Title: Bezpečná komunikaceSecure communication
Course: CRP-KYBER21 > Section: Modul 3: Bezpečná komunikaceModule 3: Secure communication

Bezpečná komunikace Safe communication

V elektronickém prostředí komunikujeme neustále: každý den pošleme a přijmeme desítky (někteří z nás i stovky a tisíce) e-mailů a zpráv přes chat a messengerové aplikace. Komunikace v on-line prostředí však skrývá mnohé kyberbezpečnostní nástrahy: jak si například můžeme být jisti, že zprávu skutečně poslal člověk, který je uveden jako odesílatel? Nebo kdo a jak se může snažit zneužít známá slabá místa elektronické komunikace, aby z nás vytáhl osobní data nebo dokonce peníze? A kdo všechno třeba může číst naši komunikaci v kyberprostoru? Most of us communicate in the online environment daily, if not constantly. Every day, we send and receive dozens, hundreds, or maybe even thousands of e-mails and direct messages. Online communication, however, comes with its own cybersecurity risks. For example, how can we be sure a message was really sent by the person who is listed as the sender? How do we know they’re not, in fact, trying to abuse known vulnerabilities in order to obtain our personal information, scam us, or outright rob us of our money? Do we even know how many people might be able to read our private messages, and who these people are?

Ve třetím modulu se společně nejprve zaměříme na e-mailovou komunikaci – neodmyslitelnou součást našich studijních i pracovních životů. I když se zdá, že ji pomalu a jistě vytlačují chatovací aplikace, na světě se každý den stále rozešlou miliardy e-mailů. To není vůbec zanedbatelné číslo. Ruku v ruce s tímto množstvím rostou i možnosti a šance útočníků, jak využít naší nepozornosti a způsobit nám značné škody v pracovním i soukromém životě. Co tedy útočníci dělají pro to, aby získali citlivá data a napáchali co nejvíce škod? Pojďme se nejdříve podívat na jejich základní techniky. The third module starts by focusing on e-mail – an indispensable part of our school and work lives. Even though it might seem it’s being steadily phased out in favor of messaging apps, billions of e-mail messages are still being sent daily. That is by no means a negligible number. Attackers keep pace with this amount, trying to take advantage of our carelessness and cause substantial harm in our work or private lives. What do attackers actually do in order to obtain sensitive information and cause as much damage as possible? Let’s start by examining the basics.

Píše mi děkan... nebo ne? The dean messaged me… or did he?

Stalo se vám už také, že vám přišel e-mail, u kterého se na první zběžný pohled zdálo, že je adresa odesílatele v pořádku, ale po bližším zkoumání něco nesedělo? Pravděpodobně jste se setkali s metodou známou jako podvržení odesílatele. Podvrhnout odesílatele u e-mailu je skoro stejně snadné, jako u klasických dopisů: prakticky kdokoliv může napsat do políčka odesílatele co chce. Zjevným cílem takto podvrženě zaslaných e-mailů je působit na příjemce tak, že samotná e-mailová adresa vypadá jako regulérní a důvěryhodná. Ve skutečnosti za zasláním zprávy stojí útočník. S touto metodou se bohužel v posledních letech setkáváme stále častěji. Have you ever received an e-mail where there was nothing wrong with the sender address at first glance, yet something was still off? If so, you’ve fallen victim to a technique called e-mail spoofing, which uses a forged sender address to trick you into whatever the attacker wants to trick you into. Forging an e-mail’s sender is almost as easy as making up the sender address on a traditional letter: Practically anyone can fill the “sender” field with whatever they want. These fake senders and their addresses tend to look completely normal, and the obvious goal here is to gain your trust by making you think you’re communicating with someone else. Unfortunately, the popularity of this attack has been steadily on the rise.

Vyzkoušejte si, jak jednoduché je zfalšovat odesílatele e-mailu. Využít k tomu můžete některý z volně dostupných fakemailerů: třeba Emkei’s. Falešné e-maily třeba od Billa Gatese ale posílejte pouze sobě, nezneužívejte tyto služby! Také si takto zfalšovaný e-mail neposílejte na oficiální pracovní e-mail, ale třeba na starší e-mailovou adresu. Try for yourself: How easy can it be to spoof the sender of an e-mail? You can use one of the freely available fake-mailers like Emkei’s. But please do not abuse these tools and limit the recipients of your greetings from Bill Gates to yourself. Also do avoid sending forged e-mail to your work address. Test in on a personal address, preferably an older one.

Skuteční útočníci samozřejmě používají pokročilejší metody. Důležité je si ale uvědomit, že odesílatel jakéhokoliv e-mailu nemusí být skutečně ten, kdo je v hlavičce zprávy uvedený... Real attackers use more sophisticated methods, of course. The thing to keep in mind is that with any e-mail you receive, the sender is not necessarily who they claim to be…

Abychom byli schopni podvržený e-mail odhalit, musíme vědět, co vlastně hledat a kam se dívat. Proto se na podezřelé znaky společně podíváme.In order to recognize a forged e-mail, we need to know where to look and what to look for. Let’s talk about some red flags and giveaways.

Jak poznám podvržený e-mail? How do I recognize a spoofed e-mail?

