FBI email?



Ahoj, dneska mi přišel docela zajímavý email od "fbi" a rád bych znal váš názor. Kopii přikládám níže : chybí ale logo FBINetiskněte / předal toto POŠTY ITS v rozporu se zákonemTento e-mail, včetně všech příloh, se vztahuje elektronických komunikacích zákon na ochranu soukromí, 10 USC 2510-2521      Protiteroristických A MĚNOVÁ zločiny DIVIZEÚstředí FBI Washington DCFederální úřad pro vyšetřování J.EDGAR HOOVER BUDOVY935 PENNSYLVAN IA AVENUE, NW Washington, DC 20535-0001Ref: FBI/DC/25/113/13/2013<http://www.fbi.gov/about-us/executives/director>       Vaše pozornost je třeba ihned Byli jsme informováni prostřednictvím naší globální sítě zpravodajské monitorovací že částka ve výši 10.500, 000.00, byl propuštěn z banky v Africe nese své jméno jako příjemce bez dist certifikátu očistit své jméno a fond ze všech teroristických či drogami nebo praní špinavých peněz činností Upřímně se omlouváme za posílam ti na něj citlivé informace prostřednictvím e-mailu namísto certifikovaného mail, telefonní hovor nebo face-to-face rozhovor, také zašleme ověřenou e-mail později, je vzhledem k naléhavosti a důležitosti bezpečnosti potřebné informace. Chcete-mat finanční nedbalosti, nezákonné hazardní hry, vydírání a s ohledem na dopady globální finanční krize houpací Spojené státy, naše vláda s pomocí Federálního úřadu pro vyšetřování (FBI) ve Washingtonu, DC a internetové kriminality centrum stížnosti (IC3), spolu s CIA podepsala dohodu s UK policie k okamžitému propuštění všech zpožděných fondů v současné době zaznamenány v jejich pokladnici a ujistěte se, že je vyplacena oprávněným příjemcům ve všech částech světa. Pokud by příjemce dodržovat naše poučení, že vám pomůže obdržíme vaši platbu ihned Banka věděl zcela dobře, že nemají dostatek vybavení, aby tuto platbu z kterékoli části světa, do svého účtu přímo, používá to, co známe jako tajným diplomatickým tranzitní platby (sdtp) metodou, jak provést platbu. přímé převody jsou obtížné a tajné diplomatické tranzitní platba (sdtp) nejsou obvykle, pokud jsou finanční prostředky spojené s teroristickými činnostmi, a ptáme se, proč musí být vaše platba v tajném přenosu, pokud vaše transakce je legitimní. Nechceme se dostat do problémů, jakmile tyto prostředky odrážejí ve vašem osobním účtu, tak je to naše povinnost jako Mezinárodní agentura opravit tyto malé problémy dříve, než tento fond odráží do vašeho osobního účtu. doporučujeme, abyste nás okamžitě kontaktovat, jak se vaše finanční prostředky byly zastaveny a jsou drženi v naší vazbě, dokud nejste schopni poskytnout nám s dist certifikátu do 3 dnů od země, která schválil převod potvrdit, že finanční prostředky, které se chystají přijmout teroristy / bez drog, nebo budeme mít důvod zabavit platbu a následně stíhat vás přeshraničních teroristických finančními aktivitami. na základě našich zjištění vyšetřovací naše oddělení chtějí varovat před některými ničemů, chuligáni a propaguje, kteří jdou o scamming nevinných lidí tvrzením, že být tím, kým nejsou, a tím poškozuje image této nádherné země. Zasláním podvodné e-maily bez našeho oficiálního loga a znak se uvolní své finanční prostředky okamžitě dostáváme tento právní dokument a budeme jisti, že obdržíte platbu bez dalšího odkladu. Poznámka Rozhodli jsme se kontaktovat přímo e-mailem získat správné ověření a potvrzení od vás ukázat, že jste právoplatným osoba, která obdrží tento fond, vzhledem k obrovskému množství zapojených. Být informován, že finanční prostředky jsou nyní s nejvyšší banky ve státě United ve svém názvu a pod kontrolu / péče o FBI. V současné době jsme požádali banky, aby se uvolnil fondu na někoho, kdo přijde k nim, pokud se jim pokyn, aby tak učinily, a jen tehdy, když obdrží okr certifikát je k tomu, abychom provést komplexní vyšetření před vydáním prvního Fond na vás. proto jste, aby předal své okr certifikát pro nás okamžitě, pokud ji máte ve svém držení, pokud nemáte, pak dejte nám vědět, abychom Vás nasměruje k příslušnému orgánu k získání certifikátu, pak jste k odeslání že do naší kanceláře. A potom budeme instruovat bankou spravující finanční prostředky, jít dopředu a připsat svůj účet okamžitě. Pokud se vám nepodaří poskytnout dokumenty do této funkce, budeme vás stíhat a přijmout vhodná opatření proti vám za to, že prokázání legality finančních prostředků. A konečně, pokud opravdu chcete dostávat tento finanční prostředky bez problémů FBI poté potvrdit následující níže Jméno ..........................................................Adresa ........................................................Sex ...............................................................Věk ................................................. ....................Kontaktní číslo ...............................................Země původu finančních prostředků ...................................       