S3 Ep108: החבאת שלושה מיליארד דולר בפח פופקורן?

לחץ וגרור על גלי הקול למטה כדי לדלג לכל נקודה. אתה יכול גם להקשיב ישירות בסאונדקלאוד.

DOUG.  הונאות בטוויטר, Patch Tuesday, ופושעים פורצים לעבריינים.

כל זה ועוד בפודקאסט הביטחון העירום.

[מודם מוזיקלי]

ברוכים הבאים לפודקאסט, כולם.

אני דאג.

הוא פול דאקלין.

פול, מה שלומך היום?

---

ברווז.  טוב מאוד, דאג.

לא היה לנו ליקוי ירח כאן באנגליה, אבל כן קיבלתי הצצה קצרה לירח המלא* דרך פער זעיר בעננים שהופיע כחור היחיד בכל שכבת העננים ברגע שיצאתי החוצה. תסתכל!

אבל לא היה לנו את הירח הכתום הזה כמו לכם במסצ'וסטס.

---

DOUG.  בואו נתחיל את ההצגה עם השבוע בהיסטוריה הטכנולוגית... זה הולך הרבה אחורה.

השבוע, ב-08 בנובמבר 1895, נתקל פרופסור לפיזיקה גרמני וילהלם רנטגן בצורת קרינה שטרם התגלתה, מה שגרם לו להתייחס לקרינה האמורה כאל "X".

כמו ברנטגן.

מה דעתך על זה... הגילוי בשוגג של קרני רנטגן?

---

ברווז.  די מדהים.

אני זוכר שאמא שלי אמרה לי: בשנות החמישים (בטח היה אותו הדבר בארצות הברית), כנראה, בחנויות נעליים...

---

DOUG.  [יודע מה קורה] כן! [צוחק]

---

ברווז.  אנשים היו לוקחים את הילדים שלהם... היית עומד במכונה הזו, נועל את הנעליים ובמקום פשוט לומר, "תסתובב, האם הם צמודים? האם הם צובטים?", עמדת במכשיר רנטגן, שפשוט רחצה אותך בקרינת רנטגן וצילמת תמונה בשידור חי ואמרת, "אה כן, הם בגודל הנכון".

---

DOUG.  כן, זמנים פשוטים יותר. קצת מסוכן, אבל...

---

ברווז.  קצת מסוכן?

האם אתה יכול לדמיין את האנשים שעבדו בחנויות הנעליים?

הם בטח התרחצו בקרני רנטגן כל הזמן.

---

DOUG.  בהחלט... ובכן, אנחנו קצת יותר בטוחים היום.

ובנושא הבטיחות, יום שלישי הראשון של החודש הוא ה-Patch Tuesday של מיקרוסופט.

So מה למדנו התיקון הזה כאן בנובמבר 2022?

החלפה של 0 ימים קבועה (סוף סוף) - בתוספת 4 תיקון חדש לגמרי של יום שלישי 0-ימים!

---

ברווז.  ובכן, הדבר הסופר מרגש, דאג, הוא שמבחינה טכנית תיקן Patch Tuesday לא אחד, לא שניים, לא שלושה... אלא *ארבעה* ימים אפס.

אבל למעשה התיקונים שאתה יכול לקבל למוצרי מיקרוסופט ביום שלישי תיקנו *שישה* ימי אפס.

זכור את ימי האפס של Exchange אשר כידוע לא תוקן ביום שלישי האחרון: CVE-2002-41040 ו-CVE-2022-41082, מה שנודע בשם ProxyNotShell?

S3 Ep102.5: באגים החלפת "ProxyNotShell" - מומחה מדבר [אודיו + טקסט]

ובכן, אלה אכן תוקנו, אבל בעצם "קו צד" נפרד ל-Patch Tuesday: Exchange November 2022 SU, או Software Update, שפשוט אומר:

עדכוני התוכנה של Exchange נובמבר 2022 מכילים תיקונים לפגיעויות של יום אפס שדווחו בפומבי ב-29 בספטמבר 2022.

כל מה שאתה צריך לעשות הוא לשדרג את Exchange.

בחיי, תודה למיקרוסופט... אני חושב שידענו שזה מה שנצטרך לעשות כשהתיקונים סוף סוף יצאו!

אז, הם *בחוץ* ויש שני אפס-ימים קבועים, אבל הם לא חדשים, והם לא נמצאים מבחינה טכנית בחלק של "טלאי שלישי".

שם, יש לנו עוד ארבעה ימי אפס קבועים.

ואם אתה מאמין בתעדוף טלאים, אז ברור שאלו הם אלה שאתה רוצה להתמודד איתם קודם, כי מישהו כבר יודע איך לעשות איתם דברים רעים.

אלה נעים בין מעקף אבטחה, לשתי העלאות הרשאות וביצוע קוד מרחוק אחד.

