שונות > מה שבראש
איך לשמור על הפרטיות שלכם ולדאוג שלא יעקבו/יפרצו/יאזינו לכם למחשב
Torah:
במהלך שימוש באינטרנט, נמסר לרוב מידע אודותיך, בין אם על ידך, ובין אם על ידי המחשב ודפדפן האינטרנט באופן אוטומטי. באמצעות מידע זה ניתן:
* לאתר את המיקום הפיזי שבו נמצא המחשב
* לזהות את פרטיך האישיים
* לפרוץ למחשב או להתקין בו תוכנת ריגול
* לדעת לאיזה אתרים אתה גולש ובאיזה תכנים אתה צופה
כל כניסה לכל אתר אינטרנט חושפת את הפרטים הללו ועוד. סביר להניח שבשעה שאתה קורא שורות אלה, גורם זדוני כלשהו כבר מסוגל לעקוב
מספרי IP
כדי להגן על פרטי המחשב, ראשית צריך להכיר מושג בסיסי באינטרנט:
הגדרה:
מספר IP (Internet Protocol) הוא בעצם סוג של "תעודת זהות" אלקטרונית של כל מחשב ואתר אינטרנט המחוברים לרשת. IP הנו ייחודי ואישי לכל מחשב, והוא מיוצג ע"י מספר כמו זה: 83.179.17.18. כדי לדעת מה מספר ה-IP של המחשב שלך, אתה יכול לגלוש לכתובת הזאת:
www.ip-adress.com
שימוש רגיל באינטרנט
כאשר אתה יושב מול המחשב, ופותח את דפדפן האינטרנט, המחשב שולח הודעה לדף הבית שלך, שכוללת את מספר ה-IP של מחשבך. האתר שאליו אתה מנסה להיכנס שולח לך בחזרה את המידע המוצג בו, אל ה-IP שנשלח אליו, ומידע זה מוצג על מסך המחשב. לרוב האתר שומר יומן כניסות שבו רשומה השעה שבה נכנסת לאתר וכן מספר ה-IP של מחשבך. מכיוון שמספר ה-IP הנו חיוני לפעילות האינטרנט, אין אפשרות לבטלו לחלוטין, אך ניתן לשנותו.
שינוי מספר ה-IP
אחת השיטות לשנות את מספר ה-IP המוצג לאתרי אינטרנט, הנה שימוש בשרתי פרוקסי (Proxy Server). שרת פרוקסי הוא שרת שלמעשה מעביר דרכו את התקשורת בין המחשב לבין אתר האינטרנט.
שרת פרוקסי
כאשר אתה משתמש בשרת פרוקסי, התקשורת עוברת מספר שלבים:
המחשב שלך שולח בקשה להצגת האתר אל שרת הפרוקסי,
השרת מבקש במקומך מהאתר את התוכן המבוקש.
השרת שולח אליך את התוכן, והוא מוצג על המחשב כרגיל.
בצורה כזאת, האתר יכול לקבל רק את כתובת ה-IP של שרת הפרוקסי, ואתה מסוגל ליהנות מאנונימיות כלפי האתר. כמובן, קיימים שירותים שאליהם לא תוכך לגשת באמצעות שרתי פרוקסי, כגון עריכה בוויקיפדיה, כניסה לתוכנות דואר אלקטרוני מסוימות ועוד, אך למרבית השירותים הללו יש תחליף.
סוגי שרתי פרוקסי
קיימים שלושה סוגי שרתי פרוקסי:
שרתים שקופים (חשופים); שרתים אלו מנתבים את התקשורת מהמחשב, אך מעבירים לאתר האינטרנט את מספר ה-IP של מחשבך. שרתים כאלה קיימים לרוב במקומות עבודה על מנת למנוע מהעובדים גישה לאתרים שאינם קשורים לתפקידם (כמו פייסבוק לדוגמה).
שרתים אנונימיים; שרתים מסוג זה מעבירים דרכם את התקשורת לאתר האינטרנט, אך חוסמים את העברת כתובת ה-IP של מחשבך. שרתים כאלו מספקים לרוב אנונימיות ברמה טובה.
