Pozvánka: V pátek na viděnou na Světě knihy na téma bezpečnost dětí na Internetu a blogy

12.5.2013 | Daniel Dočekal | Webdesign, Internet |

Pokud máte zájem, tak v pátek 17. května můžete navštívit Svět Knihy a tam besedu Bezpečnost děti na Internetu (14:30 - 15:30, stánek P 208, pravé křídlo Průmyslového paláce). Jak obrázek napovídá, jde o besedu o bezpečnosti dětí na Internetu a týká se knížky, kterou jsem spáchal společně s Lenkou Eckertovou před pár měsíci. Odkaz vede případně na Událost na Facebooku, pokud je používáte.

Od 16:00 do 16:50 můžete pr ozměnu navštívit Literární sál (také pravé křídlo), kde se bude řešit téma Bloggeři spisovateli, spisovatelé bloggery. Budu tam coby kmet blogger protiváhou několika mladým literárním bloggerkám. Po akci se podělím i s adresami jejich blogů, je to zajímavé počtení i podívání.

Je vaše heslo na Twitteru bezpečné? Kolik lidí se nechá nachytat, co myslíte?

25.4.2013 | Daniel Dočekal | Webdesign, Internet |

Na www.ismytwitterpasswordsecure.com si můžete vyzkoušet, jestli vaše heslo na Twitteru je bezpečné. Předem tam samozřejmě prozrazují, že není.

Mimochodem, Twitter ze zcela nepochopitelných důvodů už roky odolává čemukoliv, co by tamní účty alespoň trochu umožnilo mít bezpečnější. Přihlašovací jméno je veřejně známé, takže zbývá už jenom znalost hesla. Žádné dvoufaktorové zabezpečení se nekoná, informaci o tom, že se někdo přihlásil na váš účet "odjinud" (jako to má třeba Facebook i Google) se taky nedozvíte.

Twitteru se znelíbilo Jdem.cz, nejde použít pro vkládání tweetů s odkazy

23.3.2013 | Daniel Dočekal | Webdesign, Internet |

Sice jsem nikdy moc nepochopil, proč zrovna Tweet tlačítko na Lupě musí používat jdem.cz, ale doposud to nijak zvlášť nevadilo. Bohužel teď se Jdem.cz znelíbilo Twitteru a odmítá vkládat příspěvky s těmito odkazy. Samozřejmě stačí zbytečně zkrácený odkaz v příspěvků nahradit plným odkazem na článek a vše se vloží.

Je možná vhodné připomenout, že Twitteru už delší dobu všechny odkazy natvrdo zkracuje pomocí svého vlastního zkracovače t.co - dává mu to samozřejmě možnost blokovat případné škodlivé odkazy, ale také to zajišťuje, že připojený odkaz ma stále stejnou "délku". Při zobrazování příspěvků Twitteru odkazy nezobrazuje v t.co podobě, ale zobrazí kam vlastně odkaz vede.

FIO zprovoznilo bankovní API. A ejhle, je to zlý Google, kdo útočí na vaše finanční data!

18.3.2013 | Daniel Dočekal | Bezpečnost |

Málokdy mám ve zvyku komentovat články lidí píšících pro stejný titul jako já, ale tady nemohu vydržet. Řeč je o Google vám zadarmo zkontroluje bankovní výpis. Je o co stát? kde to prostě nechápu. Rozumějte tomu správně. FIO zprovoznilo API pro přístup k bankovnímu účtu. A Filip Hráček zveřejnil video, ve kterém ukazuje, jak ON využil toto API ve spojení s Google technologiemi. Nic víc a nic míň.

Zmíněný článek je ale super. Za všechno může Google, všechno je nebezpečné, přístupové klíče se přenášejí nebezpečně a všichni lidi z Google se jenom třesou na to, aby si z vašich Google Docs mohli přečíst vaše bankovní data. Dokonce to končí obviněním, že tohle je vlastně nějaký temný plán Google:

Zbývá otázka, proč Google vůbec přišel s tak nebezpečným nápadem. Je to předběžný průzkum trhu zjišťující, jestli by nám vadilo, že se nám Google bude dívat do bankovního účtu?

Nějak to vážně nechápu. Asi je čas to zopakovat. FIO zpřístupnilo API pro přístupk účtům. Filip Hráček to použil pro své osobní potřeby a natočil o tom instruktážní video. Povedené video, ukazující velmi praktické věci. A ať dělám co dělám, nikde tam nevidím žádné temné konspirační plány Google k ovládnutí našich bankovních účtů. Už vůbec ne to, že by "Google zdarma kontroloval bankovní výpisy".