S úctou SPECIAL AGENT (admin divize)Colleen M. Conyngham(Číslo odznaku JTT047101111)PRO ředitel FBIROBERT S MUELLER test  cc: obecné inteligence oddělení (GID)cc Federální úřad pro vyšetřování (fFBIi)cc. Internetový zločin centrum stížnosti (IC3)cc: Asie a Tichomoří skupina pro praní špinavých peněz (APG)cc: Mezinárodní měnový fond (MMF)cc: mezinárodní organizace komisí pro cenné papíry (IOSCO)cc: mezinárodní bankovní přidružení zabezpečení (IBSA)cc: Světová celní organizace (WCO)cc: Inter-American Development Bank (IADB)cc: národní kriminality bílých límečků centrum (NW3C)cc: Předsednictvo spravedlnosti pomoci (BJA)cc: Nejvyšší soud Jižní Afriky (SCA) vvy PRÁVNÍ UPOZORNĚNÍ:Není-li výslovně uvedeno jinak, tato zpráva je důvěrná a mohou být chráněny. Je určena pro adresáta (y) pouze. Přístup na tento e-mail od někoho jiného je zakázáno. Pokud nejste jakakoliv zveřejnění nebo kopírování obsahu nebo jakýkoli krok (nebo nepřijme), v závislosti na tom je zakázáno a může být nezákonné. Pokud nejste adresátem, informujte prosím odesílatele okamžitě. AVISO PRÁVNÍ:Salvo que lo o sobě indique contrario, este es Mensaje Confidencial y puede ser privilegiada. Se pretende su destinatario (y) Solamente. El acceso este e-mail por otra cualquier persona žádný estб autorizado. Si Usted žádný es un destinatario, cualquier divulgaciуn o Copia de lacontenidos ni de cualquier acciуn realizada (o no) en la que en dependencia žádný estб autorizado y puede ser ilegální. Si žádný syn unadestinatario, por prospěch notifique al remitente de inmediato  Netiskněte / předal toto POŠTY ITS v rozporu se zákonemTento e-mail, včetně všech příloh, se vztahuje elektronických komunikacích zákon na ochranu soukromí, 10 USC 2510-2521
Naprosto nezajimavy znamy hoax blbe "prelozeny" do cestiny. [http://hoax.cz/scam419/anti-terrorist-an...](http://hoax.cz/scam419/anti-terrorist-and-monetary-crimes-division-fbi/)  .
<p>účelem certifikátů rozšířené validace je zviditelnit uživatele, instituci, které byly vydány. technické aspekty samotných certifikátů jsou kombinovány s vizuálními vodítky v uživatelském rozhraní aplikace, která je ověřuje: zelený pruh a viditelný název vedle umístění v prohlížeči.</p><p>například certifikát ev na <a href="http://www.paypal.com/">http://www.paypal.com/</a> způsobí, že prohlížeč zobrazí zelený pruh a zobrazí „paypal, inc.“ vedle toho. účelem je nejen propojit certifikát s vlastníkem domény (jako standardní certifikáty ověřené v doméně), ale také ho propojit s fyzičtější institucí (zde, paypal, inc.). k tomu musí certifikační autorita ověřit, že pojmenovaná instituce je skutečně ta, která vlastní doménu.</p><p>v konečném důsledku jde spíše o vytvoření autentičtějšího propojení mezi názvem domény a názvem společnosti, než o vytvoření „bezpečnějších“ certifikátů. z hlediska sady šifry (což je to, co určuje šifrovací algoritmus a velikost klíče), se certifikáty ev neliší od certifikátů dv (modrý pruh).</p><p>trochu ustoupíte, musíte si uvědomit, že účinnost https závisí na tom, že uživatel zkontroluje, zda je používán správně. (server nemá způsob, jak zjistit, zda se klient stal obětí útoku mitm jinak, pokud nepoužívají také klientské certifikáty.) to znamená, že uživatelé musí:</p><ul> <li>zkontrolovat, zda se používá https, když očekávají, že to bude,</li> <li>zkontrolovat, že neexistují žádná varování,</li> <li>zkontrolujte, zda web, který používají, je opravdu ten, který hodlá navštívit, což vede k několika bodům: <ul> <li>kontrola, že to je doménové jméno, které očekávají,</li> <li>ověření, zda název domény patří společnosti, kterou očekávají.</li> </ul> </li> </ul><p>účelem certifikátů ev je vyřešit tento poslední bod. pokud již víte, že <code>amazon.com</code> patří společnosti amazon.com, inc. nebo tomu <code>google.com</code> patří společnosti google inc., opravdu je nepotřebujete.