שרתים מתחזים; שרתים אלו הנם יותר נדירים, ופועלים בצורה דומה לשרתים האנונימיים, אך בשונה מהם, אינם חושפים את העובדה שהם שרתי פרוקסי, אלא מתנהגים כאילו הם מחשבים רגילים, ובכך מספקים אבטחה ברמה הגבוהה ביותר.
שימוש בשרתי פרוקסי
TOR דפדפן
קיימים באינטרנט שירותי פרוקסי רבים בחינם, אך האופציה המומלצת היא שימוש בתוכנה קטנה שנקראת TOR the onion router
התוכנה פותחה על ידי מחלקת המחקר של הצי האמריקני, לשימושם של חייליה ושל אזרחים בארצות בהן הממשלה מצנזרת את תכני האינטרנט ומונעת גישה לאתרים מסוימים, ואף עוקבת אחרי פעילות באינטרנט של גופים חתרניים.
באמצעות התוכנה ניתן להתחבר לרשת גדולה של שרתי פרוקסי חינמיים ואנונימיים, אשר אינם שומרים את פרטיכם לאחר ההתנתקות מהרשת. כל גלישה באמצעות המערכת עוברת דרך מספר שרתי פרוקסי, ומאפשרת לאתרי האינטרנט אליהם אתה ניגש לראות רק את כתובתו של השרת האחרון בשרשרת. מפעילי המערכת כיום הנם ארגון לשמירה על זכויות אדם במרחב הווירטואלי, ששמו Electronic Frontier Foundation "קרן החזית האלקטרונית", אשר מתחייבים לשמור על אנונימיות מוחלטת של המשתמשים ברשת TOR, ושהשרתים במערכת לא שומרים שום מידע על המשתמש.
ניתן להוריד את התוכנה בגרסה להתקנה על המחשב הביתי, ובגרסה לשימוש על דיסק נייד (Disk On Key), שאותה מפעילים מתוך הדיסק הנייד ללא צורך בהתקנה, ובכל מחשב שהוא (הסבר על ההתקנה בהמשך).
חשוב לזכור: TOR אינו פועל כמו קסם! אם תפרסם באינטרנט את פרטיך האישיים, שימוש ב-TOR לא יסתיר אותם, ואם תמסור את פרטי כרטיס האשראי שלך לאתר בלתי אמין, TOR לא יוכל למנוע את גניבתם! יש למסור את פרטיך לאתר אמין בלבד.
הורדה התקנה ושימוש
הכנס לאתר www.torproject.org/.
בתפריט ההורדה בחר את גרסת ה - TOR Browser Bundle for Windows
שחרר את הקבצים מהכיווץ (מומלץ לבצע פעולה זו לדיסק נייד. דפדפן TOR יפעל ממנו בכל מחשב אליו תחברו אותו).
הפעל את הדפדפן
אם מוצגת על המסך הכתובת "Congratulations. You are using TOR", אתה מחובר לרשת.
נסה לגלוש שנית לאתר שהוצג קודם לזיהוי מספר ה-IP. אם המספר שמוצג כעת שונה מקודם, אתה יכול להיות בטוח ש-TOR פועל כנדרש.
קרא באתר של פרויקטTOR עוד על הסכנות שאינן נמנעות או מטופלות על ידי TOR.
הפנייה
כאשר אתה עובר מאתר אחד לשני במהלך הגלישה, האתר אליו אתה עובר מקבל את כתובתו של האתר ממנו הגעת.
לעתים, קיימת בעייה עם זיהוי כזה, ולכן ניתן להשתמש בתוסף מיוחד לדפדפן, אשר מאפשר לך לשנות את ההגדרה של כתובת האתר ממנו הגעת.
התוסף נקרא refspoof, והוא זמין בגירסאות לפיירפוקס ולאינטרנט אקספלורר. ניתן להוריד אותו מהאתר https://addons.mozilla.org/en-US/firefox/addon/4513/ .
