книги хакеры / Искусство_быть_невидимым_Как_сохранить

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

40 ГЛАВА 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

родился ваш шурин?» довольно редкий (хотя правильно отвечая на такие «хорошие» вопросы, вы также рискуете, о чем я расскажу чуть ниже). Но множество так называемых секретных вопросов по-прежнему очень просты, например: «Кличка вашего домашнего животного?»

В целом, устанавливая секретные вопросы, постарайтесь избегать наиболее очевидных вариантов из раскрывающегося списка. Даже если сайт предлагает только распространенные вопросы, обратитесь к своему воображению. Кто сказал, что ответы обязательно должны быть честными? Проявите смекалку. Например, только для потокового видеосервиса вашим любимым цветом может стать «тутти-фрутти*». Кто узнает? Это же цвет, верно? Информация, которую вы указываете в качестве ответа, становится «правильным» ответом на секретный вопрос.

Когда вы придумываете ответы, обязательно записывайте и сам вопрос, и ответ на него и храните эту подсказку в надежном месте (или просто пользуйтесь менеджером паролей). Может так случиться, что когданибудь, обратившись в службу технической поддержки, вам нужно будет ответить на один из своих секретных вопросов. Носите с собой в кошельке карточку или блокнотик, который поможет вам вспомнить, что на вопрос: «Где вы родились?», вы ответили: «В роддоме» (или запомните и постоянно используйте один и тот же набор ответов). Эта простая хитрость собьет с толку того, кто собирал о вас информацию в Интернете и попытался дать более правдоподобный ответ, например: «Кировск, Мурманская область».

* «Тутти-фрутти» — это темно-розовый цвет.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ВАШ ПАРОЛЬ МОЖНО ВЗЛОМАТЬ! 41

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Отвечая правильно на редкие секретные вопросы, вы еще больше рискуете: вы выдаете личную информацию сверх той, что уже доступна. Например, сайт, на котором вы честно ответили на вопрос: «В каком городе родился ваш шурин?», теперь может продать этот ответ, и вполне возможно, вместе с другими данными. Или же с помощью этого ответа кто-то сможет восполнить пробелы в собранных сведениях. Например, по ответу на этот вопрос можно узнать, что вы женаты (или были женаты), что у вашей жены (или бывшей жены) есть брат, родившийся в указанном городе. Для одного простого ответа это очень много дополнительной персональной информации. С другой стороны, если у вас нет шурина, вперед — отвечайте с фантазией, например: «Пуэрто-Рико». Это собьет с толку любого, кто собирает на вас досье. Чем больше ложных данных вы предоставите, тем лучше защитите свою конфиденциальность в Интернете.

Отвечая на менее распространенные секретные вопросы, всегда взвешивайте, насколько тот или иной сайт ценен для вас (например, можно доверить дополнительные персональные сведения своему банку, но никак не потоковому видеосервису). Также обращайте внимание на политику конфиденциальности (ищите формулировки, которые прямо свидетельствуют или косвенно намекают на то, что сайт может продавать собранные данные третьим лицам).

Для сброса пароля электронной почты Сары Пэйлин потребовалась ее дата рождения, почтовый индекс

иответ на секретный вопрос: «Где вы познакомились

смужем?» Дату рождения и почтовый индекс Пэйлин

без труда можно было найти в Интернете (в тот момент

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

42 ГЛАВА 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Пэйлин была губернатором штата Аляска). Чтобы ответить на секретный вопрос, пришлось приложить чуть больше усилий, но Кернелл сумел найти нужную информацию. Пэйлин давала множество интервью и из раза

враз повторяла, что в своего мужа она влюблена еще со старших классов школы. Таким образом, ответ на секретный вопрос: «Старшие классы школы».

Отгадав ответ на секретный вопрос Пэйлин, Кернелл смог сбросить пароль от ее ящика Yahoo! и сменить его на новый. Так ему удалось прочитать всю личную переписку политика. Снимок экрана с ее папкой «Входящие» был выложен на хакерском ресурсе. Сама же Пэйлин не могла войти в свою почту, пока не сбросила пароль.21

Поступок Кернелла был противозаконным, он нарушил закон «О компьютерном мошенничестве и злоупотреблении с использованием компьютеров». Его признали виновным по двум пунктам обвинения: препятствование правосудию путем уничтожения улик и незаконный доступ в компьютерную систему. В 2010 году его приговорили к тюремному заключению сроком один год и один день плюс три года профилактического наблюдения после освобождения.22

Если вашу почту взломали так же, как почту Пэйлин,

впервую очередь необходимо сменить пароль, сбросив его (вы, наверное, уже догадались сами). Пусть новый пароль будет надежнее, как мы только что говорили. Далее проверьте папку с отправленными от вашего имени письмами. Возможно, вы найдете там письмо со спамом со множеством адресатов из вашего списка контактов. (Теперь-то вы понимаете, почему все эти годы ваши друзья шлют вам

спам — кто-то взламывает их электронную почту.)

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ВАШ ПАРОЛЬ МОЖНО ВЗЛОМАТЬ! 43

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Также проверьте, вдруг кто-то связал свой аккаунт с вашим. Хакер, получивший доступ к вашему ящику, также может настроить переадресацию ваших писем на свою почту. Вы, как и прежде, будете пользоваться почтовым ящиком в обычном режиме, но другой человек тоже будет читать ваши письма. Если кто-то связал свой аккаунт с вашим, немедленно удалите ящик для переадресации.

Пароли и коды безопасности частично решают проблему безопасности, но мы только что видели, что их можно подобрать. Гораздо эффективнее сложных паролей вас защитит двухфакторная аутентификация.

Пароли и коды безопасности частично решают проблему безопасности, но мы только что видели, что их можно подобрать. Гораздо эффективнее сложных паролей вас защитит двухфакторная аутентификация. После скандала

сутечкой фотографий обнаженной Дженнифер Лоуренс

идругих знаменитостей компания Apple разработала новый метод контроля доступа к сервисам iCloud — двухфакторную аутентификацию.

Что такое двухфакторная аутентификация?

При аутентификации пользователя на сайтах и сервисах необходимо подтверждение как минимум двух пунк-

тов из трех. Обычно это: что-то, что у вас есть, что-то,

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

44 ГЛАВА 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

что вы знаете, и что-то, чем вы являетесь. Этим чем-то может быть банковская карта с магнитной полосой или чипом. Чем-то, что вы знаете, чаще всего бывает PIN-код или ответ на секретный вопрос. А что-то, чем вы являетесь, включает в себя биометрические данные — сканер отпечатков пальцев, распознавание лиц, распознавание голоса и пр. Чем больше данных совпадает, тем выше вероятность того, что пользователь является именно тем, за кого себя выдает.

Ничего нового в этом нет. Уже более сорока лет большинство из нас пользуются двухфакторной аутентификацией, сами того не осознавая.

Каждый раз, снимая деньги в банкомате, вы проходите через двухфакторную аутентификацию. Как это? У вас есть выпущенная банком карта, вы знаете PIN-код. Сочетание этих двух факторов говорит уличному банкомату, что вы хотите получить доступ к счету, к которому привязана карта. В некоторых странах в банкоматах присутствуют дополнительные средства проверки, например, распознавание лиц и сканер отпечатка ладони. Это уже многофакторная аутентификация.

Нечто подобное возможно и в Интернете. Различные финансовые и медицинские организации, а также коммерческие сервисы электронной почты и социальные сети позволяют настраивать двухфакторную аутентификацию. В этом случае тем, что вы знаете, будет пароль, а тем, что у вас есть, — сотовый телефон. При получении доступа к этим сайтам телефон — это «внешний фактор», поскольку он никак не связан с используемым компьютером. Однако при настроенной двухфакторной аутентификации хакер не сможет получить

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ВАШ ПАРОЛЬ МОЖНО ВЗЛОМАТЬ! 45

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

доступ к вашей учетной записи, если у него не будет вашего телефона.

Допустим, у вас есть учетная запись на сервисе Google Gmail. Чтобы подключить двухфакторую аутентификацию, вам нужно будет ввести номер сотового телефона. Для проверки вашей личности Google отправит вам SMS-сообщение с шестизначным кодом. Вы будете должны ввести этот код на сайте Gmail, подтвердив тем самым, что данный компьютер связан с данным сотовым телефоном.

После этого, если кто-то с другого компьютера или устройства попытается сменить пароль к вашей учетной записи, вам на телефон придет текстовое сообщение. Любое изменение в настройках учетной записи будет сохранено только после ввода правильного кода подтверждения.

Но и тут есть слабая сторона. Сотрудники компании Symantec выяснили, что при отправке SMS-сообщения для подтверждения личности человек, которому известен ваш номер мобильного телефона, прибегнув к социальной инженерии, может перехватить проверочный код и сбросить пароль, стоит вам лишь утратить бдительность.23

Представим, что я хочу взломать вашу почту и не знаю пароль, но знаю номер сотового телефона, поскольку эту информацию легко найти через Google. Я могу перейти на страницу восстановления пароля и запросить сброс пароля. Поскольку у вас настроена двухфакторная аутентификация, вы получите SMS-сообщение с кодом. Пока все в порядке, правда? Не спешите.

Недавно произошел инцидент с политическим активистом Диреем Маккиссоном, телефон которого был взломан. Эта атака стала ярким примером того, как

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

46 ГЛАВА 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

злоумышленники могут обманом получить у оператора сотовой связи сменную SIM-карту.24 Другими словами, мошенник может завладеть вашим номером телефона и получать приходящие вам SMS-сообщения — например, SMS-код от сервиса Google для сброса пароля от принадлежащего Маккиссону аккаунта Gmail, на котором была настроена двухфакторная аутентификация. Это почти то же самое, что обманом заставить кого-то прочитать вам вслух SMS-сообщение с новым паролем. Хотя и такую возможность (социальную инженерию) никто не отменял.

Поскольку я не вижу код подтверждения, который сервис электронной почты отправил вам по телефону, мне придется притвориться кем-то другим, чтобы вы сами мне его предоставили. Всего за несколько секунд до того, как вы получите настоящее сообщение, например от сервиса Google, я, будучи хакером, могу с одноразового виртуального номера отправить ложное SMS-со- общение со следующим текстом:

«Google обнаружил подозрительную активность в вашем аккаунте. Для прекращения нежелательных действий в аккаунте, пожалуйста, в ответ на это сообщение отправьте проверочный код, высланный на ваше мобильное устройство».

Вы увидите, что да, действительно, вам только что пришло SMS-сообщение от Google с проверочным кодом, и, если вы не очень осторожны, вы можете просто отправить его мне в ответ на фальшивое сообщение. После этого у меня будет не более шестидесяти секунд на то, чтобы ввести код подтверждения на странице сброса пароля. Далее я смогу сменить пароль и захватить вашу почту. Или любую другую почту.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ВАШ ПАРОЛЬ МОЖНО ВЗЛОМАТЬ! 47

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Поскольку SMS-сообщения с кодами не шифруются и код можно узнать тем способом, который я только что описал, для большей надежности рекомендуется скачать приложение для двухфакторной аутентификации Google Authenticator из Google Play или App Store для использования с iPhone. Это приложение генерирует уникальный код доступа, который нужно вводить в самом приложении каждый раз, когда вы хотите посетить сайт с двухфакторной аутентификацией — никаких SMS-сообщений. Шестизначный код, сгенерированный приложением, синхронизируется с механизмом авторизации на сайте, и вы получаете доступ на сайт. Однако приложение Google Authenticator хранит алгоритм генерации одноразовых паролей в системе под названием «Связка ключей iCloud», где задана настройка «Только на этом устройстве». Это означает, что, если вы сделаете резервную копию всех файлов со своего смартфона iPhone, а затем восстановите их на другом устройстве (например, купив новый смартфон после потери старого), коды из приложения Google Authenticator на новое устройство перенесены не будут и, чтобы восстановить их, придется изрядно потрудиться. На такой случай лучше заранее распечатать несколько кодов восстановления. Восстановить все свои пароли из резервной копии можно в некоторых других приложениях, например 1Password.

Зарегистрировав устройство в этом приложении, вы будете получать новый код при каждой авторизации в приложении с данного устройства (если не установите флажок доверять этому устройству в течение 30 дней), даже если вы переместите свой ноутбук или телефон в другое место. Однако если вы попытаетесь войти в этот аккаунт

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

48 ГЛАВА 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

с другого устройства — например, с компьютера жены, — тогда потребуется дополнительная аутентификация. Стоит ли говорить, что, если у вас настроена двухфакторная аутентификация, держите сотовый телефон под рукой.

Учитывая все перечисленные выше меры предосторожности, возможно, вы захотите узнать, что я советую людям, осуществляющим любые финансовые операции через Интернет.

Примерно за 2500 рублей в год можно приобрести антивирус и брандмауэр на три компьютера. Проблема заключается в том, что во время путешествия по Всемирной паутине вы можете случайно загрузить в своем браузере рекламный баннер с вредоносным программным обеспечением. Или вы можете открыть электронную почту, и одно из писем окажется с вирусом. Так или иначе, ваш компьютер будет заражен, если вы регулярно выходите с него в Интернет, и даже антивирус не может уберечь вас от всех опасностей.

Смысл в том, чтобы у вас появилось устройство, которым вы будете пользоваться исключительно для проведения финансовых операций и, может быть, решения медицинских вопросов.

Поэтому я советую вам потратить пару сотен долларов и купить хромбук — ноутбук на базе операционной системы Chrome OS. Мне нравятся планшеты iPad,

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ВАШ ПАРОЛЬ МОЖНО ВЗЛОМАТЬ! 49

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

но они дорогие. Хромбук так же удобен в работе, как и iPad, но гораздо дешевле*.

Смысл в том, чтобы у вас появилось устройство, которым вы будете пользоваться исключительно для проведения финансовых операций и, может быть, решения медицинских вопросов. Даже если устройство принадлежит вам, не входите с использованием учетной записи администратора — это даст злоумышленнику возможность устанавливать свое программное обеспечение. Вместо этого используйте учетную запись гостя (Guest), под которой обычно запрещено устанавливать что-либо без разрешения администратора системы. После этого на хромбуке вы сможете устанавливать приложения только из магазина Google Play. Войдя туда, скачайте приложение вашего банка или медицинского учреждения.

Далее настройте двухфакторную аутентификацию в приложениях, установленных на хромбуке, чтобы приложения запомнили это устройство. Завершив свои банковские и медицинские дела, отложите хромбук до тех пор, пока вам снова не понадобится проверить баланс счета или записаться на прием к врачу.

Может показаться, что все это — дополнительные сложности. Так и есть. Вместо постоянного доступа к своей банковской информации вы получаете почти постоянный доступ. Но зато вы в разы уменьшите вероятность того, что кто-то воспользуется вашими банковскими данными. Если на хромбуке установлены только два или три приложения или в закладках у вас сохранена

*В России не получили распространения. Как правило, стоят дороже iPad.