Bezpieczeństwo e-maili. Pełnomocnik rządu zaleca zmiany w szyfrowaniu
W przestrzeni publicznej wielokrotnie pojawiają się ostrzeżenia przed wyłudzeniami danych logowania oraz apele o aktualizację haseł w przypadku ich wycieku.
Incydenty tego rodzaju zdarzają się bardzo często, na co zwracamy uwagę na naszych łamach. Przykładowo, we wrześniu ubiegłego roku na jednym z forów hakerskich pojawiły się informacje dotyczące przeszło 140 tys. unikalnych kont Polaków . Z kolei pół roku wcześniej opublikowano 24,5 mln rekordów składających się z maila i hasła.
Cyberatak na dolnośląskie miasto. Zaszyfrowano dane, możliwy wyciek
Niewłaściwa konfiguracja ujawni treść e-maili
Bezpieczeństwo poczty elektronicznej zależy nie tylko od danych logowania. Istotnym elementem jest protokół TLS , a brak jego skonfigurowania powoduje przekazywanie treści wiadomości otwartym tekstem . W efekcie, korespondencja może zostać przechwycona przez osoby trzecie.
W ostatni piątek czerwca pojawiła się rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa (którym jest wicepremier Krzysztof Gawkowski) dotycząca ograniczenia ryzyka obecnego przy wysyłaniu korespondencji nieszyfrowanymi kanałami.
W piśmie zwrócono uwagę, że oprócz przechwycenia korespondencji , możliwe jest także przeprowadzenie ataku man-in-the-middle .
Wyłączyć słabe algorytmy, wprowadzić zaufane certyfikaty
Podmiotom krajowego systemu cyberbezpieczeństwa zalecono wyłączenie słabych algorytmów szyfrowania i protokołów kryptograficznych . Na liście zawartej w dokumencie znalazły się m.in. wszystkie wersje SSL, TLS 1.0 oraz 1.1, DES czy RC4. Zaznaczono przy tym, że pełna lista zmienia się wraz z rozwojem metod kryptoanalizy, a także rekomendacji zespołów CSIRT.
Jednocześnie organizacje powinny wykorzystywać certyfikaty wystawione przez zaufane urzędy certyfikacji, m.in. z europejskiej listy zaufanych dostawców usług, a także skonfigurować serwery pocztowe w taki sposób, aby umożliwiały ona sprawdzenie poprawności prezentowanych certyfikatów. Umożliwi to systemom weryfikację ważności, zgodności z hostem oraz zaufanie certyfikatów .
Polecono również ustawić rekordy PTR dla serwerów pocztowych w celu wsparcia oceny e-maili przez filtry antyspamowe w celu zmniejszenia ilości przypadków false-positive .
W rekomendacji wskazano też na portal Bezpieczna poczta obsługiwany przez CSIRT NASK, który pozwala sprawdzić czy serwery obsługują szyfrowanie komunikacji.
Dodatkową opcją pozostaje projekt Artemis , w ramach którego cykliczne skanowanie będzie obejmowało sprawdzenie serwerów poczty pod kątem możliwości zestawienia połączenia szyfrowanego.
Problemy z zakazem social mediów w Australii. Rząd chce uderzyć w platformy