Torah:
דוא"ל אנונימי
כאשר שולחים דוא"ל, מופיעה בו כתובת ה-IP שלך, שמך, ועוד פרטים מזהים עליך, כגון טלפון וכתובת במקרים מסוימים. אם ברצונך לשלוח דוא"ל שיהיה אנונימי לחלוטין, או לקבל דוא"ל בלי לתת כתובת שדרכה ניתן יהיה לזהות אותך, קיימות מספר אפשרויות בהן אתה יכול להשתמש:
האפשרות הראשונה
היא לפתוח חשבון דוא"ל באחד השירותים החינמיים באינטרנט, כגון:
וואלה! בכתובת www.walla.co.il
Gmail בכתובת www.gmail.com
Yahoo בכתובת www.yahoo.com
ועוד רבים אחרים. בהרשמה לאתר כזה ניתן (אך לרוב אסור) למסור פרטים אישיים חלקיים, כוזבים, מזויפים, בדויים או סתם כינוי שאין אפשרות לזהות אותך באמצעותו.
כמובן שכדאי להשתמש בכתובת זו רק באופן אנונימי, ולהיזהר בעיקר מהדברים הבאים:
מסירת פרטים העלולים להביא לזיהויך, בין אם לאתר ובין אם לאנשים עמם אתה יוצר קשר.
יצירת קשר עם אדם אותו אתה מכיר, אשר תוביל בהכרח לחשיפת זהותך.
לאתרים כאלה ניתן לפרוץ בקלות יחסית, ולכן מומלץ לא להשתמש בהם למכתבים פרטיים או סודיים.
באופן כללי, מעקב וקריאה של הדוא"ל שלך הינה פשוטה יחסית, מכיוון שכל הודעה נשמרת גם אצלך, גם אצל הנמען, וגם על מספר שרתי דואר בדרך. לכל אחד מאלה ניתן לפרוץ וכך לקרוא את הודעותיך. אין זה משנה כמה תגן על תיבת הדואר שלך, אם פורץ חכם מספיק יוכל לפרוץ לדוא"ל של האדם עמו אתה מתקשר. בשיטה זו ניתן כמובן לצרף קבצים להודעת הדואר.
האפשרות השנייה
האפשרות השנייה לשליחת וקבלת דוא"ל אנונימי היא להשתמש בשירותים ייעודיים לשליחה וקבלה של דוא"ל אנונימי באינטרנט. שירותים אלה מופעלים בחינם ואינם דורשים מסירת פרטים אישיים.
לשליחת דוא"ל אנונימי ניתן להשתמש בשירות הבא: [1]. כדי לקבל דואר אנונימי ניתן להשתמש בשירות mailinator המאפשר קבלת דוא"ל לכל כתובת שתבחר. חשוב לזכור שהכתובת נגישה לכל אחד, ולכן כדאי לחשוב על כתובת קשה לניחוש ([email protected] לא תהיה כתובת בטוחה במיוחד...). האתר נמצא בכתובת www.mailinator.com.
הדבר שהכי חשוב לזכור בעת שימוש בדוא"ל אנונימי, הוא שכאשר תשלח אותו לאדם מוכר לך, זה עשוי לעורר חשד כלפיך או ליצור מצב שבו לא ידע המקבל ממי נשלחה ההודעה, וציון שמך בהודעה יגרום לאובדן האנונימיות. עצתנו היא להשתמש במספר כתובות שחלקן אנונימיות וחלקן מזוהות ככתובתך האישית.
ברוב האתרים המספקים שרות זה לא ניתן לצרף קבצים להודעת הדוא"ל האנונימית, ולכן אם צריך לצרף קובץ גרפי (למשל) זה לא ניתן.
Torah:
הגנה על המחשב
קבצים הנמצאים במחשב שלך אינם מוגנים. אדם שיפרוץ למחשב יוכל לקרוא את מרבית המסמכים שלך, לצפות בתמונות, ולהתקין תוכנות ריגול, ווירוסים, סוסים טרויאניים ועוד רעות חולות. מלבד זאת יתכן מצב שבו הפורץ ישמיד את כל הקבצים במחשב, ויגרום לך בכך נזק עצום.
הצפנת קבצים
כדי להגן על המחשב מפני פריצה, אין זה מספיק לקבוע סיסמה למחשב. האקרים רבים כבר הוכיחו שניתן לפרוץ ולעקוף את מערכת הסיסמה המשולבת ב-windows. מעבר לכך ניתן להחדיר למחשב תוכנת סוס טרויאני אשר תעקוף את סיסמת המחשב. ברגע שהפורץ יעבור את מכשול הסיסמה, כל הקבצים שלך יהיו זמינים בידיו, לשבט או לחסד. כדי לפתור בעיה זו, רצוי להתקין על המחשב תוכנה נוספת שתאפשר להצפין את הקבצים החשובים לך ביותר.
