Εισαγωγικά θέματα www Phishing Βλαχάκου Σταυρούλα ΜΠΣ Δυνητικές κοινότητες – Πάντειο Πανεπιστήμιο.

Παρουσίαση με θέμα: "Εισαγωγικά θέματα www Phishing Βλαχάκου Σταυρούλα ΜΠΣ Δυνητικές κοινότητες – Πάντειο Πανεπιστήμιο."— Μεταγράφημα παρουσίασης:

1 Εισαγωγικά θέματα www Phishing Βλαχάκου Σταυρούλα ΜΠΣ Δυνητικές κοινότητες – Πάντειο Πανεπιστήμιο

2 Phishing Phishing: Το phishing είναι μια σχετικά καινούργια μέθοδος υποκλοπής προσωπικών στοιχείων αξιοποιήσιμων για μη εξουσιοδοτημένες /παράνομες οικονομικές συναλλαγές στο Διαδίκτυο. Phishing: Το phishing είναι μια σχετικά καινούργια μέθοδος υποκλοπής προσωπικών στοιχείων αξιοποιήσιμων για μη εξουσιοδοτημένες /παράνομες οικονομικές συναλλαγές στο Διαδίκτυο. Εμφάνιση: 1/1996, AOL (America OnLine) – κυρίως για υποκλοπή e-mail, αργότερα για οικονομικές πληροφορίες Εμφάνιση: 1/1996, AOL (America OnLine) – κυρίως για υποκλοπή e-mail, αργότερα για οικονομικές πληροφορίες eBay, PayPal έχουν δεχθεί τις περισσότερες επιθέσεις eBay, PayPal έχουν δεχθεί τις περισσότερες επιθέσεις Έμμεσα και άμεσα οικονομικά αποτελέσματα Έμμεσα και άμεσα οικονομικά αποτελέσματα όχι ερασιτέχνες αλλά καλά οργανωμένο οικονομικό έγκλημα όχι ερασιτέχνες αλλά καλά οργανωμένο οικονομικό έγκλημα «χρόνος ζωής» ενός phishing site από μερικές ώρες ως λίγες μέρες «χρόνος ζωής» ενός phishing site από μερικές ώρες ως λίγες μέρες

3 Στατιστικά στοιχεία (1)

4 Στατιστικά στοιχεία (2)

5 Στατιστικά στοιχεία (3)

6 Τύποι Phishing επίθεσης Αποστολή email που περιέχουν links που οδηγούν σε άλλα sites από αυτά που πιστεύει ο χρήστης Αποστολή email που περιέχουν links που οδηγούν σε άλλα sites από αυτά που πιστεύει ο χρήστης Malware based-phishing Malware based-phishing Keyloggers & screenloggers Keyloggers & screenloggers Web trojans Web trojans Κλοπή δεδομένων από τον υπολογιστή του χρήστη Κλοπή δεδομένων από τον υπολογιστή του χρήστη DNS – Based phishing DNS – Based phishing Μόλυνση νόμιμης ιστοσελίδας Μόλυνση νόμιμης ιστοσελίδας Παρεμβολή τρίτου ανάμεσα στο χρήστη και το νόμιμο site Παρεμβολή τρίτου ανάμεσα στο χρήστη και το νόμιμο site Phishing μέσω μηχανών αναζήτησης Phishing μέσω μηχανών αναζήτησης

7 Βήματα μιας επίθεσης phishing

8 Βήμα 0 Ο phisher προετοιμάζει την επίθεση (πχ κατοχυρώνει domain name) Ο phisher προετοιμάζει την επίθεση (πχ κατοχυρώνει domain name) Τρόποι πρόληψης (από τον οργανισμό): Τρόποι πρόληψης (από τον οργανισμό): Κατοχύρωση παρεμφερών domain και εμπορικών σημάτων Κατοχύρωση παρεμφερών domain και εμπορικών σημάτων Παρακολούθηση των αιτημάτων των πελατών Παρακολούθηση των αιτημάτων των πελατών Μη αποστολή email που περιέχουν links στους πελάτες Μη αποστολή email που περιέχουν links στους πελάτες

9 Βήμα 1 Ο χρήστης δέχεται υλικό που μπορεί να τον βλάψει (email, ιός, link που τον οδηγεί σε άλλο site) Ο χρήστης δέχεται υλικό που μπορεί να τον βλάψει (email, ιός, link που τον οδηγεί σε άλλο site) Τρόποι πρόληψης: Τρόποι πρόληψης: Χρήση ψηφιακής υπογραφής από τον οργανισμό Χρήση ψηφιακής υπογραφής από τον οργανισμό Λήψη όλων των δυνατών μέτρων ασφαλείας από τον χρήστη Λήψη όλων των δυνατών μέτρων ασφαλείας από τον χρήστη

10 Τυπικό Phishing μήνυμα

11 Παράδειγμα phishing site

12 Βήμα 2 Ο χρήστης επισκέπτεται μια «επικίνδυνη» σελίδα όπου μπορεί αν δώσει εμπιστευτικές πληροφορίες Ο χρήστης επισκέπτεται μια «επικίνδυνη» σελίδα όπου μπορεί αν δώσει εμπιστευτικές πληροφορίες Τρόποι πρόληψης και αντιμετώπισης: Τρόποι πρόληψης και αντιμετώπισης: Εκπαίδευση του χρήστη να μην χρησιμοποιεί links που υπάρχουν σε email, να επιβεβαιώνει ότι το domain είναι σωστό Εκπαίδευση του χρήστη να μην χρησιμοποιεί links που υπάρχουν σε email, να επιβεβαιώνει ότι το domain είναι σωστό Επιβεβαίωση ότι χρησιμοποιείται το SSL Επιβεβαίωση ότι χρησιμοποιείται το SSL Χρήση προσωποποιημένων πληροφοριών στα email Χρήση προσωποποιημένων πληροφοριών στα email Εφαρμογή μέτρων ασφαλείας από τον οργανισμό (πχ έλεγχος της πρόσβασης στα images) Εφαρμογή μέτρων ασφαλείας από τον οργανισμό (πχ έλεγχος της πρόσβασης στα images)

13 Βήμα 3 Ο χρήστης ενθαρρύνεται να δώσει εμπιστευτικές πληροφορίες στο μη νόμιμο site Ο χρήστης ενθαρρύνεται να δώσει εμπιστευτικές πληροφορίες στο μη νόμιμο site Τρόποι πρόληψης: Τρόποι πρόληψης: Φιλτράρισμα των cross-site scripting (από τον οργανισμό) Φιλτράρισμα των cross-site scripting (από τον οργανισμό)

14 Βήμα 4 Ο χρήστης δίνει εμπιστευτικές πληροφορίες σε μη νόμιμο site Ο χρήστης δίνει εμπιστευτικές πληροφορίες σε μη νόμιμο site Τρόποι πρόληψης: Τρόποι πρόληψης: Antipfishing toolbars Antipfishing toolbars Οι οργανισμοί να υιοθετήσουν screen data entring Οι οργανισμοί να υιοθετήσουν screen data entring Αμοιβαία αυθεντικοποίηση χρήστη και οργανισμού Αμοιβαία αυθεντικοποίηση χρήστη και οργανισμού Καλή συνεργασία μεταξύ spam filters, email clients και browsers Καλή συνεργασία μεταξύ spam filters, email clients και browsers Χρήση trusted paths για την αποστολή εμπιστευτικών στοιχείων Χρήση trusted paths για την αποστολή εμπιστευτικών στοιχείων

15 Antiphishing toolbars

16 Trusted path

17 Βήμα 5 Ο phisher παίρνει τις εμπιστευτικές πληροφορίες Ο phisher παίρνει τις εμπιστευτικές πληροφορίες Τρόπος αντιμετώπισης: Τρόπος αντιμετώπισης: Ο όσο πιο γρήγορος εντοπισμός του phishing server και κλείσιμο του Ο όσο πιο γρήγορος εντοπισμός του phishing server και κλείσιμο του

18 Βήμα 6 Ο phisher χρησιμοποιεί τις εμπιστευτικές πληροφορίες για πρόσβαση στον οργανισμό Ο phisher χρησιμοποιεί τις εμπιστευτικές πληροφορίες για πρόσβαση στον οργανισμό Τρόποι πρόληψης: Τρόποι πρόληψης: Ο οργανισμός να απαιτεί αυθεντικοποίηση 2 παραγόντων (να ελέγχει 2 από τα 3 παρακάτω στοιχεία) Ο οργανισμός να απαιτεί αυθεντικοποίηση 2 παραγόντων (να ελέγχει 2 από τα 3 παρακάτω στοιχεία) Τι είσαι (πχ βιομετρικά δεδομένα) Τι είσαι (πχ βιομετρικά δεδομένα) Τι έχεις (πχ smartcard) Τι έχεις (πχ smartcard) Τι ξέρεις (password) Τι ξέρεις (password) Δύσκολο στην εφαρμογή του αν και αποτελεσματικό Αυθεντικοποίηση συγκεκριμένου υπολογιστή Αυθεντικοποίηση συγκεκριμένου υπολογιστή Τηλεφωνική επιβεβαίωση Τηλεφωνική επιβεβαίωση Password hashing Password hashing

19 Βήμα 7 Ο χρήστης καρπούται το οικονομικό όφελος από τον οργανισμό Ο χρήστης καρπούται το οικονομικό όφελος από τον οργανισμό Τρόποι αντιμετώπισης: Τρόποι αντιμετώπισης: Οι οργανισμοί καθυστερούν τη μεταφορά χρημάτων σε ορισμένες περιπτώσεις συναλλαγής Οι οργανισμοί καθυστερούν τη μεταφορά χρημάτων σε ορισμένες περιπτώσεις συναλλαγής Χρήση νομικών μέτρων προστασίας Χρήση νομικών μέτρων προστασίας

20 Συμπεράσματα Οι οργανισμοί θα πρέπει να λαμβάνουν όλα τα δυνατά μέτρα προστασίας για ασφαλείς συναλλαγές αλλά και οι χρήστες θα πρέπει να μάθουν να προστατεύονται Οι οργανισμοί θα πρέπει να λαμβάνουν όλα τα δυνατά μέτρα προστασίας για ασφαλείς συναλλαγές αλλά και οι χρήστες θα πρέπει να μάθουν να προστατεύονται

21 Πηγές http://en.wikipedia.org/wiki/Phishing http://en.wikipedia.org/wiki/Phishing http://en.wikipedia.org/wiki/Phishing http://en.wikipedia.org/wiki/Phishing http://www.antiphishing.org/ http://www.antiphishing.org/ http://www.antiphishing.org/ http://www.go- online.gr/ebusiness/specials/article.html?article_id=1326 http://www.go- online.gr/ebusiness/specials/article.html?article_id=1326 http://www.go- online.gr/ebusiness/specials/article.html?article_id=1326 http://www.go- online.gr/ebusiness/specials/article.html?article_id=1326 Online Identity Theft: Phishing Technology, Chokepoints and Counermeasures by Aaron Emigh, 2005 Online Identity Theft: Phishing Technology, Chokepoints and Counermeasures by Aaron Emigh, 2005