bardóczi ákos @post.r

Még az Ars Technica-cikk megjelenése előtt értesültem róla, hogy megint volt valami dráma, nevezetesen a kémfőnöktől minősített adatokat szerzett meg egy-két unatkozó középiskolás. 

A sztorit és az ilyenekhez hasonló történetekre jellemző általános dinamikát összefoglalom vázlatosan, pontról pontra, mert megint az a benyomásom, hogy ezt a viccet már hallottam párszor. 

Először is, a támadó a legritkább esetben hacker /*a kifejezés US english értelmében*/, inkább valami unatkozó hülyegyerek, aki egy jól ismert személy postafiókjához olyan módon fér hozzá, hogy azt social engineeringnek sem nevezném, ugyanis teljesen publikusan fellelhető információk alapján általában kitalálja a jelszót, valamiféle feltörésről, azaz az autentikáció megkerüléséről vagy MITM-támadásról szó sincs.

A legismertebb eset, amikor Sarah Palin személyes Yahoo-fiókjához fértek hozzá, ami nem volt egy fene nagy bravúr, mivel a fiókhelyreállításhoz szükséges biztonsági kérdés a születési dátum vagy az iskola volt, amit egy elnökjelölt esetében nem olyan eszelősen nehéz kideríteni. 

Nem sokkal később George W. Bush AOL-os fiókjához szeretek hozzáférést ennél nem túl bravúrosabb módon, amit érdemes alaposan megfigyelni, hogy az AOL-os fiókból az égvilágos semmi kínos nem került ki. 

Nemrég pedig azon pörgött a net népe, hogy Clintonné nem csak, hogy nem értette, hogy miért nem jó ötlet magáncélra saját, valami barkácscég által összegányolt szervert használni, aminek a sértetlenségét alighanem az FBI és a Secret Service ügynőkei összeszorított farpofával figyeltek végig, utólag sem magyarázhatták el neki, hogy a magán és a szakmai levelezés egyszerűen nem választható el ilyen módon, politikus esetén pedig pláne nem. [ui. ahogy írtam róla korábban, az emberi tudat egyrészt nem mindig tudja megkülönböztetni a kényes és kevésbé kényes információkat, másrészt egy információ bizlmas jellege időben is változhat, hamradrészt egy kifinomultan dolgozó social engineer teljesen privát adatok kimozaikozásából is bőven eljuthat az őt vagy megbízóját ténylegesen érdeklő információkhoz] 

Másrészt jelen esetben a CIA-főnök használt egy AOL-os fiókot, ami az AOL minőségét és stabilitását ismerve már önmagában bizarr. Egy magyar önkormányzatnál nemhogy előfordulhat, hanem egyenesen minennapos lehet, hogy pusztán kényelemből küldözgetnek át egymástnak adminisztratív dolgozóktól kezdve a döntéshozókig olyan dokumentumokat, amiket nagyon nem kellene privát címekre, publikus szolgáltatókon keresztül. 

Itt elvben történhetett ez is. Viszont volt egy olyan feltételezésem, hogy egy kémfőnök ennyire hülye mégsem lehet, inkább arról van szó, hogy egy jól megtervezett honeypot az egész: figyelik, hogy kik, mikor, milyen módszerrel próbálnak hozzáférni az AOL-fiókhoz, azt pedig beszivárogtatni, hogy melyik a főkém email fiókja, ismétcsak nem egy nagy bravúr. 

Harmadrészt a feltételezésemet alaposan megerősítette, hogy ez történhetett, amikor a Wikileaksen megláttam a postafiókból kikukázott überszupertitkosnak vélt dokumentumokat: vagy olyanok, amik csak azt valószínűsítik, hogy a doksi tényleg a Brennan AOL-fiókjából származik, talán még annyit sem, megint más dokumentumok úgy lettek összeállítva, hogy azok belsős anyagnak tűnnek, de jónéhány, valóban érzékeny dokumentummal való korábbi találkozás után bárki azt tudja mondani, hogy itt szembetűnően gyakorlatilag semmi sincs, ami biztonságpolitikai szempontból kényes lenne vagy ha már nem is értékes, legalább ciki. Az összeset mondjuk nem nyálaztam át, ha valaki talál, ne fogja vissza magát, jelezze! 

Negyedrészt, tehát találtak is valamit meg nem is, ez volt a fene nagy hekkelés. Az általános séma pedig ahogy ez lenni szokott, a Ámerika tíz perc hírnévre éhes hőse gyorsan eldicsekszik a mestertervvel - ezért már önmagában járna az amatőrségi bizonyítvány - amit valamelyik szép nagy sajtóorgánum minimális ellenőrzés után le is közöl, nehogy már lemaradjon a sztoriról. Ez jelen esetben a New York Times és a CNN volt. Amikor a mainstream pörög a témán, a sokkal komolyabb, gyakran eléggé komoly szakértőkkel dolgozó lapok, mint az Arstechnica vagy a Wired, szintén nem engedheti meg magának, hogy egyáltalán ne írjon róla, még akkor is, ha alighanem tudják, hogy az egész sokkal inkább médiabumm, mint bármi más, de legkevésbé kormányzati adatszivárgás. 

Eztán szerte a világon mindenki leközli gyakorlatilag ugyanazt és persze nem jellemző, hogy az egész sztorit kicsit újragondolva írjon róla olyan, aki valamit konyít a témához, mondjuk látott már több olyan security breachet, aminek valóban komoly diplomáciai vagy reputációt befolyásoló hatása volt. Na, ez nem olyan. De azon sem lennék meglepődve, ha a CIA egy faék, akarom mondani, a Blackberrym hátlapjához hasonló egyszerűségű módszerrel hülyét csinált volna az egész világból, mi több, ez a legvalószínűbb. Ismét az jut eszembe, amikor egy időben egy-egy kormányzati csúcsszerv azzal került mindenhol címoldalra, hogy a webhelyüket - azaz még csak nem is intranetről volt szó például - rendszeresen feltörte valaki, aki úgyis eldicsekedett vele vagy legalábbis könnyűszerrel azonosítható volt. Főleg a 90-es években és a 2000-es évek első felében volt már-már konzervhír, hogy ismét meghakkolták a NASA-t, csak épp arra nem tértek ki, hogy a webes frontendet, ami egy egyszerű webszerver. A webszerverek alighanem szándékosan legyengített szerverek voltak, a támadó kiléte pedig egy kincs volt a hírszerzés és a nyomozó hatóságok számákra, mert rajta keresztül fel lehetett térképezni több, hasonló hacktivista csoportot. 

Végül megjegyzem, akár valódi adatszivárgás történt, akár roppant jól eljátszották az egészet, az egész médiabeli megjelenésére rátesz egy lapáttal az, hogy még sokkal pitibb esetekben, sokkal alacsonyabb pozícióban lévő alkalmazottak sem mondhatnak semmit. 

Hipotézisekben kimeríthetetlen vagyok: érdekes módon a veszett biztonságos levelezést kínáló cégek azt követően kapcsolják magasabb fokozatra a marketingkampányukat, miután egy-egy ilyen eset történik és frissen a tömeg tudatában él. Nem kizárt, hogy egy rég ismert lehetőséget kihasználva beszivárogtatták pár hülyéhez, hogy hogyan léphet be egy fejes email-fiókjába, amit persze meg is tett, a sajtó pörög rajta ideig-óráig, egy-egy hakkolhatatlan levelezést kínáló startup pedig mondhatja magáról, hogy na, náluk ilyen aztán nem történhet meg. 

