20:45
8/8/2019

Czyli 24 odcinek naszego podcastu “Na Podsłuchu“. Znów krócej, bo taka formuła Wam się spodobała. Każdy z nas prezentuje jeden temat.

Posłuchaj tego odcinka

Chcesz więcej?

Bądź na bieżąco i zasubskrybuj nasz podcast w Twojej ulubionej aplikacji do podcastów. Po prostu wyszukaj tam “niebezpiecznik” lub “na podsłuchu“.

Jesteśmy oczywiście w iTunes, na YouTube, oraz Spotify. Jak nas zasubujesz, to o kolejnych odcinkach będziesz informowany automatycznie przez Twój smartfon.

Materiały do tego odcinka

W odcinku przywoływaliśmy m.in. poniższe zagadnienia:

  • Piotrek o próbie wprowadzenia cenzury internetu (?) w Kazachstanie. Czyli o tym jak operatorzy zrobili obywatelom atak MITM, “zachęcając” ich do wgrywania lewego CA po to, aby podstawione, fałszywe certyfikaty SSL wygenerowane przez Kazachstan dla niektórych serwisów internetowych, pokazywały się ludziom w przeglądarkach jako poprawne. To niekoniecznie musi być cenzura. To może być po prostu chęć podsłuchiwania rozmów prowadzonych przez mieszkańców Kazachstanu przez “szyfrowane” komunikatory.
  • Piotr zauważa, że niektórzy z nas Kazachstan mają codziennie, w pracy. Bo firmy, także w Polsce, na tej samej zasadzie “inwigilują” swoich pracowników. Informujemy co zrobić, aby wykryć taki atak. I co mogą zrobić twórcy serwisów, aby takim “cenzorom” popsuć szyki i ostrzec internautów, że ktoś przechwytuje ich połączenie. Generalnie, jak zwykle, warto mieć jakiegoś VPN-a (por. Co Twój dostawca internetu wie o Tobie i jak sprawić, aby nie widział tego co robisz na komputerze).
  • Marcin zauważa, jaką strategię rządy wielu krajów obierają, aby przepchnąć cenzurę. I ta strategia działa.
  • Marcin opowiada o ransomware, który atakuje nie tylko “zwykłych ludzi” ale zdecydowanie poważniejsze jednostki, na przykładzie ataku na Johannesburg.
  • Kuba — nawiązując od Kazachstanu — opisuje jak internetowi reklamodawcy (i dostawcy internetu) analizują to, jakie porno oglądamy. Nawet tryb incognito w przeglądarkach nie pomaga w zachowaniu prywatności, a zresztą niektórzy go “wykrywają“.

 

Archiwalne odcinki

Aby zapoznać się z poprzednim odcinkami odwiedź stronę podcastu “Na Podsłuchu”. Znajdziesz na niej player pozwalający odsłuchać wszystkie odcinki oraz listę linków do postów z dodatkowymi informacjami dla każdego z poprzednich odcinków (m.in. ze spisem omawianych artykułów oraz narzędzi).

Strona podcastu Na Podsłuchu

Zapisz się na kolejne odcinki

Aby otrzymywać kolejne odcinki naszego podcastu, zaraz po tym jak zostaną opublikowane, zasubskrybuj nas przez:

Będziemy też superwdzięczni, jeśli ocenisz nasz podcast na 5 gwiazdek. Dzięki temu “zhackujesz” algorytm poleceń i więcej osób będzie w stanie nas usłyszeć, a w konsekwencji zabezpieczyć się przed internetowymi oszustwami. Win – Win.

Do podsłuchania!

Przeczytaj także:


Dowiedz się, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami. Wpadnij na nasz kultowy ~3 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i przede wszystkim prostych do zastosowania porad, które skutecznie podniosą Twoje bezpieczeństwo i pomogą ochronić przed atakami Twoich najbliższych. Uczestnicy tego wykładu oceniają go na: 9,34/10!

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze, prywatnie albo służbowo. Wykład prowadzimy prostym językiem, wiec zrozumie go każdy, także osoby spoza branży IT. Dlatego na wykład możesz spokojnie przyjść ze swoimi rodzicami lub mniej technicznymih znajomych. W najbliższych tygodniach będziemy w poniższych miastach:

Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu.

