Az alkalmazottak egyre több cégnél használják saját mobil eszközeiket, az okostelefonokat és a táblagépeket a munkával kapcsolatos feladatokra. Ez az új irányvonal arra kényszeríti a kis és nagy cégeket, hogy alkalmazkodjon a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) szokáshoz, és megvédje az IT-hálózata biztonságát. A Security Sales & Integration írásában vizsgálja az okostelefonok munkahelyi használatát az Egyesült Államokban.
A biztonsági és az informatikai vezetők nem repesnek az örömtől a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) elterjedése kapcsán, hiszen előfordult már, hogy, az alkalmazott a saját okostelefonján keresztül vett le a céges hálózatról anyagot oly módon, hogy közben a vállalati hálózatot rosszindulatú támadásnak tette ki. Az ilyen esetek védekezésre ösztönzik a vállalkozásokat, és olyan alkalmazásokat adnak munkatársaiknak, amelyekkel már biztonsággal használhatják a munkához saját készülékeiket. Növeli a BYOD gyors terjedését, hogy egyre több alkalmazás könnyen hozzáférhető a felhőalapú szolgáltatások számára.
Egy, a közelmúltban készített tanulmány szerint a Cisco partner cégeinek 90 százalékánál használják az alkalmazottak a saját okostelefonjaikat a munkájukhoz. Ezen belül is a munkatársak 39 százaléka nem védi jelszóval a készülékét, emellett 52 százalékuk hozzáfér a nem védett céges WiFi-hálózathoz.
Miközben a mobil eszközök növelik a munkavégzés rugalmasságát, a cégek próbálják szabályozni az adatok hozzáférési jogosultságait, állítja Paul Boucherle, az Ohio-i székhelyű Matterhorn Consulting munkatársa. „Az IT részlegek még csak a kezdeti szakaszában vannak a szabályozásnak, mert ez nagyon munka” – tette hozzá Boucherle.
Kézenfekvő megoldásként egyre több biztonságtechnikai alkalmazás is használja a mobil eszközöket. Közel már az az idő, amikor a rövid hatótávolságú vezeték nélküli kommunikációra (Near Field Communication – NFC) képes okostelefonokat (NFC-képes okostelefonok) széles körben használják a beléptetőrendszerekben és hitelesítő alkalmazásokban.
Azok a fejlesztők, akik időben befektetnek munkát és pénzt vezető szerephez juthatnak a BYOD piacon mondta Julian Lovelock, a HID Global alelnöke.
„Ez nem fog egyik napról a másikra menni, de a mobilalapú hitelesítés lesz az egyik olyan terület, ahol a befektetés nagyon gyorsan megtérül. A hitelesítést egyaránt lehet használni a fizikai hozzáférés esetében, mint például a beléptetés és a cyber térben is az adatokhoz való hozzáféréshez.”
A Vector Resources, IT vállalkozás a kaliforniai Torrance-ból már technológiákat és szolgáltatásokat is biztosít BYOD alapú alkalmazásokhoz, bizonyítva a mobil eszközök gyors terjedését a biztonsági és IT területen. A gomba módra szaporodó alkalmazások egyike egy egészségbiztosítási pénztáré, ennél az alkalmazásnál fontos volt az elszámolásokhoz, hogy az ügyfelek használhassák okostelefonjaikat.
„Sok vállalkozás foglalkozik védett egészségügyi információk továbbításával elektronikus rendszerek számára. Sokan használják szerződött orvosok és egészségügyi dolgozók ezeket az alkalmazásokat, és ők nem szeretnék, hogy bárki is korlátozza a mobil eszközök használatát” – tájékoztat Patrick Luce, a Vector igazgatója. „Óriási a kereslet a megfelelő biztonságú BYOD előírások és technológiák iránt.”
Az igazgató hozzátette, négy fő lépésből áll BYOD alkalmazása a vállalkozásoknál:
A fejlesztőknek megfelelően ki kell képezniük a telepítőket a BYOD technológiákkal kapcsolatban. Bár ez csak egy része a gyorsan fejlődő területnek állítja Chuck Wilson, a rendszerfejlesztők szövetségének, a National Systems Contractors Association (NSCA) ügyvezetője. Majd hozzá teszi a különféle szakmai szövetségeknek is fontos szerepe lesz majd a BYOD legjobb megoldásainak megismertetésében, elterjesztésében, a kockázatok feltárásában és a nyereség növelésében.
„Nem szabad gondolkodás nélkül átvenni a technológiákat, mivel ezek számos kockázatot rejtenek magukban. A telepítőnek kettős feladata van, saját üzleti szempontjai mellett az ügyfele biztonságára is vigyáznia kell.”
Forrás: Security Sales & Integration, securitysales.com
Az informatika biztonságáról, fejlődési irányvonalairól és stratégiákról tartott előadást Fábián Zoltán, a Computerworld B2B ágazatvezetője a III. MBF Konferencián.