"Melyik virtusirtó a legjobb? Amúgy olyan kellene, amelyik ingyenes is, tudod, én nem értek hozzá, csak az a lényeg, hogy menjen is." Ez egy igencsak gyakran felmerülő kérdés, amivel kapcsolatban, mielőtt megválaszolnám, gyorsan meg kell jegyeznem, hogy önmagában a vírusirtó, azaz végfelhasználói antivírus termék már jóideje édeskevés, olyat kell választani, ami tartalmaz tartalomszűrőt, személyi tűzfalat, és egyáltalán, minél több olyan funkciót valamilyen formában, amit nagy-nagy rendszerekben is alkalmaznak, csak itt kicsiben. Másrészt, ahogy arra kitérek, amellett, hogy nem lehet kijelenteni egy adott antivírus termékről, hogy a legjobb, azt meg pláne nem, hogy ha most hatékony, majd az lesz több hónap vagy év múlva is. 

mindeközben a világon a Fireeye animációján

Tételezzük fel, hogy az olvasó nem művelte ki magát malware analízis rejtelmeivel kapcsolatban, hanem átlag felhasználóként próbálja meg védeni a gépét a kártevőktől. A vírus, rootkit és malware kifejezéseket minden további nélkül használhatjuk rokon értelmű kifejezésként, a kártevők ezek csoportosítása mára már tényleg történeti az esetek többségében. 

Abban az esetben, ha valaki legalább megkérdezi, hogy melyik a legjobb AV-termék, a jobbik eset, a rosszabb, ugyan talán már kevésbé gyakori, amikor valaki azt vallja, hogy az ő víruskergetője aztán mindent felismer. 

Ahogy írtam, a normális végponti védelmi megoldás, azaz security suite nem csupán vírusirtó motorból áll, hanem tartalmaz olyan elemeket, amik szigorú értelembe véve nem az AV-termék részei ugyan, nyilvánvaló, hogy a gép biztonsága szempontjából legalább annyira fontosak. Például a legtöbb termék tartalmaz olyan funkciót, amelyik figyeli, hogy a felhasználó milyen webhelyet látogatna meg és ha azt észleli, ha olyan webhelyről van szó, amit korábban észlelt, mint kártékony webhely, jelzi ezt a felhasználónak - függetlenül attól, hogy a böngészőnek egyébként is van-e ilyen funkciója vagy sincs. 

 

a Kaspersky threat-mapje szerint sem jobb a helyzet

Hasonló módon, a security suitehoz gyakoran kapcsolódik valamilyen IPS vagy IDS megoldás, ha más nem, olyan, ami figyeli, hogy nem érkeznek-e esetleg töredezett adatcsomagok a hálózat felől vagy éppen egy alkalmazás nem akar-e olyan műveletet végrehajtani, ami egyébként végképp nem megszokott az adott környezetben. 

Maradva a klasszikus antivírus-termékekhez legközelebb eső szoftvereknél, az http://av-comparatives.org/ rendszeresen összeállít részletes elemzéseket különböző, végfelhasználók számára kínált AV-megoldásokkal kapcsolatban, ami nagy segítség lehet a választásban, de semmiképp se mondanám, hogy a konkrét választáshoz bőven elég, még akkor sem, ha a teszteket különböző szempontok alapján végzik el, amik egyikében azt nézik, hogy éles használat közben mennyire teljesít jól egy termék, megint másikban azt, hogy mennyire erőforrásigényes, mennyire strapálja a gépet, megint másik tesztben azt, hogy mennyi falspozitív találatot ad és így tovább. Többek közt azért nem lehet mindössze ennyi alapján dönteni, mert figyelembe kell venni a konrét környezetet, amiben a termék majd futni fog, másrészt van olyan termék, aminek helye lenne az összehasonlítások közt, de mégsincs fenn. Az alatt, hogy különböző környezetek figyelembe vétele, nem csak azt értem, hogy figyelembe kell venni a különböző teljesítményű gépeket, hanem azt is, hogy a felhasználó, amlyik használni fogja, mennyi előismerettel rendelkezik, azaz tudja-e hatékonyan használni a szoftvert olyan módon, hogy nem kell irritálóan sokat foglalkoznia vele, viszont a gépét is megfelelő biztonságban tudhatja, a termék az elvárható mértékben a háttérben, csendben végzi a feladatát és csak akkor rikácsol, amikor az tényleg indokolt. 

Másrészt figyelembe kell venni azt a nagyon kellemetlen tényt, hogy az a védelmi megoldás, ami most még a csúcson van, lehet, hogy néhány idő elteltével már gyalázatosan rosszul teljesít. Még a tavalyi Hacktivtyn Varga-Perke Bálint mutatta be azt az eszközt, amivel víruskergetők hatékonyságát vizsgálta, sokkoló, de több AV termék, mintha nem is lenne, a legfeltűnőbb behatolási kísérleteket sem észleli. 

Az tűnik logikusnak, hogy a legszélesebb körben ismert termékek biztosan a legjobbak is, holott ez nem igaz. Meggyőződésem, hogy több antivírus termék azért örvend nagyon nagy ismertségnek, mert sikerült eltalálnia az igencsak nehezen belőhető szintet a felhasználóbarát kialakítás és a hatékonyság közt. Ugyanis nyilván egy végponti termék beállítópaneljei nem lehetnek ijesztően bonyolultak a felhasználók számára, ebből viszont egyenesen adódik, hogy nem is lehet annyi mindent finomhangolni bennük. 

Platform, platform és platform... Korábban már meséltem róla, hogy amikor iMac-emet vagy a Macbookomat használom, mindkettőn fut több víruskergető is, amik ebben a környezetben nem vesznek össze egymással, de az OSX felhasználók döntő többsége még azzal sincs tisztában, hogy illene bekapcsolni a BSD-lelkű OSX beépített tűzfalát a rendszerbeállításoknál, ami többek közt egy nagyon precíz iptables-konfigurálást végez a háttérben. Víruskereső beállításáról eleve csak ez után van értelme egyáltalán beszélni. 

Sokszor a linuxos felhasználók a legsúlyosabbak, legvitaképtelenebbek olyan szempontból, hogy pusztán azért érzik magukat fenenagy biztonságban, mert valamelyik linux-disztrót használják. A közveszélyes mítosz, ami szerint a linux disztribúciók védettek a vírusokkal és vírus-jellegő kártevőkkel szemben, mindig is mítosz volt, arra pedig nincs általános recept, hogy milyen finomhangolást kell elvégezni egy Slackware vagy egy OpenSUSE disztrón azért, hogy az valóban eléggé biztonságosnak mondható legyen. Másrészt az is meggyőződésem, hogy a linux felhasználók többségének a gépét akár éveken keresztül is átjáróháznak lehetne használni anélkül, hogy abból bármit is észlelnének. 