</p><p>nejsem osobně přesvědčen, že tento přístup funguje úplně, protože mohou být zneužity (viz příklad natwest/rbs níže) a zdá se, že některé ca šíří vágní (a potenciálně zavádějící) informace o tom, co ve skutečnosti jsou, ve snaze propagovat jim.</p><p>obecně platí, že pokud vaši uživatelé již vědí, že vaše doménové jméno je vaše, nepotřebujete jej.</p><p>zde jsou další podrobnosti z <a href="https://security.stackexchange.com/a/13614/2435">předchozí odpověď, kterou jsem dal na podobnou otázk</a> :</p><blockquote> <p>[...]</p> <p>certifikáty ověřené doménou vám zaručují, že certifikát byl vydán vlastníkovi této domény. nic víc, ale nic méně (předpokládám, že validační postup zde byl správný). v mnoha případech to stačí. vše záleží na tom, zda web, který propagujete, musí být propojen s institucí, která je již dobře známa off-line. certifikáty, které jsou validovány proti organizaci (ov a ev certs), jsou užitečné zejména v případě, že potřebujete doménu také svázat s fyzickou organizací.</p> <p>například je užitečné, aby instituce, která byla původně známá prostřednictvím své budovy (např. bank of america), mohla říci, že certifikát pro <code>bankofamerica.com</code> je skutečně místem, kde jste dali své fyzické peníze. v tomto případě má smysl použít certifikát ov nebo ev. to může být také užitečné, pokud existuje nejasnost ohledně toho, která instituce je za názvem domény (např. <code>apple.com</code> a <code>apple.co.uk</code>), což je ještě důležitější, je podobné doménové jméno vlastněné soupeřem/útočníkem, který používá podobnost názvu pro špatné účely.</p> <p>v porovnání, <a href="https://www.google.com/"><code>www.google.com</code></a> je to, co definuje google pro veřejnost; google nemusí dokazovat, že <code>google.com</code> patří skutečnému googlu. výsledkem je, že používá certifikát ověřený doménou (stejný pro <code>amazon.com</code>).</p> <p>to je opět užitečné, pokud uživatel ví, jak to zkontrolovat. prohlížeče zde opravdu nepomáhají. firefox pouze říká, „který je spuštěn (neznámý)“, pokud chcete o certifikátu získat další podrobnosti na <code>www.google.com</code>, aniž bychom skutečně řekli, co se tím myslí.</p> <p>certifikáty s rozšířenou validací jsou pokusem o zlepšení, a to zpřísněním postupu validace organizace a zviditelněním výsledku: zelený pruh a viditelnější organizace.</p> <p>bohužel se to někdy používá způsobem, který zvyšuje zmatek, myslím. zde je příklad, který si můžete zkontrolovat sami: jedna z velkých britských bank (natwest) používá <a href="https://www.nwolb.com/"><code>https://www.nwolb.com/</code></a> pro on-line bankovní služby. není jasné, že doménové jméno patří natwestu (který také vlastní logičtější <code>natwest.co.uk</code> mimochodem). horší je, že rozšířená validace (pokud zaškrtnete jméno vedle zeleného pruhu) se provede proti „royal bank of scotland group plc“.</p> <p>pro ty, kteří sledují finanční zprávy, to dává smysl, protože jak rbs, tak natwest patří do stejné skupiny, ale technicky jsou rbs a natwest konkurenty (a oba mají pobočky na hlavní ulici ve velké británii - i když se to změní). pokud váš uživatel nemá takovou zvláštní znalost o tom, které skupiny obchodují pod tímto jménem, ​​měla by výstražná zvonit zazvonit skutečnost, že certifikát je vydán na jméno potenciálního konkurenta. pokud jste jako uživatel viděli certifikát na <code>gooooogle.com</code> vydáno společnosti microsoft nebo yahoo, i když je tato lišta zelená, neměli byste to považovat za web společnosti google.</p> <p>jeden bod, který je třeba mít na paměti u certifikátů ev, je to, že <a href="https://security.stackexchange.com/a/14064/2435">jejich konfigurace je pevně zakódována do prohlížečů</a> . toto je nastavení kompilace, které nelze později nakonfigurovat (na rozdíl od běžných důvěryhodných úložišť certifikátů, do kterých můžete přidat například vlastní institucionální certifikační úřad). z cyničtějšího hlediska by to někteří mohli považovat za vhodný způsob, jak si hlavní hráči udržet silnou pozici na trhu.</p> </blockquote> <p>záleží. myslete na svou ip adresu jako na stejnou věc jako na skutečnou adresu. pokud zločinec zná adresu banky, co může dělat? <em>zcela záleží</em> na tom, jaké zabezpečení je na místě.</p><p>pokud máte spuštěn firewall (např. windows firewall) nebo jste za routerem nat), jste pravděpodobně v bezpečí. většina vzdálených exploitů.