🥇Jeg har intet at skjule

Hvor ofte hører du denne tilsyneladende enkle sætning fra dine bekendte, nærmeste og kolleger?

Efterhånden som stat og store virksomheder tager i brug mere sofistikerede midler til informationskontrol og overvågning af brugere, stiger procentdelen af de mennesker, der fejlagtigt tager den tilsyneladende åbenlyse påstand "hvis jeg ikke bryder loven, har jeg intet at frygte" for givet.

Faktisk, hvis jeg ikke har gjort noget forkert, så betyder det ikke noget, at regeringer og store virksomheder ønsker at indsamle alle mine data, e-mails, telefonopkald, billeder fra webkameraer og søgninger, for de vil alligevel ikke finde noget interessant.

For jeg har intet at skjule. Er det ikke sådan?

Hvad er problemet?

Jeg er systemadministrator. Informationssikkerhed er meget integreret i mit liv, og på grund af min arbejds specifik er længden af mine adgangskoder normalt mindst 48 tegn.

De fleste af dem kender jeg udenad, og når en tilfældig person uheldigvis ser, hvordan jeg indtaster en af dem, opstår der ofte et rimeligt spørgsmål — "hvorfor er den så... omfattende?"

"For sikkerheden? Men den er ikke så lang! Jeg bruger for eksempel en adgangskode på otte tegn, for jeg har intet at skjule."».

På det seneste har jeg oftere og oftere hørt denne sætning fra folk i min omgangskreds. Hvad der især bekymrer mig — nogle gange endda fra dem, der er mere involveret i informationsteknologi.

Okay, lad os omformulere.

Jeg har intet at skjule, for...

... alle ved allerede, hvad mit bankkortnummer er, dets kodeord og CVV/CVC-koden.
... alle ved allerede mine PIN-koder og adgangskoder.
... alle ved allerede, hvad min løn er.
... alle ved allerede, hvor jeg befinder mig lige nu.

Og så videre.

Det lyder ikke særlig sandsynligt, gør det? Men når du igen siger sætningen "jeg har intet at skjule", mener du også dette. Måske er du endnu ikke klar over det, men sandheden afhænger ikke af din vilje.

Det er vigtigt at forstå, at det ikke handler om skjul, men om beskyttelse. Beskyttelse af dine grundlæggende værdier.

Du kan ikke skjule noget, hvis du er helt sikker på, at der ikke er nogen trussel mod dig og dine data udefra.

Men fuldstændig sikkerhed er en myte. "Kun den, der ikke gør noget, laver ikke fejl." Det ville være en stor fejl ikke at tage højde for den menneskelige faktor ved oprettelse af informationssystemer, der er tæt forbundet med at sikre opbevaring og sikkerhed af brugernes data.

Enhver lås forudsætter også, at der findes en nøgle til den.. Ellers hvad er meningen med det? Låsen blev oprindeligt designet som et middel til at beskytte ejendom mod interaktion med uvedkommende.

Du vil næppe være begejstret, hvis nogen får adgang til din sociale mediekonto og begynder at sprede usmagelige meddelelser, virusser eller spam i dit navn. Det er vigtigt at forstå, at vi ikke skjuler fakta.

Faktisk har vi en bankkonto, en e-mail og en konto på Telegram. Vi skjuler ikke disse fakta for offentligheden. Vi beskytter ovenstående mod uautoriseret adgang.

Hvem interesserer mig?

Endnu en udbredt misforståelse, som ofte bruges som modargument.

Vi siger: "Hvorfor skulle virksomheden have mine data?" eller "Hvorfor skulle en hacker bryde ind i mig?" uden at tage højde for den kendsgerning, at angrebet ikke nødvendigvis er selektivt – tjenesten kan blive hacket, og i så fald vil alle brugere, der er registreret i systemet, blive berørt.

Det er vigtigt ikke kun selv at overholde reglerne for informationssikkerhed, men også at vælge de rigtige værktøjer, som du bruger.

Lad mig give nogle eksempler for at klargøre, hvad det handler om.

De havde ikke noget at skjule

MFC
I november 2018 skete der et datalæk fra de mange funktionelle centre, der tilbyder statslige og kommunale tjenester (MFC) "Mine Dokumenter" i Moskva.
På offentlige computere i MFC blev der fundet mange scannede kopier af pas, pensionsbeviser, ansøgninger med angivelse af mobilnumre og endda bankkontonumre, som kunne tilgås af enhver, der ønskede det.
Med de indsamlede data kunne man optage mikrolån eller endda få adgang til midlerne på folks bankkonti.
Sberbank
I oktober 2018 skete der et datalæk. Mere end 420.000 medarbejderes navne og e-mailadresser blev offentliggjort.
Kundernes data blev ikke medtaget i denne lækage, men selve faktum af deres eksistens i så stort omfang indikerer, at tyven havde høje adgangsrettigheder i bankens systemer og kunne have haft adgang til kundernes oplysninger.
Google
En fejl i API'en fra det sociale netværk Google+ gav udviklere adgang til data fra 500.000 brugere, såsom: brugernavne, e-mailadresser, arbejdssteder, fødselsdatoer, profilbilleder osv.
Google hævder, at ingen af de 438 udviklere, der havde adgang til API'en, vidste om denne fejl og ikke kunne udnytte den.
Facebook
Facebook har officielt bekræftet lækagen af data fra 50 millioner konti, hvor potentielt op til 90 millioner konti kunne være påvirket.
Hackerne fik adgang til profilerne hos indehaverne af disse konti takket være en kæde af mindst tre sårbarheder i Facebooks kode.
Udover Facebook blev også de tjenester, der brugte denne sociale netværk til autentificering (Single Sign-On), ramt.
Igen Google
Endnu en sårbarhed i Google+, der førte til lækagen af data fra 52,5 millioner brugere.
Sårbarheden gjorde det muligt for apps at hente oplysninger fra brugerprofiler (navn, e-mailadresse, køn, fødselsdato, alder osv.), selvom disse data var private.
Desuden kunne man få adgang til data fra andre brugere via én brugers profil.

Kilde: «De mest betydningsfulde datalækager i 2018»

Datalækager sker langt oftere, end du tror

Det er rigtigt, at ikke alle datalækager bliver åbent rapporteret af de skyldige eller ofrene.

Det er vigtigt at forstå, at ethvert system, der kan hacks, vil blive hacket. Før eller senere.

Her er, hvad du kan gøre allerede nu for at beskytte dine data

    → Skift din tankegang: husk, at du ikke skjuler dine data, men beskytter dem
    → Brug to-faktor-autentificering
    → Brug ikke lette password: passwords, der kan relateres til dig eller findes i en ordbog
    → Brug ikke de samme passwords til forskellige tjenester
    → Opbevar ikke passwords i klartekst (f.eks. på en lap papir klistret til skærmen)
    → Fortæl ingen dit password, heller ikke medarbejdere i supporten
    → Undgå at bruge gratis Wi-Fi-netværk