19 komentarzy

Dodaj komentarz
  1. Byłem trochę zaciekawiony tematem ale nie mam za bardzo czasu tego słuchać z uwagą. Może jest wersja tekstowa tego odcinka którą mógłbym szybko przejrzeć?

    • Mi brakuje wersji pobieralnej. Moje radio w samochodzie nie ma AUX ani BT, więc zostają tylko magiczne programiki do zgrywania z YT. Jazda samochodem, to jedyny czas jaki mam, który chciałbym zacząć “odmarnowywać”. Słuchanie z telefonu na słuchawkach podczas kierowania odpada.

    • A przepraszam! Na Spreakerze daje się pobrać :) . Ale jakoś go nie reklamujecie tak jak kiedyś, mimo że wrzucacie:
      https://www.spreaker.com/user/niebezpiecznik/podcast-24

    • Nie wiem czy korzystasz, ale słuchanie na Spotify jest wg mnie dużo wygodzniejsze

    • Na Stitcherze też da się pobrać i później słuchać offline

    • Na Kontestacji da się pobierać, ale ostatnio tylko niektóre odcinki są tam wrzucane. Tego akurat nie ma.

  2. Odcinek na Spotify jest już od 1 sierpnia. Celowo to zrobiliście, czy to jakiś fuck-up?

    • wygląda na celowy fuck-up :D

    • plotki głoszą, że to celowy fck-up

  3. Dołączam się do pytania Rafała. Macie może materiał dla umiejących czytać?

    • Nie mamy. Podcast jest osobnym projektem. Źródła o których rozmawiamy są w notatkach — ale to co o nich mówimy, z czym łączymy i jakie wnioski/tezy stawiamy, to już tylko w podcaście.

  4. Piotrze, jak bym chciał Cie zachęcić do zainstalowania mojego CA, zrobił bym jak w hotelach – do każdego polaczenia dał bym landing page na https, przeglądarka by krzyczała, to nie jest zaufane CA, ale help article by mówił jak się pozbyć tej czkawki, zainstalować CA :)

    • Właśnie takie wyobrażenie miałem widząc panikę w sieci (to albo obowiązek ustawienia http(s) proxy)- ale po lekturze jak to robią widać, że celem najwyraźniej wcale nie była szczelna i masowa cenzura/inwigilacja.
      W hotelach/firmach jest hijack po DNS z redirem na login. Ale jak zaklikniesz maka to możesz już do oporu. Nie spotkałem się nigdzie w hotelu z koniecznością instalacji certyfikatu selfsigned. A w kilku firmach na wifi dla gości (!) tak.

  5. Jeżeli chodzi o przechwytywanie ruchu i dodatkowy certyfikat – czy hasła do logowania też mogą być przechwytywane?

  6. w playliście na yt macie filmy ustawione od najnowszego do najstarszego (niechronologicznie).

  7. Będą jeszcze nowe odcinki?

  8. Dwa tematy które chciałbym poruszyć, bo tak się złożyło że Google Podcasts zaproponował mi ten odcinek dopiero teraz.
    1. W pierwszym etapie Kazachstan przechwytując sieci dystrybucji urządzeń może przejąć OEMowe obrazy i pakować do preinstalowanych systemów swoje CA, o ile mnie pamięć nie myli chyba Lenovo odwaliło kiedyś taki numer. Dalej może zacząć wystawiać swój obraz do media creation toola (link do obrazów jest wszystkim znany, wystarczy podłożyć swoje .iso, obraz pociągnięty z urządzenia z zainfekowanej dystrybucji nawet nie jęknie że coś jest nie tak). Uważam, że tą metodą można luźno przejąć 3/4 systemów działających w kraju, acz oczywiście nie będzie to trwało jeden dzień.
    Sprawa numer dwa, inspekcja SSL w korpo, generalnie żyjemy w czasach że albo rozszywasz SSL, zaglądasz (i sinkhole’ujesz) w ruch DNS, payloady pingów itp i masz namiastkę jakiegoś minimalnego security, albo tego nie robisz i nie masz security w ogóle. Cały współczesny syf biega po SSL maskując się z tygodnia na tydzień coraz lepiej. Nie jest więc tak (co można było wywnioskować z wypowiedzi Piotrka), że bezpiecznicy, netadmini w sieciach korporacyjnych są nadgorliwi i perwersyjnie zaglądają do gmaili swoich współpracowników. Oni po prostu nie mają innego wyjścia.

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: