Author Archives: Kati

Kaheastmeline autentimine: Twitter

CERT-EE juhendab, kuidas aktiveerida kaheastmeline autentimine Twitteris. Blogist leiab ka varasemad juhised kaheastmelise autentimise aktiveermiseks Gmailis, Facebookis ja Microsofti kontodel.

Twitteri logo

Twitter on maailmas populaarsuselt kolmas sotsiaalmeedia keskkond, mida kasutab igapäevaselt üle 330 miljoni inimese. Twitteri puhul on märkimisväärne, et teadaolevalt on umbes 80% Twitteri kasutajaid väljastpoolt Ameerika Ühendriike ning keskkond on äärmiselt levinud nii tipp-poliitikute kui ka riigipeade seas.

Twitteri turvaliseks kasutamiseks on kõigepealt vaja korralikku ja turvalist parooli, mis ei ole kusagil mujal juba kasutusel. Üks lahendus sellise turvalise parooli valimisel võib olla näiteks tehnokratt Peeter Marveti loodud tööriist, mis genereerib kasutajatele parooliks neli levinud sõna, mida saab suurte tähtede, erimärkide ja numbrite lisamisel veelgi turvalisemaks muuta https://rabool.eu/.

Õngitsustest ja pettustest, mille vastu kaheastmeline autentimine (2FA) aitab, on juttu blogipostitustes:

Kaheastmelise autentimise lisamine

Twitterisse on võimalik konto registreerida kas meiliaadressi või telefoninumbrit kasutades. Sarnaselt kõikidele teistele suure kasutajate arvuga keskkondadele, on ka Twitteris võimalik kahetasemelist autentimist kasutades konto turvalisemaks muuta. Selleks tuleb vajutada üleval paremal nurgas profiilipildile ja ilmuvast rippmenüüst valida “Settings and privacy.”

Ekraanipilt

“Settings and privacy” alt tuleb kõigepealt valida sisselogimiste kinnitamise võimalus (“Verify login requests”). Sisselogimisi saab kinnitada nii SMSi teel saabuva koodiga kui ka Twitteri rakenduse kaudu. Lisaks tuli Twitter 2017. aasta lõpus välja uudisega, et sisselogimise kinnitamiseks võib kasutada ka kolmanda osapoole rakendusi. Juhul kui Sa pole kontot tehes lisanud oma telefoninumbrit, saad seda teha, valides “Add a phone”:

Ekraanipilt

Uuest kohast ja/või tundmatust seadmest sisse logides küsitakse parooli. Seejärel tuleb tellida kinnituskood ning see sisestada, et (oma) kontole ligi pääseda. Siis saab seadistamist jätkata.

Pärast “Login verification” märgistamist kuvatakse kasutajale järgmised võimalused:

Ekraanipilt

Esimese variandina on võimalik uuest asukohast sisselogimine kinnitada tavapärase, SMSi teel saabuva koodi kaudu. Sel juhul saabub telefoni SMSiga 6-kohaline kood, mille peab sisselogimiseks sisestama.

Samuti on võimalik kas Google Play poest, App Store’ist või Microsoft Store’ist alla laadida turvalisust tagav rakendus (mobile security app), mille saab seejärel oma kontoga siduda genereeritud QR-koodi abil.

Ekraanipilt

Ekraanipilt

Kui autentimisrakendus on kontoga seotud, saab kohe ka rakenduse ja konto koostoimimist proovida. Selleks tuleb sisestada kood, mille rakendus genereerib.

Ekraanipilt

Lisaks on võimalik endale genereerida tagavarakood konto taastamiseks. Selle abil saab samuti oma isikut tuvastada. Päheõppimise asemel soovitatakse see kood salvestada ekraanipildina, välja printida või endale e-kirjaga saata.

Ekraanipilt

Kui kaheastmeline autentimine sai edukalt aktiveeritud, küsitakse uuest ja/või tundmatust seadmest sisenemisel juba kinnituskoodi:

Ekraanipilt

Kaheastmeline autentimine: Microsofti kontod

CERT-EE juhendab, kuidas aktiveerida kaheastmeline autentimine Microsofti kontodel.
Blogist leiab ka varasemad juhised kaheastmelise autentimise aktiveermiseks Gmailis, Facebookis ja Twitteris.

