[Musica]
quello di cui parlerò è che sono
andando a darti una spina veloce per il nostro
cybercrime Centro ho intenzione di parlare
sull’e-mail aziendale ransomware
estorsione DDoS compromessa e poi il
argomento molto meraviglioso di password che conosco
Ho guardato cose brutte sul
internet per oltre 20 anni e il mio
approccio a questo, ma come un accademico è
data driven che è il gergo per I
raccolgo molti dati e conto le cose
e i dati però che ottengo ottengo
dall’industria sotto varie forme di
accordo di non divulgazione che cosa fondamentalmente
succede è vado a conferenze vado a
fiere commerciali parlo con persone che hanno
dati che bevo con la birra con loro nel
bar fino alle due del mattino e
dopo aver bevuto birra con gente per
un paio d’anni nel bar fino alle due
del mattino pensano che sei
un buon ragazzo e ti danno un sacco
di dati e quindi puoi contarli e
Ho avuto qualche impotente di davvero intelligente
persone i miei co-autori e su tutti questi
documenti ma stiamo iniziando a realizzare
è così che tutti lo fanno
ricerca sulla criminalità informatica e tutti dentro
questo campo ha i propri set di dati che
hanno ottenuto sotto NDA o raccolti in
vari modi e come risultato nulla può
essere riprodotto
nessuno può controllare controllare i miei calcoli
se vieni da me, dici che è un
carta davvero interessante
Richard potrei avere una copia dei tuoi dati
in modo che io possa fare ancora un po ‘di lavoro su di esso
e ti dirò ma l’ho capito
NDA e loro mi diranno bene, dimmi
con chi hai firmato la NDA e non lo farò
bevi birra con loro fino alle due
al mattino e invieranno NDA
con me e poi posso guardare i tuoi dati
oh sono terribilmente dispiaciuto dirò verga
insiste sul fatto che non ho mai menzionato il suo nome
quando e non mi è permesso dirti chi
mi ha dato i dati in modo che tu non possa realmente
controllare che quando ho contato le cose che ho avuto
Finito bene questo non sembra davvero
come la scienza e non sono solo i miei dati
è suo tutti
davvero scienza quindi cosa stiamo facendo
Cambridge è che ho cinque anni di
finanziamento dal governo Ricerca
Consiglio e sei e mezzo di noi
principalmente informatica, ma io ho un
criminologo e Hoff è un
psicologo e il nostro Roach guidato dai dati
sarà eccetera
ci sono delle dichiarazioni di missione su cosa
stiamo davvero facendo è che stiamo tornando indietro
a tutte le persone che ci hanno dato dati e
dicendo non ti piacerebbe darci il
dati in modo tale che possiamo condividerli
con altri accademici prenderemo nel
i dati ci Cállate esso e farne
set di dati utili e quindi supponiamo che tu
persona che apprende automaticamente e tu vuoi
phishing di ricerca hai davvero
buona idea su come rilevare il phishing
siti Web allora puoi venire da me e io
ti fornirà un set di dati o phishing
siti web che non dovrai spendere due
anni che bevono birra fino alle due
la mattina perché posso darti il
dati domani non dovrai imparare
come rettificare siti Web di phishing e
raccogliere raccogliere le pagine web perché
sono solo per poche ore voi
non devi imparare nessuna di quelle cose a
tutto quello che potresti ottenere mi ha dato un dato
e potresti fare l’ apprendimento automatico
domani mattina più posso darlo
dati a qualcun altro che sta facendo
apprendimento automatico e quindi possiamo confrontare
i risultati e vedere quale metodo è
meglio usando gli stessi dati per due
le diverse tecniche non sembrano a
un po ‘più come la scienza no
sembra un po ‘più utile ora
non possiamo rendere i dati aperti non possiamo
renderlo pubblico per tutti i tipi di
motivi, tra cui il fatto che il
le persone che ci danno in realtà vendono
per altre persone me lo danno
gratis perché sono un bravo ragazzo e
bevono birra con me fino alle due
al mattino, ma tutti gli altri deve
pagare per questo in modo che non ce la fa open data
ma possiamo renderlo disponibile agli altri
accademici quindi è quello che stiamo cercando di fare
fare a Cambridge e non è concorrenza
Sono davvero vecchio, giusto per la mia carriera
sta per essere l’ultimo lavoro che ho nella mia
carriera quindi non mi interessa davvero
quanti documenti scriviamo a Cambridge
sì, ho davvero una prima classe
le persone lì stanno facendo di prima classe
lavoro, ma alla fine di cinque anni quando io
prendi il cappello in mano chiedendo soldi in ordine
per mantenere questo senso di correre nel
futuro di cosa parlerò
non è su quanti documenti abbiamo scritto
Cambridge ma quanti documenti accademici
siamo causa di essere scritti attraverso il
tutto il mondo perché abbiamo un nuovo
modo di mettere a disposizione i dati
accademici in modo che possano davvero studiare
crimine informatico e alla fine è per questo che noi
ottenere finanziamenti è perché gli accademici possono
aiutaci a capire i meccanismi e
cosa c’è dietro il crimine informatico così che noi
può fare di meglio a dissuadere in modo che sia
dove sto venendo da se sei un
accademica che è dove si va, al fine di
ottenere i dati e ora sto andando
per parlare di un vero crimine informatico ora io
sto parlando di questo dal punto di
vista dei difensori se sei un attaccante
nel pubblico prendere appunti perché questo
ti dice come fare meglio il tuo lavoro
ransomware è fondamentalmente un programma che
tu corri fai clic su qualcosa e il
programma crittografa tutti i dati sul tuo
disco rigido e devi pagare per
la chiave di decrittazione, al fine di ottenere la vostra
i dati tornano indietro nel 1989
In realtà ho preso uno dei Trojan dell’AIDS
dischi nel post nel Regno Unito che hanno
in possesso di quello del computer
elenchi di distribuzione di riviste e loro
mi ha mandato un floppy di cinque e un quarto di pollice
nel post che aveva un programma su di esso
di cui ho dato uno sguardo alla descrizione
del programma ha deciso che non ho intenzione di
esegui questo se l’hai eseguito, allora lo è
crittografato tutto il tuo hard disk e poi
si doveva fare una donazione a
una carità AIDS e poi ottieni il tuo
dati indietro era fatto davvero male
perché sono memorizzati tutti i
tasti Cripton sul disco rigido così così
in realtà non era molto minaccioso
1996 come e alcuni accademici eccellenti hanno funzionato
fuori come farlo correttamente usando il pubblico
le chiavi in modo che tu debba effettivamente pagare
loro il riscatto abbiamo visto un’esplosione
attività nel 2005 2006 ma la cosa
davvero colpito dai titoli dei ransomware
era il 2013 quando arrivò Cryptolocker
e l’innovazione degli armadi criptati era quella
hanno chiesto i pagamenti in Bitcoin
il che significava che in precedenza se lo eri
andando a pagare tramite una sorta di carte regalo o
facendo una donazione PayPal o altro
quindi è stato davvero facile per la polizia
perché potevano semplicemente seguire i soldi
ma il bitcoin è un po ‘più difficile da seguire
i soldi e le persone che hanno scritto
cryptolocker ha messo tanto, tanto impegno
nel loro supporto clienti va bene se
hai pagato se paghi il valore predefinito
cryptolocker quindi avrebbero bussato
se stessi fuori mandandoti a mangiare scambiando
email con te che ti aiutano a capire
come essere in grado di decodificare i tuoi dati
tenendo la mano fino in fondo
assistenza clienti esemplare e il
la ragione per cui l’hanno fatto è stato allora
chiunque avesse pagato avrebbe detto tutto loro
amici se paghi otterrai i tuoi dati
indietro che è molto forte
raccomandazione e molte persone pagate a
molte persone vogliono i loro dati indietro
compresi lotti i dipartimenti di polizia
chi scrive e dopo il successo di
cryptolocker
chi ha fatto un paio di milioni di dollari allora
abbiamo visto molte e molte varianti
centinaia e centinaia di loro
ogni tuo determinato giorno di molti dei tuoi
lo spam e-mail è quella cosa che non fai
fare clic su è in realtà il ransomware ma
molto di esso non funziona correttamente così tu
pagato non saresti in grado di decifrarlo
perché loro perché hanno incasinato
il loro codice, perché i cattivi sono
peggio di scrivere codice rispetto ai bravi ragazzi
e questo sta davvero dicendo qualcosa e
qualcuno è mal progettato per te
non devi pagare comunque andare e avere un
non guardare più cane da riscatto , dove vari
famiglie di ransomware ci sono
in realtà strumenti per sbloccare tutto il
roba perché sono competenti quanto
il ragazzo dell’AIDS in termini di realtà
producendo un sistema in cui devi pagare
quindi come evitiamo il ransomware
Io uso un sofisticato sistema anti-spam
scusa la tua copia di spammer
in cui sei attivo dal 1998
non lo taglierà più hai bisogno di fantasia
sistemi di apprendimento automatico e così via se
stai ricevendo la tua email tramite Google
Yahoo Hotmail qualunque cosa siano
correre un sacco di macchine molto fantasiose
imparare e molte cose sono
nave filtrata se stai usando
qualcosa di non buono come quello allora
il ransomware riuscirà a passare puoi correre
qualche antivirus e il problema è con
l’antivirus è che i criminali modificano
il loro malware fino all’antivirus
non lo rileva e quindi lo spediscono
così e poi l’antivirus avrebbe recuperato
il giorno dopo o due, quindi se lo sei
davvero lento a rispondere alla tua email allora
l’antivirus è una buona soluzione altrimenti
lui non ti aiuta affatto
non è stato possibile fare clic sugli allegati con a
un po ‘ di allenamento la cosa principale su
la formazione è che lei spiega i rischi
alle persone e come effettivamente individuare
email leggermente più sospette di
altrimenti, ma in realtà non aiuta
perché molti posti di lavoro sono
ricevere documenti e cliccarci sopra
quindi dire loro di non fare clic su di loro è
non molto buon consiglio davvero quello che puoi
non è dare a tutti nella tua compagnia
accedere a ogni singolo ogni singolo
condividere ogni singolo file del disco che tu
proprio io se tu non puoi potresti dover leggere
alcuni alcuni dati dal resto del
compagnia che non devi necessariamente
scrivilo e se non puoi scrivere il
Il lavoro di riscatto su cui fai clic non può
scrivi così se l’account è crittografato
e se hai un database non metterlo
su Internet aperto le mie persone che hanno
MongoDB il mio Sikh o qualsiasi altro sistema
senza password su Internet aperta
i cattivi scansionano internet e trovano
loro e poi li cifrano e poi
ti mandano da qualche parte a chiedere un
domanda di denaro il problema è che c’è
un sacco di persone che fanno questo così tuo
Database MongoDB che si sta seduti
Internet non appena sono persone
individuato siamo tutti criptati e che sarà
ottenere crittografato dieci volte
per colazione e avrai 10 richieste
per soldi e dovrai farlo se vuoi
per riavere il database MongoDB
dovrai pagare tutte e 10 le persone
e quindi decrittografarlo nel giusto ordine
quindi c’è un po ‘di pensiero pratico
a proposito di ransomware ransomware è un
problema di continuità aziendale è lo stesso
minaccia ai tuoi dati mentre mi sto versando a
bicchiere d’acqua su questo portatile è il
stessa minaccia di un dipendente canaglia che
non come te
cancellando molti file il venerdì
pomeriggio o venerdì sera perché
sanno che stanno andando a essere in licenziato
il lunedì mattina è la stessa minaccia
mentre il tuo edificio sta bruciando è il
stessa minaccia del tuo data center della morte
essere inondati ha già detto di chiedere
la gente a non fare clic non è un bene
soluzione ma hanno effettivamente bisogno di a
copia della parola puoi dargli WordPad
invece hanno effettivamente bisogno del
scripting abilitato in PDF giusto se il tuo