אבל יש יותר מ 60 טלאים בסך הכל, ואם אתה מסתכל על הרשימה הכוללת של מוצרים ורכיבי Windows שהושפעו, יש רשימה עצומה, כרגיל, שמכילה כל רכיב/מוצר של Windows ששמעת עליו, והרבה בטח שלא.

מיקרוסופט מתקנת 62 פגיעויות, כולל Kerberos, ו-Mark of the Web, ו-Exchange...

אז כמו תמיד: אל תתמהמה / עשה זאת היום, דאגלס!

---

DOUG.  טוב מאוד.

בואו נדבר עכשיו על עיכוב לא קטן...

יש לך סיפור מאוד מעניין על שוק הסמים של דרך המשי, ותזכורת שפושעים לגנוב מפושעים זה עדיין פשע, גם אם זה כעשר שנים אחר כך שאתה באמת נתפס על כך.

האקר של שוק הסמים של דרך המשי מודה באשמה, עומד בפני 20 שנה בפנים

---

ברווז.  כן, אפילו אנשים שהם די חדשים באבטחת סייבר או בכניסה לאינטרנט, כנראה שמעו על "דרך המשי", אולי השוק הראשון, הידוע, הגדול, הנפוץ והנפוץ, שבו בעצם הכל הולך.

אז כל זה עלה בלהבות ב-2013.

כי המייסד, ידוע במקור רק בשם מפחד הפיראט רוברטs, אבל בסופו של דבר התגלה להיות רוס אולבריכט... אבטחתו המבצעית הגרועה הספיקה כדי לקשור את הפעילויות אליו.

מייסד דרך המשי, רוס אולבריכט, מקבל חיים ללא שחרור על תנאי

לא רק שהאבטחה התפעולית שלו לא הייתה טובה במיוחד, נראה שבסוף 2012 הייתה להם (אתה מאמין, דאג?) טעות בעיבוד תשלומים במטבעות קריפטוגרפיים...

---

DOUG.  [מתנשפים באימה מדומה]

---

ברווז.  ...מהסוג שראינו חזר על עצמו פעמים רבות מאז, שהסתובב לא ממש עשה חשבונאות כפולה, כאשר לכל חיוב יש זיכוי מתאים ולהיפך.

והתוקף הזה גילה, אם אתה מכניס קצת כסף לחשבון שלך ואז מהר מאוד משלם אותו לחשבונות אחרים, שאתה באמת יכול לשלם חמש פעמים (או אפילו יותר) את אותם הביטקוינים לפני שהמערכת הבינה שהחיוב הראשון הסתיים דרך.

אז בעצם אתה יכול לשים קצת כסף ואז פשוט למשוך אותו שוב ושוב ושוב, ולקבל מחסן גדול יותר...

...ואז אתה יכול לחזור למה שאתה יכול לכנות "לולאת חליבה של מטבעות קריפטוגרפיים".

וההערכה היא... החוקרים לא היו בטוחים, שהוא התחיל עם בין 200 ל-2000 ביטקוין משלו (אם הוא קנה אותם או כרה אותם, אנחנו לא יודעים), והוא מאוד מאוד מהר הפך אותם ל... חכה לזה, דאג: 50,0000 ביטקוין!

---

DOUG.  וואו!

---

ברווז.  יותר מ-50,000 ביטקוין, סתם כך.

ואז, ברור שחשב שמישהו ישים לב, הוא חתך וברח בזמן שהיה לפניו עם 50,000 ביטקוין...

...כל אחד שווה $12 מדהים, עלייה משברירי סנט רק כמה שנים קודם לכן. [צוחק]

אז הוא הסתדר עם 600,000 דולר, בדיוק ככה, דאג.

[הפסקה דרמטית]

תשע שנים מאוחר יותר…

[צחוק]

...כמעט *בדיוק* תשע שנים מאוחר יותר, כשהוא נתקע ופשטו על ביתו במסגרת צו, השוטרים עברו לחפש ומצאו ערימת שמיכות בארון שלו, שמתחתיה הסתתרה פח פופקורן.

מקום מוזר לשמור את הפופקורן שלך.

בתוכו היה מעין ארנק קר ממוחשב.

בתוכם היו חלק גדול מהביטקוינים האמורים!

בזמן שהוא נתקע, ביטקוין היו משהו מצפון ל-65,535 דולר (או 2¹⁶-1) כל אחד.

הם עלו הרבה יותר מפי אלף בזמן הביניים.

אז, בזמנו, זה היה פסל ה-cryptocoin הגדול ביותר אי פעם!

תשע שנים מאוחר יותר, לאחר שככל הנראה לא הצליח להיפטר מהרווחים שהושגו, אולי פחד שגם אם ינסה לדחוף אותם לכוס, כל האצבעות יפנו אליו...

...היו לו את כל הביטקוינים האלה בשווי 3 מיליארד דולר שישבו בפח פופקורן כבר תשע שנים!

---

DOUG.  אלוהים אדירים.