Microsofti ehk Hotmaili, Outlooki, Live’i või MSNi konto kaheastmelise autentimise aktiveerimiseks pead kõigepealt sisenema oma kontole.

Kui Google’i konto kasutajad sisenevad oma kontole enamasti aadressilt gmail.com (mis suunab postkasti puhul edasi aadressile mail.google.com), siis Microsofti meiliteenuse kasutajatel on selleks aadressiks outlook.live.com. Microsoft suunab kasutajad automaatselt sellele aadressile, kui nad on trükkinud aadressireale hotmail.com, live.com või outlook.com. Kui aadressireale kirjutada msn.com, tuleb meilikontole sisenemine lehelt eraldi valida.

Järgmise sammuna tuleb ülevalt paremalt nurgast profiilipildi alt valida “Minu kontod,” “Kuva konto” ning seejärel uuel lehel “Security”.

Ekraanipilt

Seejärel vali “Update your security info” ning “Update info”:

Ekraanipilt: account.microsoft.com/security

Järgnevalt veendu, et Su kontoga on seotud vähemalt üks lisaturvalisuse meede, mille abil saad vajadusel oma kontole ligipääsu taastada. Selleks võib olla näiteks mõni teine meiliaadress, mida kasutad, või telefoninumber. Oma konto saab kinnitada SMSi või e-kirja teel. Lehe allosas saad valida “Explore more options to keep your account secure.” See link suunab Sind edasi lehele, kus saad aktiveerida kaheastmelise autentimise.

Ekraanipilt

Kui oled valinud konto kinnitamise e-kirja või SMSiga (soovitame e-kirja, sest SMS ei pruugi esimesel korral kohe kohale jõuda), saadetakse Sulle konto kinnitamiseks esmalt 4-kohaline kood:

Ekraanipilt

Suurema turvalisuse tagamiseks tuleb oma konto veelkord kinnitada ja selleks saadetakse juba pikem kood:

Ekraanipilt

Pärast konto kinnitamist on võimalik lisada oma kontole lisaturvalisust tagavaid funktsioone. Näiteks saab sisselogimisvõimaluste “Manage sign-in options” all valida, millise konto ja kasutajanimega sisse logid (näiteks, kui Sul on ühendatud Microsofti konto ja kunagine Skype’i kasutajanimi).

Ekraanipilt: https://account.live.com/proofs/Manage/additional

Juhul kui Su kontol on kaheastemeline autentimine sisse lülitamata, saad seda teha pealkirja “Two-step verification” all, valides “Set up two-step verification”.

Ekraanipilt

Lisaturvalisuse tagamiseks on kolm varianti:

  • lisada saab telefoninumbri, millele kas helistatakse või saadetakse SMS kinnituskoodiga,
  • lisada saab meiliaadressi, kuhu saadetakse kinnituskood,
  • Google Play poest, App store’ist või Windows Store’ist saab alla laadida rakenduse “Authenticator” (tootja: Microsoft Corporation).

Ekraanipilt

Sisselogimiseks nii, et kinnituskood saadetakse teise meiliaadressi peale, tuleb valida rippmenüüst “An alternate email address” ja lisada meiliaadress:

Ekraanipilt

Sisselogimiseks nii, et kinnituskood saadetakse SMSiga, tuleb valida rippmenüüst “A phone number” ja lisada telefoninumber:

Ekraanipilt

Sisselogimiseks nii, et kinnituskood genereeritakse rakenduses “Authenticator”, tuleb valida rippmenüüst “An app.”

Rakenduses “Authenticator” saab ära märkida, kas tegemist on isikliku, töö- või kooli kontoga ning määrata, kui pikka kinnituskoodi (6–8 numbrit) sisselogimise kinnitamiseks küsitakse.

Rakenduse ühendamiseks kontoga tuleb telefoniga skaneerida arvutis kuvatav QR-kood:

Ekraanipilt

Kuvatav kinnituskood muutub iga 30 sekundi järel.