Prvním krokem je samozřejmě bedlivě sledovat kontext: mohu takovou zprávu od tohoto odesílatele skutečně očekávat? Není třeba podezřelé, že mě zrovna tato osoba takto žádá např. o proplacení faktury, nebo že mi posílá v příloze dokument, o kterém jsme nikdy předtím nemluvili? The first thing to keep in mind is the overall context. Can I expect this kind of message from this particular sender? Isn’t it suspicious that, for example, this person is asking me to pay an invoice? Isn’t it weird they attached a document we never even talked about?

Druhý krok je techničtější: součástí každého e-mailu je vedle těla (obsahu zprávy) i tzv. hlavička. V těchto hlavičkách jsou obsaženy základní informace o daném e-mailu, které zpravidla obsahují odesílatele, příjemce, adresu pro zaslání odpovědi, kopii či předmět e-mailu, dále pak podrobnější informace o cestě e-mailu kyberprostorem či zda je digitálně podepsán apod. The second step is where it gets a bit technical. Apart from the message body (content), every e-mail includes a so-called header. The header contains basic information about the message itself: the sender, the recipient, the address for sending replies, the subject, etc. It also includes a detailed trace of the route traveled in cyberspace and finally, whether it has been digitally signed.

Víte, že... hlavička e-mailu se v e-mailovém programu nebo službě zobrazuje pouze ve zkrácené podobě? Její plné znění si však většinou můžeme zobrazit – a je to vhodné, pokud si nejsme autenticitou emailu jistí a chceme si ověřit některé další informace (viz dále). V každém e-mailovém klientovi však musíme hledat trochu jinde. Kde to najdete zrovna v tom svém? Did you know? Your e-mail client is most likely showing you just the most important parts of e-mail headers. In most applications however, you can expand it to view it in its entirety – which is exactly the first thing to do, if we’re having doubts about the e-mail’s authenticity (see below). It’s not always obvious where to click though, and it differs from client to client.

Útočník může využít několik triků a cest, jak nás zmást. Nejčastěji bývá útočníky zneužito pole „Od“ (From), které obsahuje informaci o odesílateli. Právě tam se totiž nachází ona Achillova pata, tedy zfalšovaná adresa, která slouží útočníkovi k nekalým účelům. Jak ale tuto podvrženou adresu identifikovat? Co nám může pomoci odhalit podvržený e-mail, je pole Reply-To (Return-Path), kde se nachází adresa, na kterou by měla být zaslána odpověď, tedy e-mailová adresa skutečně využívaná útočníkem. Další metody zahrnují například využití trochu jiné domény (např. dekan@universita.cz místo skutečného dekan@univerzita.cz) nebo může útočník napadnout přímo účet odesílatele a pak nemusí nic podvrhovat – v tu chvíli nám píše ze skutečné adresy odesílatele. I s takovou možností je proto třeba počítat. When it comes to confusing us with forged e-mail, attackers have multiple tricks up their sleeves. Unsurprisingly, the From field, containing information about the sender, is the one being spoofed the most. So how do we identify a forged sender address? One thing to check would be the Reply-To (Return-Path) field, pointing to the address where replies should be delivered – which is, of course, the actual address of the attacker. Another common practice is the use of a slightly different domain name – for example, dean@university.com could be replaced with dean@univarsity.com. Finally, let’s not forget it’s also possible that the attacker has actually compromised the sender's account. In that case, there’s nothing to spoof – the address is legit, it’s just somebody else using it now.

Víte, že... útočníci navíc často zneužívají tzv. homoglyfy? Jde o znaky, které vypadají podobně, ale ve skutečnosti pochází z jiných abeced. Typickým příkladem mohou být některá písmena z cyrilice či azbuky, která na první pohled připomínají latinku. Zdá se vám, že dekan@univerzita.cz a dekan@univеrzita.cz jsou stejné adresy? Počítač si to nemyslí: v druhém případě je ve slově univerzita místo písmena ”e” z latinky použito malé “je” z cyrilce, které vypadá skoro stejně. Pro počítač jsou to dvě odlišné adresy, jako příjemci si toho ale nemusíme všimnout. Nebo si zkuste rozkliknout tyto dva odkazy: https://www.аррӏе.com a https://www.apple.com. Zdají se být stejné... Tušíte, proč každý z odkazů vede na jiný web? Šikovný trik, že? Did you know? Attackers also tend to abuse the so-called homoglyphs? They are characters posing as expected latin letters, while in fact they’re uncanny look-alikes from different alphabets. Does it seem to you that dean@university.cz and dean@univеrsity.cz are the same address? They’re not, at least to a computer – the second address uses the Cyrillic symbol “ye” in the word “university”, which looks almost identical to latin “e”. Again, from a computer’s point of view these are completely different addresses, yet for us humans, it is almost impossible to notice. As another example, try clicking both of the following links: https://www.аррӏе.com and https://www.apple.com. They look the same, don’t they? So why does each of them lead to a different website? Neat little trick, isn’t it?

Zpracováno podle Created by ESET (2020) .

Proč by vlastně někdo vůbec měl zájem na tom falšovat odesílatele? Samozřejmě to může být jen nevinný vtípek: někdo si může chtít vystřelit z kamaráda, že mu píše třeba slavná herečka, aby ji vzal na rande. To je sice morálně diskutabilní fórek, příliš mnoho škody to ale nenadělá. Mnohem zásadnější jsou útoky typu BEC neboli business email compromise. Why would anyone bother spoofing the sender in the first place? It could be an innocent practical joke: someone might want to prank a friend, making them think a famous actress is asking them on a date. While ethically questionable, no real damage can be done with this kind of “attack”. The same practice could take a much more sinister turn with a BEC attack (business e-mail compromise).

