Certyfikat potwierdza tożsamośd jego właściciela lub obiektu do którego jest przypisany (np. serwer, aplikacja itp.).

Transkrypt

1 1. Co to jest certyfikat cyfrowy lub elektroniczny? Certyfikat cyfrowy, zwany także certyfikatem klucza publicznego lub certyfikatem elektronicznym stanowi poświadczenie autentyczności klucza publicznego podmiotu, dla którego certyfikat ten został wystawiony. Wystawcą certyfikatu jest zaufana strona trzecia czyli ośrodek certyfikacyjny. Dzięki podpisaniu certyfikatu przez zaufaną trzecią stronę w praktyce niemożliwe staje się jego sfałszowanie. Certyfikat klucza publicznego zawiera trzy podstawowe informacje: klucz publiczny podmiotu, opis tożsamości podmiotu, podpis cyfrowy złożony przez zaufaną stronę trzecią. Certyfikat potwierdza tożsamośd jego właściciela lub obiektu do którego jest przypisany (np. serwer, aplikacja itp.). 2. W jaki sposób mogę zweryfikowad poprawnośd certyfikatu elektronicznego? Weryfikacja poprawności certyfikatu elektronicznego polega na porównaniu takich jego atrybutów jak: tzw. odcisku palca (ang. fingerprint) certyfikatu; opisu tożsamości podmiotu; wystawcy certyfikatu z danymi publikowanymi przez Bank pod adresem <wstawid_adres>. Poniższa ilustracja przedstawia podgląd certyfikatu wystawionego dla Raiffeisen Bank Polska S.A. 1

2 3. Jaka jest różnica pomiędzy protokołami HTTP i HTTPS? HTTPS (ang. HyperText Transfer Protocol Secure) jest szyfrowaną wersją protokołu HTTP. Bezpieczeostwo komunikacji sieciowej z wykorzystaniem tego protokołu polega na szyfrowaniu informacji przesyłanej pomiędzy serwerem (serwer WWW) i klientem (przeglądarką internetową) przy pomocy protokołu SSL lub TLS. Zapobiega to przechwytywaniu i przekłamaniu przesyłanych danych. Dodatkowo, tożsamośd serwera HTTPS jest potwierdzana przy pomocy certyfikatu cyfrowego, dzięki czemu użytkownik połączeo HTTPS zyskuje gwarancję, że połączenie jest nawiązane do właściwego serwera. Strony połączenia HTPS mogą podlegad uwierzytelnieniu jednostronnemu (uwierzytelnienie serwera względem użytkownika) lub dwustronnemu (uwierzytelnienie użytkownika względem serwera i serwera względem użytkownika). Integralnośd przesyłanych danych jest zabezpieczana przez zastosowanie mechanizmów kryptograficznych sum kontrolnych. Ponadto, przeglądarka, obsługując tak zabezpieczoną transmisję, włącza bardziej restrykcyjne ustawienia, m.in. wyłącza buforowanie treści i nie zezwala na zapisywanie na dysku komputera potencjalnie niebezpiecznych elementów strony WWW (np. tzw. apletów Java). 4. Co oznacza symbol kłódki w przeglądarce internetowej i gdzie go szukad? Symbol kłódki oznacza, że połączenie pomiędzy przeglądarką i serwerem jest zabezpieczone za pomocą protokołu HTTPS oraz, że certyfikat serwera jest ważny i podpisany przez zaufane centrum certyfikacji. W sytuacji kiedy występuje problem z certyfikatem, wówczas (zależnie od rodzaju przeglądarki) symbol kłódki pojawia się jako przekreślony, ze znakiem zapytania lub staje się on w inny sposób wyróżniony. Każdy przypadek zmiany wyglądu lub braku poprawnych symboli wskazujących na uwierzytelnione i szyfrowane połączenie z bankiem musi zostad zweryfikowany. 5. Jak zmienid hasło do mojej bankowości internetowej? Po zalogowaniu do serwisu bankowości internetowej należy wcisnąd przycisk Ustawienia (prawy górny róg okna), a następnie wybrad zakładkę Zmiana hasła. Wprowadzid stare hasło oraz dwa razy nowe, po czym nacisnąd przycisk Zmieo hasło. 6. Gdzie mogę dowiedzied się więcej o bezpieczeostwie bankowości internetowej? Informacje takie są zawarte przede wszystkim w dokumencie Instrukcja bezpieczeostwa R-Online, R-Online Biznes oraz Poradnik Bezpieczeostwa, a także można je uzyskad w: o w centrum telefonicznym pod numerami telefonów dla klientów indywidualnych lub oraz dla klientów korporacyjnych pod numerami lub , o w oddziałach Banku, o u doradców klienta. 7. W jaki sposób mogę uzyskad pomoc w sprawach dotyczących bezpieczeostwa korzystania z bankowości internetowej? Pomoc w sprawach dotyczących bezpieczeostwa korzystania z bankowości internetowej, w tym możliwośd zgłoszenia ewentualnych incydentów bezpieczeostwa można uzyskad: 2

3 poprzez kontakt z centrum telefonicznym pod numerami telefonów dla klientów indywidualnych lub oraz dla klientów korporacyjnych pod numerami lub , poprzez kontakt z oddziałem Banku, poprzez zapoznanie się z informacjami zawartymi w dokumencie Instrukcja bezpieczeostwa R- Online, R-Online Biznes oraz Poradnik Bezpieczeostwa. 8. Na co zwrócid uwagę przed, podczas i po zalogowaniu się do bankowości internetowej? Przed zalogowaniem do bankowości internetowej należy zwrócid uwagę na następujące kwestie: czy wpisany został do paska adresowego przeglądarki internetowej prawidłowy adres banku oraz czy występuje literka s w nazwie protokołu https, czy w przeglądarce jest widoczny symbol zamkniętej kłódki, czy certyfikat banku jest ważny, czy elementy graficzne i treści na stronie logowania nie wzbudzają podejrzeo (na przykład pojawienie się żądania podania numerów kart kredytowych czy innych danych, o które bank nigdy nie pyta, uwierzytelniając użytkownika), pojawienie się różnego typu komunikatów o błędach. Natomiast po zalogowaniu należy sprawdzid czy wcześniej nie występowały jakiekolwiek nieznane użytkownikowi dostępy na konto, bądź nieudane próby takowych. 9. Dlaczego należy instalowad poprawki i aktualizacje bezpieczeostwa systemu operacyjnego i przeglądarki internetowej oraz aktualizacje baz sygnatur skanera antywirusowego na moim komputerze, żeby móc korzystad z bankowości internetowej? Stosując uaktualnienia automatyczne (lub przypomnienia o nich) nie trzeba pamiętad żeby takowe wykonywad manualnie. Natomiast samo uaktualnianie (czy to w sposób manualny czy automatyczny) jest wręcz koniecznością. Większośd oprogramowania antywirusowego wyszukuje wirusy komputerowe na podstawie posiadanych w swojej bazie wzorców zachowao poszczególnych wirusów. Wzorce te są często nazywane sygnaturami. Jeśli baza sygnatur nie jest uaktualniana, wówczas oprogramowanie antywirusowe nie jest w stanie wykryd żadnego wirusa którego wzorca nie posiada czyli żadnego z nowych wirusów. Podobnie wygląda sytuacja z aktualizacjami systemu operacyjnego oraz przeglądarki internetowej. Jeśli zostaje wykryta jakaś luka w bezpieczeostwie i nie jest ona załatana to nasz komputer pozostaje podatny na atak z wykorzystaniem wspomnianej podatności, luki. Warto mied na uwadze, że niektóre ataki mogą skutkowad całkowitym przejęciem kontroli nad komputerem i uczynienie go częścią tzw. botnetu. 10. Dlaczego program antywirusowy nie wystarcza jako jedyne zabezpieczenie mojego komputera? Program antywirusowy służy do wyszukiwania i usuwania z komputerów pewnej odmiany szkodliwego oprogramowania tzw. wirusów. Nie mniej istotną jest funkcja prewencyjna tego programu, polegająca na zapobieganiu infekcji takim oprogramowaniem. Pamiętad jednak należy, że wirusy nie są jedynym zagrożeniem dla komputerów, a w szczególności dla tych z których odbywa się łączenie do serwisu bankowości internetowej. Program antywirusowy nie jest w stanie skompensowad luk w bezpieczeostwie wynikających z braku aktualizacji systemu operacyjnego czy innych programów np. przeglądarki internetowej, odtwarzacza plików audio lub wideo. Jedynie kompleksowe rozwiązania, polegające na zastosowaniu wielu poziomów ochrony oraz zastosowaniu zróżnicowanych produktów, są w stanie zapewnid wysoki poziom bezpieczeostwa naszych komputerów. 3