Ekraanipilt

Erinevalt kõne või SMSiga autentimisest ei sõltu rakenduse “Authenticator” kasutamine mobiilside levi olemasolust: seda saab kasutada nii lennukis kui ka asukohtades, kus mobiililevi puudub. Näiteks reisides riiki, kus Su operaatoril puudub roaming, võib esineda probleeme ligipääsemisega sellele tagavara meilikontole, mille kaudu autentimiskoodi saada soovid, kui Sul on ka sellel kontol kaheastmeline autentimine aktiveeritud. Küll aga toimib sellises olukorras rakendus “Authenticator”.

Lisaturvalisuse meetmed kontol on tagatud ning kaheastmeliseks autentimiseks saab alloleval juhul kasutada näiteks nii e-kirja kui SMS-teenust:

Ekraanipilt

Kui kaheastmelise autentimise meetod on valitud, kuvatakse kasutajale kinnitus eduka aktiveerimise kohta. Samuti genereeritakse kasutajatele viiest plokist koosnev taastamiskood, mida saab kasutada juhtudel, kus on vaja konto taastada, kuid puudub ligipääs SMSidele, e-kirjadele ning rakendusele Authenticator.

Ekraanipilt

Kui kaheastmeline autentimine on aktiveeritud ja soovid oma kontole sisse logida, küsitakse kinnituskoodi. Kontole ei ole võimalik enne kinnituskoodi sisestamist ligi pääseda.

Ekraanipilt

Igapäevaselt kasutatava arvuti puhul on võimalik valida “Jäta mind selles arvutis meelde” (“Remember me on this computer”) ning selles konkreetses arvutis enam kinnituskoodi sisestama ei pea. Võõrast kohast sisse logides tuleb aga sisestada ka kinnituskood.

Kuidas internetist ostes raha, närve ja arvutit säästa?

Autor: CERT-EE

Allikas: https://astri.ee/orsay/must-reede-1510843316357/

Sel reedel tähistatakse juba 65. korda ostlemispüha must reede (Black Friday). 1952. aastast alates tähistab tänupühade (Thanksgiving) järgne reede Ameerika Ühendriikides jõuluhooaja algust ning selle puhul langetatakse paljudes poodides märkimisväärselt hindu. Veebipoodide levikuga lisandus suurele ostlemisreedele ka ostlemisesmaspäev, kuna paljud ettevõtjad said suure kasumi just tänupühadele järgnenud esmaspäeval. Alates 2005. aastast nimetataksegi tänupühadele järgnevat esmaspäeva küberesmaspäevaks (Cyber Monday).

Kui algselt olid musta reede allahindlused ainult füüsilistes poodides ning küberesmaspäeva allahindlused vaid veebipoodides, siis praegusel ajal kehtivad allahindlused mõlemal päeval nii füüsilistes- kui ka netipoodides. Lisaks on nii musta reede kui küberesmaspäeva traditsiooni üle võtnud paljud teised, eriti Ameerika Ühendriikidega tihedaid kaubandussuhteid omavad riigid.

Mustast reedest on saanud ka küberkurjategijate üks lemmikpäevi, sest allahindluse protsendile pööratakse rohkem tähelepanu kui veebipoe turvalisusele. Juhul kui Sa ei taha ebameeldivaid üllatusi nagu pahavaraga nakatunud arvuti või nutiseade ning tühjakstehtud krediitkaart või pangakonto (eeldusel, et see polnud Sina, kes ostlemisega liiale läks), loe allolevaid nõuandeid enne kui tooteid ostukorvi lisama ja makset kinnitama asud.

Soorita ost turvalises võrgus

Juhul kui Sa ei saa ostu sooritada turvaliselt oma parooliga kaitstud koduvõrgust, siis pea alati tasuta ja paroolita Wi-Fi võrkude puhul meeles ütlust, et “tasuta lõunaid ei ole olemas” ning toote või teenuse kasutamisel võib olla varjatud “hind”. Selles samas tasuta ja turvamata traadita võrgus võib parasjagu tegutseda pahasoovlik küberkurjategija, kes vastavalt soovile saab koguda kas Su isikuandmeid, sisselogimisandmeid, makseinfot, kasutusharjumusi või ka neid kõiki korraga. Aga kui muud varianti kui avatud Wi-Fi võrk parasjagu ei ole? Võimalik on kasutada virtuaalset privaatvõrku ehk VPN-teenust. VPN on võrk, mis võimaldab Sinu võrgu andmeid edastada turvaliselt läbi teise võrgu. Lisaks asutuse poolt kasutatavatele VPN-võrkudele on saadaval sadu VPN-teenuse pakkujaid, kelle hulgast saab iga soovija valida endale meelepärase variandi.

