Telefon studenta jest dziś jednocześnie legitymacją, bankiem, pocztą uczelnianą i dziennikiem ocen, a przez semestr łapie Wi-Fi w bibliotece, akademiku, pociągu i kawiarni. CERT Polska, zespół NASK zajmujący się incydentami w sieci, zebrał w jednym poradniku to, co faktycznie chroni smartfon, i rozprawił się z kilkoma mitami, które krążą od lat. Oto najważniejsze wnioski dla studenta — a na końcu możesz sprawdzić, czy któryś z tych mitów nie siedzi także w Twojej głowie.
Komunikat o aktualizacji systemu łatwo odkładać „na po sesji”. Tymczasem według CERT Polska aktualizacje służą przede wszystkim bezpieczeństwu, a nie nowym funkcjom. Każdy program ma błędy, a część z nich to luki, przez które da się wejść do urządzenia. Producenci systemów regularnie publikują listy takich luk i łatki, które je zamykają. Kto zwleka, zostawia otwarte drzwi, o których przestępcy już wiedzą.
To proces ciągły: ktoś stale szuka nowych słabych miejsc, więc łatki muszą przychodzić stale. Kilka minut restartu to niewielki koszt w porównaniu z kradzieżą tożsamości, pieniędzy albo zablokowanymi plikami z pracą zaliczeniową.
Najwięcej złośliwego oprogramowania trafia na telefony razem z aplikacjami pobranymi spoza oficjalnych sklepów: pirackimi wersjami płatnych programów, plikami z linków w SMS-ach i ze stron, których nikt nie sprawdza. W sklepach też zdarzają się wpadki, ale takie aplikacje są zwykle szybko usuwane.
Instalowanie z innych źródeł (tzw. sideloading) na Androidzie wymaga włączenia opcji „Nieznane źródła”, a w Unii Europejskiej stało się możliwe także na iPhone’ach. CERT radzi korzystać z tego wyłącznie wtedy, gdy aplikacja jest w pełni zaufana. Darmowa „wersja premium” programu do notatek to raczej przynęta niż okazja.
Przed instalacją warto spojrzeć, o jakie uprawnienia prosi aplikacja. Sygnał ostrzegawczy jest prosty: program chce dostępu do rzeczy, które nie mają nic wspólnego z jego działaniem. Latarka nie potrzebuje kontaktów, a kalkulator wiadomości tekstowych. Uprawnienia można też przejrzeć i odebrać w ustawieniach telefonu, a nowsze wersje Androida same je cofają aplikacjom, których dawno nie używano.
Przez lata powtarzano, że w otwartej sieci ktoś przy sąsiednim stoliku podsłucha hasła. CERT przyznaje, że dawniej miało to sens, ale technologia poszła naprzód. Większość ważnych stron używa HTTPS, który szyfruje dane między telefonem a serwerem, niezależnie od tego, przez jaką sieć płyną. Podsłuchujący widzi wtedy tylko bezużyteczny ciąg znaków.
Do tego dochodzi nowszy standard WPA3 i tryb Wi-Fi Enhanced Open, w którym nawet sieć bez hasła szyfruje ruch osobno dla każdego użytkownika. VPN według CERT dodaje kolejną warstwę, ale do podstawowej ochrony nie jest niezbędny.
Realne ryzyko to fałszywe hotspoty, nazwane tak samo albo prawie tak samo jak sieć uczelni czy kawiarni. Pomaga wyłączenie automatycznego łączenia się ze znanymi sieciami. Do logowania i wpisywania ważnych danych używa się wyłącznie stron z HTTPS, a ostrzeżeń przeglądarki o „niezabezpieczonej” stronie się nie lekceważy.
Symbol kłódki oznacza tylko tyle, że połączenie jest szyfrowane. Nie mówi nic o tym, kto stoi po drugiej stronie. Stronę łudząco podobną do systemu uczelni czy banku może postawić każdy i też dostanie kłódkę. CERT zwraca uwagę na paradoks: zabezpieczenie, które ma chronić, potrafi uśpić czujność. Liczy się adres domeny w pasku przeglądarki, bo tego oszust podrobić nie może.
Współczesne systemy mobilne mają wbudowaną ochronę: każda aplikacja działa w odizolowanej „piaskownicy”, musi prosić o zgodę na dostęp do aparatu, mikrofonu czy lokalizacji, a dane w telefonie są domyślnie szyfrowane. Na Androidzie działa dodatkowo usługa skanująca aplikacje, a na iPhonie każda aplikacja przechodzi kontrolę przed wejściem do sklepu i musi być cyfrowo podpisana.
Wniosek CERT: dla większości użytkowników dodatkowy antywirus to niepotrzebny wydatek. Na iPhonie tradycyjne skanery i tak nie mają dostępu do reszty systemu, więc aplikacje z „antywirusem” w nazwie oferują zwykle co innego, na przykład VPN albo ostrzeganie przed phishingiem. Przy zakupie telefonu na studia bardziej opłaca się sprawdzić, jak długo producent obiecuje dostarczać aktualizacje bezpieczeństwa.
Głównym zagrożeniem dla smartfonów, niezależnie od systemu, jest socjotechnika: phishing w mailu, smishing w SMS-ie i vishing w rozmowie telefonicznej. Schemat jest ten sam — podszycie się pod bank, firmę kurierską, urząd albo znajomego, pośpiech i drobna kwota do dopłaty, która ma otworzyć drogę do konta. Antywirus przed tym nie chroni, chroni uwaga. Samo kliknięcie w link zwykle nie szkodzi, groźne jest to, co zrobi się potem na stronie oszusta.
Podejrzany SMS można przesłać bezpłatnie na numer 8080, a inne incydenty zgłasza się przez formularz na incydent.cert.pl.
Bezpieczny telefon to mniej kwestia dodatkowych programów, a bardziej nawyków: aktualizacje, aplikacje z oficjalnych źródeł, rozsądne uprawnienia i czujność wobec wiadomości, które poganiają. Publiczne Wi-Fi w bibliotece nie jest dziś pułapką, o ile loguje się tylko na strony, których adres się sprawdziło.
5 pytań · minuta
poleca:
