אפשר אולי לחשוב שניתן לסמוך על החברות שמחזיקות את השרתים האלה (עדיף שלא) אבל מה קורה אם אנחנו מחוברים לראווטר אלחוטי ? כל אחד בטווח הקליטה יכול להאזין לתקשורת. בייחוד אם אין סיסמא אבל גם אם יש.

לעולם אל תתחברו לרשת אלחוטית לא מאובטחת ואם מתחברים חשוב שלרת תהיה סיסמא קשה והצפנת WPA אחרי שאנחנו שומרים רשת לגישה אוטומטית המחשב לשנו כל הזמן מנסה להתחבר אליה ומישהו יכול ליצור רשת מזוייפת ולגרום לנו להתחבר אליה

SSL בעצם יוצר לנו תעלה מוצפנת ובטוחה בינינו לבין האתר שאנחנו גולשים בו. לSSL יש שני חלקים חשובים 1. כל התקשורת עוברת מוצפנת 2. יש ווידוא של הזהות של המחשב אליו אנחנו מחוברים שני החלקים חשובים אם אין הצפנה כולם יכולים להאזין לתקשורת ואם לא יודעים עם מי אנחנו מדברים אולי בכלל אנחנו שולחים מידע למישהו אחר. כדי ליצור חיבור SSL יש צורך בתעודה מאמתת. ישנן חברות המוכרות תעודות וניתן לבדוק מולן אם התעודה אמיתית או לא. ניתן גם ליצור תעודה עצמאית אבל במקרה הזה נוכל לסמוך שהתקשורת מוצפנת אבל לא נוכל לדעת עם מי אנחנו מדברים (הדפדפן יציג לנו אזהרה).

ישנן כמה רמות של ווידוא בתעודות SSL יש תעודות יקרות שמציגות את שם החברה עם התעודה. התעודות האלה רק נותנות זיהוי יותר טוב של הבעלים של האתר הן לא נותנות הצפנה יותר בטוחה !

אתר יכול לכלול רכיבים בטוחים ולא בטוחים אם אתר כולל רכיבים לא בטוחים אנחנו צריכים להניח שהוא לא בטוח

לא צריך להיכנס לפאניקה. יכול להיות שמישהו השתלט לנו על החיבור ועד עכשיו לא היינו מודעים לזה צריך לשאול את עצמנו האם נכנסו לאתרים אחרים שאולי לא היו מוצפנים והעברנו מידע למישהו שלא ניתן לסמוך עליו.

במידה של SSL שגוי חשוב לקרוא את ההודעה ולהבין למה. יכול להיות שהבעיה היא בכלל ספציפית באתר. במידה ואנחנו מניחים שיש בעיה ברשת (מישהו מנסה להוביל אותנו לאתר אחר) חשוב לא להיכנס לשום אתר עד שנסדר את הבעיה. במידה ואפשר בכלל נתנתק מהרשת (נעבור לרשת יותר מאובטחת או למחשב אחר).

התקיפה הכי נפוצה על SSL היא פשוט לבטל אותו. חשוב מאוד לשים לב כי אז אין אזהרות !

ישנו תוסף לפיירפוקס שמראה לנו את חוזק החיבור. בפועל הרבה אתרים לא מגיעים אפילו ל50% אין לנו כל כך מה לעשות עם זה אבל אם יש אתר שאנחנו גולשים איתו הרבה ופתאום רואים שהחיבור מאובטח פחות מבד"כ זה צריך להדליק לנו איזו נורת הזהרה

ישנה טענה שלינוקס יותר מוגן לוירוסים או שווינדוס יותר מוגן כי יש לו קוד סגור. בפועל זה שטויות וכל המערכות הפעלה פגיעות לפירצות אבטחה באותה מידה. אבל אני אישית מעדיף תוכנה חופשית (קוד פתוח) כי ככה אני לפחות יכול לדעת מה התוכנה עושה ושמי שיצר אותה לא הוסיף לה התנהגויות נוספות.

חייבים לשמור את מערכת ההפעלה ואת כל התוכנות מעודכנות חשוב לא להתקין תוכנות פרוצות כי אז אנחנו בכלל לא יודעים מה התווסף אליהן.

הדפדפן בעצם מאפשר אזור סגור עליו רצים אתרי אינטרנט אבל אתרים זדוניים יכולים לנסות לעקוף את זה. אתר אחד יכול לשלוח הוראות בשמנו לאתר אחר. אם אנחנו עדיין מחוברים למייל לדוגמא יכול להיות שהאתר יצליח לשלוח מייל בשמנו או לעשות דברים אחרים (היום אתרים מנסים להגן על עצמם מבעיות כאלה CSRF ) JS היא השפה שמריצה את כל הווב יש תוספים כמו NOSCRIPT שמאפשרים לנו לראות מאיפה הקוד שרץ ולהחליט אם אנחנו רוצים להריץ אותו. התוסף גם מנסה לזהות בעיות אבטחה נוספות ולהתריע בפנינו (הוא גם יכול להכריח SSL )

בגלל זה אולי שווה לגלוש עם שני דפדפנים. אחד רק לאתרים חשובים שאנחנו מכירים וסומכים עליהם (בנוסף No-script רץ ) והשני לכל מיני אתרים מזדמנים שאנחנו לא מכירים

