Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) přehodnotil svoji předchozí pozici a spolu s Vojenským zpravodajstvím vydal doporučení, jak se chovat při návštěvě Zimních  olympijských her v Číně. Hry začínají v pátek a úřad původně zastával stanovisko, že olympiádu nemusí řešit. Doporučení sice nakonec vydal o týden později, než Hospodářské  noviny, ale potěšující je, že na základních principech se shodneme.

U některých doporučení se nicméně neshodneme a jiná jsou do textu plácnuta bez kontextu a zřejmého smyslu. Pojďme si je nyní společně projít a dodat k nim to, co ve stručném oficiálním dokumentu chybí.

Nedávno jste již předplatné aktivoval

Je nám líto, ale nabídku na váš účet v tomto případě nemůžete uplatnit.

Pokračovat na článek

Tento článek pro vás někdo odemknul

Obvykle jsou naše články jen pro předplatitele. Dejte nám na sebe e-mail a staňte se na týden zdarma předplatitelem HN+ i vy!

Navíc pro vás chystáme pravidelný výběr nejlepších článků a pohled do backstage Hospodářských novin.

Zdá se, že už se známe

Pod vámi uvedenou e-mailovou adresou již evidujeme uživatelský účet.

Děkujeme, teď už si užijte váš článek zdarma

Na váš e-mail jsme odeslali bližší informace o vašem předplatném.

Od tohoto okamžiku můžete číst neomezeně HN+ na týden zdarma. Začít můžete s článkem, který pro vás někdo odemknul.

Na váš e-mail jsme odeslali informace k registraci.

V e-mailu máte odkaz k nastavení hesla a dokončení registrace. Je to jen pár kliků, po kterých můžete číst neomezeně HN+ na týden zdarma. Ale to klidně počká, zatím si můžete přečíst článek, který pro vás někdo odemknul.

Pokračovat na článek

Výsledná doporučení budou vhodná nejenom pro návštěvníky olympiády a Číny, ale s jistými změnami pro každého, kdo se chystá do oblastí, které pokládá za nedůvěryhodné, kde lze realisticky předpokládat cílený útok. To je totiž pro většinu uživatelů zcela nová situace. Na kterou klasické poučky pro boj s kybernetickou kriminalitou nestačí.

Definice ohrožení 

Začít musíme někde jinde než výpisem doporučení: u definice ohrožení, toho, co pokládáme za rizikové a jaký typ útoku očekáváme. Na threat modelling, jak se této činnosti odborně říká, existují sofistikované postupy, ale těmi se nemusíme pro účely tohoto článku zatěžovat.

Faktem – potvrzeným opakovaně například výročními zprávami BIS – je, že Česká republika a její občané jsou předmětem zájmu čínské státní moci. Zajímaví přitom jsou občané nějakým způsobem důležití, významní a mocní. Ať už přímým vlivem, nebo vlivem nepřímým, jako jsou třeba influenceři. Jakkoliv se to autorovi tohoto článku zdá nepochopitelné, existuje nemalé množství jinak příčetných občanů, kteří skutečnost, že nějaký jedinec umí s úspěchem vykonávat nějakou fyzickou činnost, berou jako relevantní ku posuzování správnosti jeho názorů či postojů.

Lapidárně řečeno, vrcholoví sportovci jsou dobrým cílem, protože mohou ovlivnit veřejné mínění. Budou tedy zcela logicky terčem rozličných metod ovlivňování a kybernetický útok je jedním z nejpravděpodobnějších. Sportovní funkcionáři často disponují jinými druhy vlivu, takže i oni jsou zajímaví. Další pochopitelnou zájmovou skupinou jsou novináři. Získání obsahu jejich digitálních zařízení může být použito přímo (třeba pro účely vydírání), nebo nepřímo (pro lepší poznání cíle a jemnější formy ovlivnění).

Zahraniční diváci nebudou mít na hry kvůli pandemii covidu přístup a politická reprezentace se na hry v rámci diplomatického bojkotu nechystá, tyto dvě skupiny tedy můžeme vynechat.