Nemá asi moc smysl řešit řadu dalších omylů v článku, jako naivní představy autora o zabezpečení "bankovních aplikací v mobilech". Nepochopení toho, že milionům lidí stejně chodí bankovní výpisy e-mailem v plaintextu. Nebo třeba onen oblíbený mýtus, že snad Google má právo vaše data zpracovávat jak ho napadne či dokonce, že po použití API od FIO na vás bude Google cílit podle vašich ekonomických informací. To nechme být.

Zásadní problém? Máme tady FIO a jejich nebezpečné API (pokud tedy budeme autora vůbec kdy brát vážně). A máme tady autora, který za to obviňuje Google. Tomu nerozumím.

PS: Prostudoval jsem si API od FIO, je to běžně provedené "read-only" API pro přístup k výpisům. Takže je už zjevné, že autor textu na Lupě vůbec neví která bije. A ani se neobtěžoval si o API nic přečíst.

Pátý březen 2013, den kdy v Česku přestal jet Internet

5.3.2013 | Daniel Dočekal | Bezpečnost |

Seznam.cz vrací 502 (Bad Gateway), Connection was reset ... to nevypadá, že by se po včerejšku něco zklidnilo. Ale co hlavně, 5. březen 2013 se zapíše do historie. Nefungující www.seznam.cz to je něco, co pro většinu BFU bude znamenat, že "nejede ten Internet". Bezdradně budou koukat na nějakou tu chybovou hlášku, v panice mačkat Refresh/Reload/F5 (pokud vůbec vědí co to je) a snažit se dostat k "tomu internetu" kam teprve napíší do vyhledávacího políčka adresu,  kam vlastně chtějí jít.

Připomeňme, že včera došlo k DDoS útokům na řadu zpravodajských webů (zejména iDnes.cz, Novinky.cz, iHNed.cz) z nichž některé to označily za útok "hackerů", jiné za útok "počítačových pirátů". Nejprve bylo v popředí tvrzení, že útok je obtížné řešit, protože pochází z IP adres v české republice, pak se objevilo, že vlastně pochází z Ruska. Ani den po zahájejí útoků ale zjevně nic nevíme (přitom stačilo konečně analyzovat alespoň včerejší logy). A vypadá to, že útočníci pochopili, že dobrý cíl bude přímo www.seznam.cz.

PS: Pro ty co nemohou bez Seznam.cz žít, zkuste to s jedním "s" navíc -> https://www.seznam.cz/ 

Google Chrome zablokoval vstup na jediný článek na Lupě pro phishing

20.2.2013 | Daniel Dočekal | Bezpečnost |

"Google Chrome has blocked access to www.lupa.cz. This website has been reported as a phishing website," bylo varování, které se objevilo u jednoho čerstvého článku. Jediného článku.

Těžko říct jakým způsobem můžete snadno a rychle dosáhnout toho, že zcela čerstvě vydaný článek začne Google Chrome blokovat a tvrdit, že jde o phishing. Řeč je o článku původně vydaném s touto adresou - http://www.lupa.cz/clanky/google-pry-jedna-s-visa-mastercard-a-paypal-jak-zastavit-financovani-piratskych-webu/ - a který nakonec najdete na nové adrese - http://www.lupa.cz/clanky/google-visa-mastercard-a-paypal-pry-jednaji-o-zastaveni-financi-pro-piraty-doplneno/ (Google, Visa, MasterCard a Paypal prý jednají o zastavení financí pro piráty). Tu mu bylo nutné přidělit, protože se nějakým způsobem ta jeho původní dostala na "černou listinu". Skutečně tohoto jediného článku, několik desítek minut po jeho vydání.

Bohužel hláška zabraňující vstupu pouze umožňuje "nahlásit" omyl, vrátit se zpět nebo "pokračovat na vlastní nebezpečí". Žádné bližší údaje k dispozici nejsou, byť v jiných případech Google umožňuje získat nějakou tu zprávu o tom, proč (a kdy) k označení pro závadnost došlo. Klasická "Safe Browsing" diagnostika (viz například www.google.com/safebrowsing/diagnostic?site=lupa.cz) se tohoto případů také  netýká (a v tomto případě se na tuhle adresu stejně musíte vydat ručně).

Nigerijský spam přišel na nový trik. Využívá k tomu koťátka k adopci. A to prostě nevymyslíš

19.2.2013 | Daniel Dočekal | Bezpečnost |

Napsala mi na Facebooku Petra. Je to opravdu zajímavé a naštěstí zatím přišla jenom o 3 000 korun a včas jí došlo, že pořídit se dvě (neexistující) koťaty za třeba i dalších 24 tisíc působí divně. Tohle prostě ten "nigerijský spammer" nezvládnul.