4 11. Jak często należy zmieniad hasło do serwisu bankowości internetowej? Hasło do serwisu bankowości internetowej powinno byd zmieniane nie rzadziej niż raz na miesiąc - przypomina o tym sam serwis bankowości elektronicznej za pomocą stosownego komunikatu. Dodatkowo w celu podniesienia poziomu bezpieczeostwa Klienta, serwis wymusza zmianę hasła co trzy miesiące. Powodem wprowadzenia tej pozornie zbędnej uciążliwości są nasilające się zagrożenia dla Klientów bankowości internetowej. Zagrożenia te pochodzą ze strony różnego rodzaju oprogramowania szpiegowskiego, podsłuchującego m.in. hasła i przekazującego je przestępcom. Takie przechwycone hasło może byd użyte do podszycia się pod Klienta i okradzenia go nawet po upływie relatywnie długiego czasu. W związku z powyższym, powszechnie zaleca się użytkownikom systemów bankowości internetowej jak najczęstsze zmiany haseł. Wymaganie zmiany hasła co 90 dni jest arbitralnie przez Bank określonym kompromisem pomiędzy bezpieczeostwem, a wygodą Klienta. Im dłużej wykorzystuje się to samo hasło, tym większe jest prawdopodobieostwo jego przejęcia przez złodziei. 12. W jaki sposób mogę zablokowad lub odblokowad dostęp do swojej bankowości internetowej? Dostęp można zablokowad lub odblokowad poprzez kontakt telefoniczny z biurem obsługi dla klientów indywidualnych oraz małych firm pod numerami telefonów: lub oraz dla klientów korporacyjnych pod numerami lub , a także w każdym oddziale Banku. 13. W jaki sposób mogę skonfigurowad swoją przeglądarkę internetową żeby posiadała podwyższony stopieo bezpieczeostwa? Dokładna instrukcja konfiguracji przeglądarki znajduje się pod adresem <wstawid_adres>. 14. Czy korzystanie z serwisu bankowości internetowej z publicznie dostępnych komputerów (np. kawiarenki internetowe, dworce lotnicze itp.) jest bezpieczne? Komputery takie najczęściej nie są odpowiednio zabezpieczone, są natomiast używane przez różne osoby i do różnych celów w tym także do odwiedzania stron WWW zawierających oprogramowanie złośliwe. Ponieważ zapewnienie wysokiego poziomu bezpieczeostwa najczęściej nie jest priorytetem dla właścicieli tego typu komputerów, dlatego Bank kategorycznie odradza stosowania ich do połączeo z serwisem bankowości internetowej. 15. Czy mogę bezpiecznie korzystad z serwisu bankowości internetowej z prywatnego komputera podłączonego do publicznej sieci bezprzewodowej (np. hotspot, WLAN na lotniskach, w kawiarniach i w hotelach)? Bezpieczeostwo połączeo z serwisem bankowości internetowej nie zależy w krytycznym stopniu od rodzaju podłączenia do sieci Internet. Podstawowe zagrożenie ujawnieniem i przechwyceniem transmitowanych danych praktycznie nie istnieje z uwagi na szyfrowany charakter transmisji całej komunikacji pomiędzy przeglądarką użytkownika i serwerem systemu bankowości internetowej. Przy korzystaniu z serwisu za pośrednictwem publicznej sieci bezprzewodowej, należy stosowad wszelkie zabezpieczenia komputera, tak jak przy połączeniach przez sied przewodową. Natomiast, jeżeli punkt dostępowy sieci bezprzewodowej jest nasza własnością zalecane jest jego bezpieczne skonfigurowanie według wskazówek producenta, w tym między innymi zmiana na ogół niebezpiecznych startowych ustawieo domyślnych (głównie zmiana domyślnego hasła administratora tego urządzenia). Zaleca się też korzystanie z zabezpieczeo WPA lub WPA-2 (TKIP lub AES). 4