</p><p>moje návrhy:</p><ul> <li>povolte bránu firewall systému windows nebo cokoli, co je k dispozici ve vašem operačním systému.</li> <li>udržujte krok s opravami pro váš operační systém. to jsou kritické!</li> <li>neustále aktualizujte záplaty pro váš prohlížeč a jakékoli doplňky (např. flash)</li> <li>mějte aktuální informace o opravách svých aplikací (např. office, adobe pdf atd.)</li> <li>pokud v počítači provozujete nějaké internetové služby (např. httpd), pravidelně je aktualizujte a odpovídajícím způsobem nakonfigurujte jejich zabezpečení.</li> <li>pokud máte opravdu obavy, nainstalujte základní av balíček. microsoft security essentials (mse) je skvělou volbou pro windows, protože je zdarma, nenápadný a nemá moc výkonu.</li> </ul> <p>„zástupný certifikát“ je certifikát, který obsahuje jako možný název serveru název obsahující „<code>*</code> "znak. podrobnosti jsou v <a href="http://tools.ietf.org/html/rfc2818#section-3.1">rfc 2818, oddíl 3.1</a> . sečteno a podtrženo: když certifikát serveru obsahuje <code>*.example.com</code>, bude přijato <strong>klienty</strong> jako platný certifikát pro jakýkoli server, jehož <em> zjevné jméno </em> odpovídá tomuto jménu.</p><p>v oblasti certifikace webových stránek existují čtyři hlavní aktéři:</p><ul> <li>samotný server ssl.</li> <li>prodejce webového prohlížeče, který bude klient používat.</li> <li>lidský uživatel, který do určité míry řídí, co bude klientský prohlížeč dělat.</li> <li>ca, který vydal certifikát serveru.</li> </ul><p>zástupné certifikáty nenaznačují další zranitelnosti serveru ssl; ssl server opravdu nemá zájem na pohledu na svůj vlastní certifikát. tento certifikát je ve prospěch klientů, aby je přesvědčil, že veřejný klíč obsažený v certifikátu je skutečně veřejným klíčem pravého serveru ssl. server ssl <em> zná </em> vlastní pár veřejných/soukromých klíčů a nemusí o tom být přesvědčen.</p><p>lidský uživatel netuší, co je veřejný klíč. co vidí, je ikona visacího zámku a co je důležitější, <strong>zamýšlený název server</strong>: to je jméno napravo od "<code>https://</code> "a před další" <code>/</code> ". webový prohlížeč <em> předpokládá </em> zpracování technických údajů o ověření správnosti názvu, tj. ověření certifikátu serveru a ověření, zda se název shoduje s názvem, který je zapíše-li se do uvedeného certifikátu. pokud prohlížeč tuto úlohu neprovede, bude považován za nedbalý a nepřevezme svou roli, což může mít vážné obchodní důsledky, možná i legální. obdobně je ca smluvně vázán dodržováním stanovených postupů pro identifikaci vlastníků ssl serverů, aby bylo pro útočníky obtížné získat falešné certifikáty (smlouva je mezi ca a jeho über-ca, rekurzivně, až na kořenovou ca, která je sama vázána paktem s os nebo prodejcem prohlížeče, který přijato za účelem zahrnutí kořenového klíče ca do os nebo prohlížeče za definovaných podmínek).</p><p>to znamená, že prohlížeč <em> </em> a <em> [~ # ~] ca [~ # ~] </em> musí v praxi , rozmazlovat uživatele procesem ověření. jsou více či méně povinni (ze zákona nebo, ještě přísněji, z obchodních důvodů), aby zabránili podvodníkovi uživatele pomocí falešných stránek, které vypadají oprávněně. hranice mezi úlohou uživatele a úlohou prohlížeče/ca není jasně definována a historicky se posunula. v days of yore, myslím asi před deseti lety, prohlížeče vytiskly pouze nezpracovanou url a bylo na lidském uživateli, aby v něm našel název serveru. to vedlo kované operátory webů (tj. „phishingové weby“) k použití url, které jsou technicky platné, ale zavádějící, jako je tato:</p><pre><code>https://www.paypal.com:payment-interface-login-session@xcvhjvb.com/confirm.html </code></pre><p>vzhledem k tomu, že lidští uživatelé jsou <em> lidé </em> a většina z nich čte zleva doprava (nejbohatší a naivní podvodné cíle jsou stále v západních zemích), začnou na vlevo, viz <code>www.paypal.com</code>, zastavte se u dvojtečky („příliš technické“) a buďte scammed.