývá výzkumem v oblasti Internetu, internetovými protokoly, analýzami síťových provozů, pasivním i aktivním monitoringem a návrhem prototypů pro další vývoj v rámci CZ.NIC. Náplň práce Laboratoří CZ.NIC je zaměřena na prospěch lokální internetové komunity, nicméně její přesah je mezinárodní. Zaměstnanci Laboratoří se aktivně účastní mezinárodních pracovních skupin organizací, které se zabývají vývojem internetových protokolů, monitoringem síťových provozů a administrací Internetu obecně. Více informací o Laboratořích CZ.NIC a jejich činnosti najdete na internetové stránce http://labs.nic.cz.

Největší slabina v ochraně hlavy státu? Oficiální web

21.01.2013 Bez komentářů

Praha, 21. ledna 2013 – Současná či budoucí hlava státu nemusí být ohrožena pouze plastovými kuličkami. V dnešní době, kdy stále více informací získáváme z internetu, lze uškodit i jinými způsoby. Lukáš Vondráček (foto), partner v konzultační společnosti ELAT a specialista na ICT bezpečnost, analyzoval oficiální webové prezentace Václava Klause i kandidátů na jeho úřad. Většina jich v testu neobstála. Mezi nejčastější chyby patřily zastaralé verze operačních systémů a nízká odolnost vůči napadením typu XSS (cross-site scripting) či DoS útokům na SSL.

Při srovnání webových prezentací Václava Klause, Miloše Zemana a Karla Schwarzenberga obdržel nejhorší hodnocení web současného prezidenta. Podpora operačního systému, na kterém prezentace běží, byla ukončena před mnoha měsíci, a systém tak vykazuje nedostatky využitelné při pokusech o DoS útoky na webserver engine (Byte Range DoS) nebo MitM útok na SSL či FTP AUTH TLS Plaintext Command Injection.

„Většina kandidátů na prezidenta – respektive jejich volební týmy – svěřily zhotovení a provoz své prezentace někomu, o kom se domnívají, že je v dané problematice profesionálem. Z našich závěrů však vyplývá, že v této oblasti je z čeho vybírat a výsledky mohou být různorodé, a to dokonce i při podobných nákladech. Že jsou na tom čeští poskytovatelé různých hostingových služeb v této věci všelijak není tajemstvím,“ říká Vondráček.

Obě oficiální prezentace Karla Schwarzenberga dopadly o poznání lépe, přesto i na nich se našly nedostatky. Dojem kazí například serverové certifikáty, jejichž platnost vypršela už v září, nebo plaintext autentizace uživatelů. Nejlépe tak ze srovnání vychází web Miloše Zemana. Konfigurace serveru je přiměřeně optimalizována a modifikována z výchozího stavu k doporučeným volbám pro bezpečné produkční prostředí. Server by s výjimkou možných DoS útoků na SSL zřejmě celkem obstál, ale i zde se nachází řada nedostatků.

Nejlepší Fischer, nejhorší Franz
Z webových prezentací již vyřazených kandidátů dopadl nejlépe Jan Fischer, jehož zabezpečení bylo prakticky bezchybné. Většina ostatních kandidátů dopadla o poznání hůře.

„Server, na kterém jsou umístěny stránky Jana Fischera, nevykazuje z pohledu vnějšího útočníka naprosto žádná slabá místa. Chování infrastruktury kromě toho naznačuje, že je zde pravděpodobně implemetována i nějaká další účinná dodatečná ochrana ve formě nějakého aktivního IDS. Web Vladimíra Franze je naproti tomu provozován na zastaralé verzi operačního systému, která zjevně nebyla už nějakou dobu záplatována a je za svým bezpečnostním zenitem. Server vykazuje závažné nedostatky, které mohou znamenat úspěch útočníka při pokusech o útoky typu XSS neboli tzv. cross-site scripting, DoS útoky na SSL, ale i vzdálené vykonání kódu útočníka prostřednictvím chyb v CGI,“ vysvětluje Vondráček.

Při zkoumání zranitelnosti byly použity běžné i profesionální nástroje a řešení
Pro otestování jednotlivých webových prezentací byly použity nástroje a postupy, jež jsou dostupné a veřejně známé. Z použitých prostředků lze zmínit open source nástroje Nmap, OpenVAS, webscarab, resp. ZAP a další, jež umožňují efektivně provádět podobná testování téměř komukoliv. Vedle toho byla pro ověření výsledků použita i profesionální řešení pro testy zranitelnosti.

