2012S værste sikkerhedsudnyttelser, fejler og blunders

En dum og hans svage p @ $$ wrd er snart rodnet, men hvis 2012 har bevist noget, er det, at selv de mest forsigtige sikkerhedssindede sjæle skal fordoble sig om deres beskyttelsespraksis og tænk på de bedste måder at mildne skader på, hvis det værste sker i vores stadig mere skyskoblede verden.

Selvfølgelig skal en solid sikkerhedsværktøjskasse være hjertet i dit forsvar, men du skal også at overveje din grundlæggende adfærd. En lækket LinkedIn-adgangskode gør f.eks. Lidt skade, hvis den pågældende alfanumeriske kombination kun åbner døren til den pågældende konto i stedet for hver socialmediekonto, du bruger. Two-factor-godkendelse kan stoppe brud, før det sker. Og laver dine adgangskoder?

Jeg forsøger ikke at skræmme dig. Jeg er hellere interesseret i at åbne øjnene for de typer forholdsregler, der er nødvendige i den digitale tidsalder, som det fremgår af de største sikkerhedsudnyttelser, blunders, og fejler i 2012. 'Twas et bannerår for de onde.

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

Honans hackangreb

Honans katastrofe blev forstørret af hans mangel på fysiske sikkerhedskopier.

Den højeste profil hack i 2012 involverede ikke millioner af brugere eller en lavine af pilfered betalingsoplysninger. Nej, sikkerhedshøjttaleren - eller er det lavt? - i 2012 var den eneste episke hacking: Wired skribent Mat Honan.

I løbet af en enkelt time fik hackere adgang til Honans Amazon-konto, slettet hans Google konto og fjernet fjernet hans trio af Apple-enheder, der kulminerede i hackerne i sidste ende at nå deres endelige mål: at tage kontrol over Honans Twitter-håndtag. Hvorfor hele ødelæggelsen? Fordi @mat Twitter håndtakets tre bogstaver status gør det tilsyneladende en meget eftertragtet præmie. (Malcontentsne bogførte adskillige racistiske og homofobiske tweets før kontoen blev midlertidigt suspenderet.)

Ødelæggelsen blev alle muliggjort af sikkerheds snafus på Honans end-daisy-chaining kritiske konti, en mangel på to-faktor autentificering aktivering ved hjælp af samme grundlæggende navngivningssystem på tværs af flere e-mail-konti og modstridende kontosikkerhedsprotokoller hos Amazon og Apple, som hackerne udnyttede ved hjælp af nogle gode, oldeformede sociale ingeniører.

Den skræmmeste del? De fleste mennesker anvender sandsynligvis den samme grundlæggende (læs: lax) sikkerhedspraksis, som Honan gjorde. Heldigvis har PCWorld allerede forklaret, hvordan du tilslutter de største digitale sikkerhedshuller.

The Flame virus

The Flame-virusen tager sit navn fra sin kode.

Sporet så langt tilbage som 2010, men kun opdaget i maj 2012, Flame-viruset har en slående lighed med den statsstøttede Stuxnet-virus med en kompleks kodebase og en primær anvendelse som et spionageværktøj i mellemøstlige lande som Egypten, Syrien, Libanon, Sudan og (oftest) Iran.

Når Flame har sænket sine kroge ind i et system, installerede det moduler, der blandt andet kunne indspille Skype-samtaler eller lyd af noget der sker i nærheden af ​​computeren, snag screenshots, snoop på netværksforbindelser og holde logfiler på alle tastaturer og alle data trådte ind i input bokse. Det er ubehageligt, med andre ord - og Flame uploadede alle de oplysninger, den indsamlede for at styre og styre servere. Kort efter Kasperskys forskere slyngede Flams eksistens til, at virusets skabere aktiverede en kill-kommando for at tørre softwaren fra inficerede computere.

