Bezpečnostní hrozby v bankovnictví

Bankovní institut vysoká škola Praha Katedra financí

Bezpečnostní hrozby v bankovnictví Diplomová práce

Autor:

Bc. Ivana Cardová Finance

Vedoucí práce:

Praha

Ing. Marcela Soldánová

Duben 2015

Prohlášení: Prohlašuji, že jsem diplomovou práci zpracovala samostatně a v seznamu uvedla veškerou použitou literaturu. Svým podpisem stvrzuji, že odevzdaná elektronická podoba práce je identická s její tištěnou verzí, a jsem seznámena se skutečností, že se práce bude archivovat v knihovně BIVŠ a dále bude zpřístupněna třetím osobám prostřednictvím interní databáze elektronických vysokoškolských prací.

V Praze dne

9. 4. 2015

Bc. Ivana Cardová

Poděkování: Děkuji vedoucí mé bakalářské práce Ing. Marcele Soldánové a Mgr. Petru Cardovi za odborné rady a připomínky při vypracování této diplomové práce. Také mé rodině, která mě po celou dobu studia velice podporovala.

Anotace: Předmětem diplomové práce je charakteristika a popis bezpečnostních hrozeb v bankovnictví vyskytujících se v České republice a Evropské unii, zde je kladen velký důraz na elektronické útoky. Novodobé technologie poskytují klientům stále efektivnější a rychlejší výměny dat, zároveň však poskytují veliké výhody těm, kteří je chtějí zneužít pro svůj prospěch. Díky anonymitě kyberprostoru se stále více kriminálních aktivit přesouvá sem do tohoto místa. Hlavním tématem diplomové práce je rozbor a popis různých možných kybernetických útoků, dále pak možnosti zabezpečení finančních subjektů proti napadení.

Annotation: The subject of this thesis is the characterization and description of security threats occurring in the banking sector in the Czech Republic and the European Union, there is a great emphasis on electronic attacks . Modern technologies provide clients with increasingly effective and faster data exchange, but also provide great benefits to those who want to exploit for their own benefit . Due to the anonymity of cyberspace is increasingly shifting criminal activities here in this place. The main topic of this thesis is to analyze and describe the different possible cyber attacks , as well as the possibility of securing financial entities against attack .

Klíčová slova: útok, autentizace, autorizace, ochrana, viry Key words:

attack, authentication, authorization, protection, viruses

Obsah Úvod ........................................................................................................................................... 7 Zvolené metody zpracování........................................................................................................ 9 1.

Charakteristika bezpečnostních hrozeb ............................................................................ 10 1.1

1.1.1

Motiv hrozeb....................................................................................................... 10

1.1.2

Prostředky k útokům ........................................................................................... 12

1.1.3

Příležitost k útoku ............................................................................................... 12

1.2 2.

3.

4.

5.

Podmínky pro vznik hrozby ....................................................................................... 10

Ochrana před útokem ................................................................................................. 13

Bezpečnostní hrozby v hotovostním platebním styku ...................................................... 15 2.1

Autentizace a autorizace ............................................................................................ 15

2.2

Ověření pravosti bankovek ........................................................................................ 18

2.3

Ověření pravosti transakce ......................................................................................... 20

Bezpečnostní hrozby v bezhotovostním platebním styku ................................................ 21 3.1

Autentizace a autorizace ............................................................................................ 21

3.2

Virtuální měna ........................................................................................................... 26

3.3

Možné druhy útoků .................................................................................................... 27

3.3.1

Útoky na infrastrukturu ...................................................................................... 27

3.3.2

Útoky na komunikaci s klienty ........................................................................... 29

Statistiky hrozeb ve finančním sektoru ............................................................................ 53 4.1

Statistika v ČR ........................................................................................................... 54

4.2

Statistika v EU a ve světě........................................................................................... 56

4.3

Co lze očekávat v budoucnu? .................................................................................... 60

Návrhy řešení bezpečnostních incidentů .......................................................................... 62 5.1

Čip na občanském průkazu ........................................................................................ 62

5.2

Biometrie.................................................................................................................... 63

5.3

SignPad ...................................................................................................................... 64

5.4

Legislativa .................................................................................................................. 66

5.5

Finanční arbitr ............................................................................................................ 69

5.6

Další bezpečnostní tipy .............................................................................................. 70

Závěr ......................................................................................................................................... 71 Seznam použitých zdrojů.......................................................................................................... 73

Úvod Spolu s rozvojem bankovních služeb a produktů se vyvíjí i techniky zlodějů a jiných podvodníků, jak se dostat k finančním prostředkům klientů bank. Je třeba rizikovým situacím předcházet, tím pádem věnovat zvýšenou pozornost bezpečnosti a technice. Zvláště pro banky je nutné zavést taková opatření, aby byly finance jejich klientů zabezpečeny o to víc, čím větší je riziko přepadení nebo útoku pomocí techniky. Vzhledem k tomu, že jsou banky povinny mít na pobočkách dostatek hotovostních prostředků k uspokojení potřeb klientů, jsou pobočky vystavovány nebezpečí loupežných přepadení. Jejich zabezpečení představuje neustálou obměnu technického vybavení, kvalitní metodiku, plnění požadavků pojišťoven, atd., stále však musí počítat i s informovaností a technickým vybavením zlodějů, kteří neustále vymýšlejí další nové způsoby, jak se dostat k penězům, které mají bankovní pobočky na svých pokladnách a v trezorech. Na zvyšování životního tempa a nároků klientů musí reagovat všechny podnikatelské subjekty, nevyjímaje obor bankovnictví. Aby byly subjekty podnikající v tomto oboru stále ziskové, jsou nuceny neustále rozšiřovat nabídku svých produktů a služeb, musí neustále reagovat na měnící se požadavky svých klientů a na rozšiřující se konkurenci. Hlavně díky rozvíjejícímu se využívání internetu se zvyšuje i využívání internetového bankovnictví, které je pro většinu klientů bank schůdnější pro své potřeby než klasická návštěva pobočky z toho důvodu, že klientovi šetří čas i námahu a z pohodlí svého domova si je schopen provést stejné operace, jako na pobočce. Účet si tak mohou založit i klienti, kteří pobočku banky nemají v blízkosti svého bydliště, což je velikou výhodou pro banky, které tím pádem nemusí mít tolik kamenných poboček. Na trh stále vstupují další nové banky, které mají přehledné, uživatelsky přístupné a jednoduché internetové bankovnictví. Starší banky se musí snažit s novými udržet krok, aby byly konkurenceschopné, proto svá elektronická bankovnictví modernizují, inovují a zjednodušují. Nedílnou součástí hotovostního i bezhotovostního platebního styku je jeho zabezpečení z důvodu ochrany bank, jejich zaměstnanců i prostředků klientů. Toto bývá jedním z důležitých faktorů pro výběr banky klientem, i z tohoto důvodu tedy musí být na špičkové úrovni. Předmětem této diplomové práce není zabývat se elektronickými penězi. Pro účely DP se zabývám všemi institucemi, které mají povolení k provádění platebních služeb. 7

V České republice existují úřady a týmy, které mají za úkol zajistit bezpečnost v oblasti kybernetiky. Dne 19. 10. 2011 byl vládou ČR, na základě usnesení vlády č. 781, ustaven Národní bezpečnostní úřad (NBÚ) gestorem1 problematiky kybernetické bezpečnosti a autoritou v této oblasti. Přílohou usnesení je Statut Rady pro kybernetickou bezpečnost. Součástí NBÚ se stalo nově vzniklé Národní centrum kybernetické bezpečnosti (NCKB) sídlící v Brně. Primárním úkolem NCKB je řízení spolupráce při předcházení útokům, při návrzích a přijímání opatření při řešení incidentů a probíhajícím útokům, a to jak na národní, tak i na mezinárodní úrovni. Mezi hlavní činnosti centra patří výzkum a vývoj v oblasti kybernetické bezpečnosti, příprava bezpečnostních standardů pro jednotlivé kategorie organizací v ČR, osvěta a podpora vzdělávání v oblasti kybernetické bezpečnosti, provozovat Vládní CERT ČR, spolupráce s ostatními národními CERT® týmy a CSIRT týmy a spolupráce s mezinárodními CERT® týmy a CSIRT týmy. Klíčovou roli při ochraně významných informačních systémů a informační infrastruktury, dle Zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů, včetně jeho prováděcích předpisů, hrají Vládní CERT a týmy typu CSIRT. Tyto týmy působí jako primární zdroj bezpečnostních informací a pomoci pro orgány státu, organizace a občany. Zároveň však mají velmi důležitou roli v oblasti vzdělávání o bezpečnosti na internetu.

1

Ten, kdo je pověřen výkonem určité činnosti, čili gescí.

8

Zvolené metody zpracování V této diplomové práci je použito několik metod zpracování, jejichž výběr byl závislý na druhu dostupných údajů. Některé podstatné údaje však nelze získat z důvodu jejich velké citlivosti pro finanční instituce, tudíž nejsou zveřejňovány a jsou dostupné pouze zainteresovaným osobám. Z důvodu bezpečnosti nesmí být žádným způsobem publikována pro veřejnost, proto jsou data v diplomové práci zkreslena o tyto informace. Stejně, jako se vyvíjí nové technologie, programy a systémy na ochranu různých institucí a jejich klientů, všemi dostupnými prostředky a metodami se snaží i útočníci zdokonalovat své postupy k dosažení zisku ze své trestné činnosti. V první kapitole popisuji a rozebírám hrozby jako takové, důvod jejich vzniku a podmínky, za kterých k napadení může dojít, zatím co v kapitole druhé již podrobněji popisuji možné hrozby v hotovostním platebním styku. Ve třetí kapitole, na kterou kladu největší důraz vzhledem k modernizaci a rychlému rozvoji techniky, jsem použila metodu analýzy jednotlivých útoků v rámci bezhotovostního platebního styku a následný převod složitých názvů do laicky srozumitelných termínů. Jsou zde popsány různé formy útoků a napadení bezhotovostního platebního styku. Jak je již uvedeno výše, moderní doba si žádá stále dokonalejší technologie, proto je tato kapitola velmi obsáhlá. Zde je analyzován sektor informačních technologií, který má nepřeberné množství možností napadení. V části statistik, kde jsou popsána dostupná data ohledně různých útoků a napadení v rámci České republiky a Evropské unie, byla použita metoda komparace. Porovnávám zde různé formy a druhy útoků, zatím co metoda dedukce je uplatněna v poslední kapitole, kde jsou zpracovány možné druhy ochrany finančních i nefinančních institucí, proti některým formám útoku, avšak s ohledem na rychle se rozvíjející moderní technologie, které lze v běžném provozu těchto institucí za určitých podmínek použít. Také jsou zde stručně popsány nejdůležitější zákony vztahující se k tomuto oboru.

9

1. Charakteristika bezpečnostních hrozeb V dnešní době jsme se snad všichni mohli setkat s různými formami ohrožení, ať už na „vlastní kůži“, v našem okolí či v médiích. Modernizace bankovních produktů a služeb nahrává ke zdokonalování podvodů a trestných činů, prakticky každý se může stát obětí útoku. V první řadě bychom se měli zamyslet nad tím, co rozumíme pod pojmem hrozba. Podle definice hrozbou rozumíme potenciální příčinu nechtěného incidentu, jehož výsledkem může být poškození systému nebo organizace, reálně proveditelnou metodu spuštění události s negativním důsledkem. Významnou součástí bezpečnostních strategií je identifikace a zhodnocení hrozeb, které se mohou finančním institucím2 naskytnout a kvůli kterým musí vytvářet a posilovat své specifické schopnosti a nástroje bezpečnostní politiky.

1.1 Podmínky pro vznik hrozby Pro vznik hrozby je ovšem třeba splnění několika podmínek. Mezi ně patří motiv pro útok či napadení, prostředky, bez kterých by útok nemohl být proveden a hlavně příležitost čin provést. Splněním těchto podmínek se otevírá cesta ke vzniku základního činitele hrozby a tím je pachatel. Vznik pachatele se pak stává pouhou otázkou času, jehož délka se zpravidla odvíjí od síly motivace, složitosti potřebných prostředků a dostupnosti příležitosti. Zde se nám rýsují základní parametry, o které se opírá celá kriminalistika3.

1.1.1 Motiv hrozeb Pro základní motiv většiny hrozeb na světě můžeme sáhnout do primárních charakteristik člověka. Člověk jako živočišný druh je soutěživý a toužící po moci. Primárním motivem těchto vlastností je zabezpečit sebe sama, případně své okolí, a to s využitím co nejmenšího množství energie. Již od pradávna člověk přišel na to, že mnohem méně energie na přežití musí vynaložit, pokud bude ovládat ostatní, které donutí tuto energii vynaložit za něj. K tomu, aby tohoto mohl dosáhnout, je třeba jediná schopnost. Odhalit a umět použít slabost ostatních.

2

Pro účely této diplomové práce si pod pojmem finanční instituce můžeme představit: 1. Banky a pobočky zahraničních bank- působící podle zákona o bankách. 2. Družstevní záložny. 3. Platební instituce. 4. Poskytovatelé platebních služeb malého rozsahu. 3 Zdroj: odborný konzultant Mgr. Petr Carda.

10

Z dnešního hlediska se takové chování může zdát barbarské, ale ve skutečnosti je na něm postavená celá moderní společnost, kdy hrstka vlivných lidí a korporací ovládá celou společnost a lidé z nižších vrstev dostávají pouze část své svobody, přičemž ve skutečnosti jsou vázáni zejména finanční závislostí, avšak citelně omezenou možností zasáhnout do dění ve svém okolí. V historii světa je jen málo neustále se opakujících motivů pro trestné činy v různém rozsahu a těmi jsou moc, vztahy a tím nejčastějším jsou peníze. Právě peníze v různých podobách, ať už se bavíme o svazku kůží, které nesl lovec k obchodníkovi na lodi na řece, váček se zlatými nugety4 na opasku, mušlích, perlách, drahokamech nebo v moderní elektronické podobě, představují nejsilnější a zároveň nejuniverzálnější motivaci pro vznik trestného činu. Je to dáno zejména univerzálností, která umožňuje převést peníze na jiné silně motivující prvky. Nejčastěji se v tomto směru zmiňuje získávání moci za pomoci peněz a zároveň získávání dalších prostředků za pomoci moci. Právě tento vztah, kdy vložením peněz do získání moci je příslibem pro získání většího množství peněz, je nejsilnějším motivem pro vytvoření hrozby cílící na zdroje a toky peněz. Bylo by však velkou chybou považovat získání prostředků za jediný motiv, kterým může být hrozba spuštěna. Dalším takovým motivem může být právě moc samotná. Banky jsou velmi často v pozadí velkých korporací a událostí v celosvětovém měřítku. Právě vliv finančních institucí může rozhodovat o tom, zda se podaří nebo nepodaří uskutečnit větší záměr. Typickou ukázkou toho, jak lze pomocí moci bankovních domů ovlivnit světovou rovnováhu, může být například zablokování japonských prostředků ze strany USA na začátku druhé světové války. Zablokování účtů ohrozilo japonskou schopnost nákupu ropy a dalších strategických surovin, což nutně vedlo k reakci a ve snaze zajistit si přísun surovin, Japonsko přešlo do ofenzivy a začalo zabírat území okolních států. Kamenem úrazu se stal zájem o Filipíny, a protože USA se snažily všemi prostředky zablokovat Japonsku přístup k tamním zdrojům, rozhodlo se japonské vrchní velení provést plán na napadení Pearl Harboru, jehož vypracováním pověřilo na jaře roku 1940 admirála Isoroku Jamamota. Tímto krokem byla zažehnuta válka v Tichomoří.5 Dalším motivem může být samotné snížení věrohodnosti konkrétní finanční instituce a jejího vytlačení z trhu, případně její převzetí. Pro tento motiv se mi nepodařilo najít vhodný příklad, ale laikovi může vyvstat v paměti převzetí IPB ze strany ČSOB. Situace kolem této události 4 5

Malé hrudky zlata. Zdroj: HUBÁČEK, Miloš. Pacifik v plamenech. 2. Vydání. Praha: Panorama, 1990. ISBN 80–7038–049-7.

11

byla však mnohem složitější, než se na první pohled zdá a bylo by chybou uvažovat o této události v tomto kontextu. Informace kolem této události však stále nejsou úplné a o jejich věrohodnosti lze v mnoha případech s úspěchem pochybovat a tak je těžké zaujmout korektní postoj6.

1.1.2 Prostředky k útokům Nejvíce limitujícím prvkem pro vytvoření hrozby jsou nutné prostředky k provedení útoku. Spadají sem všechny prvky, které musí útočník pro splnění hrozby použít. Do tohoto seznamu tedy patří zejména: -

prostředky technického a technologického rázu,

-

zvláštní znalosti,

-

využití lidských zdrojů.

Můžeme sem ale také zařadit prostředky nutné pro zamaskování, případně převzetí identity, které jsou zpravidla chráněny vlastními ochrannými prvky. Efektivní získání potřebných prostředků se tak s vývojem společnosti a technologií stává stále složitějším procesem, který vyžaduje stále více znalostí. Zároveň dochází k posunu provedení útoku a jeho stylu od útoku na uložení nebo přepravu prostředků k falsifikaci identity, i tento jev lze vysvětit ekonomikou. Je totiž snazší a levnější zaměřit se na moment rozpoznání identity nutné pro transakci, než se snažit napadnout a zmanipulovat několik procesů v různých systémech a vystavovat se tak mnohem většímu riziku odhalení za současného mnohonásobného zvýšení nákladů. Stejně jako každý jiný subjekt i útočník žádá co nejvyšší zisky za co nejnižší náklady7.

1.1.3 Příležitost k útoku Příležitost je faktorem, který bývá rozhodujícím a i přes veškerou snahu bývá největším problémem pro zachování bezpečnosti. Stejně jako v ostatních odvětvích zabývajících se bezpečností, i zde platí, že útočník bývá většinou krok nebo více kroků před obránci. Prakticky lze souhlasit se rčením, že pokud jde o bezpečnost, jedná se o šachovou partii mezi obránci a neurčitým množstvím útočníků s neznámou taktikou. Už z tohoto popisu je zřejmá

6 7

Zdroj: odborný konzultant Mgr. Petr Carda. Zdroj: odborný konzultant Mgr. Petr Carda.

12

složitost ochrany a obrany, kdy je jasné, že se jedná prakticky o boj s neviditelným fantomem8.

1.2 Ochrana před útokem Již od počátků civilizace se právě toky prostředků stávaly nejčastějším místem konání násilí a událostí dnes hodnocených jako trestné činy, právě proto, že při přesunu prostředků je oslabena jejich bezpečnost a tudíž vzniká příležitost. Právě tento fakt si uvědomili lidé už dávno, a proto se snažili omezit fyzický transport prostředků. Tak již v dřívějších dobách začaly vznikat finance představující konkrétní objem prostředků a tím se sice snížil objem potřebný pro transport, avšak jediným zvýšením bezpečnosti bylo za pomoci „neznámé“. Princip bezpečnosti „neznámou“ spočívá v tom, že útočník nemá dostatek informací, tedy neví, jakou ochranu případně obranu bude muset překonat a neví ani, jaké množství prostředků za svou snahu získá. Tedy jestli se mu snaha z ekonomického hlediska vyplatí. Tím se dostáváme opět k jednomu ze základních prvků hrozby a tím je motiv. Motivem je získat prostředky, a pokud útočník vynaloží více energie, než získá, není to pro něj ekonomicky výnosné, proto se mu nevyplatí útok provést. Právě o mechanismus ochrany „neznámou“ se opíraly mnohé subjekty v celé historii, ať už se bavíme o utajování objemů pokladů,

plnosti

pokladen,

utajování

rozsahu

karavan

a

vlastně

až

k jednomu

z nejproslulejších zločinů 20. století, kterým je velká vlaková loupež. Velmi dlouho britské banky používaly pro převoz peněz služeb britské pošty. Důvodů pro toto chování bylo mnoho od těch velmi úsměvných až po vážné. Jedním z nich kupříkladu bylo, že britská pošta měla ve znaku královský znak. Útok na poštu by tedy byl vlastně útokem na královnu a něco takového by Brit nikdy neprovedl ani by to nedopustil. Dalším důvodem byla ekonomická stránka, protože použitím pošty se snížily náklady na převoz peněz a tím se zvýšily zisky bank. Důvodem také byla rychlost, protože britská pošta se velmi rychle naučila využívat nový vynález, kterým byla železnice a s jejím vývojem se zvyšovala rychlost převozu. Za zcela dostačující byly hodnoceny zpevněné vagóny, ačkoliv z dnešního pohledu se jeví toto opatření jako úsměvné ve chvíli, kdy si uvědomíme, že vak s penězi byl zavěšen na ráhnu a z přijíždějícího vlaku byl vysunut hák, který tento vak zachytil a s jehož pomocí byly peníze 8

Zdroj: odborný konzultant Mgr. Petr Carda.

13

vtaženy za jízdy do vlaku. Nikdo nezasvěcený však nevěděl, kdy dojde k předání, ani kolik peněz je ve vaku uskladněno. Po příjezdu do cílové stanice pak byly vaky vyskládány na plošinu a převezeny příjemci. Tímto mechanismem byly v Británii převáženy i větší částky, což bylo zčásti dané i relativně nízkou kriminalitou v dané době. Skutečnou ochranu poskytovala britská pošta pouze skutečně velkým objemům peněz. Takto to fungovalo do 8. 8. 1963, kdy si organizovaná skupina 15 lupičů políčila na noční transport peněz. Vlak jedoucí z Glasgow do Londýna pomocí upraveného signalizačního zařízení zastavili u vesnice Cheddington, kde se vlaku zmocnili, odpojili vagóny a několik kilometrů k viaduktu Bridego odvezli pouze mašinu a vagón s penězi.

Během předem

stanovené doby se jim podařilo ukořistit 2,63 milionu liber, přestože to nebyl úplný náklad peněz, kvůli bezpečnosti vykládku přerušili a z místa činu s nákladním automobilem plným vaků s penězi zmizeli. Průběh tohoto činu zachycuje obrázek 1. I přes veškerá opatření proti zjištění identity a velmi dobře promyšlený plán však policie 12 členů dopadla během několika měsíců. Obrázek 1 - Průběh Velké vlakové loupeže

Zdroj: http://www.bbc.com/news/uk-23606367[16.3.2015] Skutečným dopadem ale bylo zděšení v bankovním sektoru, který během velmi krátké doby musel přehodnotit zabezpečení transportu peněz. Nepříjemným dopadem byl i pokles důvěry v bankovní instituce a s tím spojené chování klientů.9 9

Zdroj: http://web.archive.org/web/20070227180431/http://www.bbc.co.uk/crime/caseclosed/greattrainrobbery.s html[22.1.2015].

14

2. Bezpečnostní hrozby v hotovostním platebním styku V současné době pachatelům nahrává nepozornost klientů při výběrech hotovosti z bankomatů. Klienti většinou z neznalosti a neopatrnosti podceňují fakt, že by se mohli stát obětí podvodu při výběru z bankomatu. Bankomat berou jako nástroj, jak se dostat ke své hotovosti na účtu. Tohoto využívá pachatel nebo organizované skupiny pachatelů, které pak bez většího rizika získají finanční hotovost. Zde opět musí přijít finanční instituce s řešením, jak uchránit a informovat své klienty. Pro finanční instituce tyto podvody představují další finanční náklady. Policie k úspěšnému odhalení pachatele potřebuje včasné oznámení a kvalitní informace. To musí zajistit zabezpečovací technika, kamerové systémy a v případě loupežného přepadení na pobočce je nutné svědectví zaměstnanců, kteří jsou pokud možno schopni výpovědi. Pak může Policie včas odhalit pachatele a zabránit mu tak v páchání další trestné činnosti.

2.1 Autentizace a autorizace Klíčovým bodem veškerých bezpečnostních procesů jsou autentizace a autorizace. Autentizace je proces, při kterém dojde k ověření identity subjektu. Ve světě lidí je typickou ukázkou autentizace vyžádání občanského průkazu, jako důvěryhodného dokladu ověřujícího totožnost. Jinou formou může být ověřený podpis nebo heslo, případně specializované zařízení a nástroje jako jsou OTP10, klíče atp. Autorizace oproti tomu je proces ověření oprávnění k dané operaci. Lidé takový proces znají jako druhou část, kdy bankovní pracovník ověří, zda prověřený klient má právo manipulovat s požadovaným účtem. Autentizace jako taková je velmi častým cílem útočníků, protože pokud se podaří zmanipulovat tuto část zabezpečovacích procesů, bývá cesta dále zpravidla bez komplikací, ačkoliv moderní bezpečnostní postupy zavádějí sekundární autentizace během kritických operací, stále se většina subjektů drží původních, dnes již zastaralých procesů, kdy je klient autentizován pouze na začátku sezení. Právě z tohoto důvodu, pokud se útočník rozhodne provést svůj útok, je autentizace jeho velmi častým cílem. Cest existuje mnoho a liší se prakticky pouze technologickou potažmo finanční náročností. Jako nejjednodušší cesta se jeví falsifikovat samotný doklad ověřující totožnost, 10

Jednorázové heslo nejčastěji generované speciálním zařízením.

15

například občanský průkaz. Právě pro posílení jeho bezpečnosti přestoupila Česká republika od knížek ke kartám, které samy o sobě nesou několik zabezpečovacích prvků. Prvním prvkem, který padne útočníkovi do oka, je samotná strojově čitelná část dokladu. Ta je chráněna pouze tím, že data v ní uložená, se musí shodovat s daty formuláře uvedeného nad ní. Sama o sobě je pak chráněna vloženou strojově čitelnou informací11 v druhém řádku a kontrolním číslem na jeho konci. Z hlediska útočníka se však jedná pouze o vábničku, na kterou se nechytne už jen z toho důvodu, že málokterý subjekt tuto oblast skutečně používá. Mnohem důležitější je hologramová fólie12 chránící fotografii. Slabina původních dokladů spočívala právě v ní, protože drtivá část procesu spočívala v porovnání fotografie s fyzickou předlohou, byla nejsnazší cestou záměna fotografií. V původních dokladech jako jedním z ochranných prvků bylo připevnění fotografie nýtem k dokladu, to však pro padělatele nepředstavovalo větší problém a s postupem technologií bylo přikročeno k přelepu části fotografie hologramovou páskou. I tu se však podařilo falsifikovat. Proto jednou z praktik posledních desetiletí je kombinace několika ochranných prvků. Prvním prvkem je již velmi dobře známý vodotisk dokladového papíru, přidání vláken fosforeskujících pod UV zářením, použitá barva a dalším prvkem je použitý plast, který obsahuje také látky fosforeskující pod UV zářením. Jedním z posledních prvků, které byly přidány, je plastický lis vyražený na povrch dokladu. Nicméně toto jsou prvky viditelné na první pohled, o dalších praktikách se zmíním v kapitole 2.2. Falsifikování dnešního dokladu totožnosti je řádově složitějším procesem, než tomu bývalo v historii a významným způsobem se přiblížilo procesu falsifikování samotných bankovek. Zdánlivá jednoduchost dnešních dokladů je zrádnou pastí, do které mohou snadno spadnout nezkušení padělatelé a právě tato past představuje první linii obrany proti takovým zločincům. I přes to vše je třeba si uvědomit, že útočník bývá zpravidla krok před obráncem a i dnešní doklady mají mnoho slabin, které mohou být využity13. Další cestou, jak obelstít fyzickou autentizaci, je cesta, která svou technologickou a finanční náročností hraničí v pohledu běžného občana s oblastí science-fiction. Tou je samotná falsifikace obličeje ověřované osoby. I přes to, že se jedná o cestu relativně složitou a vyžadující řadu specializovaných zřízení, je třeba si uvědomit, že i tato cesta je stále možná. 11

Informace, kterou lze automatizovaně načíst a zpracovat. Obrázek působící dojmem 3D obrazu, nejčastěji vypalovaný do hliníkové vrstvy napařené na plastovou folii za pomoci laseru. 13 Zdroj: https://is.bivs.cz/th/13425/bivs_b/BP-Ochranne_prvky_a_padelani_penez.pdf. 12

16

Navíc ve světě 3D tisku a dalších donedávna fantastických technologií, nabývá stále více na reálnosti a hlavně finanční dostupnosti. Právě ekonomika zločinu však způsobuje její nižší pravděpodobnost. Nicméně pokud se jedná o získání prostředků v řádech milionů, jeví se i tato relativně složitá cesta jako výhodná. Společnosti na celém světě vynakládají miliardové náklady na neustálé zdokonalování autentizačního procesu při fyzickém jednání. Do praxe jsou zaváděny technologie biometriky (více v kapitole 5.2.), analýzy mikropohybů obličeje, sítnicové a daktiloskopické scany14, v posledních letech se stále častěji ozývají trendy zavádění RFI 15 chipů. Korporace vyvíjejí stále silnější tlak na výzkum a zavádění stále složitějších technologií opírajících se čím dál více o biologickou odlišnost jednotlivých lidí na světě. Její detekce a zpracování je však stále složitější a výzkumy prokazující unikátnost jsou stále rozsáhlejší a náročnější. Oproti tomu zločinci mají výhodu řádově jednodušší cesty, jak tato zabezpečení překonávat. Lidský faktor je vždy hodnocen jako slabina těchto procesů a obecně je člověk považován za jeho nejsnáze manipulovatelnou část. Ve světě bezpečnosti se vyskytuje termín rubberhose-attack, kterým je označováno získávání kritických informací pro získání přístupu násilnými prostředky. Tento termín čerpá své kořeny v mafií oblíbeném způsobu získávání informací. I zde se však opět projevuje skutečnost, že nejslabším článkem jakéhokoliv zabezpečení může být lidský faktor. Typickou ukázkou jsou neustále se opakující kauzy, kdy klienti žádají náhradu za peníze vybrané z bankomatu pomocí ukradené platební karty. Velmi často se ale díky záznamu kamer přijde na hrubé porušení bezpečnosti ze strany klienta ve formě PINu zapsaného na papírku uloženém v peněžence vedle karty samotné. Absolutním vrcholem jsou situace, kdy se přijde na to, že PIN byl zapsán přímo na kartě. Nicméně každou hloupost je možné využít a tak se najdou jedinci, kteří si na kartu sice napíšou PIN, ale zcela nesprávný a spoléhají na fakt, že po třetím špatně zadaném PINu bude karta bankomatem zabavena 16.

14

Scany pro otisk prstů a snímání oční sítnice. RFI – Radio frekvenční identifikace – technologie identifikace založená na bezdrátové komunikaci mezi chipem a čtecím zařízením. 16 Zdroj: odborný konzultant Mgr. Petr Carda. 15

17

2.2 Ověření pravosti bankovek Zvláštní problematikou je bankovka a ověření její pravosti. Již od dob výměnného obchodu, kdy naši předkově směňovali komodity za jiné, byla obvyklá praktika, že si obě strany prověřily kvalitu směňovaného zboží. U soli a potravin mohlo jít o ochutnání, u kovů o kontrolu vrypem, případně odolnosti vůči jinému kovu. Tyto techniky však byly založeny na zkušenosti testujícího. Zavedením mincí se situace v obchodování změnila dostatečně již tím, že obchodující strany nemusely přenášet komodity fyzicky leckdy na velké trasy. Oproti tomu vyvstal problém rozeznání pravosti mince. Z počátku mince byly vyráběny z materiálů, jejichž hodnota přibližně souhlasila s hodnotou mince. Pro ztížení padělání byly mincím dávány různé tvary, otvory a zpracování materiálů. Později byly na mince přidány umělecké vzory reprezentující organizační jednotku, která minci vyrobila, tato ochrana se rozmohla po rozšíření ražby mincí a po dlouhou dobu byla považována za dostatečnou. Je třeba si uvědomit, že hodnota mincí se rozešla s hodnotou jejich materiálů až v nedávné době se zavedením jejich masové výroby a zdokonalením zpracování kovů. Jiným příběhem jsou bankovky. Zatímco v Evropě a orientálních oblastech množství mincí začínaly nahrazovat směnky, v Číně v 7. století přichází papírové bankovky ve formě papírového dokumentu opatřeného otištěnou pečetí. Vzhledem k faktu, že bankovky podléhají zkáze, je jejich šíření pomalé. V Evropě ještě v 17. století dominují úpisy. Přichází ale rozmach obchodu a nárůst jeho objemu a tím i objemu transakcí a banky začínají vykupovat dluhopisy a další cenné papíry. Později začínají vydávat své vlastní cenné papíry, které jsou používány jako peněžní prostředek a bankovka přichází hned vzápětí. Na počátku bankovka představovala hodnotu uloženou v bankovním sejfu. Šlo tedy spíše o certifikát krytý skutečnou hodnotou. S dalším nárůstem peněžních prostředků v oběhu však dochází k situaci, kdy jednotlivé centrální banky již nejsou schopny krýt hodnotu svých bankovek skutečnými materiály a tzv. zlatý standard padá. Z bankovek se ztrácí fráze „Bankovka je krytá zlatem a dalšími aktivy ... banky“ a její hodnota se stává spíše virtuální záležitostí, což umožňuje státům v případě potřeby dotisknout nové. Ochrana bankovek se vyvíjela společně s jejich historií. Zatímco ve staré Číně bylo padělání bankovky těžké spíše z technického důvodu, ať už bereme v úvahu omezený přístup k materiálu, znalostem a v neposlední řadě exemplární trest smrti v případě dopadení. V době počátku Evropských bankovek šlo spíše o umělecké zpracování a jejich počáteční vzácnost. 18

Jen velké banky byly schopny a ochotny uvolnit bankovku, takže byl zpočátku jejich pohyb dobře monitorován. S jejich postupným rozmachem však bylo třeba ochranné prvky zdokonalovat. Jako nejznámější ochranný prvek je považován vodotisk. Ve skutečnosti jedním z prvních ochranných prvků byl papír samotný. Dodnes platí, že zkušená pokladní pozná bankovky po hmatu. Hned dalším ochranným prvkem je hlubotisk. Později přichází speciální barvy a látky pro ochranu bankovky. Až poté se na bankovky dostávají prvky z již rozšířených kolků jako perforace a vodotisk. S postupem padělatelských technik se rozvíjí i ochrana bankovek a tak se

do

popředí

dostává

technika,

kdy je

bankovka

tištěna

postupně

tak,

aby se překrývající linky neslévaly. Právě tento detail velmi často posloužil a vlastně slouží dodnes k častému odhalení padělků. Je veřejným tajemstvím, že nejdražší na bankovce je speciální několikavrstvý papír, na kterém je natištěna. Kromě různých příměsí, jakými jsou například vlákna fosforeskující pod UV zářením, látky reagující na speciální barvy změnou jejich barevnosti a další příměsi, vyskytují se na některých bankovkách výřezy přetažené speciální fólií leckdy s hologramem. Prakticky běžným ochranným prvkem bývá kovový proužek, hologramová fólie nebo jiný protkávaný prvek. Samotnou ochranou je pak i tisk bankovky. Obrázek 2 - Ukázka mikrotisku na bankovkách

Zdroj: http://fyzweb.cz/clanky/index.php?id=212[12.6.2014] Kromě zmíněného tisku po částech zvyšujícího její kvalitu, dalším prvkem je i barva samotná, která scanováním nebo kopírováním pozměňuje svoji barvu, proto má originál jiné zbarvení než kopie. Samotný tištěný motiv obsahuje hned několik ochranných prvků. České bankovky jsou tištěny tak, že rubová a lícová strana obsahují prvky, které se navzájem doplňují, pokud jsou prosvíceny světlem, do jednoho symbolu. Jemný tisk v různých částech bankovky

19

pak obsahuje mikrotisk17 textu (viz obrázek 2) nebo hodnoty bankovky, linky tisku vytvářejí z různých úhlů symboly a obrazce. Zároveň je každá bankovka označena vlastní identifikací, pomocí které lze originál dohledat. Zejména díky pestré padělatelské historii v českých zemích, jsou naše bankovky považovány jako jedny z nejlépe chráněných. Veřejně je známých osm základních ochranných prvků, ve skutečnosti je prvků mnohem více, skromným odhadem patnáct. Oproti tomu je s podivem, že některé série dolarových bankovek ještě v 60. letech 20. století disponovaly pouze pěti ochrannými prvky. Přitom ještě donedávna patřily mezi platné. Protože se však stávaly častou obětí padělatelů, byly z oběhu postupně staženy a nahrazeny modernějšími bankovkami s více ochrannými prvky18.

2.3 Ověření pravosti transakce V hotovostním platebním styku je ověření pravosti transakce již z principu jednoduchým procesem. Už jen fakt, že obě strany jak klient, tak finanční instituce přicházejí fyzicky do kontaktu a klient jednoznačně projevuje svůj úmysl nakládat s fyzicky dostupnými platebními prostředky. Pokud tedy dojde k úspěšnému ověření klienta ve vztahu k jeho účtu, není pochyb o transakci, kterou hodlá klient uskutečnit. Pro případné vyvrácení nejasností však dodnes většina bankovních domů vyžaduje vlastnoruční podepsání dokumentu o požadované transakci. Tento podepsaný dokument pak slouží jednak jako případný doklad a jednak jako součást historického vývoje klientova účtu19.

17

Mikrotisk – miniaturní tiskové prvky používané jako ochranný prvek, zpravidla text, číselná hodnota nebo grafický symbol tištěný v tak malé podobě, aby nešel běžnými prostředky vytvořit a zároveň unikl běžné pozornosti. Dodnes například velká část lidí používajících bankovky neví o mikrotisku jejich hodnot do zdánlivě jednolitých ploch případně ozdobných prvků bankovky. 18 Zdroj: https://is.bivs.cz/th/13425/bivs_b/BP-Ochranne_prvky_a_padelani_penez.pdf. 19 Vzor Příkazu k úhradě doplněn v příloze, kde jsem vytvořila vlastní obrázek pomocí formuláře z http://www.zbynekmlcoch.cz/informace/ke-stazeni/nezarazene-vzory/smlouvy-dohody-zaloby-tiskopisy-navrhyzdarma-ke-stazeni.

20

3. Bezpečnostní hrozby v bezhotovostním platebním styku Moderní technologie mají celou řadu vlastností, které jsou velkou výhodou nejen pro běžného uživatele, ale také pro zločince a podvodníky. Obrovské nebezpečí vykazují všechny formy aktivit, které jsou nelegální a nežádoucí v kyberprostoru, ať už se jedná o šíření pornografie, návodů na přípravu výbušnin, propagaci extremismu nebo zneužívání elektronického bankovnictví, apod. Boj proti kybernetickému terorismu v rámci informační kritické infrastruktury je v současné době chápán jako jedna z klíčových aktivit bezpečnostních složek. Při analýze bezpečnostních hrozeb v bezhotovostním platebním styku je na prvním místě potřeba uvědomit si, kdo je poskytovatel služeb, jakých služeb a kdo ty služby odebírá. Základní princip kontaktu klienta a finanční instituce zde zdaleka nezahrnuje všechny zdroje rizik. Už jen z toho, že je třeba si uvědomit, že poskytovatel služeb je zastoupen serverem, který poskytuje pro nás v tuto chvíli obecnou službu a klientem je libovolný odběratel těchto služeb, v tomto případě s nejvyšší pravděpodobností aplikace běžící na samostatném systému. Tím se dostáváme do obecné abstrakce klasické interakce client-server20, kdy je třeba uvažovat o tom, že pravděpodobně dokážeme získat relativně detailní informace o serveru, ale z principu věci nelze určit aplikaci, která přistoupí jako klient. Víme jen to, že klient zná a umí použít komunikační protokol pro přístup na server a nemáme žádné informace o aplikaci samotné ani o jejím tvůrci. A konečně i v případě, že bychom si na základě protokolu vynutili identifikaci aplikace samotné, je více než pravděpodobné, že by útočník svou skutečnou identitu skryl a falsifikoval veškeré identifikační informace.

3.1 Autentizace a autorizace Nastane situace, kdy serverem je bankovní systém umožňující provádění transakcí s účty klientů a dojde k momentu, kdy je navázána session21 mezi klientem a serverem. V této chvíli je tedy dáno, že serverem je centrální systém a klientem je nějaká aplikace požadující 20

Termín označující systémové řešení, které se opírá o spolupráci mezi klientskou aplikaci umožňující práci s daty, která jsou ovšem spravována serverovou aplikací běžící na centrálním serveru, kam se klient může připojit. 21 IT alternativa k rozhovoru mezi klientem a pracovníkem.

21

informace. K tomu, aby byly ochráněny informace o účtech, na jejichž bezpečnosti stojí celá existence finanční instituce, je třeba odfiltrovat neoprávněné přístupy. Zde ovšem nejsou žádné občanské průkazy ani vizuální porovnání obličeje s fotografií na průkazu. Místo toho zde existuje klasická autentizace, tedy vyžádání přístupových informací. Pro uživatele, který aplikaci používá, se zpravidla jedná o jméno a heslo. Pro vnitřní aplikace se velmi často jedná o unikátní identifikátor aplikace tvořený pro běžného uživatele nezapamatovatelným a velmi dlouhým řetězcem znaků. To však nezastaví útočníka ve chvíli, kdy se mu podaří tento identifikátor získat. Proto jsou automatizované přístupy chráněny ještě mnoha dalšími prvky. Obrázek 3 - Schéma použití DMZ pro ochranu vnitřních informačních systémů

Postes clients=žádající klienti, Firewall=monitoruje provoz a blokuje nežádoucí komunikaci, Routeur Internet= internetový router, DMZ= demilitarizovaná zóna Zdroj: http://xenod.free.fr/0_Differents_acces_aux_differentes_organisations_avec_un_parefeu.htm[15.2.2015] Prvním a nejčastějším z ochranných prvků je stanovení IP adresního prostoru22 , ze kterého se aplikace může k serveru připojit. Adresní prostory jsou rozděleny na prostor vnitřních systémů23 a systémů z tzv. demilitarizované zóny. Jako demilitarizovanou zónu ve světě IT označujeme izolovanou oblast strojů, které jsou vystaveny vnějšímu přístupu, a tedy jsou potenciální branou pro útok. Z vnějšího světa je demilitarizovaná zóna chráněna síťovými prvky, které mají za úkol kontrolovat komunikační protokoly, jako jsou HTTP, FTP, 22 23

Množina dostupných IP adres. Množina IP adres určených pro informační systémy uvnitř firmy.

22

SMTP24, apod. a zastavit jakoukoliv formu nepovolené komunikace již při přístupu na servery v demilitarizované zóně (dále jen DMZ). Samotné servery umístěné v DMZ se pak obrací se žádostmi o informace do chráněné vnitřní zóny25, kde jsou obsluhovány servery vnitřních systémů a v této komunikaci opět stojí další síťové prvky, které kromě druhu komunikace kontrolují i adresy počítačů, snažící se o komunikaci. Tím se snaží zablokovat veškerou komunikaci, která sice prochází přes vnitřní bránu26 do DMZ, ale směřuje ven. Díky omezenému počtu a účelu serverů DMZ je zde také snazší nastavit velmi striktní pravidla pro filtrování komunikace. Zkušenosti se vzrůstajícím výpočetním výkonem, zmenšování kybersvěta formou zvyšování rychlostí, jeho zvětšování formou nárůstu připojených systémů a tím zvyšování objemu výpočetního výkonu, který teoreticky může být použit pro útok, se stávají jednoduché autentizační mechanismy jako zcela nedostatečné. Na venek se tato skutečnost začala projevovat tím, že finanční instituce zahájily rozšiřování autentizačních procesů zaváděním tzv. sekundární autentizace. V praxi to znamená, že kromě jména a hesla uživatel musí zadat ještě třetí informaci. Původně se jednalo o druhé heslo, ale zkušenosti prokázaly, že se bezpečnost prakticky nezvýšila a proto velmi rychle došlo k obratu. Je požadována unikátní informace běžně označovaná jako OTP (one-time password) buďto vygenerovaná autonomním systémem a doručená uživateli samostatným komunikačním kanálem např. pomocí SMS, e-mailu apod. anebo je OTP vygenerováno pomocí malého zařízení. V prvním případě, kdy je informace vygenerována samostatným systémem a doručena uživateli, je kladen důraz na jedno z pravidel bezpečnosti, že klíč musí cestovat odděleně od informace. Je to princip známý již ve starověku, kdy šifrovaná zpráva cestovala kurýrem po jedné trase a samotný klíč k jejímu přečtení cestoval kurýrem po úplně jiné, co nejvzdálenější trase. V případě zachycení kurýra ani jedna z těchto informací nedávala smysl a zajištění obou kurýrů najednou bylo statisticky přijatelné riziko. Tento princip je přijímán i v moderním světě, kdy počítačová síť je považována za jednu trasu, která teoreticky může být napadena. Proto je OTP doručeno nejčastěji formou SMS zprávy pomocí mobilní sítě, protože se nepředpokládá, že v masovém měřítku bude útočník schopen napadnout obě sítě najednou.

24

Komunikační protokoly (Hypertext transfer protocol, File transfer protocol, Simple mail transfer protocol). Část informační infrastruktury firmy chráněná síťovými prvky před útokem z vnějšího světa typicky internetu. 26 Za bránu označujeme siťový prvek kontrolující provoz na rozhraní dvou zón. Význam a účel je analogický k branám středověkých měst, tedy kontrola provozu a obranný prvek. 25

23

Pokud jde o samotné OTP zařízení, zde se opíráme o fakt, že v IT neexistuje generátor skutečně náhodných čísel. Existují více, či méně povedené pokusy počítající náhodnou hodnotu z mnoha proměnných, u těch nejdokonalejších se může jednat i o teplotu prostředí, napětí v síti atd. Avšak reálně se vždy jedná o dosazení hodnot do vzorce, kdy je často použita předchozí hodnota a prakticky vždy je použit aktuální systémový čas. Běžně dostupné algorytmy27 počítají pouze pseudonáhodné hodnoty. Často se používá pro testování generátoru náhodných čísel jednoduchý test, kdy jsou v obrázku barveny body ve chvíli, kdy je vygenerována hodnota. Pokud pak požádáme o tolik hodnot, kolik je bodů v obrázku, měli bychom od dokonalého generátoru dostat vždy právě jednu unikátní hodnotu, tedy měli bychom pokrýt barvou celý obrázek a žádná hodnota by se neměla opakovat. V praxi je situace úplně jiná. Obrázek 4 - Výstup testu generátoru náhodných čísel

Zdroj: odborný konzultant Mgr. Petr Carda Tento test se však většinou pouští s požadavkem na několikanásobek možných hodnot, aby se prokázalo, zda generátor nemá oblasti čísel, které nikdy nepřidělí. Díky tomu, že zařízení i aplikace mají stejný generátor a synchronizované vnitřní časy, algorytmus na obou stranách vygeneruje stejnou hodnotu. Proto je schopné OTP zařízení vygenerovat sekvenci znaků, kterou je server schopen a ochoten akceptovat i přes to, že neexistuje možnost, jak by se oba systémy mohly dohodnout. Díky tomu je útočník postaven před víceméně nemožný úkol, protože pro získání hodnoty by musel získat nejen

27

Sled instrukcí vedoucí k dosažení zvoleného cíle nebo vyřešení problému.

24

algorytmus generátoru, ale také jeho individuální inicializační nastavení 28 a nastavení vnitřních hodin29. Jenže jak již bylo zmíněno, nemusí být aplikace použita klientem, který může vložit požadovanou informaci, v takovém případě přichází do hry velmi často certifikáty. Použití bezpečnostních certifikátů se opírá o kryptografický princip veřejného a privátního klíče. Zjednodušeně lze říct, že zprávu odesílatel kryptuje 30 za použití veřejného klíče příjemce31, zatímco ten pomocí privátního klíče32 zprávu přečte. Specifickým faktem je, že veřejný klíč není použitelný pro dekryptování33 zprávy a dokonce je možné jej veřejně publikovat. Za použití tohoto principu vznikly bezpečnostní nebo také uživatelské certifikáty. Pokud se bavíme o uživatelském certifikátu, mluvíme o množině informací vydaných certifikační autoritou. Tato množina informací pak může být použita k účelu, za jakým byla vydána, například digitální podpis, kryptování nebo také autentizace vůči systému. Certifikát sám může obsahovat veřejný i privátní klíč, nicméně na pozadí je třeba vnímat další rozměr faktu, že ten, kdo se certifikátem prokazuje, byl již ověřen certifikační autoritou v době získání certifikátu. Pokud se tedy vrátíme do světa aplikací komunikujících s centrálním systémem, je přihlášení pomocí certifikátu další variantou, kdy můžeme potvrdit identitu aplikace, aniž bychom do komunikace zanášeli klasické jméno a heslo. Navíc technologicky je přinejmenším složité certifikát ze stroje, na kterém je uložen, vypreparovat. Úložiště certifikátů totiž zpravidla neumožňuje jeho zpětné získání v takové podobě, aby bylo možné jej dále používat. Autorizace k jednotlivým operacím se odehrává zpravidla tak, že po navázání session jsou zjištěny role a práva ověřované identity. Tyto informace jsou pak porovnávány s požadovanými právy pro konkrétní operace34.

28

Počáteční nastavení při spuštění. Vnitřní hodiny alias vnitřní časovač – vnitřní časovací mechanismus udržující informaci o postupu času principielně srovnatelný s křemíkovým krystalickým oscilátorem systému quartz digitálních hodinek. 30 Moderní výraz pro šifrování. 31 Slouží pro šifrování zprávy pro příjemce, který ji pomocí privátního klíče dešifruje. Tento klíč je veřejně dostupný a proto jej není třeba chránit. Nelze jej však použít pro dešifrování kryptované zprávy. 32 Slouží pro dešifrování zpráv a je chráněn před zcizením. 33 Moderní výraz pro dešifrování. 34 Zdroj: KLUFA, F., P. SCHOLZ a M. KOZLOVÁ. Podvody v oblasti bezhotovostních plateb v ČR (studie) [online]. 2009. Odborný konzultant Mgr. Petr Carda. 29

25

3.2 Virtuální měna V bezhotovostním platebním styku je ověření pravosti peněžní jednotky spíše virtuální záležitostí. Typickou ukázkou takové jednotky je hit posledních let Bitcoin. Projekt Bitcoinu začal jako nápad Satoshi Nakamota. Kdo nebo co se skrývá za touto identitou, však není známo, nevíme ani, jestli se jedná o jednotlivce, nebo skupinu. Od počátku je Bitcoin prezentován jako silně decentralizovaná platební síť kde si subjekty vyměňují kredity dnes obecně známé jako Bitcoin. Architektura byla navržena tak, aby se zamezilo řídícím vlivům jakýchkoliv subjektů a tak neexistuje autorita, která by síť spravovala a umožňovala ze statutu moci nebo mandátu zablokovat jiný subjekt, například konkrétního uživatele, přesněji jeho účet. Zároveň však je třeba uvědomit si, že díky absenci centrálního registru peněženek je také uživatel vystaven nebezpečí, že v případě, že o peněženku přijde například selháním hardware a nemá zálohu, přijde o veškeré Bitcoiny v této peněžence uchované. Další specifikum projektu je, že je předem omezený objem kreditu, který bude do sítě uvolněn a je předem známá i rychlost, s jakou byly, jsou a budou do sítě uvolňovány.

Obrázek 5 - Graf uvolňování Bitcoinu v čase

Blocks – datové bloky pro těžbu, Monetary Base – množství vydaných bitcoinů Inflation Rate – procentuální poměr vydaných bitcoinů Zdroj: http://nakamotoinstitute.org/mempool/end-the-fed-hoard-bitcoins/[30.3.2015]

26

Zpočátku byly Bitcoiny určitou formou odměny, tato úvodní fáze však velmi rychle přešla do fáze miningu, tedy těžby Bitcoinů. Zjednodušeně každá transakce se zapisuje a bloky těchto zápisů je možné rozbít a získat za tuto činnost část Bitcoinu. Díky tomu se dají jejich uživatelé rozdělit na dvě základní skupiny. Ty, kteří síť aktivně používají a svými transakcemi dávají síti život a druhou skupinou pak zůstávají těžaři, kteří investují prostředky do těžby Bitcoinů, které pak vnáší do systému. Zajímavostí je, že některé státy akceptovaly tuto měnu do takové míry, že jsou ochotny ho uznat za oficiální virtuální měnu jako např. Německo, ale také příjmy z Bitcoinu hodlají danit. Oproti tomu, například Čína zakázala na úrovni státní správy Bitcoin používat, soukromé a podnikatelské sféře však meze neklade. Vzhledem k možnostem a rozsahu je však možné, že se svoboda Bitcoinu stane terčem různých státních a bankovních regulací35.

3.3 Možné druhy útoků Existuje nepřeberné množství způsobů, jakými lze finanční a nefinanční instituce či jejich klienty napadnout s úmyslem neoprávněného získání jejich finančních prostředků. Obrázek 6 - Druhy útoků podle statistik 03/2015

Zdroj: http://hackmageddon.com/[11.4.2015]

3.3.1 Útoky na infrastrukturu Mezi nejčastější útoky na infrastrukturu patří DoS útok, kdy se útočník snaží znemožnit klientům přístup ke službě zpravidla tím, že přetíží servery, kde je služba provozována. Bohužel je na okraji pozornosti ten fakt, že DoS útok nemusí vést přímo na server, 35

Zdroj: http://nakamotoinstitute.org/mempool/end-the-fed-hoard-bitcoins/. http://www.newslab.cz/bitcoin.

27

ale postačuje vyřadit z provozu libovolný prvek na cestě mezi klientem a serverem. Mezi taková zařízení mohou patřit routery, firewally nebo postačí pouze přetížit linku. Oblíbenou praktikou pro provedení tohoto útoku byly opakující se požadavky na vyhledávání s co nejširším výsledkem a žádostí vrátit kompletní výsledky. Aplikace pak zatížila server vyhledáváním výsledků, sama se zatížila jejich formátováním do výsledné podoby a následně zahltila linku odesláním naformátované odpovědi. Nejčastější obranou proti takovému útoku bývá optimalizace aplikace ve smyslu cacheování36 výsledků vyhledávání a dalších optimalizačních technik. Samotný přenos dat po lince se však příliš optimalizovat nedá, pokud žadatel neposkytne prostředky, třeba informaci, že je ochoten akceptovat komprimovanou37 odpověď. Další oblíbenou praktikou bylo cyklické hromadné dotazování na odpověď serveru tzv. Ping. Pro úspěšné provedení takového útoku je třeba mít širokou základnu útočících počítačů. Obranou proti tomu je jednoduché nastavení na síťovém prvku38, které způsobí zahození veškerých Ping požadavků. Oproti tomu útoky, které přináší největší škody, přichází zpravidla z vnitřního prostředí firmy. V tomto směru je nejčastější forma napadení virem- viz kapitola 3.3.2.4. I přes různé snahy společností o zaručení vnitřní bezpečnosti, počínající investicí do nejnovějších technologií, software a hardware, přes přidělování práv uživatelů vnitřní sítě až po vydávání vnitřních směrnic upravujících používání aplikací a hardware společnosti tak, aby bylo dosaženo co nejvyšší bezpečnosti, přitom nejkritičtějším bodem zůstává opět samotný člověk. Kromě již zmíněného rubber-hose útoku využívajícího lidský strach a sociální vazby, má útočník možnost zaútočit například na lidskou zvědavost, na snahu získat maximum za vynaložení minimální energie, touhu být důležitý a v neposlední řadě finanční situace. Jedním z nejjednodušších způsobů jak propašovat do firmy počítačový virus je „zapomenout“ flashdisk s virem v kantýně dané firmy, případně na její recepci. Další oblíbenou možností je poslat do firmy propagační CD upravené tak, aby zavedlo virus do paměti počítače při automatickém spuštění CD. Další možností je přes wifi síť napadnout firemní síťové prostředky přímo39.

36

Ukládání dat do úložiště, odkud jsou pak čerpána pro urychlení zpracování požadavku. Kompresí dat se rozumí zhušťování dat různými komprimačními algorytmy. 38 Síťovým prvkem může být firewall, router nebo jiné zařízení infrastruktury počítačové sítě. 39 Zdroj: odborný konzultant Mgr. Petr Carda. 37

28

Specifickým druhem útoku je tzv. skimming. Tato praktika je známá ve spojitosti s bankomaty, kdy útočník modifikuje bankomat připevněním vlastního zařízení, jak ukazuje obrázek 7, za účelem nasnímání platební karty a klávesnice pro zadání PINu pro pozdější uskutečnění výběrů z účtu oběti s použitím těchto údajů pro autentizaci a autorizaci transakce. Při použití tohoto druhu útoku je cíleno primárně na nepozornost a důvěřivost oběti. Obrázek 7 - Bankomat s přidaným skimmovacím zařízením

Zdroj: http://www.policie.cz/clanek/skimming-2011.aspx[13.4.2015]

3.3.2 Útoky na komunikaci s klienty Útoky na technické úrovni se v rámci výnosů a nákladů na útok soustřeďují zpravidla na nejčastěji používané prostředky, kterými uživatel komunikuje s bankou. Těmito prostředky bývají většinou počítač s webovým prohlížečem a mobilní telefon s mobilním prohlížečem, případně bankovní aplikací. Zejména smartphony jsou ideální možností pro provedení takového útoku. Mnoho lidí v nich má aplikaci pro komunikaci s bankou a přitom zařízení samotné má dostatečné prostředí i výkon pro získání informací. Uživatelé smartphonů si často neuvědomují, že za tím, co sami nazývají mobilní telefon se ve skutečnosti skrývá počítač často s výkonem vyšším než měly počítače před deseti lety, díky technologickému pokroku však s o dost širším polem možností a přirozeně i možností zneužití. Své by o tom mohl vyprávět muž, který díky chytrému mobilnímu telefonu, své nepozornosti a chytrosti útočníků, přišel o 360tis. korun40.

40

Zdroj: http://www.novinky.cz/finance/362690-vysali-muzi-360-tisic-pres-mobil-banka-mu-vyplatila-jenbolestne.html[14.4.2015].

29

Oproti tomu útoky na sociální úrovni se zaměřují na sociální vlastnosti obětí. Bývají často předcházeny analýzou dostupných obětí a výběrem přesně cílených nástrojů zasahujících jejich slabiny, jako jsou neznalost, nepozornost, důvěra a často lenost a strach41.

3.3.2.1 Útoky na sociální úrovni

Phishing Velmi oblíbenou praktikou pro útočníky je phishing. Tato technika spočívá ve zneužívání internetu, GSM sítí42 a dalších medií k rozesílání falešných zpráv, kde se útočník tváří jako finanční instituce a žádá jejím jménem často z pozice administrátorských oddělení o citlivé informace, jakými jsou čísla kreditních karet, PIN, hesla nebo další informace. Ty útočníkovi umožní projít autentizací a při jednání se skutečnou finanční institucí předstírat identitu oběti, které je daná zpráva zaslána. Nezřídka bývá součástí zprávy i odkaz na webovou aplikaci, která je téměř dokonalou kopií skutečné webové aplikace cíleného bankovního domu a zpravidla jediné, co může z technického hlediska zachránit naivního uživatele, je drobná nesrovnalost v adrese. Nejčastěji záměna podobných písmen jako ‘I’(malé případně velké I) za ‘l’(malé L) nebo ‘1’(jedničku), využívání poddomén43. V mnoha případech přehlédnutí takových změn napomáhají podobnosti písmen v rámci běžných fontů používaných počítačovými systémy. Obrázek 8 - Příklad typické phishingové zprávy

Zdroj: http://cs.wikipedia.org/wiki/Phishing[10.11.2014] 41

Zdroj: odborný konzultant Mgr. Petr Carda. GSM síť je soustava vysílačů umožňující provoz GSM mobilních telefonů. 43 Část adresy dělící doménu na více adres. Např.: www.seznam.cz, email.seznam.cz atp. 42

30

Jako reakci na takové zprávy prakticky všechny banky uvalily přísný zákaz získávání takových informací od klientů. Pokud je třeba v profilu klienta provést zásadní změny, je klient požádán k dostavení na pobočku a tam je s ním procedura provedena. Zároveň informují své klienty, že citlivé informace nemají předávat, protože se s pravděpodobností hraničící s jistotou jedná o útok. Tím však obrana nekončí. Jednou z dalších možností obrany je certifikace internetové adresy. V tomto případě jde o schopnost browseru44 validovat45 adresu vůči předpokládané identitě. Obecně je tento mechanismus znám jako „zelený adresní řádek“ nebo také „zelená adresa“, protože browsery validní adresu označují zpravidla zeleným signálem, jak lze vidět na obrázcích 9 a 10. Obrázek 9 - Příklad "zeleného adresního řádku"

Zdroj: www.patriadirect.cz[5.2.2015] Princip této ochrany spočívá v tom, že u tzv. certifikační autority si společnost nechá vystavit serverový certifikát obsahující patřičné informace. V rámci tohoto procesu je třeba projít relativně složitým procesem ověření identity žádajícího subjektu, kde jsou požadovány různé doklady a dokumenty. Součástí vydaného certifikátu pak je i adresa, která je s touto identitou spojena. Webový prohlížeč, který pak navazuje zabezpečené spojení, ověří i na základě certifikátu identitu serveru, se kterým komunikuje. Pokud všechny informace souhlasí, je uživateli znázorněn zelený signál a uživatel si může být jist, že ten, s kým komunikuje, je skutečný poskytovatel. Protože toto ověření funguje v rámci chráněné SSL komunikace46, může si být také jistý, že komunikaci se serverem prakticky nelze odposlechnout, natož zmodifikovat. Tím je vyřazen druh útoků známý jako „Man in the middle“, viz kapitola 3.3.2.2.

44

Browser alias webový browser – prohlížeč webových stránek. Ověřit. 46 Secure Socket Layer – komunikace založená na kryptování jednotlivých datových packetů. 45

31

Obrázek 10 - Příklad zelených adresních řádků v různých prohlížečích

Zdroj: http://www.ballotpoint.com/publicsite/security.html[6.4.2015] Případný problém s prověřením adresy je vyznačen žlutou barvou řádku, tento příklad se mi však nepodařilo získat. V konečném důsledku se „zelený adresní řádek“ stal marketingovým nástrojem oznamujícím, že provozovatel dbá o bezpečnost svých klientů a tak vznikl tlak ze strany klientů na provozovatele žádající zazelenění adres. Dnes je již prakticky věcí prestiže takovou certifikaci prezentovat. Neověřenou adresu lze vidět na obrázku 11. Obrázek 11 - Příklad neověřené adresy

Zdroj: Internet Explorer Specifickou verzí útoku je napadení serveru samotného, kdy jde o to, že útočník napadne samotnou webovou aplikaci tak, aby zobrazovala jím požadovanou prezentaci. V prvních fázích poněkud hrubých útoků se jednalo o kopii přihlašovací stránky aplikace s tím, že přihlašovací data byla odesílána útočníkovi, velmi často však prezentovaná kopie stránky obsahovala nějakou drobnost nebo chybu, která útok mohla pozornému uživateli prozradit. 32

Nejčastějším „přešlapem“ útočníků bylo například chybně nastavené kódování stránky vedoucí na nesprávné chování. Dnešní útoky tohoto druhu jsou poněkud jemnější a o to nebezpečnější a spočívají většinou ne v náhradě kódu, ale v jeho zneužití. Nejčastější formou je umístění kódu, který se napojí na originální kód a zcela mimo pozornost aplikace i uživatele provede odeslání klíčových informací útočníkovi. Cestu k tomuto útoku často otevírají nevědomě sami provozovatelé tím, že ve snaze zlevnit provoz svých stránek, umožňují vkládat do stránek reklamy. Tyto reklamy pak čerpají z reklamních agentur a tak si útočník může zaplatit u agentury zobrazení například 1000x reklamy se specifickým kódem, který jednak zobrazí reklamní banner47 nejčastěji ve flashi48 a při té příležitosti se připojí na přihlašovací formulář a na tlačítko přihlášení odešle jeho obsah nejen do původní aplikace, ale také k sobě, kde si informace posbírá. Proti této formě útoku se lze bránit pouze vícenásobnou autentizací s využitím různých kanálů. Jedním ze základních pravidel bezpečnosti internetových aplikací zní: Nikdy nedávat na přihlašovací stránku žádný obsah, který není dokonale pod kontrolou provozovatele stránky. Úplně oddělitelnou formou útoku je pak telefonický phishing, kdy místo emailové zprávy je oběti zatelefonováno. Oběť právě na základě toho, že se jedná o telefonát, zpravidla poleví v pozornosti a tak velmi často prozradí přihlašovací informace v domnění, že jednají s pracovníkem finančního domu. Skutečnost však bývá na míle vzdálená tomuto zdání. Jedinou skutečně spolehlivou ochranou proti všem formám phishingových útoků bývá inteligence a obezřetnost. V této souvislosti se jako zlaté jeví pravidlo nikdy nesdělovat nikomu své přihlašovací informace.

Pharming Pharming je praktika, kdy útočník nejprve připraví kopii originální aplikace na svém vlastním serveru tak, aby co nejvíce odpovídala té prvotní. Po té, co je aplikace připravena sbírat informace, útočník změní DNS záznamy49 a klient je tak přesměrován na útočníkův server prakticky bez větší šance poznat, že se právě stává obětí útoku. Nejzákeřnější na této praktice je fakt, že ani odborně způsobilý a znalý uživatel nemá větší šanci tento útok odhalit.

47

Reklamní banner je plocha užívaná pro reklamní účely, nejčastěji představovaná grafickým prvkem. Flash – multimediální technologie vnášející do webových browserů prvky grafiky později používaná pro reklamní účely do takové míry, že přerostla do aplikačního prvku, který ve svém důsledku může být použit pro potřeby útoku. 49 Domain Name Systemové záznamy slouží k překladu názvu domény na cílovou IP adresu. 48

33

Jedinou známou možností ochrany proti tomuto druhu útoku je forma „zeleného adresového řádku“, ta ovšem předpokládá kryptovanou SSL komunikaci ověřenou „zeleným“ serverovým certifikátem. Pro klasickou http komunikaci50 taková ochrana nefunguje. Určitou snahou o ochranu před tímto útokem je snaha různých antivirových systémů o ověřování zdrojových IP adres pro dané http adresy na svých vlastních serverech. V praxi taková ochrana spočívá v tom, že do webového browseru se doinstaluje doplněk, který odposlouchává adresy používané při komunikaci s internetem a provádí jejich ověření odesláním na svůj chráněný server, který zpět odpoví, zda je adresa validní, nebo je známá jako závadná.

3.3.2.2 Útoky na technické úrovni Jak napovídá titulek této podkapitoly, útoky, které zde budou představeny, nejsou cíleny na chybu lidského faktoru, ale využívají různých nedokonalostí technologií, které jsou používány při komunikaci s finančními institucemi.

Útoky využívající slabin aplikací Tyto útoky jsou vedeny přes chyby implementace dané aplikace způsobené neznalostí, nedůsledností nebo nedostatečným soustředěním programátora ve spojení s nedostatečným otestováním dané aplikace před nasazením do provozu. SQL injection Za nejčastěji zmiňovanou oblastí v tomto směru lze považovat jazyky správy databázových systémů. SQL injection, je označením druhu útoku, kdy je vhodným vstupem do aplikace narušeno vykonání původního zpracování dat a je vyžádáno provedení nekalých akcí. Ukázkovým příkladem takového útoku je přihlašovací formulář webové aplikace, kde útočník vložením vhodných dat do formuláře může aplikaci donutit k přihlášení s právy administrátora aplikace. V extrémním případě může stejná chyba vést dokonce ke kompromitování systémových účtů, případně proražení administrátora celé sítě. V takovém případě se útočník může dostat až k možnosti přihlásit se na síťový server v roli administrátora a donutit tento server nejen vydat chráněná data, data uložená v chráněných oblastech jinými uživateli, ale dokonce provést útok na jiné části sítě, případně umožnit použití prostředků v síti k takovému útoku. Takový scénář začíná drobným opomenutím

50

HTTP je komunikační protokol používaný pro přenos hypertextových dokumentů například webových stránek.

34

na straně vývojáře a může končit velmi hořkými chvílemi na straně systémových administrátorů, případně vrcholného managementu, a to v případě, že se událost dostane na veřejnost. Account hijacking Při Account hijackingu jde o situaci, kdy útočník zcizí identitu uživatele a jeho účtem provádí nežádoucí akce. Nejčastěji je toto vidět u rozesílání spamů. Je veřejným tajemstvím, že velké množství SMTP serverů, tedy serverů sloužících k rozesílání e-mailové pošty, se spokojí s tím, že se uživatel „představí“ e-mailovou adresou a vůbec se neobtěžují takto předloženou identitu uživatele ověřit. Pro útočníka je pak velmi snadné odeslat e-mail jménem poškozeného, aniž by ten měl vůbec šanci se o tom dozvědět. Další oblíbenou formou je využití slabého zabezpečení aplikace, například možnost „Zapamatovat si mne.“ při přihlašování. Většina uživatelů vůbec netuší, že v takovém případě si zpravidla aplikace uloží do cookies webového prohlížeče unikání kód, který je spárován s identitou uživatele v aplikaci. Pokud takový uživatel navštíví znovu danou aplikaci, ta najde tento unikátní kód a na jeho základě uživatele přihlásí. Bohužel hodnoty cookies i jinak než pouze oprávněnou aplikací. Session hijacking Většina aplikací si uchovává tzv. stavové informace v tzv. session. Laicky se tedy dá konstatovat, že mechanismus sessions umožňuje aplikaci udržovat s uživatelem rozumný rozhovor, aniž by neustále zapomínala, s kým se baví a o čem se baví. Aby to aplikace poznala, je jí s každým požadavkem od uživatele odesílán unikátní kód identifikující danou session, ze které pak aplikace načítá potřebné informace. Protože však tato hodnota je a principielně musí být obsažená v komunikaci mezi uživatelem a serverem, je relativně snadným cílem. Útočníkovi pak stačí odposlechnout komunikaci, vytvořit požadavek a zaměnit vlastní kód za kód odposlechnutý. Pokud daná aplikace nemá implementované ochranné mechanismy proti takovému chování, je požadavek přijat a aplikace, aniž by to tušila se baví najednou se dvěma uživateli jako s jedním. I z tohoto důvodu se striktně doporučuje od každé aplikace odhlásit. Druhým neméně závažným důvodem je prostý fakt, že každý webový prohlížeč umožňuje návrat na předchozí stránky v historii. Pokud se uživatel neodhlásí, je možné, že útočníkovi nabídne možnost využít vlastní přihlášený účet k akcím dle jeho libosti.

35

Malicious iFrame, Malicious JS V těchto případech se jedná o snahu útočníka dopravit do webového prohlížeče uživatele závadný kód. Je k tomu využita buďto cesta iFrame nebo JavaScriptu. Mimo jiné právě kvůli těmto druhům útoků je ve světě bezpečnosti webových aplikací základní pravidlo neumisťovat na stránku, odkud se může uživatel přihlásit, tedy stránku, kde uživatel aktivně vkládá přihlašovací informace, žádný obsah, který není pod stoprocentní kontrolou správce aplikace. Typickým odstrašujícím příkladem jsou například reklamy na stránce a v záhlaví formulář pro přihlášení, jak je uvedeno na obrázku 12. Obrázek 12 - Ukázka stránky náchylné k napadení vložením vadného kódu z reklamy

Zdroj: Mgr. Petr Carda Situace může dramaticky narůst na nebezpečnosti ve chvíli kdy je relativně málo nebezpečná stránka propojená systémem SSOA s jinou mnohem důležitější. SSOA je přitom oblíbenou praxí posledních let, protože umožňuje jedním účtem přistupovat na služby více webových aplikací, je tedy po uživateli žádáno pouze jedno úspěšné přihlášení, po kterém jsou mu otevřeny služby více spřátelených serverů. Tento mechanismus je dobře vidět u Seznam.cz a Google.com.

Man in the middle Jak napovídá název, jedná se o útok, který je nejsnáze přirovnatelný k odposlechu telefonní linky. Jde tedy o situaci, kdy komunikaci klienta se serverem odposlouchává a kontroluje třetí osoba tedy útočník. V praxi útok probíhá tak, že útočník připraví prostředky pro odposlech a pak přesměruje síťový provoz tak, aby komunikace mezi klientem a serverem probíhala právě přes tyto

36

připravené prostředky. Zásadním faktem je skutečnost, že útočník nemusí geograficky ležet mezi klientem a serverem, to je dáno charakteristikami současných počítačových sítí. Díky tomu, že veškerá komunikace mezi klientem a serverem probíhá přes útočníka, nabízí se útočníkovi hned několik možností, jak tuto situaci využít. Může buďto v kritickém okamžiku odposlechnout autentizaci uživatele vůči serveru a tu pak následně napodobit. Nebo může nečinně přihlížet a v kritickém okamžiku, kterým může být například chvíle podávání pokynu k transakci, může pozměnit komunikaci ve svůj prospěch. Proti tomuto útoku se lze bránit několika způsoby. Tou nejzásadnější ochranou je použít kryptovanou komunikaci. K tomuto účelu je implementována technologie SSL kanálu. V praxi je navázáno spojení, na jehož začátku si klient i server vymění informace, z těch je pak sestaven klíč, kterým je kryptována komunikace mezi nimi. Ačkoliv na první pohled zní tento postup velmi jednoduše, je v něm uplatněna symetrická i asymetrická kryptografie. Do hry vstupují privátní a veřejné klíče z certifikátů a díky těmto klíčům je velmi těžké pro útočníka vpadnout a udržet se v komunikačním kanálu. Musel by totiž získat všechny potřebné klíče k tomu, aby komunikaci dokázal úspěšně dekryptovat a přečíst a následně pozměnit a zpětně zakryptovat tak, aby ji druhá strana bez podezření přečetla. Díky SSL kanálu zároveň vstupuje do hry nám známý „zelený adresní řádek“. Ne vždy ale je k dispozici možnost SSL kanálu, v takovém případě je pak možné při použití aplikací posílané zprávy mezi klientem a serverem digitálně podepisovat, což ale neplatí při klasické webové komunikaci, která tuto možnost nepodporuje. Obrázek 13 - Obecně používané schéma pro MITM

Zdroj: http://cs.wikipedia.org/wiki/Man_in_the_middle[7.10.2014]

Man in the browser V tomto případě je využito rozšiřitelnosti webových browserů tzv. addiny, moduly spolupracujícími s hlavním browserem, obohacujícími jeho vlastnosti o nové. Tyto addiny lze

37

pravidla získat na stránkách, dostupných kliknutím na položku menu, volbu v nastavení nebo obdobných způsobem. Takto distribuovaný addin je sice poskytován ze store 51 podporovaným browserem, vývojáři browseru i provozovatel store však běžně odmítají nést odpovědnost za „software třetích stran“ a následků jeho používání. Takový addin pak může kromě chtěné funkčnosti obsahovat různé nechtěné funkcionality, pomocí kterých může špehovat útočník přímo v okně oběti a měnit tak komunikaci ještě před jejím zakryptováním a odesláním na server. Fakt, že je váš browser napaden, zpravidla nebývá očividný a nelze jej vypozorovat přímo. Snad jediným vodítkem může být neznámá miniaplikace v seznamu rozšíření. Ta však většinou bývá pouhým vrcholkem ledovce. Nejčastěji je použita pro nainstalování jiné, mnohem závadnější aplikace mimo browser a návaznosti na něj. Možností jak se chránit proti takovému útoku je několik. Tou první bývá zlaté pravidlo „neinstalovat vše, co vidím, stačí nainstalovat inteligenci“. Všechny tyto miniaplikace totiž potřebují spolupráci oběti k tomu, aby na ní mohli zaútočit. Tedy minimálně snahu uživatele o jejich nainstalování. Pokud selže pozornost uživatele, bývá druhou úrovní obrany antivirový systém, který odposlouchává nejen komunikaci s internetem a neustále vyhodnocuje její závadnost a rizikovost, ale také monitoruje změny v operačním systému a v souborovém systému. I tato úroveň obrany může selhat, pokud není nebezpečí rozpoznáno na základě známých segmentů. Pokud selže i tato úroveň obrany nastupuje u novějších operačních systémů řady Windows ještě jedna obranná linie a tou je tzv. User Account Control (UAC). Jedná se o snahu vynutit si explicitní potvrzení uživatele na všechny potenciálně nebezpečné operace prováděné nad operačním systémem. V praxi vypadá tak, že v případě, že se neznámá aplikace hodlá nainstalovat do operačního systému nebo provést v něm změny, je uživateli zobrazeno okno s varováním, popisem události, pachatelem ve formě názvu aplikace a žádostí o potvrzení, že se skutečně jedná o chtěnou akci. Protože toto varování může vyskakovat relativně často, mnoho uživatelů jej vypíná v domnění, že se jedná o zbytečnost určenou ke znepříjemňování života uživatele dotazy, na které by si operační systém přece mohl odpovědět sám. Vypnutím UAC se však uživatel dostává do stavu nevědomosti přirovnatelnému ke stavu, kdy je mu zavázán šátek přes oči.

51

Termín používaný pro úložiště, v tomto případě „sklad“ doplňkového SW.

38

Úplně poslední linií obrany jsou přístupová práva uživatele. Webový prohlížeč totiž běží v bezpečnostním kontextu účtu uživatele. Pokud je tedy uživatel administrátor a v jeho prohlížeči je proveden pokus o nainstalování doplňku, problém nenastává. Ten zpravidla nastává ve chvíli, kdy doplněk začne instalovat další software bez vědomí zmíněného administrátora. Jestliže ten není upozorněn mechanismem UAC, nedozví se, že závadná aplikace instaluje další a co hůř, nemá jí v tom jak zabránit, pokud by ji okamžitě nezastavil. Z tohoto důvodu je dobrou praxí na počítači limitovat počet uživatelů s právy administrátora a zachovávat aktivní UAC. Pokud jde o uživatele, narážíme na přirozenou snahu člověka o získání maxima za minimum a mnoho uživatelů odmítá omezení práv z pocitu podřazenosti. Z tohoto pohledu je jednodušší ochránit korporátní sféru než privátní uživatele.

3.3.2.3 Malware Pojmem malware označujeme nechtěné a nežádoucí aplikace, které vniknou do počítače uživatele. Obvykle se tak děje bez jeho vědomí nebo pod zástěrkou instalace jiné aplikace, jejíž funkcionalitu naopak uživatel žádá52.

3.3.2.4 Virus Jako virus označujeme program, který sám sebe dokáže šířit sám sebe. Jak bylo napsáno dříve, děje se tak bez vědomí uživatele vkopírováváním kódu viru do jiných aplikací, dokumentů případně dalších systémových prostředků počítače. Jejich účinky se ale mohou razantně lišit. První počítačové viry vznikaly jako následek obyčejné chyby programátora. Viry můžeme dělit podle několika hledisek. Ve skutečnosti se nejčastěji používají pouze dvě hlediska a to podle způsobu, jakým virus infikuje cílové médium a podle chování, jakým se projevuje po úspěšné infekci. Často je pokládána otázka, proč lidé vlastně viry vyrábí, co je motivuje k tomu, aby ztráceli relativně hodně času při jejich výrobě. Po hlubokém zamyšlení a opět vezměme v úvahu ekonomiku kriminality, prvním a asi nejčastějším zajímavým důvodem bude získání informací. Takové viry jsou většinou vytvářeny organizovanými skupinami nejčastěji s dlouhodobější zkušeností. Jejich cílem je získání prostředků, které lze přímo nebo nepřímo

52

Zdroj: odborný konzultant Mgr. Petr Carda. PETROWSKI, Thorsten. Sicherheit im Internet für Alle, překlad KURKA, Tomáš. Bezpečí na internetu pro všechny. Liberec: Dialog, 2014. ISBN: 978-80-7424-066-9.

39

zpeněžit. Zajímavým artiklem v tomto směru jsou různé utajované informace ať už politického, ekonomického, vojenského nebo průmyslového charakteru. Obecně platí, že čím více je informace utajována, tím výnosněji může být prodána. Mnohem častějším cílem jsou ale informace uložené na platebních kartách, protože ty lze přímo použít pro získání finančních prostředků. Proč jsou vlastně kreditní karty tak zajímavé? Už jen z principu věci platební karta je prostředkem pro přímý přístup k hotové měně. Přesněji umožňuje úspěšně proniknout autentizačním procesem. Jak to funguje? Jistě každý z nás již několikrát vybíral peníze z bankomatu, mimochodem druhé části skládačky vedoucí k hotovým penězům, takže není třeba detailně popisovat celý proces výběru peněz. Popišme si tedy zjednodušeným laickým jazykem, proč je karta tak důležitá. Ve chvíli, kdy klient kliká svůj příkaz pro výběr peněz na bankomatu, je vše stále ještě v bezpečí i přes to, že klient už zadal svůj PIN. Software v bankomatu ověří správnost PINu jednoduchým kontrolním procesem. Mnohem důležitější je potvrzení transakce klientem, protože v té chvíli software v bankomatu vytvoří zprávu pro centrální systém, kterou po jejím vyplnění opatří elektronickým podpisem. Elektronický podpis zprávy se zpravidla tvoří tak, že vezmeme zprávu samotnou a s použitím moderní kryptografie vytvoříme krátkou informací odborně nazývanou hash a tato informace je přiložena ke zprávě. Příjemce pak zprávu ověří stejným způsobem, tedy zprávu zakryptuje, vytvoří hash53 a porovná vytvořený hash s dodaným. Pokud jsou oba stejné, je zpráva považována za autentickou a protože v této zprávě je i identita klienta požadující peníze, je považována instrukce za platnou. Klíčovým prvkem je právě ona moderní kryptografie. Právě jeden z klíčů, které se při ní použijí, je uložen na kartě samotné. Bez tohoto klíče nelze centrálnímu systému banky odeslat instrukci, která by byla považována za autentickou a tedy proveditelnou. Naopak pokud se podaří získat tento klíč, je možné takovou zprávu odeslat zpravidla z libovolného počítače, aniž by musel být součástí bankomatu samotného. Další cestou jak získat jednoduchý přístup je přes samotné placení kartou na internetu. Pro úspěšné provedení transakce stačí pouhé tři informace: číslo karty, kód expirace a tzv. ověřovací kód. Získat tuto sadu informací je zpravidla lehčí než si uživatel představuje. Stačí naimplementovat nebo napadnout internetový obchod umožňující placení kartou a pak tyto informace buďto odposlechnout napadením samotného dokumentu stránky ve webovém browseru nebo na serveru v systému aplikace. Oblíbenou možností je vložit uživateli 53

Otisk informace vzniklý její redukcí do jediné hodnoty používané pro porovnávání ověřování shody apod. Obdoba CRC součtu (Kontrolní součet vytvořený předepsanou matematickou operací používaný k ověření správnosti informace).

40

do browseru plugin54 umožňující Man-In-the-Browser a s jeho pomocí informace prostě přečíst a poslat na adresu, kde útočníkův systém data uloží pro pozdější použití, například platbou vlastního nákupu. Zejména proti tomuto levnému a jednoduchému způsobu a tedy velmi zajímavému z hlediska nákladů a výnosů, se bankovní domy brání zavedením dvoufázové autentizace plateb nejčastěji SMS zprávou odesílanou na mobilní zařízení klienta. Tím je splněn požadavek moderní bezpečnosti, aby část autorizačních informací cestovala mimo útočníkem kontrolovatelnou oblast. Pro klienta může taková zpráva být i varováním, že se právě stává potenciální obětí útoku. Další nekalou praktikou pro použití viru jako zbraň v konkurenčním boji. Zde se nejčastěji setkáváme s tzv. DOS útokem (Denial Of Service), kdy jde o přetížení infrastruktury napadeného do takové míry, že jeho systémy začnou zamítat další požadavky. Ačkoliv se na první pohled může tento útok zdá téměř neškodný, protože při něm nedochází k poškození ani úniku chráněných informací, může mít doslova likvidační následky. Například měsíc trvající DOS útok na aplikaci internetového bankovnictví. Napadená banka pak bude čelit odchodu klientů, protože nebude schopna jim poskytnout přístup k jejich prostředkům, což je primární služba, kterou klient požaduje. V nedaleké historii lze dohledat i případy, kdy lokální internetový provider tímto způsobem zlikvidoval konkurenci. Bohužel bývá prakticky nemožné prokázat konkrétního pachatele útoků. Existuje dokonce webová aplikace vypadající jako internetový obchod, kde je možné si objednat takový útok. Zájemce jednoduše určí adresu, sílu útoku a zaplatí požadovanou částku. Viry napadající systémy mohou mít dokonce i skutečné ničivé následky. Dnes je již prakticky veřejným tajemstvím akce izraelských tajných služeb, které virem vyřadily z provozu centrifugy pro obohacování uranu v Íránském zařízení důvodně podezřelým z vývoje a výroby jaderných zbraní. Obdobně bezpečnostní složky počínaje policií a pokračuje až po vysokou hru mezinárodní špionáže a sabotáže používají také svá sofistikovaná softwareová řešení. Armády virů tak mohou napadat například servery firem kvůli nevhodným filmům, jako tomu bylo v kauze filmu The Interview (2014), kdy na satirický film znevažující Kim Čong-una provedli korejští hackeři frontální útok na firmu Sony Pictures Entertainment (16.17. 12.). 17. 12. 2014 se pak cílem staly největší kinořetězce v USA. Společnost Sony Pictures Entertainment se v návaznosti na tyto problémy rozhodla pozastavit premiéru filmů v dalších kinech. Vládní organizace USA prokázaly, že útok byl veden z KLDR. 22. 12. 2014 54

Plugin alias zásuvný modul – softwareové rozšíření aplikace modulem s rozšiřujícími funkcemi.

41

byly napadeny počítačové systémy jihokorejského provozovatele jaderných elektráren Korea Hydro & Nuclear Power (KHNP). V reakci na to, blíže neidentifikovatelná skupina útočníků provedla útok na síťové prvky připojující KLDR do internetu. Výpadek, který tak vznikl, trval až do 23. 12. 2014, kdy se KLDR podařilo částečně zprovoznit své připojení do kybersvěta55. Z těchto příkladů je jasně vidět, že i viry mohou být použity jak pro destrukci tak i narušení počítačových systémů a to jak v rukách zločinců, tak i v rukách ochránců společnosti. Vůbec nejčastějšími

výrobci

virů

jsou

ale

studenti, jejichž

ambice

zpravidla

nesahají

k mezinárodnímu zločinu, ale spíše se chtějí prezentovat, vyniknout a upoutat pozornost. Pokud sahají k získání peněz, bývá to pak cesta vložení nežádané funkcionality do jiného software, který poskytuje funkcionalitu uživatelem žádanou. Jednou z ukázek může být aplikace pro konverzi videa z jednoho formátu do mnoha jiných, která ovšem během samotného převodu většinu výpočetního výkonu věnuje práci pro svého výrobce, přičemž se snaží těžit Bitcoiny. Je to úsměvná, nicméně velmi častá možnost, jak si zotročit cizí počítač. A je to i platba, kterou uživatel často platí za nelegální nebo volně stažitelný software.

Obrázek 14 - Rozdělení virů podle způsobů šíření Viry napadající spustitelné soubory Boot viry Viry napadající dávkové soubory Viry

Souborové viry

Viry napadající aplikační skripty Viry napadající dokumenty

Zdroj: vlastní Viry napadající Boot sector Boot sector je systémová oblast primárního disku56, ze které je při startu počítače nahrán zavaděč57 operačního systému. Virus pak přepíše boot sector vlastním zavaděčem a původní 55

http://www.lidovky.cz/hackersky-utok-na-sony-spachala-severni-korea-potvrdila-fbi-pqb-/zpravysvet.aspx?c=A141218_095835_ln_zahranici_msl[14.4.2015]. 56

Disk, který obsadil primární pozici v seznamu diskových zařízení. Očekává se, že obsahuje systémově důležité informace nutné pro zavedení operačního systému.

42

kód boot sectoru zapíše na jinou oblast disku. Při startu počítače pak dojde nejprve k zavedení viru a ten pak zavede do paměti počítače samotný operační systém. Nepříjemný na tomto druhu viru je fakt, že vnikne do paměti daleko dříve, než je do ní zaveden a spuštěn samotný antivirový systém. Díky tomu může velmi účinným způsobem eliminovat schopnost antivirového programu detekovat jej. Z tohoto důvodu bylo v dobách DOSu doporučováno provádět antivirovou kontrolu ze samostatných bootovatelných disket 58, na kterých byl čistý jednoduchý operační systém s antivirovým programem. Díky nabootování z diskety nedošlo k zavedení viru do paměti a antivirový systém pak dokázal najít poškozený boot sector a opravit jej. V dobách windows s kryptovaným diskem, přístupovými právy a dalšími mechanismy zabraňujícími kvůli bezpečnosti dat čtení disku je tato praxe prakticky nepoužitelná. Výhodou ale je, že samotný operační systém nabízí aplikacím místo přímého přístupu na hardware počítače pouze jeho virtualizovanou podobu a tak dokáže kontrolovat akce požadované aplikacemi. Díky tomu je prakticky nemožné zapsat vlastní kód do boot sectoru disku59. Souborové viry Viry souborové jsou aktivovány až ve chvíli, kdy už je zaveden operační systém a je k dispozici souborový systém. Díky faktu, že se zavádí do paměti až ve chvíli, kdy je zaveden operační systém, je možné, že destruktivní účinky viru mohou být omezeny samotným operačním systémem. Například od verze Windows 2000 nemůže program, pokud se nejedná o specifickou aplikaci typu ovladač hardwareového zařízení, přímo přistupovat k hardware počítače. Místo toho je operačním systémem představen jakýsi univerzální virtuální stroj, který může program použít. Ve skutečnosti jsou pak přístupy na hardware kontrolovány operačním systémem. Tato forma ochrany vznikla víceméně jako vedlejší produkt snahy vyhnout se problémům při přímém přístupu z programu na hardware. Kdysi Microsoft, v reakci na časté stížnosti na stabilitu respektive nestabilitu operačního systému windows, zavedl do samotného operačního systému sledování kritických chyb vedoucích k pádu operačního systému. V případě, kdy systém zaznamenal hrozící nebezpečí, pokusil se jej vyřešit a odeslat Microsoftu hlášení o kritické situaci. Zpětnou analýzou těchto hlášení se ukázalo, že díky různým verzím samotného hardwareového řešení a různým verzím 57

Zavaděč alias loader operačního systému – jednoduchý program sloužící k zavedení nejzákladnějsí SW části operačního systému. Bývá použit i pro výběr operačního systému případně jeho režimu. 58 Bootovatelná disketa – disketa systémově naformátovaná obsahuje informace nutné pro zavedení operačního systému. S její pomocí lze nastartovat počítač se systémem na ní uloženým bez zavedení systému uloženého v počítači. Lze se tak vyhnout zavedení vadného případně zavirovaného operačního systému do paměti. 59 Boot sector je systémová oblast disku obsahující zavaděč operačního systému a další systémové informace.

43

ovladačů ve spojení s hotovou džunglí rozdílů při práci s různými zařízeními docházelo k destabilizaci celého operačního systému nebo přímo hardwareového základu. Z toho důvodu přistoupil Microsoft ve svém operačním systému k radikální změně a začal programu místo skutečného hardware zpřístupňovat pouze virtuální reprezentaci. V případě, že se takto vytvořená virtuální mašina dostala do kritického stavu, je proces ukončen jako nestabilní a je zrušen jeho kontext bez jakéhokoliv ovlivnění jiných procesů. Viry napadající spustitelné soubory Spustitelným souborem chápeme soubor obsahující instrukce, který je operačním systémem chápán jako program. Při spuštění takového souboru je soubor těchto instrukcí, nazývejme jej program, zaveden do paměti. Poté je nalezena adresa v paměti, odkud se program má začít vykonávat. Dále je operačnímu systému řečeno, aby začal vykonávat uložené instrukce a program se rozbíhá. Tolik ve zkratce. Ve skutečnosti je spuštění programu mnohem složitější operací a bylo by správné se zmínit o alokování paměti, zavedení různých modulů, zmínit práci programu s pamětí apod. Ovšem tento proces by byl vhodným tématem pro další kapitolu. Pro nás je důležité, jak je možné, že virus napadne program. Jak již bylo zmíněno, program je soubor instrukcí, které jsou sekvenčně vykonávány procesorem. Tyto instrukce mohou obsahovat a často tomu tak i je, instrukce pro skoky v paměti, tyto skoky mohou být podmíněné nebo nepodmíněné, mohou být následkem vyhodnocení podmínek, jako jsou porovnání proměnných, apod. nebo mohou být výsledkem cyklů v programu. Faktem je, že přesně toto jsou místa, která virus použije pro spuštění vlastního kódu. Prakticky při útoku viru na program dojde k nakopírování, případně vygenerování kódu viru, který je zapsán do posloupnosti instrukcí programu, nejčastěji na konec, protože přeadresovat všechny skoky v paměti by bylo náročné a mohlo by jít o zdroj chyb, které by mohly prozradit přítomnost viru. Následně je nalezen vhodný skok a ten je přeadresován ke spuštění kódu viru. Po vykonání kódu viru je program instruován ke skoku na původní místo, kam směřoval původní odskok. Z hlediska programu se tak prakticky nic nezměnilo. Výsledkem vykonání kódu viru však většinou nebývá samotná akce viru, ale pouze jeho vhodné zavedení do paměti a napojení na používané prostředky. V dobách MS DOSu to bývalo nejčastěji napojení na požadavky na diskové operace, kde kód viru nejdříve upravil zapisovaná nebo čtená data a pak teprve umožnil původní akci. Často zde býval spouštěn kód pro napadení dalšího nevinného spustitelného programu. Ostatně právě tento charakterový rys virů jim vysloužil označení shodné s podobně fungujícími viry 44

známými z mikrobiologie. V novějších systémech jsou tyto operace zpravidla pod kontrolou operačního systému a zastínění je poněkud složitější. Antivirový program se v tomto případě soustředil na procházení kódů a vyhledával sekvence instrukcí typické pro viry. V prvních generacích se zpravidla jednalo o porovnávání se známými vzorky, později nastoupila hlubší analýza vyhledávající právě změny odskoků a napojování na systémová přerušení a další pro viry zajímavá místa. Vzhledem k pokračující virtualizaci hardware a stále sílící snaze oddělit program, respektive běžící proces, od celkového prostředí operačního systému a nastupujících technologií sandboxů60, souborové viry poněkud ztratily na zajímavosti. I přes to ale zůstávají hrozbou, kterou se zdaleka nevyplatí ignorovat. Viry napadající dávkové soubory Dávkový soubor je označení pro sekvenci příkazů operačního systému vedoucí k vykonání požadované akce. Tato sekvence, aby nemusela být psána uživatelem stále znovu, je uložena do souboru, o kterém je operačnímu systému známo, že jej má chápat jako právě takovou sekvenci. Při hledání ukázky pro viry napadající dávkové soubory můžeme opět zavítat do prostředí dnes již historického MS DOSu, kde existoval dávkový soubor autoexec.bat spouštěný při každém zapnutí počítače. Přesněji po zavedení BIOSu, operačního systému, nakonfigurování základního jádra a jeho spuštění. Soubor autoexec.bat obsahoval sadu příkazů ulehčující uživateli uvedení operačního systému do stavu, který uživateli nejvíce vyhovoval. Jednalo se o něco, čemu bychom dnes poněkud s nadsázkou mohli říkat customizace. Byly zde zpravidla nastavovány cesty pro vyhledávání programů, zavádění různých ovladačů, nastavování znakových sad apod. Právě tento soubor je pak velmi zajímavým cílem pro virus napadající dávkové soubory. Připsáním několika příkazů by mohlo být dosaženo opakovaného spouštění programu, typicky pak zavedení rezidentního programu do paměti a díky případné neznalosti uživatele by mohl být takový počin relativně bezpečný v tom směru, že většina uživatelů si vůbec netroufala se souboru autoexec.bat vůbec dotknout, natož aby věděli jak jej upravit a dokázali nalézt, co do něj nepatří.

60

Ochranné prostředí vytvořené operačním systémem pro potřeby aplikace s cílem izolovat ji od ostatních a zminimalizovat možné ohrožení způsobené jak jejím možným nežádoucím chováním, tak její nestabilitou.

45

Viry napadající dokumenty Do doby, kdy dokumenty obsahovaly pouze data, jednalo se o relativně bezpečné soubory, alespoň z hlediska operačního systému a jediné, v čem mohly představovat nebezpečí, bylo použití jejich obsahu ve vztazích mezi lidmi. Vše se změnilo ve chvíli, kdy kancelářské aplikace umožnily do dokumentu zapsat takzvaná makra61. Tedy sadu příkazů aplikace, která měla být spuštěna na požádání uživatele a ušetřit mu tak vykonávání sekvence činností. Velmi rychle se však této možnosti dostalo pozornosti útočníků. Zatímco v počátku byly viry spíše parazitními programy znepříjemňujícími život uživatele, postupně s tím, jak rostly možnosti maker, rostly i možnosti makrovirů 62. Od vkládání nežádoucího obsahu tak došlo velmi rychle k přesunu k odesílání celých nebo částí dokumentů útočníkovi, napadání dat a dalším. Zlom nastal ve chvíli, kdy tvůrci kancelářských aplikací naučili makra stáhnout data ze sítě a navíc spustit program. Téměř okamžitě začala být makra používána ke stažení, instalaci a spuštění jiných forem virů. Viry napadající specializované aplikační skripty Stejně jako kancelářské aplikace mají své makrojazyky, mají podobné jazyky i jiné druhy aplikací. Například aplikace pro tvorbu 3D grafiky, systémy pro zpracování dat, databázové systémy a další systémy mohou mít velmi sofistikované jazyky umožňující mnoho pro útočníky zajímavých možností. Viry napadající takové skripty jsou zpravidla velmi úzce specializované a vytvářené zpravidla pro konkrétní cíl a využívají přesně stanovené prostředky. Obrázek 15 - Rozdělení virů podle druhu činnosti Nerezidentní

Viry

Rezidentní viry Stealth viry Makroviry

Zdroj: vlastní

61 62

Sekvence příkazů, které lze vyvolat jediným příkazem. Více v kapitole Makro viry.

46

Chování virů se může lišit velmi od těch nejjednodušších forem, které při spuštění prostě začnou mazat vše, na co přijdou, až po velmi chytré programy, které cíleně maskují svou existenci a snaží se ukrýt před uživatelem, dokonce mást antivirové systémy případně dokonce simulovat svou činností uživatele. Nerezidentní viry Virus může představovat kód, který při spuštění provede svoji činnost a po jejím dokončení zcela neškodně skončí a mizí ze scény. Takové viry můžeme označit za nerezidentní. Jedná se o jednu z nejjednodušších forem, co se týče maskování. Rezidentní viry Mnoho virů v historii i současnosti funguje takovým způsobem, že v rámci napadeného kódu je zavolán zavaděč viru do paměti. Ten provede načtení viru do paměti, příslušnou úpravu v nastavení operačního systému a následně je aplikace ukončena. U starších operačních systémů byl program zodpovědný za uvolnění veškeré alokované paměti a uvolnění systémových zdrojů. Díky tomu bylo možné alokovat paměť a tu již operačnímu systému nevrátit. V této paměti pak mohl virus přetrvat i po ukončení aplikace, která jej do paměti nechtěně zavedla vykonáním svého napadeného kódu. Kód viru pak zůstal napojený na operační systém a v této paměťové bublině pak přetrval až do vypnutí počítače. Praktika zachování kódu v paměti i po ukončení aplikace však nebyla doménou jen virů, v době například MS DOSu se používala pro zavedení například ovladačů myši a dalších zařízení, kdy byl spuštěn program, který zavedl kód do paměti a pak se elegantně ukončil a uvolnil paměť, která dále nebyla využívána. V paměti pak zůstal jen kód určený k obsluze. Tato praxe pak byla označována jako Terminate and stay resident. Odtud pak označení rezidentní program alias rezidentní virus. Stealth viry Označením stealth viry jsou dekorovány programy vykazující známky chování viru spojené se snahou o utajení své existence před uživatelem. Později také před antivirovým programem. Typickým chováním takového stealth viru je možné popsat na příkladu, kdy se program bude aktivně snažit kontrolovat diskové operace. V případě že uživatel spouští spustitelný program, virus provede nejdříve kontrolu, zda už je program infikován, pokud ne, je tento fakt zaznamenán a uchován. Operační systém pak zavede program do paměti a pak uzavře soubor, ze kterého byl program zaveden. Přesně v tomto okamžiku virus upraví původní kód programu a infikuje jej, pak teprve ukončí práci se souborem. 47

Následně antivirový program začne kontrolovat infikovaný soubor a požádá operační systém o data v něm uložená. Systém soubor otevře a předá data. Ta jsou však nejdříve zkontrolována virem a ten zjistí, že je soubor infikován a tak infekci odstraní a originální neinfikovaná data předá antivirovému programu, který je zkontroluje a spokojeně označí jako neinfikovaná. Bez jakéhokoliv zápisu požádá o uzavření souboru a virus, protože soubor je již infikován uzavření v klidu povolí. Pokud by došlo ke změně dat, byl by obsah souboru opět kontaminován a pak teprve uložen. Práva chování, kdy virus kontroluje obsah, který upravuje tak, aby uživatel ani jiný program neviděl napadení, je označováno za stealth a odtud pak označování takto se chovajících virů. Jedinou možností jak takový virus objevit je zavést antivirový program do neinfikované paměti a provést kontrolu. Proto různé antivirové programy dodnes umožňují vytvoření bootovacích disků, odkud je zaveden neinfikovaný operační systém a díky tomu pak lze zkontrolovat souborový systém bez rizika, že virus upraví data před kontrolou. V době, kdy samotný souborový systém umožňuje kontrolu práv, kryptování a další možnosti omezení přístupu však účinnost takového řešení poněkud poklesla a vytvoření takového prostředí je poněkud složitější než bootovací disketa, jakou znali uživatelé před kupříkladu deseti lety. Makro viry Jak již bylo zmíněno, makro virus je zpravidla pevně svázán s dokumentem, případně šablonou dokumentu a aplikací. Bez otevření dokumentu aplikací je takový soubor neškodný. Situace se změní, když je dokument zaveden do paměti a aplikace požádána o spuštění makra. Výrobci aplikací si toto riziko uvědomují a také si uvědomují, že bezpečnostní riziko, které v takovém případě jejich aplikace představuje, ovlivňuje konkurenceschopnost jejich produktu. Z tohoto důvodu začali implementovat různé formy ochrany a analýzy kódu maker. Velmi často se tak uživatel v takovém případě setká s varovným hlášením aplikace a požádáním o souhlas k provedení požadované akce. Velmi často pak taková aplikace umožňuje kompletní ignoraci veškerých makro kódů, byť za cenu nižšího uživatelského komfortu.

48

Trojský kůň Označení „Trojský kůň“ zcela jednoznačně poukazuje na určitou formu romantiky, kterou si pracovníci v IT zachovávají ve svém přetechnizovaném uspěchaném jinak perfektním světě. Komu by při těch dvou slovech nevyvstala před očima představa obrovského dřevěného koně zanechaného řeky na pobřeží moře, kterého pak Trojané s vypětím sil odtáhli do bezpečí hradeb, aby pak v noci byli pobiti ukrytými útočníky, kteří zároveň otevřeli zevnitř brány, aby vnější vojska mohla vyplenit prosperující Troju. A přesně takové je i chování takových programů. Zpravidla bez větší pozornosti jsou nainstalovány do počítače, kde nenápadně připraví prostředí, otevřou spojení do vnějšího světa a čekají na signál. Protože většina obranných prostředků v počítači je nasměrována k monitorování pohybu na vnější hranici z internetu do počítače, unikne jejich pozornosti fakt, že nějaký program aktivně naváže spojení do internetu, unikne jim i to, že po tomto spojení je stažen balík dat představující instalační program a už vůbec není předmětem jejich pozornosti, že je provedena instalace a spuštění nového programu. Právě díky předpokladu, že pro útok je třeba nejdříve přijít zvnějšku dovnitř je tento druh napadení velmi efektivní. Program, který pak trojský kůň nainstaluje, může byt použit prakticky k libovolným účelům, počínaje procházením lokálního disku s vyhledáváním konkrétních informací jako jsou čísla platebních karet apod. až po umožnění vzdálené kontroly nad počítačem, případně jeho zotročení pro provedení jiného druhu útoku v podobách, které byly popsány již dříve. Zajímavým je ale fakt, že pokud takto zotročený počítač provede útok, který je mu nařízen, dozvídá se to uživatel občas z úst policie a nic netušící člověk pak musí vysvětlovat a do určité míry i prokazovat svou nevinu. Důkazem pro jeho vinu totiž velmi často bývají výpisy obsahující čas, IP adresu a další identifikující informace. Trojský kůň sám o sobě bývá neškodnou aplikací, která je velmi často maskována jako nevinná doprovodná aplikace k jinému produktu, typicky toolbar63 do webového browseru nebo jiný pro uživatele zajímavý software.

63

Panel nástrojů je ovládací prvek moderních aplikací umožňující uživateli pomocí ikon rychlý přístup k vybraným funkcím aplikace.

49

Červ Označení červ je použito pro program, který dokáže sám sebe šířit i mimo počítač. Nejčastěji tak činí pomocí rozesílání infikovaných e-mailů, odkazů atp. Název „Červ“ byl převzat z románu, kde byl jako worm (červ) pojmenován program schopný šířit sám sebe. Obvykle bývá červ vybaven ještě dalšími schopnostmi jako převzetí kontroly nad síťovými prostředky napadeného počítače, vyhledáváním specifických informací jako jsou čísla platebních karet a účtů, instalace dalšího škodlivého software, odříznutí uživatele od jeho dat s žádostí o poplatek atp.64

Zajímavé viry Creeper V roce 1971 Bob Thomas vytvořil virus, který se šířil po počítačové síti ARPANET mezi počítači typu DEC PDP-10 běžících na TENEXu65. Projevem tohoto viru bylo vyzvání „I’m the Creeper: Catch me if you can.”. Této výzvy bylo uposlechnuto a vnikl program Reaper specializovaný pro lov tohoto viru a vznikl tak první antivirový program na světě 66. Susenka.862 Tento počítačový virus napadá počítače s operačním systémem MS-DOS. Jedná se o rezidentní program napadající spustitelné soubory.com, čímž prodlouží tento soubor o 862 bytů. Po září 1993 nainstaluje svůj vlastní kód na obsluhu systémových přerušení pro systémový časovač a klávesnici. Poté je náhodně uživateli zablokována možnost pracovat s počítačem a je mu vypsána žádost „Dej mi susenku“. Virus pak čeká, dokud uživatel nenapíše na klávesnici slovo „susenka“. Pak je uživateli opět umožněno pracovat s počítačem. Pokud však virus zjistí, že je pátek 14. den v měsíci, přepíše Master Boot Record systémového pevného disku a tím zničí zavaděč operačního systému a znemožní tak další nastartování počítače. Podle faktu, že virus komunikuje s uživatelem v češtině, je původ tohoto viru přisuzován právě ČR 67.

64

Zdroj: odborný konzultant Mgr. Petr Carda. SZOR, Peter. Počítačové viry- analýza útoku a obrana. Brno: Zoner Press, 2006. ISBN 80-86815-04-8. 65 Operační systém počítačů typu DEC PDP-10. 66 Zdroj: http://history-computer.com/Internet/Maturing/Thomas.html [19.3.2015]. 67 Zdroj: http://old.securelist.com/en/descriptions/54067/Virus.DOS.Susenka.862 [19.3.2015].

50

OneHalf Virus je původem ze Slovenska a byl zaznamenán v roce 1994. Podle nepodložených informací vznikl na Košické univerzitě, proto je známý také jako Košický mor. Technicky jde o polymorfní hybridní virus používající stealth techniku pro ukrytí před antivirovým programem. Virus se šíří napadenými .exe a .com soubory, při napadení přepíše boot sector systémového disku, což mu při příštím spuštění počítače umožní použít stealth pro ukrytí před antivirovým programem. Při každém aktivaci pak zašifruje část disku, ale zachovává možnost přístupu k datům, pokud je virus aktivní. Pokud virus není aktivní, například zásahem antivirového programu, zašifrovaná data nelze přečíst. V okamžiku, kdy je zašifrována polovina dat, je uživateli zobrazena hláška „Dis is one half. Press any key to continue...“ a virus se ukončí, čímž je znemožněno čtení dat. Data lze teoreticky zachránit zpětným dešifrováním, protože virus používá symetrické šifrování a klíč ukládá do partition table disku 68. Další možností je v době aktivní infekce soubory z disku zkopírovat na jiný, protože v rámci svého utajení virus vracel uživateli dešifrovaná data69. Conflicker Koncem roku 2008 byl svět znepokojen výskytem nového počítačového viru Conflicker. Původ ani tvůrce tohoto červa není znám a Microsoft vyhlásil odměnu na jeho dopadení. Červ využívá chyby Windows, kterou využívá k útoku na sdílené zdroje a zneužívá funkcionality automatického spuštění vyjímatelných médií, jako jsou CD, DVD i USB disky. Po napadení počítače funguje jako brána pro útočníka, kterému je pak umožněno manipulovat s počítačem ve svůj prospěch. Jako součást vlastní ochrany blokuje provoz a aktualizaci antivirových programů a operačního systému. Sám si však ponechává možnost se aktualizovat. Podle analýzy slouží spíše pro vybudování sítě „zotročených“ počítačů, které pak mohou být použity jako zdroj pro jiný skutečný útok. Jako první akci sám instaluje virus, který rozesílá infikované emailové zprávy. Sám se pak pomocí hrubé síly snaží získat přístup na řadiče domén a získat odtud přihlašovací informace. Pokud se viru podaří napadnout serverovou verzi Windows, projevuje se odebíráním souborových práv a vlastnictví souborů. Podle dostupných informací existují mutace, které samy dokážou fungovat jako vlastní webový 68

Tabulka rozdělení disku – systémová oblast disku popisující rozdělení fyzického disku na logické jednotky s doplněním dalších pro operační systém nutných informací. 69 Zdroj: https://www.f-secure.com/v-descs/one_half.shtml [19.3.2015].

51

server a touto cestou se dále šířit. Největší hrozbou, kterou virus představuje, je ale možnost ovládání na dálku a z toho plynoucí možnost nebo spíše pravděpodobnost zneužití pro jiné druhy útoku. Možností ochrany je několik. První z nich je zakázat automatické spouštění vyjímatelných medií. Pravidelná aktualizace operačního systému a bezpečnostních aplikací. Další pak monitorování běžících procesů na počítači, otevíraných portů a síťové komunikace a omezené používání naplánovaných úloh. Na úrovni domény pak důsledná ochrana klíčových síťových prvků a účtů uživatelů, včetně omezení počtu možností chybných přihlášení a důsledné vyžadování silných přihlašovacích hesel70.

70

Zdroj: https://www.f-secure.com/v-descs/worm_w32_downadup_al.shtml [19.3.2015].

52

4. Statistiky hrozeb ve finančním sektoru Naše společnost je založená na přerozdělování zdrojů. Jednou z jejich podob jsou peníze, proto je finanční sektor velmi citlivou oblastí. Jakékoliv narušení bezpečnosti nebo diskrétnosti má okamžitý odraz ve vnímání dané instituce okolím. Klienti bank jsou velmi citliví na porušení bezpečnosti svých vlastních prostředků uložených v bance. Firmy, zvláště pak velké korporace jsou velmi významnými klienty bank, nejen kvůli objemu prostředků, které bance svěřují, počtu transakcí, ale také z hlediska prestiže. Zatímco u soukromých osob je na prvním místě diskrétnost a už samotná informace, zda klient má nebo nemá účet u dané instituce je předmětem tajemství, u firemních účtů je to díky jejich častému používání víceméně s postupem času veřejné tajemství. Oproti tomu u velkých klientů je předmětem určité formy prestiže, že klient účet u banky má, a společně s tím se stává dvousečnou zbraní ve chvíli, kdy klient od banky odchází. Taková informace pak může způsobit ztrátu přesně té prestiže, kterou klient přinesl a může způsobit odchod dalších klientů. Z těchto a mnoha jiných důvodů, jsou jakékoliv problémy s bezpečností, zneužitím postavení, narušení informačních systémů a podobných nepříjemností předmětem určité střídmosti, pokud jde o zveřejňování. Některé informace se stávají vyloženě předmětem bankovního tajemství a tak je možné dočíst se, že banka byla napadena, ale dopátrat se, jak útok probíhal a kam se útočníkovi podařilo proniknout, je téměř nemožné. A je to i logické, protože finanční sektor je oblastí točící se kolem peněz a to často v obrovském objemu. Představa, že v deníku bude otištěn přesný postup a technologie použité při útoku, by vedl k tomu, že by se našlo mnoho jedinců nebo skupin, které by tento útok prostě chtěly vyzkoušet. Klienti by pak ztratili důvěru v bezpečnost dané finanční instituce a to by mohlo vést k existenčním problémům. Pro potřeby této diplomové práce jsem oslovila několik bank v této republice, ale s odvoláním na bankovní tajemství se mi nepodařilo získat informace ohledně jejich napadení a ani ohledně procesů, kterými jsou řešeny případné ztráty klientů vzniklých z těchto útoků. Z tohoto důvodu bylo možné opřít se pouze o oficiální zdroje, z nichž nejdůležitějšími jsou informace poskytované výrobci antivirového software a státními institucemi.

53

4.1 Statistika v ČR Jak je již uvedeno v úvodu, usnesením č. 781 ze dne 19. 10. 2011 byl gestorem kybernetické bezpečnosti v ČR ustaven vládou ČR Národní bezpečnostní úřad (NBÚ), který se tak stal nejvyšší autoritou v tomto oboru. Součástí usnesení byl vznik Národního centra kybernetické bezpečnosti se sídlem v Brně. Centrum je součástí NBÚ a jeho úkolem je prevence i reakce na kyberzločin a současně koordinace akcí se složkami jiných států, tedy zapojení do mezinárodního i národního boje proti kyberzločinu. Oproti neustálému tvrzení medií, že útoků stále přibývá, počty vydaných varování, jak je vidět na grafu, oscilují a nevykazují jednoznačnou růstovou tendenci. Z toho lze usuzovat, že onen nárůst je sice očekávatelný už jen z pohledu neustále se rozšiřujícího technického zázemí ve formě stále stoupajícího množství připojených zařízení, jejich unifikace z hlediska komunikace a tím zjednodušení provedení útoků, protože pro jeho přípravu stačí použít stále se zmenšující množinu nutných technických znalostí, ale při detailním pohledu si můžeme všimnout, že nemalý efekt přináší samotná senzacechtivost právě těchto medií. Nelze však tento pohled bagatelizovat a popírat nebezpečnost takového útoku. V dnešní době lze snáze zaútočit na mnohem širší množinu obětí než v historii a v tomto trendu budeme jako civilizace s nejvyšší pravděpodobností stále pokračovat. Množství varování tedy sice nemusí narůstat, ale stále se bude zvětšovat skupina uživatelů, kterým jsou tato varování adresována. Obrázek 16 - Graf vývoje počtu varování vydaných Národním centrem kybernetické bezpečnosti

Varování ČR 16 14 12 10 8

Varování ČR

6 4 2 15/02

15/01

14/12

14/11

14/10

14/09

14/08

14/07

14/06

14/05

14/04

14/03

14/02

14/01

13/12

0

Zdroj: http://www.govcert.cz/cs/informacni-servis/bulletiny/[2.4.2015]

54

Na základě posbíraných dat je také možné vypozorovat narůstající snahu společností i jednotlivců předcházet napadení vytvářením aktivní obrany technického rázu ve formě kontroly IT infrastruktury a jejího provozu, komunikačních kanálů, avšak lze také vypozorovat také narůstající uvědomění uživatelů při využívání takových prostředků. Například při pohledu na problematiku skimmingu je jednoznačně patrný posun u uživatelů bankomatů (viz obrázek 17), kteří si v reakci na opakovaná varování více všímají technického provedení bankomatu a jeho neočekávaných úprav. Obrázek 17 - Počet skimmingových útoku v rozmezí let 2005-2014

Zdroj: http://www.policie.cz/clanek/skimming-2011.aspx[11.4.2015] Dle statistik vydaných ČSOB a.s., jsou útoky prováděny nejvíce formou podvodných e-mailů a virů. Phishing a malware dosahují celkově až 78% evidovaných útoků, další procenta tvoří útoky, kde jsou využívány sociální sítě. Avšak počet kybernetických útoků mezi lety 2013 a 2014 stoupl o několik desítek procent. Podle odborníků na tyto zločiny je možno očekávat další meziroční nárůst v řádu až stovek procent. Metody výše zmíněných útoků jsou však čím dál více nebezpečnější. Jen za rok 2015 proběhlo díky těmto metodám neoprávněné odčerpání peněz z účtu klientů přes kanály ELB 71 v 95 % případech72. V rámci diplomové práce měla být provedena metoda komparace údajů jednotlivých institucí, obdobné informace jsem však u jiných velkých bank na území ČR nezískala.

71 72

Elektronické bankovnictví. Zdroj: http://www.csob.cz/cz/csob/servis-pro-media/tiskove-zpravy/stranky/tz150115.aspx[20.1.2015].

55

4.2 Statistika v EU a ve světě Celosvětově se intenzita útoků v čase mění, jak ukazuje graf trendů z let 2012-2014. Obrázek 18 - Trend vývoje množství útoků v letech 2012-2014

Zdroj: http://hackmageddon.com/2015/01/13/2014-cyber-attacks-statisticsaggregated/[12.4.2015] Je třeba si uvědomit, že jednotlivá odvětví se liší atraktivitou pro provedení útoku. Není úplně překvapením, že nejčastějším cílem útoků jsou různé vládní instituce. O poměru útoků pramenících v nesouhlasu se během daného státu a útoků pramenících z mezinárodní kyberválky se však můžeme pouze dohadovat.

Obrázek 19 - Rozložení útoků podle odvětví

Zdroj: http://hackmageddon.com/2015/01/13/2014-cyber-attacks-statisticsaggregated/[12.4.2015]

56

Bohužel o probíhající válce v kyberprostoru již nelze pochybovat. Jedním z nejznámějších projevů této kyberválky je útok USA proti Íránským centrifugám, který byl spuštěn v letech 2008 - 2010 a po úspěšném zničení těchto zařízení byl Íránský jaderný program vrácen o několik možna desítky let zpět. Další známé útoky mají kořeny v KLDR a vedou zpravidla na DoS proti různým subjektům v USA. Dalšími hráči na poli kyberválky jsou zcela podle očekávání i Čína a Rusko. Viz vizualizace v příloze. Společností pravděpodobně nejvíce vnímanou formou útoku je spam. Statistiky vybudované z dat z velkých oblastí nám napovídají, že cílem spamových útoků se stávají stále stejné slabiny lidské osobnosti, kterými jsou strach z nemoci, strach ze selhání, soucit, touha po zisku a touha být přitažlivý, viz graf nejčastějších forem spamu.

Obrázek 21- graf poměru nejčastějších typů spamů Farmaceutické Malware produkty sexuálního 3% rázu 4% Phishing 5% Pornografie a sex 5% Nabídka kasin a heren 6%

Obrázky 3%

Jiné 7%

Farmaceutické produkty nesexuálního rázu 28%

Nefarmaceutické produkty Nigerijské dopisy 17% 13%

Finance 9%

Zdroj: http://21stoleti.cz/2012/02/29/kam-se-hrabou-drogove-kartely-nakyberzlocin[12.4.2015]

Další jednoduchý rozbor nám ukazuje, že častěji jsou útoky vedeny ve vyspělých zemích a zemích se širokou základnou potenciálních obětí. V tomto grafu Česká republika nefiguruje.

57

Obrázek 20 - Žebříček zemí podle úrovně kyberzločinu

Zdroj: http://www.enigmasoftware.com/top-20-countries-the-most-cybercrime/[3.4.2015] Při pohledu na počty oznámení narušení nebo vyřazení internetových stránek lze vidět, že pro útočníky je zajímavější stránku modifikovat a použít ji jako zdroj informací, než ji vyřadit z provozu. Z tohoto chování je patrné, že do budoucna můžeme očekávat stále sofistikovanější útoky a že přímočaré akce budou stále vzácnější. Samotné vyřazení služby bude pravděpodobně i nadále méně časté oproti jednoznačným snahám o získání identity. Obrázek 21 - Statistiky Národního centra kybernetické bezpečnosti 60 50 40 Varování Svět

30

Hacked pages

20

DDoS pages

10 0

Zdroj: http://www.govcert.cz/cs/informacni-servis/bulletiny/[30.3.2015]

58

EAST European ATM Security Team je provozovatel mezinárodní sítě cílené na zlepšení spolupráce v oblasti privátní i obchodní bezpečnosti a boji proti mezinárodnímu zločinu. Skupina vydává roční a půlroční zprávy o vývoji bezpečnosti, varování před podvody a zneužití platebních terminálů, bankomatů a dalších zařízení. Informuje také o pokroku v ochraně těchto zařízení a nových verzích vydávaných hlavními aktéry na trhu s nimi. Pořádá také otevřené i uzavřené akce, kde je možné seznámit se blíže s aktuální situací a vývojem v oblasti svého působení. V pravidelných reportech této skupiny se mi podařilo najít informace nejen o vývoji počtu útoků, ale také o odhadovaných škodách, které byly těmito útoky napáchány. Skupina také rozděluje tyto informace podle toho, zda jde o podvodné zneužití zařízení, nebo přímo jeho fyzické napadení, případně poškození nežádoucí modifikací. Obrázek 22 - Vývoj počtu podvodů hlášených EAST

Podvody 14000

280 260 240 220 200 180 160 140 120 100 80

13000 Počet incidentů

12000 11000 10000

9000 8000 7000 6000 5000 2008 2009 2010 2011 2012 2013 2014

Počet incidentů Celková škoda (mil EUR)

Zdroj: https://www.european-atm-security.eu/media-resources/[30.3.2015] Z grafu je vidět, že počet incidentů není pevně svázán s objemem škod. Také se zde potvrzuje, že i přes fakt, že počet incidentů narostl, objem způsobených škod tento nárůst příliš neopětoval. I zde je vidět určitý nárůst opatrnosti a zlepšující se povědomí o hrozících hrozbách a ochraně proti nim.

59

Obrázek 23 - Vývoj fyzických poškození hlášených EAST

Poškození 2100 17

Počet incidentů

1900

15

1700

13

1500 1300

11

1100

9

900

7

700

5

2008 2009 2010 2011 2012 2013 2014

Počet incidentů

Celková škoda (mil EUR)

Zdroj: https://www.european-atm-security.eu/media-resources/[30.3.2015] Graf fyzického poškození terminálů ukazuje, že po počátečním úspěchu útočníků byla přijata opatření, která omezují jejich možnosti, což se projevilo značným poklesem počtu incidentů. Zároveň je vidět prudký propad fyzicky způsobených škod, za čímž může stát jednak klesající cena technologií stejně jako menší náročnost jejich oprav, případně úspěšnost podniknutých protiopatření. Následný nárůst je možné přisoudit jak snazší dostupnosti technologií pro provedení útoku, tak i masovému rozšíření počtu zařízení, která lze napadnout.

4.3 Co lze očekávat v budoucnu? Stále stoupající počet kybernetických útoků má být dostatečně varujícím signálem k urputnějšímu boji, avšak nejen pro peněžní instituce. Nejde zde pouze o zcizená data a finanční prostředky, ale především o ztrátu důvěry klientů, která může být pro danou instituci zničující. Do budoucna lze očekávat větší motivaci pachatelů, která má za důsledek jejich zvýšenou aktivitu a zlepšování schopností útočníků. Řízení kybernetických rizik a dodržování bezpečnosti bude mít stejnou váhu jako kapacita, výkon a funkčnost. IT bezpečnost tak přestane být problémem pouze IT sféry. Stoupající kriminalita pravděpodobně zvýší i náklady společností vynaložené na oblast IT, protože stále bude nutno zdokonalovat aplikace pro větší bezpečnost plateb a ochranu citlivých údajů, pravděpodobně pod tlakem veřejnosti. 60

Dle odborných názorů lze očekávat přechod z pasivní obrany do aktivní, což znamená, že zatímco dosud se instituce snažily o vývoj neproniknutelných systémů, v budoucnu by systémy měly umět identifikovat pachatele a získávat důkazy, aby mohl být útočník odhalen a potrestán. Subjekty, které se snaží o eliminaci kybernetických útoků, se spojí, protože útočníci v dnešní době jsou si dobře vědomi toho, že jejich dopadení je velice složité. A takové spojení skupin, které bojují za bezpečnost v IT, tento boj posílí, tím pádem bude větší šance dosažení úspěchu. Zatímco dnes banky ve většině případů pouze určitým způsobem napravují vzniklé škody, počítá se s tím, že rizika kybernetických útoků budou spadat do kompetence výkonného managementu, což by mohlo pomoci k většímu zohlednění v ostatních oblastech. Také se očekává vytvoření nových IT standardů v bankovním sektoru73.

73

BARTÁK, Petr. Banky před kriminálníky stále o krok zpět, nebo ne?2015, přednáška [2015-02-18]

61

5. Návrhy řešení bezpečnostních incidentů Existuje mnoho možností, jakými lze zajistit větší bezpečnost bank a jejich klientů, otázkou však je jejich technická náročnost, nákladovost a možnost provozování a správy.

5.1 Čip na občanském průkazu Takzvané elektronické občanské průkazy (obrázek 24) si první majitelé vyzvedávají již od 1. ledna 2012. Jedná se o občanský průkaz, který na vyžádání majitele může být za poplatek 500,- opatřen kontaktním elektronickým čipem, slouží jak k identifikaci osoby, tak do něj lze nahrát data jako elektronický podpis, atd. Při převzetí tohoto průkazu si nový majitel nastaví čtyř až desetimístný BOK 74 pro komunikaci s informačními systémy veřejné správy. Obrázek 24 - Občanský průkaz s čipem

Zdroj:http://zpravy.idnes.cz/cipy-v-obcankach-maji-jen-jedinou-funkci-a-plati-se-za-nepetinasobek-1pa-/domaci.aspx?c=A120119_170019_domaci_hv[21.1.2015] Zatím je jeho využití minimální, ale do budoucna by mohly být na čip nahrány identifikační údaje občana, jako je jméno, adresa, rodné číslo, pohlaví, atd., dále pak údaje o občanském průkazu, např. číslo, datum a místo vydání, platnost, také již zmiňovaný elektronický podpis, případně další údaje. Kód zvolený občanem by mohl být používán při každé identifikaci klienta, banky by však musely být vybaveny čtečkami těchto průkazů. Pak by mohl klient jednoduše vložit svůj průkaz do čtečky, která by jej identifikovala, a po zadání bezpečnostního kódu by se načetly všechny údaje o klientovi a ten by byl tímto identifikován. 74

Bezpečnostní osobní kód.

62

Princip identifikace by byl stejný, jako u platební karty, kdy majitel zadá PIN kód. Nevýhodou je, že by to znamenalo vyšší náklady na pořízení a správu pro banku, oproti tomu by byla urychlena identifikace stávajícího a zaevidování nového klienta. Tím pádem by se snížily náklady s administrativou.

5.2 Biometrie Nová technologie nezadržitelně proniká do našeho každodenního života. Čím dál častěji se při otevírání dveří či při vstupování do počítačů identifikujeme pomocí našeho těla. Tato identifikace se provádí pomocí otisku prstu, dlaně, oční duhovky, obličeje, kartografie žil, tvaru lebky atp. Používání klíčů, magnetických karet, čipů, jmenovek a jiných prostředků ke vstupu do dané místnosti či lokality, přístupu k aplikacím atd. se blíží ke svému konci. Zrozená technologie, která umožňuje absolutně nezpochybnitelnou identifikaci osob, se nazývá biometrie. Biometrie je souhrn výpočetních technik, které dovolují automaticky rozpoznat jakoukoliv osobu na základě jejich fyzických parametrů. Biometrie se stala během několika let tím nejmodernějším a nejspolehlivějším způsobem v oblasti kontroly vstupů.

Verifikace zadání identity heslem nebo kartou a následné poskytnutí biometrických údajů, které jsou porovnávány s daty z databáze. Zde může být velké množství otisků, ovšem dodaný otisk je kontrolován v kombinaci s čipovou kartou nebo heslem. Jedná se tedy o porovnání jedna ku jedné.

Identifikace klient by mohl být identifikován dříve, než jsou známy biometrické výstupy při verifikaci. Klient tedy dá svůj otisk, který je porovnán s databází, dokud není nalezen shodný. Výstupem je tedy identita klienta, ve formě kódu nebo jména. Jde o porovnání 1:N, protože je porovnáván jeden otisk proti velkému množství otisků z databáze.

Srovnání určení stupně shodnosti porovnáním dvou vzorků. Výsledkem je určité skóre, které udává, zda je otisk shodný či není. To však může mít spoustu variací, není dán přesný standard. Nemůže být nikdy stoprocentní, z toho důvodu je třeba, aby v databázi byly seřazeny všechny vzorky

63

včetně všech možných podobností, aby bylo možno dosáhnout co největšího procenta shodnosti. Měla by být stanovena určitá mez, tzn. hodnota shody, kterou musí daný vzorek splňovat, aby byl uznán identifikovatelným. Existuje však velké množství snímačů, které nejsou vždy spolehlivé a určitými způsoby je lze obejít. Lidstvo má k dispozici spousty materiálů, pomocí kterých lze vyrobit dokonalou kopii otisku mající stejné papilární linie jako u jiné osoby. Jsou však i další biometrické metody, jako je dynamika úhozů do kláves, identifikace člověka podle pachu, geometrický tvar dlaně nebo verifikace správnosti podpisu, apod. Není však jednoduché tyto metody porovnávat a volba závisí na velkém množství faktorů. Musí být jasně a přesně dáno, které z biometrických systémů a technologií lze uplatnit v jakém oboru, aby bylo maximálně využito všech předností a mohly být minimalizovány jejich zápory. Měla by být zachována jejich dlouhodobá přesnost, co nejnižší náklady na pořízení a kontrolu dat, jejich ochrana před znehodnocením nebo zcizením, zachována maximální spolehlivost. V budoucnosti lze očekávat větší využití biometrických údajů, kterými bude klient ověřován a identifikován. V roce 2014 Apple oznámil, že u jeho produktu iPhone 5s bude autentizace probíhat formou integrovaného otisku prstu, bez něhož nebude možnost iPhone použít. Bohužel tato ochrana byla prolomena již pár dní po uvedení na trh, což ale lidi přinutilo řešit význam dvoufaktorové autentizace. V důsledku tohoto obnoveného zájmu předpokládáme, že příští rok přidají druhý faktor autentizace do svých zařízení další mobilní výrobci. Budeme také svědky nárůstu dalších forem ověřování, jako je skenování duhovky, rozpoznání obličeje nebo tetování. Pracuje se i na metodách, které jsme zatím viděli jen ve sci-fi filmech, jako jsou speciální vysílače identifikačního signálu, které je možné polknout a jejichž napájení je zajištěno díky žaludeční kyselině.

5.3 SignPad Banky se postupně učí využívat biometrické údaje, zatím však vůbec nelze mluvit o takových autentizacích jako přes oční sítnici nebo sejmutím otisků prstů. Zatím pouze zaznamenává klientův podpis. Výhodou je, že klient z banky neodejde s deskami plnými různých smluv a dokumentů, protože si vše může v platném znění kdykoliv dohledat na svém internetovém bankovnictví. Velice často dochází k vytváření nových dodatků smluv z toho důvodu, že klient smlouvu

64

nebo jiné dokumenty ztratil. To by se mohlo v brzké budoucnosti změnit, protože se k dokumentům klient dostane během pár kliknutí. Aby si klient podpis „zaregistroval“, bude třeba podepsat se na SignPadu (viz obrázek 25), a to šestkrát, aby bylo možno podpisy správně porovnat, vyhodnotit a uložit. Napodobit takový podpis je velice těžké, prakticky nemožné. Obrázek 25 - SignPad

Zdroj: http://www.amsoft.cz/Produkty/Softpro/signpad.html[12.12.2014] Pro pořízení biometrického podpisu je potřeba, aby se klient podepsal na takzvaném SignPadu. Pro správné vyhodnocení a uložení potřebných biometrických údajů je nutných takových podpisů šest, také proto je téměř nemožné podpis napodobit. Není jej ani možné použít na jiném dokumentu z důvodu neshody časových razítek a podpisu. V případě, že by klient podepisoval dokument elektronicky, připraví pracovník banky dokumenty k podpisu, aby je klient mohl podepsat prostřednictvím speciálních modulů, například tabletu, kde je možno vidět daný dokument a řádek k podpisu, kde se klient podepíše speciálním perem. Takto podepsaný dokument lze okamžitě odeslat oprávněné osobě kdekoliv na světě. Zde je velice významná rychlost a efektivita, tím pádem i vyšší produktivita. Pro banku by byl velikou výhodou spokojený klient, navíc i snížení nákladů na proces. Samozřejmostí je také snížení rizika spojeného s jednoznačnou identifikací klientů a silná prevence proti neoprávněným změnám v dokumentech a proti falšování a krádeži identity.

65

5.4 Legislativa Je samozřejmé, že činnost finančních i nefinančních institucí, včetně jejich bezpečnosti, musí také

zaštiťovat

a

regulovat

zákony.

V této

subkapitole

se

zabývám

těmi

nejpodstatnějšími a pro obor peněžních služeb nejdůležitějšími, jako jsou zákony o elektronickém podpisu, o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu a zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti). Zákon č. 227/2000 Sb., o elektronickém podpisu Tento zákon byl vytvořen na základě směrnice EU 1999/93/EC ze dne 13. 12. 1999 a dne 29. 6. 2000 zveřejněn ve Sbírce zákonů. Jeho smyslem je umožnit používání elektronického podpisu při elektronické komunikaci jako ekvivalent vlastnoručního podpisu při listinné komunikaci. 26. 7. 2004 nabyla účinnosti novela tohoto zákona, kde jsou nově zavedeny pojmy „kvalifikované časové razítko“ a „elektronická značka“. Pro ně se používá technologie digitálního podpisu stejně jako pro elektronický podpis. Zatím co elektronický podpis může používat kterákoliv fyzická osoba, elektronickou značku mohou použít i právnické osoby nebo organizační složky státu formou automatizovaných postupů. 15. 4. 2010 byl zákon opět novelizován a přidává Ministerstvu vnitra povinnost vést a zveřejňovat seznam certifikačních služeb a stanoví orgánům veřejné moci povinnost uznávat kvalifikované certifikáty vydané v ostatních členských státech Evropské unie. Novela ze dne 1. 7. 2012 nově zavádí pojmy „uznávaný elektronický podpis“ a „uznávaná elektronická značka“. Stanovuje k podepisování nebo označování dokumentu v podobě datové zprávy, kterým se činí úkon vůči státu a dalším určeným subjektům, používat uznávaný elektronický podpis nebo uznávanou elektronickou značku ve formátu stanoveném v Rozhodnutí Komise 2011/130/EU. Rovněž stanovuje postup pro případy, kdy není použit tento formát. Zákon 227/2000 Sb. tak nově ukládá povinnosti i v oblasti používání elektronického podpisu. Z hlediska českého práva je klíčovým. Zákon č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu Ve své první části tento zákon řeší úvodní ustanovení. Udává, že pokud se klient odmítne identifikovat a neposkytne povinnou součinnost při kontrole, pokud existují pochybnosti 66

o klientem dodaných informacích či dokladech, nebo z nějakého důvodu nelze kontrolu provést, povinná osoba odmítne uzavření obchodního vztahu. Existuje zde pojem „politicky exponovaná osoba“, kterou je dle definice České spořitelny fyzická osoba ve významné veřejné funkci s celostátní působností. Tato osoba je politicky exponovanou po celou dobu výkonu funkce a po dobu jednoho roku po ukončení výkonu funkce. Taková osoba má bydliště mimo území České republiky, nebo mimo Českou republiku tuto funkci vykonává. Může to být například hlava státu, ministr, člen nejvyššího soudu nebo vrcholného orgánu centrální banky, velvyslanec, poslanec Evropského parlamentu, apod. Dále se může jednat o fyzické osoby, které jsou blízké politicky exponované osobě, například sourozenec, partner, rodič, společník nebo je skutečným majitelem stejné právnické osoby, atd. Také vysvětluje, kdo je povinná osoba, tudíž ten, kdo má povinnost kontroly a prověření klienta. Obchodní vztah nesmí být uzavřen v případě, povinné osobě není znám stav obchodního majetku nebo není bezprostředním nadřízeným či statutárním orgánem politicky exponované osoby udělen souhlas. Dále se zabývá uchováváním údajů povinnou osobou, stanovuje, které dokumenty a jakou dobu mají být uchovávány, na základě přímo použitelného předpisu Evropských společenství, kterým se stanoví povinnost doprovázet převody peněžních prostředků informacemi o plátci. Také vysvětluje pojem legalizace, financování terorismu, identifikační údaje, podezřelý obchod, atd. Druhá část upravuje základní povinnosti při identifikaci a kontrole klienta, kdo má povinnost, jakým způsobem a kdy vyvstává povinnost prověření a kontroly. Kromě toho, že tento zákon upřesňuje předmět a povinné osoby, kterých se týká a vysvětluje základní pojmy, také přesně specifikuje postup při identifikaci klienta, což je primárním úkonem při hotovostním platebním styku. Stanovuje výjimky, kterých se identifikace netýká a dokumenty a produkty, při kterých klient nemusí být kontrolován. Dále pak upravuje postupy, které musí být dodržovány při podezření z pokusu o podvod. Takovéto postupy si dále upravuje každá finanční instituce formou metodických pokynů, které ale nesmějí být v rozporu se zákonem. Při takovémto zjištění je zaměstnanec povinen odložit splnění příkazu klienta a informovat příslušné odpovědné subjekty. V zákoně jsou stanoveny přesné znaky, které musí podezřelý obchod vykazovat. Třetí část popisuje a vymezuji činnosti Ministerstva financí a dalších orgánů, které jsou v pozici kontroly, dozoru a vyšetřovatele. Zákon stanovuje činnosti a podmínky pro získávání a uchovávání informací, jejich zpracovávání a nakládání s výsledky šetření. 67

Na základě mezinárodní smlouvy, kterou je Česká republika vázána, nebo na základě vzájemnosti, spolupracuje ministerstvo se zahraničím (orgány a organizace se stejnou působností) při předávání a získávání dat pro účely stanovené tímto zákonem. Ministerstvo funguje také jako správní dozor. Kontrolu plnění dle tohoto zákona však také provádí Česká národní banka, která vykonává dohled nad povinnými osobami, stejně jako další správní úřady a Česká obchodní inspekce. Rozsah jejich činnosti a působnosti upravuje tento zákon. Čtvrtá část upravuje pravidla a povinnost mlčenlivosti, část pátá zase přeshraniční převozy, kdo má oznamovací povinnost a činnost celních úřadů. V šesté části jsou popsány správní delikty, jakým způsobem je postupováno při porušení mlčenlivosti, neplnění povinností při identifikaci a kontrole klienta, porušení nebo neplnění dalších, zákonem stanovených povinností. V sedmé části jsou popsána společná, závěrečná, zrušovací a přechodná ustanovení. Tento zákon nabyl účinnosti prvním dnem druhého kalendářního měsíce následujícího po dni jeho vyhlášení. Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů V první části tento zákon řeší základní ustanovení, jako jsou předmět, kterého se týká, vymezuje pojmy, například co je kybernetický prostor, bezpečnost informací, kritická informační infrastruktura, správce komunikačního systému, apod. Povinnosti v kybernetické bezpečnosti se týkají např. poskytovatelů služeb elektronických komunikací, správce komunikačního systému kritické informační infrastruktury, správce informačního systému kritické informační infrastruktury, atd. Dále upravuje bezpečnostní a organizační opatření, kybernetické bezpečnostní události a kybernetické bezpečnostní incidenty, hlášení a evidenci těchto incidentů a opatření proti vzniku incidentů. Dozví-li se Národní bezpečnostní úřad zejména z vlastní činnosti nebo z podnětu provozovatele Národního CERT anebo od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, zveřejní na svých internetových stránkách varování o možnosti hrozby v oblasti kybernetické bezpečnosti. Poté vydá rozhodnutí o provedení reaktivních opatření k řešení kybernetického bezpečnostního incidentu. Jak již bylo zmíněno v úvodu, Národní CERT zajišťuje v rozsahu stanoveném tímto zákonem sdílení informací na národní a mezinárodní úrovni v oblasti kybernetické bezpečnosti. Přijímá hlášení o kybernetických bezpečnostních incidentech, které pak vyhodnocuje. Určitým

68

subjektům poskytuje metodickou podporu a pomoc při výskytu incidentu. Dále zákon určuje, kdo může být provozovatelem Národního CERT. Je zde podrobně popsán pojem „Veřejnoprávní smlouva“ a „Vládní CERT“. Stav kybernetického nebezpečí je takový stav, kdy je ve velkém měřítku ohrožena bezpečnost informací v informačních systémech nebo bezpečnost a integrita služeb nebo sítí elektronických komunikací. Tento zákon jasně určuje podmínky pro výkon státní správy, stanovuje pravidla pro kontrolu, nápravná opatření a správní delikty. Závěrečná ustanovení upravují zmocňovací, přechodná a společná ustanovení. Druhá, třetí, čtvrtá a pátá část řeší změny příslušných zákonů a šestá část stanovuje účinnost.

5.5 Finanční arbitr Důležitým orgánem pro oblast bankovnictví a s ním souvisejících služeb je finanční arbitr, jehož institut byl zřízen 1. 1. 2003 v rámci přípravy vstupu České republiky do Evropské unie, kdy byla nutnost splnění některých podmínek a povinností, které vyplývaly z budoucího členství. Jednou z těchto podmínek bylo sladění a transformace právních předpisů Evropské unie do právního řádu České republiky. Jednalo se o požadavek Evropské unie na určitý stupeň ochrany spotřebitele a zabezpečení před podvodným jednáním. Další směrnicí, které se tato činnost týkala, byla Směrnice č. 97/5/ES o přeshraničních převodech, která byla později zveřejněna ve sbírce zákonů jako zákon o platebním styku. Zde již je zmíněn vznik zvláštního orgánu, který bude mít v náplni práce řešení sporů mezi finančními institucemi a klienty. V rozvinuté tržní ekonomice je ochrana spotřebitele důležitou součástí hospodářské politiky států. Vycházelo se také z myšlenky, že klienta od soudního sporu odrazuje jeho zdlouhavost a časová náročnost, také nezanedbatelné náklady, které mnohdy převyšují částku, o kterou je spor veden. Pak spor není pro klienta efektivní. Jedná se tedy o takové rozhodování sporů, kde finanční arbitr vystupuje jako neutrální rozhodčí orgán. Toto řízení je upraveno také správním řádem č 500/2004 Sb., ve znění pozdějšího předpisu. Ze strany arbitra nejde o dozor, ani jako dozor správního orgánu, finanční arbitr je zde v pozici smírčího orgánu. Je kompetentní k řešení sporů, jejichž hodnota nepřesahuje ke dni podání návrhu částku 50 000Eur.

69

Finanční arbitr působí dle Zákona č. 229/2002 Sb., o finančním arbitrovi a po novelizaci tohoto zákona je v kompetenci finančního arbitra mimo jiné i řešení sporů, které se týkají spotřebitelských úvěrů.

5.6 Další bezpečnostní tipy Možnosti útoků a praktiky podvodníků se rozšiřují také se stále větším využíváním sociálních sítí, Skype, e-mailů nebo ICQ. Díky nim jsme sice v lepším a jednodušším spojení s rodinou, přáteli či obchodními partnery, ale nikdy není stoprocentní jistota, že za jménem a fotkou osoby, která o peníze žádá, je vždy osoba, kterou známe. Na druhou stranu ale také může nebezpečí číhat na přátele na Facebooku. Je nutno používat dostatečnou kombinaci čísel, malých a velkých písmen, případně speciální znaky pro kvalitní heslo, aby se případný útočník nemohl na profil nabourat a zneužít jej. Účet či profil může být jednoduše odcizen, a pokud si kontaktovaný není osobou na druhé straně jistý, stačí použít telefon a osobu kontaktovat. Hlas je totiž mnohem hůře napodobitelný. Pokud je opravdu třeba peníze zaslat, je jistější, když se člověk přihlásí do internetového bankovnictví a sám částku odešle. Přihlašovací údaje ke kartě nebo do internetového bankovnictví by nikdy neměly být vyplňovány do neověřených neoficiálních formulářů. To stejné platí pro ověřovací kód z SMS klíče. Je určen pouze k dané platbě a nikdo jiný jej nepotřebuje. Také by nikdo neměl věřit zprávám, že SMS klíč byl odeslán na telefonní číslo „údajného“ přítele, protože číslo, které je v databázi bank nastaveno k odesílání těchto klíčů jako klientovo, nelze jen tak jednoduše změnit. Takovéto údaje k účtu nebo kartám je nutno chránit před zcizením, nikomu nemají být poskytnuty a nejjistější je, pokud je klient vyplňuje pouze na webových stránkách své finanční instituce nebo na platební bráně ověřeného e-shopu. Stále více uživatelů má k dispozici tzv. chytré telefony. V rámci bezpečnosti by majitel takového telefonu neměl stahovat jen tak nějaké aplikace. Ty by měly být pouze z oficiálních obchodů předinstalovaných výrobcem.

70

Závěr Diplomová práce na téma Bezpečnostní hrozby v bankovnictví se věnuje problematice útoků se zaměřením na elektronické útoky. Cíle práce, které jsem si stanovila, byly splněny. Každá země, která má své kritické systémy připojeny do internetu, musí být schopna efektivně a účinně čelit bezpečnostním výzvám, reagovat na incidenty, koordinovat činnosti při jejich řešení a účelně působit při předcházení incidentům. Oblast informačních technologií se rozvíjí obrovskou rychlostí. Internet už dávno změnil směr a tempo rozvoje jako médium pro komunikaci. Využívá jej čím dál více domácností, mimo jiné pro stále se rozvíjející a zlepšující internetové bankovnictví, na které se finanční instituce o to více musí zaměřovat. V dnešní moderní době je velice důležité sledovat nové trendy, zabezpečit klientovi nepřetržitý přístup k jeho financím odkudkoliv na světě, což je v porovnání s návštěvou pobočky obrovská úspora klientova času. Mimo zajištění komfortu klienta je nutné, aby finanční instituce sledovaly trendy, i co se týká bezpečnosti, protože to je pro klienta jednou z priorit pro výběr banky. Pokud je banka úspěšně napadána, ztrácí pro klienta kredibilitu a ten při výběru finanční instituce v rámci bezpečí svých vkladů, volí raději jinou. V dnešní moderní době je nezbytné chránit jako finanční instituce sebe i své klienty, mít kvalitní a perfektní zabezpečení. Pronikání stále se rozvíjejících informačních technologií do všech oblastí běžného života lze označit jako velice pozitivní, zároveň však dochází i k velkému nárůstu ohrožení, které z toho plynou. Takový vyspělý stát, jakým bezesporu Česká republika je, se samozřejmě stává na těchto technologiích více závislá a je zřejmé, že tato závislost bude mít v budoucnu nadále rostoucí tendenci. Stále více oblastí ze soukromé a státní sféry je digitalizováno, s čímž je spojeno mnohem efektivnější, rychlejší a v delším časovém horizontu podstatně levnější fungování. Tím pádem se ale stává zranitelnějším vůči ohrožení a útokům, které z kybernetického prostoru přicházejí. Ti, kteří chtějí kyberprostor zneužít k nekalým účelům, mají stále lepší možnosti tohoto zneužít k dosažení svých cílů. Také proto je úkolem daného státu ochrana svých občanů proti kyberzločinu, tím pádem také zajistit, aby zákonné a společenské normy platily i při užívání internetu. Nezkušení a slabší uživatelé se nesmějí stávat oběťmi těch silnějších, ale musí být také zachována svoboda pohybu v kyberprostoru, protože právě na svobodě je tento prostor založen. Se svobodným sdílením dat, vzájemnou komunikací úzce souvisí co nejefektivnější využívaní informací a úlohou státu je tyto výhody neomezovat. 71

Také Česká národní banka se zasazuje o boj proti kyberzločinu velikou měrou. Od roku 2011 je členem Evropského fóra pro bezpečnost maloobchodních plateb. Jde o dobrovolnou spolupráci orgánů dohledu a dozoru, které působí v rámci Evropské unie a Evropského hospodářského prostoru. V dnešní době je veliký prostor pro využití různých metod a postupů v boji proti různým formám hrozeb, podstatné však je tyto hrozby včas odhalit a zakročit proti nim, aby mohly být minimalizovány jejich dopady, či samotné hrozby, avšak boj proti těmto útokům a hrozbám se nesmí omezit pouze na určité oblasti, jako je například extremismus či terorismus. Již existující mechanismy a nástroje musí být k boji proti nezákonným činům maximálně využity, aby mohla být zajištěna pro všechny uživatele spravedlnost, svoboda a bezpečnost pohybu v kyberprostoru. Bezpečné využívání moderních technologií včetně technologií pro bezpečnost je v dnešní době jednou z největších výzev.

72

Seznam použitých zdrojů Bibliografie: 1. HUBÁČEK, Miloš. Pacifik v plamenech. 2. Vydání. Praha: Panorama, 1990. ISBN 80–7038–049-7 2. PETROWSKI, Thorsten. Sicherheit im Internet für Alle, překlad KURKA, Tomáš. Bezpečí na internetu pro všechny. Liberec: Dialog, 2014. ISBN: 978-80-7424-066-9 3. SZOR, Peter. Počítačové viry- analýza útoku a obrana. Brno: Zoner Press, 2006. ISBN 80-86815-04-8 Přednáška: BARTÁK, Petr. Banky před kriminálníky stále o krok zpět, nebo ne? 2015, přednáška [2015-02-18] Studie: KLUFA, F., P. SCHOLZ a M. KOZLOVÁ. Podvody v oblasti bezhotovostních plateb v ČR (studie) [online]. 2009 Bakalářská práce: HUKOVÁ, Ivana. Ochranné prvky a padělání peněz. Praha, 2011. Bakalářská práce. Bankovní institut vysoká škola v Praze, Katedra bankovnictví a pojišťovnictví. Dostupná z: https://is.bivs.cz/th/13425/bivs_b/BP-Ochranne_prvky_a_padelani_penez.pdf Právní normy: 1. ČESKO. Zákon č. 227 ze dne 29. června 2000 o elektronickém podpisu a o změně některých dalších zákonů (zákon o elektronickém podpisu) In: Sbírka zákonů České republiky. 2000, částka 68. Dostupné z: http://aplikace.mvcr.cz/sbirkazakonu/SearchResult.aspx?q=227/2000&typeLaw=zakon&what=Cislo_zakona_smlou vy 2. ČESKO. Zákon č. 229 ze dne 9. května 2002 o finančním arbitrovi In: Sbírka zákonů České republiky. Ostrava: Sagit, 2002, částka 87. ISBN 978-80-7488-078-0. Dostupné z: http://aplikace.mvcr.cz/sbirkazakonu/SearchResult.aspx?q=229/2002&typeLaw=zakon&what=Cislo_zakona_smlou vyt

73

3. ČESKO. Zákon č. 181 ze dne 23. července 2014 o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti) In:

Sbírka

zákonů

České

republiky.

2014,

částka

75.

Dostupné

z:

http://aplikace.mvcr.cz/sbirkazakonu/SearchResult.aspx?q=181/2014&typeLaw=zakon&what=Cislo_zakona_smlou vy 4. ČESKO. Zákon č. 253 ze dne 5. června 2008 o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu, In: Sbírka zákonů České republiky. 2008, částka 80. Dostupné z: http://aplikace.mvcr.cz/sbirkazakonu/SearchResult.aspx?q=253/2008&typeLaw=zakon&what=Cislo_zakona_smlou vy Internetové odkazy: 1. Acceuil, [online], [cit. 2015-02-15], Dostupné z: http://xenod.free.fr/0_Differents_acces_aux_differentes_organisations_avec_un_parefeu.htm 2. Amos Software, [online], © 2009 Amos Software, [cit. 2015-02-11], Dostupné z: http://www.amsoft.cz/Produkty/Softpro/signpad.html 3. Ballot Point election services, [online], © 2012-2014 CCComplete, Inc., [cit. 2015-04-06], Dostupné z: http://www.ballotpoint.com/publicsite/security.html 4. Česká národní banka, [online], Copyright © Česká národní banka, 2003-2015, [cit. 2015-04-23], Dostupné z: http://www.cnb.cz/cs/dohled_financni_trh/legislativni_zakladna/banky_a_zalozny/sde leni_bezpecnost_internetovych_plateb.html 5. EAST, [online],© 2015 European ATM Security Team, [cit. 2015-03-30], Dostupné z: https://www.european-atm-security.eu 6. End the Fed: Hoard Bitcoins, [online], [cit. 2015-03-30], Dostupné z: http://nakamotoinstitute.org/mempool/end-the-fed-hoard-bitcoins/ 7. Enigma software group, [online], © 2003-2015. Enigma Software Group USA, LLC, [cit. 2015-04-03], Dostupné z: http://www.enigmasoftware.com/top-20-countries-the-most-cybercrime 74

8. Europol, [online], © 2015 Europol, [cit. 2015-03-26], Dostupné z: https://www.europol.europa.eu/ 9. Hackmageddon.com, [online], [cit. 2015-04-12], Dostupné z: http://hackmageddon.com/] 10. IPViking live, [online], [cit. 2015-04-12], Dostupné z: http://map.ipviking.com/ 11. Lupa.cz (www.lupa.cz), server o českém Internetu, [online], © 1998­2015, [cit. 2015-01-12], ISSN 1213-0702. Dostupné z: http://www.lupa.cz 12. Ministerstvo vnitra ČR, [online], © 2015 MVČR, [cit. 2015-04-11] Dostupné z:: http://www.mvcr.cz/clanek/zakon-c-227-2000-sb-o-elektronickem-podpisu.aspx 13. Národní centrum kybernetické bezpečnosti, [online], [cit. 2015-02-11] Dostupné z: http://www.govcert.cz/cs 14. Newslab, [online], [cit. 2015-03-30], Dostupné z: http://www.newslab.cz/ 15. Patria Direct, [online], [cit. 2015-02-05], Dostupné z: www.patriadirect.cz 16. PCI security standard council, [online], © 2009 - 2015 Sdružení pro bankovní karty, [cit. 2015-02-11], Dostupné z: http://www.pcistandard.cz/index.php?cat=7 17. Policie ČR, [online], © 2015 PČR, [cit. 2015-04-11], Dostupné z: http://www.policie.cz/clanek/skimming-2011.aspx 18. Stipek, [online], [cit. 2014-11-10], Dostupné z: http://stipek.wordpress.com/slovnik/ 19. Web.archiv, [online]. [cit. 2015-03-24]. Dostupné z: http://web.archive.org/web/20070227180431/http://www.bbc.co.uk/crime/caseclosed/ greattrainrobbery.shtml 20. Wikipedie, otevřená encyklopedie, [online], [cit. 2014-10-07], Dostupné z: http://cs.wikipedia.org/wiki/Man_in_the_middle 21. Wikipedie, otevřená encyklopedie, [online], [cit. 2014-11-10], Dostupné z: http://cs.wikipedia.org/wiki/Phishing Články: 1. 21. Století [online]. Copyright © RF-Hobby s.r.o [cit. 2015-04-03] Dostupné z: http://21stoleti.cz/2012/02/29/kam-se-hrabou-drogove-kartely-na-kyberzlocin 75

2. BBC [online]. Copyright © 2015 BBC [cit. 2015-03-16] Dostupné z: http://www.bbc.com/news/uk-23606367 3. ČSOB a.s. [online]. © ČSOB, 2015 [cit. 2015-02-08] Dostupné z: http://www.csob.cz/cz/Csob/Servis-pro-media/Tiskovezpravy/Stranky/TZ150115.aspx 4. Enigmasoftware [online]. Copyright 2003-2015. Enigma Software Group USA, LLC [cit. 2015-04-03] Dostupné z: http://www.enigmasoftware.com/top-20-countries-the-most-cybercrime/ 5. European-atm-security [online]. Copyright 2015 European ATM Security Team [cit. 2015-04-04] Dostupné z: https://www.european-atm-security.eu/media-resources/ 6. F- secure [online]. [cit. 2015-03-19] Dostupné z: https://www.f-secure.com/v-descs/one_half.shtml https://www.f-secure.com/v-descs/worm_w32_downadup_al.shtml 7. FyzWeb [online]. [cit. 2014-06-12] Dostupné z: http://fyzweb.cz/clanky/index.php?id=212 8. History- computer [online]. [cit. 2015-03-19] Dostupné z: http://history-computer.com/Internet/Maturing/Thomas.html 9. Idnes, [online]. © Copyright 1999–2015 MAFRA, a. s. [cit. 2015-01-21] Dostupné z: http://zpravy.idnes.cz/cipy-v-obcankach-maji-jen-jedinou-funkci-a-plati-se-za-nepetinasobek-1pa-/domaci.aspx?c=A120119_170019_domaci_hv 10. Lidovky.CZ [online]. © 2015 MAFRA, a.s., ISSN 1213-1385 © Copyright ČTK, Reuters [cit. 2015-04-14] Dostupné z: http://www.lidovky.cz/hackersky-utok-na-sony-spachala-severni-korea-potvrdila-fbipqb-/zpravy-svet.aspx?c=A141218_095835_ln_zahranici_msl[14.4.2015] 11. Novinky [online]. Copyright © 2003–2015 Borgis, a.s. © Copyright © 2015 Seznam.cz, a.s. Copyright © ČTK, DPA, Reuters a Profimedia [cit. 2015-04-14] Dostupné z: http://www.novinky.cz/finance/362690-vysali-muzi-360-tisic-pres-mobil-banka-muvyplatila-jen-bolestne.html 12. Old.securelist [online]. © 1997-2015 Kaspersky Lab ZAO [cit. 2015-03-19] Dostupné z: http://old.securelist.com/en/descriptions/54067/Virus.DOS.Susenka.862

76

13. Policie ČR [online]. Copyright 2015 European ATM Security Team [cit. 2015-04-13] Dostupné z: http://www.policie.cz/clanek/skimming-2011.aspx Ostatní: 1. Soukromý archiv Ing. Marcela Soldánová 2. Soukromý archiv Bc. Ivana Cardová Seznam obrázků: Obrázek 1 - Průběh Velké vlakové loupeže ............................................................................. 14 Obrázek 2 - Ukázka mikrotisku na bankovkách ....................................................................... 19 Obrázek 3 - Schéma použití DMZ pro ochranu vnitřních informačních systémů.................... 22 Obrázek 4 - Výstup testu generátoru náhodných čísel ............................................................. 24 Obrázek 5 - Graf uvolňování Bitcoinu v čase .......................................................................... 26 Obrázek 6 - Druhy útoků podle statistik 03/2015..................................................................... 27 Obrázek 7 - Bankomat s přidaným skimmovacím zařízením ................................................... 29 Obrázek 8 - Příklad typické phishingové zprávy...................................................................... 30 Obrázek 9 - Příklad "zeleného adresního řádku" ...................................................................... 31 Obrázek 10 - Příklad zelených adresních řádků v různých prohlížečích ................................. 32 Obrázek 11 - Příklad neověřené adresy .................................................................................... 32 Obrázek 12 - Ukázka stránky náchylné k napadení vložením vadného kódu z reklamy ......... 36 Obrázek 13 - Obecně používané schéma pro MITM ............................................................... 37 Obrázek 14 - Rozdělení virů podle způsobů šíření................................................................... 42 Obrázek 15 - Rozdělení virů podle druhu činnosti ................................................................... 46 Obrázek 16 - Graf vývoje počtu varování vydaných Národním centrem kybernetické bezpečnosti ............................................................................................................................... 54 Obrázek 17 - Počet skimmingových útoku v rozmezí let 2005-2014 ...................................... 55 Obrázek 18 - Trend vývoje množství útoků v letech 2012-2014 ............................................. 56 Obrázek 19 - Rozložení útoků podle odvětví ........................................................................... 56 Obrázek 20 - Žebříček zemí podle úrovně kyberzločinu ......................................................... 58 Obrázek 21 - Statistiky Národního centra kybernetické bezpečnosti ....................................... 58 Obrázek 22 - Vývoj počtu podvodů hlášených EAST ............................................................. 59 Obrázek 23 - Vývoj fyzických poškození hlášených EAST .................................................... 60 Obrázek 24 - Občanský průkaz s čipem ................................................................................... 62 77

Obrázek 25 - SignPad ............................................................................................................... 65

Seznam příloh: Příloha 1.................................................................................................................................... 79 Příloha 2.................................................................................................................................... 80 Příloha 3.................................................................................................................................... 81 Příloha 4.................................................................................................................................... 82

78

Příloha 1 Ukázka útočného e-mailu

Dostupné z: soukromý archiv Ing. Marcely Soldánové

79

Příloha 2 Ukázka útočného e-mailu

Dostupné z: soukromý archiv Ing. Marcely Soldánové

80

Příloha 3 Vizualizace probíhajících útoků

Zdroj: http://map.ipviking.com/ [12.4.2015]

81

Příloha 4 Příkaz k úhradě

Zdroj: vlastní

82