Adobe Reader ha abilitato il turno di JavaScript
fuori e la vera soluzione per un ransomware
sono i backup ma i backup non possono essere
online perché altrimenti il ransomware
può andare e crittografare anche quei backup
e sono preferibilmente fuori sede il
ragione per cui raccomando i backup off-site
in parte perché se l’edificio brucia
giù quindi probabilmente stanno bene ma
la ragione veramente importante è mentre
potresti guidare per andare a prendere il
backup e il gioco è di rientrare a
ufficio starai pensando a cosa
hai intenzione di fare e potrebbe solo
possibilmente ti capita nel tempo come
stai tornando in ufficio, lo farai
essere davvero una buona idea per essere sicuro
ti sei sbarazzato di tutti quelli di cui ti sei sbarazzato
tutto il malware prima di caricare il
backup e li hanno ri-crittografati come
beh, va bene così pensando a cosa
hai intenzione di fare è l’ input è un
importante quando si tratta di backup in
una situazione di emergenza come avere il
backup in primo luogo e fondamentalmente
non si dispone di un backup a meno che non hai
testato che funzioni
e hai ripristinato un file da esso su a
regolarmente ed è tornato a posto
Va bene, molti sistemi di backup dicono di sì
Ho scritto i backup e quando vai
e prova a leggerli che non puoi leggere
loro vanno bene e fondamentalmente se tu
non esercitarti , sarai molto lento
ransomware di minaccia reale
non è che i tuoi dati vengano crittografati ma
i tuoi dati non sono disponibili per uno o due
giorni perché stai imparando come fare
ripristini impara come fare i ripristini
prima starai molto meglio
forma così ora parlerò di affari
compromesso via email e quello importante
di questi è davvero il più costoso
la fattura falsa quindi ho lavorato su un a
caso in cui ho effettivamente fornito esperto
prove a un tribunale su questo alcuni
la gente in Indonesia che ha estratto il carbone venduto
carbone a una società in Tailandia che ha fatto
scatole di cartone hanno bruciato il carbone
allontanare l’acqua dalla polpa di legno
per fare il tappeto di cartone
scatole e poiché hanno fatto un sacco di
scatole di cartone avevano bisogno di un sacco di
carbone quindi hanno organizzato hanno firmato a
contratto per comprare tre barche di
co-lineare dall’Indonesia e il primo
la spedizione alzata stava per arrivare
a metà marzo quindi alla fine di
Febbraio il popolo in Indonesia ha inviato un
fatturare le persone in Tailandia e loro
erano società multinazionali quindi loro
volevo il denaro versato a una banca in
Amburgo e 12 ore dopo hanno inviato
un’altra email che dice scusa se lo siamo
avere un po ‘di problemi con i nostri servizi bancari
ad Amburgo potresti davvero pagarlo
la nostra banca a West London invece così loro
continuato a scambiare e-mail su
spedizione di carbone di disputa sul
valore calorico c’era questa disputa
circa i tempi dello scarico e così via
avanti e alla fine il carbone si presentò
al Porto Inn in Thailandia per essere
scaricato e la gente in Indonesia
disse
ma non ci hai ancora pagato e il
la gente in Tailandia ha detto che stiamo avendo un
un po ‘di problemi con la nostra banca
va bene in un attimo e la gente dentro
La Tailandia così era la gente in Indonesia
non volevo ritardare lo scarico
perché hanno ritardato in passato quando
c’è un problema con la banca e
c’è stata un’enorme disputa per settimane
e settimane su chi fosse andando pagano il
soldi extra per la nave che si era seduta
circa da quattro a sei ore invece di
scarico quindi hanno detto no perché scaricare il
carbone sono buoni per questo e per quello
puntare una e-mail alzata dalla banca
mostrando che il denaro era stato pagato per
le due West London e la gente dentro
L’Indonesia ha detto perché hai pagato i soldi
a una banca di West London lo vogliamo pagato
ad Amburgo e poi hanno avuto un sacco di
problemi di comunicazione tra loro
per circa per diversi giorni perché e-mail
non sembra funzionare più e loro
finito per dover utilizzare gli account Gmail
e portatevi l’un l’altro perché
ha restituito quello scrittore al
iniziare qualcuno a Lagos e lo so
era Lagos perché ho guardato il
intestazioni di qualcuno a Lagos aveva inviato il
seconda fattura che era completamente
fraudolento ma l’avevano spedito da un
nome di dominio che sembrava loro
multinazionale ma non aveva un piuttosto in esso
di un O e quando la gente dentro
La Tailandia aveva risposto che l’e-mail era stata
consegnato al popolo in Indonesia ma
invece di avere un punto il nome di dominio
aveva il nome del dominio TV dot e per
le tre settimane seguenti hanno avuto
e-mail scambiate perché in affari voi
ho appena risposto alla email precedente
prendi queste lunghe catene di email e l’uomo
a Lagos era stato copiato tagliando e
incolla tra le due cose il tutto
tempo e una volta che hanno i soldi loro
smesso di tagliare e incollare e quello è
motivo per cui la è per questo che l’e-mail
la comunicazione si è rotta dopo la frode
è stato scoperto infatti li ha presi di più
di una settimana per capire che era una frode e
non un errore e questo lo sapevi che è
una storia divertente
e un attacco man-in-the-middle e it
ha funzionato davvero e questo era tre milioni
dollari 90% dei costi di un carico di nave
di carbone
Ho visto altri casi che coinvolgono un
milioni di dollari di olio di palma e
l’FBI ha calcolato che questo è costato
Da allora circa tre miliardi di dollari
Gennaio 2015 questo è un grande business falso
fatture che vengono sostituite direttamente al
il fondo di tutto questo è al compromesso
di un sistema di posta elettronica in modo che il
i truffatori possono vedere la fattura reale e
quindi possono farne una copia e
cambiare i dettagli bancari sono meno
forma importante ma ancora dannosa di
a volte l’attacco viene chiamato frode dell’amministratore delegato o
frode del presidente, quello che succede è quello
sei venuto a una conferenza come
questo e il tuo reparto contabilità
una e-mail da te che dici per favore paga il
fornitore che ho dimenticato prima di partire per dirlo
su questo prima che io lasciassi il
conferenza non mi porta il mio telefono
spento perché sono in tutte le sessioni
mattina ma è davvero importante che paghiamo
questo entro la fine della giornata, per favore gioca
20.000 euro al fornitore e spesso
vedi il look-like il mains qui come
ben o tipi molto simili di Gmail o
Yahoo o qualsiasi altra email del nome dell’account
dice che questo non è tre milioni
dollari ma ugualmente ventimila
gli euro sono molto dannosi per molti piccoli
le imprese quindi come possiamo evitarle
tipi di frode bene se si parla di
techies diranno bene andiamo
controlla l’ email in arrivo per look-alike
domini si puoi farlo è un po ‘
complicato da fare puoi applicare Demark
puoi controllare se l’e-mail è o meno
è stato forgiato o meno il
Deccan le firme sul pass email ma
i cattivi possono sistemarsi in modo identico
domini e impostare SPF e DKIM e ottenerlo
giusto e probabilmente lo fanno meglio
di quello che sei è possibile bandiera e-mail in cui
la risposta a è diversa da
questa è una cosa utile da fare perché
raccoglierai ogni sorta di strano
cose se lo fai potresti impostare il tuo
client di posta elettronica in modo che mostri il bit in
le parentesi angolari per la tua email
indirizzo che è molto utile
molti dei sistemi di posta stanno iniziando a
cambiare per impostazione predefinita per te ma
è ancora un problema su mobile perché
tende a non essere spazio sullo schermo
per mostrarti quel dettaglio e oltre
che come la storia con le O in the
A spiega che può essere molto difficile
scopri che le cose sono state
cambiato
email di etichettatura che proviene da fuori
la compagnia è utile perché se la tua
Il CEO utilizzerà normalmente il
sistema di posta interna e improvvisamente il
e-mail si trasforma fino dall’etichettatura di fuori
è abbastanza utile che puoi scherzare
con cose come PGP e s / mime questi
sono tutte le tecniche che gli Aleutine non hanno
lavorare in modo così pratico a pensare
email aziendale compromessa prima di tutto
concordare la banca su quali conti bancari
saranno utilizzati per il primo giorno
quando firmi il contratto non hai
il contratto dice paga così mia nominata
conto bancario hanno i contratti dire
esattamente quale conto bancario sta per
essere usato se hai intenzione di comprare una casa
d’accordo con il tuo avvocato il primo giorno
dove stanno andando i miei conti bancari
essere utilizzato per il trasferimento dei soldi
perché altrimenti che ventimila
euro può fare la differenza tra così
starai con la vita per molti anni
e dopo aver concordato la loro banca
conto non permettono di essere cambiato da
l’e-mail insiste che le persone scrivono reali
lettere su veri pezzi di carta e segno
li in fondo o si presentano di persona
e parlare di nuovo con l’avvocato per
cambia i dettagli per la maggior parte del tempo
non è mai necessario modificare i dettagli
ma certamente non hai bisogno di essere in grado
a cambiare la mia e-mail se proprio deve
consentire alle persone di modificare i dettagli tramite
e-mail quindi controlla una band con la quale
Voglio dire, vai allo schedario
cercare il numero di telefono della persona e
chiamali e dì di dire che hai mandato
questa email hai davvero voluto cambiare
il conto in banca non fa quello che uno
di quelli che ho consultato
ha fatto con chi ha ricevuto l’e-mail con
cambio di dettagli su e loro prontamente
ha risposto e ha detto sei sicuro e
i criminali hanno detto si va bene così
non usare il numero di telefono dall’interno
l’ e – mail va allo schedario e
condividi queste storie con i tuoi compagni I
parlato di questo alle cene
perché la gente non conosce questa frode
va avanti e se avete sentito parlare di esso si
potrebbe in realtà potrebbe essere in realtà
in grado di individuarlo quando sta accadendo
tu e fare qualcosa a riguardo potresti
essere in grado di lamentarsi con il tuo avvocato quando
stai comprando una casa che non abbiamo noi
non ho concordato
no, stai solo scuotendo casa per uscire
la porta e tu dirai ma non abbiamo
accetto il conto in banca tutto bene
Probabilmente hai bisogno di un nuovo avvocato, ma potresti farlo
concordare il conto bancario a quel punto ma
La cosa veramente importante è necessario
fare tutto questo è necessario potenziare
il tuo account Dipartimento di dire no no
ordine di acquisto nessun pagamento e paga il tuo
account persona un bonus quando individuano
la frode e pagare i tuoi conti partono
Conti reparto un bonus quando loro
resistere al CEO anche quando in realtà
è l’amministratore delegato ok nessun ordine di acquisto no
il pagamento segue le procedure e questo va
è quando le persone cercano di essere d’aiuto
e scorciatoia per ottenere questa frode ora
potresti ricevere un’email come questa è una
E-mail di estorsione DDoS dice che siamo a
modder collettivo o squadra di lucertola o
orsetto o qualsiasi altra cosa e dice il tuo
la tua rete sarà ddosed se
non ci pagate dieci Bitcoin cinque
Bitcoin o 100 Bitcoin o sai
per quanto pensino che tu stia bene
va bene se non si paga immediatamente
alzeremo il prezzo questo non è un
Scherzo, mi distrarrò
gli attacchi sono estremamente potenti andare via
e Google noi se paghi non lo diremo
chiunque tu abbia pagato è tutto Bitcoin è
Sono anonimo e sono così
minacciandoti e cosa succederà dopo
niente di tutto questo
in passato ci sono state persone
chiamato collettivo Armada e sì nel
dopo hanno fatto d– dosi dopo questo
ma la maggior parte di quelli che vedi ora sono