Prosim Vas o radu.. 
Nasla jsem inzerat, dve kotata, psala jsem pani, ze pry zije v Lyonu je zdravotni sestra a z nedostatku casu je dava k adopci..Ozvala jsem se, nasledovalo vymeneni nejakych udaju jako jmeno, adresa, telefon.. Pak pry ze zaveze kotata na letiste, priskla mi nejaka zprava z neceho co se tvarilo jako airfrance preprava zvirat.. bylo tam vyuctovano ze ona zaplatila 30E a ja mam zaplatit 3000CZK za tranfer. Prisly mi udaje, jednalo se o banku v Kamerunu s tim, ze jakmile jim dojdou prachy kotata budou prepravena. Slozit penize chteli na urcite jmeno pomoct MoneyGram. Udelala jsem to, prisel mi dalsi mail, ze vzhledem k prepravnim podminkam je treba nejaka vyhrivana prepravka a ze mam zaplatit dalsi castku mela jsem na vyber mezi 12tis, 19tis, 24tis. A najednou mi to zacalo byti vice nez podezrele. Obavam se ze jsem prisla o 3tis KC, a nic se dal dit nebude. Nemate s timto zkusenoti? Dekuji Petra

Každopádně je to prostě geniální.

Zelenkavý bezpečnostní nástavec na bankomatu? Konec lžím o vyšším bezpečí?

19.2.2013 | Daniel Dočekal | Bezpečnost |

Bankomat v Brně kopíroval platební karty, stopy vedou do Kalifornie je článek o klasické situaci. Skimmovací zařízení na jednom brněnském bankomatu jedné nejmenované instituce. Samozřejmě, bankomatu co měl být vybaven oním skvělým kusem plastu, bezpečnostním nástavcem, barvy zpravidla zelenkavé. A ják už od objevení tohoto zhůvěřilého nápadu upozorňuji, nemajícího žádný význam. A ejhle, možná to konečně vypadá na konec lží o zelenkavém zabezpečení.

"Nejnovější modely skimmovacích zařízení mají stejnou zelenavou barvu jako bezpečnostní nástavec, který je umístěn v bankomatu na vstupu pro kartu, a mohou být na tento nástavec upevněny. Čtečka bývá také často umístěna v liště, která se nachází přes šířku bankomatu přes vstup pro platební kartu a výdej potvrzenek. Kamera pro snímání PIN je pak většinou instalována v liště nad rámem obrazovky," upozorňuje na vynalézavost zlodějů mluvčí banky.

Nezbývá než pogratulovat bankám, jak několik let jejich PR oddělení úspěšně vodila za nos důvěřivý národ - viz například ČS vybavila již 80 % svých bankomatů bezpečnostním zařízením proti kopírování z listopadu 2007, ve kterém se dočtete: "Jde o zařízení, které bankomat účinně chrání proti instalaci nelegálních zařízení a znemožňuje okopírovat data z magnetického proužku. Zelený plastový nástavec se instaluje přímo na vstupní otvor pro kartu a jeho přesný vzhled si klienti mohou ověřit i na obrazovce bankomatu. "

Ale jak už dávno víme, zloději karet to nějak vůbec nepochopili a prostě si vyrobili zelenkavé nástavce vlastní. A totéž to bude s dalším zábavným tvrzením: "Díky softwarové úpravě se karta při vstupu do bankomatu pohybuje trhavě nebo přerušovaně, a právě tento pohyb eliminuje možnost podvodně načíst údaje z magnetického proužku. "

Women who live in Prague, Czech Republic and are single aneb Graph Search v praxi

16.2.2013 | Daniel Dočekal | Webdesign, Internet |

Nový Facebook Graph Search je konec hledání na Facebooku. To je první důležitá věc a bude platit, dokud Facebook nevrátí vyhledávací okénko - aktuální Graph Search totiž musíte vědět kam kliknout. A pak  hlavně vědět, že to není vůbec určené k hledání toho co potřebujete najít - tedy například jména firmy či osobnosti (tak abyste se dostali k jejich Stránce). Facebook tototiž skutečně primárně postavil na vyhledávání v Open Graph datech. A očekává, že tam opravdu budete psát sofistikované dotazy. Jako třeba "Women who live in Prague, Czech Republic and are single" (zjednodušeně "Single women who live in Prague, Czech republic").

Což je hezké. Vrátí vám to více jak 1000 výsledků nezadaných žen,  včetně záplavy užitečných údajů o nich. Odkud jsou, kde pracují, kde bydlí, co mají v oblibě, jak vypadají, co používají za aplikace, atd, atd. A pokud by vám tohle připadalo jako příliš široké kritérium, stačí pokračovat podle jemných nápověd Facebooku a zjemňovat to. A těch kritérií tam můžete naklikat dobrých šedesát. A co třeba "People in a complicated relationship who are female Prague, Czech Republic residents" (taky mimochodem více jak 1000 výsledků). A samozřejmě můžete použít i "Single women who live in Czech Republic and are interested in females" a řadu dalších užitečných konstrukcí. Co třeba "Single women who live in Czech Republic and are interested in Having Sex" (ano, i to mi nabízí řadu užitečných výsledků, včetně několika zjevných fake účtů)

Mimochodem, nenechte se v onom screenshotu mýlit tím, že tam jsou příklady nalezených kde jsme v "přátelském" vztahu - to je jenom začátek velmi dlouhého seznamu, kde "přátele" mají přednost. Komplikovanější dotazy, kde Facebook mezi mými přáteli nic nenajde, samozřejmě nacházejí množství výsledku v podobě pro mě zcela neznámých a cizích lidí. Většina z nich má natolik otevřené a zaplněné profily, že je až skoro děsivé co všechno z toho Facebook dokázal vyvodit.

Chcete vidět příklad hledání v novém Graph Search? Zkuste pokračovat do Příklady Facebook Graph Search aneb podívejte se, jak (špatně) to hledá. 

Vyšla knížka, Bezpečnost dětí na Internetu. A já z toho mám radost. Díky Lenko. A díky Radko.

5.2.2013 | Daniel Dočekal | Bezpečnost |

Po usilovném psaní. Po ještě usilovnějším čtení. Po pár týdnech co Lenka asi měla chuť se vším praštit a na všechno se vykašlat. Po několikerém přečtení, kdy jsem tu knížku nenáviděl. Po novém přečíslování všech obrázků. Poté co mě Lenka musela honit abych podepsal smlouv. No prostě po řadě věcí, kde nebýt právě Lenky, tak by takhle knížka nikdy nevyšla. Po té řadě věcí je na světě Bezpečnost dětí na Internetu kde jsem spoluautorem. A mám z toho hodně hodně hodně velkou radost.

Na psaní knížek sice v současné době už asi člověk nezbohatne, ale tahle knížka je hodně užitečná. Až mi dorazí pár autorkých výtisků, tak první půjde k Radce Malečkové do českého Hewlett-Packard. Protože ta mě (teď už skoro před dvěma roky) přivedla k seminářům bezpečnosti pro děti na základních školách. A já našel něco, co mě fantasticky bavilo. A co také vedlo k téhle knížce. Takže díky, Radko. A díky Lenko, protože bez Lenky Eckertové by tahle knížka nikdy nebyla dopsaná.

Václav Klaus líbající se s Lívií v novém hoaxu (co samozřejmě pobíhá po Facebooku)

27.1.2013 | Daniel Dočekal | Bezpečnost |

Po Facebooku pobíhá čerstvý hoax, ve skutečnosti jen varianta již dříve používaného textu, pouze je vyměněn předmět. V některých z předchozích verzích šlo o "spořič obrazovky", nyní jde o Václava Klause líbajícího se s Livíí na Karlově mostě.

NEMAŽTE!!!! PŘEČTĚTE SI A IHNED předávejte dál.!!!!!!!!!!

"Někdo posílá na první pohled velmi roztomilý obrázek (možná fotomontáž) Václav Klaus líbající se s Lívií na Karlově mostě. POZOR!!!!

Pokud si foto stáhnete, přijdete o všechno !!

Pevný disk se uvolní a spadne do kanálu a někdo na internetu (prý Al-Kajdá) dostane vaše přihlašovací údaje.!!!! Zmizí Vám peníze z účtů, budete odhlášeni ze zdravotního pojištění a vaše identita vymazána ze všech serverů státní správy!!!!!!!!!!!!

Nestahujte za žádných okolností.!!!!

Toto je informace od Microsoftu, včera šla do oběhu.

Prosím, pošlete tuto zprávu dál. Podělte se s každým, kdo má přístup k internetu, kdo nemá, pošlete mu to poštou nebo ihned volejte. Můžeme tak zachránit spoustu lidských životů!!

Samozřejmě klasicky platí, že BFU (běžní facebookoví uživatelé) téhle snůšce blábolů věří.

Pozor na WiFi, hackeři vám vidí na obrazovku počítače! Podivnosti od Novinky.cz. Klasika

29.12.2012 | Daniel Dočekal | Bezpečnost | |

Ještě není ani Silvestr, tedy doba vydávání mystifikačních článku. A už je tu pravidelná porce IT nesmyslů od Novinky.cz. Tentokrát okořeněná dávkou hlouposti z úst mluvčího policejního prezidia. Otázkou samozřejmě je, zda vůbec něco takového řekl.

