Смартфоны, безопасность и паранойя
Доброго времени суток!
Во-первых, хочу поздравить Хачатура и всех пользователей с новосельем и выпуском новой версии Win 10 Tweaker. Спасибо тебе за твою работу. Пока что всё замечательно (правда, на форуме не хватает кнопки предварительного просмотра сообщения перед его оправкой; сейчас вот создаю тему, а просмотреть написанное не смогу).
Так как форум только создан, и сама структура в плане тем ещё будет обсуждаться, руководствуясь последними глаголами этого подфорума "спасите / сохраните", создам эту тему здесь. (случайно промахнулся разделом, хотел создать здесь: https://win10tweaker.ru/forum/forum/помогите-подскажите-спасите-сохран)
Дело в том, что я очень долгое время старался игнорировать существующий прогресс в плане гаджетов, а именно - смартфонов и планшетов. Всю жизнь работаю за компьютером, а тут какие-то смартфоны... Думал, обойдусь, ничего нужного мне там нет. Но шло время, и наглым образом всё больше ресурсов и сайтов указывали мне на то, что вот такие-то функции доступны только в нашем мобильном приложение, а вот это ты сможешь сделать только там, а это вообще тебе 100% нужно скачать наше приложение, а компьютер можешь выкинуть на помойку, ибо он теперь бесполезен.
Я продолжал игнорировать, но в конце они все просто охуели - чтобы сделать какую-то реально уже НУЖНУЮ МНЕ вещь, для этого требовалось скачать приложение на смартфон, которого у меня нет. То есть, я впервые почувствовал вот эту искусственно созданную ущербность, что без смартфона большинство функций тебе недоступно. Мало компьютера, покупай насильно смартфон ещё, иначе твой компьютер сам по себе бесполезен. Добили, пришлось покупать. В итоге два года назад я купил свой первый смартфон.
Со временем увидел какие-то плюсы, помимо принудительного использования нужных приложений: киношку на ночь можно посмотреть уже не на ноутбуке, а на смартфоне; убить время, когда необходимо, играя в какие-нибудь игры три в ряд; и т.д. Но потенциальных для меня плюсов стало появляться ещё больше, самый главный - бесконтактная оплата банковской картой. И вот здесь у меня начинается паранойя.
Интернетом на телефоне я почти не пользуюсь, мессенджеры там, ютубы - всё это мне не нужно; да и всякие бесполезные приложения из play.google не качаю. Но всё равно как-то стрёмно вносить данные своей карты в тот же Google. Или просто как-то хранить на телефоне. Тоже самое касается и номера телефона. Основная симка у меня как была, так и остаётся на старом телефоне, где нету ни GPRS, ни WAP, ни прочего такого говна, что уж говорить про современный интернет. И здесь есть как плюс, так и минус: плюс именно в том, что понимаешь, что можно и СМСки даже сохранять на телефоне, и не надо бояться, что какое-то новое установленное приложение как-то исподтишка получит доступ к номеру телефона, и вообще полное спокойствие. Но минус в том, что полноценно я не могу использовать банковские приложения для смартфонов, тот же Сбербанк Онлайн. Да и вообще как-то всё криво, когда основной номер на обычном телефоне, а все приложения на смартфоне, где специально другая симка стоит (поддержка двух симок есть, если что).
Поэтому в силу неопытности и нечастого использования, всё-таки 2 года назад только купил, и толком не пользуюсь ничем там - как-то страшно мне за свои данные, что банковская карта, что номер телефона, да и всё остальное.
Так вот вопрос: сейчас, все-таки, это реально всё безопасно?
Особенно представляется ситуация: пришло смс от мошенников, а там ссылка. В смартфонах она активная - ну я вижу, что спам, тыкаю удалить, но СЛУЧАЙНО (всякое бывает) как-то задеваю эту ссылку, и вместо удаления случайно перехожу по ней, а у меня в этот момент подключен интернет. И всё, тютю? Есть какая-то защита с предварительным предупреждением, чтоб если случайно задел, тебя переспросили: вы уверены, что хотите перейти?! Или случайно нажал, и все данные улетели?
В общем, понимаю, что сейчас с мобильных оплачивают миллионы людей, что там сейчас вообще хранят буквально всю свою жизнь: и фотографии, и документы и всё, всё, всё. Но паранойя не даёт покоя.
Извиняюсь за длинный пост. Просто хочется, чтобы кто-нибудь развеял мою паранойю насчёт всего этого, а то я так ещё 10 лет буду всё вручную оплачивать и пользоваться допотопным телефоном как основным, потому что так безопаснее...
Привет. Попробую рассказать о своём опыте. Просто для ознакомления. Пользуюсь смартфонами на android с 2011 года в том числе и с root правами. Деньги никуда не уходили без моего ведома, на счёт остальных данных не уверен(может тонкая незаметная работа хакеров да). Помню примерно году в 14 ещё ставил приложение одно и что-то своровалось по моей глупости разочек, но не более. Ничего серьезного. Я б запомнил. Вообще картами пользуюсь только для оплаты проезда на общ. транспорте и для покупок в интернете, а так только наличка. Так что онлайн суммы вертятся небольшие совсем в большинстве случаев. Сейчас android современнее, возможно безопаснее, больше проверок и предупреждений, больше опыт у самого и никаких заметных утечек давно не было(сижу на кастомных прошивках почти всегда). Также надо читать разрешения для приложений их очень много и по умолчанию они запрашиваются при запуске. Так вот при переходе по ссылке в смс, я полагаю либо перейдёшь на фишинговый сайт, либо если прямая ссылка то что-то загрузится, но не запустится без вашего ведома. Хотя тут опять же исключения есть, лаунчеры установленные начинают работать сразу же.
Цитата: name от 26.08.2020, 21:47как-то задеваю эту ссылку, и вместо удаления случайно перехожу по ней, а у меня в этот момент подключен интернет. И всё, тютю?
Доброго. Здесь то же самое, что и на винде: вы можете хоть тонну вирусов скачать таким образом и хранить, но они безобидны, пока вы сами их не запустите.
Хотелось бы ещё добавить, что если Вы очень сильно переживаете по поводу безопасности, и, к тому же, являетесь неопытным пользователем Android смартфона, тогда лично я Вам посоветовал бы перейти на сторону iOS. Кто бы что не говорил, но именно для неопытных пользователей она является более безопасной.
Приветствую. Всё нижесказанное является моим мнением, никого не хочу оскорбить.
Хотел бы сказать, что автор использует плохой жизненный подход. Хорошо, что в конце одумался, но это больше похоже на исключение, поэтому попробую объяснить что же не так в подобной логике: "мне это не нужно, обойдусь, я и так знаю достаточно". Таким образом описывается крайне порочная практика, которая ведёт к проблемам в будущем. Если человек живёт в городе, а не отшельником, то от технологий ему никуда не скрыться, прогресс не остановить и это факт. Нам остаётся только использовать его во благо. Думаю, что никто не хочется превратиться в тех старых бабок, которые пенсию на почте получают, потому что не могут запомнить как работает банкомат и вообще ИМ ТАК УДОБНО. Как только в голове возникают подобные мысли: гоните их сразу. Однажды можете оказаться в мире, где даже чтобы посрать нужно будет как-то взаимодействовать с электронными интерфейсами и непривычный к этому мозг просто не сможет решить задачу. Я утрирую, но мысль, думаю, каждый уловил.
Само собой, нет никакой необходимости лезть во всякие инстаграммы, тик-токи и прочие соц-сети, если вам это не нужно. Но иметь страничку в том же ВК очень желательно, если у вас, конечно, нет каких-то особых предубеждение касательно именно этой соц. сети. Тут всегда можно выбрать другую.
Кстати, топикстартер молодец, что хотя бы задумался над возникшей у него проблемой и решил разузнать информацию, значит не потерял главное - желание учиться. Куча народу вообще ничего не пытается и бездумно жмёт кнопки, а потом у них то деньги со счетов снимают, то ещё чего. Но это всё моя философия. Переходим непосредственно к вопросам. Попробую ответить в рамках своего опыта и знаний.
Итак, по порядку.
1. Данные банковской карты. С одной стороны да, опасность существует. С другой стороны, можно снизить уровень опасности. Например, я храню данные карты в гугл, но не все. Существуют банки (нет, это не Сбер, чтоб им там всем пусто было), которые позволяют делать всякие интересные вещи. Например, у меня две карты. Одна физическая, другая виртуальная. Онлайн покупки разрешены ТОЛЬКО на виртуальной карте. То есть если я вам дам номер моей физической, то деньги в с неё всё равно не снимите никак. У виртуальной стоит строгий лимит суммы с которой можно работать, который я редактирую по необходимости. Такая схема уже повышает уровень безопасности. Далее, мой банк позволяет мне установить сложный пароль на вход, причём в отличие от сраного Сбера чтобы зарегаться в приложении банка нужно знать и логин и пароль, а не только номер карты и владеть симкой! (Я кучу раз писал в поддержку Сбера по поводу этой дыры в безопасности,но они считают, что у них там всё огонь. А базы данных, тем временем у них воруют только в путь. ) Если это до сих пор так (для входа в приложение нужен номер карты и смс-код, значит так и не поняли.
2. СМС это боль всех безопасников, но, к сожалению, сейчас это общий тренд. Все любят делать регистрации по номеру телефона. Не буду писать чтобы я сделал тому чудаку, который подумал, что это отличная идея. Додумайте сами. Да СМС это небезопасно в принципе. Проблема пока что нерешаема. Только лимиты и ограничения про которые я писал выше.
3. Ссылки на опасные ресурсы. Вообще всё зависит от версии андроид и того как активно и куда вы кликаете. На последних версия, к примеру, система не позволит провести установку apk не через маркет. Точнее спросит разрешения и явно потребует, чтобы пользователь переключил тумблер: установка из сторонних источников. У каждой программы такой тумблер отдельный. То есть если ставите от браузера то включить надо там, если через проводник, то в нём. Очень сложно сделать что-то случайно. Так же надо внимательно смотреть какие права просит приложение и не ставить всякое барахло. Сильно вряд ли что крупные и известные компании будут тырить ваши накопления с карт. А вот какой-нибудь калькулятор 9000 - вполне. Так что да, защита есть и так просто вы ничего не поставите. Хотя опять же, есть фишинг. Введёте не глядя на адрес сайта свои данные и сами их предоставите злоумышленнику. Надо быть просто внимательнее.
4. Банки и мошенники. Запомните простое правило: если вам кто-то звонит, то этому человеку от вас что-то надо. Касательно мошенников это работает следующим образом: вам звонит мошенник кем-то там представляется (хоть президентом США, вообще неважно.) Смело шлёте нахуй говорите пока и перезваниваете в банк, задаёте там вопросы, спрашиваете чего они вас беспокоят вообще? Там скажут что это не они. Тоже самое относится к схемам: ваш сын/дочь сбила человека, пришлите деньги. Вежливо прощаемся и звоним сыну/дочери.
5. Паранойя. Тут сложно. Степени бывают разными. Да, мы сейчас многое храним в облаках. Если вас так это смущает, ну попробуйте ШИФРОВАТЬ всё что отправляете в облако. Это выход в каком-то роде. В общем отставьте панику и ПРИМИТЕ РИСКИ. Ничего страшного в этом нет. Есть небольшой свод правил, которые гарантируют вам относительную безопасность ваших данных и комфортное их использование. Храните пароли от важных сервисов в голове. Делайте их сложными, включайте двухфакторку везде, где это необходимо. Остальные пароли храните в специальных и надёжных сервисах хранения паролей. Используйте везде разные пароли. Не переходите по неизвестным ссылкам, не вводите свои данные на непонятных сайтах. Как минимум сайт должен поддерживать Https. Трюк с двумя картами тоже неплох. Обновляйте программы своевременно (часто разработчики устраняют уязвимости). Если есть возможность, то настраивайте приватность в сервисах, которыми пользуетесь так, чтобы посторонним было сложно что-то о вас узнать. Имейте в виду, если у вас одна из последних версий андроид (желательно всё же от 2019 года), нет рут доступа, закрыт загрузчик и данные зашифрованы надёжным способом, а так же стоит пароль/графический ключ/биометрия на доступ к телефону, то взломать его ОЧЕНЬ сложно. Если что, могу потом кинуть годную статью на тему шифрования данных в телефонах. Список не полный. Возможно что-то забыл, но это основное.
Доброго дня! Всем спасибо за ответы. Особенно пользователю Cronos за такой развернутый ответ! (такой я и надеялся увидеть)
Да, про туалет без взаимодействия с техникой и старушками, получающими пенсию - хорошая аналогия. Такое вот оно отшельничество в душе. Особенно, когда появляется что-то новое и это новое принудительно навязывают. Буду как-то бороться со своими презрением и злостью...
Сбербанк пока использую только на ПК, там логин и пароль нужно ввести, и затем смс подтверждение. Думаю переходить на ВТБ. Кстати, у американцев то вообще опасное дело - я когда на Амазоне покупал что-то по карте, там даже подтверждений никаких нет. Нажал кнопку и всё списалось. Если бы в России была такая система без подтверждений, из-за наивности большинства людей был бы полный трындец. Даже сейчас попадаются на телефонных мошенников. Насчет этого - да, опыт есть. Туда, куда надо их и отправляю, точнее даже не беру трубку, а просто в черный список сразу кидаю. Кстати, какое приложение для блокировки используете? Я вот пока на TrueCaller сижу, вроде нормально блокирует.
Что касается случайного перехода по ссылке - я только сейчас вспомнил, что это на ПК в браузере там куки сохранены, и фишинговый сайт может что-то утащить. А на андроиде то я в браузере вроде и не сохраняю ничего, хотя если это Chrome и включена синхронизация с браузером на ПК - вот здесь вопрос. Просто если на почту на ПК приходит говно какое-то, то это еще надо умудриться и постараться кликнуть по ссылке. Там сразу по теме сообщения понятно, что это мусор и спам. А вот в телефоне просто всё иначе, там не мышкой тыкаешь, а пальцем тапаешь, и реально можно вместо свайпа для удаления спамерной СМСки, случайно задеть саму ссылку и перейти по ней. Но да, как я понял, в основном это вирусные .apk, которые еще установить надо, чтобы что-то плохое случилось. Но вот насчет фишинга и синхронизации мобильного браузера и браузера на компьютере - пока вопрос.
А так, как я понимаю, что касается банковских карт, то просто надо отдельную завести виртуальную карту, поставить туда всяких ограничений и не хранить на ней больших сумм. И вот ей расплачиваться на кассах, просто направляя телефон к считывающему устройству? И пополнять с другой карты, когда уже будет не хватать средств. То есть, схема: основной картой не пользуемся, нигде не светим, а имеем карты-посредники, какие-то дополнительные, вроде тех же виртуальных. И собственно ими и производим все оплаты, пополняя их с основной?
Что-то еще хотел написать, но забыл. Сейчас пока на работе.
Ахах. Спасибо. Я её в давно ещё придумал, чтобы напугать мать и заставить таки перейти на смартфоны.
Да, на пк там пароль, а вот в мобильном приложении его нет... У американцев вообще банковская система сильно от нашей отстаёт в плане технологического развития. Мы позже начали. У них каких-то пять лет назад на картах чипов не было. А уж если где-то оплатить бесконтактным способом, то вообще башню у ребят срывало. Сейчас, конечно, получше, но для меня американские интернет-магазины вообще больная тема. Я до сих пор не могу понять как можно быть такими богатыми и делать столь плохой дизайн.
Ну можете особо не кидать, один фиг они номера могут менять сколько угодно раз почти и редко повторно звонят. Насчёт приложения я тут не советчик, так как ничего такого не использую. В том смысле, что ко мне звонок проходит. Есть Яндекс, который показывает опасен номер или нет, но на этом всё. Я просто не беру с неизвестных номеров.
Со мной ещё на первом курсе один пятикурсник поделился жизненной мудростью: "Если тебе стучат в дверь, то подумай приглашал ли ты кого. Если ответ нет, то вряд ли тебе принесли что-то полезное, скорее всего от тебя что-то хотят получить. Не открывай никому двери." Вот с тех самых пор я применяю этот совет направо и налево 🙂
По поводу куки.. Да, если открыть ссылку находясь в интерфейсе почты (из браузера), то в теории можно украсть куки этой почты. НО! Во-первых, такие уязвимости стараются латать и сессия часто привязана к IP. Во-вторых, такой номер не пройдёт с приложением на телефоне (другой способ хранения ключей авторизации). В-третьих, тут могу ошибаться, буду рад, если кто поправит, но JS не позволяет одному сайту обращаться к кукам другого. Иными словами не выйдет через скрипт на почте угнать сессию в ВК. По умолчанию куки доступно лишь тому домену, который его установил. Более того даже домен следующего уровня не имеет доступа к кукам домена предыдущего уровня (если это не было специально разрешено при установке куков). Можно провести межсайтовую подделку запроса, но на данный момент все надёжные сервисы защищены от этого. В общем форум типа этого может и можно взломать, а вот банк уже не выйдет. То есть очень многое зависит не от вас, а от разработчиков. Вообще 90% и более процентов взломов проводятся с помощью методов социальной инженерии, так как это проще, чем реально ломать сайты, протоколы, приложения и искать уязвимости. В общем если захотят взломать взломают, но обычно ищут цели попроще. Прицельно ломать вас станет разве что ФСБ 🙂 Или другая похожая организация. Мамкины хацкеры быстро устанут если не вестись на фишинг и установку приложений.
Вроде как Хром куки не синхронизирует. Вот у меня хром (Cent) и на компе и на мобиле, но заходить надо отдельно и там и там. Главное ПАРОЛИ не хранить в браузере. Лучший способ хранения паролей это, конечно, голова. Потом база данных Keepass. Ну и третье это какой-нить качественный онлайн сервис. Я вот использую все три 🙂
Пароль от банка только в голове, телеги и ВК. (ну и ещё от пары важных сервисов). В базе данных Keepass всё остальное. Ну и Lastpass тоже выручает (но у них находили баги, которые потенциально могли привести...). Так что он не всем подойдёт. С другой стороны уязвимости вовремя закрывают. Но, если интересно, то можете почитать. Риски каждый оценивает сам. Keepass же достаточно надёжен. У него даже своя клавиатура на андроид. А в винде он использует экран UAC чтобы не позволить сторонним программам подглядеть мастер-пароль, который вводят с клавиатуры. + можно настроить очистку буфера обмена (НУЖНО настроить).
Нет, лично у меня физическая карта используется больше чем виртуальная, просто на ней невозможны онлайн покупки. Только работа с банкоматом или кассой. Да и там стоят ограничения. В месяц больше определённой суммы тупо не заплатить. А снять тоже можно не более 7к. То есть даже если я потеряю карту и скажу вам ПИН-код, то потеряю только 7к. После чего карту, конечно же, заблокирую. И я ей расплачивался раньше с телефона (сейчас такой возможности у меня нет.) То есть физ. карта была сохранена в телефоне для оплаты. Оплату телефоном я считаю физической оплатой, хоть карты внутри и нет как бы 🙂 А виртуальной я называю карту у которой нет физического воплощения. Если узнать её реквизиты и оплатить какую-то покупку (тут ещё надо как-то смс узнать, но допустим не спрашивают), то максимум что получиться украсть это 5к. Неприятно, но не смертельно. Именно этой картой я оплачиваю всё в интернете: заказ пиццы, покупку бытовой техники, алиэкспресс. В общем всё что проходит онлайн и в теории можно украсть через браузер. Надеюсь, что понятно объяснил.
Но ваша схема тоже имеет право на существование. Я бы так делал, если бы мой банк не позволял мне устанавливать лимиты на траты и отключать покупки в онлайн-магазинах.
Приветствую. Недавно сморел видео на youtube сисадмин рассказывал про тор и tails . Ему задали вопрос: Как будет развиваться интернет ? Его ответ был : Интернет будет закрыт. Сказки байки... Если посмотреть на развитие интернета то видна тенденция. Соответственно есть тенденция появления противодействия. Только скажи что будут сажать за твит 5 лет назад. А сейчас сидя дома люди боятся пукнуть на форуме без впн. Вот тебе и параноя.
Не важно какой у тебя тел и прошивка. Не важна операционка. Большой бро это не миф. И дело не в том что если вы не преступник то и бояться нечего. С этим никто не спорит вот только само существование колпака удручает.
Цитата: leo от 28.08.2020, 23:31Большой бро это не миф. И дело не в том что если вы не преступник то и бояться нечего. С этим никто не спорит вот только само существование колпака удручает.
Приветствую.
Здесь запрещены разговоры о политике, так что я не стану развивать эту часть темы, хотя связь, конечно, есть. Просто помните об одном из самых важных законов информатики: Криптография ВСЕГДА будет опережать криптоанализ. Так устроена эта вселенная. Ну и приведу, пожалуй, мои любимые цитаты про тех. прогресс из Deus Ex:
“You can kill dreams, you can kill innocence, you can kill freedom, but you can’t kill progress.”
Adam Jensen
These people, they're like ghosts. Always in the shadows, always hiding behind lies and proxy soldiers.
They cannot stop us. They cannot stop the future. (c) David Sarif
Если удручает наличие колпака, то меняйте общество в котором живёте. Распространяйте идеи, которые считаете правильными. А люди уже решат надо ли им это.
Защита частной жизни гражданина прописана в 2й статье конституции рф. Причём тут Ваш прогресс не пойму.