Az IT biztonság témája aktuális: nemrég került nyilvánosságra, az amerikai szakszolgálatok az interneten kémkednek a különböző országok után. Ennek fényében hangsúlyozta az előadó: Titkosítsunk! Fábián Zoltán ebben a témakörben három területtel foglalkozott előadásában: az IT biztonsággal, a trendekkel, s azzal, hogy milyen stratégiákat kövessünk.
Az IT egyre hangsúlyosabb szerephez jut az üzleti életben, a kiváló IT ma már versenyelőnyt jelent. Az informatikai biztonság létfontosságú, alapvető érdek, hogy úgy működjön a rendszer, ahogy kitalálták. A rendszert azonban védeni kell. Nem csak a filmekből ismert adatlopások okozhatnak súlyos károkat, a szándékos vagy véletlen tényezők is, és le is lassíthatják a rendszert.
Egy felmérés szerint a külső, rosszindulatú károkozás kevesebb, mint a negyede a rendszert gyengítő tényezőknek, körülbelül ilyen arányú a belső, szándékos károkozás. A hibák 19 százaléka az oktatás hiányosságából származik, ha például a rendszergazda nem megfelelően frissít, sok a vírusfertőzés. Az adatszivárgás a károk 21 százalékát jelenti – ebben gyakran maguk a felhasználók hibásak, rengeteg helyen kiderült, hogy 123456 volt a jelszó.
Tekintse meg az előadásról készült videót
A vírusfertőzés egyre veszélyesebb, több országban tizenéves éves gyerekek irkálják a hekker programokat, egészen egyszerű dolgokon tud elcsúszni egy vállalkozás élete. A vírusirtó rendszerek fejlesztésével igyekeznek mindig egy lépéssel előbb járni, mindig a legfrissebbet érdemes alkalmazni.
A trendekről szólva kiemelte: várhatóan mamutméretű vállalatok és sok pici vállalkozás lesz, átalakulnak a munkavégzési szokások. A multik méreteik miatt kevésbé rugalmasan működhetnek, sok tevékenység kikerül külső cégekhez, s ezzel az adatok is kikerülnek.
Egyre többen használnak táblagépet, okostelefont – ezekbe bármilyen adatot, sőt vírust bárki beírhat, ez óriási fenyegetettséget jelent. (Néhány cégnél a vendégnek a portán le kell adni a telefont.)
A felmérések szerint Európában rossz a helyzet, a vállalkozások 63 százaléka digitális középkorban él, mielőbb fel kell zárkóznunk.
Alapvetően fontos a biztonsági normák betartása, a valóban titkos jelszó, a Windows, a vírusirtó állandó frissítése, s hogy megbízható legyen a szállító és az üzemeltető.
Nagyon hasznos a mélyebb elemzés, szakértő biztonsági céggel felméretni, mennyire sérülékeny a rendszer, és mit kell tenni a védelmére. Érdemes olyan eszközöket alkalmazni, amelyek szétválasztják a vállalat és a magánélet ügyeit.
Előfordulnak gondok abból, ha a biztonsági szakember nem kellően jártas az informatikában. Mára az IT világa annyira áthatja a biztonságtechnikát, hogy elengedhetetlen a biztonsági szakemberek megfelelő informatikai képzése.
Nemrégiben Ausztráliában okozott gondot a biztonsági szakemberek nem elégséges számítógépes tudása. A Googl Wharf 7 office programján keresztül hackelte meg valaki épületfelügyeleti rendszerek bejelentkezési adatait, és átvette az irányítást a beléptetőrendszer felett. Ha a rendszer a távoli hozzáférés érdekében kapcsolódott az internethez, de nem a rendszergazda bejelentkezése volt az alapértelmezett, akkor a hacker könnyen betört a rendszerbe, és szerezte meg a bizalmas adatokat és vette át az ellenőrzését az ajtók felett.
Gyakran előfordul, hogy csak azért csatlakozunk egy helyi hálózathoz vagy az Internethez, mert lehet. Végfelhasználó esetén ez nem gond, de ha a telepítő, a szerelő vagy a biztonsági vezető csatlakozik bárhol a hálózatra, akkor nem kellő védelem esetén betörés áldozata lehet. Így ha épp nincs szükség a távoli hozzáférésre, akkor nem csatlakozzon az Internetre.
Az említett ausztráliai esetben azért lehetett könnyen betörni a beléptetőrendszerbe, mert volt egy hiba a szoftverben, amely megakadályozta, hogy bárki megváltoztatása a rendszer alapértelmezett jelszavát. De nem csak ez volt a gond, mert ehhez a programhibához már volt javítás, de ezt nem telepítették. A szoftverek naprakészen tartása lényeges, mégis egyszerű lépés a számítógépes bűnözés elleni védekezés során.