Ami a Windows-t érintő kártevőket illeti, a drága felhasználó sokszor a legelemibb lépéseket sem teszi meg, mint például az oprendszer rendszeres frissítését. Persze abban az esetben, ha a Windows nem aktivált, nem legális forrásból származik, lehet, hogy az automatikus frissítés emiatt nem fog menni, viszont a MS update oldaláról minden esetben lecibálhatók a frissítések kézzel. Hogy mennyire nem érdekli a többséget a frissítés, arra amilyen szélsőséges, legalább annyira tanulságos eset, hogy a 2008-ban azonosított Conficker worm annak ellenére képes volt 6-7 évig a legelterjedtebb kártevők dobogós helyén maradnia, hogy a felhasználóknak egyetlen (!!) frissítést kellett volna telepíteniük ugyan, ami korrigálja azt a hibát, amit a kártevő kihasznált, de még ezt sem tették meg. A windowsos rendszerek alapértelmezett beállításai is persze általában veszélyesek, túl megengedőek, a tömegeknek szánt oprendszerre természetesen igaz, amit előbb írtam a védelmi termékekkel kapcsolatban, azaz a kényelem és a biztonság közti egyensúly megtalálása kulcs kérdés. 

Kényelem, azaz egyszerűség és a biztonság. Nos, igen. A saját Windowsomon olyan security suite fut, amivel mást biztos a világból ki lehetne kergetni, mert annyira bonyolultnak tűnhet beállítani, hozzáteszem, egyszer kell normálisan beállítani, aztán különösebben foglalkozni sem kell vele. 

Engem már riasztott el antivírus szoftver azzal, mert annyira halálosan bugyuta volt és alig lehetett benne valamit átállítani, ehhez képest persze, hogy ellentétben az általam használttal, a sokkal bénább fenn van az AV-comparatives listáján. Olyan megoldásoknál, ahol egyáltalán nem látni a motorháztető alá, idő kérdése, hogy a felhasználó mikor fog súlyos árat fizetni a kényelemért. Több AV-termék egészen elképesztő dolgokat enged meg magának, például többről kiderült, hogy az AV-motor beengedi a szignatúra alapon felismert vírust, de csak akkor csinál is vele valamit, ha azt valami futtatná, ami hajmeresztő blődség, mert kombinálva olyan módszerekkel, mint a felhő alapú heurisztika, azaz amikor a gép felküldi a szervernek a gyanusnak ítélt fájlt vizsgálatra vagy a viselkedés alapú heurisztika, ami azt vizsgálja, hogy egy folyamat végez-e valamilyen szokatlan műveletet, egyáltalán nem biztos, hogy kiszúrja a kártevő működését az AV-motor, azaz erre nem kellene támaszkodni, a szigorúbb beállítás viszont drámaian megnöveli a szoftver erőforrásigényét. 

Mi lehet tehát a megoldás, ha nem értesz hozzá? Az egyik, hogy bízol a rendszergazdában, amiből mondjuk nem következik egyenesen az, hogy kellő mélységben ő is érteni fog hozzá és nem arra gondolok, hogy képesített malware analyst vagy sem. Láttam már szép nagy szervezeteket, aminél olyan malware-védelmi megoldást vezettek be, amik veszett drágák voltak de legalább jó szarok, ami egészen addig nem tűnt fel senkinek, amíg nem tarolta le a fél világot mindenféle ransomware, azaz váltságdíjszedő malware.  

a Norse szerint sem rózsásabb a helyzet

A vírusvédelem tehát nem választható el az informatikai biztonság többi területétől, kérdezz olyat, aki ért hozzá, ha senki sincs a közelben, akkor marad az AV-comparatives, mint kiindulási pont. 

Hozzáteszem, első látásra gyanusnak tűnhet, hogy hogyan lehet a világ legjobb vírusirtói közt több olyan is, ami egyébként teljesen ingyenes, tipikusan otthoni használatra avagy mitől is ingyenes? Ami ingyenes, az nem feltétlenül rosszabb. A freemium termékeknél általában a felhasználó megkap mindent, vattacukorral-törökmézzel, aztán ha olyanra lenne szüksége, ami nyilván szintén kell, azaz például biztonságosabb netezést lehetővé tevő tartalomszűrő, akkor már a fizetős csomagot kell választania. 

Ami gyakran látott jelenség freemium termékeknél, hogy a freemium a teljes terméktől esetleg csak olyan funkciókban tér el, amik konkrétan irrevelánsak a konkrét felhasználó esetén. így például értelmetlen hatékony spamszűrést emlegetni akkor, ha a felhasználó nem levelezőklienst használt a levelezéshez, hanem webes felületen levelezik, ahogy az elsöprő többség. Gyakran látható és inkább csak a félelemre apelláló marketingszöveg az, hogy egy ilyen termék biztonságosabbá teszi a netes vásárlást, de az már nem derül ki, hogy hogyan. Ugyanis ha ismeretlen zugshopok látogatásánál nem figyelmezteti a felhasználót sem a védelmi termék, sem a böngésző, a felhasználót sem zavarja, hogy egy láthatóan vállalhatatlan helyen adja meg a bankkártyája adatait, akkor nyilván értelmezhetetlen biztonsági featureként az, hogy "biztonságosabb netes vásárlás". Ami még egy hangzatos favorit, az a parental control. Nem tudom, hogy ki hogy van vele, de nekem általában feltűnik, ha olyan webhelyre tévedek, ahol kábszit, kurvákat, fegyvert vagy gyilokpornót lehet rendelni illetve nézni, anélkül, hogy erre figyelmeztetne egy szoftver. Ha bárki úgy gondolná, hogy ez egy roppant hatékony megoldás azért, hogy a netező gyerekek biztonságba netezhessenek, van egy rossz hírem: az esetek többségében a gyerkőc körülbelül akkor már ki tudja lőni vagy meg tudja kerülni a parental controlt, mire megtanul olvasni. 

Ismét más freemium megoldásnál az ingyenes és a teljes verzió esetleg szinte semmiben nem különbözik egymástól leszámítva azt, hogy az egyikhez van támogatás, a másikhoz pedig nincs, ami lehet, hogy annyira nem tűnik fontosnak, de fogyasztói kultúrától függően vannak államok, ahol azok, akik tényleg csak használni akarják a gépet, a részletekkel pedig nem foglalkozni, inkább befizetnek pár garast évente, hogy valami szaki segítsen helyrepakolni a gépet telefonon vagy távoli bejelentkezésen keresztül, ha van valami probléma. Esetleg olyan termékről van szó, aminél a gyártó főprofilját nem is az AV és személyes tűzfal megoldások jelentik, hanem valami teljesen más, például nagyvállalati megoldások, az abból befolyó összeg egy részét költik arra, hogy end-user termékeket fejlesszenek ezzel erősítve a márka nevét és még így is simán megéri. 

Felhasználói tudatosság mindenek felett: tökéletes megoldás valószínűleg sosem lesz, mivel hiába jelzi ki egy védelmi termék, hogy egy emailen érkezett webcím gyanus vagy egy alkalmazás szokatlan műveletet hajtana végre, a felhasználó úgyis arra a gombra kattint, amelyikkel a felugró ablak leggyorsabban eltüntethető az útból. Ahogy a legtöbb helyen a felhasználók úgy gondolják, hogy a biztonság szavatolása csak az IT-sek dolga, úgy a legtöbb helyen az alkalmazottnak semmiféle kártérítést nem kell fizetnie olyan kárért, amit ők maguk okoztak, azaz például egy riasztás ellenére engedett lefutni egy ismeretlen alkalmazást vagy egy nyilvánvalóan scam emailben rákattintottak egy fertőzött webhelyre mutató hivatkozásra. 

