Tag Archives: paroolihaldur

Olulisemad turvanõrkused 2024. aasta 32. nädalal

Google paikas Androidi nullpäeva turvanõrkuse

Kokku paigati 46 haavatavust, mille hulgas oli ka koodi kaugkäivitamist võimaldav viga, mida on juba rünnetes ära kasutatud. Suurem osa paigatud haavatavustest on hinnatud suure mõjuga vigadeks. Lisaks paigati ka nullpäeva turvanõrkus tähisega CVE-2024-36971, mis on Linuxi kerneli haavatavus ja võimaldab muuta võrguühendusi. Google’i sõnul on näha, et nullpäeva turvaviga on proovitud rünnetes kuritarvitada. Sel kuul avaldas Google kaks Androidi turvauuenduste paketti: 2024-08-01 ja 2024-08-05. Turvapaigad avaldati ka Wear OSi operatsioonisüsteemile. Soovitame kõigil Androidi seadmete kasutajatel tarkvara uuendada (BC, SW).

Apache OfBiz tarkvaras paigati koodi kaugkäivitamise viga

Apache OfBiz on avatud lähtekoodiga ERP (Enterprise Resource Planning) tarkvara, milles paigati haavatavus tähisega CVE-2024-38856. Viga on hinnatud kriitilise CVSS skooriga 9.8/10 ja sellele on avaldatud ka kontseptsiooni tõendus, mistõttu võib eeldada et peagi hakatakse seda viga ära kasutama. Haavatavuse kaudu on võimalik autentimata ründajal suvalist koodi käivitada. Viga mõjutab kõiki tarkvara versioone kuni 18.12.14 ja kasutajatel soovitatakse uuendada tarkvara versioonile 18.12.15 või uuemale.

CISA hoiatas, et Apache OfBiz tarkvaras olevat maikuus avalikuks tulnud turvaviga tähisega Apache OfBiz CVE-2024-32113 on rünnetes kuritarvitatud. Viga mõjutab kõiki tarkvara versioone kuni 18.12.13. Tänu oma mitmekülgsusele ja kulutõhususele kasutatakse Apache OfBiz tarkvara paljudes tööstusharudes ja ettevõtetes (HN, BC).

Chrome’i ja Firefoxi veebilehitsejates paigati haavatavusi

Google avaldas Chrome’i versiooni 127.0.6533.99, Windowsi, Maci ja Linuxi seadmetele, milles on paigatud kuus turvaviga. Paigatud vigadest üks (CVE-2024-7532) on hinnatud kriitilise mõjuga ja ülejäänud viis suure mõjuga haavatavuseks.

Mozilla Firefoxi uues versioonis 129 on paigatud kokku 14 turvanõrkust, millest 11 on hinnatud suure mõjuga veaks. Mozilla avaldas turvapaigad ka tarkvaradele Thunderbird ja Firefox ESR. Soovitame kõigil Chrome’i ja Firefoxi kasutajatel teha turvauuendus. Kumbki ettevõte ei ole avaldanud infot turvavigade ärakasutamise kohta (SW).

Cisco hoiatab IP-telefonide kriitilisest turvaveast

Koodi kaugkäivitamist võimaldavad kriitilised nullpäeva turvanõrkused mõjutavad Cisco IP-telefone seeriatest SPA 300 ja SPA 500. Mõlemate seeriate tootmine on lõpetatud ja neile ei avaldada enam turvauuendusi.

Cisco on avalikustanud viis haavatavust, millest kolm on hinnatud kriitiliseks (CVSS skoor 9.8/10) ja kaks suure mõjuga (CVSS skoor 7.5/10) veaks. Kriitilised turvanõrkused on tähistega CVE-2024-20450, CVE-2024-20452 ja CVE-2024-20454. Suure mõjuga turvavead on tähistega CVE-2024-20451 ja CVE-2024-20453.

Nimetatud telefonide kasutajatel oleks soovitatav üle minna uuematele mudelitele, näiteks Cisco IP-telefoni mudelile 8841 või mõnele telefonile Cisco 6800 seeriast (BC).

Microsoft hoiatab Outlooki paikamata turvaveast

Microsoft avaldas nullpäeva turvanõrkuse tähisega CVE-2024-3820 (CVSS skoor 7.5/10), mille eduka ärakasutamise korral on võimalik saada ligipääs tundlikule infole. Kurjategija saadab e-kirja või sõnumi, millele on lisatud pahatahtlik link ja sellele vajutades käivitatakse kasutaja arvutis fail. Haavatavus mõjutab järgmisi Outlooki versioone: Microsoft Office 2016, Microsoft Office LTSC 2021, Microsoft 365 Apps for Enterprise ja Microsoft Office 2019.

Veale peaks tulema parandus 13. augustil. Hetkel on Microsoft avaldanud leevendavad meetmed, mille leiab lisatud linkidelt (HN, Microsoft).