התוכנה המובילה בתחום זה הינה True Crypt, המאפשרת יצירת כונן ווירטואלי שבו ניתן לשמור קבצים, להתקין תוכנות ולהשתמש לכל שימוש שיעלה על דעתך, אשר בלחיצת כפתור יוצפן כל המידע שבו וישמר מוגן עד שתיכנס אליו עם הסיסמה הפרטית שלך.
את התוכנה ניתן להוריד חינם מהכתובת הבאה: www.truecrypt.org .
תוכנה נוספת שמשמשת להצפנת קבצים בודדים היא DSCrypt אשר ניתנת לשימוש בגרסה לדיסקים ניידים. הבעיה הבולטת בתוכנה זו היא האפשרות למחוק את הקבצים המוצפנים באמצעותה, ובכך לגרום לך נזק.
ניתן להוריד אותה מהכתובת הבאה: www.brothersoft.com/dscrypt-91347.html .
אפשרות נוספת המיועדת להצפנת טקסט הנה Java Scrypt, המאפשרת הצפנה של כל טקסט: הודעות דוא"ל, מסמכי וורד, הודעות בפורומים, הודעות בתוכנות מסרים מידיים ואפילו אתרי אינטרנט שלמים.
התוכנה פועלת מתוך דף אינטרנט, אך כל פעולות ההצפנה מתבצעות על גבי המחשב שלך. ניתן לגשת לאתר בכתובת הבאה: http://www.fourmilab.ch/javascrypt/jscrypt.html
הגנה מפני ווירוסים
כדי להגן על המחשב מפני ווירוסים, ניתן להשתמש בתוכנות אנטי ווירוס חינמיות כמו AVG Free, Avast, AntiVir, ועוד. מומלץ להגדיר לתוכנה שעה קבועה בכל יום שבה תבוצע סריקה אוטומטית של המחשב, ולהתקין כל עדכון לתוכנה שמופץ.
ניתן להוריד את התוכנות האלה מהכתובות הבאות:
AVG Free - www.AVG.com
Avast - www.avast.com
הגנה מפני רוגלות
כדי להגן על המחשב מפני תוכנות ריגול, סוסים טרויאנים, ותוכנות הקלטת מקלדת (key loggers), ניתן להוריד את התוכנות הבאות ולהגדיר להן זמן סריקה אוטומטי בכל יום.
- Spybot search & destroy www.safer-networking.org
- Spyware doctor www.pctools.com/spyware-doctor
דיסקים ניידים (disk on key)
למי שמשתמש בדיסק נייד ובמחשבים שאינם שלו, ישנן תוכנות אבטחה ניידות, שאותן ניתן להפעיל הישר מהדיסק הנייד. כדאי לסרוק את המחשב עליו אתה עובד לפני תחילת השימוש בו.
אנטי ווירוס ClamWin Portable - http://portableapps.com/apps/utilities/clamwin_portable
אנטי רוגלות SpyDLLRemover - http://portableapps.com/apps/utilities/spydllremover_portable
הגנה מתוכנות הקלטת מקשים (KEY LOGGERS)
אם אתה משתמש במחשב שאתה חושד שמותקנת בו תוכנת הקלטת מקלדת, ואתה צריך להקליד סיסמאות לאתרים או פרטים אישיים אחרים, ישנן שתי שיטות פעולה אפשריות:
להקליד את הסיסמה כאשר בין תו לתו נמצאות אותיות או מספרים נוספים, ואחרי כן למחוק אותם.
במקרה שהמחשב שייך לך, ניתן לשקול לבצע גיבוי של המסמכים החשובים לך ולפרמט את המחשב. פעולה זו תמחק כל תוכנה זדונית המותקנת במחשב, אך עשויה לגרום נזק גדול עבורך.