Útok lze tudíž očekávat od čínského státu. Není třeba rozlišovat jednotlivé jeho složky, tajné služby či jednotlivé firmy. Jako stát a zároveň pořadatel her má útočník naprostou kontrolu nad prostředím. Nad naprosto všemi komunikačními kanály, které oběť může použít, nad fyzickým prostředím počínaje hotelem a konče šatnami na sportovišti, tedy místy, kde budou pravděpodobně zařízení olympioniků uložena bez dozoru.

Dále je pak nutné akceptovat, že olympionici nejsou ani odborníci na digitální techniku, ani osoby zvyklé na práci v režimu konspirace. Jenom taková osoba totiž má realistickou šanci úspěšný útok či pokus o něj detekovat a podle toho se zachovat. No a posledně, ohrožené osoby budou takovými jenom krátkou dobu, několik dnů. Jiná pravidla by platila pro někoho, kdo bude v Číně týdny, měsíce nebo roky, například pro stálého zpravodaje českých médií, diplomaty a podobně.

Útoky hrozí nejenom od státu, ale i od běžných kriminálních útočníků. Nicméně doporučení zde prezentovaná budou dobře platit i proti nim.

Doporučení od NÚKIB

Pokud je to možné, vezměte si s sebou „čistá“ zařízení určená pouze pro konkrétní cestu, která neobsahují žádná vaše osobní data a důležité uživatelské účty. Může jít např. o starý telefon či tablet, který již aktivně nepoužíváte. Pokud takové náhradní zařízení nemáte k dispozici, věnujte zvýšenou pozornost dalším doporučením. Po návratu zařízení resetujte do továrního nastavení.

V hlavním doporučení – vezměte si s sebou zařízení jenom pro tuto cestu – se shodneme. Dodal bych k tomu nicméně ještě několik dobrých rad. Škrtl bych to „pokud je to možné“. Tento požadavek je naprosto zásadní. Některé země svým zástupcům mobilní zařízení pro tento účel věnovaly a podle mého názoru jsou to dobře investované peníze. Dále pak doporučuji zařízení resetovat do továrního nastavení nejenom po návratu, ale zejména před odjezdem. Ve starém zařízení mohou být citlivé údaje z minulosti. 

Dá se předpokládat, že mobilní telefon (či podobné zařízení) bude součástí uvítacího balíčku od pořadatele. V minulosti tomu tak bylo a vzhledem k tomu, že Čína je elektronická velmoc, není důvod se domnívat, že tuto příležitost promešká. Použití takového zařízení k jakýmkoliv jenom trochu citlivým činnostem je vysoce rizikové a je nutné se jej vyvarovat. Nepomůže zde ani reset do továrního nastavení.

Další potíž je v tom, že organizátoři vyžadují instalaci potenciálně nebezpečné aplikace My 2022 již čtrnáct dnů předem. Tuto aplikaci je nutné instalovat na „obětované“ zařízení, nikoliv na běžně používaný mobil.

Nota bene: na cestu s sebou vezměte pouze toto speciální zařízení, svůj běžný mobil, tablet nebo notebook nechte doma, nevozte ho ani vypnutý.

Zabezpečte zařízení novým a unikátním silným heslem/pinem, případně využijte zabezpečení otiskem prstu nebo skenem obličeje. U důležitých služeb (e-mail, komunikační aplikace) nastavte nová silná hesla. Hesla nemějte nikde napsaná a uložená v zařízení. Kde to půjde, důrazně doporučujeme využít dvoufaktorové autentizace (heslo + např. kód z SMS).

I druhé doporučení je v zásadě správné. Nesouhlasím pouze s nápadem využívat zabezpečení otiskem prstu nebo skenem obličeje. Tyto metody jsou sice pohodlnější, ale méně bezpečné než PIN a útoky na ně jsou pro útočníka předpokládaného typu reálně proveditelné.

Důrazné doporučení dvoufaktorové autentizace je dvousečná zbraň. Použití 2FA je obecně doporučeníhodné, ale v tomto případě může být poněkud komplikované. Rozhodně bych nedoporučoval do „špinavého“ mobilu instalovat aplikace pro generování jednorázových hesel, protože z nich lze dostat „seed“, kód, ze kterého se zobrazovaná hesla generují.

Zásadním opominutím je doporučení změnit heslo po návratu. Změna hesla před odjezdem nijak neublíží, ale – pokud už je použito heslo silné a unikátní – ani nepomůže. Nicméně po návratu je nezbytné předpokládat, že heslo mohlo být ohroženo a veškerá hesla na cestě použitá je třeba změnit. Totéž se týká nastavení pro dvoufaktorovou autentizaci. Pokud jste museli nainstalovat 2FA aplikaci, změňte její seed.

K předejití zneužívání zranitelností u starších verzí operačního systému a aplikací doporučujeme jejich aktualizaci na nejnovější verzi.

To je doporučení dobré, ale v případě použití starších mobilních zařízení nejspíš nerealizovatelné. Nejspíš pro ně nebude nejnovější verze operačního systému k dispozici.

Pro případ napadení vašeho zařízení preventivně odstraňte veškerá citlivá data, informace, kontakty, fotografie a minimalizujte počet aplikací. U těch, které jsou opravdu potřeba, zvažte, jaká mají nastavená oprávnění (kamera, mikrofon, galerie fotografií).

K tomuto doporučení dodávám jen, že je nutno použít „špinavé“ zařízení a jiné než nezbytně nutné aplikace do něj neinstalovat a data vůbec nenahrávat, nikoliv je odstraňovat.

Pokud je nutné neznámou či zranitelnou aplikaci používat, využívejte ji jen v nejnutnějším rozsahu a chovejte se tak, jako by veškerá komunikace a vaše data mohla být odposlouchávána či ukradena. Případně zvažte využívání webové verze aplikace. Rovněž zvažte oprávnění, která aplikacím udělujete. Důrazně doporučujeme instalovat aplikace pouze z oficiálních zdrojů (Google Play, Apple AppStore atd.). Aktuálně zranitelnou aplikací je mj. oficiální aplikace olympijských her v Pekingu, MY2022.

Toto doporučení je dobré, ale poněkud deklasované poslední větou, protože oficiální aplikaci účastníci her nainstalovat musejí.

Veřejné wi-fi sítě (v kavárnách, restauracích, MHD, hotelích) bez hesel, či chráněné veřejně dostupnými hesly, jsou velmi slabě zabezpečené a mohou být využity k monitorování připojených uživatelů a případně i napadení jejich zařízení. U masových akcí, jako jsou olympijské hry, je takové riziko vysoké.

Význam tohoto – často opakovaného – doporučení je reálně čím dál tím menší, s rozšířením šifrované komunikace. Z hlediska útoku státních organizací je navíc přinejlepším lhostejné, zda se připojíte k oficiální mobilní či wi-fi síti nebo k wifině náhodně vybrané kavárny. Lze argumentovat i tím, že náhodně vybraná kavárna může být v tomto ohledu bezpečnější.

K minimalizaci případného monitorování vašich aktivit na internetu během cesty doporučujeme používat mobilní data v kombinaci se službou VPN, která dále šifruje a anonymizuje váš pohyb na síti. Doporučujeme placené VPN poskytovatele, jelikož řešení poskytovaná zdarma nemusí být spolehlivá a bezpečná. V některých státech VPN ovšem nemusí vždy fungovat.

Použití mobilních dat při roamingu je rada dost hraběcí, uvážíme-li, že 1 MB dat stojí dle běžného ceníku od 3,90 (O2) do 75 Kč (T-Mobile). Navíc představuje ochranu toliko proti běžným kriminálníkům, ne proti státu. Použití VPN je rada dobrá, ale mezi „některé státy, kde VPN nemusí vždy fungovat“ se spolehlivě řadí i Čína. Ta sice slíbila, že účastníci her budou mít svobodný přístup k internetu, ale teprve čas ukáže, jak moc vážně do myslela.

