Diskusní fórum webu fotobanky.cz

Přeinstalovával jsem teď jedné známé notebook a protože mi k tomu nedala dostatek informací (hesla a tak), poradil jsem si jinými prostředky. A byl jsem až překvapený, co všechno se dá z cizího počítače vytáhnout, věci které si člověk jinak myslí že jsou dobře chráněné. Přihlašovací hesla Windows, sériová čísla nainstalovaných programů, wifi hesla, emailová hesla. Útočník kdyby chtěl tak pokračuje prohledáním emailů, smazaných souborů, fragmentů swapovacích souborů, cache. A najde úplně všechno co potřebuje, vždy se dají najít slabá místa. Tak moc nevím k čemu se vlastně tak chráníme, když všechno to je jen ztížení podmínek, ale žádná ochrana není zaručená. K čemu jsou "neprolomitelné" šifrovací klíče, když se najde dostatek jiných slabých míst, kterými se dá proniknout. Jediná ochrana je, že nejsme dostatečně zajímaví, aby si s tím někdo dal práci. Ale raději si budu dávat na notebook při cestování větší pozor.

Na Fotolii (i Pond5) nemusíš přes www, používá pro FTP jiné heslo a je tedy bezpečná. Na Pond5, VideoHive, DepositPhotos, iStock a VIdeoBlocks se dají nahrávat videa přes www. U většiny fotobank by hacknutí nebyla až tak velká tragédie. Nejkritičtější je tedy hlavně ShutterStock.

Vektory už nahrávam prakticky skoro všade cez web. Snáď ešte na Fotoliu a DepositPhotos dávam cez FTP, ale ani tam mi nečiní žiadnu potiaž začať nahrávať cez web. Horšie to bude s videami. Niektoré fotobanky nedovoľujú nahrávať videá cez web, takže tam to bude cez FTP hodne riskantné.

K používání hesel na fotobanky - tak tohle je teda docela nepříjemné. Při FTP spojení se login přenáší textově a je odchytitelný (pokud se útočník napíchne na cestu paketů). Běžně fotobanky používají stejná hesla pro login i pro FTP, jenom Fotolia a Pond5 mají jiná hesla a jsou tedy bezpečné. Napravil by to zabezpečený FTPS, ale ten podporuje jenom Pond5.

Tak to by tedy byl další důvod proč raději používat odesílání obrázků přes web než přes ftp. A při přihlašování na fotobanky si zkontrolovat, zda se loguje přes https: a ne http:. A také StockSubmitter je potřeba zkontrolovat, zda používá https: adresu a ne http:, protože tam by byl login zachytitelný.

Tak nevím zda to je jen zbytečná paranoia, nebo zda opravdu hrozí zvýšené riziko napadnutí účtu. Prý u serverů se stává, že se tam prolomí odchytáváním FTP hesel (sniffing, program např. Ethereal nebo specializované programy jako FTPPasswordSniffer).

Na microstockgroup se o tom také zmiňují a doporučují proto nahrávat raději přes zabezpečené webové rozhraní https než přes ftp.

Stále ještě jsem řešil hesla na účty, po zdejší inspiraci. Nemá moc výhodu používat dlouhá zapamatovatelná hesla, protože se toho musí hodně psát a to brzy přestane bavit. Takže jedině vygenerovaná hesla, ale bez ručního zápisu a bez pamatování, tak pak už na délce nezáleží. Přenášení clipboardem ze zaheslovaného TXT sice jde, ale i to je otravné.

Zkoušel jsem tedy různé password manažery a skončil jsem u [url=https://www.stickypassword.com/cs/]StickyPassword[/url], který mi zatím jede dobře (např. doporučovaný LastPass mi přišel velmi nepraktický). V základní verzi je zdarma, placená Premium verze umožňuje navíc synchronizaci více zařízení přes cloud. K základní verzi se dostane 1 měsíc Premium verze zdarma - tedy nadefinujete si hesla, přes cloud si je přenesete i do jiných zařízeních a pak už se stejně bez synchronizace obejdete, stačí pak už jen základní verze.

V Chrome je vhodné vypnout "Nabízet uložení hesel" (a příp. vymazat už uložená hesla), o ukládání hesel se bude starat StickyPassword. Stačí jen jednou po startu počítače zadat jedno master heslo, které si jako jediné budete pamatovat, tím se program odemkne a pak už bude hesla vyplňovat za vás.

Když budete měnit hesla ve fotobankách, doporučuji dlouhá hesla z [url=http://passwordsgenerator.net/]generátoru[/url], zapisovat si je do textového souboru, k souboru přibalit nějaký náhodný soubor veliký několik MB (aby se znesnadnilo dešifrování) a celek sbalit WinRarem s heslem (zapnout i volbu pro zašifrování jmen souborů). Použít stejné master heslo jako u StickyPassword, které si budete pamatovat. Rar s hesly potom zazálohovat na více míst, hesla tam budou bezpečně chráněná.