מחיקת קבצים מלאה
עובדה נוספת אליה רצוי לשים לב היא שגם לאחר מחיקת קובץ מסל המחזור, עדיין ניתן לשחזר אותו באמצעות תוכנה מתאימה. כדי להתמודד עם בעיה זו, ניתן להתקין תוכנה אשר משמידה קבצים באופן סופי לחלוטין וללא שום אפשרות שחזור. פורץ שיחטט לך במחשב לא יוכל לקרוא את המסמכים שהשמדת באמצעות התוכנה הזאת.
ניתן להוריד את התוכנה בגרסה ניידת מהכתובת הבאה: http://portableapps.com/apps/utilities/eraser_portable
אמצעי מעקב נוספים
אמצעי ריגול נוסף הנו כמובן האזנה לחיבור האינטרנט, לרשת האלחוטית, האזנה פיזית בתוך המחשב ועוד. השיטה היעילה ביותר נגד אמצעי ריגול אלה היא כמובן הסרתם. במידה שאין הדבר אפשרי יש להיזהר בתכנים שמפעילים במחשב ו/או לפנות לאיש מקצוע ולמשטרה.
התעדכנות
הדבר החשוב ביותר בהגנה על המחשב הנו התקנת כל העדכונים שמופצים לתוכנות ההגנה שלך. עולם ההאקרים מתפתח במהירות, וכל כמה ימים מומצא ווירוס חדש. רק התקנה מיידית של עדכונים לתוכנות שבידך תאפשר לך הגנה משמעותית על המחשב.
Torah:
סיסמאות ואיך לשמור עליהן
למי מאיתנו אין סיסמאות? לאתר האינטרנט של הבנק, לחשבון הדוא"ל, לפייסבוק ולעוד עשרות שירותים. סיסמאות אלה אינן קיימות סתם ככה. הן קיימות כדי למנוע מפורצים להשתמש בזהותך או לגנוב את פרטיך האישיים.
בפרק זה תלמד לא רק איך לבחור סיסמה בטוחה יחסית, שלא תהיה קלה לגילוי, אלא גם כיצד לשמור עליה.
בחירת סיסמה חזקה
לבחירת סיסמה בטוחה, נהוג להשתמש בכללי המפתח הבאים:
אורך הסיסמה: ככל שהסיסמה ארוכה יותר, כך גודל הקושי לגלות אותה. במקרה שידוע לנו שאורך הסיסמה הוא רק שלוש ספרות, יהיה מספר מוגבל של אפשרויות, ופורץ מתוחכם יוכל לנסות את כולן ולפרוץ אותה.
הרכב הסיסמה: סיסמה שתהיה מורכבת מספרות בלבד, או מאותיות בלבד, תהיה קלה יותר לזיהוי מאשר סיסמה שבה קיימות ספרות ואותיות בערבוביה.
רצוי שאורך הסיסמה יהיה בין 10 - 25 ספרות לפחות.
אקראיות הסיסמה: בחירה של סיסמה שקל לזכור אותה, מאפשרת לפורץ לגלות אותה בקלות רבה, במקרה שיערוך תחקיר אודתיך. דוגמאות לסיסמאות גרועות:
תאריכי לידה שלך או של קרוביך וחבריך
שמות של מכרים, קרובים או חברים
שמות של ספרים, סרטים, שירים וכו'
ועוד...
במקרה שהפורץ יערוך תחקיר מקיף עליך ועל עברך, הוא עשוי לגלות את הסיסמה.
סיסמה אקראית באמת ניתן להפיק באמצעות מחשב, באתרים כמו אלה:
http://strongpasswordgenerator.com/
http://www.passwordchart.com/
סיסמה כזאת קשה מאוד לפרוץ, אך מצד שני, קשה גם לזכור אותה.
ניתן לבחון חוזק סיסמה על-ידי אתר דוגמת
https://www.microsoft.com/protect/fraud/passwords/checker.aspx
ניהול סיסמאות
רצוי שהשימוש בסיסמאות יתנהל לפי הכללים הבאים:
אין להשתמש באותה סיסמה למספר שירותים
אין להשתמש בסיסמה שאורכה קצר מ-10 תווים
יש להחליף את הסיסמה אחת לשבוע - שבועיים
יש לשמור על סודיות הסיסמה
שמירה על סיסמאות
אם תשתמש בסיסמאות לפי הכללים האלה, תגלה במהרה שמצטברות באמתחתך הרבה סיסמאות ארוכות וקשות לשינון, ואף יותר קשה מזה, קשה לשייך איזו סיסמה קשורה לאיזה שירות...