solo persone che ci provano sperando che tu lo faccia
pagare se non si paga nulla succede se
sei molto sfortunato se sei europeo
banca nell’ultimo paio di settimane allora
avrai un DDoS di un’ora contro il tuo
sito Web se non si nota nulla
altrimenti accadrà mai così la mia pratica
consiglio qui su estorsione d-list è sotto
nessuna circostanza qualunque paghi se tu
cura di ottenere l’ ora DDoS
contro il tuo sito web, quindi il tuo sito web è
non disponibile per un’ora, poi lavoraci
fuori prima che tu ne abbia mai visto uno
di queste e-mail e comprati a
servizio che proteggerà contro questi
attacchi e ottenere una garanzia di cosa
il lato positivo in modo che se non lo è se lui
va giù puoi almeno rivendicare su alcuni
assicurazione o qualcosa di buono in sostanza
se ti interessa che i DDoS facciano qualcosa
su di esso perché è necessario eseguire il tuo
lavoro correttamente se non ti interessa
su DDoS non fare caso a questi
messaggi di posta elettronica è utile se si ottiene uno dei
queste email di condividerlo condividerlo con
la polizia lo condivide con la polizia
con il tuo ente commerciale se la tua banca o
qualcosa del genere perché quello che loro
lo faranno saranno raccolti tutti
le e-mail condivise e si confronteranno
loro se tutti i portafogli Bitcoin sono i
lo stesso è sicuramente un falso tutto bene il
punto centrale su un modello collettivo
sapevano che tutti avevano un altro
Portafoglio Bitcoin e hanno mantenuto un sacco di
osserva in modo che possano sapere chi ha avuto
pagato solo vedendo se i soldi si erano trasformati
nel loro Vic
portafoglio così è utile guardare qui
anche se le persone pagano e non lo fanno
Davvero sciocco non pagare se le persone pagano
allora se c’è abbastanza denaro che scorre
in giro poi bitcoin è un po ‘di più
tracciabile rispetto a quando le persone immaginano
se in realtà non capiscono come
funziona e come fare in modo che bitcoin è
non rintracciabile quindi segnalalo ma non farlo
paga, quindi ora parlerò
password ora questo è il tradizionale
modo di parlare delle password che diciamo
Supponiamo di avere una cassaforte e c’è un
codice a quattro cifre su di esso ci sono 10.000
combinazioni possibili quanto tempo fa
prende per aprire la cassaforte e si potrebbe essere
fortunati e ottenere il primo si va
potrebbe avere 9999 guasti e
poi lo apri ma in media ci vuole
cinquemila tentativi di aprire questa cassaforte
quindi se ci vogliono dieci secondi totali
numeri ci vorranno tredici ore
per aprire la cassaforte in media se ne hai
sei cifre ci vorranno otto settimane per
apri la cassaforte se invece di quanto nulla
alle nove hai un a Zed poi lo farà
prenditi ventisei giorni per aprire il
sicuro se è sei fuori quattro caratteri
sono 49 anni se hai se scegli
dalle brigate a Zed dei loro piccoli
laser, non ce n’è a nove che prenderai
Hai 34 milioni di anni per aprire quella cassaforte
questo è il modo tradizionale di pensare
sulle password e la forza bruta e il
fornitori di password per computer perché
cosa succede con la password del tuo computer
è che si digita la password e
quindi la Macchina confronta ciò che hai digitato
con il segreto memorizzato ora se tu
tieni le tue password in chiaro come te
può fare un confronto diretto che
puoi inviare una buona password
ricorda che hai pensato la mia password
e su e-mail e indicare cosa
ti dice che cosa è veramente
utile ma questo non è terribilmente sicuro
quindi risale al 1963
il suggerimento era che dovresti usare a
hash a senso unico, quindi quello che fai è schiudersi
il segreto e poi quando il valore gira
fai un altro hash crittografico e
controlli una corrispondenza esatta dal 1991
stavano usando 25 round di dati
standard di crittografia più recentemente di
che le persone hanno usato la shell md5 sha-1
t56 si nome potrebbe essere usato perché
l’ idea è quella di invertire questi hash
è impossibile
ecco perché è un hash crittografico
questa è una delle proprietà del
hash crittografica non è possibile invertire
ma puoi forzarlo a forza, così puoi farlo
l’equivalente di giocherellare con i numeri
sulla cassaforte quindi se vai e compra
te stesso un NVIDIA GeForce 8800 ultra
va bene che scelgo a caso altri
altra rete sono le altre schede grafiche
disponibile che farà 200 milioni di md5 s
un secondo quindi se hai quel eh-2-zed
Poco dopo ho detto di non 9 lunghezza 8 poi
invece di prendere 36 milioni di anni
e dieci secondi ogni ipotesi perché
stai facendo 200 milioni di ipotesi a
secondo
ti porterai sei su un sei punto tre
due giorni in media per capire cosa fosse
il segreto che produce questo
particolare hash MD5 così veramente buono
cose
GPU puoi farlo e ovviamente se
lo farai in questo modo
rompendo puoi paralizzarlo che puoi comprare
un sacco di Nvidia etc e li metti in lotti
di macchine diverse e ognuna di esse
affronterà un bit del problema, quindi se
compri sei carte grafiche da tre punti
puoi rintracciarlo in un giorno ah e tu
può anche dare risalto ai compiti, quindi se tu
in realtà non può permettersi una grafica costosa
carte come quelle che puoi effettivamente puoi
espellere compiti di macchine diverse e
ognuno di loro può andare alla propria velocità
e fai cose che puoi persino fare a
casuale a destra puoi scartarlo
tutto questo pubblico qui e prendine ciascuno
e dire – invece di
ognuno di loro un piccolo blocco e poi
fidandoli fidandosi di tutti nel
il pubblico ha il suo piccolo pezzetto
del cracking per cui potresti solo dire
tutti fanno casualmente perché
qualcuno avrà la risposta giusta a
casuale ad un certo punto e non lo fa
importa se le persone imbrogliano e no
effettivamente fare il lavoro
perché qualcos’altro farà il lavoro
invece evita anche tutto il
costi di comunicazione è così casuale ricerca
un bel modo di fare attività parallele
quindi la solita metrica quando stiamo parlando
su cracking password in questo modo è il
numero di hash che puoi fare per dollaro
e credimi in questi giorni puoi fare un
orribile sacco di hash per dollaro
in alternativa non devi fare il
parallelizzare in questo modo quello che puoi fare
puoi provare un piccolo numero di
password contro molti molti account in
parallelo perché a volte no
importa quale password crei come
molti si spezzano e se non hai riparato
non hai ancora fatto la patch per la tua
il tuo sistema Linux per il Cal sporco
vulnerabilità si crack qualsiasi password e
puoi promuoverti fino a radicare tutto
giusto così crollare solo una password può
essere sufficiente e non devi
correggere tutti o qualsiasi particolare
Va bene così è parallelo
cracking con fantastiche carte GPU in
il mondo reale il modo in cui creiamo
le password sono così qui
Richard uno con un punto esclamativo e
uno che è una password davvero forte
Libre è la md5, quindi posso prenderlo
MD5 e io possiamo eseguirlo contro di più
potente sistema di cracking del pianeta
e posso rompere quella password in questo modo
perché lo inserisco in Google e lì
ci sono cinque siti lì tutti che lo faranno
darti che quello che md5 è il risultato
di hashing richard vinto con un
punto esclamativo e un punto esclamativo
marchio
ok, ci sono molti di questi siti lì
a volte vengono chiamati
i siti di tavole arcobaleno sono i fatti
arcobaleno non proprio tecnicamente corretto
le tabelle sono un modo per ridurre lo spazio di archiviazione
requisito per il tipo di cracking
sono solo semplici siti di hash
ma ce ne sono un sacco
Là
e in particolare per MD5 è così
il modo migliore per decifrare le password su a
moderno sistema moderno non solo in
Per proteggere se stessi contro questi
tabelle hash saliamo le password così noi
aggiungi un valore casuale alla password e
allora abbiamo hash e ciò che significa è
non puoi farla franca con un solo hash
tabella di cui hai bisogno per le tabelle
ogni password e per i bit di s nel sale
e non c’è ragione per cui tu
non è possibile utilizzare 32 o 64 bit di sale
quindi fondamentalmente salatura rende questi hash
tavoli quasi inutili alcuni di solito cosa
tu fai è immagazzinare il sale in
testo in chiaro vicino al piatto
hash password molto occasionalmente per molto
lunghezze saline corte potresti effettivamente
disegnato per sedersi a una convalida della password
tempo ma fondamentalmente lo memorizzi lì
questo significa che se le persone rubano il
i file delle password ottengono anche i risultati
la tendenza moderna non è usare le cose
come md5 sha-1 e così via ma da usare
funzioni speciali di hash che
sono progettati per funzionare molto lentamente anche
su hardware o GPU personalizzati e principali
il modo in cui ciò viene fatto è di
facendo in modo che facciano molti e molti
legge e scrive di memoria come parte di
l’azione della funzione hash perché
la memoria che accede alla memoria è carina
la cosa più lenta che si possa fare può
fare sul tuo computer grandi quantità di
la memoria deve andare ai veri chip
questo richiede molto tempo e questi e
questi sistemi tendono a essere sintonizzabili per te
puoi selezionare quante iterazioni vuoi
per darti la tua performance
bisogno se sei solo fuori convalidare
password ogni 20 minuti che puoi
permettersi di trascorrere un bel po ‘ di tempo
convalidare ciascuno e i nomi a
cerca le nostre funzioni di hash come bcrypt
e Argon 2i quindi qual è il pratico
pensando qui bene alle password
prima che io possa darti qualche cosa di pratico
pensando alle password che ti servono
capire il tuo modello di minaccia proprio tu
non può valutare una soluzione di sicurezza
a meno che tu non sappia cos’è il modello di minaccia
quindi tutti voi dovete chiedervi di essere il
attaccanti online gli attaccanti o
gli attaccanti offline saranno
rubando il mio file password e poi facendo
il cracking sul proprio kit dove loro
può paralizzarlo quanto vogliono
giusto o devono presentarsi e
effettivamente indovina presentando una supposizione a
il tuo sistema sono gli attacchi mirati o
se l’utente non vince, l’attaccante può vincere
come se si creino una password particolare
o vincono se rompono più di X
percentuale delle tue password o vincono
se creano una password sul tuo
sistema a tutti quanto hai intenzione di
imporre ai tuoi utenti posso farti il
puoi insistere su una lunga password possibile
insisti sull’uso di molti
set di caratteri diversi e quattro
diversi emoji puoi avere il
casa di sistema applica la password e
le persone hanno solo ricordarlo
quanto impongono anche alle persone e lo sono
voi aggressori
locale o remoto con cui intendo sei tu
proteggere la tua password contro il tuo
sorellina o contro qualcuno nel
Ucraina perché se stai proteggendo
la tua password contro la tua sorellina
poi scrivendolo e inserendo un
il pezzo di carta nel tuo portafoglio non è un
buona soluzione perché quando vai e
fare una doccia
la tua sorellina può leggerti
password ma è molto difficile per
qualcuno in Ucraina per leggere un pezzo di
carta che si trova nel tuo portafoglio
e anche se ti fanno schifo per strada
vengono soprattutto dal
Ucraina e mug ti al fine di ottenere il
pezzo di carta dal tuo portafoglio lo farai
sappi che è successo e quindi tu
può fare qualcosa al riguardo va bene così
quando diciamo non scrivere le password
questo è davvero un consiglio stupido il consiglio
è non scrivere password in giallo
note adesive e metterle sul monitor
destra
ma scrivili e mettimi il tuo
portafoglio che è semplicemente fantastico e l’altro
la domanda da porsi riguardo alle password è il perché
non stai usando due fattori così?
ultimo consiglio sulle password che escono
le nebbie quest’anno dicono di dimenticare tutto questo
roba sui set di caratteri divertenti preoccupati
circa lunghezza maggiore della non meglio otto
personaggi troppo corti
preferiamo 12 16 cose di 20 caratteri
non cambiare le password ogni mese
o ogni tre mesi solo perché tu
posso lavorare con una grande azienda che ho
ho lavorato con loro per sette anni
possono insistere che ho cambiato la mia password
ogni sei mesi quindi la mia password ora ha
un 14 in esso
lo fanno tutti, mi dispiace
tutti ridono perché
è vero
non rende nessuno più sicuro
la ragione per cui vuoi avere il
unica ragione per cui vuoi avere dei cambiamenti
le tue password su una base di tempo è
perché sai che i cattivi sono
rubando la tua password ogni tre
mesi se è possibile se il cattivo
ragazzi stanno trovando la tua password ogni
tre mesi hai bisogno di una correzione diversa
non cambiare le password va bene ricorda
quello per gli attacchi offline è il limite
quanti soldi ha il tuo attaccante o come
molti quanto grande è una botnet su cui possono costruire
fai tutto il cracking in parallelo a destra
ma online si arriva a impostare i limiti così
assicurati che il tuo sistema ne imposti alcuni
limita tutto bene dopo n tentativi dove n
è pop che è circa cinque volte fuori no
più indovinare la password per un minuto o
un’ora o qualsiasi altra cosa va bene meglio
di quello è farlo in modo esponenziale
più lentamente è quello che fa il mio telefono, se tu
continua a sbagliare la password
perché sei drogato
dopo un po ‘saranno cinque
dieci minuti prima puoi solo fare
un’altra ipotesi che indica che potrebbe verificarsi
a te aspettare che tu sia sobrio prima
digitando la password e i limiti
deve essere se si sta impostando un sistema
hai bisogno di limiti per account se qualcuno
sta attaccando un account in particolare e
anche perché potrebbero attaccare tutti
dei conti in parallelo è necessario
avere limiti per indirizzo IP e potresti
voglio solo avere limiti all’ora a
trattare con una botnet in questo se solo tu
se normalmente ne vedi solo 20
tenta di arrivare al tuo
sistema al giorno e improvvisamente hai avuto un
migliaia negli ultimi 10 minuti e
forse sei sotto attacco e forse
vuoi cambiare cambiare cosa sei cosa
la tua posizione è così che fanno i criminali
bene se dai un criminale o una password
spegni perché
il tuo sistema non è sicuro allora lo faranno
forza bruta le password se il
le password non sono crittografate che non lo fanno
impiega molto tempo se non è salato
allora forse possono semplicemente fare una ricerca
usa Google per scoprire cosa sono
le password sono altrimenti capiscono
quello che le persone fanno è che sostituiscono le O
dagli zeri sostituiscono gli occhi di
punti esclamativi cambiano saggi
in dollari e attaccano i numeri
alla fine in modo che indovinino effettivamente le password
prendendo un dizionario e loro mangiano
tutte le parole che usano quel tipo di
sostituzioni e poi indovinano quelli
quindi se pensi di aver fatto il tuo
password sicure da uno di quelli
sostituzioni che hai fatto molto
differenza dispiace tutto bene
una volta che hanno infranto una password , la usano
ovunque così dopo il tuo ora hai
Yukon shopping online per quattro istruttori
e le persone che vendono i trainer hanno
il loro sito Web è stato compromesso come conseguenza di
quale tuo login perché ovviamente tu
dovevano avere un nome utente e una password in
per andare a comprare alcuni istruttori
ovvio il tuo nome utente e la password è
ora fuori nel vento e le persone possono usare
e proveranno ad accedere a skype
proveranno ad accedere alle banche
proveranno ad accedere a Facebook che erano
prova ad accedere al tuo account e-mail a
vedere se hai usato lo stesso o no
password lì e la maggior parte delle persone lo fa
per fortuna i buoni sono anche
raccogliere tutti questi file password
e sono anche brute-forzando tutto
le password e cosa faranno allora
è si andare a controllare i loro sistemi
e se quella password è stata utilizzata su
il loro sistema con lo stesso identificatore
lo stesso indirizzo e-mail quindi lo faranno
forzare la modifica della password in modo errato
con la password cambia cosa c’è che non va
lo faccio solo ogni tre mesi no
importa cosa costringeranno la password
modifiche e potrebbero effettivamente se lo sono
molto intelligente
loro provvederanno anche a che tu non possa mai usare
quella password su quel sistema mai più
anche se non lo stai usando al
momento perché molte persone hanno un piccolo
set di password che usano dappertutto
il posto e loro girano in bicicletta quelli intorno
e vuoi organizzare che non lo facciano
quella password non funziona mai perché è
stato compromesso e per darti un’idea
di quanto siano davvero deboli le password nel 2012
LinkedIn il loro database è stato compromesso
e i bravi ragazzi sono andati a pezzi
via ha avuto il set di dati di LinkedIn e oltre
Il 90% delle password per LinkedIn sono
ora noto ora che non è molto forte
risultato perché LinkedIn non uso un
password molto potente su LinkedIn perché
Non mi interessa in un modo o nell’altro
non è la mia banca, non è la mia email
va bene, quindi non lo usiamo tutti
password molto potenti su LinkedIn ma
anche le persone che pensavano di essere
utilizzando password complesse la maggior parte di loro
non erano così alcune verità scomode
sulle password se ci stai provando
proteggere le cose se vedi sbagliato
password un paio di volte e poi il
quello giusto è il vero disboscamento umano
se la password è sempre corretta è
provengono da un telefono cellulare se la password
è sempre sbagliato viene da un cellulare
telefono che non è configurato correttamente
tutto bene hai bisogno di bilanciare il blocco se
il cattivo arriva e fa molto
suppone che tu non voglia bloccare il
utente reale perché lo farà l’utente reale
vieni a gridare se ottieni una chiave
logger sulla tua macchina, allora è game
al di sopra di
tutto ciò che scrivi è noto al cattivo
ragazzi se una password di testo chiaro parola chiave
il file è compromesso è molto game over
veloce e anche se è salato e
criptato ricorda che LinkedIn è carino
molto gioco se hai perso il tuo
file di password ogni si deve presumere che
tutte queste password sono
i gestori di password compromessi sono un bene
molto avanti ma se prima hai un
passato preferito prendi il tuo preferito
password manager and go Google con
accanto alla parola violazione della sicurezza e
scoprirai che la maggior parte di loro ha
i problemi riassumono così quello che sono stato
parlando di prima avevo avuto un
panoramica rapida su cosa stiamo facendo
Cambridge per renderlo più facile
altri accademici per contare le cose che ho parlato
su ransomware eseguire il backup dei dati
pratica di ripristino è ransomware a
problema di continuità aziendale di cui ho parlato
l’e -mail commerciale ha compromesso la correzione lì
è potenziare il tuo dipartimento contabilità
per dire di no e so che molti di voi pensano
il tuo account dipartimento dice ora tutto
il tempo comunque, ma questi sono dire di no
l’amministratore delegato così come a voi DDoS si ottiene
un tentativo di estorsione ignora di no
importa se ti interessa davvero comprare DDoS
un servizio per proteggere te stesso e
le password devono essere hash e
salato cambiale solo quando ne hai bisogno
e se sei un utente usa una password lunga
e non riutilizzare quelli importanti per il tuo
email e bancarie in qualsiasi altro luogo e nel mondo
complessità tutto ciò che riguarda circa 36
milioni di anni aperti come sicuri
è priva di significato prestare attenzione al
modo in cui sono effettivamente le password
attaccato perché è quello che realmente
importa tutte le cose interessanti che facciamo
Cambridge abbiamo messo su quel blog vuole
saperne di più sul Centro del crimine informatico
URL è lì grazie mille
[Applausi]
[Applausi]
[Musica]
il primo che era circa la
allegati cui parlavi in
l’inizio quindi cosa ne pensi
eseguire gli allegati nella scienza isolata
molti contenitori è una soluzione tecnica
sì che funziona è difficile da fare
raggiungere ci sono alcuni prodotti fuori
lì che stanno cercando di farlo se
vai e guarda un’azienda adulta
come dire Google , lo scoprirai
avere una grande enfasi sulla spinta
tutto in Google Documenti perché il
sorta di cosa che rende la tua copia di
la parola cade e tende a essere compromessa
non compromettere Google Documenti così là
sono alcuni modi per andare avanti qui in termini di
sandboxing e così via, ma per la maggior parte
persone a cui si sta sforzando molto
per affrontare quello che davvero
avremo bisogno di sapere se è necessario
capire il tuo flusso di lavoro capire quando
che si sta per ottenere documenti dal
colleghi che cosa stanno andando a guardare
come e così via e in fondo
capiscilo e se è fuori dal
ordinario non fare clic su di esso, poi c’è
un sacco di domande in arrivo
le password qui così qualcuno chiede come
sviluppatore se ho salvato l’hash
password e l’algoritmo è
compromesso cosa dovrei fare se dovessi
chiedere a tutti gli utenti di cambiare la password e
hash con un altro algoritmo o e
non sarebbe meglio salvare le password
usando la crittografia reversibile il meglio
cosa è da considerare Let’s Release
sottolinea che non dovresti essere se
stai usando il tuo hash speciale per
password di hashing allora sei nel
stato di peccato non farlo bene
producendo funzioni hash così è davvero
il lavoro è spettacolarmente difficile anche il
NSA il motivo per cui è sha-1 è perché
loro producono Sean Nulla prima e così
non ha funzionato nemmeno io l’NSA può averle
cose sbagliate in generale
applichiamo le leggi di kirchoff qui fondamentalmente
diciamo che devi aspettarti che tutti i tuoi
il codice diventa pubblico molte persone qui
profondamente a favore del consumo di coca cola
devi aspettarti che il tuo codice diventi
pubblico è i segreti che ti proteggono
tieniti al sicuro solo perché hai un hash
le password è diventato a disposizione del
mondo che non è un non è un
compromesso è quando i tuoi segreti diventano
disponibile per il mondo perché tu
li ho caricati su github in quel momento
c’è un problema e ce ne sono alcuni
domande qui su come comporre il
password così due persone hanno chiesto informazioni su
dadi dado dove un metodo di dadi metodo I.
pensa che sia chiamato e che qualcun altro
fa molta differenza se reale
parole o parole inventate sono usate nel
la lunghezza della password è importante
praticamente la maggior parte delle persone che indovina
le password indovineranno 10 50 o 5.000 di
loro non più di così va bene così
in fondo è solo se stanno andando via
a te offline che stanno per fare
un attacco completo al dizionario e poi se tu
hai un paio di parole che sei fondamentalmente
sicuro
non utilizzare cavallo fiocco batteria ecc da
qualsiasi cosa ti dica qualcosa che tu abbia mai
visto scritto come un esempio di a
la password è intrinsecamente insicura proprio così
scegli solo un paio di parole che non conosco
scegli una linea dalla tua poesia preferita
giusto perché tutti i poteri nel
il mondo è disponibile e le persone possono provare
ma in larga misura sei al sicuro
purché tu non sia nel primo
500 password più comuni che forniscono
non stai usando sai il modo semplice
di esso, se non lo si utilizza password one
due tre quattro cinque sei o password anche
con gli zeri in esso per il bene che sei
praticamente al sicuro la maggior parte del tempo
e forse l’ultima domanda di qualcuno
chiedendo una raccomandazione per un bene
meccanismo di autenticazione a due fattori ah
hardware
molte persone usano i telefoni perché ma
non capiscono quanto SMS insicuro
è spento che è un discorso intero
[Applausi]
quello di cui parlerò è che sono
andando a darti una spina veloce per il nostro
cybercrime Centro ho intenzione di parlare
sull’e-mail aziendale ransomware
estorsione DDoS compromessa e poi il
argomento molto meraviglioso di password che conosco
Ho guardato cose brutte sul
internet per oltre 20 anni e il mio
approccio a questo, ma come un accademico è
data driven che è il gergo per I
raccolgo molti dati e conto le cose
e i dati però che ottengo ottengo
dall’industria sotto varie forme di
accordo di non divulgazione che cosa fondamentalmente
succede è vado a conferenze vado a
fiere commerciali parlo con persone che hanno
dati che bevo con la birra con loro nel
bar fino alle due del mattino e
dopo aver bevuto birra con gente per
un paio d’anni nel bar fino alle due
del mattino pensano che sei
un buon ragazzo e ti danno un sacco
di dati e quindi puoi contarli e
Ho avuto qualche impotente di davvero intelligente
persone i miei co-autori e su tutti questi
documenti ma stiamo iniziando a realizzare
è così che tutti lo fanno
ricerca sulla criminalità informatica e tutti dentro
questo campo ha i propri set di dati che
hanno ottenuto sotto NDA o raccolti in
vari modi e come risultato nulla può
essere riprodotto
nessuno può controllare controllare i miei calcoli
se vieni da me, dici che è un
carta davvero interessante
Richard potrei avere una copia dei tuoi dati
in modo che io possa fare ancora un po ‘di lavoro su di esso
e ti dirò ma l’ho capito
NDA e loro mi diranno bene, dimmi
con chi hai firmato la NDA e non lo farò
bevi birra con loro fino alle due
al mattino e invieranno NDA
con me e poi posso guardare i tuoi dati
oh sono terribilmente dispiaciuto dirò verga
insiste sul fatto che non ho mai menzionato il suo nome
quando e non mi è permesso dirti chi
mi ha dato i dati in modo che tu non possa realmente
controllare che quando ho contato le cose che ho avuto
Finito bene questo non sembra davvero
come la scienza e non sono solo i miei dati
è suo tutti
davvero scienza quindi cosa stiamo facendo
Cambridge è che ho cinque anni di
finanziamento dal governo Ricerca
Consiglio e sei e mezzo di noi
principalmente informatica, ma io ho un
criminologo e Hoff è un
psicologo e il nostro Roach guidato dai dati
sarà eccetera
ci sono delle dichiarazioni di missione su cosa
stiamo davvero facendo è che stiamo tornando indietro
a tutte le persone che ci hanno dato dati e
dicendo non ti piacerebbe darci il
dati in modo tale che possiamo condividerli
con altri accademici prenderemo nel
i dati ci Cállate esso e farne
set di dati utili e quindi supponiamo che tu
persona che apprende automaticamente e tu vuoi
phishing di ricerca hai davvero
buona idea su come rilevare il phishing
siti Web allora puoi venire da me e io
ti fornirà un set di dati o phishing
siti web che non dovrai spendere due
anni che bevono birra fino alle due
la mattina perché posso darti il
dati domani non dovrai imparare
come rettificare siti Web di phishing e
raccogliere raccogliere le pagine web perché
sono solo per poche ore voi
non devi imparare nessuna di quelle cose a
tutto quello che potresti ottenere mi ha dato un dato
e potresti fare l’ apprendimento automatico
domani mattina più posso darlo
dati a qualcun altro che sta facendo
apprendimento automatico e quindi possiamo confrontare
i risultati e vedere quale metodo è
meglio usando gli stessi dati per due
le diverse tecniche non sembrano a
un po ‘più come la scienza no
sembra un po ‘più utile ora
non possiamo rendere i dati aperti non possiamo
renderlo pubblico per tutti i tipi di
motivi, tra cui il fatto che il
le persone che ci danno in realtà vendono
per altre persone me lo danno
gratis perché sono un bravo ragazzo e
bevono birra con me fino alle due
al mattino, ma tutti gli altri deve
pagare per questo in modo che non ce la fa open data
ma possiamo renderlo disponibile agli altri
accademici quindi è quello che stiamo cercando di fare
fare a Cambridge e non è concorrenza
Sono davvero vecchio, giusto per la mia carriera
sta per essere l’ultimo lavoro che ho nella mia
carriera quindi non mi interessa davvero
quanti documenti scriviamo a Cambridge
sì, ho davvero una prima classe
le persone lì stanno facendo di prima classe
lavoro, ma alla fine di cinque anni quando io
prendi il cappello in mano chiedendo soldi in ordine
per mantenere questo senso di correre nel
futuro di cosa parlerò
non è su quanti documenti abbiamo scritto
Cambridge ma quanti documenti accademici
siamo causa di essere scritti attraverso il
tutto il mondo perché abbiamo un nuovo
modo di mettere a disposizione i dati
accademici in modo che possano davvero studiare
crimine informatico e alla fine è per questo che noi
ottenere finanziamenti è perché gli accademici possono
aiutaci a capire i meccanismi e
cosa c’è dietro il crimine informatico così che noi
può fare di meglio a dissuadere in modo che sia
dove sto venendo da se sei un
accademica che è dove si va, al fine di
ottenere i dati e ora sto andando
per parlare di un vero crimine informatico ora io
sto parlando di questo dal punto di
vista dei difensori se sei un attaccante
nel pubblico prendere appunti perché questo
ti dice come fare meglio il tuo lavoro
ransomware è fondamentalmente un programma che
tu corri fai clic su qualcosa e il
programma crittografa tutti i dati sul tuo
disco rigido e devi pagare per
la chiave di decrittazione, al fine di ottenere la vostra
i dati tornano indietro nel 1989
In realtà ho preso uno dei Trojan dell’AIDS
dischi nel post nel Regno Unito che hanno
in possesso di quello del computer
elenchi di distribuzione di riviste e loro
mi ha mandato un floppy di cinque e un quarto di pollice
nel post che aveva un programma su di esso
di cui ho dato uno sguardo alla descrizione
del programma ha deciso che non ho intenzione di
esegui questo se l’hai eseguito, allora lo è
crittografato tutto il tuo hard disk e poi
si doveva fare una donazione a
una carità AIDS e poi ottieni il tuo
dati indietro era fatto davvero male
perché sono memorizzati tutti i
tasti Cripton sul disco rigido così così
in realtà non era molto minaccioso
1996 come e alcuni accademici eccellenti hanno funzionato
fuori come farlo correttamente usando il pubblico
le chiavi in modo che tu debba effettivamente pagare
loro il riscatto abbiamo visto un’esplosione
attività nel 2005 2006 ma la cosa
davvero colpito dai titoli dei ransomware
era il 2013 quando arrivò Cryptolocker
e l’innovazione degli armadi criptati era quella
hanno chiesto i pagamenti in Bitcoin
il che significava che in precedenza se lo eri
andando a pagare tramite una sorta di carte regalo o
facendo una donazione PayPal o altro
quindi è stato davvero facile per la polizia
perché potevano semplicemente seguire i soldi
ma il bitcoin è un po ‘più difficile da seguire
i soldi e le persone che hanno scritto
cryptolocker ha messo tanto, tanto impegno
nel loro supporto clienti va bene se
hai pagato se paghi il valore predefinito
cryptolocker quindi avrebbero bussato
se stessi fuori mandandoti a mangiare scambiando
email con te che ti aiutano a capire
come essere in grado di decodificare i tuoi dati
tenendo la mano fino in fondo
assistenza clienti esemplare e il
la ragione per cui l’hanno fatto è stato allora
chiunque avesse pagato avrebbe detto tutto loro
amici se paghi otterrai i tuoi dati
indietro che è molto forte
raccomandazione e molte persone pagate a
molte persone vogliono i loro dati indietro
compresi lotti i dipartimenti di polizia
chi scrive e dopo il successo di
cryptolocker
chi ha fatto un paio di milioni di dollari allora
abbiamo visto molte e molte varianti
centinaia e centinaia di loro
ogni tuo determinato giorno di molti dei tuoi
lo spam e-mail è quella cosa che non fai
fare clic su è in realtà il ransomware ma
molto di esso non funziona correttamente così tu
pagato non saresti in grado di decifrarlo
perché loro perché hanno incasinato
il loro codice, perché i cattivi sono
peggio di scrivere codice rispetto ai bravi ragazzi
e questo sta davvero dicendo qualcosa e
qualcuno è mal progettato per te
non devi pagare comunque andare e avere un
non guardare più cane da riscatto , dove vari
famiglie di ransomware ci sono
in realtà strumenti per sbloccare tutto il
roba perché sono competenti quanto
il ragazzo dell’AIDS in termini di realtà
producendo un sistema in cui devi pagare
quindi come evitiamo il ransomware
Io uso un sofisticato sistema anti-spam
scusa la tua copia di spammer
in cui sei attivo dal 1998
non lo taglierà più hai bisogno di fantasia
sistemi di apprendimento automatico e così via se
stai ricevendo la tua email tramite Google
Yahoo Hotmail qualunque cosa siano
correre un sacco di macchine molto fantasiose
imparare e molte cose sono
nave filtrata se stai usando
qualcosa di non buono come quello allora
il ransomware riuscirà a passare puoi correre
qualche antivirus e il problema è con
l’antivirus è che i criminali modificano
il loro malware fino all’antivirus
non lo rileva e quindi lo spediscono
così e poi l’antivirus avrebbe recuperato
il giorno dopo o due, quindi se lo sei
davvero lento a rispondere alla tua email allora
l’antivirus è una buona soluzione altrimenti
lui non ti aiuta affatto
non è stato possibile fare clic sugli allegati con a
un po ‘ di allenamento la cosa principale su
la formazione è che lei spiega i rischi
alle persone e come effettivamente individuare
email leggermente più sospette di
altrimenti, ma in realtà non aiuta
perché molti posti di lavoro sono
ricevere documenti e cliccarci sopra
quindi dire loro di non fare clic su di loro è
non molto buon consiglio davvero quello che puoi
non è dare a tutti nella tua compagnia
accedere a ogni singolo ogni singolo
condividere ogni singolo file del disco che tu
proprio io se tu non puoi potresti dover leggere
alcuni alcuni dati dal resto del
compagnia che non devi necessariamente
scrivilo e se non puoi scrivere il
Il lavoro di riscatto su cui fai clic non può
scrivi così se l’account è crittografato
e se hai un database non metterlo
su Internet aperto le mie persone che hanno
MongoDB il mio Sikh o qualsiasi altro sistema
senza password su Internet aperta
i cattivi scansionano internet e trovano
loro e poi li cifrano e poi
ti mandano da qualche parte a chiedere un
domanda di denaro il problema è che c’è
un sacco di persone che fanno questo così tuo
Database MongoDB che si sta seduti
Internet non appena sono persone
individuato siamo tutti criptati e che sarà
ottenere crittografato dieci volte
per colazione e avrai 10 richieste