$ 50 homebrew-værktøjet, der låser hoteldøre

På Black Hat Security-konferencen i juli blev forsker Cody Brocious afsløret en enhed kunne semi-pålideligt åbne elektroniske dørlåse lavet af Onity. Onity låse findes på 4 millioner døre i tusindvis af hoteller over hele verden, herunder højt profilerede kæder som Hyatt, Marriott og IHG (som ejer både Holiday Inn og Crowne Plaza). Baseret omkring en Arduino microcontroller og samlet for mindre end $ 50, kan værktøjet bygges af enhver skurk med lommeskift og nogle kodningsevner, og der er mindst en rapport af et lignende værktøj, der bruges til at bryde ind på hotelværelser i Texas.

ArduinoArduino: Hackens åbne kilde.

Skræmmende ting, for at være sikker. Måske mere bekymrende var Onitys reaktion på situationen, som i grunden var "Stik et stik over porten og skift skruerne."

Virksomheden udviklede til sidst en egentlig løsning til sårbarheden, men det indebærer at bytte kredsløb af de berørte kredsløb lås - og onity nægter at fodre omkostningerne ved at gøre det. En december-ArsTechnica-rapport antyder, at selskabet måske vil være mere villig til at subsidiere udskiftningsbrættet i kølvandet på Texas crime crime spree, men den 30. november 1 havde Onity kun leveret i alt 1,4 millioner "løsninger til låse "-indbefattende disse plastikpropper-til hoteller globalt. Sårbarheden er med andre ord stadig meget udbredt. Epic fail. ^{Død med tusind nedskæringer} Året oplevede ikke en massiv databasebrud i åringen af ​​2011 PlayStation Network-nedturen, men en række mindre penetrationer kom hurtigt og rasende i løbet af foråret og sommeren. Mens udgivelsen af ​​6,5 millioner hashed LinkedIn-adgangskoder muligvis har været den mest bemærkelsesværdige hack, blev den opmuntret af udstationering af mere end 1,5 millioner hashed eHarmony-adgangskoder, 450.000 Yahoo Voice login-referencer, et uspecificeret antal Last.fm-adgangskoder og det fulde login og profiloplysninger af hundredvis af brugere af Nvidia forum. Jeg kunne fortsætte, men du får point.

Hvad er takeaway? Du kan ikke stole på en hjemmeside for at holde din adgangskode sikker, så du skal bruge forskellige adgangskoder til forskellige websteder for at minimere den potentielle skade, hvis hackere klarer at udklare dine loginoplysninger for en given konto. Se vores guide til at opbygge en bedre adgangskode, hvis du har brug for nogle pointers.

Dropbox drops its guard

DropboxDropbox's "open box" -logo viste sig for sandt for folk, der genbruger adgangskoder i 2012.

Tilbage i juli, nogle Dropbox-brugere begyndte at bemærke, at de modtog en stor mængde spam i deres indbakke. Efter nogle indledende benægtelser efterfulgt af en dybere grave fandt Dropbox, at hackere havde kompromitteret en medarbejders konto og fået adgang til et dokument, der indeholder brugerens e-mail-adresser. Ups! Skaden var mindre, men ægget i ansigtet var stort.

Samtidig havde et meget lille antal brugere deres Dropbox-konti aktivt brudt ind af eksterne kilder. Undersøgelser viste, at hackerne fik adgang til regnskabet, fordi ofrene genbruger den samme brugernavn / adgangskode kombination på tværs af flere hjemmesider. Når loginoplysningerne blev lækket i brud på en anden tjeneste, havde hackerne alt, hvad de havde brug for for at låse op for Dropbox-kontiene.

Dropboxs elendigheder fremhæver igen - behovet for at bruge separate adgangskoder til forskellige tjenester, samt det faktum at Du kan ikke stole på skyen helt endnu. Du kan tage skyens sikkerhed i dine egne hænder ved hjælp af et tredjeparts krypteringsværktøj.

Millioner af South Carolina SSNs pilfered

Taler om kryptering, ville det være rart, hvis regeringen fulgte grundlæggende sikkerhedspersonale.