„Někdo využije prostředí, kde se dají očekávat bezplatná wi-fi, třeba restaurace. Ten člověk si tam přinese své wi-fi a čeká, až přijdou další lidé, kteří se potřebují napojit na rychlejší připojení než přes mobil. Vyhledají dostupné wi-fi, přičemž nejbližší, a tudíž nejrychlejší je od toho člověka, který chce stahovat jejich data. Pokud si je dotyční nezašifrují, tak jim fakticky vidí na obrazovku počítače,“ přiblížil problém Hulan.

Na článku Pozor na veřejná wi-fi, hackeři vám mohou ukrást adresy i čísla je ale těch podivností víc. Třeba to, že o něco dále v článku je tvrzeno, že přes WiFi je možné se dostat i do internetového bankovnictví. Ale hlavní zásadní podivná věc je, že článek je zdánlivě o veřejných WiFi v restauracích, hotelích, letištích či obchodních centrech. Ale ve skutečnosti je o hlouposti lidí, kteří se nepřipojí na veřejnou WiFi, ale na podstrčenou WiFi někoho zcela cizího. Prostě takové klasické Novinky.cz.

Klasický způsob jak přijít o účet na Facebooku co neměl dlouhého trvání

20.12.2012 | Daniel Dočekal | Bezpečnost |

Tenhle phishing neměl dlouhého trvání, směřoval na adresu best-dating2013.info, která už ovšem neexistuje.  Potkat ale bylo možné ještě další varianta - fresh-dating-2013.info a dokonce i datingcool2012.asia. Na té poslední je zajímavé to, že ještě stále funguje, ale přesměrovává na www.msn.com.

U Facebooku je možná dobré vědět, že pokud vám Facebook zablokuje účet, tak vám o tom žádnou zprávu nepošle. Dozvíte se to až v okamžiku, kdy se budete chtít na Facebook přihlásit. A ve většině případů vás čeká jedna ze tří metod ověření "pravosti" vašeho účtu - podstupně od oveření e-mailu a telefonního čísla až po nutnost poslat až dvě kopie dokladů.

Hacknuté účty na Twitteru? Už to padlo i na Ivo Lukačoviče

20.11.2012 | Daniel Dočekal | Bezpečnost |

"Awesome! I got $175.39 this week so far just filling out a couple of surveys." na něčím účtu na Twitteru je jasný příznak toho, že se mu podařilo nechat si hacknout účet. Před pár dny to byl Pavel Neumann, dneska ráno je to Ivo Lukačovič.  Pokud se vám podařil stejný úlet, nezapomeňte si (1) změnit okamžitě heslo a (2) odstranit z účtu aplikace (viz Kontrolujete si (čas od času) jaké aplikace mají práva k vašemu účtu na Twitteru?). Aktuální vlna "hacků" je podle všeho způsobena právě tím, že dotyční moc nemysleli a dali nějaké aplikací právo ke kompletnímu přístupu účtu.

PS: Je dobře, že Ivo našel nové způsoby výdělku. Vyplňovat po nocích formuláře zjevně přináší ovoce :)

Spammerům se Linkedin hodně líbí. Desítky podvodných zpráv denně.

20.11.2012 | Daniel Dočekal | Spam |

Popularita Linkedin.com (sociální síť co příliš sociální sítí není, ale alespoň je to skvělé interaktivní a elektronické CV) nejspíš vede k záplavě podvodných zpráv. Ty se šíří posledních několik dní a vydávají se za notifikační a připomínkové maily od Linkedin - spammeři to mají o to jednodušší, že podobných zpráv Linkedin samotné posílá za týden i stovky a ty falešné se mezi nimi snadno ztratí. Ve zprávě na obrázku je zajímavé například to, že každý z odkazů vede někam jinam - www.chinafishingtackle.com.cn/track.php?c005,  www.xtjunda.cn/track.php?c005 a www.carnerbarzakay.com/track.php?c005

Google vás nepustí na Martinus.sk. A když jste zvědaví proč, tak prozradí, že tam nikdy nic škodlivého nebylo

11.11.2012 | Daniel Dočekal | Webdesign, Internet |

Google už zase vyvádí divné věci s varováním před viry. Pokud přes Google půjdete na www.martinus.sk, dozvíte se "Warning - visiting this web site may harm your computer!". Jenže když si rozkliknete "Safe Browsing diagnostic page", tak se dozvíte, že Martinus.sk je čisté, za posledních 90 dní se na něm nic neobjevilo a v 69 testovaných stránkách není nic, co by bylo špatně. A samozřejmě vás zablokuje i přímo Google Chrome a Mozilla Firefox - oba prohlížeče totiž používají stejný systém.

Samotné www.stopbadware.org také nic v hledání neuvádí, pouze varuje, že "if a site was recently identified as badware, it might take up to a few hours to appear in our Clearinghouse. Please check back a bit later". Na což nelze říci nic jiného, že když už to dokázali mít v databází rizikových adres, tak by to snad mohli mít i v databází si informacemi proč. Jinak je to celé tak poněkud kontraproduktivní.