Allikas: https://www.mailguard.com.au/blog/account-verification-hoax-email-phishing-scams-targeting-paypal-customers

Kas see veebileht on ametlik koduleht/veebipood ja turvaline?

Enne ühegi veebilehe külastamist jäta meelde kuldne reegel – kui tegemist on Su kirjakasti juhuslikult sattunud ulmelisi allahindlusi pakkuva kirjaga tundmatult veebipoelt või kirjaga stiilis “meie pakkumised leiate manusest!”, on ainuõige tegevus vajutada nuppu “Kustuta”!

Võltslehtede loomisel pööratakse kõige enam rõhku visuaalsele äratundmisele – et lehel olev sisu tekitaks kasutajas äratundmise just tänu näilisele sarnasusele päris kaubamärgiga. Kontrolli alati, kas veebiaadress, millel oled, on täht-tähelt seesama, mis peaks olema. Juhul kui Sa siiski pole selles veel kindel, võid teha teises aknas lahti Google’i otsingu ning sisestada sinna soovitud kaubamärgi või teenusepakkuja nime ning pidada meeles, et otsingumootorites kuvatakse eespool just tegeliku kaubamärgi ametlik koduleht.

Samuti tasub alati veenduda, et veebilehe ja Sinu arvuti vaheline liiklus oleks kaitstud HTTPSiga. Selle tähiseks on roheline ikoon “Secure” aadressiribal (Google Chrome) või roheline tabalukk (Mozilla Firefox, Internet Explorer) ning aadressiribal olev URL on algusega “https://”. Parimal juhul kuvatakse seal ka kaubamärgi registreeritud ärinimi. Tänapäeval tekib järjest rohkem võltslehti, kus on samuti kasutusele võetud HTTPS-ühendus, aga URL ei klapi.

PayPal makseteenuse ametlik koduleht

Selleks, et inimeste isikuandmeid ja/või makseinfot kalastada või klikke koguda (et saada oma lehele võimalikult palju külastajaid ning see hiljem edasi müüa), luuaks päris lehtedega sarnanevad võltslehed. Kasutatakse tuntud toodete nimesid või muudetakse neid natuke, vahetades näiteks ära kas üks või kaks tähte või lihtsalt sõnade järjekorra. Näiteks “MihcaelKors” või “KorsMichael”.

Samuti tuleb kontrollida veebilehe tippdomeeni. Juhul kui tegemist on rahvusvahelise kaubamärgi ametliku kodulehega, on üldjuhtudel tegemist .com (commercial) tippdomeeniga või asukohariigi tippdomeeniga, näiteks .ee. Siiski peaks suhtuma skeptiliselt hiinakeelsesse lehesisusse, kui kasutajale presenteeritakse seda kui .ee lõpuga kohalikku poodi. Kindlasti ei tohiks piirduda turvalisuse üle otsustamisel ainult veebilehe visuaalse vaatlusega. Selleks, et saada kätte enda jaoks huvipakkuv info, on küberkurjategijad nõus üsna palju vaeva nägema. Lisakahtlusega peaks suhtuma kindlasti veebilehtedesse, mis nõuavad Sinult liigset lisainformatsiooni. Näiteks vahel kuvatakse kasutajale teksti stiilis “(Püsi)kliendi kogemuse parandamise huvides…” ning tahetakse teada ka sellist infot, mis pole ostuks vajalik info nagu makseinfo, kohaletoimetamise ja maksja aadress ja nimi. Võimalusel tuleks alati kasutada “külalisena” ostmist, mis tähendab, et Sa ei loo omale online-kliendikontot.

Kasuta tootja ametlikku mobiilirakendust!

Tänapäeval tehakse palju oste telefonis. Veendu kindlasti, et kasutad telefonis ostu sooritades veebipoe ametlikku rakendust. Rakendust telefoni paigaldades kuvavad nii Google Play pood, Apple’i App store kui Microsofti pood suurelt kirjas oleva rakenduse nime all ka rakenduse arendaja/omaniku nime.

