Novoroční předsevzetí jen zřídkakdy přežijí první dny nového roku. Sada z oboru kybernetické bezpečnosti, kterou jsem pro vás připravil, má oproti těm obyčejným jednu základní výhodu: funguje automaticky. Stačí vše jednou správně nastavit, a o realizaci se postará počítač a telefon.

Nedávno jste již předplatné aktivoval

Je nám líto, ale nabídku na váš účet v tomto případě nemůžete uplatnit.

Pokračovat na článek

Tento článek pro vás někdo odemknul

Obvykle jsou naše články jen pro předplatitele. Dejte nám na sebe e-mail a staňte se na den zdarma předplatitelem HN i vy!

Navíc pro vás chystáme pravidelný výběr nejlepších článků a pohled do backstage Hospodářských novin.

Zdá se, že už se známe

Pod vámi uvedenou e-mailovou adresou již evidujeme uživatelský účet.

Děkujeme, teď už si užijte váš článek zdarma

Na váš e-mail jsme odeslali bližší informace o vašem předplatném.

Od tohoto okamžiku můžete číst neomezeně HN na den zdarma. Začít můžete s článkem, který pro vás někdo odemknul.

Na váš e-mail jsme odeslali informace k registraci.

V e-mailu máte odkaz k nastavení hesla a dokončení registrace. Je to jen pár kliků, po kterých můžete číst neomezeně HN na den zdarma. Ale to klidně počká, zatím si můžete přečíst článek, který pro vás někdo odemknul.

Pokračovat na článek

Předsevzetí první: Budu používat dvoufaktorovou autentizaci

Běžné přihlašování pomocí statického hesla v dnešní době postačuje jenom pro ty nejjednodušší a nejméně důležité systémy. Způsobů, jak může útočník vaše heslo získat, je prostě příliš mnoho, než abychom mu mohli věřit. Nejjednodušší cestou, jak se bránit, je kromě "faktoru znalosti" (heslo) používat ještě "faktor vlastnictví" (specifické zařízení).

Nainstalujte si do svého smartphonu univerzální aplikaci typu Google Authenticator nebo Microsoft Authenticator a u všech webů, kde je to možné, zapněte dvoufaktorové ověření. Dosáhnete tím řádového zvýšení bezpečnosti s nulovými náklady a minimálním obtěžováním – služby jsou typicky nastavené tak, že vás o druhý faktor požádají jenom při přihlášení z nového zařízení nebo nějaké nové lokace, neobtěžují s ním pokaždé.

Jako první zabezpečte dvoufaktorovou autentizací ty nejdůležitější služby. Přístup do e-mailové schránky a služby, pomocí kterých se přihlašujete někam jinam, typicky Microsoft Account, Google Account, Facebook, Twitter. E-mailová schránka je obzvláště důležitá, protože pokud někdo získá kontrolu nad vaším e-mailem, může si na většině webů obnovit přístup k libovolnému účtu nastavením nového hesla. Správně nastavená dvoufaktorová autentizace ostatně představuje jednu z mála cest, jak se takovému útoku bránit.

Většina rozumných provozovatelů webu používá standardní protokoly pro generování jednorázových hesel, a můžete tedy mít jednu aplikaci, kterou použijete pro různé služby. Vyplatí se vybrat si tu, která se váže k vašemu primárnímu účtu. Pokud pracujete zejména v Microsoft ekosystému (Outlook.com/Office365, OneDrive atd.), nainstalujte si Microsoft Authenticator, protože pak se budete moci přihlašovat za určitých okolností úplně bez statického hesla. Jste-li spíše příznivci Googlu, Gmailu a podobných služeb, nainstalujte si ze stejného důvodu tutéž aplikaci od Googlu.

Pro českého uživatele je tragické, že spojení "většina rozumných provozovatelů" nezahrnuje největší český freemailový systém od Seznam.cz. Ten standardní dvoufaktorovou autentizaci nepodporuje. Místo toho podporuje jenom "dvoufázové ověření" pomocí svého vlastního mechanismu, který není kompatibilní s normálním světem a vyžaduje, abyste si nainstalovali jejich vlastní prohlížeč. Vzhledem k tomu, že se jedná o typickou ukázku přístupu společnosti ke kybernetické bezpečnosti, může být dobrým novoročním předsevzetím migrace e-mailu k některé z příčetnějších alternativ.