DODATEK 18:30: Tak informační stránka si to konečně rozmyslela - "Part of this site was listed for suspicious activity 2 time(s) over the past 90 days." a "Of the 111 pages we tested on the site over the past 90 days, 6 page(s) resulted in malicious software being downloaded and installed without user consent. The last time Google visited this site was on 2012-11-11, and the last time suspicious content was found on this site was on 2012-11-11."

Petr Tymeš a Prima-web.cz včera řešili HODNĚ hacknutých webů (AKTUALIZOVÁNO)

9.11.2012 | Daniel Dočekal | Webdesign, Internet |

Tak on včerejší Hack ZŠ Kamenice zdaleka nebyl ojedinělý. Hacknuta byla i www.zsjak.cz neboli ZŠ J.A.Komenského v Louche. A jak je vidět z Google, ten počet hacknutých webů týmž hackem je podstatně vyšší - www.mestoholice.cz, www.kosice.cz (aktuálně stále hacknuto), www.strojservissimon.cz (aktuálně  stále hacknuto), www.elektronawebu.cz (aktuálně  stále hacknuto) či www.abecedawebu.cz (aktuálně stále hacknuto).

Co je mimochodem společným jmenovatelem ZŠ Kamenice, ZŠ J. A. Komenského a města Holice? Ano, Petr Tymeš poskytující služby pod značkou www.prima-web.cz. A samozřejmě děravá Joomla. A je asi dost jasné, že seznam hacknutých webů bude podstatně větší, protože když už se onomu útočníkovi podařilo dostat na jeden systém, tak to vzal šmahem po všech webech, které tam byly a měly stejnou chybu.

Jedno je ale na tom v čem pozitivní, poměrně rychle bylo (nejspíš) vše uvedeno do původního stavu. Teď jen nezbývá doufat, že součástí uvedení do původního stavu nebylo ponechání díry, kterou se tam neznámý útočník dostal.

DODATEK 15:15: Volal Petr Tymeš, skutečně se útočníkům podařilo dostat do webů přes nějakou zapomenutou věc v Joomle (bohužel tohle se stane příliš snadno, stejně jako ve Wordpressu zejména při používání šablon a plug-inů) a samozřejmě to pak vzali "jedním vrzem" na všechny weby, které bylo možné napadnout. Petr Tymeš mi také říkal, že na to přišli velmi rychle poté co se to stalo a také se jim podařilo zjistit kudy se tam účastník dostal. Jak jsemodhadoval, obnovili vše ze záloh (nebývá to časté, ale tady zjevně na zálohy dbají) a díru uzavřeli.

Hack: Škola Kamenice

8.11.2012 | Daniel Dočekal | Bezpečnost | |

Podle obsahu www.kameniceskola.cz  je asi dost jasné, že web padnul za oběť nějakému automatizovanému hackování skrz nějakou opomenutou díru. HackeD By Dr. SHA6H a lekce toho, co je to Islám. Za tip díky Jiřímu Šikovi. Jinak se tak trochu titulek ZŠ KAMENICE MÁ DÍKY JOOMLA ŠABLONĚ NOVÝ WEB A TEN ZAČAL ŽÍT POMĚRNĚ AKTIVNÍM ŽIVOTEM (ach ano, takhle OPRAVDU někdo píše titulky) má nový význam. A také trochu napovídá, že Petr Tymeš tam prostě zapomněl Joomlu s některou z hojně rozšířených děr. A pro skript kiddies je tohle oblíbený cíl.

Hoax: Napíšete-li do komentáře na Facebooku své heslo, Facebook ho změní na hvězdičky

5.11.2012 | Daniel Dočekal | Bezpečnost |

Hodně starý a vousatý hoax se vyskytuje nejenom na Facbeooku, ale i na dalších sociálních sítích. Dokonce existuje i ve variantě, která tvrdí, že na hvězdičky se změni číslo vaší platební karty, pokud ho napíšete do příspěvku či do komentářů. Jde samozřejmě o chytře vymyšlený hoax, protože vaše heslo ve skutečnost Facebook vůbec nezná - nemá ho uložené (a nesmí ho mít uložené, jde o zásadní bezpečnostní problém). Proto, pokud si chcete nechat poslat heslo, nestane se tak - místo toho dostanete nově vygenerované náhodné heslo nebo možnost si nastavit vlastní pomocí unikátní adresy poslané mailem.

Láďa Hrbáček mi na Stránce POOH.CZ na Facebooku poslal odkaz na tuto fotografii s komentářem "stojí to za to". Je sice pravděpodobné, že řada těch co tam napsali "heslo" si z toho dělají legraci, ale vždy se najde dostatek těch co tam skutečně napíší pravé heslo. A na hvězdičky? Na hvězdičky se prostě nepromění.