Jde o podvodné jednání, které má za cíl vylákat informace citlivé povahy: osobní a přihlašovací údaje, privátní klíče, obchodní tajemství apod. Tyto údaje se snaží získat nejčastěji od osob, které se v rámci hierarchického žebříčku organizace zabývají činnostmi souvisejícími například s finančními operacemi. Poslední dobou roste počet útoků, kdy se útočníci vydávají za významné představitele univerzit rozesílají zaměstnancům například falešné příkazy k proplacení faktur. To už je ale jedna z metod phishingového útoku a sociálního inženýrství, o kterých se více dozvíte v modulu č. 4. The goal of BEC is to obtain sensitive information from the victim: personal data, login credentials, private keys, trade secrets, etc. Individuals responsible for financial affairs within an organization are usually the target. Recently there has been an increased amount of incidents where the attacker tries to impersonate an important authority within a university, sending out e-mails asking for invoice payments. This is also an example of a combination of a phishing attack and social engineering, both of which will be examined further in module 4.

Co dělat, když...? What to do when I suspect a spoofed e-mail?

Co dělat, když mám podezření na podvržený e-mail? What to do when I suspect a spoofed e-mail?

1. To nejdůležitější je nikdy neklikat na žádný odkaz ani přílohu, který v e-mailu přijde. Stejně tak se nepodvolit ani nátlaku, který z e-mailu může plynout (např. končící splatnost faktury atp.) a vše řešit v klidu a s rozmyslem. 1. The most important rule is to avoid clicking on any links or opening any attachments. Also never give in to any form of pressure (like a due date on an invoice); keep calm and think.

2. Pokud nás e-mail vybízí k nějaké aktivitě (zaplaťte fakturu, přihlaste se a obnovte si heslo atp.), je žádoucí si vše ověřit jinými kanály. Doporučuje se kontaktovat odesílatele např. telefonicky nebo přes jinou komunikační aplikaci. Vždy však využívejme prostředky, které jsme získali důvěryhodnými způsoby: nikdy např. nevolejme na čísla, která jsou použita přímo v podezřelém e-mailu! 2. If the message contains a call to action (pay an invoice, update your password), it is advised to double-check using a different channel of communication. It might be a good idea to call the sender on the phone or reach out on a messaging app. We should remember to only use contact information we’ve obtained ourselves from a trustworthy source. For example, never dial a phone number listed in the suspicious e-mail itself!

3. Na e-mail nikdy neodpovídáme! Tím, že na e-mail reagujeme, dáváme útočníkovi najevo, že je naše adresa funkční a aktivní. Výsledkem pak bude jen mnohem více podobných útoků nebo spamu. Prostě je třeba zatnout zuby a z celého srdce zprávu ignorovat... 3. Never reply to the message! By responding, we’re letting the attacker know our address is valid and in use. Only one thing could come from this: more similar attacks or spam. The best course of action is to just carry on with your day and ignore the message from the bottom of your heart...

4. Pokud máme podezření (nebo jistotu), že je e-mail podvržený, je nejlepší jej přeposlat kyberbezpečnostnímu týmu! Nejrychlejší způsob, jak e-mail předat, je přeposlat samotný e-mail (tělo), nejlépe však i s hlavičkami a přílohami či odkazy, pokud se v e-mailu vyskytují. If we suspect (or know for a fact) the e-mail is spoofed, we should forward it to our cybersecurity team! And ideally, we forward it as-is, including any headers, links and attachments. <school-specific: doplnit co od uživatele očekáváme a kam to mají posílat podle nastaveného procesu.>

(Ne)vinný spam Innocent spam

O spamu, tedy nevyžádaných zprávách, pravděpodobně v dnešním online světě slyšel každý z nás. Spam je dnes všudypřítomný a můžeme jej kromě e-mailu naleznout také na stránkách blogů, sociálních sítích, v různých komunikačních programech a v posledních letech i ve formě SMS zpráv apod. Když zůstaneme u e-mailu, představuje až neuvěřitelných 45 % všech odesílaných zpráv (některé zdroje uvádějí dokonce až 98 %!). It’s safe to assume in this digital age, every single one of us has already heard about unwanted e-mail messages, or spam. Spam is something that is omnipresent, and it’s not even exclusive to e-mail – we see it on blogs, social media, in various chat applications and lately even in SMS messages. If we stick to e-mail, it accounts for a staggering 45% of all messages sent (some sources claim as much as 98 %!).

Co je to spam? What exactly is spam?

Pokud bychom se na spam podívali podrobněji, zjistili bychom, že se jedná o nevyžádané sdělení, které je rozesíláno obrovskému množství uživatelů. Nejčastěji se asi setkáme s reklamním spamem. Otravné nabídky s nepřeberným množstvím výhodných slev a skvělých produktů dostáváme čas od času do e-mailové schránky asi všichni. In short, spam is an unsolicited message sent in bulk to an extensive amount of recipients. Its most common form is commercial spam: None of us are strangers to annoying, limited-time offers and huge discounts for amazing products we cannot live without.