Seznam.cz je konečně bezpečnější: Dvoufaktorové ověření zavedl pozdě a ještě špatně - čtěte ZDE

Michal Altair Valášek: Všechno, co víte o heslech, je špatně - čtěte ZDE

Předsevzetí druhé: Budu používat správce hesel

Klasických hesel se bohužel dost dobře nelze úplně zbavit. A aby byla tato hesla co k čemu, musí splňovat řadu podmínek: musí obsahovat dostatek entropie (tj. musí být dostatečně dlouhá a přitom náhodná) a především se nesmí opakovat. Pro každý systém nebo službu potřebujete samostatné heslo, jinak riskujete, že únik informací z jedné služby zkompromituje váš přístup ke všem službám se stejným heslem. Což bohužel znamená, že nemáte nejmenší šanci si všechna potřebná hesla zapamatovat. A z hlavy objektivně kvalitní heslo ani nevymyslíte, lidské bytosti jsou notoricky špatné ve vytváření entropie.

Jediné řešení je používat password manager – správce hesel. Je vcelku jedno, jakého konkrétního. Můžete používat KeePass, který je zdarma (já ho používám) a je zcela off-line, nezávislý na vnějších službách. Na mém YouTube kanálu najdete návod jak KeePass nainstalovat a používat. Pokud dáváte přednost pohodlí placených cloudových služeb, je zcela v pořádku používat je. Asi nejznámější jsou LastPass a 1Password. Můžete použít i password manager vestavěný v aktuálních verzích prohlížečů Chrome a Firefox. Používejte v podstatě jakýkoliv password manager, cokoliv vám vyhovuje, je dobré.

Všechna mainstreamová řešení jsou dobře. Mají různé relativní výhody či nevýhody, ale ty jsou nepodstatné v porovnání s rizikem, jaké dnes nese nepoužívání silných a unikátních hesel. A bez password manageru je prakticky nemožné unikátní silná hesla používat.

Moji hlavu nikdo nehackne. Jak se zabezpečují amatéři a jak profíci? - čtěte ZDE

Větší firmy a organizace jako nemocnice v Benešově se musí internetovým vyděračům umět bránit. Michal Valášek radí, jak na to - čtěte ZDE

Předsevzetí třetí: Budu používat aktuální a aktualizovaný software

Když se Google ve svém slavném průzkumu Nobody can hack my mind ptal bezpečnostních specialistů, co je z bezpečnostního hlediska pro uživatele nejdůležitější, na prvním místě se umístilo používání aktuálního a aktualizovaného softwaru.

Softwarové aktualizace jsou pro uživatele často nepříjemné. Objeví se zrovna ve chvíli, kdy se nám to nejméně hodí. Přeskládají ikonky v aplikaci tak, že vypadají jinak a jsou jinde. Vaše nejoblíbenější funkce, pokud vůbec nezmizí, jsou schované tam, kde je nenajdete, a chovají se jinak. Za upgrade na aktuální verzi je třeba občas platit, no prostě fuj. Přesto je používání aktuálního a aktualizovaného softwaru z hlediska bezpečnosti kritické.

Většina útoků přichází nikoliv cestou neznámých a neopravitelných "zero day" chyb, ale prostřednictvím zranitelností, na které existují opravy dlouhé měsíce, někdy i roky. Týká se to s největší pravděpodobností i mediálně známých útoků z poslední doby, které vyřadily z provozu systémy OKD a nemocnice v Benešově. Ze zveřejněných informací je pravděpodobné, že k útoku a šíření byly využity dávno opravené zranitelnosti v protokolu RDP.

Mějte zapnuté automatické aktualizace všeho softwaru, a pokud vyjde nová aktualizace, instalujte ji pokud možno v řádu hodin (z pozice soukromého uživatele) nebo dnů (z hlediska větší firmy, kde přece jenom testování a nasazení nějakou dobu trvá).