Tudjátok mit? Nem csak rossz oldala van annak, hogy az utóbbi néhány hónapban két nagy magyar orvosi egyetemen is rommá fertőzték a gépparkot ilyen-olyan ransomware-ek, ezzel számos kutató dokumentumait végérvényesen gallyra vágva - holott ez megelőzhető lett volna. Ilyenkor mindig úgy gondoljuk néhányan, hogy ebből aztán már csak-csak tanulnak majd valamit az érintettek, még mindig jobb, mintha mondjuk 5 év múlva, egy még durvább malware szedi szét a házat, aminek az eredménye végülis nem kevés értékes kieső munkaóra. Amit sokan nem vesznek észre, hogy minden állami költségvetésű szerv végülis a közös kasszábból gazdálkodik akkor is, ha éppen megelőzhető vírusfertőzések után kutatási adatok helyreállításával szerencsétlenkednek az alatt az időt alatt, amit lehetne értelmesebben is tölteni. 

Valahogy ez a privát szektorban nagyon sok helyen nem kérdés, hogy beengedni egy vírust olyan módon, hogy az alkalmazott valamelyik művelettel eltér az informatikai biztonsági házirendtől, ugyanúgy következményeket von maga után, mintha véletlenül megöntözi forró csokival a céges projektort. Szent igazság, hogy a biztonságtudatosságot még mindig annál inkább veszik komolyan, minél közvetlenebb módon látható egy-egy incidens következtében adódó kár, legyen szó akár egy vírusfertőzésről, akár célzott támadásról. 

A security suite termékek jövője egyértelműen olyan irányba kell, hogy menjen, aminek a lényege, hogy a felhasználót önmagától védik meg több-kevesebb sikerrel, arra még jóideig nem lehet számítani, hogy a felhasználót tekintsük értelmes lénynek a géphasználat szempontjából, de ez nem a security suite-ok sajátossága. Ennek első látványos megjelenése a Windows-termékekben megjelenő UAC volt az OSX-eken pedig alapértelmezés szerint időről időre csökkentették a felhasználók jogosultságait avagy ahogy a művelt kínai mondaná, principle of least privilege. 

Ahogyan az is várható, hogy a végponti biztonsági programcsomagok piaca olyan módon fog diverzebbé válni, hogy az egyik futtatása a bevallottan az erősebb, a másik a gyengébb hardverrel rendelkező gépeken ajánlott, az egyik bolondbiztosabb, a másik kevésbé, de nagyobb finomhangolásra ad lehetőséget, illetve az egyre gyorsabb netes penetráció előnyeit kihasználva az egyik jobban támaszkodik a felhőre, a másik kevésbé. Ezen kívül várható, hogy azokon a helyeken, amiket kevésbé tartottak kritikusnak vírusvédelmi szempontból, a helyi rendszergazda vagy IT team bekeményít és valamilyen módon szankcionálja, ha egy alkalmazott hülyeségére vezethető vissza a sikeres fertőzés. 

A fenti animációkon az látható, ahogy egy-egy víruslabor, önmagát általában csupasz Windows XP-nek álcázó honeypot szerverét mennyi és milyen típusú támadás éri, ehhez adódnak még a felhasználók gépei által automatikusan elemzésre felküldött fájlokból és viselkedésmintákból származó adatok. 

könyv tipp: Szőr Péter - A vírusvédelem művészete; Hacking Exposed: Malwares and Rootkits  
térképek: Krebsonsecurity Blog, animáció meg van még, mondjuk itt

Bármilyen informatikai eszközről is legyen szó, egyszerűen minden felület potenciális sebezhetőséget jelent, amin keresztül az eszköz információcserét folytat a külvilággal. És persze mindig lesz olyan, amire nem gondolunk. Ideértve az ember pszichikai nyomait is.

Az iOS eszközök Sirije és az androidos mobilok Google Now funkciója egy roppant vicces dolog, már csak azért is, mert ahogyan azt korábban is sejteni lehetett, nem csak az ember számára hallható hanggal és nem csak a mobil tulajdonosa tud utasításokat adni a mobilnak, hanem a funkción keresztül hakkolható a mobil targetált elektromágneses sugárzással is, 16-17 láb távolságból, esetlegesen anélkül, hogy a mobil tulajdonosa ebből bármit is észlelne, ahogy az olvasható a Wired nemrég megjelent cikkében is, ami arra is kitér, hogy francia kutatók egyébként bagóért beszerezhető eszközökből dobták össze a támadáshoz szükséges eszközt.

A mai kütyük egyébként többé-kevésbé árnyékoltak az elektromágnesességgel szemben, könnyen belátható, hogy a mikrofon eleve nem lehet annyira árnyékolt, mint a többi rész, annak meg nincs sok értelme, hogy folyamatosan figyeljen. Ebben a nem túl zajos videóban azt mutatják be, hogy az egyébként lezárt mobilt hogyan is oldották fel gyakorlatilag a "távoli parancsvégrehajtás" ezen kevésbé ismert módszerével. 

Korábban már olvashattunk példát, hogy egészen szokatlan átvivő közeg is alkalmas lehet egy támadás kivitelezésére, pár évvel korábban még teljesen őrült ötletnek tűnt, hogy a processzor által végzett titkosítási folyamatokat a szó szoros értelemben lehallgassák, aztán simán megcsinálták. A kriptoanalízis ezen formájáról egészen emberi nyelven írt wiki-szócikk erre. 

Nyilván túl nagy sansza nincs annak, hogy ilyen támadást alkalmazzanak is, hacsak nem nagyon nagy értékű információhoz próbálnak hozzáférni, másrészt a támadóknak fizikailag is közel kell kerülniük az eszközhöz.

Amit érdemes tanulságként levonni – már megint – hogy le lehet ugyan költöztetni mondjuk az összes gépet a pincébe, aztán a falat kibélelni ólommal, a mobilt meg Faraday-bagbe tenni, ha felmerül az esélye annak, hogy valaki azt próbálja meg támadási vektorként alkalmazni mondjuk valakinek a leghallgatására, értelmetlen. Mindig lesznek olyan módszerek, amikre a személy nem gondol, mi több, még a kutatók sem, tökéletes biztonság akkor lenne kialakítható, ha mindent elzárnánk a külvilágtól, ami információt hordoz. Ez egyrészt nem megvalósítható, másrészt nem is kell megvalósítani. Amikor azt írtam, hogy "mindent", úgy értem, hogy az informatikai eszközökön túl még a felhasználót is, aki tud valamilyen információt. Ugyanis egy személy gyakorlatilag a puszta létével pszichikai nyomok hatalmas forrása lehet, amire két egyszerű példát is írok.