Beszélgessen az IT szakemberekkel, és beszéljen az ügyfél IT munkatársával. Sok biztonsági szakember kerüli a kommunikációt, mert attól tart, tudatlannak nézik. Házon belül is az IT-szakemberek is rengeteg tudással rendelkeznek, nem árt kérdezni őket, és fontos az is, hogy tudják, mit is tesz a biztonsági szakember. Érdemes megtudni tőlük, milyen biztonsági intézkedéseket tesznek a cég rendszereinek védelme érdekében.
Tanulja meg a legfontosabb internetes biztonsági lépéseket, mert így képes lesz követni a beszélgetést az IT-szakemberekkel. Ezzel elnyeri a bizalmukat, és ha valaha megtámadják a rendszert, akkor bízhat abban, hogy mindent megtett ennek elkerülése érdekében.
A fizikai és a digitális biztonság területén átfedés van, és ez egyre nő. A biztonsági vezetőknek, telepítőknek, szerelőknek folyamatos továbbképzésre van szükségük a számítógépes biztonságterületén. A naprakész tudás segít megelőzni a veszélyes helyzeteket a biztonság területén.
Forrás: www.ifsecglobal.com
Nincs csodaszer a felhőben tárolt adatok teljes biztonságára, de az adatok megfelelő titkosítása alapvető része a felhő biztonságának – állítja Richard Moulds, a Thales stratégiai elnökhelyettese.
Hatékony titkosításra van szükség a felhőben történő adattárolás során olyanra, amely nem csak, hogy titkosítja az adatokat, hanem az irányítja és ellenőrzi az adtok visszafejtését úgy, hogy legyen is értelme az információknak.
A felhőben történő adattárolás elsődleges célja a takarékosság, de emellett fontos a könnyű elérhetőség, a rugalmasság, az adatforrások megosztása, de az a gond vele, hogy így könnyen kikerülhetnek az adatok az ellenőrzés alól. Sok szervezet számára a nem megfelelő biztonság nagyon fontos akadályt jelent a felhő használatában, és ez lényeges szempont, amikor mérlegeljük a titkosítás szerepét.
Kinek ez elsődleges felelőssége megvédeni az érzékeny vagy bizalmas adatokat a felhőben? A Thales e-Security és az Pomenon Institute legújabb felmérés szerint, amely a felhőben tárolt adatok titkosítását vizsgálja, a válaszadók 44 százaléka úgy látja, az adatok védelme elsődlegesen a felhőszolgáltató feladata. Viszont a megkérdezettek 30 százaléka azt gondolja, hogy a felhasználó felel az adataiért. Ebből is látszik, hogy ma még vitatott kérdés, kié is a felelősség a felhő biztonságáért.
A titkosítási algoritmusok védelme középpontjában a kódolás és annak ellenőrzése áll. Hiába a biztonságos zár, ha a kulcsot az ajtóban vagy a lábtörlő alatt tartjuk, esetleg bárkinek másolatot adunk, aki kéri.
Amikor a felhőszolgáltató állítja, hogy az adatainkat biztonságban tudhatjuk, mert titkosítja azokat, akkor azért kérdezzünk rá a szolgáltatónak a kulcskezelési gyakorlatára.
A szolgáltató valószínűleg nem fog pontos választ adni ezekre a kérdésekre. Igazság szerint nagyon kevés felhőszolgáltató akar valóban felelősséget vállalni a kulcsokért. Azonban a szolgáltatók sokkal hamarabb vállalják felelősségüket, ha látják, hogy az ügyfél figyel erre a kérdésre. Azonban ez néhány újabb kérdést vet fel.
Vonzó az az elképzelés a felhő alapú alkalmazások és tárolás esetén, hogy az ügyfél kezében legyen a titkosítás kulcsa. Ebben az esetben a vállalaton belül elkülönül a titkosítás és az alkalmazások használata, és ez növeli a biztonságot. De ehhez ma már szükség van az alkalmazás és a felhő közötti titkosítás folyamatának szabványosítására. Ezt az eltérő platformok, a beléptetőrendszerek különféle filozófiái és az érvényben lévő egyedi biztonsági intézkedések igénylik.
Szerencsére már, van egy új szabvány, a Key Management Interoperability Protocol (KMIP). Azonban arra is figyelni kell, hogy a titkosítás csak egy lépése az adatkezelésnek. Az adatokat az adatkezelés teljes életciklusa alatt védeni kell, tehát ott is, ahol keletkezik az adat, ahol tárolják és ott is, ahol végül megsemmisítik. Tehát azzal, hogy megoldotta a felhőben tárolt adatok titkosítását, könnyen hamis biztonságérzetbe ringathatja magát mind a szolgáltató, mind az ügyfél.
Angol nyelvű videó a szabványról (Key Management Interoperability Protocol, KMIP)
A felhőben történő adattárolás esetén fontos a bizalom a szolgáltatóban, de mellette lényeges az ellenőrzés is. Értékelni és számszerűsíteni kell az adatkezelést: szükséges biztonsági auditot készíteni, ellenőrizni, hogy megfelelünk-e az előírásoknak, szabványoknak, jogszabályoknak.