Během vlastního testování, které trvalo přibližně týden, byl kladen důraz i na zaznamenání případného posílení či aktualizace bezpečnostních nástrojů, u kterých byly v průběhu testování vydány nové verze. I to potvrdilo prvotní zjištění, že zabezpečením webových prezentací byla věnována ve většině případů jen průměrná či podprůměrná pozornost.

O společnosti ELAT
ELAT, s.r.o., je ryze českou, vysoce specializovanou poradenskou společností. Na tuzemském trhu je firma etablována od roku 2003 jako společnost s rozsáhlými zkušenostmi, kompetencemi a znalostmi v oblasti řízení velkých korporátních ICT a FM prostředí nebo také informační bezpečnosti. Zkušenosti s různorodým prostředím, od malých firem, přes veřejnoprávní instituce, až po nadnárodní korporace, umožňují vzájemnou kombinaci pružnosti a dynamického způsobu fungování malých firem se standardy a procesy i těch skutečně velkých. Společnost ELAT využívá organizační strukturu vlastních a prověřených externích lidských zdrojů. Jasná a kompaktní vlastnická a řídicí struktura umožňuje mimořádnou flexibilitu ve vztahu k přáním našich zákazníků.

ICT Unie odmítá snahy o regulaci internetu

06.12.2012 Bez komentářů

Praha, 6. 12. 2012 – ICT Unie, sdružení firem z oboru informačních technologií a elektronických komunikací, s obavou sleduje snahy některých zemí a mezinárodních institucí o zavedení regulačních mechanismů omezujících svobodné prostředí internetu. Podobné změny budou zřejmě navrženy a projednány na Světové konferenci o mezinárodních telekomunikacích 2012 (WCIT-12), která se od 3. do 14. prosince koná v Dubaji. Proto je důležité, aby čeští zástupci na konferenci hlasovali proti změnám směřujícím k regulaci internetu, tedy kontrole jeho provozu, obsahu či poskytovaných služeb.

Konferenci pořádá Mezinárodní telekomunikační unie (ITU), která je specializovanou agenturou Organizace spojených národů (OSN) pro informační a komunikační technologie, a zúčastní se jí delegace ze 193 členských zemí OSN. Ty budou hlasovat o novém Mezinárodním telekomunikačním řádu (ITR) a právě do něj hodlají některé země zahrnout i fungování – a regulaci – internetu. V některých případech jde o země s nedemokratickými režimy, které doufají, že tak získají účinnější možnosti pro omezování svobod občanů. Roli hrají i čistě ekonomické zájmy, v jejichž rámci by se do budoucna mohlo podařit patřičně „zdanit“ internetovou ekonomiku a zpoplatnit řadu služeb formou regulovaných propojovacích poplatků.

Před chystanými změnami varuje např. Evropský parlament, který 22. listopadu 2012 přijal rezoluci na toto téma. Vláda ČR již v září schválila usnesení, v němž českou delegaci na Světové konferenci o mezinárodních telekomunikacích zavazuje, že „nebude podporovat takové zásahy do znění Mezinárodního telekomunikačního řádu, jakými jsou cenová regulace odporující principům přijatým v rámci Evropské unie a regulace obsahu, … bude postupovat v souladu s výsledky koordinačních porad členských států Evropské unie“ apod.

„ICT Unie je přesvědčena, že v otázkách správy internetu je třeba před jakýmikoli legislativními regulačními opatřeními jednoznačně upřednostnit principy samoregulace založené na konsenzu zúčastněných subjektů. Tato zásada byla také nedávno na základě našeho návrhu zařazena do strategického materiálu Digitální Česko 2.0. Snahy o regulaci a kontrolu internetu odněkud ‚shora’ jsou vždy nebezpečné,“ prohlásil prezident ICT Unie Svatoslav Novák (foto).

SSL odborníci radí chránit domény CZ

26.11.2012 Bez komentářů

Společnost ZONER software, leader v prodeji SSL certifikátů na českém trhu, představuje na svých nových stránkách www.sslmarket.cz bezkonkurenčně nejlevnější SSL certifikát pro zabezpečení komunikace na českých doménách. Svůj webový projekt na doméně CZ tak může mít zabezpečen každý odpovědný provozovatel stránek, navíc během pár minut.

RapidSSL od 1 Kč denně

Certifikační autorita RapidSSL je osvědčeným lídrem v oblasti levných SSL certifikátů. Plně důvěryhodný RapidSSL lze díky doménové validaci (DV) získat a nasadit na server během pár minut. Jindřich Zechmeister, certifikovaný Symantec Sales Expert Plus ze společnosti ZONER software, k tomu dodává: „V dnešní době je RapidSSL cenově dostupný pro každého a není nutné se rozhodovat, zda právě bezpečnost dat našich zákazníků stojí za investici. Je ideálním doplňkem bezpečné CZ domény, kterou můžete zdarma podepsat DNSSECem a komunikaci zabezpečit levným certifikátem.“

Výhody RapidSSL:
• Vystavení během několika minut
• Důvěryhodný pro 99,9 % prohlížečů
• 30 denní garance vrácení peněz
• Hloubka šifrování až 256 bitů
• RapidSSL Site Seal pečeť
• Zákaznická podpora v češtině díky SSLmarket.cz

Uplatnění SSL certifikátu je prakticky ve všech oblastech vyžadující SSL komunikaci, převážně však v intranetovém použití, interních systémech nebo u menších webových projektů. Při objednání SSL certifikátu na 4 roky vychází cena za 1 rok pouze 349 Kč + DPH, což je necelá 1 koruna denně.
Objednat Rapid SSL >>

Zvýšení ochrany CZ domén i díky DNSSEC
Bezpečnosti na internetu není nikdy dost, a proto je možné CZ doménu více zabezpečit pomocí technologie DNSSEC. Společnost ZONER software nabízí tuto technologii na ochranu domén CZ zcela zdarma, pokud využíváte jejich registrátorských služeb. DNSSEC zabraňuje potenciálnímu útočníkovi podvrhnout uživateli adresu webových stránek. Více o DNSSEC se můžete dozvědět na stránkách sdružení www.nic.cz.

SSL certifikáty přehledně a dostupně

Samotná objednávka certifikátu se provádí na novém webu www.sslmarket.cz, kde zároveň najdete nejširší nabídku SSL certifikátů pro domény CZ od certifikačních autorit Thawte, Symantec, GeoTrust a RapidSSL – vše přehledně uspořádané. Certifikát můžete vyhledávat podle vašich priorit, stupně ověření, typu nebo autority. S pomocí nápovědy a slovníčku pojmů se snadno zorientuje i ten, kdo se s problematikou SSL teprve seznamuje.

Nový SSL web zároveň umožňuje kompletní správu samotných certifikátů pro vaše CZ domény, což je naprostá novinka, kterou u nikde jinde mezi českými společnostmi nabízejícími SSL certifikáty nenajdete. V administraci vidíte po přihlášení přehled všech Vašich objednaných SSL certifikátů, můžete zde certifikáty i prodlužovat. Díky jednoduché správě a všem informacím na 1 místě tak budete mít o svých certifikátech vždy jasný přehled.

Poradíme a zajistíme SSL certifikát pro váš projekt

SSL team ze ZONERu není na poli SSL žádným nováčkem, má s certifikáty pro domény CZ několikaletou odbornou zkušenost. Zprostředkoval vystavení SSL certifikátů již několika tisícům spokojených zákazníků. Je jedno, jestli máte malý projekt, nebo jste nadnárodní organizace. Tým odborníků se bude věnovat Vašim dotazům, pomůže s vhodným výběrem certifikátu pro vaši CZ doménu, provede vás procesem objednávky a pohlídá za Vás případnou obnovu certifikátu (tzv. renew).

Máte nějaké dotazy k SSL certifikátům? Rádi vám poradíme, neváhejte nám napsat nebo zavolat: 603 196 637 nebo admin@zoner.cz. Váš team sslmarket.cz

Export českých podnikatelů podpoří jedinečná síť kontaktů do zahraničí

23.11.2012 Bez komentářů

Praha, 23. listopadu 2012 – Zbrusu nová služba ŽIJEME V ZAHRANIČÍ.cz je určena malým a středním firmám, které si chtějí bez zbytečné byrokracie usnadnit vstup na mezinárodní trhy. Tento originální projekt totiž dává českým podnikatelům k dispozici jedinečnou síť kontaktů, která jim pomůže efektivně prověřit exportní příležitosti či posílit jejich stávající obchodní pozici v zahraničí. Služba současně nabízí českým občanům žijících v cizině zajímavou možnost k novému druhu podnikání či přivýdělku.

Službu ŽIJEME V ZAHRANIČÍ.cz zaštítil Tomáš Dub, náměstek ministra zahraničních věcí.

Základní podstata projektu
„Projekt ŽIJEME V ZAHRANIČÍ.cz je nové a dosud nerealizované proexportní řešení. Prostřednictvím jedinečné sítě „ekonomicky zajímavých kontaktů“ na krajany pomáhá naše služba tuzemským firmám bořit řadu exportních bariér. Díky takto získaným kontaktům se pak podnikatelé snáze vypořádají například s nedostatkem obchodních styků na lokální úrovni, s neznalostí místního jazyka u netradičních destinací, nízkou informovaností o ekonomickém potenciálu dané země a podobně,“ říká ředitelka projektu Jana Bábíková. „Jak ukazují výsledky průzkumu, nedostatek lokálních kontaktů považuje za problém 67,2 % dotázaných firem,“ dodává Miloš Rybáček ze společnosti IBRS, která šetření realizovala.

Co projekt přinese českým firmám
Firmy, které mají o službu zájem, se mohou zaregistrovat na webu www.zijemevzahranici.cz. Obratem dostanou možnost prezentovat svoji společnost a exportní produkty Čechům či lidem s českými kořeny v zahraničí. „Během velmi krátké doby můžete obdržet přehled o stávající konkurenci, rozeslat své nabídky přímo v dané zemi lokální poštou, telefonicky kontaktovat potenciální zákazníky či zřídit a dohodnout správu vašeho e-shopu v dané zemi. Zahraniční kontakty můžete do budoucna využít pro provizní prodej nebo založení společné firmy v zahraničí. To vše rychle, snadno, efektivně a v češtině,“ přibližuje proexportní potenciál projektu ŽIJEME V ZAHRANIČÍ.cz ředitelka Jana Bábíková.

Co projekt přinese krajanům v cizině
Projekt ŽIJEME V ZAHRANIČÍ.cz využijí i lidé žijící v cizině, kteří mají zájem nabídnout své služby českým exportérům. V zahraničí žije dlouhodobě zhruba 200 tisíc Čechů, kterým projekt nabízí odrazový můstek k rozvoji podnikání nebo přivýdělku. Po snadné a rychlé registraci si následně vyberou služby dle jednotlivých kategorií, které by chtěli poskytovat. „Jde například o servis v oblasti překladů, administrativy, pomoc při organizaci zahraničních veletrhů, zajišťování průzkumů trhu nebo spolupráci při zakládání obchodního zastoupení v zahraničí,“ vyjmenovává ředitelka projektu ŽIJEME V ZAHRANIČÍ.cz Jana Bábíková některé z nabízených možností.

Záštita náměstka ministra zahraničních věcí
Projekt ŽIJEME V ZAHRANIČÍ.cz vznikl pod záštitou Ing. Tomáše Duba, náměstka ministra zahraničních věcí, do jehož kompetence patří mimo jiné i ekonomická diplomacie. „Jsem přesvědčen, že tento projekt je velice důležitý pro rozvoj a podporu českého exportu a expanzi na zahraniční trhy. Portál ŽIJEME V ZAHRANIČÍ.cz bude jistě také dobrým pomocníkem našim občanům, firmám ale i krajanům dlouhodobě žijících mimo Českou republiku,“ říká Ing. Tomáš Dub.

Službu ŽIJEME V ZAHRANIČÍ.cz oceňují také první české exportní firmy. „Projekt se mi velice líbí, něco takového na trhu dosud chybělo. České instituce a úřady se sice snaží vstupy a fungování českých firem v zahraničí podporovat, ale často je to podpora spíše symbolická. Byznys si všichni musíme udělat sami. A tento projekt k tomu může výrazně pomoci. Navíc se jedná o jednoduché a přímé řešení , které oceňuji,“ říká Ing. Pavel Janeček, generální ředitel společnosti Karma Český Brod, která je tradičním českým výrobcem a vývozcem.