</p><p>v reakci na to dodavatelé prohlížečů uznali, že schopnosti lidských uživatelů analyzovat url nejsou tak dobré, jak se původně předpokládalo, a proto poslední prohlížeče zvýrazňují část domény. ve výše uvedeném případě by to bylo <code>xcvhjvb.com</code> a rozhodně ne nic s <code>paypal.com</code> v tom. nyní přichází část, kde <strong>zástupné certifikáty</strong> vstoupit do hry. pokud majitel <code>xcvhjvb.com</code> koupí zástupný certifikát obsahující "<code>*.xcvhjvb.com</code> ", pak může nastavit phishingový web s názvem:</p><pre><code>https://paypal-payment-interface-login-session.xcvhjvb.com/confirm.html </code></pre><p>který bude prohlížečem přijat (odpovídá názvu zástupného znaku) a bude stále pravděpodobně zachycovat nežádoucí uživatele (a je jich mnoho ...). toto jméno <em> mohl útočník koupit </em>, aniž by se uchýlil k zástupným znakům, ale pak by zaměstnanci ca viděli jméno se zjevným podvodným pokusem (dobrý ca <em> do </em> ověření platnosti každé žádosti o osvědčení člověkem nebo alespoň upozorňování na jména, která jsou velmi dlouhá a/nebo obsahují v nich známé názvy bank).</p><p>proto <strong>zástupné certifikáty snižují účinnost opatření proti podvodům na straně ca</strong>. je to jako prázdný podpis od ca. pokud budou pokusy o phishing na základě zástupných znaků běžnější, lze očekávat, že bude existovat jedno nebo několik z následujících opatření:</p><ul> <li>prohlížeče zvýrazňují pouze části názvu domény, které se shodují s <em> prvky, které nejsou v zástupném znaku </em> v certifikátu.</li> <li>ca vyžadují těžší papírování a smlouvy pro zástupné certifikáty (a ty budou dražší).</li> <li>prohlížeče zcela deaktivují podporu pro zástupné certifikáty.</li> </ul><p>ve skutečnosti očekávám, že všechna tři opatření budou použita v příštích letech. mohl bych se o tom úplně mýlit (to je problém s předpovídáním budoucnosti), ale tohle je pořád můj pocit střeva.</p><hr><p>můžeme také zdůraznit, že zástupné certifikáty jsou užitečné pro sdílení stejného páru klíčů mezi různými názvy serverů <em> </em>, což zvyšuje pravděpodobnost, že soukromý klíč bude sdílen mezi různými servery. <em> stroje </em>. cestování soukromými klíči je samo o sobě bezpečnostním rizikem; čím více soukromý klíč putuje, tím méně „soukromý“ zůstává.</p> <p><strong> aktualizace 5 </strong> kořenovým problémem (heh) u modelu ca je to, že v obecné praxi může kterýkoli ca vydávat certifikáty pro jakoukoli doménu, takže jste zranitelní na nejslabší článek. pokud jde o to, komu můžete věřit, pochybuji, že seznam je vůbec dlouhý, protože sázky jsou vysoké a bezpečnost je tvrdá. doporučuji příspěvek christophera soghoiana k tomuto tématu, který objasňuje různé přístupy, které vlády po celém světě používají k získání přístupu k soukromým uživatelským datům - ať už přímým požadováním od společností, které provozují cloudové služby, prostřednictvím odposlechu, nebo stále více prostřednictvím nátlaku ca or hacks: <a href="http://paranoia.dubfire.net/2011/09/forces-that-led-to-diginotar-hack.html">slabá paranoia: síly, které vedly k hacknutí diginotar</a> .</p><p>zde uvádím některá specifika a končí odkazy na některé potenciální opravy.</p><p>v roce 2009 společnost etisalat (60% vlastněná vládou spojených arabských emirátů) představila neškodně vypadající opravu blackberry, která do zařízení rim vložila spyware, což umožnilo monitorování e-mailů, takže ji lze jen stěží považovat za důvěryhodnou. je to však v mnoha důvěryhodných seznamech ca: <a href="http://arstechnica.com/business/news/2009/07/mobile-carrier-rolls-out-spyware-as-a-3g-update.ars">http://arstechnica.com/business/news/2009/07/mobile-carrier-rolls-out-spyware-as-a-3g-update.ars</a> </p><p><strong> aktualizace 1 </strong> viz také příklad úspěšného útoku, údajně íránského jménem <a href="http://pastebin.com/u/comodohacker">comodohacker</a> , proti comodo: <a href="http://www.f-secure.com/weblog/archives/00002128.html">rogue ssl certifikáty ("case comodogate") - f-secure weblog</a> . f-secure bere na vědomí, že mozilla zahrnuje certifikáty vydané ca v číně, izraeli, bermudě, jižní africe, estonsku, rumunsku, slovensku, španělsku, norsku, kolumbii, francii, tchaj-wanu, velké británii, nizozemsku, turecku, usa, hongkongu, japonsku , maďarsko, německo a švýcarsko.</p><p>tunisko je další zemí, která provozuje široce důvěryhodnou certifikační autoritu, a existuje také dobrá dokumentace opatření jejich vlády k invazi do soukromí: <a href="http://www.theatlantic.com/technology/archive/2011/01/the-inside-story-of-how-facebook-responded-to-tunisian-hacks/70044/">vnitřní příběh o tom, jak facebook reagoval na tuniské hacky - alexis madrigal - technologie - atlantik</a> </p><p>mozilla zaznamenává další sporný postup, na který si dejte pozor: ca, které umožňují partnerovi ra vydávat certs přímo z kořenového adresáře, spíše než prostřednictvím zprostředkovatele: <a href="http://blog.mozilla.com/security/2011/03/25/comodo-certificate-issue-follow-up/">vydání certifikátu comodo - pokračování na blogu mozilla security</a> .