Az alkalmazott üzleti modell lehet eltérő, de a szabályokat be kell tartani. A szolgáltatók keresik az ügyfelek bizalmát a felhőalkalmazások kapcsán. A különböző felhőszolgáltatókat a kritikus pontokon föltett kérdésekre adott válaszok különböztetik meg:
A megfelelő válaszok esetén fontos még, hogy azok kiállják az idő próbáját is.
Richard Moulds, a Thales stratégiai elnökhelyettese
Forrás: www.ifsecglobal.com
Milyen fejlődés várható 2013-ban a biztonságtechnika egyes területein? Milyen irányban haladnak az egyes ágazatok. A securityinfowatch.com írása alapján négy területet nézünk meg: videomegfigyelés, beléptetés, videomenedzsment-szoftverek, integrált rendszerek. Sorozatunk második részében a beléptetőrendszerek újdonságairól szól John Fenske, a HID Global termékekért és marketingért felelős alelnöke.
John Fenske, a HID Global termékekért és marketingért felelős alelnöke
A rövid hatótávolságú vezeték nélküli kommunikációra (Near Field Communication – NFC) képes okostelefonok (NFC-képes okostelefonok) megváltoztatják a gondolkodásmódunkat beléptetés kapcsán. Harm Radstaak, a HID Global EMEA ügyvezető igazgatója úgy véli, a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD), irányvonal fogja meghatározni az elkövetkező időszakot a beléptetés és a munkaidő-nyilvántartás területén.
A „Kérjük, kapcsolja ki a mobiltelefonját” szemlélet beleivódott mindannyiunk napi gyakorlatába, és elkísér bennünket, bárhol is vagyunk. Azonban hamarosan a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) válik napi gyakorlattá a munkahelyeken, így az NFC-képes okostelefonok új korszakot nyitnak a megbízható azonosítás területén, és a fizikai beléptetés kényelmes, biztonságos és vonzó megoldásai lesznek, sőt már lettek is.
Mit is lehet az NFC-s okostelefonnal kezdeni a munkahelyen?
Számos vállalat számára már régóta aggodalomra adnak okot a biztonsággal kapcsolatos kérdések az alkalmazottak megfelelő azonosítása terén, ha az személyazonosító igazolványokkal történik a cég területén vagy a különféle vállalati funkciók esetén. Ez a kockázat csökken, ha a munkavállalók a vállalati környezetben saját okostelefonjaikat használják, mint digitális kulcsot. A személyzet sokkal nagyobb valószínűséggel felejti otthon vagy veszíti el a kártyáját, igazolványát, mint a mobiltelefonját.
Az NFC-s rendszer alapja lényegében hasonló, mint a meglévő kártya-alapú beléptetőrendszerek elvei, ebben az esetben a kártya helyett a telefon hordozza a megfelelő adatokat. Áthaladáskor a hitelesítéshez a meglévő beléptetőrendszer számára szükséges azonosító adatokat a telefon közli az olvasóval.
Harm Radstaak, a HID Global EMEA ügyvezető igazgatója
Valószínűleg a vállalkozás számára a fizikai beléptetés az elsődleges felhasználási módja az NFC-s okostelefonoknak, azonban a technológia alkalmas arra, hogy számos, a cég számára fontos kapcsolódó szolgáltatást is elvégezzen. Ezek közül a legfontosabb a munkaidőnyilvántartó-rendszer, de használhatók még cafeteria céljaira a vállat büfében vagy automatáknál. De fontos alkalmazási lehetőség még például az egyszer használatos jelszavak területe is, így ezzel tud az alkalmazott belépni az asztali számítógépébe vagy a céges hálózatba. Nyilvánvalóan fontosak a kényelmi szempontok is, mert ez biztonságos és felhasználóbarát technológia, amely közelebb hozza egymáshoz a munkavállalói magatartást a munkavállalói kultúrával az üzleti világban.
A rugalmasság nem veszélyezteti a biztonságot
Annak érdekében, hogy minél több vállalat használja beléptetésre az okostelefonkat, szükség van olyan rendszerre, amely lehetővé teszi, hogy a rugalmas mobil hozzáférés mellett a biztonság ne kerüljön veszélybe. Az okostelefonra szükséges egy biztonságos kisalkalmazást telepíteni, hogy igény szerint biztosítsa az NFC-képes eszközök és a munkahelyi környezet közötti tranzakciókat. A kisalkalmazás feladata, hogy eljutassa a megfelelő digitális kulcsokat az egyes telefonokra és olvasóberendezésekre. Tegye mindezt maximális adatbiztonság mellett, és összehangolva a hagyományos azonosítási eszközökkel.
A végső cél a fizikai és logikai beléptetés összehangolása a mobil eszközökkel és a már meglévő berendezésekkel. Szem előtt tartva a biztonságot és növelve a kényelmet, összehangolva a felhőalapú adattárolással, ügyintézéssel. Így azután a cégek megszüntethetik a hagyományos műanyag kártyás rendszereiket biztonságosabbá téve és leegyszerűsítve a beléptetést.