Rozhodně pak nelze souhlasit s tím, že placené VPN služby jsou spolehlivější a bezpečnější než ty bezplatné. Kvalita komerčních služeb je v tomto ohledu tragická bez ohledu na výši částky. Navíc právě tyto služby jsou v Číně terčem blokování nejčastěji. Mnohem lepší je použít řešení typu Outline, kdy si vytvoříte vlastní VPN server v cloudu. Toto řešení je spolehlivější, levnější a méně náchylné k úspěšnému blokování. Jeden server může navíc sloužit více uživatelům (klidně celé olympijské delegaci) a klientská aplikace je napsaná způsobem dost blbuvzdorným, takže její obsluhu bez větších obtíží zvládnou i osoby nadané spíše tělesně než intelektuálně.

Pro komunikaci využívejte aplikace s tzv. end to end šifrováním – v ideálním případě aplikace Signal nebo Threema, ale lze použít i WhatsApp, Apple Face Time a další. Mějte na paměti, že v některých aplikacích je nutné tuto funkci zvlášť aktivovat. Doporučujeme minimalizovat běžné volání a SMS.

S tímto doporučením se lze ztotožnit, ovšem s tou výhradou, že právě tyto aplikace bývají v Číně blokovány.

Pokud to není nezbytně nutné, doporučujeme při cestě nepřistupovat k citlivým službám, jako je internetové bankovnictví, osobní účty apod. Pokud je to nutné, po návratu je vhodné změnit k těmto službám přihlašovací údaje.

I s tímto doporučením v zásadě souhlasím, i když za citlivé bych považoval zejména e-mailové účty a účty v sociálních sítích (což ovšem NÚKIB může skrývat pod pojem „osobní účty“). Pokud se e-mailu týče, asi bych si pro účely her zřídil separátní e-mailovou adresu a po dobu cesty si na ni nechal přeposílat zprávy z hlavní e-mailové schránky. Po návratu bych pak přeposílání a celou schránku zrušil.

Pokud se sociálních sítí týče, tak doporučení po dobu her se jim vyhýbat pokládám za formálně správné, ale v praxi nerealizovatelné. Jenom těžko lze očekávat, že sportovci se se svými fanoušky nepodělí právě se zážitky z olympiády.

Doporučení změnit po návratu přihlašovací údaje pak vztahuji univerzálně na všechny služby, k nimž se uživatel v Číně přihlašoval. U sociálních sítí bych pak doporučoval po návratu zkontrolovat nastavení, zda nepřibyly nějaké podezřelé aplikace s přístupem k účtu.

Mějte neustále povědomí o tom, kde se nachází vaše zařízení a kdo k němu má přístup. Virus se do zařízení může dostat např. prostřednictvím USB ve chvilce nepozornosti, nebo i přílišnou zvědavostí (např. nalezené USB). Bezpečné nemusí být ani hotelové pokoje a trezory v pokojích, jelikož do nich mají zpravidla přístup zaměstnanci hotelů. Jedním z řešení může být použití bezpečnostních obálek s pečetí.

I závěrečná rada je dobrá, leč poněkud hraběcí. Jenom těžko lze očekávat, že v okamžiku vrcholného sportovního výkonu bude mít olympionik v jedné kapse příslušného oblečku mobil a ve druhé tablet. A hotely, olympijská vesnice, šatny ve sportovištích... to všechno jsou místa pod kontrolou útočníka.

Výtečná je naopak rada používat „bezpečnostní obálky s pečetí“. Tím se myslí tamper-evident obaly. Tedy takové, u nichž je prakticky nemožné je otevřít, aniž by to bylo zřetelně poznat. Tato rada má ovšem dva háčky. Tím prvním je, že pro běžného uživatele jsou tyto obálky prakticky nedostupné (neprodávají se běžně v maloobchodě) a jejich amatérské nápodoby (běžná obálka s podpisem atd.) jsou neúčinné.

Zde je opět příležitost pro Český olympijský výbor, který by měl jako minimální pomoc tyto obálky v dostatečném množství nakoupit a účastníkům her rozdat. A také by je měl o správném použití těchto obálek poučit. Jsou jednorázové, a tudíž jich účastník musí mít dostatečné množství a zařízení musí do obálky zavřít pokaždé, když jej má mimo kontrolu. Je nutné zkontrolovat, že obálka není porušená, ale zejména že to je tatáž konkrétní obálka, ne jiná ze zásob. Mívají unikátní sériová čísla, takže lze identitu zkontrolovat.