<br> viz také podrobnější informace, včetně spekulací o nároku na zodpovědnost osamělého íránského hackera <a href="http://www.freedom-to-tinker.com/blog/sjs/web-browsers-and-comodo-disclose-successful-certificate-authority-attack-perhaps-iran">webové prohlížeče a comodo zveřejňují úspěšný útok certifikační autority, snad od íránu | svoboda tinker</a> </p><p><strong> aktualizace 3 </strong>: další úspěšný útok zdánlivě také comodohackerem byl proti <a href="http://en.wikipedia.org/wiki/diginotar">diginotar</a> ca. jejich web byl od roku 2009 kompromitován, ale to nebylo zaznamenáno, dokud diginotar nebyl v roce 2011 v íránu použit k podepisování falešných certifikátů pro weby google, yahoo !, mozilla wordpress a projekt tor. diginotar neodhalil své znalosti o vniknutí na své stránky déle než měsíc. více na <a href="https://freedom-to-tinker.com/blog/sjs/diginotar-hack-highlights-critical-failures-our-ssl-web-security-model">diginotar hack upozorňuje na kritická selhání našeho ssl modelu webové bezpečnosti | svoboda tinker</a> .</p><p>hádal bych, že rozsah zranitelnosti různých ca je velmi různý, stejně jako jejich užitečnost. takže bych navrhl přeorientovat vaši strategii. když ji můžete zúžit na konkrétní aktiva, která se pokoušíte chránit, stačí smazat všechny ca, s výjimkou těch, které jsou nezbytné pro použití těchto aktiv. v opačném případě zvažte vyloučení certifikačních autorit, které považujete za nejzranitelnější vůči těm, kteří se zajímají o vaše aktiva, nebo o nejméně populární, jen kvůli redukci povrchu útoku. přijměte však skutečnost, že budete i nadále náchylní k sofistikovaným útokům i proti nejoblíbenějším a nejpečlivějším ca.</p><p><strong> aktualizace 2 </strong>: existuje skvělý příspěvek o tom, jak opravit naši nebezpečnou infrastrukturu ca ve společnosti freedom to tinker: <a href="http://www.freedom-to-tinker.com/blog/dwallach/building-better-ca-infrastructure">budování lepší infrastruktury ca</a> </p><p>hovoří o těchto inovacích:</p><ul> <li> <p> <a href="http://www.imperialviolet.org/2010/08/16/dnssectls.html">imperialviolet - dnssec a tls</a> </p> </li> <li> <p> <a href="http://www.networknotary.org/">síťový notář - perspektivy: vylepšení autentizace hostitele ve stylu ssh pomocí vícecestné síťové sondy</a> </p> </li> <li> <p> <a href="http://googleonlinesecurity.blogspot.com/2011/04/improving-ssl-certificate-security.html">blog zabezpečení google online: zlepšení zabezpečení certifikátů ssl</a> </p> </li> </ul><p><strong> aktualizace 4 </strong> jeden z našich blogů o bezpečnosti it v srpnu 2011 zahrnuje také případ přechodu na server dnssec: <a href="http://security.blogoverflow.com/2011/08/31/a-risk-based-look-at-fixing-the-certificate-authority-problem/">pohled na opravu zaměřený na rizika problém s certifikační autoritou "stack exchange security blog</a> </p><p><strong> aktualizace 6 </strong> několik certifikačních autorit bylo chyceno v rozporu s pravidly. to zahrnuje francouzskou agenturu pro kybernetickou energii (anssi) a společnost trustwave, z nichž každá byla <a href="http://arstechnica.com/security/2013/12/french-agency-caught-minting-ssl-certificates-impersonating-google/">spojená se spoofingem digitálních certifikátů</a> .</p><p><strong> aktualizace 7 </strong> ještě další sada „nesprávně vydaných certifikátů“ prostřednictvím indického kontrolóra certifikačních orgánů (indie cca) v roce 2014: <a href="http://googleonlinesecurity.blogspot.com.es/2014/07/maintaining-digital-certificate-security.html">google online security blog: zachování zabezpečení digitálních certifikátů</a> </p><p>viz také otázka <a href="https://security.stackexchange.com/q/47230/453">transparentnost certifikát</a> , která vypadá jako užitečný přístup k objevování špatných certifikátů a porušování zásad dříve.</p> Dobrý den,   

  

rozhodně bych Vám nedoporučovala pánovi jakékoli další peníze poskytovat. Doporučuji Vám s ohledem na nutnost delšího prostudování celé Vaší záležitosti se obrátit na advokáta, který bude moci se Vašemu případu plně věnovat. Seznam advokátů naleznete zde: <http://www.advokatikomora.cz>.   

