Miche skrev:

Kimmelie skrev:

notwoodstock skrev:Jag har t.ex fortfarande för enkelt lösenord till FaceBook. Men dom har väl bra koll på sin sida av det hela. Tror jag!

Om du inte vill riskera att få kontot kapat ska du nog byta till ett säkrare. Alla sidor kan bli hackade. Då är det enda skyddet man har att ha ett lösenord som tar så lång tid att knäcka, att de hinner upptäcka attacken och stänga ner sidan, innan de har knäckt det. Och sen om du har samma lösenord på andra ställen, gäller det att även hinna byta alla dem innan de har knäckt lösenordet. Har du ett enkelt lösenord tar det bara ett par sekunder att knäcka...

Nej, det är inte så lösenordshantering fungerar. De lagras oftast krypterade med någon känd metod, när en sida hackas hämtar de ner en fil där alla lösenord ligger krypterade, sen kör de kombinationer av ett antal ord (det finns filer med listor på massor med ord) och siffror däremellan genom krypteringsalgoritmen och jämför i filen om resultatet stämmer överens med något av de krypterade lösenorden, om de får en träff så har de knäckt ett lösenord.

Kort och gott, alla enkla lösenord knäcks först, de mer komplicerade tar längre tid, dock riktigt komplicerade lösenord där man blandar in specialiteten, gärna mitt i komplicerade ord kan klara sig helt från att bli knäckta. Ett komplicerat lösenord kan vara ett par långa felstavat ord med siffror, specialitecken mm.

På vilket sätt motsäger det vad jag skrev?

Jag har själv testat att knäcka lösenord. De första ramlade in efter ca 1-2 sekunder, några efter ca 1 timme, längre tålamod än så hade jag inte.

Jag siktar nu på:

Helt nya automatgenererade lösenord överallt.

Få "riktiga", privat lättihågkomna lösenord för dels de få viktigaste ställena, samt för de ställen, som FaceBook och sådant, som jag måste kunna komma åt på andra ställen än på Mac-prylarna. (T.ex. så kom jag inte in på AF nu när jag var på sjukhus två veckor - jag kunde inte det lösenordet utantill. Ville inte heller riskera trassel här på AF under inläggningstiden - det har också varit bra med en "AF-fasta")

Bankerna fungerar bra, men jag lyckades inte tanka mobilen när jag var inlagd - min halvdumma Sony Ericsson mobil (köpte billigt, men Svenskt för ca 5 år sedan) klarade inte helt Telias tankning på webben.

Jag satt och rensade History på gemensamma boendets PC för att mina id inte skulle synas, men jag tröttnade - det gällde flera månader. Fick tipset att köra i ikognito-läge. Men "What the heck...".

Generell säkerhet på olika webbsidor:
-------------------------------------
Jag skulle faktiskt rekommendera att köra 2FA på de flesta webbsidor där det går.
Då använder man en app, pryl eller liknande som genererar engångskoder (tidsbaserade, ny kod var 30:e sekund) och denna kod används sedan för att logga in.

Det gör att man kan ha ett enklare lösenord till t.ex. Facebook och Gmail för då måste man ändå ha engångskoden.

Det baserar sig på standarden TOTP, så det är jättelätt att byggna egna program, lösningar, hårdvara och sådant för att använda TOTP om man inte vill använda något "färdigt".
Finns även programmerbar hårdvara att köpa, exempelvis ett TOTP-kort: https://www.protectimus.com/slim-mini/ och YubiKey, en USB-nyckel som sätts i USB-porten ( http://www.yubico.com ), om man nu inte vill använda en app, eller om man har problem med detta.
Finns säkert program för Handy och liknande som kan generera dessa koder också.

Brandvägg och antivirus:
------------------------
Framför allt så rekommenderar jag hårdvarubrandväggar. Exempelvis kan man ersätta routern med en PC med två nätverkskort (alternativt ett nätverkskort + managerbar VLAN-switch) mellan WAN och sedan LAN. Ha en switch för att hantera ev LAN, och en AP för det trådlösa (de flesta routrar går att ställa i AP-läge).
Som programvara på denna PC rekommenderar jag antingen pfSense eller OPNsense. Båda är samma grund och botten, men OPNsense är mindre buggigt och mer stabilt.

På klientdatorn, som antivirus och brandvägg, rekommenderar jag Microsoft Defender resp Microsoft Firewall. De duger väldigt bra som skydd, speciellt med integrationen i Micrsoft Edge och Microsoft Office.
Har du något annat Windows än Windows 10: Kasta ut genom fönstret.

Phishing:
---------
Många tycker att man ska kasta bort alla mejl som frågar efter ens lösenord eller liknande som phishing. Men inte det är helt rätt - ibland kan ju faktiskt företagen behöva göra någon reset eller återställning, speciellt efter de blivit hackade.

Ett mejls äkthet går faktiskt att verifiera. I gmail är det väldigt enkelt:


Om du ser texten som står vid den Röda pilen, OCH/ELLER den texten som står vid den gröna pilen, OCH/ELLER ringen med en bock ("Verifierad E-postadress") då är mejlet äkta. Det räcker med att en av dessa säkerhetskontroller passerar för att mejlet ska anses vara äkta.
Förutsatt att du känner igen domänen (Dvs om mejlet utger sig för att vara från ICA-banken så ska det stå icabanken.se där)

Dessa är 3 olika säkerhetskontroller som görs.
Den gröna ringen med en bock, baserar sig på något som heter S/MIME som grundar sig i användandet av certifikat för att signera meddelanden.
Texten "Skickat av:" baserar sig på en kontroll av avsändarens IP-adress mot ett TXT-record som finns i DNS-servern hos domänägaren. Om domänägaren säger att en IP-adress får skicka, så blir de godkända i kontrollen.
Texten "Signerat av:" baserar sig också på en kontroll mot DNS, men denna gången är det via en publik nyckel som publiceras i ett TXT-record i DNS. När man skickar mejlet så läggs en signatur in i headern (DKIM) som gör att mottagarservern kan validera mejlet som äkta.

Har du hotmail eller liknande så är det mer komplicerat - då får man högerklicka, välja "Visa Original" och sedan gräva i meddelandets headers för att hitta vad hotmail anser om mejlets signaturer.
Samma i andra mejlklienter, då får man högerklicka på mejlet, "Visa egenskaper" och titta på meddelandehuvudet.

Var vaksam dock på att vissa illvilliga kan sätta in falska headers. Gmail och hotmail kan se vilka headers som är falska, men övriga E-postleverantörer har inte koll på detta. Därför, om du ser 2 exakt likadana headers gällande samma signaturmetod (t.ex. SPF eller DKIM), men den ena säger "fail" och den andra säger "pass", då bör du ta det som en "fail".

Behärskar man detta på rätt sätt, så blir det ett mycket effektivt motmedel mot phishing, samtidigt som att riktiga (äkta) mejl där ett företag ber om att du ska besöka en webbplats och skriva in ditt lösenord - då inte faller bort som "phishing".

2FA är viktigt speciellt på webbsidor som enbart stöder http. Är nån intresserad varför kan jag förklara men det finns ju så många säkerhetsaspekter att ta itu med redan så kanske inte