Víte, že... na každých 12 500 000 odeslaných e-mailových spamů obdrží útočníci minimálně jednu odpověď? Nezdá se to jako mnoho, ale je nutné si uvědomit, že každý den je zasláno přibližně 14,5 miliardy nevyžádaných e-mailů. Did you know? For every 12 500 000 junk e-mails sent, the spammers receive at least one reply? It may not seem as much, but we need to keep in mind that every day, around 14.5 billion spam messages are sent in total.

Hranice mezi spamem a nebezpečnějším phishingem (viz modul 4) je dnes už velmi tenká: s postupem času se pole působení spamu přesouvá od hloupých reklamních sdělení k nebezpečnějším cílům: rozšiřování hoaxů či rozposílání malwaru. Cílem spammerů (těch, kdo spam rozesílají) je třeba získat osobní data od příjemců nebo se podílet na rozeslání dezinformace či jiných polopravd a podvodů. V neposlední řadě spam značně přetěžuje e-mailovou infrastrukturu organizace. Spam prostě nelze brát na lehkou váhu. The line between spam and (far more dangerous) phishing is very thin these days. Over time, the focus of spam has shifted from dumb commercial messages towards more dangerous goals: spread of hoaxes and distribution of malware. Spammers’ intentions range from obtaining recipient’s personal details to aiding the spread of misinformation. Last but not least, spam puts a significant strain on an organization's e-mail infrastructure. Spam simply is not something to be taken lightly.

Proč mi spam vlastně přišel? Why did I receive spam? How does the spammer know my address?

Kde vzal útočník mou adresu? Why did I receive spam? How does the spammer know my address?

Každý z nás si pravděpodobně při čištění složky SPAM někdy položil otázky jako „Kde vzali moji e-mailovou adresu?” nebo „Proč mi ty spamy pořád chodí, když jsem nikde e-mail nezadával?“. Nejvíce e-mailových adres získají spammeři prostřednictvím robotů, kteří procházejí internetové stránky a hledají odkazy na e-mailové kontakty. Mnohdy dochází i k tomu, že si spammer zakoupí databázi adres, ať už legálně nebo na černém trhu s takovými databázemi. Existuje mnoho způsobů, jak získat náš e-mail, aniž bychom museli spammerovi sami poskytnout sebemenší vodítko. Looking at the SPAM folder in our inbox, most of us have probably wondered: “Where does it all come from? How did they get my address? I didn’t enter my address anywhere!” Spammers obtain most of their target addresses by utilizing bots, crawling through the internet and looking for publicly available contact info. They could also purchase a ready-made e-mail database put together this way. Basically, there are numerous ways a spammer could obtain our address without the slightest help from our side.

Co dělat, když mi spam přijde? What should I do when I receive spam?

Není doporučeno spam otevírat, jakkoliv na e-mail reagovat, a už vůbec není dobrý nápad klikat na odkazy či otvírat případné soubory v příloze. V některých případech můžeme už jen samotným otevřením spamového e-mailu potvrdit, že e-mail někdo přečetl a schránka je tedy používána. Díky tomu se pak můžeme dočkat další záplavy spamů. Spam je prostě nejlepší pohřbít hluboko do koše a ani ho neotvírat. It’s not recommended to open the e-mail, reply to it, and above all, to click on any links or open any attached files. In some cases, we’re letting the spammer know our address is in use simply by opening the message. As a result, we can expect a subsequent flood of similar messages. The best way to deal with spam is honestly just to let it rot.

Jak spamu předcházet? How to prevent spam?

Pokud vás věčné nabídky výhodných reklamních příležitostí a „miliony“ spamů otravují, je cestou pravidelně v e-mailové schránce označovat nevyžádané zprávy jako SPAM. Minimalizovat množství spamu v pracovním e-mailu můžeme také tak, že naši univerzitní adresu nevyužíváme například k nakupování na internetu. Pro soukromé účely používáme soukromou e-mailovou adresu. Vedle naší soukromé e-mailové adresy můžeme mít navíc ještě sekundární, kterou budeme využívat výhradně pro online nákupy, k odběru novinek apod. If you’re annoyed by the endless offers and ads flooding your inbox, your best bet is to regularly mark these messages as SPAM. To protect our school or work e-mail from ever receiving it, we should restrain from using it for things like online shopping – we use a personal address for personal business. We could even take it one step further and create a secondary personal e-mail for this sort of business.

Vyzkoušejte si tempmail: službu, která umožňuje přijímat e-mail na dočasnou adresu. Ta se pak po určité době sama zničí. Mnoho webových stránek nebo blogů po nás často požaduje, abychom se zaregistrovali dříve, než nás pustí k obsahu. V takových případech můžeme využít právě dočasnou e-mailovou adresu, a ne tu naši skutečnou, která by pak mohla skončit na nějakém seznamu pro spammery. Jen pozor: pokud do takové služby pak zapomeneme heslo, pomocí e-mailu ho už neobnovíme... Zkusit si můžeme třeba TempMail nebo Mail.tm. Try it yourself: A tempmail: service allows you to receive e-mail in a working but temporary address, which will self-destruct after a certain period of time. Many websites or blogs ask us to sign up before letting us view any content. In these cases, we could use a temporary address to make sure our real e-mail doesn’t end up on some list passed around between spammers. Keep in mind, though, that if you forget your password for that particular account, it would be impossible to change it via e-mail… As an example of such a service, you can check out TempMail or Mail.tm.