Az egyik, hogy máig az egyik leghatékonyabb eszköze a puhatolásnak [kriminalisztikai értelemben: olyan adatszerzés, amikor a másik nem is tudja, hogy adatot szolgáltat] az, ha a social engineer, a fedett nyomozó vagy a hazugságvadász úgy beszélget a másikkal, hogy a beszélgetést egyébként a másik teljesen spontánnak érzi és egy rakás irreleváns kérdés közé, a beszélgetés közepére bök be egy fedett nyomozó egy arra irányuló kérdést, amire konkrétan kíváncsi, persze nem feltétlenül direkt kérdést kell elképzelni. Az eredmény: a másik még csak észre sem veszi, hogy valamit konkrétan elmondott vagy éppenséggel olyan információkat kotyogott ki, amiből már kimozaikozható az, amire mondjuk egy nyomozó kíváncsi, megerősít vagy gyengít egy előzetes hipotézist.

összetett, de nem úgy, ahogy elképzelitek

A másik példa, ami mutatja a pszichikai nyomok hatalmas információértékét, azok a nyomok, amik a nyelvhasználatban nyilvánulnak meg. Hiába próbál valaki úgy blogot írni például, hogy az technikai szempontból gyakorlatilag a legdurvább paranoiditásig menően anonimizált, a nyelvhasználata elárulhatja a szerzőt akkor is, ha nem is azokat a szavakat vagy szóösszetételeket használja, amik rá jellemzőek is máshol is fellelhetők a neten, mondjuk a személyes blogján vagy a magánlevelezésében. Ugyanis a mondatszerkesztési stílus és a mondatok közti logikai összefüggések strukturálása többek szerint olyan egyedi, mint az ujjlenyomat (az idiolektus egyfajta része), alighanem az adott szerző által írt témától is független. Azaz szöveganyag alapján azonosítani egy szerzőt a neten elvben csak számítási teljesítmény kérdése. Sok esetben ezerszer prózaibb a helyzet, egyszerűen a szóhasználat alapján felfedhető a szerző kiléte.

A titkosszolgálatok története pedig tele van olyan sztorival, amikor egy módszer nem került egy garasba sem, ámde annál ötletesebb volt és félelmetesen egyszerű, mint például az, hogy a KGB ügynökei hogyan azonosították a CIA ügynökeit, végülis ugyancsak pszichikai nyomok alapján.

a világ egyik legismertebb DJ-jének olyan képe, ami millió meg egy helyen fenn van a neten, a Google Képkereső pont ezt a képet mégsem találja. Miért? Na, annyi könnyítést adok a megfejtéshez, hogy a találatokból lehet következtetni rá, hogy milyen kétklikkes manipulációt végeztem a képen

Amíg rá van pörögve a fél világ a legújabb iPhone-ra, van aki elvből, van, aki nettó gyakorlati megfontolásból addig nem cseréli le a meglévő iPhoneját amíg az nem válik használhatatlanná.

Márpedig az könnyen lehet, hogy soká lesz, oprendszeri frissítést pedig a nagyon súlyos sebezhetőségeket orvosló hotfixeken kívül nem adnak ki hozzá, ugyanakkor mára határozott lassulás tapasztalható a régebbi, frissített iPhone-okon, ellentétben azzal, hogy korábban az Apple foggal-körömmel ragaszkodott hozzá, hogy egy Apple-eszköz nem lehet érezhetően lassabb egy frissítés után akkor sem, ha egyébként régi. A nagyon régieket pedig egyszerűen nincs lehetőség frissíteni.

Mivel attól Apple az Apple, az újabb almás mobilom annak ellenére, hogy öt éves, ugyanúgy működik és alighanem működni is fog egy ideig, ha valaki hasonló cipőben jár, akkor érdemes néhány trükköt alkalmaznia, hogy a vén mobil is elfogadható sebességgel működjön. Azaz hogy kell kikapcsolni azokat a felesleges szarokat, amik csak eszik a rendszererőforrásokat. Kizárólag a hagyományos módon elérhető beállítási lehetőségekre térek ki, azaz olyanra nem, amit az oprendszer BSD-szívcsakrájába való beletúrással lehetne elérni - ha már úgysem jön hozzá frissítés, majdnem mindegy, nem? A leírt tweakek nem jailbreakelt eszközön, iOS 7.x-en biztosan működnek, az Apple-fanatikus cikkek többségében pedig pont ezek nincsenek leírva.

Ó, a Spotlight Search: milyen szép is, ha a megfelelő kulcsszó töredékének a beírásával is megjelenik az az alkalmazás, levél és egyáltalán bármi, amit hirtelen nem találunk, ugye? Amit viszont nem árt figyelembe venni, hogy az eszköznek mindent, aminek azonnal kereshetőnek kell lennie, a maga módján fejben kell tartania, ami folyamatosan igencsak számításigényes bravúrokat igényel, lévén, hogy nincs olyan eszköz, ami mindig mindent a memóriában tárolna, de ahhoz, hogy pl. egy gyors kereséshez a memóriába varázsolja azt, amit kell, igencsak sok követ meg kell mozgatnia a rendszernek, azaz eléggé sok bitet kell talicskáznia össze-vissza a háttérben.

Megoldás: csak azokra a kis memóriaigényű adatforrásokra engedélyezzük a spotlight search-öt, aminél tényleg szükség van rá, ezen kívül tartsuk szem előtt az ésszerűséget. Ha például a Mail alkalmazásban úgyis van saját kereső, értelmetlen itt is indexeltetni.

Az iOS 7 megjelenésével még több, felhasználói élményt fokozó effekt került a rendszerbe, ami valóban fokozta a felhasználói élményt olyan iPhoneok esetében, amik rogyásig voltak memóriával és erős GPU-val szerelték őket, akik régebbit használnak, azoknak aligha volt élmény az, hogy minden lassabban érhető el, csak azért, mert a képernyőn az effektek kifinomultabbak. Ami kétségkívül jó tulajdonsága, hogy szépen le lehet kapcsolni és az életbe nem kell vele foglalkozni, persze a korábbi verziókból megszokott effektek ettől még maradnak.

Jó ötletnek tűnik ugyan, hogy egy alkalmazás a saját adatait akkor is frissíthesse, amikor egyébként a háttérben fut, mi pedig esetleg közben használunk teljesen más alkalmazást, az egész tipikusan fölöslegesen zabálja az erőforrásokat, ami az újabb iPhone-oknál nem érződik, viszont mindez használja a hálózatot és túráztatja az akkumlátort is.
Az Apple a végfelhasználók számára a mobileszközei esetén végképp nem tette egyértelművé és egyszerűen ellenőrizhetővé, hogy mit jelent pontosan, ha egy alkalmazás a háttérben fut, tétlen, folyamatosan fut valamilyen módon a háttérben vagy egyáltalán nem fut. Az világos, hogy a rendszer igen kifinomultan figyeli, hogy melyik alkalmazást milyen gyakorisággal használjuk, ennek megfelelően a gyakran használt appok fürgébben is ugranak elő. Ezért van, hogy elképzelhetetlen az az Android-környezetből ismert jelenség, hogy kevés memória esetén lelassul az egész és alkalmazásokat kézileg kell bezárni. Iphone esetén míg például a Hangouts akkor is figyel és fogad hívásokat, ha épp bekapcsoltuk a telefont és el sem indítottuk az alkalmazást, ezzel szemben mondjuk a Skypeon csak akkor vagyunk hívhatók, ha az utolsó megnyitás után nem volt konkrétan tétlen, hiába van ott a futó alkalmazások közt. Hasonlóan zavaros, hogy mit jelent az, hogy egy alkalmazás a háttérben ügyködhet-e. Nos, mivel a jólnevelt alkalmazás egyébként is úgy van megírva, hogy amit a felhasználó nem mentett el, amikor érzékeli, hogy épp a felhasználó bezárja, elmenti az adatot, így például az Evernote vagy a Notes egy feljegyzést ment akkor is, ha csak bezárjuk, ehhez nem kell a háttérben futnia. A példánál maradva, ha azt szeretnénk, hogy a következő indításkor már a máshonnan megejtett szerkesztések is azonnal láthatók legyenek, akkor ezt ez a megoldás biztosítja, az esetek többségében viszont semmi szükség rá, így kikapcsolható. Ha a háttérben nincs frissítve, csak akkor frissíti pl. az Evernote a jegyzeteket, amikor legközelebb indítjuk, ennek megfelelően lassabban indul, de közben a rendszer annyival lesz gyorsabb, amikor a konkrét alkalmazás nem fut, de másvalamit használunk. Azaz igaz, egy-egy indítás több időt fog igénybe venni, például a Facebook vagy a LinkedIN nem azonnal mutatja a fal legfrissebb állapotát, hanem az indításnál frissíti azt, erre egyébként is csak akkor van szükség, ha az appot használjuk.