per soldi e dovrai farlo se vuoi
per riavere il database MongoDB
dovrai pagare tutte e 10 le persone
e quindi decrittografarlo nel giusto ordine
quindi c’è un po ‘di pensiero pratico
a proposito di ransomware ransomware è un
problema di continuità aziendale è lo stesso
minaccia ai tuoi dati mentre mi sto versando a
bicchiere d’acqua su questo portatile è il
stessa minaccia di un dipendente canaglia che
non come te
cancellando molti file il venerdì
pomeriggio o venerdì sera perché
sanno che stanno andando a essere in licenziato
il lunedì mattina è la stessa minaccia
mentre il tuo edificio sta bruciando è il
stessa minaccia del tuo data center della morte
essere inondati ha già detto di chiedere
la gente a non fare clic non è un bene
soluzione ma hanno effettivamente bisogno di a
copia della parola puoi dargli WordPad
invece hanno effettivamente bisogno del
scripting abilitato in PDF giusto se il tuo
Adobe Reader ha abilitato il turno di JavaScript
fuori e la vera soluzione per un ransomware
sono i backup ma i backup non possono essere
online perché altrimenti il ransomware
può andare e crittografare anche quei backup
e sono preferibilmente fuori sede il
ragione per cui raccomando i backup off-site
in parte perché se l’edificio brucia
giù quindi probabilmente stanno bene ma
la ragione veramente importante è mentre
potresti guidare per andare a prendere il
backup e il gioco è di rientrare a
ufficio starai pensando a cosa
hai intenzione di fare e potrebbe solo
possibilmente ti capita nel tempo come
stai tornando in ufficio, lo farai
essere davvero una buona idea per essere sicuro
ti sei sbarazzato di tutti quelli di cui ti sei sbarazzato
tutto il malware prima di caricare il
backup e li hanno ri-crittografati come
beh, va bene così pensando a cosa
hai intenzione di fare è l’ input è un
importante quando si tratta di backup in
una situazione di emergenza come avere il
backup in primo luogo e fondamentalmente
non si dispone di un backup a meno che non hai
testato che funzioni
e hai ripristinato un file da esso su a
regolarmente ed è tornato a posto
Va bene, molti sistemi di backup dicono di sì
Ho scritto i backup e quando vai
e prova a leggerli che non puoi leggere
loro vanno bene e fondamentalmente se tu
non esercitarti , sarai molto lento
ransomware di minaccia reale
non è che i tuoi dati vengano crittografati ma
i tuoi dati non sono disponibili per uno o due
giorni perché stai imparando come fare
ripristini impara come fare i ripristini
prima starai molto meglio
forma così ora parlerò di affari
compromesso via email e quello importante
di questi è davvero il più costoso
la fattura falsa quindi ho lavorato su un a
caso in cui ho effettivamente fornito esperto
prove a un tribunale su questo alcuni
la gente in Indonesia che ha estratto il carbone venduto
carbone a una società in Tailandia che ha fatto
scatole di cartone hanno bruciato il carbone
allontanare l’acqua dalla polpa di legno
per fare il tappeto di cartone
scatole e poiché hanno fatto un sacco di
scatole di cartone avevano bisogno di un sacco di
carbone quindi hanno organizzato hanno firmato a
contratto per comprare tre barche di
co-lineare dall’Indonesia e il primo
la spedizione alzata stava per arrivare
a metà marzo quindi alla fine di
Febbraio il popolo in Indonesia ha inviato un
fatturare le persone in Tailandia e loro
erano società multinazionali quindi loro
volevo il denaro versato a una banca in
Amburgo e 12 ore dopo hanno inviato
un’altra email che dice scusa se lo siamo
avere un po ‘di problemi con i nostri servizi bancari
ad Amburgo potresti davvero pagarlo
la nostra banca a West London invece così loro
continuato a scambiare e-mail su
spedizione di carbone di disputa sul
valore calorico c’era questa disputa
circa i tempi dello scarico e così via
avanti e alla fine il carbone si presentò
al Porto Inn in Thailandia per essere
scaricato e la gente in Indonesia
disse
ma non ci hai ancora pagato e il
la gente in Tailandia ha detto che stiamo avendo un
un po ‘di problemi con la nostra banca
va bene in un attimo e la gente dentro
La Tailandia così era la gente in Indonesia
non volevo ritardare lo scarico
perché hanno ritardato in passato quando
c’è un problema con la banca e
c’è stata un’enorme disputa per settimane
e settimane su chi fosse andando pagano il
soldi extra per la nave che si era seduta
circa da quattro a sei ore invece di
scarico quindi hanno detto no perché scaricare il
carbone sono buoni per questo e per quello
puntare una e-mail alzata dalla banca
mostrando che il denaro era stato pagato per
le due West London e la gente dentro
L’Indonesia ha detto perché hai pagato i soldi
a una banca di West London lo vogliamo pagato
ad Amburgo e poi hanno avuto un sacco di
problemi di comunicazione tra loro
per circa per diversi giorni perché e-mail
non sembra funzionare più e loro
finito per dover utilizzare gli account Gmail
e portatevi l’un l’altro perché
ha restituito quello scrittore al
iniziare qualcuno a Lagos e lo so
era Lagos perché ho guardato il
intestazioni di qualcuno a Lagos aveva inviato il
seconda fattura che era completamente
fraudolento ma l’avevano spedito da un
nome di dominio che sembrava loro
multinazionale ma non aveva un piuttosto in esso
di un O e quando la gente dentro
La Tailandia aveva risposto che l’e-mail era stata
consegnato al popolo in Indonesia ma
invece di avere un punto il nome di dominio
aveva il nome del dominio TV dot e per
le tre settimane seguenti hanno avuto
e-mail scambiate perché in affari voi
ho appena risposto alla email precedente
prendi queste lunghe catene di email e l’uomo
a Lagos era stato copiato tagliando e
incolla tra le due cose il tutto
tempo e una volta che hanno i soldi loro
smesso di tagliare e incollare e quello è
motivo per cui la è per questo che l’e-mail
la comunicazione si è rotta dopo la frode
è stato scoperto infatti li ha presi di più
di una settimana per capire che era una frode e
non un errore e questo lo sapevi che è
una storia divertente
e un attacco man-in-the-middle e it
ha funzionato davvero e questo era tre milioni
dollari 90% dei costi di un carico di nave
di carbone
Ho visto altri casi che coinvolgono un
milioni di dollari di olio di palma e
l’FBI ha calcolato che questo è costato
Da allora circa tre miliardi di dollari
Gennaio 2015 questo è un grande business falso
fatture che vengono sostituite direttamente al
il fondo di tutto questo è al compromesso
di un sistema di posta elettronica in modo che il
i truffatori possono vedere la fattura reale e
quindi possono farne una copia e
cambiare i dettagli bancari sono meno
forma importante ma ancora dannosa di
a volte l’attacco viene chiamato frode dell’amministratore delegato o
frode del presidente, quello che succede è quello
sei venuto a una conferenza come
questo e il tuo reparto contabilità
una e-mail da te che dici per favore paga il
fornitore che ho dimenticato prima di partire per dirlo
su questo prima che io lasciassi il
conferenza non mi porta il mio telefono
spento perché sono in tutte le sessioni
mattina ma è davvero importante che paghiamo
questo entro la fine della giornata, per favore gioca
20.000 euro al fornitore e spesso
vedi il look-like il mains qui come
ben o tipi molto simili di Gmail o
Yahoo o qualsiasi altra email del nome dell’account
dice che questo non è tre milioni
dollari ma ugualmente ventimila
gli euro sono molto dannosi per molti piccoli
le imprese quindi come possiamo evitarle
tipi di frode bene se si parla di
techies diranno bene andiamo
controlla l’ email in arrivo per look-alike
domini si puoi farlo è un po ‘
complicato da fare puoi applicare Demark
puoi controllare se l’e-mail è o meno
è stato forgiato o meno il
Deccan le firme sul pass email ma
i cattivi possono sistemarsi in modo identico
domini e impostare SPF e DKIM e ottenerlo
giusto e probabilmente lo fanno meglio
di quello che sei è possibile bandiera e-mail in cui
la risposta a è diversa da
questa è una cosa utile da fare perché
raccoglierai ogni sorta di strano
cose se lo fai potresti impostare il tuo
client di posta elettronica in modo che mostri il bit in
le parentesi angolari per la tua email
indirizzo che è molto utile
molti dei sistemi di posta stanno iniziando a
cambiare per impostazione predefinita per te ma
è ancora un problema su mobile perché
tende a non essere spazio sullo schermo
per mostrarti quel dettaglio e oltre
che come la storia con le O in the
A spiega che può essere molto difficile
scopri che le cose sono state
cambiato
email di etichettatura che proviene da fuori
la compagnia è utile perché se la tua
Il CEO utilizzerà normalmente il
sistema di posta interna e improvvisamente il
e-mail si trasforma fino dall’etichettatura di fuori
è abbastanza utile che puoi scherzare
con cose come PGP e s / mime questi
sono tutte le tecniche che gli Aleutine non hanno
lavorare in modo così pratico a pensare
email aziendale compromessa prima di tutto
concordare la banca su quali conti bancari
saranno utilizzati per il primo giorno
quando firmi il contratto non hai
il contratto dice paga così mia nominata
conto bancario hanno i contratti dire
esattamente quale conto bancario sta per
essere usato se hai intenzione di comprare una casa
d’accordo con il tuo avvocato il primo giorno
dove stanno andando i miei conti bancari
essere utilizzato per il trasferimento dei soldi
perché altrimenti che ventimila
euro può fare la differenza tra così
starai con la vita per molti anni
e dopo aver concordato la loro banca
conto non permettono di essere cambiato da
l’e-mail insiste che le persone scrivono reali
lettere su veri pezzi di carta e segno
li in fondo o si presentano di persona
e parlare di nuovo con l’avvocato per
cambia i dettagli per la maggior parte del tempo
non è mai necessario modificare i dettagli
ma certamente non hai bisogno di essere in grado
a cambiare la mia e-mail se proprio deve
consentire alle persone di modificare i dettagli tramite
e-mail quindi controlla una band con la quale
Voglio dire, vai allo schedario
cercare il numero di telefono della persona e
chiamali e dì di dire che hai mandato
questa email hai davvero voluto cambiare
il conto in banca non fa quello che uno
di quelli che ho consultato
ha fatto con chi ha ricevuto l’e-mail con
cambio di dettagli su e loro prontamente
ha risposto e ha detto sei sicuro e
i criminali hanno detto si va bene così
non usare il numero di telefono dall’interno
l’ e – mail va allo schedario e
condividi queste storie con i tuoi compagni I
parlato di questo alle cene
perché la gente non conosce questa frode
va avanti e se avete sentito parlare di esso si
potrebbe in realtà potrebbe essere in realtà
in grado di individuarlo quando sta accadendo
tu e fare qualcosa a riguardo potresti
essere in grado di lamentarsi con il tuo avvocato quando
stai comprando una casa che non abbiamo noi
non ho concordato
no, stai solo scuotendo casa per uscire
la porta e tu dirai ma non abbiamo
accetto il conto in banca tutto bene
Probabilmente hai bisogno di un nuovo avvocato, ma potresti farlo
concordare il conto bancario a quel punto ma
La cosa veramente importante è necessario
fare tutto questo è necessario potenziare
il tuo account Dipartimento di dire no no
ordine di acquisto nessun pagamento e paga il tuo
account persona un bonus quando individuano
la frode e pagare i tuoi conti partono
Conti reparto un bonus quando loro
resistere al CEO anche quando in realtà
è l’amministratore delegato ok nessun ordine di acquisto no
il pagamento segue le procedure e questo va
è quando le persone cercano di essere d’aiuto
e scorciatoia per ottenere questa frode ora
potresti ricevere un’email come questa è una
E-mail di estorsione DDoS dice che siamo a
modder collettivo o squadra di lucertola o
orsetto o qualsiasi altra cosa e dice il tuo
la tua rete sarà ddosed se
non ci pagate dieci Bitcoin cinque
Bitcoin o 100 Bitcoin o sai
per quanto pensino che tu stia bene