Nová vlna hacků účtu na Twitteru využívá i Facebook

19.10.2012 | Daniel Dočekal | Bezpečnost |

Martin Ehl mě dnes ráno obdařil klasickou phishingovou zprávou. "did you see your pics with her" doplněnou odkazem na facebook - apps.facebook.com/362166963874075  je aplikace na Facebooku, která si od naivního člověka vyžádá přihlašovací údaje ke Twitteru.

Je hodně fascinující, že někoho tímto způsobem dokážei dostat, ale Martin Ehl se zjevně nechal nachytat a jeho účet na Twitteru se tak dostal do rukou útočníků. A všichni jeho sledující od něj dostali stejnou zprávu.

Celé je to samozřejmě velmi podobné "Terrible rumors about you" co se šíří Twitterem (článek na Lupě z včerejška). A platí i to co je v onom článku uvedeno na konci - pokud se vám podařilo naletět, zkuste okamžitě změnit heslo. Nejde-li to, zkuste si zažádat o nové, mělo by vám dorazit na e-mail. Pokud útočník změnil i váš e-mail, tak máte smůlu, s účtem se rozlučte. Získáte-li kontrolu nad účtem zpět, rozhodně nezapoměňte provést kontrolu jaké aplikace vám mohl útočník k účtu přidat. A samozřejmě, nezapomeňte se omluvit svým sledujícím.

Zablokovali jste si účet na Faceboku, pokračujte k aktivaci ... a pořiďte si do počítače malware hned v prvním kroku

16.10.2012 | Daniel Dočekal | Bezpečnost |

"You have blocked your Facebook account", "Account blocked", "Your account blocked", "Account activation" a řada podobných předmětů má aktuálně jedno společné. Jde o novou vlnu spamu vedoucího k pořízení malware. Podvodných e-mailů, rozesílaných na zcela náhodné adresy. Vypadají jako maily od Facebooku a vybízejí ke kliknutí a přihlášení k účtu na Facebooku.

Po kliknutí vás ale čeká něco zcela jiného. Něco co vypadá jako stránka od Adobe umožňující stáhnout Flash. A také vám to okamžitě začne stahovat a doufá, že nabízený soubor si spustíte. Samozřejmě, o Flash nejde, o Facebook také ne, pokud jste něco takového spustili, máte v počítači malware, virus, něco co tam rozhodně nechcete mít.

Samotný spam vede na řadu různých adres, které se vždy nacházejí buď na hacknutých webech, nebo na webech, kde útočníci mohli nahrát vlastní obsah. Odtamtud vás samozřejmě přesměrují na další adresy a pokusí se vás přesvědčit ke spuštění aktualizace vašeho Flashe. Nabízený "update_flash_player.exe" přitom například Microsoft Security Essentials vůbec jako malware/virus nepozná. Chrome ano, stejně tak jako vás může varovat, ještě před vstupem na stránku s malware - adresy už jsou známé a některé prohlížeče (Chrome, Firefox například) vás včas zastaví.

Všímejte si požadavků na práva. Snadno pak odhalíte aplikaci, která do Androidu v žádném případě nepatří

9.10.2012 | Daniel Dočekal | G1 Android | |

Včera jsem v Google Play zahlédl aplikaci pravděpodobně patřící k Prima TV - měla by umožňovat přístup do TV archivu, jedné z hodně zajímavých aktivit,  kterou Prima na Internetu má. A vypadalo to velmi lákavě, protože bych se mohl na mobilu či tabletu dívat na zmeškané díly Star Gate.

"Přidávat a upravovat událost kalendáře a
odesílat e-maily bez vědomí vlastníka,
číst události kalendáře a důvěrné informace"?
... tady někdo zešílel

Chuť instalovat aplikaci jménem Prima mě přešla okamžitě při prvním pohledu na požadavek na práva. Požadavek zcela typický pro aplikace s postranními úmysly. Už jenom chybí, aby aplikace mohla bez svolení uživatele telefonovat nebo posílat SMSky. Aplikace s takto podezřelou žádosti o práva k vašemu soukromí nebo k něčemu co vás může stát peníze do telefonu prostě do telefonu nepatří. 