Vegyük észre, hogy az előző a helymeghatározási funkcióval is összefügg. Azaz egy háttérben futó alkalmazás rendszeresen lekérheti a geoinfókat, sokszor fölöslegesen, ami tovább zabálja az erőforrásokat. Több szállodafoglaló app van, ami még abban az esetben is, ha meg se nyitottuk és otthon ülünk, a háttérben rendszeresen megnézi, hogy hol vagyunk, hogy annak megfelelően, közelben lévő szállodát tudjon ajánlani, a leggyorsabban, ha megnyitnánk. Nos, ha mondjuk valami elborult vidékre utazunk, hasznos lehet, hogy helyi információkat figyelembe véve és a leggyorsabban jelenjen meg a kínálat, nyilván ez a ritkább eset.

Az Assistive Touch bekapcsolásával viszont kapunk plusz egy Home gombot, ami amellett, hogy a valódi Home gombot kíméli azon keresztül, hogy azt ritkábban kell nyomkodni, mivel amellett vagy helyett is használható, gyorsan előcibálhatóvá tesz olyan lehetőségeket, amik gyors telefon esetén egyébként is gyorsak, lassúnál viszont határozottan lassabbak, ilyen például a multitasking, ráadásul egyéni gyorsindítók is beállíthatók ún. gesztúrák rögzítésével.

Az, hogy különböző alkalmazásokban személyre szabott reklámokat jelenít meg, inkább privacy szempontból érdekes, viszont annak is megvan a maga számításigénye, hogy gyűjtse a felhasználói szokásainkat és ennek megfelelően jelenítse meg a testre szabott reklámokat, amikor kell. A dolog kísértetiesen hasonlít a Google hirdetés-perszonalizációjához: egy totálisan eldugott helyen, de kikapcsolható.

Ha van valami, ami nem változott az iPhone-ok evolúciójában, az az, hogy az egyik legnagyobb akkumlátorgyilkos a levelezőalkalmazás. Ahogy több helyen is olvasható, ha több olyan postafiók is be van állítva, aminek a tartalmát rendszeresen nézegetnie kell a rendszernek és jeleznie, ha levelet hozott a posta, drámaian gyorsabban merül az akku. Ami viszont fontos, hogy fiókonként külön-külön állítható be, hogy a tartalmukat a rendszer milyen időközönként ellenőrizze, esetleg soha, csak amikor kézileg nyitjuk meg vagy éppenséggel a funkciót támogató szolgáltató push-üzenetként értesítsen-e egy-egy új emailről. Gondolkozzunk kicsit gyakorlatiasan: ha valakinek überelhetetlenül sürgős valami, az úgyis fel fog hívni, nem pedig emailt ír vagy SMS-t. Ha nem olyan témáról van szó, ami eszelősen sürgős lenne, akkor úgyis ráér addig, amíg legközelebb kézbe veszem a mobilom, amelyiken látom, hogy olvasatlan email van a postafiókban, a boríték ikonja melletti számból, aztán elolvasom a levelet. Ez esetben viszont teljesen mindegy, hogy a levelek rendszeresen negyedóránként, félóránként, óránként töltődnek le vagy gyakorlatilag azonnal, mert IMHO normális ember úgysem fog gyorsabban válaszolni, mert gyorsabban értesült egy új emailről. Ha belegondolok, hogy mennyi levél érkezik hozzám naponta, egy fél fejezetet nem tudnék elolvasni egy könyvből vagy éppen teljesen esélytelen lenne koncentrálni normálisan bármire is, ha azonnal megnézném az emailjeimet, amikor azok érkeznek. Nem csak akkugyilkos, de értelmes tevékenységet végző ember számra értelmetlen is a levelek túl gyakori auto-fetchelése, óránkénti beállítás bőven elég. Hasonlóan vagyok a Facebook-üzenetekkel, a Messengert elvből nem telepítettem, aki írt, attól kéretik szépen megvárni, amíg gép előtt leszek vagy felhív. Az alapértelmezett push-t mindenhol érdemes kikapcsolni a levelezőalkalmazás beállításainál.

Apple-eszközt használni iCloud nélkül elvben lehet, gyakorlatilag nagyon nem érdemes. Ehhez viszont kapcsolódik egy rakás értelmetlen trágya is, amit vagy használunk vagy nem, esetleg használat közben megszokunk. Nincs általános recept, nekem jó, ha a képek azonnal megnézhetők a gépen is, mivel azok ugye automatikusan töltődnek a felhőbe, ha használjuk [ezért halálosan ostoba a nagyokos Apple-fanoknak az az érvelése, hogy miért nem nagyobb az újabb iPhone  háttértára - mert arra ott az iCloud, csókolom! Ha ott fenn van akár a fotó, akár a videó, már törölhető a mobilról.]. Ugyanakkor most komolyan, nevezze már meg valaki 5 ismerősét, amelyik az Apple levelezőszolgáltatását használja! Na ugye, alighanem mi sem használjuk, valószínűleg fölösleges is, kilőhető, az meg most nem ide tartozik, hogy egyébként sem túl bölcs rajta levelezni, mert amiről az Apple úgy gondolja, hogy spam, az a levél az életbe nem lesz meg.

A billentyűzárnak látszólag nincs sok köze a teljesítményhez, figyelembe kell venni, hogy nem azonos a képernyőzárral, - azaz amikor a mobil egyszerűen lekapcsolja a képernyőt - és a passcode által védett billentyűzár, ami csak megadott jelszó vagy számkód helyes megadása esetén engedi a mobilt használni. A kettő nem feltétlenül azonos, az előbbi lehet rövid idő, az utóbbi pedig értelemszerűen több perc, azaz például csak akkor kérjen billentyűzárat, ha a tétlenség elérte az 5 percet, addig viszont a mobil szabadon feloldható, nem is eszi az akkut a kijelző, ugyanakkor a szükségesnél gyakrabban sem kell bekalapálni a billentyűzárat.