1Password paroolihalduris olevad kriitilised turvavead võimaldavad paroole varastada

Turvavead tähistega CVE-2024-42219 ja CVE-2024-42218 mõjutavad paroolihalduri 1Passwordi macOSi versiooni ning nende kaudu on võimalik saada ligipääs kasutaja paroolidele. Turvavead on paigatud tarkvara versioonides v8.10.36 ja  v8.10.38. Hetkel teadaolevalt ei ole kurjategijatel õnnestunud haavatavusi ära kasutada (HNS).

19 soovitust, kuidas muuta nutitelefoni kasutamine turvalisemaks

Foto: canva.com

1. Kasuta ekraanilukku

See võib tunduda sama elementaarne kui juhis rohelise fooritulega teed ületada, aga paraku unustavad paljud ka põhitõed. Ekraanilukuta telefon on nagu PIN-koodita pangakaart. Selleta on sõnumid, dokumendid, e-kirjad, pildid jne kättesaadavad igaühele, kelle kätte seade satub. Kasuta vähemalt kuuekohalist PIN-koodi või parooli – mida pikem ja juhuslikum, seda turvalisem. Väldi ekraanimustrit – selle kasutamine on küll mugavam, aga jätab ekraanile jälje, mille põhjal võivad kõrvalised isikud õige mustri ära arvata ja telefoni pääseda.

2. Määra SIM-kaardile turvaline PIN

Kui telefonis olevale SIM-kaardile pole määratud PIN-koodi, see on 0000 või midagi sama kasutut, muuda see kohe ära. SIM-kaardi turvamine on eriti oluline, kui kasutad sõnumipõhist kaheastmelist autentimist, millest tuleb juttu allpool.

3. Seadista automaatne lukustamine

Lukusta telefon iga kord, kui selle käest paned, aga kindluse mõttes seadista nii, et see lukustuks automaatselt võimalikult lühikese ooteaja järel. Lisaks turvalisuse suurendamisele aitab see säästa telefoni akut.

4. Suhtu näotuvastusse ja sõrmejäljelugejasse ettevaatusega

Paljud kaasaegsed telefonid kasutavad autentimiseks näotuvastust või sõrmejäljelugejat. See on mugavam kui PIN-koodi või parooli sisestamine, kuid paraku pole kõikide telefonide biomeetrilise isikutuvastuse lahendused piisavalt turvalised. Mõne telefoni näotuvastuse petmiseks piisab sellele kasutaja pildi näitamisest ja sõrmejäljelugeja eksitamiseks selle ette paigaldatud kaitseklaasist või -ümbrisest. Sellistest „väravavahtidest“ soovitame hoiduda.

5. Uuenda tarkvara

Ei telefoni operatsioonisüsteem ega paigaldatud äpid pole veatud. Aja jooksul leitakse nende nõrgad kohad, mille kaudu pääsevad küberkurjamid ligi telefonis olevatele andmetele. Vastutustundlikud arendajad paikavad turvaaugud esimesel võimalusel ja sama innukalt peaksid kasutajana telefonis tarkvara uuendama. Mida kauem seda edasi lükkad, seda suuremaks kasvab oht, et telefoni sisule pääsevad ligi võõrad.

6. Muuda Wifi pääsupunkt turvalisemaks

Telefoni Wifi hotspot ehk pääsupunkt on abiks, kui soovid jagada mobiilset andmesidet, näiteks, oma arvutiga. Veendu, et pääsupunkt oleks kaitstud tugeva parooliga (muidu pääsevad kõik lähedalasuvad seadmed seda kasutama) ja kindlalt krüpteeritud. Mõnikord võib vaikeseadetes määratud krüpteering olla aegunud või ebaturvaline. Hetkel on kõige kindlam kasutada turvaprotokolli WPA2.

7. Eelista avalikele Wifi-võrkudele mobiilset andmesidet

Võimalusel väldi avalikesse ja tundmatutesse Wifi-võrkudesse sisenemist ning kasuta nende asemel mobiilset andmesidet, mis on enamasti turvalisem. Kui kasutad siiski avalikku Wifi-võrku, ära sisesta seal oma pangakaardi andmeid ega paroole.

8. Anna äppidele vaid vajalikud õigused

Kui paigaldad telefoni uue rakenduse, loe hoolega, milliseid õiguseid see küsib. Kaamerarakendus vajab ligipääsu piltidele, aga taskulambiäpp mitte. Kaardirakenduse huvi su asukoha suhtes on mõistetav, aga kui seda küsib retseptiäpp, tundub asi kahtlane. Kontrolli telefoni seadetest, millised õigused oled andnud juba varem paigaldatud äppidele ja tee vajadusel muudatusi. Lähtu põhimõttest: nii palju kui vajalik, nii vähe kui võimalik.

9. Seadista teavitused lakoonilisemaks

Seadista teavitused nii, et lukustatud telefon näitaks vaid seda, milline rakendus teavituse saatis, mitte selle sisu. Nii näevad teised, kes su telefoni kätte saavad, vaid seda, et said vestlusäpist hulga sõnumeid, aga ei saa lugeda, mida sõnumi saatja kirjutas.