Jenom velice zřídkakdy se stává, že aktualizace něco doopravdy "rozbije". Takové případy existují, ale jsou spíše mediálně profanované (protože velice vděčné) než reálně běžné.

Předsevzetí čtvrté: Budu zálohovat svá data. A budu to dělat správně.

Zálohování dat je ochranou proti mnoha problémům. Může se jednat o selhání hardwaru (disků, řadiče...), selhání softwaru nebo uživatele (omylem smažete něco, co jste neměli) či bezpečnostní incident vnitřní či vnější povahy. Nebo třeba o živelní pohromu, požár či povodeň, vykradení firmy nebo domovní prohlídku. Staré ajťácké úsloví praví, že uživatelé se dělí na dvě skupiny: jedni zálohují a druzí ještě nikdy nepřišli o svá data.

Osobně jsem se setkal i se třetí skupinou, a to jsou ti, kteří o svá data přišli opakovaně a své návyky nejsou ochotni či schopni změnit. V podobných případech však pomůže jenom svěcená voda – plnou vanu a utopit.

Důležité je nejenom zálohovat, ale také dělat to správně. V mnoha případech jsou špatně udělané zálohy uživateli k ničemu. Pokud máte záložní média uložena v poličce vedle serveru, sebere vám požár, velká voda, zloděj nebo policejní zásahovka obojí (vím o čem mluvím, z vlastní zkušenosti). Pokud jsou vaše zálohy běžně dostupné z produkčního systému, zašifruje vám je ransomware také.

Pro jednotlivého uživatele je dobrým řešením pro důležitá data používat cloudové služby typu Microsoft OneDrive nebo Google Drive. Jedná se o zálohu sui generis – primárním cílem těchto služeb není zálohovat, ale proti selhání disku nebo útoku ransomwaru dovedou ochránit docela dobře.

Lepší je používat speciální zálohovací řešení, které je oddělené od produkčního prostředí. A to jak logicky (aby útok na produkční prostředí nesmazal zálohy), tak fyzicky (aby případná fyzická katastrofa nepostihla obě lokace). Můžete si ho postavit sami, pokud k tomu máte dostatečné zdroje a znalosti, ale pro většinu běžných uživatelů bude vhodnější použít nějaké hotové cloudové řešení typu Backblaze, CrashPlan, Carbonite a podobně.

Ransomware útočí i před Vánoci a nevyhýbá se ani Česku. Poradíme, jak se před vyděrači bránit - čtěte ZDE

Předsevzetí páté: Budu používat šifrování disku

Všechny současné operační systémy podporují transparentní šifrování obsahu disku. Na Windows platformě se to jmenuje Device Encryption (na Windows 10 Home) nebo BitLocker Drive Encryption (ve verzi Professional). Šifrování disku vás ochrání nikoliv před ztrátou, ale před únikem dat, což může být nepříjemné vždy a s ohledem na GDPR v současnosti dvojnásob.

Prvním scénářem, kdy vám šifrování disku pomůže, je ztráta nebo krádež zařízení s citlivými údaji. Zloděj nebo nepoctivý nálezce si sice může nechat hardware (který je dneska levný), ale drahá data nezíská.

Druhým scénářem je likvidace či odprodej již nepotřebného zařízení. Určitě jste četli historky o tom, jak se někde na skládce nebo ve výprodeji přebytečného majetku našly lékařské zprávy, finanční záznamy nebo třeba seznamy členů utajovaných vojenských jednotek. Šifrování disku znamená, že stačí smazat šifrovací klíč a k datům se nikdo nedostane.

Poslední častý scénář je reklamace. Lepší výrobci u vyšších řad zařízení při reklamaci nepožadují zaslání/vrácení paměťových médií. Ale běžný standard to není. Opravdu při reklamaci notebooku věříte každému, komu se dostane do ruky?

Dodržet předsevzetí

Dodržování shora zmíněných předsevzetí vám nezaručí naprostý klid a bezpečí. Ale výrazně sníží šanci, že se s vámi potkám v roli bezpečnostního konzultanta nebo publicisty, který svým typicky jedovatým stylem komentuje nejnovější mrzení v oboru kybernetické bezpečnosti.

A to je asi to nejlepší přání, které vám do nového roku mohu dát.