Svitavy.cz ovládli Andělé světla. Třeba tam najdete Aštara Šerana a vesmírné lidi

3.10.2012 | Daniel Dočekal | Webdesign, Internet |

Je to tak, Aštar Šeran je teď na radnici ve Svitavách a ovládají to tam Andělé světla. Zázrak lásky? Samozřejmě až tak moc ne, prostě takové klasické XSS, které najdete (kde jinde) ve vyhledávání. A můžete se vyřádit. Díky za upoznrnění směřují k @kobitch

Ovládací kódy ve vytáčení (třeba pro Factory Reset) ovlivňují více než jenom telefony od Samsungu

29.9.2012 | Daniel Dočekal | G1 Android |

Pokud máte novější Andoid (4.0.x a možná i některé 4.1.x), tak je velká šance, že obsahuje nebezpečnou chybu - automatické vykonání ovládacích kódu (USSD) pro reset na tovární nastavenía a další věci. Včetně zablokování SIM karty. Původně se předpokládalo, že jde o problém Samsungu (a možná jeho TouchWiz rozhraní), ale podle posledních zjištění je problém přímo u Google. A opraven byl v Androidu 4.1.1.

Jinými slovy, problém popsaný v Potřebujete si resetovat Android od Samsungu? Stačí hodně, ale opravdu hodně málo se zdaleka netýká jenom Samsungu. Zatímco ovládací kódy v dialeru zadané ručně se mají samozřejmě "spustit", jejich spuštění přes "tel:" adresu v odkazu může znamenat značný problém. A to jaké kódy je možné spouštět a využívat  částečně závisí na výrobci telefonu. Vedle "tel:" adres je možné kód telefonu vnutit v QR kódu, WAP zprávě, e-mailu a možná řadou dalších způsobů.

Pokud máte telefon od výrobce, který tuto chybu ještě neopravil, můžete zkusit zablokovat vytáčení těchto kódů pomocí aplikací - viz například  TelStop, NoTelURL či USSD Filter

Zdroj: Android control code issue affects almost all manufacturers

Facebook se ptá uživatelů, jestli jejich přátelé používají svá pravá jména

22.9.2012 | Daniel Dočekal | Webdesign, Internet |

Takže je to jasné, zázračná strategie co pomůže Facebooku odhalit miliony falešných účtů spočívá v tom, že se bude ptát uživatelů na jejich přátele. Prostě vám ukáže někoho z vašich přátel a položí otázku, zda dotyčný/dotyčná používá skutečné jméno. Budete mít možnost odpovědě Ano/Ne, Neznám tohoto člověka nebo "Nechci odpovědět". A nejzábavnější na celém tom je to, že je tam nápsáno "Vaše odpověď je anonymni a neovlivní účet vašeho přítele/přítelkyně".

Dokážete si (a)  představit odpověď na Facebooku co je anonymní? A  (b) dokážete si představit, že tímto způsobem nahlášený fake nijak neovlivní osud účtu? Absurdní, stejně jako cokoliv související s povinností používat skutečná jména na Facebooku.  Facebook nemá problém s nepoužíváním skutečných jmen - opět tak řeší něco, co řešit není potřeba. Problém Facebooku jsou falešné účty, ale to s nepoužíváním skutečných jmen souvisí jen velmi nepatrně.

Zdroj: Facebook Asks Users If Their Friends Are Using Their Real Names

Spamovací roboti nasadili novou zbraň, náhodně posbíraný a poškozený český text

18.9.2012 | Daniel Dočekal | Spam | |

V komentářových spamech se v posledních několika dnech objevuje nový druh spamu. Obsahuje "český" text, který spamovací robot našel někde na Internetu. Absurdní na tom je, že "česky" původně byl, ale spamovací robot moc nepobral, že to  má nějaké jiné kódování.

Příklad 1 (194.28.132.139):

Docela se budu sme1t, jak se budou krucifixy (anebo še1tky ve škole1ch) zdůvod�ovat. Počedte1m, že se na tom vyplfdtve1 cele1 souulcktirněpsychologickoantropologicke1 terminologie.Do pre1va podobne9 nesmysly nepatřed. Krucifix je spojened dvou dředvek a pane1čka a to je tak všechno, co lze objektivně o cele9 věci pravdivě ředci.. Jan VejnarP.S. : a co až budou islamiste9 zdůvodnovat nebezpečed vepřove9ho ve škole1ch :-)) a medsto prokazatelnfdch důvodů založed vše na diskriminaci. Sn

Příklad 2 (94.23.1.28)

Včera, 18. března 2011, vydal Velkfd sene1t Evropske9ho soudu pro lidske1 pre1va dlouho očeke1vane9 rnoozdhuted v ostře sledovane9 kauze Lautsi proti Ite1lii, poměrem patne1cti hlasů pro krucifixy ve veřejnfdch škole1ch a dvou proti. Z prvnedho zběžne9ho čtened mi vyplfdve1, že soud k tomuto kopernike1nske9mu obratu dospěl s využitedm doktredny margin of appreciation a svou argumentaci založil předevšedm na tezi, že kředž je pouze pasivnedm symbolem bez ree1lne9ho vlivu na vzděle1ve1ned