Efter en massiv oktober data brud resulterede i en hacker at få de sociale sikringsnumre af en kæmpe 3,6 millioner South Carolina borgere-i en stat med kun 4,6 millioner indbyggere! - statslige embedsmænd forsøgte at placere skylden på IRS fødder. IRS kræver ikke

specifikt

stater for at kryptere SSN'erne i skatteansøgninger, som du ser. Så South Carolina gjorde det ikke desto mindre planlagt at starte nu, efterhånden at være 20/20 og alle. På den ret positive side blev også debet- og kreditkortoplysninger om 387.000 South Carolina-borgere swiped i den digitale heist og mest

af dem blev krypteret, selv om det sandsynligvis er lidt trøst for de 16.000 mennesker, hvis kortoplysninger blev stjålet i almindelig tekstform. Skypes massive sikkerhedsfejl Lax-kontoinddrivelsesprocedurer truede Skype-brugere i November.

I november mistede Skype-brugere midlertidigt evnen til at anmode om en nulstilling af adgangskode til deres konto, efter at forskere havde identificeret en udnyttelse, der tillod nogen at få adgang til en Skype-konto, så længe personen kendte den e-mail-adresse, der var knyttet til kontoen. Ikke kontoadgangskoden, ikke sikkerhedsspørgsmålene - bare den enkle email-adresse alene.

Skype plugte hurtigt hullet, da det blev offentligt øje, men skaden var allerede gjort. Sårbarheden svingede rundt på russiske fora og blev aktivt brugt i naturen, før den blev lukket.

Hackere stjæler 1,5 millioner kreditkortnumre

I april formåede hackere at "eksportere" et kæmpe 1,5 millioner kreditkortnumre fra databasen over globale betalinger, en betalingsbehandlingstjeneste, der anvendes af offentlige myndigheder, finansielle institutioner og omkring 1 million globale butikskort.

Heldigvis var overtrædelsen retfærdigt indeholdt. Globale Betalinger var i stand til at identificere de kortnummer, der var berørt af hacket, og de stjålne data indeholdt kun de faktiske kortnumre og udløbsdatoer,

ikke

nogen kortindehavernavne eller personligt identificerbare oplysninger. Hitsne blev ved med at komme. I juni offentliggjorde Globale Betalinger, at hackere måske har stjålet personlige oplysninger fra personer, der ansøgte om en handelskonto hos virksomheden. Microsoft Security Essentials fejler AV-testcertificering Nå er det ikke pinligt. AV-Test er et uafhængigt informationssikkerhedsinstitut, der regelmæssigt afrunder alle de bedste antimalware-produkter, der er derude, smider en hel masse nasties på de nævnte produkter og ser, hvordan de forskellige løsninger holder op under forkølelsespærringen. Organisationen gjorde netop det med 24 forskellige forbrugerfokuserede sikkerhedsløsninger i slutningen af ​​november, og kun en af ​​disse løsninger mislykkedes at opfylde AV-Tests certificeringsstandard: Microsoft Security Essentials til Windows 7.

Den ene uden certificeringslogo ? Det er MSE.

MSE gjorde faktisk et anstændigt job på at løse kendte vira i testen, men sikkerhedsprogrammet gav forfærdeligt lille, vel,

sikkerhed

i lyset af nuldagsejendomme. Dets 64 beskyttelsesscore mod nulpunktsangrebene er en fuld 25 point lavere end gennemsnittet af industrien. Den blunder der ikke var: Norton kildekoden frigivet Det lyder skræmmende på overfladen: Grupper af slyngelagtige hackere lykkedes at få kildekoden til en af ​​Symantecs populære Norton-sikkerhedsværktøjer, dumpede derefter koden på Pirate Bay for verden at dissekere. Åh nej! Nu kan intet stoppe de onde fyre fra at køre viljestyrke forbi de forsvar, der kommer forudinstalleret på gajillions (ca.) af boksede systemer solgt over hele verden - lige?

Forkert. Kildekoden tilhørte Norton Utilities-produkter, der blev udgivet i 2006, og du ser, og Symantecs nuværende produkter er siden blevet genopbygget fra bunden, uden at der er fælles kode, der er delt mellem de to. Med andre ord udgør kildekoden for 2006 ikke nogen risiko for nutidens Norton-abonnenter - i det mindste hvis du har opdateret dit antivirus i det seneste halvt årti.