Ekraanipildid Amazoni rakendusest. Vasakult: App store, Google Play pood, Microsofti pood.

Rakendus tuleks telefoni tõmmata kindlasti üksnes ametlikust rakenduste poest või ettevõtte enda kodulehelt. Paljud suurettevõtted kuvavad mobiilses veebilehitsejas kodulehte külastavale kasutajale ka teavitust, et veel mugavamaks kasutamiseks on võimalik kasutada ka mobiilirakendust. Lisaks tuleks ka maksmiseks kasutada kindlasti panga enda loodud mobiilirakendust ja Smart-ID rakendust või mobiil-ID-d.

Maksa turvaliselt!

Arvutis makse sooritamisel on kõige olulisem jälgida, kas keskkonna makseosa kasutab ikka kindlasti HTTPSi. Juhul kui tegemist on välismaise veebipoega, tuleb enne hoolega mõelda, millist makseviisi oma finantsturvalisuse huvides kasutada. Üks turvalisemaid meetodeid on maksta läbi turvalise keskkonna nagu PayPal, kus aga tuleb kontot luues kindlasti aktiveerida kahetasemeline autentimine.

Makstes krediitkaardiga on turvaliseks ostlemiseks võimalik kasutada näiteks lühikese kehtivusajaga (nt 40 päeva) pangakontoga seotud virtuaalset krediitkaarti. Kuna Eestis pööratakse küberturvalisusele tihti rohkem rõhku kui mujal maailmas, siis Eestis väljastatavad krediitkaardid on juba liidetud “Turvaliste e-ostude” programmiga. Samuti on kauba mitte kohale jõudmise korral võimalik panga poole pöördudes ka makse tagasi kutsuda.

Erinevalt Eesti netipoodidest, kus pangalingiga maksmine on tavapärane, peaks ettevaatlikult suhtuma välismaistesse vähetuntud/tundmatutesse veebipoodidesse, mis krediitkaardiga maksmise võimalust ei paku ning aktsepteerivad vaid pangaülekannet. Juhul kui kasutasid ostu sooritamiseks füüsiliselt olemasolevat krediitkaarti virutaalkaardi asemel, jälgi tulevate kuude jooksul krediitkaardi tehinguid. Isegi kui kasutaja kaarti kasutatakse väikeste summade maksmiseks, mida kasutaja üldse tähelegi ei pruugi panna, näiteks Xboxi või Playstationi 5-eurone kinkekaart või 5€ Skype krediiti, koguneb ka sealt lõpuks märkimisväärne summa. Või siis oodatakse kuni kasutaja valvsus kaob ning ühel hetkel tehakse kaart korraga tühjaks. Juhul kui avastad, et Su krediitkaarti on Sinu teadmata ostudeks kasutatud, pöördu kohe oma panga poole!

Kõik pole kuld, mis seinal hiilgab

Sotsiaalvõrgustikes ja internetilehtedes võib tihti näha erinevaid reklaambännereid ja viiteid, mis suunavad tuntud kaubamärkide lehtedele (kus võib vahel kohata ka kirjavigu). Seal võib omakorda kohata fantastilisi pakkumisi, mis lubavad lausa mitmesajaprotsendilisi allahindluseid. Näiteks võid väidetavalt soetada mitmetuhande eurose kohvimasina vaid 130€ eest või pool miljonit eurot maksva teemantidest aluspesukomplekti vaid paari tuhande euro eest.

Ülisoodsa kohvimasina sooduspakkumine krediitkaardiinfot varastavalt lehelt

Selliseid lehti külastades võid sattuda veebilehele, mis ei ole turvaline ning kuhu oma andmeid sisestades võid kaasa aidata klikisöödale või muule pahatahtlikule eesmärgile. Kui tegemist on ettevõtte ametliku lehega sotsiaalmeedias, on nime juures sinine kontrollmärk.

Kuvatõmmis ametlikust Amazoni lehest Facebookis

Kontrollmärgis lehel tähendab, et ettevõte on ennast keskkonnas autentinud ning ettevõte on sotsiaalmeediakeskkonna poolt tuvastatud.

Lisalugemist leiab taaskord RIA blogiartiklist “Kõik pole kuld, mis seinal hiilgab”.

Turvalist netiostlemist!