וישנן שיטות מאוד מתוחכמות יותר כמו התחזות לאתר אליו המשתמש רשום ובקשת עידכון פרטים
כל השיטות האלה בדרך כלל עובדות על מסות של אנשים ולא מכוונות לאדם אחד ספציפי. אבל אם מישהו נחשב מטרה טובה יכול להיות שהוא יקבל הודעות שמיועדות ספציפית אליו והוכנו במיוחד בשבילו. (מאוד מסוכן וקשה להתגוננות).
חשוב לדעת שכל אחד יכול לשלוח מייל מכל כתובת (גם אם היא לא שלא) ניתן לבחור איזה שם שרוצים. באופן בסיסי אם מישהו מבקש מאיתנו לעשות משהו במייל (כולל לפתוח קישור) חשוב לוודא שאנחנו סומכים עליו וזה באמת הוא. אף פעם אל תשלחו מיילים עם קבצים או קישורים בלי הסבר או כמה מילים למי שמקבל את המייל ואל תפתחו קישורים וקבצים בלי שמישהו לפחות כתב לכם למה הוא שולח אותם ומה יש שם.

יכול לפרוץ סיסמא בת 5 תווים ב 6 דקות סיסמא בת 7 תווים ב 9.5 חודשים סיסמא בת 10 תווים ב12 מיליון שנה

באופן רגיל בניסיון לעשות לוגין לאתר המהירות המקסימלית היא100 ססמאות לשניה אבל אם סיסמא היא קלה לניחוש (תאריך לידה \ שם \ ת.ז \ טלפון וכו') ניתן לפרוץ אותה בפחות מיום עם תוכנה אוטומטית שתנסה את כל האפשרויות.

הסיסמה חייבת להיות שרירותית אמיתית. עדיף להשתמש בכלי אוטומטי שמייצר סיסמאות גם כלים אוטומטים לא תמיד משתמשים במנגנון שרירותי מספיק ואז יהיה ניתן לגלות את הסיסמאות שהן מייצרים (בייחוד בטלפונים בדומה לבעיה שהיית עם הארנק bitcoin של אנדריאס)

ייחודית. אסור להשתמש בסיסמא של מישהו אחר ! דא אסור להשתמש באותה סיסמא כמה פעמים לאתרים שונים. אם מישהו יפרוץ לאתר אחד הוא יפרוץ לנו לכל שאר המקומות איך אנחנו בכלל יודעים שהאתר הזה לא ישתמש בסיסמא למשהו אחר ? ססמאות אמורות להשתמש מוצפנות ככה שגם בעל האתר לא יכול לגלות אותן בפועל לא מספיק אתרים עושים את זה ועדיין אם האתר נפרץ ונעשה לוגין כשהפורץ שולט עליו הוא יכול לשמור את הסיסמא.

בגלל שפריצת סיסמא היא עניין של זמן ומזל (אולי מישהו גנב לנו את הסיסמא ואנחנו לא יודעים) צריך להחליף סיסמאות כל כמה זמן (מומלץ לפחות כל חצי שנה) אם אנחנו משתמשים בכלי אוטומטי לשמירת סיסמאות חשוב להחליף את כל הסיסמאות ולא רק את הסיסמת גישה.

איך אפשר לזכור את זה ? מנהלי סיסמאות ישמרו לנו את הסיסמאות ויצפינו אותן כך שלא ניתן יהיה לגשת אליהן בלי סיסמה ראשית. לקי פס יש אפשרות נוספת של שימוש בקובץ מפתח בנוסף שעוזר להגן מפריצה

אבל מה עם סיסמא למנהל סיסמאות. ישנן כמה שיטות ליצור סיסמאות שקלות לזכירה אם הסיסמה מורכבת ממלים ניתן לדמיין תמונה. ישנם כמה כלים שמאפשרים ליצור סיסמאות כאלה חשוב שהמילים יהיו שרירותיות ולהשתמש לפחות ב6 מילים אולי גם להוסיף כמה תווים אקסטרה.

אבל מה עם סיסמא למנהל סיסמאות. ישנן כמה שיטות ליצור סיסמאות שקלות לזכירה אם הסיסמה מורכבת ממלים ניתן לדמיין תמונה. ישנם כמה כלים שמאפשרים ליצור סיסמאות כאלה חשוב שהמילים יהיו שרירותיות ולהשתמש לפחות ב6 מילים אולי גם להוסיף כמה תווים אקסטרה. הכלל היבש אומר שאסור לרשום ססמאות. אבל זה יחסית בסדר אם תרשמו את הסיסמא למייל על דף אצלכם. עדיף כמובן לא לרשום את כל הסיסמא אלא להשאיר חלק ריק שתזכרו למלא אם למשל בחרת סיסמא של מילים אתם יכולים להשמיט שתי מילים או לרשום במקומן מילים שמזכירות לכם את המילה אמיתית. במידה והנייר נגנב או נאבד חשוב מייד להחליף סיסמא (כדאי שיהיה לנו עוד עותק אם אנחנו לא זוכרים...)

כדי לייצר ארנק נייר אנחנו צריכים מחשב נקי שלא היה ולא יהיה מחובר לאינטרנט (רק ככה נהיה בטוחים שהמידע לא יגנב) לייב CD מאפשר לנו להפעיל גירסה נקייה של מערכת ההפעלה החיסרון הוא שצריך כל פעם להתקין את הכלים מחדש ושאנחנו עדיין צריכים לסמוך על החברה שיצרה את הדיסק. לי יש גירסה בבלוג של לייב CD עם הכלים לביטקויין אבל אתם צריכים לסמוך עלי (אני לא הייתי סומך) מדפסות תעשייתיות עלולות לזכור דפים שהודפסו בהם!