va bene se non si paga immediatamente
alzeremo il prezzo questo non è un
Scherzo, mi distrarrò
gli attacchi sono estremamente potenti andare via
e Google noi se paghi non lo diremo
chiunque tu abbia pagato è tutto Bitcoin è
Sono anonimo e sono così
minacciandoti e cosa succederà dopo
niente di tutto questo
in passato ci sono state persone
chiamato collettivo Armada e sì nel
dopo hanno fatto d– dosi dopo questo
ma la maggior parte di quelli che vedi ora sono
solo persone che ci provano sperando che tu lo faccia
pagare se non si paga nulla succede se
sei molto sfortunato se sei europeo
banca nell’ultimo paio di settimane allora
avrai un DDoS di un’ora contro il tuo
sito Web se non si nota nulla
altrimenti accadrà mai così la mia pratica
consiglio qui su estorsione d-list è sotto
nessuna circostanza qualunque paghi se tu
cura di ottenere l’ ora DDoS
contro il tuo sito web, quindi il tuo sito web è
non disponibile per un’ora, poi lavoraci
fuori prima che tu ne abbia mai visto uno
di queste e-mail e comprati a
servizio che proteggerà contro questi
attacchi e ottenere una garanzia di cosa
il lato positivo in modo che se non lo è se lui
va giù puoi almeno rivendicare su alcuni
assicurazione o qualcosa di buono in sostanza
se ti interessa che i DDoS facciano qualcosa
su di esso perché è necessario eseguire il tuo
lavoro correttamente se non ti interessa
su DDoS non fare caso a questi
messaggi di posta elettronica è utile se si ottiene uno dei
queste email di condividerlo condividerlo con
la polizia lo condivide con la polizia
con il tuo ente commerciale se la tua banca o
qualcosa del genere perché quello che loro
lo faranno saranno raccolti tutti
le e-mail condivise e si confronteranno
loro se tutti i portafogli Bitcoin sono i
lo stesso è sicuramente un falso tutto bene il
punto centrale su un modello collettivo
sapevano che tutti avevano un altro
Portafoglio Bitcoin e hanno mantenuto un sacco di
osserva in modo che possano sapere chi ha avuto
pagato solo vedendo se i soldi si erano trasformati
nel loro Vic
portafoglio così è utile guardare qui
anche se le persone pagano e non lo fanno
Davvero sciocco non pagare se le persone pagano
allora se c’è abbastanza denaro che scorre
in giro poi bitcoin è un po ‘di più
tracciabile rispetto a quando le persone immaginano
se in realtà non capiscono come
funziona e come fare in modo che bitcoin è
non rintracciabile quindi segnalalo ma non farlo
paga, quindi ora parlerò
password ora questo è il tradizionale
modo di parlare delle password che diciamo
Supponiamo di avere una cassaforte e c’è un
codice a quattro cifre su di esso ci sono 10.000
combinazioni possibili quanto tempo fa
prende per aprire la cassaforte e si potrebbe essere
fortunati e ottenere il primo si va
potrebbe avere 9999 guasti e
poi lo apri ma in media ci vuole
cinquemila tentativi di aprire questa cassaforte
quindi se ci vogliono dieci secondi totali
numeri ci vorranno tredici ore
per aprire la cassaforte in media se ne hai
sei cifre ci vorranno otto settimane per
apri la cassaforte se invece di quanto nulla
alle nove hai un a Zed poi lo farà
prenditi ventisei giorni per aprire il
sicuro se è sei fuori quattro caratteri
sono 49 anni se hai se scegli
dalle brigate a Zed dei loro piccoli
laser, non ce n’è a nove che prenderai
Hai 34 milioni di anni per aprire quella cassaforte
questo è il modo tradizionale di pensare
sulle password e la forza bruta e il
fornitori di password per computer perché
cosa succede con la password del tuo computer
è che si digita la password e
quindi la Macchina confronta ciò che hai digitato
con il segreto memorizzato ora se tu
tieni le tue password in chiaro come te
può fare un confronto diretto che
puoi inviare una buona password
ricorda che hai pensato la mia password
e su e-mail e indicare cosa
ti dice che cosa è veramente
utile ma questo non è terribilmente sicuro
quindi risale al 1963
il suggerimento era che dovresti usare a
hash a senso unico, quindi quello che fai è schiudersi
il segreto e poi quando il valore gira
fai un altro hash crittografico e
controlli una corrispondenza esatta dal 1991
stavano usando 25 round di dati
standard di crittografia più recentemente di
che le persone hanno usato la shell md5 sha-1
t56 si nome potrebbe essere usato perché
l’ idea è quella di invertire questi hash
è impossibile
ecco perché è un hash crittografico
questa è una delle proprietà del
hash crittografica non è possibile invertire
ma puoi forzarlo a forza, così puoi farlo
l’equivalente di giocherellare con i numeri
sulla cassaforte quindi se vai e compra
te stesso un NVIDIA GeForce 8800 ultra
va bene che scelgo a caso altri
altra rete sono le altre schede grafiche
disponibile che farà 200 milioni di md5 s
un secondo quindi se hai quel eh-2-zed
Poco dopo ho detto di non 9 lunghezza 8 poi
invece di prendere 36 milioni di anni
e dieci secondi ogni ipotesi perché
stai facendo 200 milioni di ipotesi a
secondo
ti porterai sei su un sei punto tre
due giorni in media per capire cosa fosse
il segreto che produce questo
particolare hash MD5 così veramente buono
cose
GPU puoi farlo e ovviamente se
lo farai in questo modo
rompendo puoi paralizzarlo che puoi comprare
un sacco di Nvidia etc e li metti in lotti
di macchine diverse e ognuna di esse
affronterà un bit del problema, quindi se
compri sei carte grafiche da tre punti
puoi rintracciarlo in un giorno ah e tu
può anche dare risalto ai compiti, quindi se tu
in realtà non può permettersi una grafica costosa
carte come quelle che puoi effettivamente puoi
espellere compiti di macchine diverse e
ognuno di loro può andare alla propria velocità
e fai cose che puoi persino fare a
casuale a destra puoi scartarlo
tutto questo pubblico qui e prendine ciascuno
e dire – invece di
ognuno di loro un piccolo blocco e poi
fidandoli fidandosi di tutti nel
il pubblico ha il suo piccolo pezzetto
del cracking per cui potresti solo dire
tutti fanno casualmente perché
qualcuno avrà la risposta giusta a
casuale ad un certo punto e non lo fa
importa se le persone imbrogliano e no
effettivamente fare il lavoro
perché qualcos’altro farà il lavoro
invece evita anche tutto il
costi di comunicazione è così casuale ricerca
un bel modo di fare attività parallele
quindi la solita metrica quando stiamo parlando
su cracking password in questo modo è il
numero di hash che puoi fare per dollaro
e credimi in questi giorni puoi fare un
orribile sacco di hash per dollaro
in alternativa non devi fare il
parallelizzare in questo modo quello che puoi fare
puoi provare un piccolo numero di
password contro molti molti account in
parallelo perché a volte no
importa quale password crei come
molti si spezzano e se non hai riparato
non hai ancora fatto la patch per la tua
il tuo sistema Linux per il Cal sporco
vulnerabilità si crack qualsiasi password e
puoi promuoverti fino a radicare tutto
giusto così crollare solo una password può
essere sufficiente e non devi
correggere tutti o qualsiasi particolare
Va bene così è parallelo
cracking con fantastiche carte GPU in
il mondo reale il modo in cui creiamo
le password sono così qui
Richard uno con un punto esclamativo e
uno che è una password davvero forte
Libre è la md5, quindi posso prenderlo
MD5 e io possiamo eseguirlo contro di più
potente sistema di cracking del pianeta
e posso rompere quella password in questo modo
perché lo inserisco in Google e lì
ci sono cinque siti lì tutti che lo faranno
darti che quello che md5 è il risultato
di hashing richard vinto con un
punto esclamativo e un punto esclamativo
marchio
ok, ci sono molti di questi siti lì
a volte vengono chiamati
i siti di tavole arcobaleno sono i fatti
arcobaleno non proprio tecnicamente corretto
le tabelle sono un modo per ridurre lo spazio di archiviazione
requisito per il tipo di cracking
sono solo semplici siti di hash
ma ce ne sono un sacco
Là
e in particolare per MD5 è così
il modo migliore per decifrare le password su a
moderno sistema moderno non solo in
Per proteggere se stessi contro questi
tabelle hash saliamo le password così noi
aggiungi un valore casuale alla password e
allora abbiamo hash e ciò che significa è
non puoi farla franca con un solo hash
tabella di cui hai bisogno per le tabelle
ogni password e per i bit di s nel sale
e non c’è ragione per cui tu
non è possibile utilizzare 32 o 64 bit di sale
quindi fondamentalmente salatura rende questi hash
tavoli quasi inutili alcuni di solito cosa
tu fai è immagazzinare il sale in
testo in chiaro vicino al piatto
hash password molto occasionalmente per molto
lunghezze saline corte potresti effettivamente
disegnato per sedersi a una convalida della password
tempo ma fondamentalmente lo memorizzi lì
questo significa che se le persone rubano il
i file delle password ottengono anche i risultati
la tendenza moderna non è usare le cose
come md5 sha-1 e così via ma da usare
funzioni speciali di hash che
sono progettati per funzionare molto lentamente anche
su hardware o GPU personalizzati e principali
il modo in cui ciò viene fatto è di
facendo in modo che facciano molti e molti
legge e scrive di memoria come parte di
l’azione della funzione hash perché
la memoria che accede alla memoria è carina
la cosa più lenta che si possa fare può
fare sul tuo computer grandi quantità di
la memoria deve andare ai veri chip
questo richiede molto tempo e questi e
questi sistemi tendono a essere sintonizzabili per te
puoi selezionare quante iterazioni vuoi
per darti la tua performance
bisogno se sei solo fuori convalidare
password ogni 20 minuti che puoi
permettersi di trascorrere un bel po ‘ di tempo
convalidare ciascuno e i nomi a
cerca le nostre funzioni di hash come bcrypt
e Argon 2i quindi qual è il pratico
pensando qui bene alle password
prima che io possa darti qualche cosa di pratico
pensando alle password che ti servono
capire il tuo modello di minaccia proprio tu
non può valutare una soluzione di sicurezza
a meno che tu non sappia cos’è il modello di minaccia
quindi tutti voi dovete chiedervi di essere il
attaccanti online gli attaccanti o
gli attaccanti offline saranno
rubando il mio file password e poi facendo
il cracking sul proprio kit dove loro
può paralizzarlo quanto vogliono
giusto o devono presentarsi e
effettivamente indovina presentando una supposizione a
il tuo sistema sono gli attacchi mirati o
se l’utente non vince, l’attaccante può vincere
come se si creino una password particolare
o vincono se rompono più di X
percentuale delle tue password o vincono
se creano una password sul tuo
sistema a tutti quanto hai intenzione di
imporre ai tuoi utenti posso farti il
puoi insistere su una lunga password possibile
insisti sull’uso di molti
set di caratteri diversi e quattro
diversi emoji puoi avere il
casa di sistema applica la password e
le persone hanno solo ricordarlo
quanto impongono anche alle persone e lo sono
voi aggressori
locale o remoto con cui intendo sei tu
proteggere la tua password contro il tuo
sorellina o contro qualcuno nel
Ucraina perché se stai proteggendo
la tua password contro la tua sorellina
poi scrivendolo e inserendo un
il pezzo di carta nel tuo portafoglio non è un
buona soluzione perché quando vai e
fare una doccia
la tua sorellina può leggerti
password ma è molto difficile per
qualcuno in Ucraina per leggere un pezzo di
carta che si trova nel tuo portafoglio
e anche se ti fanno schifo per strada
vengono soprattutto dal
Ucraina e mug ti al fine di ottenere il
pezzo di carta dal tuo portafoglio lo farai
sappi che è successo e quindi tu
può fare qualcosa al riguardo va bene così
quando diciamo non scrivere le password
questo è davvero un consiglio stupido il consiglio
è non scrivere password in giallo
note adesive e metterle sul monitor
destra
ma scrivili e mettimi il tuo
portafoglio che è semplicemente fantastico e l’altro
la domanda da porsi riguardo alle password è il perché
non stai usando due fattori così?
