NSA ostrzega użytkowników iPhone’a i Androida, aby go wyłączyli i włączyli ponownie
Wyłączaj telefon raz w tygodniu, mówią stracharze.
Zaktualizowano 1/06, ten artykuł został pierwotnie opublikowany 30/05.
Chociaż niektórzy ludzie mogą martwić się, że sama Agencja Bezpieczeństwa Narodowego będzie szpiegować ich telefony, NSA ma mądrą radę dla użytkowników iPhone’a i Androida zaniepokojonych exploitami typu zero-click i tym podobnymi: wyłączaj i włączaj ponownie raz w tygodniu.
Jak często wyłączasz iPhone’a lub urządzenie z Androidem? Całkowicie go wyłącz, a następnie uruchom ponownie, zamiast po prostu przechodzić w tryb gotowości. Podejrzewam, że dla wielu osób odpowiedź brzmi tylko wtedy, gdy wymaga tego aktualizacja zabezpieczeń lub systemu operacyjnego. Zdaniem NSA może to być poważny błąd.
Porady NSA dotyczące najlepszych praktyk w zakresie bezpieczeństwa i prywatności urządzeń iPhone i Android
W dokumencie szczegółowo opisującym kilka najlepszych praktyk dotyczących urządzeń mobilnych NSA zaleca użytkownikom wyłączanie i ponowne włączanie urządzeń raz w tygodniu, aby chronić się przed exploitami typu zero-click, których napastnicy często wykorzystują do podsłuchiwania telefonów i zbierania danych z nich.
Użytkownicy mogą złagodzić zagrożenie spear-phishingiem, które może prowadzić do instalacji jeszcze większej liczby złośliwego oprogramowania i oprogramowania szpiegującego, wykonując tę samą prostą czynność. Jednak dokument NSA ostrzega, że porady dotyczące wyłączenia i ponownego włączenia tylko czasami uniemożliwią powodzenie tych ataków.
„Zagrożenia dla urządzeń mobilnych są coraz powszechniejsze, mają coraz większy zakres i złożoność” – stwierdziła NSA, ostrzegając, że niektóre funkcje smartfonów „zapewniają wygodę i możliwości, ale kosztem bezpieczeństwa”. W związku z tym zrobienie czegoś jest zawsze lepsze niż nic nierobienie, jeśli chodzi o proaktywne podejście do bezpieczeństwa urządzenia i danych.
Należy zauważyć, że udzielona rada nie jest jakimś złotym środkiem, który rozwiąże wszystkie Twoje problemy związane z bezpieczeństwem. Rzeczywiście, dokument NSA zawiera wykres pokazujący skuteczność każdej taktyki w walce z różnymi zagrożeniami. Chociaż jest to dobra ogólna rada, wyłączenie i ponowne włączenie nie pomoże w walce z wieloma bardziej zaawansowanymi zagrożeniami związanymi ze złośliwym oprogramowaniem i oprogramowaniem szpiegującym, które są zaprogramowane do ponownego ładowania przy ponownym uruchomieniu komputera.
Równowaga pomiędzy wygodą i bezpieczeństwem smartfona
NSA zaleca także użytkownikom telefonów, aby wyłączali funkcję Bluetooth, gdy z niej nie korzystają, aktualizowali urządzenie tak szybko, jak to możliwe, gdy będą dostępne aktualizacje systemu operacyjnego i aplikacji, oraz wyłączali usługi lokalizacyjne, gdy nie są potrzebne. Jak już widać, w przypadku większości udzielanych porad w grę wchodzi kwestia bezpieczeństwa, a nie wygody. Do tego należy dodać niekorzystanie z publicznych sieci Wi-Fi i niekorzystanie z publicznych stacji ładowania, mimo że wielu ekspertów ds. bezpieczeństwa uważa, że ryzyko w większości rzeczywistych przypadków jest niskie, a wielu użytkowników smartfonów prawdopodobnie rzuci kostką.
Jeśli chodzi o publiczną sieć Wi-Fi, istnieje różnica między możliwym ryzykiem a faktycznym zagrożeniem dla danej osoby. Chociaż zdeterminowany przestępca może wykorzystać niezabezpieczone sieci do niegodziwych celów, zwykle wiąże się to z nakłonieniem niczego niepodejrzewającego użytkownika do połączenia się z jego hotspotem Wi-Fi, a nie z hotspotem udostępnianym przez przedsiębiorstwo kolejowe, lotnisko lub kawiarnię. Dobrym przykładem tego, jak może to działać, jest niedawno ujawniona luka w zabezpieczeniach, która może prowadzić do tak zwanego ataku polegającego na pomyleniu SSID. Nie wchodząc w szczegóły techniczne, przeczytaj na ten temat artykuł; może w pewnych okolicznościach wyłączyć VPN i sprawić wrażenie, że masz połączenie z bezpieczną siecią, gdy tak nie jest. Ale znowu, większość niezabezpieczonych publicznych sieci Wi-Fi można bezpiecznie używać do celów ogólnych. Brytyjskie Krajowe Centrum Cyberbezpieczeństwa sugeruje, aby użytkownicy zamiast tego łączyli się za pośrednictwem mobilnych sieci 4G lub 5G, ponieważ te „będą miały wbudowane zabezpieczenia, a większość takich urządzeń będzie mogła korzystać z funkcji tetheringu, aby podłączyć laptopa do sieci smartfona. Ma to sens w przypadku wykonywania wrażliwych czynności, takich jak na przykład bankowość internetowa. Na Reddicie znajduje się doskonały wątek, w którym zagłębia się w fakty w celu uzyskania dalszych informacji.