Podezřelé přílohy Suspicious attachments

Spam dnes už není jen o reklamě a výhodných nabídkách: často bývá nosičem příloh, které mohou nepěkně zamávat s naším zařízením. Stačí pár kliků a chvilka nepozornosti k tomu, abyste si do svého zařízení stáhli nebezpečný malware. Ano, řeč je o podezřelých přílohách, které jsou neopomenutelnou součástí mnoha typů kyberbezpečnostních útoků. Spam is not only about advertisements these days: oftentimes, it also serves as a carrier of attachments which could wreak havoc on our devices. All it takes is just a few clicks and you’re dealing with malware, an indispensable part of numerous kinds of cybersecurity attacks.

Jak poznat podezřelou přílohu? Nejlehčí je to v případě, kdy obdržíme e-mail s přílohou z adresy, kterou vůbec neznáme a která nepůsobí důvěryhodně, případně i samotná e-mailová zpráva je podivná. V takovém případě rovnou považujeme přílohu za nebezpečnou. Bohužel se i zde stává, že je k šíření nebezpečné přílohy využita metoda podvržení odesílatele: škodlivá příloha přijde ze zdroje, který je nám známý a důvěřujeme mu, došlo však k manipulacím s hlavičkou e-mailové zprávy, případně je účet odesílatele napaden útočníkem. V takovém případě musíme zapojit veškeré kritické myšlení, které je nám vlastní. Pomoci nám může identifikace typu souboru v příloze nebo šikovný nástroj pro kontrolu podezřelých souborů VirusTotal. How do we spot a suspicious attachment? If we receive an e-mail from an unknown, shady looking address, that alone should be a major red flag. Even more so if the message itself seems fishy. In such cases, we should automatically consider the attachment to be dangerous. Unfortunately it’s not always that simple. The method of e-mail forging is often used to aid the spread of malware. This means we could receive a malicious attachment even from what seems to be a familiar and trusted source. In reality, the header of the e-mail could have been tampered with and the sender address could be fake. Or the address could be real, but the sender’s account has been compromised and the attacker is actually using it. At this point, we should engage all of our critical thinking abilities. First off, we should consider the attached file type. Or better yet, we could just turn to a proven malicious file detection tool such as VirusTotal.

Pozor! Některé přílohy na nás působí svými ikonami nebo názvy dosti důvěryhodně. Vyvolávají v nás dojem, že se jedná o legitimní dokumenty či mediální soubory. Jedná se třeba o ikony typu PDF, Word, MP3 nebo JPEG. Tady však pozor! Samotný název podvržené přílohy má totiž odlišnou příponu! Nesetkáváme se tedy s klasickou formou „.DOC“ nebo „.DOCX“, ale úplně jinými písmeny, které se vůbec neshodují s ikonkou. Někdy je dokonce skutečná přípona souboru skrytá! Podezřelejší také bývají komprimované přílohy (RAR, ZIP atp.). Platí zde, že pro tyto situace je k nezaplacení mít nainstalovaný a aktualizovaný kvalitní antivirový program, případně využít nástroj pro kontrolu podezřelých souborů VirusTotal. Beware! Certain attachments may seem trustworthy based on their name or icon: They may seem like harmless documents or media files. They could be accompanied by a familiar icon of a MP3 file, a PDF or Word document, or a JPEG photo, while in reality, they are a completely different file type. So for example, the icon may look like a Word document, but the actual file extension is neither “.DOC” nor “.DOCX”. Sometimes the extension may even be hidden. Archives (RAR, ZIP, etc.) are potentially dangerous as well. For these scenarios it really does pay off to have up-to-date antivirus software installed on your computer. Alternatively, we can test suspicious files using an online tool such as VirusTotal.

Mezi nejproblematičtější soubory patří ty, které lze nazvat jako spustitelné aplikace, typicky například soubory s koncovkou .EXE, .JS, .VBS a další typy souborů, se kterými se jako běžní uživatelé většinou nesetkáváme. Vždy je také dobré posuzovat celý e-mail jako celek: dívat se na hlavičku, na tělo e-mailu a jeho gramatiku – a v závěru i na zmiňované přílohy. The most problematic (and potentially most harmful) type of attachments is what we call executable files. These could be applications (with the extension .EXE), script files (.JS, .VBS) and many other obscure file types we, as users, rarely come across. In general, it’s best to judge the e-mail as a whole, reviewing its header, the message body, even spelling and grammar – and finally the attachments we just discussed.

Kdo může číst moji komunikaci? Who can read my online communication?

Taky ještě občas z dovolené posíláte tradiční papírové pohlednice? Na takovou pohlednici bychom nejspíš žádné tajnosti a osobní věci nenapsali: je nám jasné, že v celém procesu poslání pohlednice je její obsah viditelný pro kohokoliv – od pošťáků přes třídiče pošty v poštovní centrále až po naši zvědavou sousedku. Do you still occasionally send traditional physical postcards when on a vacation? Nobody would write any secrets or sensitive stuff on such a postcard. We’re well aware that throughout the entire process of delivery, its content is visible for everybody – from the clerks at the post office, through the mailman, all the way to our nosy neighbor.

Takový běžný e-mail je bohužel tak trochu jako pohlednice: po své cestě ho akorát místo pošťáků vidí mnoho e-mailových serverů, jejichž správce obvykle neznáme. A s valnou většinou ostatní naší on-line komunikace je to úplně stejné. V běžném každodenním shonu mnohdy využíváme ty komunikační kanály, které máme nejjednodušeji po ruce. To ovšem nemusí být vždy ty nejbezpečnější. Your ordinary e-mail is, unfortunately, just like a postcard. Instead of postal workers though, it goes through the hands of multiple e-mail servers during its delivery. Servers whose operators we don’t know. The same goes for most other types of online communication. In the hustle and bustle of everyday life, we tend to prefer the communication channels that are most easily at hand. However, these may not always be the safest ones.

Magda posílá kolegům z katedry i svým doktorským studentům zprávy přes Facebook. Často je pro ni rychlejší vyřešit přes Messenger i administrativní náležitosti: posílá interní pracovní dokumenty, své pracovní výkazy, smlouvy – prostě to, co je zrovna třeba rychle řešit. Nedávno své kolegyni přes Messenger dokonce poslala heslo pro přihlášení do systému mezinárodní mobility Erasmus – bylo to prostě nejrychlejší řešení: rovnou na dotaz kolegyně, která napsala na Messenger, odpovědět stejnou cestou. Magda sometimes texts her colleagues, as well as her students, via Facebook Messenger. As it turns out, it’s often more convenient to handle administrative affairs in the app as well. She’s able to send employment contracts, her work reports – pretty much anything that needs to be done. Recently she even sent an Erasmus login password to a colleague of hers. It was the quickest solution – the colleague asked on Messenger, so Magda replied right there.

Je to úplně totéž, jako by Magda heslo napsala na pohlednici a odeslala ji poštou. Některé komunikační nástroje stéle mohou posílat zprávy v takzvaném plaintextu (obyčejný čitelný text, který se přenáší v takové podobě, v jaké ho vidíme a čteme). Všechno tak může být za určitých podmínek po cestě odchyceno a přečteno – a to se zde nebavíme o rovině ochrany našeho soukromí. If Magda had written the password on a postcard and mailed it, basically, it would have been the same thing. Some communication tools still deliver the messages in plain text, meaning they are being transferred in the exact same form in which they had been written. Given the right circumstances, any message can be snagged along the way and read by a curious third party.

Co s tím? Šifrování! The solution? Encryption!

V případě zmiňované pohlednice z dovolené můžeme naše tajemství ochránit třeba tak, že text zašifrujete a příjemci svěříme tajemství klíče, pomocí kterého nesrozumitelnou změť znaků převede znovu zpátky do srozumitelného textu. Trochu jako na skautském táboře. V elektronické komunikaci to funguje velmi podobně, jen místo táborových šifer se využívají pokročilejší matematické procesy. Takové komunikaci se říká šifrovaná komunikace. There are ways to securely share secret information even through the aforementioned postcard. We could encrypt the message somehow, and entrust the recipient with a secret key, which can turn the incomprehensible jumble of characters back into readable text– kind of like the Boy Scouts. This approach is used in digital communication as well, albeit in a slightly more complex form, powered by advanced math. When such methods are employed, we talk about encrypted communication.

Jedním z typů šifrované komunikace je tzv. end-to-end šifrování (E2E). Dejme tomu, že se potřebuji kolegyně nebo spolužačky zeptat na něco důležitého a nerad bych, aby zprávu po cestě někdo četl: A common type of encrypted communication is what we call end-to-end encryption (E2E). Let’s say we need to ask a colleague or classmate about something important and we don’t like the idea of the message being read by a third party.

Využít proto můžu komunikační aplikaci, která E2E šifrování nabízí. Zpráva se zašifruje na mém zařízení a do internetu odejde v šifrované, tedy nečitelné podobě. Pro kohokoliv, kdo by ji cestou chtěl přečíst, bude vypadat nějak takhle: For this, we can utilize one of the messaging apps which offer E2E. That way, the message will be encrypted before leaving our device, and will set out on its journey in incomprehensible form. Should anyone manage to snag it and try and read it, they would see something like:

oR9MzsC3FTobl3Ph9T/aQng5HZ+hhS3udDwzYix83oE=

Do čitelné podoby se opět rozšifruje až na zařízení mojí kolegyně, která využívá stejnou aplikaci. Ani samotný provozovatel nástroje, přes který s kolegyní řešíme dnešní oběd, díky E2E šifrování nevidí, o čem si píšeme. Only after reaching my coworker’s device would the message turn back into readable form. Thanks to E2E, not even the engineers operating our messaging app of choice could learn about our lunch preferences.

Pozor! Některé nástroje se prezentují jako šifrované, ve skutečnosti ale šifrují zprávu jen částečně – na cestě od nás na server provozovatele, tam se rozšifruje do čitelné podoby a znovu zašifruje na cestu k adresátovi. To ale není to pravé ořechové end-to-end šifrování... Při výběru nástroje tak hledáme ten, který přímo uvádí, že nabízí E2E, tedy koncové šifrování. Beware! Some apps present themselves as encrypted, while in fact they only encrypt the messages partially – on its way from our device to the server. Once there, it gets decrypted, only to be encrypted again when it’s being transmitted to the recipient. When choosing a safe communication platform, we should look for an app that explicitly offers full-fledged end-to-end encryption.