הפתרון לבעיה זו הנו בעיה בפני עצמו.
בצורה פשוטה, ניתן לרשום את כל הסיסמאות על דף נייר, לשים אותו בארנק, ולשכוח מהבעיות... (ויום אחד לגלות שחרב עליך עולמך, הגרוע מכל קרה, וכייסו אותך).
אם כך, זה אינו פתרון המניח את הדעת.
ברמת העיקרון, רצוי לשנן את הסיסמאות בהן אתה משתמש, ולא להשאיר שום תיעוד של מהותן.
גם פתרון זה אינו יעיל (נסה לשנן את הרצף הבא, ותבין למה: kj4fg56ghjd58k3ln6duigh8g. עכשיו נסה לשנן עשרה כאלה).
תוכנות לניהול סיסמאות
KeePass
קיימות תוכנות יעודיות המאפשרות יצירת סיסמאות אקראיות, שמירתן בצורה מסודרת, גיבוי שלהן, והגנה עליהן באמצעות סיסמה ראשית אחת.
יתרונות וחסרונות
יתרונות:
שימוש נוח
אפשרות לשמירה של עשרות סיסמאות ארוכות ומסובכות לשינון
הצפנת הסיסמאות השמורות (קיים בחלק מהתוכנות בלבד)
כניסה אוטומטית לאתרי אינטרנט (קיים בחלק מהתוכנות בלבד)
חסרונות:
סיסמה ראשית אחת:
אם תשכח או תאבד אותה, אתה נעול בחוץ!
אם פורץ יצליח לגלות אותה, אתה נעול בחוץ, והוא שולט בכל הסיסמאות שלך!
כללי:
אם הקובץ המכיל את הסיסמאות נמחק או ניזוק באיזו שהיא דרך, לא תוכל להשתמש בשירותים שדורשים סיסמה!
אם המחשב ניזק בצורה כלשהיא, יתכן שלא תוכל להשתמש בשירותים שדורשים סיסמה!
תוכנות מומלצות
KeePass
KeePass - תוכנה פופולארית לניהול סיסמאות. כוללת:
מחולל סיסמאות אקראיות
אפשרות לכניסה אוטומטית לאתרים
גיבוי אוטומטי
להורדה מהכתובת: http://keepass.info/
(עבור מ"ה חלונות, ומכשירים ניידים) להורדה בגירסה ניידת (לדיסק און קי): http://portableapps.com/apps/utilities/keepass_portable
עבור מערכת הפעלה OS X (מקינטוש)
תוכנת Keychain Access המאפשרת יצירה, ניהול ושמירה של סיסמאות.
מגיעה מובנית במערכת ההפעלה.
בלינוקס אובונטו
תוכנת ניהול סיסמאות מובנית.
גיבוי סיסמאות בטוח
אם ישנו צורך בגיבוי של מפתח הצפנה ארוך (מפתח PGP פרטי לדוגמה), ניתן לחלקו למספר חלקים, ולהעביר כל אחד מהם לאדם אחר, לשמירה.
אף אחד מה"שומרים" לא יוכל להשתמש במפתח, אך במקרה חירום תוכל לפנות אליהם לצרכי שחזור.
שים לב להמלצות הבאות:
תן את המפתח או חלקו למשמורת רק לאדם בו אתה בוטח ב-100%, או לעו"ד שאין אפשרות לשחדו.
אל תתן לאיש מה"שומרים" לדעת על האחרים. בטחון השיטה כרוך בכך!.
דאג לכך שאף אחד מהשומרים לא יוכל לשחזר את המפתח מתוך החלק שיש בידו.
Torah:
פישינג(להיות נידוג)
פישינג (מאנגלית: phishing), או בעברית, "דיוג", היא טכניקה לגניבת מידע מהגולש. המידע הזה יכול להיות סיסמאות, כרטיסי אשראי, או כל מידע אחר שאתם מוסרים לאתרים שאתם סומכים עליהם. בקצרה, יוזם מתקפת הפישינג (phishing attack) יוצר אתר שמתחזה לאתר שאתה מכיר וסומך עליו.
המטרה בדר"כ היא לגנוב מידע אישי עליך כדי למכור אותו, או לגנוב ממך כסף.
אתה יכול לצפות בסרטון הזה (באנגלית), או לקרוא מאמר מצוין בנושא פישינג כדי להבין איך התופעה עובדת.
למה אכפת לך?
אתה יכול להתקל בפישיג ב-2 צורות:
אתה תכנס לאתר שאתה סומך עליו, למשל האתר של הבנק שלך. בפועל, אתה תכנס לאתר שמתחזה, ולמעשה רק נראה כמו האתר של הבנק שלך. כשתקליד את הסיסמא שלך, האתר המתחזה יגנוב אותה, וישלח אותה ליוזם מתקפת הפישינג. התוצאה - אם מדובר בסיסמא לבנק שלך, עלולים לגנוב לך כסף.
סוס טרויאני שיהיה על מחשבך, יהפוך את מחשבך לשרת ממנו מתבצעות מתקפות פישינג. התוצאה כאן היא לא יותר נעימה - העניין יכול להדרדר למפגש עם המשטרה.
הסבר מפורט
תרחיש ראשון - גניבת פרטים אישיים
יש לך פרטי מידע מסויימים שאתה רוצה לשמור בסוד. למשל, הסיסמא לאתר הבנק שלך, מספר הכרטיס האשראי שלך, הסיסמא לחשבון הדואר האלקטורני שלך, ועוד...
פושעי אינטרנט, מבצעים מתקפות פישינג, כדי לגנוב ממך את פרטים אלו, לצורך רווח כלכלי.
באופן בסיסי, כאשר יוזמי פעולת הפישינג רוצים לגנוב את פרטי המשתמש של אתר פופולרי מסויים, הם מעלים לרשת "אתר מתחזה" שנראה חיצונית מאוד דומה לו. לאחר מכן הם מפנים משתמשים לאתר הזה, בתקווה שיאמינו שהאתר המתחזה הוא האתר האמיתי, וימסרו לו את פרטי החשבון שלהם.
נשמע מסובך? הנה דוגמא:
אתר paypal הוא אתר מאוד פופלרי של תשלומים נפוץ באינטרנט, שניתן לבצע דרכו תשלומים מבלי לחשוף את פרטי האשראי של הרוכש. אתר paypal נפל קורבן למתקפת פישינג מושקעת במיוחד.
אלפי לקוחות של אתר זה, קיבלו במייל שאומר להם שהם שילמו סכום כסף גדול, ושכדי לבטל את העסקה, הם צריכים להכנס לאתר. בהודעה הכילה גם קישור לאתר, כדי לקצר את תהליך הכניסה לאתר. בהקשה על הקישור בהודעה, הייתה מגיע לאתר מתחזה, שנראה מאוד דומה לאתר paypal המקורי. האתר המתחזה הזה שולח את השם והסיסמא שנותנים לו ליוזם המתקפה.
מה שהפך את התקיפה של paypal למושקעת, זה שהאתר המתחזה היה בכתובת paypai.com. כל ההבדל, שהוא שבסוף השם יש i ולא L. אם כותבים זאת עם i גדולה, כך: paypaI.com, ועם הפונט הנכון, קשה מאוד לראות את ההבדל.
כך תכננו יוזמי המתקפה לגנוב חשבונות paypal רבים.
בהמשך נסביר איך לזהות ולהתגונן מסוג זה של מתקפה.
תרחיש שני - שימוש במחשב שלך למתקפה
אמנם תרחיש מסוג זה נשמע לא מציאותי, או שלקוח מאיזשהו סרט, אך נתקלנו גם במקרים כאלה, ואפילו פה בארץ.
כדי להרים תרמית פישינג לאוויר, יש צורך בשרת - זה בעצם מחשב, שמתחזה לאתר שרוצים לגנוב את פרטי המשתמשים שלו (לדוגמא, שרת שמתחזה לשרת של paypal). כמובן שיוזמי התרמית לא רוצים להשתמש בשרתים ששייכים להם חוקית, כדי שלא יעלו עליהם.