Powiedziawszy to wszystko, gorąco zgadzam się z radą dotyczącą ponownego włączania i wyłączania, ponieważ zajmuje to tylko minutę lub dwie w tygodniu i jest dobrym nawykiem, którego można się nauczyć. Właściwie powiedziałbym, żebyś wyrobił w sobie nawyk robienia tego codziennie, może jako część rutyny przed snem.
NSA twierdzi również, że należy używać „silnych” kodów PIN i haseł do blokady ekranu, zalecając stosowanie co najmniej sześciocyfrowego kodu PIN, pod warunkiem, że smartfon jest skonfigurowany tak, aby usuwał się sam po 10 błędnych próbach i blokował się automatycznie po 5 minutach brak wejścia. Mówiąc szerzej, Oliver Page, dyrektor generalny firmy Cybernut zajmującej się cyberbezpieczeństwem, twierdzi, że użytkownicy powinni „generować silne, unikalne hasła dla każdego konta za pomocą menedżera haseł” i unikać używania popularnych zwrotów, słów ze słownika i ponownego używania haseł na wielu kontach.
NSA ostrzega ponadto, że otwieranie załączników i łączy do wiadomości e-mail jest zabronione, nawet jeśli nadawca wydaje się być wiarygodny, ponieważ może łatwo przekazać złośliwą treść, nie zdając sobie z tego sprawy, lub z powodu naruszenia bezpieczeństwa jego konta. „Naucz się rozpoznawać próby wyłudzenia informacji, sprawdzając adresy nadawców e-maili, weryfikując adresy URL witryn internetowych i sprawdzając treść wiadomości e-mail pod kątem oznak manipulacji” – mówi Page.
Jeśli chodzi o poufne rozmowy lub wiadomości, NSA ostrzega przed takimi rozmowami na urządzeniach osobistych, nawet jeśli uważasz, że ich treść jest ogólna. Jest to co najmniej trochę restrykcyjne, biorąc pod uwagę, że wielu z nas używa do tego naszych smartfonów. Jednak uleganie taktykom inżynierii społecznej, takim jak odpowiadanie na niechciane e-maile lub wiadomości, to zupełnie inny rodzaj phishingu. „Zaufanie do taktyk inżynierii społecznej, takich jak odpowiadanie na niechciane e-maile z prośbą o poufne informacje, może skutkować naruszeniem bezpieczeństwa konta i kradzieżą tożsamości. Te próby wyłudzenia informacji często podszywają się pod legalne podmioty i nakłaniają je do ujawnienia poufnych danych” – mówi Page, dodając: „Zaufanie rozmowom telefonicznym lub wiadomościom bez weryfikacji może prowadzić do poważnych konsekwencji, ponieważ oszuści manipulują ofiarami, aby ujawniły poufne informacje lub podejmowały działania zagrażające ich bezpieczeństwu. .”
Federalna Komisja ds. Komunikacji udziela Sage porad dotyczących bezpieczeństwa smartfonów
Federalna Komisja Łączności, niezależna agencja rządu USA, również oferuje użytkownikom smartfonów pewne porady dotyczące bezpieczeństwa. Porady oferowane przez różne organy rządowe i organy ścigania w dużym stopniu się pokrywają, dlatego warto wspomnieć o niektórych poradach FCC. Na przykład niemodyfikowanie ustawień zabezpieczeń smartfona. „Manipulowanie ustawieniami fabrycznymi telefonu, jailbreakowanie lub rootowanie telefonu osłabia wbudowane funkcje bezpieczeństwa oferowane przez usługę bezprzewodową i smartfon” – radzi FCC – „jednocześnie czyniąc go bardziej podatnym na atak”. Zgadzam się z mantrą, aby nie wyłączać ustawień zabezpieczeń ze względu na wygodę, ale zdaję sobie sprawę, że może to zostać zignorowane przez zwykłego użytkownika, dla którego wygoda jest najważniejsza, dopóki incydent związany z bezpieczeństwem nie dotknie go osobiście.
Komisja FCC ostrzega również, że zrozumienie uprawnień aplikacji jest ważne, ponieważ mogą one zostać wykorzystane do ominięcia pewnych funkcji bezpieczeństwa przez twórcę złośliwej aplikacji. Na szczęście nowoczesne mobilne systemy operacyjne sprawiły, że wydawanie takich zezwoleń jest bardziej przejrzyste niż kiedykolwiek wcześniej, ale nadal warto zachować czujność wobec niebezpieczeństwa. „Należy zachować ostrożność, przyznając aplikacjom dostęp do danych osobowych w telefonie lub w inny sposób zezwalając aplikacjom na dostęp w celu wykonywania funkcji na telefonie” – stwierdziła FCC.
Inną opcją, która stała się jeszcze łatwiejsza wraz z ewolucją tych systemów operacyjnych, jest możliwość zdalnego usunięcia danych ze skradzionego lub zagubionego smartfona. Upewnij się tylko, że masz tę konfigurację, która będzie działać na Twoją korzyść, jeśli wydarzy się najgorsze. „W przypadku zagubienia telefonu” – czytamy w wytycznych FCC – „niektóre aplikacje mogą włączyć głośny alarm, nawet jeśli telefon jest wyciszony. Te aplikacje mogą również pomóc Ci zlokalizować i odzyskać zgubiony telefon.”
I na koniec, zawsze wyczyść dane z urządzenia i zresetuj je do ustawień fabrycznych przed sprzedażą lub wyrzuceniem telefonu w inny sposób.