10. Kasuta vaid ametlikku rakendustepoodi

Ehkki Androidi operatsioonisüsteem võimaldab äppe paigaldada ka muul moel, laadi neid alla ainult ametlikust rakendustepoest. Enne seda loe arvustusi, tutvu arendaja muude projektidega ja vaata, millal neid viimati uuendati. Petturid loovad pahavara, mis matkivad mõnd tuntud äppi ja võivad lisaks andmevargusele kaasa tuua rahalisi kaotusi, kui kasutaja sinna heauskselt oma pangakaardi andmed sisestab.

11. Kasuta paroolihaldurit

Selleks, et vältida paroolide ristkasutust, tuleks meeles pidada kümneid, mõnel juhul sadu salasõnu. Kuna see käib enamusele üle jõu, soovitame kasutada spetsiaalseid paroolihaldureid, mis loovad, säilitavad ja kaitsevad pikki ning turvalisi salasõnu. Ära hoia paroole ega muud tundlikku infot failides ega rakendustes, millele pääseb ligi ilma salasõna või turvalise biomeetrilise tuvastuseta.

12. Lülita Bluetooth välja, kui seda ei vaja

Vaikimisi on telefonides Bluetooth sisse lülitatud, kuid sellegagi kaasneb risk.
2017. aastal selgus, et Bluetoothi kaudu saab luua ühenduse võõra telefoniga ja laadida sellesse pahavara. See haavatavus on parandatud, kuid järgmine võib ilmuda sama ootamatult. Aktiveeri Bluetooth ainult siis, kui seda on vaja, näiteks HOIA äpi kasutamiseks.

13. Lülita asukoha märgistamine välja

Telefonide kaamerarakendused salvestavad lisaks pildile ka selle metaandmed, muu seas ka pildi tegemise asukoha. Kui laadida selline pilt sotsiaalmeediasse, on selle asukohainfo kättesaadav kõigile, kes pilti näevad. Mõtle, kas ikka tahad tervele maailmale teada anda, kus parasjagu asud. Võib juhtuda, et tuttavatest rohkem huvitab see info varast, kes otsib sobivat hetke, kui kodust kaugel viibid.

14. Kasuta viirusetõrjet

Ehkki Androidi ja iOS operatsioonisüsteemi on sisse ehitatud mitmeid turvalahendusi, võid neile lisaks paigaldada telefoni mõne eraldi viirusetõrjeprogrammi. Eelista tuntud ettevõtteid, millel on pikk ja edukas ajalugu arvutite viirusetõrje pakkumisel. Äppi otsides ole tähelepanelik, muidu võid sattuda mõne võltsingu ohvriks, mis viiruste eemaldamise asemel need su telefoni paigaldab.

15. Väldi avalikke laadimispunkte

Lennujaamades, hotellides, kohvikutes ja muudes avalikes kohtades olevad laadimispunktid aitavad küll tühja akut turgutada, kuid nende kaudu võivad lisaks elektrienergiale liikuda ka andmed. Kui laadija on nakatunud pahavaraga, võib see nakatada ka laetava telefoni ja varastada sealt paroole, pilte või muid andmeid. Kasuta isiklikku laadijat, akupanka või andmesidefiltrit, mis laseb laadimiskaablist läbi ainult elektri. Kui tingimata pead telefoni avalikus laadimispunktis kosutama, lülita see laadimise ajaks välja.

16. Kasuta ekraanifiltrit

Kui kasutad telefoni ühistranspordis, kohvikus või muus avalikus kohas, näevad ka kõrvalseisjad, mis selle ekraanilt loed või vaatad. Uudishimulike pilkude vastu aitab ekraanifilter. See on kate, mille eesmärk on piirata ekraani vaatenurka. Otsevaates on kõik selge ja klaar, aga kõrvalseisjale mitte.

17. Ole ettevaatlik sõnumite teel saabunud linkidega

Paljud kasutajad, kes suhtuvad e-posti teel saabunud õngitsuskirjadesse eluterve skepsisega, langevad pettuse ohvriks, kui neile lähenetakse SMS-i või sõnumirakenduste vahendusel. Eestis on nähtud nii klassikalist SMS-spämmi, mille eesmärk on meelitada kasutama perioodilist ja tasulist teenust, kui ka katseid petta välja kasutaja Smart-ID PIN-koode.

18. Kustuta kasutud äpid

Küllap on sinugi telefonis rakendusi, mille oled paigaldanud aastate eest, kasutanud vaid kord või paar ning seejärel unustanud. Kustuta need ja hoia telefonis vaid äppe, mida endiselt kasutad. Su telefonis võib olla rakendusi, mida pole aastaid uuendatud ega paigatud ning mis on seetõttu haavatavad.

19. Seadista kaugkustutamine

Seadista oma telefon nii, et selle kaotamise või varguse korral saad telefonis olevad andmed mõne teise seadme abil kustutada. See ei too telefoni tagasi, aga lisab kindlust, et keegi teine ei pääse selles olnud andmetele ega selle kaudu kasutatud kontodele ligi.