  

Dále je na zvážení podání trestního oznámení, neboť Vámi popsané jednání může naplňovat znaky skutkové podstaty některého z trestného činu. <p>aby se předešlo porušování ochranných známek, neexistuje možnost, jak se zapojit právníka. mohou vám pomoci při vyhledávání. i tehdy by mohly existovat výzvy. v usa nemusí být logo chráněno ochrannou známkou. přednostní důkaz o používání této ochranné známky (nebo ochranné známky dostatečně podobné podle testu „rozumné osoby“) v podobné oblasti obchodu je prioritou. obrana a ztráta bitvy o ochrannou známku může být drahá kvůli nákladům na provádění změn a možnosti sankcí, nemluvě o poplatcích za právní služby. nejsem právník, takže je to jen přibližné přiblížení.</p> Dobrý den, je mi líto, že jste narazila na neochotné pracovnice věřitele (nebo soudního exekutora? – není to z Vašeho dotazu jednoznačné), bohužel však mají pravdu v tom, že pokud byly písemnosti doručovány na adresu vašeho trvalého bydliště, jsou ty, které pocházejí ze soudního a exekučního řízení, považovány za doručené, ač jste si je nevyzvedla (tzv. fikce doručení). Uvedenou situaci lze předjímat a případně si nechat dopisy zasílat poštou jinam (tzv. dosílka), je to skutečně odpovědnost každé osoby. Pokud nevíte, o jaký dluh se jedná, obraťte se na soud v místě Vašeho trvalého bydliště, ten by Vám měl sdělit základní informace, neboť exekuce je soudem nařizována. Pokud budete mít za to, že exekuce je neoprávněná, podejte k exekutorovi návrh na její zastavení. V opařném případě bude nutno pohledávku věřitele včetně nákladů exekutora uhradit, neboť exekuce je vedena až do úplného vymožení, tj. i mnoho let, což mj. znamená navyšování jejích nákladů. akras hlásil unicreditbank s číslem 724525704 jako telefonní teror. neustále mi pod hlavičkou unicredit bank posílá sms o přečerpaném úvěru, debetním zůstatku a že mám uhradit dluh. navštívila jsem unicreditbank v našem městě a tam se semnou o tom nechtěli bavit. tak jsem podala na polici Čr trestní oznámení.... <p>rozhodně žijete ve smyslu falešné bezpečnosti! sociální inženýrství je dnes stále velmi rozšířené a pochybuji, že se to v průběhu desítek let změní, pokud vůbec.</p><p>zde je několik stručných vysvětlení, proč funguje sociální inženýrství. je těžké pokrýt vše, protože sociální inženýrství je opravdu široké pole.</p><p>některé důvody, proč funguje sociální inženýrství (z knihy citované dole):</p><ul> <li>většina lidí si přeje být zdvořilý, zejména k cizincům</li> <li>profesionálové chtějí vypadat dobře informovaní a inteligentní</li> <li>pokud jste chváleni, budete často mluvit více a prozradit více</li> <li>většina lidí by nelhala kvůli lhaní</li> <li>většina lidí laskavě reaguje na lidi, kteří se zdají být znepokojeni</li> </ul><p><strong> být užitečný </strong></p><p>lidé si obvykle chtějí navzájem pomáhat. rád děláme hezké věci!</p><ul> <li> <p>narazil jsem na recepci ve velké firemní kanceláři s papíry namočenými v kávě. mluvím s recepční a vysvětlím, že mám schůzku na pracovní pohovor za 5 minut, ale právě jsem rozlil kávu na všechny své papíry. pak se zeptám, jestli by recepční mohl být tak sladký, a vytisknout je znovu pro mě s touto usb pamětí, kterou mám.</p> <p>mohlo by to vést ke skutečné infekci pc recepční a mohlo by mi to získat oporu v síti.</p> </li> </ul><p><strong> používání strachu </strong></p><p>strach z neúspěchu nebo nedělání podle pokynů:</p><ul> <li> <p>facebooková stránka ředitele společnosti (john smith) (nebo jakýkoli jiný zdroj informací) ukazuje, že právě odjel na plavbu po dobu 3 týdnů. zavolám sekretářce a velícím hlasem říkám: „ahoj, volá chris. právě jsem opustil telefon s johnem smithem, má velmi dobrý čas na své plavbě se svou ženou carlou a dětmi. nicméně jsme v uprostřed integrace velmi důležitého obchodního systému, a řekl mi, abych vám zavolal, abyste nám mohli pomoci. nemohl volat sám sebe, protože jde o safari, ale to je opravdu naléhavé. vše, co musíte udělat, je vzít usb flash disk, který mu je zaslán v poště a zapojen, spusťte počítač a my jsme hotovi. projekt přežije!