Nem a teljesítményhez, hanem kőkeményen a usabilityhez tartozó kérdés a térkép angol feliratozása, ami addig nem feltűnő, amíg nem utazunk nagyon messzire. Nos, tételezzük fel, hogy valaki meg elutazik, de nemhogy az ottani nyelvet nem beszéli, hanem még a helyi ábécét sem ismeri. Még én sem merném bevállalni azt, hogy az alkalmazás Moszkvába utazva a térképet kizárólag cirill betűkkel feiratozza, ahogy arab országba utazva sem azt, hogy kizárólag arabul, még akkor sem, ha már bőven a 20. században egyszerűsített arabot használják, amit ismerek valamennyire. Például egy háromszáz évvel ezelőtt élt író, akiről elneveztek valamilyen közterületet, nem fogják a nevét csak azért az új, a 20. századi, egyszerűsített arab nyelven kiírni, hogy a térképalkalmazások használhatóbbak legyenek. Az más kérdés, hogy aki távoli országba utazik, egy ottani térképalkalmazással szinte biztos, hogy jobban jár, Oroszország esetén mondjuk ilyen a Yandex Maps. Az alapértelmezett beállítás viszont az, hogy az iOS beépített térképe a helyi nyelven feliratozza a térképet, angolul ne. Akárhogy is, erősen érdemes bekapcsolni az angol feliratozást. Ha kénytelen lennél tárgyalni mondjuk egy reptéri urándetektor vezérlőszoftverének frissítéséről Dubaiban vagy Moszkvában, alighanem a helyi illetékesekkel szivesebben beszélnél angol nyelven, hiába gagyogsz oroszul vagy arabul.

Külön posztsorozatot érne meg, hogy miért érdemes a DNT-t  lekapcsolni és a böngésző helyben tárolt adatait néha törölni. Akármilyen környezetről is legyen szó, ha az adattárolást kell megoldani, nem csak a nagy mennyiségű adat, hanem a sok, elaprózott adat kezelése is számításigényes, márpedig a böngészők gyorsítótára tipikusan ilyen.

Hosszú lenne fejtegetni, másrészt messze nem a területem, de éppen az előző indoklás miatt azt a gyorsítótárat is érdemes üríteni néha, ami ugyanitt "Website Data" néven jelenik meg.

Egyébként az a kérdésfeltevés, hogy "Milyen telefont érdemes venni?" vagy épp "Melyik a legjobb?" a többség tudatában hitkérdés és nem, attól, mert valaki ki tud rootolni egy androidos mobilt vagy jailbreakelni egy iPhone-t, attól még nem ért hozzá. De tényleg, mennyi olyan ember van, akivel érdemben lehet vitázni arról, hogy mindennapos használathoz, üzleti környezetben való használathoz vagy  melyik a legalkalmasabb és miért?

Az ön- és közveszélyes Android ugyan tipikusan sokak tudatlanságára játszva éppen fordítva szokta mondani, de nem 2-3, hanem 5-7 éves lemaradásban van az iOS-hez képest, nincs általános recept arra, hogy milyen mobilt érdemes választani, ezért példaként írok néhány forgatókönyvet.

Ha megkérdezik tőlem, hogy egy céges flottához milyen céges mobilt ajánlanék, ahol számításba kell venni, hogy az alkalmazott esetleg elhagyja vagy célzottan ellopják tőle az eszközt azért, hogy arról adatokat nyerjenek ki, ugyanakkor a mobil mégsem lehet veszett drága, mert kapásból vennének belőle 300 darabot, mégis az Androidot ajánlanám. Igaz, hogy normálisan megvalósítva az operációs rendszer beépített funkciójaként a háttértár titkosítása csak a 4.3-4.4-től* létezik, ami laza 4 év lemaradás az Applehöz képest, ahol az iPhone 3GS-től kezdődően mindben alapértelmezés szerint titkosított** a teljes adattartalom, ráadásul nem opcionálisan, hanem kapcsolhatatlanul. A választás azért esne mégis az Androidra, mert relatív olcsó és számtalan olcsó távmenedzsment szoftver vásárolható hozzá, amit a saját megoldásaival kombinálva egy cég még jobban testre szabhatna később.  

Ha megkérdezne egy rokonom, hogy milyen mobilt vegyen, azt mondanám, hogy iPhone-t, mivel stabil, gyors, sosem hal le, para pedig akkor sincs, ha ellopják tőle, mivel a rajta lévő adattartalomhoz hozzáférni szinte lehetetlen a billentyűzár ismerete nélkül.

Ha olyan cég kérdezne, amelyiknél a céges csapatmunka minden részét valamilyen Microsoftos megoldással végzik jóideje és azzal is folytatnák, akkor nem túl drága Windows Phone-os mobilokat javasolnék. Igaz ugyan, hogy idővel elérhetőek lettek vagy lesznek más platformokon is azok az eszközök, amik tipikusan a MS üzleti megoldásai, mint mondjuk a céges chatnek nevezhető Lync, a csapatmunka svájcibicskájaként működő SharePoint vagy a levelezőrendszerek luxusverdája, az Exchange, ezek nem meglepő módon Microsoft-termékként Windows Phone-on működnek a legjobban. Hasonlóan ahhoz, hogy iPhone-on is lehet a Safarin kívül más böngészőt használni, csak éppen lassabb lesz. így például a MS Exchange postafiók beállítható Androidon is, lassú lesz, mint a vesztés.

Azaz elvben minden komoly szolgáltatás vagy alkalmazás létezik általában több platformra is, csak a teljesítményben vannak elképesztő eltérések, ezen kívül hosszú távon gondolkozva a költséghatékonyság és időtállóság eléggé erős szempont.

Ha már mobilok adatitkosítása, két lábjegyzettel zárnék.

*az Android esetén az első, de nem túl komolyan vehető titkosítás, mint natív operációs rendszeri funkció, a 3.0-tól létezik, ami pedig a komolyabb kriptomegoldást jelenti, a 4.3-ban jelent meg, de anno nem tartott sokáig az öröm, mert a legújabb verzión is lazán fel lehetett pattintani a titkosítást, a módszert amúgy elsőként magyar kutatók hozták nyilvánosságra 
**az iOS rendszerek esetén a ma elterjedten használt verziók terén nem tudok róla, hogy találtak volna kihasználható hibát a  titkosított adatok kinyerésére. Ez a gyakorlatban nem jelenti azt, hogy hozzáférhetetlenebb: idevágó kérdés, hogy minden főverziónál találnak valami arcpirító baromságot, amin keresztül a billentyűzár ismerete nélkül, valamelyik kényelmi funkción át is feloldható a mobil, ezeket a hibákat rendszerint azonnal javította az Apple.