Kihívás és lehetőség
Piaci szempontból, NFC-képes fizikai beléptetés egyszerre jelent kihívást és lehetőséget. A széles körű piaci elterjedés érdekében az olyan NFC-képes telefonkészülékek szükségesek, amelyek a ma leginkább elterjed négy operációs rendszerrel működnek: iOS, Android, Windows, és a RIM. Ezzel a telefonhálózatok üzemeltetői részévé válnak a beléptetési és a különféle fizetési rendszereknek. A feladat összetettségének és sokféleségének köszönhetően nagy vállalkozás lesz a fejlesztés. A fejlesztésben fontos feladat még annak kidolgozása, hogy az akkumulátor lemerülése esetén ne vesszenek el adatok, ne felejtse el a készülék a következő lépéseket.
Forrás: info4security.com
What could an NFC-smartphone in the workplace do?
For many organisations, the security issues associated with multiple employed ID cards – be these for different sites, buildings or corporate functions – has long been a concern. For employees in an enterprise mobile access environment – where their own smartphones can be used as a digital key – the risk of a breach is reduced. Staff are far more likely to forget or misplace their badge or ID card than their mobile phone, which also happens to carry their ID credentials. NFC ‘digital keys’ essentially replicate the existing card-based access control principles and model via an embedded credential in the handset. The NFC enabled phone communicates identity information to the recipient access-control card reader, which passes the identity to the existing access control system for authentication, and then opens the door.
While physical access control is likely to be the primary use for NFC in the enterprise, the technology lends itself to a number of associated services that can easily be integrated into corporate NFC programmes. For instance, employees can use their smartphones to swipe in for time and attendance purposes, for cashless vending in the corporate cafeteria or even in conjunction with One Time Passwords (OTP) soft tokens that enable a user to log in to their desktop PC.This obvious convenience factor, that sees a secure, user-friendly technology fall into step with employee behaviour and culture, is helping fuel demand in the business world.
Flexibility that doesn’t compromise on security
In order to make the most of this pioneering development in access control, the enterprise needs to employ a system that can allow it to capitalise on the flexibility of mobile access, while also ensuring security is not compromised. From a technical standpoint, in order to secure transactions between NFC-enabled devices in the work environment, the smartphone requires a secure applet to hold the digital keys, an app for the user to interact with, and the actual digital keys assigned to the individual phone. This needs to be met with the accompanying reader hardware in order to recognise the information that the phone is communicating and, most importantly, a trusted identity platform that can manage, deliver, and authorise mobile credentials. This ecosystem creates a managed boundary so that corporate-issued or BYOD devices and their transactions in the enterprise can be trusted, providing a secure communications channel for transferring information between NFC-enabled phones and the other secure media and devices at play in the work environment.
Ultimately, the convergence of physical and logical access control on mobile devices is helping organisations to stay secure in a rapidly changing world, while the employee experience becomes both more fluid and easier. Moreover, with the convenience of over-the-air or cloud-based provisioning, this ecosystem means that the enterprise can provision and de-provision digital keys to the smartphone in question as and when it needs to. In doing so, enterprises can eliminate the ‘traditional’ risk of plastic card copying and simplify the process of issuing temporary credentials, modifying or cancelling them.
From a market perspective, NFC-enabled physical access control represents both a challenge and an opportunity as two sides of the same coin. In order to facilitate wide market adoption, universal NFC-enabled handsets that support the four primary operating systems: iOS, Android, Windows, and RIM, will be required. Network operators will intrinsically become part of the access control equation and, ultimately, the provisioning process. However, given the complexity and diversity of the mobile landscape is itself, all development work will be a big undertaking. Additionally, recent pilots in the field with Netflix and Good Technology, highlight that solutions that do not excessively drain battery, that are available even when the battery is dead, and that don’t interrupt other tasks, are also valuable next steps to be taken.
Harm Radstaak is managing director for EMEA, HID Global.
Source: info4security.com
Az IMS Research tanulmányt készített a rövid hatótávolságú vezeték nélküli kommunikációra (Near Field Communication – NFC) képes okostelefonok lehetőségeiről az azonosítás és a beléptetés területén. A tanulmány fő megállapítása, hogy az NFC-s okostelefonok forradalmasítják az azonosítást és a beléptetést.
Az NFC feltörekvő technológia, a felhasználóknak már rendelkezésére áll, bár viszonylag kevés mobiltelefon-típus alkalmazza, így például a Samsung Galaxy S III és a Sony Xperia S, de ezekből egyre többet adnak el.
Az NFC Forum – amelyet fejlesztők, gyártók, pénzügyi szolgáltatók, így például a Nokia és a Sony hoztak létre 2004-ben –, állítja, hogy az NFC-technológia az egész világon könnyebbé és kényelmesebbé teszi a felhasználók életét, hiszen a különféle ügyleteket érintés nélkül és digitális formában lehet vele lebonyolítani.