ultimo consiglio sulle password che escono
le nebbie quest’anno dicono di dimenticare tutto questo
roba sui set di caratteri divertenti preoccupati
circa lunghezza maggiore della non meglio otto
personaggi troppo corti
preferiamo 12 16 cose di 20 caratteri
non cambiare le password ogni mese
o ogni tre mesi solo perché tu
posso lavorare con una grande azienda che ho
ho lavorato con loro per sette anni
possono insistere che ho cambiato la mia password
ogni sei mesi quindi la mia password ora ha
un 14 in esso
lo fanno tutti, mi dispiace
tutti ridono perché
è vero
non rende nessuno più sicuro
la ragione per cui vuoi avere il
unica ragione per cui vuoi avere dei cambiamenti
le tue password su una base di tempo è
perché sai che i cattivi sono
rubando la tua password ogni tre
mesi se è possibile se il cattivo
ragazzi stanno trovando la tua password ogni
tre mesi hai bisogno di una correzione diversa
non cambiare le password va bene ricorda
quello per gli attacchi offline è il limite
quanti soldi ha il tuo attaccante o come
molti quanto grande è una botnet su cui possono costruire
fai tutto il cracking in parallelo a destra
ma online si arriva a impostare i limiti così
assicurati che il tuo sistema ne imposti alcuni
limita tutto bene dopo n tentativi dove n
è pop che è circa cinque volte fuori no
più indovinare la password per un minuto o
un’ora o qualsiasi altra cosa va bene meglio
di quello è farlo in modo esponenziale
più lentamente è quello che fa il mio telefono, se tu
continua a sbagliare la password
perché sei drogato
dopo un po ‘saranno cinque
dieci minuti prima puoi solo fare
un’altra ipotesi che indica che potrebbe verificarsi
a te aspettare che tu sia sobrio prima
digitando la password e i limiti
deve essere se si sta impostando un sistema
hai bisogno di limiti per account se qualcuno
sta attaccando un account in particolare e
anche perché potrebbero attaccare tutti
dei conti in parallelo è necessario
avere limiti per indirizzo IP e potresti
voglio solo avere limiti all’ora a
trattare con una botnet in questo se solo tu
se normalmente ne vedi solo 20
tenta di arrivare al tuo
sistema al giorno e improvvisamente hai avuto un
migliaia negli ultimi 10 minuti e
forse sei sotto attacco e forse
vuoi cambiare cambiare cosa sei cosa
la tua posizione è così che fanno i criminali
bene se dai un criminale o una password
spegni perché
il tuo sistema non è sicuro allora lo faranno
forza bruta le password se il
le password non sono crittografate che non lo fanno
impiega molto tempo se non è salato
allora forse possono semplicemente fare una ricerca
usa Google per scoprire cosa sono
le password sono altrimenti capiscono
quello che le persone fanno è che sostituiscono le O
dagli zeri sostituiscono gli occhi di
punti esclamativi cambiano saggi
in dollari e attaccano i numeri
alla fine in modo che indovinino effettivamente le password
prendendo un dizionario e loro mangiano
tutte le parole che usano quel tipo di
sostituzioni e poi indovinano quelli
quindi se pensi di aver fatto il tuo
password sicure da uno di quelli
sostituzioni che hai fatto molto
differenza dispiace tutto bene
una volta che hanno infranto una password , la usano
ovunque così dopo il tuo ora hai
Yukon shopping online per quattro istruttori
e le persone che vendono i trainer hanno
il loro sito Web è stato compromesso come conseguenza di
quale tuo login perché ovviamente tu
dovevano avere un nome utente e una password in
per andare a comprare alcuni istruttori
ovvio il tuo nome utente e la password è
ora fuori nel vento e le persone possono usare
e proveranno ad accedere a skype
proveranno ad accedere alle banche
proveranno ad accedere a Facebook che erano
prova ad accedere al tuo account e-mail a
vedere se hai usato lo stesso o no
password lì e la maggior parte delle persone lo fa
per fortuna i buoni sono anche
raccogliere tutti questi file password
e sono anche brute-forzando tutto
le password e cosa faranno allora
è si andare a controllare i loro sistemi
e se quella password è stata utilizzata su
il loro sistema con lo stesso identificatore
lo stesso indirizzo e-mail quindi lo faranno
forzare la modifica della password in modo errato
con la password cambia cosa c’è che non va
lo faccio solo ogni tre mesi no
importa cosa costringeranno la password
modifiche e potrebbero effettivamente se lo sono
molto intelligente
loro provvederanno anche a che tu non possa mai usare
quella password su quel sistema mai più
anche se non lo stai usando al
momento perché molte persone hanno un piccolo
set di password che usano dappertutto
il posto e loro girano in bicicletta quelli intorno
e vuoi organizzare che non lo facciano
quella password non funziona mai perché è
stato compromesso e per darti un’idea
di quanto siano davvero deboli le password nel 2012
LinkedIn il loro database è stato compromesso
e i bravi ragazzi sono andati a pezzi
via ha avuto il set di dati di LinkedIn e oltre
Il 90% delle password per LinkedIn sono
ora noto ora che non è molto forte
risultato perché LinkedIn non uso un
password molto potente su LinkedIn perché
Non mi interessa in un modo o nell’altro
non è la mia banca, non è la mia email
va bene, quindi non lo usiamo tutti
password molto potenti su LinkedIn ma
anche le persone che pensavano di essere
utilizzando password complesse la maggior parte di loro
non erano così alcune verità scomode
sulle password se ci stai provando
proteggere le cose se vedi sbagliato
password un paio di volte e poi il
quello giusto è il vero disboscamento umano
se la password è sempre corretta è
provengono da un telefono cellulare se la password
è sempre sbagliato viene da un cellulare
telefono che non è configurato correttamente
tutto bene hai bisogno di bilanciare il blocco se
il cattivo arriva e fa molto
suppone che tu non voglia bloccare il
utente reale perché lo farà l’utente reale
vieni a gridare se ottieni una chiave
logger sulla tua macchina, allora è game
al di sopra di
tutto ciò che scrivi è noto al cattivo
ragazzi se una password di testo chiaro parola chiave
il file è compromesso è molto game over
veloce e anche se è salato e
criptato ricorda che LinkedIn è carino
molto gioco se hai perso il tuo
file di password ogni si deve presumere che
tutte queste password sono
i gestori di password compromessi sono un bene
molto avanti ma se prima hai un
passato preferito prendi il tuo preferito
password manager and go Google con
accanto alla parola violazione della sicurezza e
scoprirai che la maggior parte di loro ha
i problemi riassumono così quello che sono stato
parlando di prima avevo avuto un
panoramica rapida su cosa stiamo facendo
Cambridge per renderlo più facile
altri accademici per contare le cose che ho parlato
su ransomware eseguire il backup dei dati
pratica di ripristino è ransomware a
problema di continuità aziendale di cui ho parlato
l’e -mail commerciale ha compromesso la correzione lì
è potenziare il tuo dipartimento contabilità
per dire di no e so che molti di voi pensano
il tuo account dipartimento dice ora tutto
il tempo comunque, ma questi sono dire di no
l’amministratore delegato così come a voi DDoS si ottiene
un tentativo di estorsione ignora di no
importa se ti interessa davvero comprare DDoS
un servizio per proteggere te stesso e
le password devono essere hash e
salato cambiale solo quando ne hai bisogno
e se sei un utente usa una password lunga
e non riutilizzare quelli importanti per il tuo
email e bancarie in qualsiasi altro luogo e nel mondo
complessità tutto ciò che riguarda circa 36
milioni di anni aperti come sicuri
è priva di significato prestare attenzione al
modo in cui sono effettivamente le password
attaccato perché è quello che realmente
importa tutte le cose interessanti che facciamo
Cambridge abbiamo messo su quel blog vuole
saperne di più sul Centro del crimine informatico
URL è lì grazie mille
[Applausi]
[Applausi]
[Musica]
il primo che era circa la
allegati cui parlavi in
l’inizio quindi cosa ne pensi
eseguire gli allegati nella scienza isolata
molti contenitori è una soluzione tecnica
sì che funziona è difficile da fare
raggiungere ci sono alcuni prodotti fuori
lì che stanno cercando di farlo se
vai e guarda un’azienda adulta
come dire Google , lo scoprirai
avere una grande enfasi sulla spinta
tutto in Google Documenti perché il
sorta di cosa che rende la tua copia di
la parola cade e tende a essere compromessa
non compromettere Google Documenti così là
sono alcuni modi per andare avanti qui in termini di
sandboxing e così via, ma per la maggior parte
persone a cui si sta sforzando molto
per affrontare quello che davvero
avremo bisogno di sapere se è necessario
capire il tuo flusso di lavoro capire quando
che si sta per ottenere documenti dal
colleghi che cosa stanno andando a guardare
come e così via e in fondo
capiscilo e se è fuori dal
ordinario non fare clic su di esso, poi c’è
un sacco di domande in arrivo
le password qui così qualcuno chiede come
sviluppatore se ho salvato l’hash
password e l’algoritmo è
compromesso cosa dovrei fare se dovessi
chiedere a tutti gli utenti di cambiare la password e
hash con un altro algoritmo o e
non sarebbe meglio salvare le password
usando la crittografia reversibile il meglio
cosa è da considerare Let’s Release
sottolinea che non dovresti essere se
stai usando il tuo hash speciale per
password di hashing allora sei nel
stato di peccato non farlo bene
producendo funzioni hash così è davvero
il lavoro è spettacolarmente difficile anche il
NSA il motivo per cui è sha-1 è perché
loro producono Sean Nulla prima e così
non ha funzionato nemmeno io l’NSA può averle
cose sbagliate in generale
applichiamo le leggi di kirchoff qui fondamentalmente
diciamo che devi aspettarti che tutti i tuoi
il codice diventa pubblico molte persone qui
profondamente a favore del consumo di coca cola
devi aspettarti che il tuo codice diventi
pubblico è i segreti che ti proteggono
tieniti al sicuro solo perché hai un hash
le password è diventato a disposizione del
mondo che non è un non è un
compromesso è quando i tuoi segreti diventano
disponibile per il mondo perché tu
li ho caricati su github in quel momento
c’è un problema e ce ne sono alcuni
domande qui su come comporre il
password così due persone hanno chiesto informazioni su
dadi dado dove un metodo di dadi metodo I.
pensa che sia chiamato e che qualcun altro
fa molta differenza se reale
parole o parole inventate sono usate nel
la lunghezza della password è importante
praticamente la maggior parte delle persone che indovina
le password indovineranno 10 50 o 5.000 di
loro non più di così va bene così
in fondo è solo se stanno andando via
a te offline che stanno per fare
un attacco completo al dizionario e poi se tu
hai un paio di parole che sei fondamentalmente
sicuro
non utilizzare cavallo fiocco batteria ecc da
qualsiasi cosa ti dica qualcosa che tu abbia mai
visto scritto come un esempio di a
la password è intrinsecamente insicura proprio così
scegli solo un paio di parole che non conosco
scegli una linea dalla tua poesia preferita
giusto perché tutti i poteri nel
il mondo è disponibile e le persone possono provare
ma in larga misura sei al sicuro
purché tu non sia nel primo
500 password più comuni che forniscono
non stai usando sai il modo semplice
di esso, se non lo si utilizza password one
due tre quattro cinque sei o password anche
con gli zeri in esso per il bene che sei
praticamente al sicuro la maggior parte del tempo
e forse l’ultima domanda di qualcuno
chiedendo una raccomandazione per un bene
meccanismo di autenticazione a due fattori ah
hardware
molte persone usano i telefoni perché ma
non capiscono quanto SMS insicuro
è spento che è un discorso intero
[Applausi]
Please follow and like us: