Sa svakom je novom godinom sofisticiranost računalnih prijetnji i napada za kojima posežu računalni kriminalci sve veća, a napadi postaju sve žešći i sve učestaliji. Na žalost, niti ova godina neće biti manje opasna, a evo što nas sve može zadesiti i što možemo učiniti kako bi se zaštitili…
[ Matija Gračanin ]
Ako se o hakerima išta može reći, onda je to svakako činjenica da ih krasi nevjerojatna upornost. Naime, tamo gdje drugi vide prepreke i jednostavno odustaju, hakeri nemilice krče svoj put zaobilazeći nametnute im prepreke i neprestano traže nove načine kako da nove prepreke eliminiraju. Strpljivo čekaju tjednima i mjesecima i osmišljavaju nove metode napada i nove načine kako izigrati sigurnosnu mrežu raspletenu kako bi ih se zaustavilo. Svatko tko imalo prati novosti iz svijeta računalne sigurnost definitivno dobro zna kako su tehnike napada sve smjelije, dok su pri tome vrste napada sve sofisticiranije. I posljednjih se godinu dana već moglo naslutiti i prepoznati nekoliko trendova koji jasno pokazuju što nas sve može očekivati ove godine. Na žalost, vrste napada nisu nimalo bezazlene, ni za pojedince ni za velike kompanije koje su dio ovih trendova već mogle osjetiti prošle godine. Evo što sve možemo očekivati u 2016. godini.
Hakerske iznude
Pod ovime se ne misli sada već dobro prokušan recept inficiranja računala nekim od sve brojnijih vrsta ransomwarea koji šifriraju podatke pohranjene na diskovima, a jednom kada se to nesretno šifriranje dogodi, traži se novčana naknada kako bi se poslao ključ za dekriptiranje podataka. Ne. Stvari su daleko opsežnije. Naime, pretprošle je godine prilično odjeknula vijest o tome da je hakiran Sony i da su hakeri spremni javno objaviti podatke koje su prikupili tijekom svojeg napada. Ne mora se posebno niti isticati koliko takva vrsta upada u računalni sustav može biti pogubna, ali i koliko je to lukrativno za hakere. Naime, probiti nečiji računalni sustav, prikupiti osjetljive podatke i zatim prijetiti da će ih se objaviti može biti prilično unosno za hakere. Sa sigurnosne strane, prilično je jasno da je ovu vrstu napada iznimno teško pratiti; ako je iznuđivanje neke kompanije uspješno, onda se vjerojatno nigdje niti neće pojaviti informacija o tome da je neka kompanija bila žrtvom napada. U suprotnom, slično kao što je to bilo s prošlogodišnjim slučajem otkrivanja podataka o korisnicima društvene mreže za varanje partnera Ashley Madison, posljedice mogu biti katastrofalne. CEO kompanije je morao odstupiti, razotkriveni su detalji o brojnim osobama iz javnoga i političkoga života i njihovoj nevjeri.
Stoga je upravo ova vrsta napada nešto što možemo očekivati da će se češće pojavljivati u ovoj, ali i nadolazećim godinama. I to ne samo zato jer se hakerima itekako isplati iznuđivati novac (ili već što im već odgovara) pa će se ozbiljnije potruditi probiti sigurnosne mjere, nego i zbog činjenica da čak i velike kompanije zaostaju u ulaganju u računalnu sigurnosti i edukaciji svojih zaposlenika zbog čega ova vrsta napada postaje sve stvarnija. Stoga, tko ne želi biti žrtvom iznuđivanja hakera, svakako mora poraditi na tome da uloži u sigurnost vlastitoga sustava i to ne samo s hardverske i čisto računalne strane; nego i da educira svoje zaposlenike kako prepoznati prijetnje, kako ih eliminirati kada se za tim pokaže potreba i kako postupati u slučaju da se uoči neobična aktivnosti na računalima ili unutar računalne mreže.
Napadi koji za cilj imaju promjenu i manipulaciju podacima
Nasuprot klasičnoj iznudi prijetnjom da će se objaviti osjetljivi podaci, računalni kriminalci katkada imaju sasvim drukčije i često pogubnije namjere. Postoji sve veća zbrinutost da bi hakeri umjesto da ukradu ili obrišu osjetljive podatke, te iste podatke mogli mijenjati i njima manipulirati do razine da legitimni vlasnici tih podataka u njih više ne bi imali povjerenja. Upravo je tu zabrinutost s kongresom SAD-a podijelio DNI (Director of National Intelligence) James Clapper navodeći kako postoji baš takva mogućnost. Doista, sabotaža podataka može biti mnogo gora nego krađa i objava podataka, a ono što je još gore, takvu vrstu napada iznimno je teško prepoznati i detektirati. Kao primjer može poslužiti prastari propust u paketu Lotus 1-2-3 tijekom devedesetih godina zbog kojeg su računovodstveni proračuni u određenim okolnostima bili pogrešni. To je, doduše, bio nenamjeran propust.
Otkrivanje stražnjih vrata (backdoor) kao što se to dogodilo u slučaju Juniperovih mrežnih uređaja jedna je od sigurnosnih prijetnji o kojoj bismo mogli češće slušati u nadolazećem vremenu
Kod namjernog bi propusta posljedice mogle biti puno gore jer, što kada bi hakeri mogli pronaći svoj put do osjetljivih financijskih podataka i sustava za upravljanje burzama te pažljivim promjenama podataka manipulirati tržištem tjerajući da cijene dionica rastu ili padaju po njihovoj želji? Ubacivanje vlastitoga programskog koda u osjetljive sustave nije novost, a jednako vrijedi za uređaje u koje se ima povjerenja i kroz koje nesmetano kola mrežni promet. Tako je, primjerice, poznati proizvođač mrežne opreme Juniper Networks nedavno javno objavio kako je otkrio neautorizirani kod u softveru koje koriste njegovi vatrozidi iz poznate NetScreen serije uređaja. Manipulacija podacima još je jedna vrsta prijetnje koju bismo mogli češće susretati u nadolazeće vrijeme.
Internet stvari i rađanje novih Botneta
Mnogi kažu da je prošla godina svakako bila godina Interneta stvari; ali je jednako tako bila i godina kada su brojni uređaji koji potpadaju pod taj pojam bili hakirani. Internet stvari sve je stvarniji i sve nam je bliži onako kako se pojavljuju automobili koji su povezani s Internetom, medicinski uređaji kojima se može upravljati putem mobilnih telefona, a i sto vrijedi i za pametne televizore, pametne hladnjake, pećnice i druge kućanske aparate, pa čak i skateboarde i dječje lutke koje se sada također povezuju na mrežu svih mreža. I dok su prednosti korištenja pametnih uređaja svima posve jasne, druga strane medalje je daleko mračnija i zloslutnija. Proizvođači pametne opreme čini se ne ulažu pretjerano u sigurnost, a sve ono što potpada pod pojam Interneta stvari čini idealnim metama hakera.
Za sada su tijekom prošle godine većinom, sasvim dobronamjerno, predstavljeni koncepti na koji se IoT (Internet of Things) uređaji mogu pretvoriti u zombije koji služe rasprostranjenoj Botnet mreži, ali i to na koji način može doći čak i do krađe podataka zbog loše ili pogrešne implementacije sigurnosnih mehanizama. Neupitno je da će se sve više pojavljivati uređaji koji će biti meta hakera i koji će, na ovaj ili onaj način, poslužiti nekim drugim i nimalo dobronamjernim ciljevima. Stvar je prilično ozbiljna, tim više kada se pomisli da su dio IoT sustava obično nadzorne kamere, pametni televizori koji imaju ugrađene mikrofone i kamere te sustavim automatizacije doma. Već smo imali prilike svjedočiti da su CCTV kamere pretvorene u vojsku botneta koje su vršile DDoS (Distributed Denial of Service) na računalne sustave banaka, a bilo je i slučaja kada su drugi neovlašteno i kriomice promatrali s druge strane kamere. Stoga, prije nego se u svoje kućanstvo uvede i na Internet spoji neki od novih pametnih uređaja, valja dobro provjeriti kako povećati razinu sigurnosti i spriječiti ne samo invaziju na vlastitu privatnost, nego i kako spriječiti da ti isti uređaji posluže kao sredstvo hakera u izvršenju vlastitih zlonamjernih ciljeva.
Još više stražnjih vrata
Kraj je prošle godine obilježila objava poznatog proizvođača mrežne opreme Juniper Networks kako su u njihovim mrežnim uređajima pronađena stražnja vrata koja su, prema navodima samog Juniper Networksa, u softveru bila prisutna još od kolovoza 2012. godine, a svakome tko je za njih znao, omogućila su da se prijavi u sustav kao administrator te neopaženo, bez ostavljanja ikakvih tragova, dekriptira i nadzire promet koji prolazi kroz VPN mreže. Također, napadači su mogli iskoristiti i SSH propust u ScreenOS-u te izvesti DoS napad na uređaje koji koriste taj operativni sustav. Dodatno uznemirujuća je bila i vijest da je za ova stražnja vrata možda odgovorna NSA, odnosno, da se stražnja vrata (backdoor) temelje na backdooru za koji je pouzdano odgovorna NSA.
Za sada i dalje nema dokaza da je NSA doista postavila stražnja vrata u Juniperove uređaje sa spornim OS-om, a daleko je realnije da je neki od špijunskih partnera NSA, bila to velika Britanija ili Izrael, ili neka od neprijateljskih tajnih službi odgovorna za postavljanje stražnjih vrata. Prilično je utješna činjenica da je nakon otkrića, Juniper Networks brzo reagirao i objavio zakrpu za ScreenOS koja rješava taj ozbiljan sigurnosni problem. Međutim, ono što nije, svakako je sumnja da ovakvih vrsta stražnjih vrata možda postoji još i to ne samo u ScreenOS-u i Juniperovim uređajima, nego i uređajima brojnih drugih proizvođača. Olakotna je okolnost ta da, sada kada računalni stručnjaci znaju kako izgleda barem ova vrsta stražnjih vrata i kako je prepoznati, svoje uređaje podvrgnuti opsežnijoj sigurnosnoj provjeri. To će, pak, sigurno rezultirati i češćim objavama kako su pronađene stražnja vrata u uređajima pa je to samo još jedna od sigurnosnih prijetnji koje bi se mogle češće pojavljivati u ovoj godini.
Ransomware, prijevare, ranjivost pametnih telefona – opreza nikada dosta!
Kao što je to bilo i prošle godine, i ove se mogu očekivati, i do sada česti sigurnosni problemi. Pod time se misli na sve veću raširenost ransomwarea koji šifriraju podatke te hakera koji traže novčanu naknadu kako bi se podaci dekriptirali (premda se često događa da i nakon plaćanje traženog iznosa podaci nikada ne budu dekriptirani), sve veća sigurnosna ranjivost pametnih telefona i to pogotovo onih s Android OS-om zbog sporoga (ili nikakvog) ažuriranja operativnog sustava (za ažuriranja su odgovorni proizvođači, a ne Google koji redovito objavljuje nove inačice svojeg operativnog sustava) kao i do sada vrlo česti tipovi računalnih prijevara. Što to sve znači za krajnje korisnike? Da svoju sigurnost moraju shvatiti vrlo ozbiljno jer se nikada ne zna kada će i sami postati žrtvom zlonamjernih hakera. Stoga valja poduzeti sve ono što se poduzeti može; koristiti protuvirusna rješenja i na računalu i na pametnim telefonima, redovito se educirati o postojećim sigurnosnim prijetnjama i o tome kako ih spriječiti i prepoznati i, konačno, biti svjestan činjenice da se za sigurnost neće pobrinuti netko drugo. Za osobnu se sigurnosti morate pobrinuti sami.