A kutatás alapján az IMS Research megállapította, hogy ez a technológia a biztonsági piacon is rohamos fejlődés előtt áll. Az elemző szerint az NFC-technológia az okostelefonok világában forradalmasítani fogja az azonosítást és a beléptetést. A beléptetés területén az NFC-s okostelefonokban rejlő lehetőségek újradefiniálják a hitelesítést.
Az említett kutatás becslése szerint 2011-ben az eladott készülékek 2,3 százaléka NFC-s okostelefon volt, de várhatóan gyors ütemben fog nőni az eladások száma: 2014-ben 20 százalékra és 2016-ig 44 százalékra, ez 918 millió készüléket jelent világszerte.
Tavaly amerikai egyetemeken már több kísérleti programot is indítottak, amelyekben a diákok a hagyományos beléptető kártyák helyett okostelefonokat használtak beléptetés során az azonosításra. Az IMS Research szerint régiónként változhat az okostelefonok elterjedése a beléptetésben, attól függően, hogy a helyi mobilszolgáltatók és biztonsági cégek fölismerik-e a lehetőségeket, illetve akarnak-e és tudnak-e élni velük.
A gyártók már fölismerték az NFC-s okostelefonokban rejlő lehetőségeket, például a HID beléptetőgyártónak már működik a rendszere, erről már a SECURINFO.hu oldalon is szóltunk.
Forrás: Rob Ratcliff írása, www.info4security.com
By Rob Ratcliff
The study has suggested that Near Field Communication (NFC)-enabled smartphones have the potential to revolutionise the access control industry in the coming years.
NFC is an emerging technology for consumers and is already available on a relatively small amount of mobile phones, including the Samsung Galaxy S III and the Sony Xperia S.
The NFC Forum, established by manufacturers including Nokia and Sony back in 2004, describes NFC as technology that renders life easier and more convenient for consumers around the world by making it simpler to make transactions, exchange digital content and connect electronic devices with a touch.
IMS Research is optimistic about the potential of this technology in the security arena.
In a statement announcing the publication of itsnew study, the market analyst said: “For physical access control, the use of NFC-enabled smart phones has the potential to redefine the concept of the credential and revolutionise the access control industry.”
Pilot programmes undertaken
The US researcher estimates that around 2.3 százalék of the smartphones sold in 2011 were NFC-enabled, but this number is expected to rise quickly to 20 százalék in 2014 and to 44 százalék by 2016 – that’s equivalent to 918 million handsets.
Last year, several NFC pilot programmes were undertaken in locations including American university buildings using smartphones for physical access control.
Instead of the standard access control cards employed in offices and universities around the world, students were able to use their NFC-enabled smartphones to access buildings.
IMS Research said that the pace at which NFC is adopted for the purpose of physical access control will vary by region due to factors including the number of smartphones that are NFC-enabled, the participation of local mobile network operators and the involvement of security companies.
Firms such as HID have already awoken to the potential of NFC, while smaller concerns like ECKey are already producing and distributing smartphone access control systems.
Source: www.info4security.com
Alan Turing elgondolása szerint öt perces chat beszélgetés során az ember képes kiszűrni, hogy géppel beszélget-e vagy sem. Azonban az 1950-ben írt tanulmány alapján felállított teszten egy magát Eugene Goostmannak kiadó számítógép átment, megtévesztve a vele kommunikáló szakértők 33 százalékát.
A Turing teszt lényege, hogy a gép emberszerű vonásait vizsgálja meg, mennyire képes meggyőző lenni az MI, hogyan tud párbeszédbe elegyedni az emberrel. A teszt során írott szövegben kell kommunikálnia a tesztalanyokkal egy-egy embernek, viszont a tesztalanyoknak csak az egyike valódi személy, a másik egy számítógép. A teszt lényege, hogy a tesztalanyok meggyőzzék chat partnerüket a saját valódiságukról. A sikeres teszthez a kísérletben résztvevők 30 százalékának meggyőzése szükséges, ami eddig egyetlen számítógépnek sem sikerült.
A mostani eredmény 3 százalékkal szárnyalta túl a szükséges értéket, ami elsőre nem tűnhet soknak, de a kutatók állítása szerint már további fejlesztésekre fogja sarkallni a szakembereket, és rövid időn belül ugrásszerű fejlődés várható a mesterséges intelligencia területén. Azonban már a 33 százalékos megtévesztés is rendkívül magasnak számít, és komoly biztonságtechnikai problémákat vet fel, hiszen az online kommunikációban eddig is komoly veszélyforrást jelentettek az előre programozott számítógépek, amelyek rendszereket terheltek le, illetőleg adatokat próbáltak lopni a felhasználóktól pusztán annak segítségével, hogy egy másik embernek adták ki magukat. Amennyiben a mesterséges intelligenciának ilyen irányú felhasználása ugrásszerű fejlődésnek indul, a biztonságtechnikai szakembereknek is fel kell készülniük azoknak a támadásoknak a kivédésére, amelyek során MI technológia bevetésére lehetőség nyílik.