5 16. Dlaczego bezpieczne korzystanie z bankowości internetowej zależy od stanu zabezpieczeo mojego komputera? Bezpieczeostwo korzystania z serwisu bankowości elektronicznej jest zależne od czynników takich jak: zabezpieczenia po stronie banku i zabezpieczenia po stronie klienta. Zabezpieczenia po stronie banku spełniają wysokie standardy i są cyklicznie testowane i audytowane. Przestępcy doskonale wiedzą, że to właśnie zabezpieczenia po stronie klienta są najsłabszym ogniwem i dlatego ich działania są głównie ukierunkowane na ten najsłabszy punkt. Bezpieczeostwo korzystania z serwisu bankowości internetowej w dużej mierze zależy od poziomu świadomości jego użytkowników, w tym także świadomości z obszaru zabezpieczeo własnego komputera. Niezabezpieczony komputer jest narażony na ataki różnego rodzaju oprogramowania złośliwego, a nawet całkowite przejęcie nad nim kontroli przez napastnika. W sytuacji takiej nietrudno sobie wyobrazid jak dużą swobodę posiada złodziej kontrolując i modyfikując zarówno numery rachunków bankowych na które wykonujemy przelewy jak i ich kwoty. 17. Co to jest phishing i jak się przed nim chronid? Termin phishing jest akronimem od słów password harvesting fishing, co można przetłumaczyd jako łowienie haseł dostępowych. Idea tego rodzaju ataku polega na nakłonieniu Klienta (za pomocą np. odpowiednio spreparowanej strony WWW) do ujawnienia swoich identyfikatorów, haseł itp. wrażliwych informacji. Następnie przestępcy logują się do serwisu bankowości internetowej, podszywając się pod łatwowiernego klienta i wyprowadzają środki z jego rachunku. W celu ochrony przed phishingiem należy przestrzegad poniższych zasad: po otrzymaniu wiadomości poczty elektronicznej nakłaniającej (pod dowolnym pretekstem, np. powołując się na rzekomą potrzebę weryfikacji danych) do zalogowania się do serwisu bankowości elektronicznej należy niezwłocznie skontaktowad się z Biurem Obsługi Klienta - Bank nigdy nie wysyła tego typu wiadomości; nie należy otwierad odnośników znajdujących się w otrzymanych listach elektronicznych; nie należy umieszczad w listach elektronicznych żadnych informacji wrażliwych (dane osobowe, numery kart płatniczych, loginy, hasła itp.); należy regularnie uaktualniad system operacyjny, oprogramowanie antywirusowe oraz przeglądarkę internetową; należy sprawdzad czy przy połączeniu do serwisu bankowości internetowej przeglądarka wyświetla zamknięta kłódkę oraz weryfikowad autentycznośd certyfikatu elektronicznego, a także jego datę ważności; regularnie skanowad cały komputer oprogramowaniem antywirusowym, oprogramowanie to powinno na bieżąco skanowad pliki pobierane do komputera z zewnątrz (Internet, dyski wymienne itp.). 18. W jaki sposób dochodzi do infekcji komputera wirusami zagrażającymi bezpieczeostwu korzystania z bankowości internetowej? Komputer może zostad zainfekowany na kilka sposobów, które można podzielid na dwie grupy: 1. oprogramowanie złośliwe jest instalowane wskutek wykorzystania pewnej podatności i dzieje się to bez wiedzy użytkownika; 2. wprowadzony w błąd użytkownik sam instaluje oprogramowanie złośliwe w przekonaniu, że zainstalował całkowicie co innego (np. dodatkowe sterowniki). 5

6 Jeśli użytkownik posiada nieaktualizowane oprogramowanie (system operacyjny, przeglądarkę oraz dodatki do niej) lub używa oprogramowania pobranego ze skompromitowanych stronach WWW (zawierających głównie treści erotyczne lub oferujących darmowe programy, lecz nie tylko), wówczas napastnik może wykorzystad istniejące luki i zarazid nasz komputer dowolnym kodem złośliwym mamy tutaj do czynienia z pierwszą grupą sposobów infekowania komputera. Do drugiej można zaliczyd sieci p2p oraz wspomniane już strony WWW oferujące różnego rodzaju oprogramowanie. Pliki oraz programy pobrane z takich sieci lub stron internetowych mogą zawierad różnego rodzaju kody złośliwe zarażające nasz komputer. Podczas uruchamiania lub instalacji takiego oprogramowania, najczęściej występuje jeden z poniższych scenariuszy: 1. podczas uruchomienia lub instalacji pobranego oprogramowania pojawia się komunikat o błędzie i niemożności dalszego działania, przy czym oprogramowanie złośliwe zostało oczywiście prawidłowo zainstalowane; 2. pobrane oprogramowanie instaluje się i uruchamia prawidłowo i nawet prawidłowo funkcjonuje, lecz wraz z nim instaluje się kod złośliwy i samodzielnie uruchamia się wraz z każdym włączeniem komputera (nawet bez konieczności uruchomienia oprogramowania nosiciela ). Bez względu na to w jaki sposób komputer zostaje zarażony, efekt jest taki sam i zawsze mniej lub bardziej ale negatywny i to dla wszystkich użytkowników takiego komputera. 6