Egy idén nyáron megjelent sokkoló kutatás ugyan az andoridos mobilok esetén igazolta,  gyakorlatilag belátható, hogy platformfüggetlen tulajdonság, hogy ha a felhasználók számsorként túl egyszerű billentyűzárat vagy feloldási mintát állítanak be, mindegy, hogy a mobil oprendszerének gyártója milyen módon valósította meg az adatok titkosítását, pusztán számokból álló billentyűzár esetén 8 számjegyűnél rövidebb kód egyszerűen nem biztonságos, Androidban minta alapján történő feloldásnál csak ésszerűtlenül hosszú lenne az. Az ujjlenyomatolvasós megoldások biztos nagyon fancy-k a felhasználóknak, nekem pedig megmosolyogtatóak, hiszen alapvetően eléggé baromság olyan azonosítót használni bármiféle autentikációhoz, amit az ember ezer helyen otthagy, lenyúlni viszonylag egyszerű, a 3D nyomtatás korában pedig bárki varázsolhat lopott minta alapján ujjlenyomat-másolatot. Arról nem is beszélve, hogy több olyan módszer található a neten, ami azt írja le, hogy tényleg barkács módszerrel téveszthető meg egyik-másik ujjlenyomatolvasó. Hogy az ésszerű áron beszerezhető biometrikus azonosításon alapuló módszerek használata miért hülyeség, hosszú mese lenne, de elég csak belegondolni, hogy retinán alapuló azonosításnál, a retina ugyan eléggé lekoppinthatatlan ugyan, de az olyan retinaszkenner, amit nem lehet megtéveszteni, már eszelősen drága, márpedig a közelgő legnagyobb őrület, ha igaz, a mobilokba épített retinaszkenner/írisz-szkenner. Ezekkel nem csak az a baj, hogy szimplán jópofa ostobaságok, mondjuk az adatokat a zsebtolvajtól megvédi, de célzott adatlopástól annyira védenek, mint Árpi bácsi bunkere az atomtámadás ellen. A nagy probléma az, hogy hamis biztonságérzetet keltenek a felhasználóban. Ugyanis a felhasználók annyira nem vágják, hogy valami hogyan működik, hogy nagyon sokaknak egy elfogadható, szemléletes képe sincs olyanról, amit jó tudni a mobil kapcsán. Blackberry felhasználóként beszéltem olyan Blackberry-tulajjal, aki meg volt róla győződve, hogy ha mi telefonálunk egymással, akkor az titkosított, de inkább nem futottam neki magyarázni, hogy ha a hívást nem a Blackberry Messengerében indítjuk, ami áttolja a hívást egy BIS/BES szerveren, ugyanolyan mezei telefonhívás, mint bármely másik.

Mióta az azonosításhoz használnak jelszavakat, gyakorlatilag ugyanaz a probléma velük: a felhasználó leírja, elhagyja, lenyúlják, lelesik, kölcsönadja, a jelszó túl gyenge és folytathatnám a sort. A blogon már többször is téma volt az egyre több helyen bevezetett többlépcsős, konkrétabban kétlépcsős hitelesítést valamilyen formában, azaz amikor a felhasználói nevünk és a jelszavunk, - mint két statikus azonosító – mellett meg kell adni még egy, egyszer használatos azonosítót is, ami például egy SMS-ben érkező token vagy egy mobilalkalmazás által generált, adott ideig érvényes számsor. Tanulságos, hogy ezt a netbankos rendszereknél vezették be először, majd jóval később, sorra azok a szolgáltatók, akiknél nagy mennyiségű információ tárolódik, mára pedig támogatja gyakorlatilag minden komolyabb webszolgáltatás.

Ami még érdekesebb, hogy a Yandex január táján gondolt egy nagyot és a nagy és ingyenes szolgáltatók közt elsőként opcionálisan olyan authentikációt tett elérhetővé a belépéshez, amivel a jelszó teljes egészében nélkülözhető: csak a felhasználói nevet kell megadni, a jelszót pedig képletesen egy olyan állandóan kulcs helyettesíti, ami végülis mindig nálunk van.

A beállítási folyamat meglehetősen egyszerű, az okostelefonunkra le kell tölteni a Yandex Key alkalmazást, majd a lépésről lépésre történő webes beállításkor megjelenő QR-kódot beolvasni vele, de megadhatjuk a képernyőn megjelenő átmeneti karaktersorozatot is. Jó, jó, de ezt eddig tudta többek közt a Google Authenticator, a Microsoft Authenticator, a Duo Mobile és a többi is, nem? Itt jön a csavar: a Yandex Key beállításához kötelezően be kell állítani egy négy számjegyből álló alkalmazás PIN-t is.

Innentől kezdve, ha megpróbálunk belépni a Yandex-fiókba, a Yandexen csak a felhasználói nevet kell beírni, majd a jelszó helyett a QR-kód ikonjára kattintani, ekkor egy QR-kód jelenik meg a képernyőn. Ezt be kell olvastatni a Yandex Key appal és a beléptetés megtörténik. Viszont! Abban az esetben, ha a Yandex Key megnyitása után hibás PIN-t adunk meg, szintén bescannelhető ugyan a QR-kód, viszont azzal a beléptetés nem fog menni és – ami a lényeg – ha valaki mondjuk az ellopott mobilunkkal próbálni így belépni, nem fog  tudni, mivel az alkalmazás PIN-t nem ismeri. Ha eddig nem lenne eléggé csavaros a dolog, az alkalmazás nem figyelmeztet érvénytelen PIN esetén sem, így a támadónak nagyon megnehezíti a dolgát, mert még ha neki is állna végigpróbálgatni a 10000 ismétléses permutációt, ami a PIN lehet 0000-9999 tartományban, nem fogja tudni könnyen megállapítani, hogy mikor talált.  

Akkor ez most végülis kétlépcsős hitelesítés vagy sem? Végülis igen, de eddig nem látott kivitelben. Jelszó helyett mindössze a négy számjegyű alkalmazás PIN az egyetlen fix elem, amire emlékezni kell, meg persze a saját felhasználói nevünk.

Természetesen a többi 2-FA megoldáshoz hasonlóan itt is van lehetőség alkalmazásjelszavakat létrehozni vagy visszavonni például levelezőklienshez, viszont vegyük észre, hogy a Yandex ezzel a módszerrel kiiktatta a felhasználók azonosításában örök problémát jelentő tényezőt, a statikus jelszót!

Abban az esetben, ha a mobil nem alkalmas QR-kód olvasására, a QR-kód helyett a webes belépésnél kérhetjük azt is, hogy egy egyszer használatos karaktersorozatot kelljen megadni, ami szintén a Yandex Key-en olvasható le.

Amíg nagyon bétában futott, tapasztaltam olyat, hogy nem sikerült belépni a helyes PIN ellenére sem, a hibát azóta már javították, az ok valószínűleg az volt, hogy a mobilalkalmazás más időzónát használt, mint ami a Yandex-fiókban be volt állítva. Hogy ennek mi a jelentőssége, azzal senkit sem büntetnék, erre lehet olvasni róla. 

A posztnak azt a címet adtam, hogy „Email biztonság”, mert a Yandexet évek óta elsősorban levelezésre használom. Viszont érdemes tudni, hogy az orosz google-nek is csúfolt webes óriás a levelezésen túl fájlhoszting szolgáltatóként is működik, van benne térképalkalmazás, webes fordító, naptár, gyakorlatilag minden, ami a Google-account vagy éppen Microsoft-accountok használatakor is elérhető.

Az ok, ami miatt a Yandex alig ismert Európa nyugati régióiban, egyszerű, konkrétan az, hogy nagyon sokáig nem volt elérhető angol nyelven, néhány éve viszont szinte minden szolgáltatását elérhetővé tették angol nyelven is. Ha először használod és oroszul jelenik meg, de nem tudsz oroszul, egyetlen kattintással állítható át a teljes felület angolra.