Tekintettel arra, hogy az online kommunikáció kizárólag emberi résztvevők jelenléte mellett is hordoz számtalan veszélyt, a „gondolkodó számítógép” megjelenésével újabb veszélyforrások tárulnak fel. 2012-ben már 29 százalékos eredménnyel végzett a teszten ennek a chatrobotnak az elődje, tehát mindössze két évre volt szükség ehhez a szintű fejlesztéshez. Egy olyan világban, ahol a mesterséges intelligencia eredményesen képes elhitetni magáról, hogy egy mindössze 13 éves ukrán kisfiú (a legutóbbi, sikeres teszt során így történt), a biztonságtechnikai szakembereknek komoly kihívásokkal kell majd szembenézniük. Habár Murray Shanahan, az Imperial College London mesterséges intelligencia kutatója erősen vitatja a teszt eredményességét, az MI fejlődését senki sem hagyhatja figyelmen kívül.
A biztonsági szakembereknek jól kell érteniük az informatikához (is)
A drive-by-download olyan malware letöltést jelöl, mely a háttérben fut észrevétlenül, a felhasználó tudta és beleegyezése nélkül. Az ilyen kéretlen letöltés a böngészők, illetőleg a böngésző plug-in-ek sebezhetőségét használja ki.
A hacker rejtett, rosszindulatú tartalmat helyez el egy weboldalon beleszőve a drive-by-t aktiváló kódokat a magába a weboldalba. Ezáltal nem kell a felhasználót egy adott felületre csábítania, hanem védett, hiteles weboldalak betöltésével tudja megfertőzni a gépet. Amint a felhasználó betölti a felületet, a drive-by aktivizálja magát, megváltoztatja a böngésző működését, és feltűnésmentesen elindítja a háttérben a malware letöltését.
Érdemes. A drive-by letöltés észrevétlenül működik, és megakadályozni is nagyon nehéz. A böngészők nagy része tartalmaz olyan hibafaktorokat, amelyeket az ilyen típusú programok ki tudnak használni, nem beszélve a zero-day támadás lehetőségéről, amikor egy eddig még publikálásra nem került szoftverhibát aknáznak ki a drive-by letöltés programok.
Hatékony endpoint/végpont biztonsági szoftver, valamint web biztonsági filter együttes használatával csökkenthető a kockázat. Érdemes biztonsági patcheket is beszerezni a böngészőhöz, valamint olyan alkalmazásokat, amelyek a zero-day támadásokat hivatottak kivédeni (pl. F-Secure DeepGuard 2.0 vagy Cyberoam WAF).
A NetAcademia május 22-én hetedik alkalommal rendezi meg szokásos tavaszi konferenciáját, ahova főként a biztonsági technológiák iránt bitszinten érdeklődő szakembereket várja előadásokkal etikus hekkelés témában. A konferencia helyszíne ezúttal a Lurdy Mozi lesz, és az idei rendezvényen a közösségi médiában előforduló visszaélések is szerepet kapnak majd.
A legújabb számítógépes hekkelési technikákat és kivédésüket évről évre bemutató egynapos összejövetelen ezúttal meglepő bemutatóra készülnek a konferencia előadói. Egy ma már elavultnak számító mobiltelefon segítségével indítják el a negyedik GSM szolgáltatót, melyre majd 10 méteres körzetben lehet 1 órán keresztül rákapcsolódni az idei Ethical Hacking Konferencián. A rendezvényt szervező NetAcademia Oktatóközpont ügyvezető igazgatója, Fóti Marcell így nyilatkozott a bemutatóval kapcsolatban: „Ma már szinte minden tudható a régebben az ismeretlenség homályában rejtőzködő GSM szabványról, s persze annak hibáiról is. Tomcsányi Domonkos előadása jó példa arra, hogy bárki által beszerezhető információk és eszközök segítségével milyen egyszerű egy fantom GSM szolgáltatást indítani, majd azon keresztül félrevezető hívásokat kezdeményezni, és hamis SMS-eket küldeni.”
Kovács Zsombor, a Deloitte képviseletében a kínai okostelefonok biztonságtechnikai buktatóit fogja elemezni a rendezvényen, valamint téma lesz az ilyen típusú készülékek operációs rendszerének túlzott mértékű adatkiszivárogtatása is.
A közösségimédia-szolgáltatások és -alkalmazások ma már olyannyira népszerűek, hogy szinte nincs olyan szervezet, amely ne lenne valamilyen formában elérhető ezeken az oldalakon is. „Az idei Ethical Hacking Konferencián arra is példákat láthat majd a várhatóan 500 fős közönség, hogy ezeken a felületeken mi mindent tud megtenni egy rossz szándékú felhasználó” – tette hozzá Fóti Marcell.