Víte, že... mnoho poskytovatelů komunikačních aplikací (včetně e-mailových schránek) využívá faktu, že konverzace není šifrována a čmuchají v našich osobních konverzacích? Hledají tam zajímavé informace, aby na nás pak mohli lépe cílit reklamu. Tím, že upřednostníme aplikaci s E2E šifrováním, se vyhneme i tomuto modernímu nešvaru. Did you know? Many free apps and services (including e-mail providers) not only don’t offer encryption, they outright take advantage of the lack of this feature? They have means of automatically going through our private messages and mining data for better advertisement targeting. A plus side of opting for a solution offering E2E is avoiding this modern day nuisance.

Které nástroje šifrují E2E? Which apps offer E2E?

Mezi nejrozšířenější E2E šifrované komunikační aplikace, které by dle všech informací v současnosti měly využívat tento typ šifrování, patří WhatsApp a Signal. Druhý jmenovaný je pak dnes obecně vnímán jako bezpečnější varianta. Zprávy na Instagramu, Google Hangouts nebo Snapchat a většina dalších komunikačních platforem šifrování nevyužívají – neměli bychom je tedy používat při komunikaci citlivějších témat. Některé nástroje pak nabízejí E2E šifrování pouze v případě, že ho sami cíleně zapneme (např. Facebook Messenger, Telegram). The most popular examples of messaging platforms which, to the best of our knowledge, currently offer end-to-end encryption, are WhatsApp and Signal; the latter being generally considered the more secure option. Direct messages on Instagram or SnapChat – or many other popular platforms you can think of – do not utilize E2E, thus it’s advised against using them for discussing sensitive matters. Finally, some apps do offer us the option of using E2E, but we have to manually enable it (Facebook Messenger, Telegram).

Vyzkoušejte si: používáte Facebook Messenger? Víte, že umožňuje komunikovat v režimu end-to-end šifrování? Musí se ovšem zapnout speciální funkce Tajná konverzace. Facebook sám ji příliš nepropaguje, nemá komerční zájem na tom, aby jeho uživatelé komunikovali šifrovaně. Přitom je vyšší míra bezpečí vzdálená jen na jedno kliknutí! Try it yourself: Do you use Facebook Messenger? Did you know it allows you to text in end-to-end encrypted mode? To take advantage of it, however, you have to manually initiate what they call a Secret Conversation. Facebook doesn’t promote this feature a whole lot, since having their users’ chats encrypted doesn’t align with their business model. Yet the feature is there, and it’s an increased level of security that’s just a click away!

Může být šifrovaný i e-mail? Can an e-mail be encrypted?

Ano, i e-mail po sítí běhá čitelný jako pohlednice a lze ho zašifrovat. Když odesíláme e-mail chceme příjemce ujistit, že je skutečně od nás, tzn. chceme e-mail digitálně podepsat; a pak také zašifrovat aby ho mohl přečíst skutečně jen adresát. Budeme k tomu potřebovat osobní certifikát, který následně nastavíme ve svém e-mailovém programu: Yes, even this digital analogy of a freely readable postcard can be made private. It all starts with a digital signature , which reassures the recipient the message really comes from us. On top of that we encrypt it, so the recipient is the only one who can read it. To do all this, we’ll need to set up a personal certificate in our e-mail application. <school-specific: přepsat a doplnit podle vlastního řešení, např. https://it.muni.cz/sluzby/osobni-certifikaty>.

Využít je možné služeb infrastruktury veřejných klíčů CESNET na adrese https://pki.cesnet.cz/ a generování osobního certifikátu na webu https://tcs.cesnet.cz/. Certifikát poté musíme importovat do poštovního klienta a následně je možné e-maily podepisovat i šifrovat. We can use the public key infrastructure of CESNET at https://pki.cesnet.cz/ and create a personal certificate over at https://tcs.cesnet.cz/. After importing the certificate into our e-mail client, we’ll be able to both sign and encrypt our messages.

Pozor! Jakékoliv šifrování komunikace nám nemusí být nic platné, pokud si dostatečně nezabezpečíme koncové zařízení: po cestě zprávy sice čitelné nejsou, u nás v zařízení a v zařízení adresáta však leží v čitelné podobě. Pokud si tak např. telefon dostatečně nezabezpečíme a necháme ho někde volně ležet, útočník si může zprávy číst, šifrování nešifrování. Stejně tak to bude i v případě, že se nám do telefonu nastěhuje malware. Všechno jde tedy ruku v ruce a vyplatí se věnovat pozornost i zabezpečení zařízení (o tom více v modulu 5). Beware! All of our encryption efforts could be in vain if the participating devices aren’t secure enough. The messages might be illegible while on their way, but they are fully readable in sender’s and recipient’s devices. If we are careless and leave our computer unlocked, an attacker could read our messages, encryption or not. We’re also in trouble if malware manages to set up shop in our phone. With these things, everything goes hand in hand, so it pays off to take steps to secure your device.

Ještě jedno důležité pravidlo na závěr... Let’s conclude with an important piece of advice...

Využívejme přednostně ta řešení, která nabízí naše univerzita. We should always prefer solutions offered by our university.