Pokud chcete soubor TXT s hesly často otvírat, je potřeba zajistit i smazání po ukončení. Nejjednodušší je sbalit WinRarem do zaheslovaného EXE spolu s povelovým souborem, který zajistí otevření textu a pak i jeho smazání. Příklad, v mém balíku jsou soubory: hesla.txt, balast.mp4 a psw.cmd. Balast je nějaké video 14 MB. Obsah psw.cmd:

@echo off
del balast.mp4
notepad hesla.txt
del hesla.txt
del PSW.cmd

Všechny 3 soubory se sbalí s WinRar s nastaveným master heslem (zapnuto "šifrovat jména souborů"), se zapnutou volbou "Vytvořit samorozbalovací (SFX) archiv" a s nastaveným komentářem (což jsou parametry pro rozbalení):

Setup=psw.cmd
Silent=1

Na výsledný balík psw.exe se odkážete zástupcem na ploše. Pak stačí odkliknout zástupce, zadá se master heslo a automaticky se otevře soubor hesel v Poznámkovém bloku, odkud hesla přenáším clipboardem. Po zavření textu se všechno automaticky zase vymaže. Jistější by bylo soubor hesel odmazat neobnovitelně (wiper), ale předpokládám že po odcizení notebooku stejně všude urychleně změním hesla, než by se k tomu zloděj nějak dopátral.

Jak při použití StickyPassword, tak i při ručním zadávání hesel, zbývá ještě k řešení, že session stránek se uchovává v cookies. Tedy - nepovolaná osoba se po zapnutí počítače dostane na účty i bez přihlášení. Zřejmě nebudeme pamatovat na to se pokaždé všude odhlašovat. Nejschůdnější možnost je v nastavení Chrome zapnout, aby se po zavření prohlížeče (tedy jeho posledního okna) smazaly i všechny cookies - volba "Nastavení" / "Ochrana soukromí" / "Nastavení obsahu" / "Uchovávat místní údaje jen do zavření prohlížeče". Pokud by u nějaké stránky chybělo trvalé uchování cookies, dá se ve výjimkách nastavit trvalé povolení cookies pro danou stránku.

Nebo postupovat obráceně - povolit cookies globálně trvale a do výjimek dát seznam adres stránek, u kterých se zvolí "Smazat při ukončení". Je potřeba přesně dodržet tvar adresy, někdy musí být s www jindy bez. Např. u GraphicRiver je nutné zadat 2 adresy (samostatně).

123RF: 123rf.com
ArtPal: www.artpal.com
BigStockPhoto: bigstockphoto.com
Breatharian: breatharian.eu
CanStockPhoto: www.canstockphoto.com
ColourBox: www.colourbox.com
ČSOB: ib24.csob.cz
DepositPhotos:. depositphotos.com
DreamsTime: dreamstime.com
ESP: espaws.com
Facebook: facebook.com
FineArtAmerica: fineartamerica.com
Fotobanky: forum.fotobanky.cz
Fotolia: fotolia.com
Google+: google.cz
GraphicRiver: account.envato.com, graphicriver.net
iStock: istockphoto.com
Paypal: paypal.com
PhotoDune: account.envato.com, photodune.net
Pinterest: pinterest.com
Pixta: pixtastock.com
Pond5: www.pond5.com
Seznam: seznam.cz
ShutterStock: submit.shutterstock.com
TurboSquid: turbosquid.com
Twitter: twitter.com
VectorStock: vectorstock.com
VideoBlocks: contribute.videoblocks.com
VideoHive: account.envato.com, videohive.net
Wedos: wedos.com

[quote="shalom3"]Tím by se sice určitě něco vyřešilo, ale co ta hesla z haknutých databází? Tam je problém, že hodně lidí si hesla nemění a používá je všude.[/quote]
no, my češi máme výhodu v tom, že můžeme používat čárky, háčky nebo kroužky nad písmenama a sice se dá nastavit jiný jazyk klávesnice (dotykové i té klasické), ale už je to zdržení. a pak taky je dobré mít heslo, které se jen tak nezapamatuje (jazykolam, střídání čísel a písmen) a hlavně nepřipomíná naše narození, bydliště, atp. 8-) A taky by určitě pomohl zákaz vkládání hesel, jak pomocí myši tak klávesnice, přeci jenom než někdo napíše třeba nejkulaťoulinkatější, na cizí klávesnici, tak ho omejou :lol: .

Tím by se sice určitě něco vyřešilo, ale co ta hesla z haknutých databází? Tam je problém, že hodně lidí si hesla nemění a používá je všude.

[quote="Juraj"]Ak idú po slabých heslách, tak sa ani nemusely nabúrať konkrétne tebe do pc, ale skúšajú sa rovno prihlásiť, neviem či fotobanky majú ošetrené opakované pokúšanie sa o prihlásenie?[/quote]
Ochrana proti nabourání hesla "hrubou silou" - tedy zkoušení všech kombinací znaků - je tak jednoduchá, že bych to snad naprogramoval i já ;-) Stačí zadat nějaký čekací čas (třeba 5 sekund) po neúspěšném přihlášení do dalšího přihlášení. A z dvou měsíců na prolomení hesla se stane rázem několik desítek tisíc let :-) A z toho také plyne, že čím je heslo delší, tím je bezpečnější (hackovací programy začínají od kombinací tří čtyř nebo pěti znaků a pak, až vyčerpají všechny kombinace, tak přidávají počet znaků). Mnohem lepší je tedy heslo skakalpespresoves než e5*8R1...

Něco pro odlehčení na dnešní den

https://www.novinky.cz/internet-a-pc/bezpecnost/405841-sef-facebooku-hackerum-usnadnil-praci-na-socialnich-sitich-pouzival-primitivni-heslo.html

Ak idú po slabých heslách, tak sa ani nemusely nabúrať konkrétne tebe do pc, ale skúšajú sa rovno prihlásiť, neviem či fotobanky majú ošetrené opakované pokúšanie sa o prihlásenie?