</p> <p>děkuji mnohokrát! byla jste skvělá pomoc! jsem si jistý, že vás john smith uzná za tento čin vstřícnosti. "</p> </li> </ul><p><strong> <a href="http://en.wikipedia.org/wiki/norm\_of\_reciprocity">hra na reciproci</a> </strong></p><ul> <li> <p>dveře zavazadlového prostoru. zadržuji pro vás vstupní dveře a rychle za tebou chodím. když otevřete další dveře, což je zabezpečené zabezpečení, zamířím stejným směrem a většina lidí se pokusí splácet užitečnou akci tím, že pro vás dveře opět podrží, čímž se dostanete na místo, kde byste neměli být. bojíte se, že vás chytí? ne. jen říkáš, že je ti líto a že jsi šel špatně.</p> <p>cíl by se téměř cítil povinen držet dveře za vás!</p> </li> </ul><p><strong> využití zvědavosti </strong></p><ul> <li> <p>zkuste hodit 10 usb flash disků na různá místa ve vaší organizaci. nemusíte je umisťovat na příliš zjevná místa. usb by mělo mít automaticky spuštěný domácí program telefonu, abyste viděli, kdy někdo připojí usb flash disk a měl by být teoreticky využit.</p> <p>další verzí tohoto je vyhodit usb flash disky s jediným dokumentem pdf, který se nazývá např. „john smith - norway.pdf“. dokument pdf obsahuje exploat adobe acrobat reader (existuje spousta a poté, co uživatel klikne na dokument, který bude vlastnit. samozřejmě jste se ujistili, že je zneužití přizpůsobeno konkrétní verzi adobe cílové organizace. bude pro většinu lidí přirozené otevřít dokument, aby mohli zkuste usb disk vrátit jeho vlastníkovi.</p> <ul> <li>dalším příkladem zvědavosti (možná jiný termín to vysvětluje lépe) jsou všechny tyto spam maily nebo špatné internetové reklamy, že jste něco vyhráli nebo nigerijský princ vám nabízí spoustu peněz, pokud mu můžete pomoci. jsem si jist, že jste s nimi již obeznámeni, ale jedná se také o útoky na sociální inženýrství a důvod, proč se nezastavili, je, že stále fungují!</li> </ul> </li> </ul><p>to je jen několik příkladů. samozřejmě existuje spousta tun!</p><p>můžeme se také podívat na historické události sociálního inženýrství:</p><p><strong> hbgary </strong></p><p>celý příběh si můžete přečíst <a href="http://arstechnica.com/tech-policy/news/2011/02/anonymous-speaks-the-inside-story-of-the-hbgary-hack.ars/">zde</a> (strana 3 obsahuje část sociálního inženýrství)</p><ul> <li> <p>v loňském roce byl hbgary hacknut. tento útok zahrnoval mnoho různých kroků, ale také aspekt sociálního inženýrství. hacker v krátkosti vyprávěl e-mailový účet společnosti vip) ve společnosti a poslal e-mail administrátorovi cílového systému, který řekl něco podobného: „ahoj johne, v současné době jsem v evropě a poskakuji mezi letišti. můžete mi otevřít ssh na vysoce číslovaném portu pocházejícím z jakékoli ip? potřebuji udělat nějakou práci. “když administrátor dostane tento e-mail, cítí, že je přirozené vyhovět tomuto, když e-mail pochází z důvěryhodného zdroje.</p> <p>ale to není ono! útočník měl heslo k účtu, ale přihlášení nefungovalo! takže pošle e-mailem zpět administrátorovi: „hej znovu, zdá se, že to nefunguje. heslo je stále správné? jaké bylo uživatelské jméno znovu?“. nyní také poskytl skutečné heslo pro systém (útočník to měl z dřívějšího kompromisu jiného systému ve stejném hacku), což útočníkovi poskytlo mnohem větší důvěru správce. správce samozřejmě souhlasí a sdělí útočníkovi své uživatelské jméno.</p> </li> </ul><p>seznam nahoře pochází z knihy " <a href="http://rads.stackoverflow.com/amzn/click/0470639539">sociální inženýrství: umění lidského hackování</a> " a mohu ho velmi doporučit!</p> <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p>