הפתרון לבעיה זו, הוא להשתמש להדביק מחשב באינטרנט בסוס טרויאני, ולהשתמש בו בתור שרת מתחזה.
ז"א, שיכול להיות שעל המחשב שלך יושבת תוכנת סוס טרויאני, שמריצה שרת שמאוד דומה לשרת של שירות גדול שממנו רוצים לגנוב מידע (כמו paypal). בנתיים נשלחים מיילים לאנשים, שמזמינים אותם להכנס לשרת הזה. שהוא בעצם המחשב שלך.
כתוצאה מכך, ללא ידיעתך והסכמתך, והפכת שותף למזימת פישינג. במקרה הטוב זה יגמר בכך שתרגיש האטה בחיבור האינטרנט. במקרה הרע משטרת ישראל תגיע אליך הביתה בחשד שאתה מנסה לבצע מתקפת פישינג.
זיהוי הודעות פישינג
איך נזהה שאימייל/הודעה שנשלחת אלינו היא הודעת פישינג?
בהודעת פישינג יש מספר אלמנטים:
מסר שיגרום לך לרצות להכנס לאתר כמה שיותר מהר:
"החשבון שלך עומד להיסגר תוך 24 שעות!"
"כרגע הועברו לך 10,000 שקלים, הכנס כדי לאשר את ההעברה"
קישור ישיר לאתר. אם מסתכלים טוב, רואים שהכתובת אליה הקישור מפנה אינה האתר האמיתי.
לעיתים קרובות, הודעת פישינג תכיל שגיאות כתיב/תרגום.
דוגמא להודעת פישינג, שנשלחה לגולשים ישראליים:
"הרישומים שלנו מראים כי הפגישה המקוונת שלך כבר נעולים בשל הסיבה הבאה.
1. היכנס ניסיונות עם מידע לא חוקי.
2. עדכון לקוי על חשבון מקוון סמ"ק שלך.
אנו מפצירים בך כדי לשחזר את חשבון הבנק שלך באינטרנט אוצר מיד כדי למנוע כיבוי הסופי של החשבון שלך.
לחץ על הקישור להלן כדי לשחזר את חשבון הבנק שלך אוצר באינטרנט"
איך להתגונן
דפדפנים ואתרים רבים תומכים כיום בהצגת זהות האתר, באופן שקשה מאוד לזייף. מגנון זה נקרא Extended Verification, או בקיצור, EV.
שימו לב להבדל בין שני האתרים הבאים:
אתר אמיתי
אתר מזויף
אתר למעלה הוא האתר המקורי. האתר למטה הוא אתר שמתחזה אליו. נשים לב ש:
האתר המקורי מצג בירוק - הוא מוצג כך כי הדפדפן הצליח לאמת את הזהות שלו
הכתובת של האתר המזויף שונה במקצת מזו של האתר המקורי.
תמיכה בהצגת זהות האתר קיימת החל מ-Firefox 3 ו-Internet Explorer 7.
לא כל אתר תומך באימות הזהות שלו באופן כזה. שימו לב אם האתר שאתם משתמשים בו תומך בזיהוי מורחב. אם כן, הקפידו לוודא זאת בכל גלישה לאתר, באמצעות הפס הירוק.
עבור משתמשי אינטרנט אקספלרור, קראו הסבר על אימות מורחב באקספלורר.
אם האתר שלכם לא תומך זיהוי מורחב (EV), דרך יעילה להתגונן מפני התקפות פישינג, היא להכנס לאתר דרך המועדפים שלכם, ולא דרך הקישור ניתן בהודעה האימייל.
כאשר מקבלים אימייל עם קישור לאתר שאתם משתמשים בו, וודאו שהקישור הוא אכן לכתובת האתר, ולא לאתר מתחזה.
בנוסף, לכל מני אתרים יש אמצעיי הגנה נגד פישינג. לדוגמא - משתמשי Yahoo יכולים ליצור לעצמם sign in seal. זהו טקסט שיופיע כל פעם שאתם מתחברים לאתר Yahoo. אם אתם מתחברים לאתר ולא רואים את ה-seal שקבעתם, יכול להיות שזהו אתר מתחזה.
תפריט
[0] אינדקס הודעות
[#] עמוד הבא
עבור לתצוגת גירסה מלאה