Aktuální výsledky exkluzivního výzkumu IBRS

(vzorek 683 firem, realizace 15.9.-24.10.2012)

Co se Vám při podpoře exportu nejvíce osvědčilo?
•osobní kontakty 37,8 %
•využití místních partnerů 19,3 %
•přímé oslovení zákazníků v zahraničí 17,9 %
•účast na veletrzích 14,3 %
•www stránky v lokálním jazyce 4 %
•využití zahraničních databází obchodních kontaktů 1,8 %
•dotační programy 1 %

Co je při exportu do nových zemí problematické? vícečetné odpovědi
•nemáme lokální kontakty 67,2 %
•u netradičních destinací neznalost místního jazyka 52,9 %
•vysoké náklady na cestování kvůli obchodním jednáním 52,6 %
•neznáme potenciál trhu v dané zemi 48,2 %
•chybí sdílení zkušeností o exportu do konkrétních zemí 43,5 %
•chybí informace o jednotlivých teritoriích 35,3 %
•chybí informace o veletrzích/výstavách 17,1 %

Kde všude hledáte informace pro podporu exportu? vícečetné odpovědi
•na internetu 90,2 %
•v tisku 39,8 %
•na konferencích 30,5 %
•prostřednictvím zájmových sdružení a asociací 38,5 %
•na školeních 14,1 %
•jinde 34,4 %

Do jaké míry Vám přijde tento projekt zajímavý?
•rozhodně zajímavý 38,9 %
•spíše zajímavý 40,1 %
•ani zajímavý, ani nezajímavý 15,5 %
•spíše nezajímavý 4,7 %
•rozhodně nezajímavý 0,7 %

ORION Monitoring insolvenčního rejstříku hlídá kredibilitu obchodních partnerů

30.10.2012 Bez komentářů

Brno, 30. října 2012 – Monitoring insolvenčního rejstříku je novou on-line službou konsolidačního centra ORION. Slouží pro automatické sledování solventnosti obchodních partnerů. Společnost CCV Informační systémy ji uvedla na trh ve spolupráci s dceřinou společností Insolvence 2008. Po prvních dvou měsících od spuštění využívá tuto službu více než 400 firem.

ORION Monitoring insolvenčního rejstříku představuje on-line službu, která nabízí automatické sledování insolvenčního rejstříku (ISIR). Děje se tak prostřednictvím webové aplikace, zasílající příslušná upozornění na podání insolvenčního návrhu, rozhodnutí o úpadku nebo změnách v dokumentaci a dalších událostí v rejstříku na zadaný email. Služba umožňuje nejen dlouhodobé sledování ohrožení subjektů insolvenčním řízením a jejich hromadný import, ale také jednorázové kombinované dotazy využívající předdefinovaných nástrojů nebo periodický přehledový reporting. Výhodou je rychlost zaznamenání všech událostí nebo možnost procházení rejstříku ISIR i v případě, kdy je tento nedostupný. Díky tomu lze pohledávku na dlužníka včas a správně připravit a bez prodlení přihlásit.

Řešení je užitečným a jednoduše dostupným nástrojem pro organizace, které potřebují pravidelně hlídat větší množství partnerů v obchodním styku a mají zájem spolehlivě ošetřit rizika pro stabilizaci svého cash flow a ušetřit námahu s takovým úsilím spojenou,“ říká David Reichel (foto), ředitel divize eBusiness společnosti CCV Informační systémy.

Spotřební družstva COOP eliminují riziko narušení stability dodávek, Schneider Electric hlídá fakturaci u odběratelů

ORION Monitoring insolvenčního rejstříku odborně vyvinula společnost Insolvence 2008, která se opírá o zkušenosti právníků, odborníků v oblasti insolvenčního řízení a především samotných insolvenčních správců. Zdarma do 15 sledovaných subjektů je nabízen i pro sledování všech protistran firmám, které využívají služeb clearingového centra EDI ORION pro elektronickou fakturaci.

Prodejny COOP se zaměřují na stabilní vztahy s dodavateli ve snaze zůstat nablízku našemu zákazníkovi nejen ve městech, ale i menších obcích a udržet pro něj vysoký standard poskytovaných služeb. Jako nákupní centrála nutně sledujeme platební schopnost několika stovek dodavatelů a omezujeme tak riziko narušení stability dodávek. Pracujeme často také s dobropisy a vratkami, proto je Monitoring rejstříku z hlediska řízení cash flow pro nás sázkou na jistotu,“ říká Radim Šedivý, CIO společnosti COOP Morava.

Přínosy služby oceňuje také Schneider Electric CZ, který využívá ORION pro zajištění služeb elektronické fakturace na 1300 firemních zákazníků.  Jarmila Sovová zastává pozici hlavní účetní Schneider Electric CZ: „U služby oceňujeme zejména vazbu na elektronickou fakturaci na naše zákazníky, u nichž tak jednoduše pohlídáme, zda naše pohledávka není ohrožena. Jako věřitel se o insolvenčním řízení na dlužníka totiž jinak nemusíme ani dozvědět a přihlášku je nutno podat někdy i za méně než 45 dnů od zahájení řízení, což v praxi není snadné.“

Další informace o produktu:
http://www.ccv.cz/elektronicka-komunikace-edi/monitoring-insolvencniho-rejstriku/

Kaspersky Lab: Výrazná většina českých uživatelů nechce za ochranu dat platit

10.10.2012 Bez komentářů

Uživatelé internetu považují ochranu svých počítačů a dalších zařízení před napadením za extrémně důležitou, ale odmítají za ni platit. Vyplývá to z výzkumu společnosti Kaspersky Lab a O+K Research. Dle studie 72 % respondentů v Česku za antivirový software instalovaný na svých počítačích nezaplatilo. To je mírně více než celosvětový průměr, který činí 69 %. Dotazování proběhlo v květnu letošního roku mezi více než 11 tisíci lidmi v 25 zemích. Přes 400 z nich pocházelo z České republiky.

Už dřívější nezávislé srovnání organizace AV-Test.org prokázalo, že bezplatné antivirové produkty chrání před malwarem méně účinně, než profesionální placený software. S rostoucími možnostmi přístupu na internet díky chytrým telefonům nebo tabletům se navíc uživatelé musí chránit daleko účinněji. Pro kybernetické zločince jsou totiž ukradená data uživatelů výnosným byznysem. David Emm, britský bezpečnostní analytik Kaspersky Lab odhaduje, že za ukradený sken pasu mohou utržit až 500 korun, za přístup do e-mailu téměř 400, za každý infikovaný počítač nebo laptop asi 60, za detail kreditní karty 190, za login na sociální síť jako například Facebook skoro 4 tisíce a nový pas na základě ukradeného skenu může vynést přes 19 tisíc korun.

Ochrana dat ale souvisí i s naší minulostí. Dle srpnového průzkumu Kaspersky Lab a B2B International v 17 zemích má 11 % uživatelů na svých počítačích uchováno data starší i více než 10 let, 41 % pak data stará 3 až 10 let. Ačkoli ve 22 % případů přijdou lidé o data dle studie kvůli chybě hardwaru, hned za tím se 13 % je to kvůli infekci malwarem. A ve srovnání s již zmíněným faktem, že 69 % uživatelů dle výzkumu O+K Research nechce za ochranu dat platit, je paradoxní, že 89 % respondentů ze studie B2B International považuje uchování dat za velice důležité.

Náklady na účinnou ochranu jsou přitom nepoměrně malé. Například Kaspersky Internet Security 2013 přijde denně na pouhých 3,20 Kč. Poskytuje také několik nejnovějších technologií, včetně ochrany online peněžních transakcí Safe Money, která díky zabezpečenému prohlížeči a virtuální klávesnici umí zabránit odcizení osobních dat. Antivirová ochrana díky Automatic Exploit Detection a využití cloudového Kaspersky Security Network navíc umí účinně chránit proti nejnovějším hrozbám.

Odkazy
- Více informací o Kaspersky Internet Security 2013
- Plná verze výzkumu O+K Research
- Srovnávací testy bezplatných a placených antivirů AV-Test.org

O společnosti Kasperky Lab
Kaspersky Lab je největším soukromě vlastněným poskytovatelem koncových bezpečnostních řešení na světě. Společnost se řadí mezi čtyři největší prodejce bezpečnostních řešení pro koncové uživatele.* Již 15 let patří Kaspersky Lab mezi přední inovátory v oblasti informačních technologií a poskytuje efektivní digitální bezpečnostní řešení zákazníkům, malým a středním firmám i velkým podnikům. Aktuálně společnost působí v bezmála 200 zemích a oblastech a poskytuje ochranu více než 300 milionům uživatelů. Více informací o společnosti Kaspersky Lab najdete na www.kaspersky.com.

*Společnost zařadil na čtvrté místo žebříček „IDC Worldwide Endpoint Security Revenue by Vendor, 2011“. Žebříček vyšel ve zprávě „IDC Worldwide IT Security Products 2012-2016 Forecast and 2011 Vendor Shares – December 2011“ a řadil poskytovatele software podle zisku z prodeje koncových bezpečnostních řešení v roce 2011.