Oroszi Eszter, a GRID CEE Zrt. tanácsadója szenzitív információk megszerzésére, és az azokkal való visszaélés lehetőségeire is mutat olyan módszereket, amelyek segítségével lényeges vállalati, bizalmas információk birtokába juthat egy támadó. Az előadás demonstrálja továbbá, hogyan alkalmazhatóak a közösségi média eszközei kártékony tartalmak terjesztésére.
A 9:00-től 17:00-ig tartó konferencia a JavaScript felhasználásával kapcsolatos biztonságtechnikai problémákra is kitér. Az Ethical Hacking Konferencia programjainak listája a Netacademia weboldalán érhető el, ahol az érdeklődők online jelentkezhetnek a rendezvényre.
Az okostelefonos alkalmazások a riasztók területén is meghatározók lesznek, állítja Tim Myers, a Tyco egyik igazgatója. 2014-ben a riasztók területén várható fejlődésről szól cikksorozatunk befejező része.
Az új riasztórendszerek már építenek az okostelefonok széles körű elterjedésére. Világszerte egyre több embernek épül be mindennapjaiba az okostelefon. Így arra is használják a készülékeket, hogy távolról betekintsenek otthonukba, és ellenőrizzék a biztonságát. Az IP-alapú eszközökkel ellenőrizhető és irányítható számos otthoni készülék, ezek között a riasztó is. De emellett a fűtés, a világítás és minden árammal működő készülék, akár az elektromos zárak vagy kamerarendszerek is kezelhetők okostelefonnal.
Már a riasztók piacát is elérték a kifinomultabb vezeték nélküli rendszerek. A megnövelt hatótávolság, a csökkentett energiafogyasztás és az adatátviteli módszerek biztonsága az oka a vezeték nélküli rendszerek gyors térnyerésének a nagyközönségi alkalmazásokban. A 128 bites AES titkosításnak köszönhetően már idegen nem férhet hozzá a felhőben a vezeték nélküli rendszerek jeleihez. Sőt, az adatok védettek az erős elektromágneses interferenciától is.
A nagy hatótávolság, a zajtól és más készülékek jeleitől védett eszközök mind-mind a vezeték nélküli riasztórendszerek elterjedésének kedveznek. A hibrid rendszerek – amelyek vezetékes és a vezeték nélküli eszközökből épülnek fel – teljes körűen használják a mobil és az IP-kommunikációs csatornákat, így hajtóerőt jelentenek a piacon, növelve a vezeték nélküli rendszerek népszerűségét.
A követelmények tovább szigorodnak a téves riasztások kapcsán, így a gyártók is egyre újabb megoldásokat találnak ki. Egyrészt maga a hardver is egyre jobb: egyre kifinomultabb érzékelők jelennek meg a piacon. Másrészt az egyes rendszerelemek is segítik a téves riasztások számának csökkentését, így például a kamerába épített mozgásérzékelő jelezésére indul a felvétel, amelyet a rendszer a továbbít a felügyeleti központba, ahol megteszik a szükséges lépéseket. Emellett a hangfelvételek is növelik a biztonságot, a kétirányú audiokapcsolatnak köszönhetően a felügyeleti központban hallják, mi történik a helyszínen és szólni is tudnak az ott lévőkhöz. Illetve rögzítik is a hangokat: 15 másodpercet a riasztás előtt és 10 másodpercet az esemény után.
De a téves riasztások csökkentése érdekében a riasztóközpont programozható arra is, hogy miként reagáljon bizonyos viselkedésekre. A rendszer maga is ellenőrizheti a riasztást, ha például egynél több zónában van mozgás vagy, ha a bejárati ajtó kinyílt, majd egy mozgásérzékelő jelzett néhány másodperc múlva.
Még mindig nagy számban találhatók POTS rendszerek (hagyományos távbeszélő szolgáltatás), de folyamatosan csökken a számuk. Mint ahogy a 2G mobil kommunikáció is leáldozóban van. Már látszik az újabb váltás a kommunikációs technológia területén: megbízhatóságának köszönhetően az IP és GPRS egyre nagyobb teret hódít. Az elemzések szerint pedig nagy ugrás lesz a 4G vagy egyenesen az LTE (Long Term Evolution, hosszú távú fejlődés) térhódítása a biztonsági technológiák terén is.
A felhasználók hozzászoktak a tiszta, felhasználóbarát felületek kezeléséhez, ma már igény van az érintőképernyős megoldásokra. Így az okostelefonok és a számítógépek mellett a biztonsági berendezések esetén is fontossá vált használatuk. A mobil alkalmazásokkal a „bárhol, bármikor elérhető” mellett az érintőképernyők is részévé váltak modern biztonsági iparnak.
Tim Myers, Tyco Security Products, a behatolásjelző-rendszerek termékcsaládjának igazgatója
Forrás: securityinfowatch.com