Petr si školní e-mail přeposílá do své soukromé schránky na Gmailu. Dělá to proto, že se mu nechce přihlašovat do více e-mailů a je pro něj jednodušší vše řešit z jednoho prostředí. Heslo k přihlášení do Gmailu je navíc jednodušší a už si ho za ty roky pamatuje – však ho také využívá i jinde. Jeho údaje teď ale byly součástí úniku dat. Útočník se do Petrova účtu přihlásil a změnil mu heslo; teď si nerušeně čte nejen Petrovu osobní i pracovní poštu, ale také se za Petra může jednoduše vydávat. Petr napsal na podporu firmy Google, nikdo ale nereaguje – Petr navíc nemá Googlu, jak dokázat, že je skutečně Petrem. Obrátil se tedy na kyberbezpečnostní podporu své univerzity, ale ani tam mu příliš pomoci nemohou: servery firmy Google nespravují a nemají k nim přístup. Kdyby Petr využíval služby oficiálně podporované univerzitou, měl by teď kyberbezpečnostní tým mnohem širší možnosti, jak Petrovi ve svízelné situaci pomoci. Petr forwards his school mail into his personal Gmail. He doesn’t want to be bothered by signing into multiple services, it’s easier for him to deal with everything in one inbox. Moreover, his Google password is much simpler and he memorized it well over the years – after all, he’s using it for other accounts too. Recently, his login credentials have appeared in a data breach. An attacker signed into Petr’s Google account and changed his password. Not only can they now read Petr’s both personal and work e-mail, they can also impersonate him online. Petr reached out to Google’s support, but to no avail, nobody responded. Worse yet, even if they did, Petr has actually no way of proving his identity and the ownership of the account. He decided to turn to the cybersecurity team of his university, but they couldn’t help him either, as they have no control over Google’s servers. If only Petr had been using services officially supported by the school; The cybersecurity team would have a much wider range of options in assisting him in his predicament.

Není vhodné pro pracovní záležitosti používat vlastní e-mailové schránky, tj. například si přeposílat pracovní poštu do svého soukromého e-mailu (jako je třeba Gmail, Seznam Mail a podobné). V případě bezpečnostního incidentu leží interní pracovní informace na serveru třetí strany, například Seznamu nebo Googlu, a mohou tam být ohroženy. Vždy využívejte ten nástroj a e-mailový klient, který poskytuje nebo doporučuje vaše univerzita. It’s not advised to use your own e-mail address for work-related matters, nor is it a good idea to forward work e-mail to a personal inbox account (like Gmail, Yahoo, etc.). In the event of a security incident, internal work-related information now resides on a third-party server and remains at risk. Always prefer tools (and e-mail clients) offered or recommended by the university. <school-specific: přepsat a doplnit podle vlastního řešení> Kdykoliv dojde k bezpečnostnímu problému, vždy bude pro povolané odborníky z univerzity jednodušší řešit ho v prostředí, které přímo spravují nebo k němu mají lepší přístup. Should something go wrong security-wise, it will be much easier for the response team to resolve the issue in an environment they directly manage, or at least have sufficient access into.

To se týká i messengerů a rychlé komunikace: se spolužáky a kolegy pro pracovní a studijní náležitosti přednostně využívejme ty nástroje, které poskytuje univerzita. Může jít například o Yammer, Microsoft Teams pro rychlé zprávy i skupiny (např. místo nešifrovaných Facebook Skupin) a podobně. This applies to messaging apps as well: to discuss school and work with classmates and colleagues, we should stick to communication platforms offered by the university. These could include Yammer or Microsoft Teams, providing the features of direct messaging or an alternative to (unencrypted) Facebook Groups. <school-specific: přepsat a doplnit podle vlastního řešení>

Závěr The end

Na co nezapomenout ze třetího modulu?
Podvrhnout odesílatele e-mailu lze několika způsoby a není to vůbec složité.
Vždy bychom měli být ostražití a ptát se, zda e-mail skutečně odeslal uvedený odesílatel.
Pokud máme podezření na podvržený e-mail, neotvíráme přílohy a neklikáme na odkazy.
Spam ani neotvíráme, protože tím signalizujeme, že je naše schránka aktivní.
Naše komunikace on-line může být čitelná úplně stejně jako pohlednice.
Přes komunikační nástroje bez E2E šifrování bychom neměli řešit citlivé záležitosti.
Určitou úroveň bezpečné komunikace poskytují nástroje s E2E šifrováním (např. Signal).
Pro pracovní a studijní účely bychom měli vždy využívat ta řešení, které nabízí naše univerzita. What should you remember from module 3?
There are multiple ways of forging an e-mail’s sender and it’s not even difficult.
We should remain cautious and keep in mind somebody else might have sent the message.
If we suspect a spoofed e-mail, we avoid clicking any links and opening attachments.
We never open spam, because it might send out a signal that our address is in use.
Our online communication could be as freely readable as a postcard.
We shouldn’t discuss sensitive matters over channels lacking E2E encryption.
Tools offering E2E encryption provide a way of safe online communication, to a certain degree.
We should prefer solutions offered by our university to handle school and work matters.

Pozor! Co dělat, když se něco pokazí? V případě, že došlo k bezpečnostnímu incidentu nebo máte podezření, že mohlo být narušeno vaše kyberbezpečí, obracejte se na Attention! What to do in case something goes wrong? In case of a security incident, or if you suspect your online safety might have been compromised, reach out to <school-specific>.