---

ברווז.  אז, לאחר שישב על האוצר המפחיד הזה במשך כל אותן שנים, תהה אם הוא עומד להיתפס, עכשיו הוא נותר תוהה, "לכמה זמן אכנס לכלא?"

והעונש המרבי לאישום העומד בפניו?

20 שנה, דאג.

---

DOUG.  עוד סיפור מעניין שמתרחש עכשיו. אם היית בטוויטר לאחרונה, תדע שיש הרבה פעילות. להגיד את זה בצורה דיפלומטית...

---

ברווז.  [איכות נמוכה עד בינונית התחזות בוב דילן] ובכן, הזמנים משתנים.

---

DOUG.  ...כולל בשלב מסוים הרעיון לגבות 20 דולר עבור צ'ק כחול מאומת, אשר, כמובן, כמעט מיד עורר כמה הונאות.

הונאות דוא"ל של Twitter Blue Badge - אל תיפול עליהן!

---

ברווז.  זו רק תזכורת, דאג, שבכל פעם שיש משהו שמשך עניין רב, הנוכלים בוודאי ילכו בעקבותיו.

והנחת היסוד של זה הייתה, "היי, למה לא להיכנס מוקדם? אם כבר יש לך סימן כחול, נחשו מה? לא תצטרך לשלם את $19.99 לחודש אם תירשם מראש. אנחנו ניתן לך לשמור את זה."

אנחנו יודעים שזה לא היה הרעיון של אילון מאסק, כפי שהוא אמר זאת, אבל זה מסוג הדברים שעסקים רבים עושים, לא?

הרבה חברות יעניקו לך איזושהי הטבה אם תישאר עם השירות.

אז זה לא לגמרי לא ייאמן.

כמו שאתה אומר... מה נתת לו?

ב-מינוס, נכון?

---

DOUG.  אני נותן לדוא"ל הראשוני B-מינוס... אולי תרמה אותך אם תקרא אותו במהירות, אבל יש כמה בעיות דקדוק; דברים לא מרגישים נכון.

ואז ברגע שתלחץ, הייתי נותן לדפי הנחיתה C-מינוס.

זה נהיה אפילו יותר מסובך.

---

ברווז.  זה איפשהו בין 5/10 ל-6/10?

---

DOUG.  כן, בוא נגיד את זה.

ויש לנו כמה עצות, כך שגם אם מדובר בהונאת A פלוס, זה לא משנה כי בכל מקרה תוכל לסכל אותה!

מתחיל מהחביב האישי שלי: השתמש במנהל סיסמאות.

מנהל סיסמאות פותר הרבה בעיות בכל הנוגע להונאות.

---

ברווז.  זה עושה.

למנהל סיסמאות אין שום אינטליגנציה דמוית אנוש שיכולה להיות שולל על ידי העובדה שהתמונה היפה נכונה, או שהלוגו מושלם, או שטופס האינטרנט נמצא בדיוק במיקום הנכון על המסך עם אותו גופן בדיוק , אז אתה מזהה את זה.

כל מה שהוא יודע זה: "מעולם לא שמעתי על האתר הזה לפני כן."

---

DOUG.  ובוודאי, הפעל את 2FA אם אתה יכול.

הוסף תמיד גורם אימות שני, אם אפשר.

---

ברווז.  כמובן, זה לא בהכרח מגן עליך מעצמך.

אם אתה נכנס לאתר מזויף והחלטת, "היי, זה פיקסל מושלם, זה חייב להיות העסקה האמיתית", ואתה נחוש להיכנס, וכבר הכנסת את שם המשתמש והסיסמה שלך, ואז הוא מבקש ממך לעבור את תהליך 2FA...

... סביר מאוד שתעשה את זה.

עם זאת, זה נותן לך קצת זמן לעשות את ה"עצור. לַחשׁוֹב. לְחַבֵּר." דבר, ותגיד לעצמך, "חכה רגע, מה אני עושה כאן?"

אז, במובן מסוים, מעט העיכוב ש-2FA מציג יכול למעשה להיות לא רק טרחה קטנה מאוד, אלא גם דרך לשפר את זרימת העבודה שלך בתחום אבטחת הסייבר... על ידי הצגת מחסום מהירות מספיק שאתה נוטה לקחת אבטחת סייבר קצת יותר ברצינות.

אז אני לא מבין מה החיסרון, באמת.

---

DOUG.  וכמובן, אסטרטגיה נוספת שקשה להרבה אנשים לעמוד בה, אבל היא מאוד יעילה, היא הימנע מקישורי כניסה וכפתורי פעולה בדוא"ל.

אז אם תקבל אימייל, אל תלחץ רק על הכפתור... עבור אל האתר עצמו ותוכל לדעת די מהר אם האימייל הזה היה חוקי או לא.

---

ברווז.  בעיקרון, אם אתה לא יכול לסמוך לגמרי על ההתכתבות הראשונית, אז אתה לא יכול להסתמך על שום פרט בה, בין אם זה הקישור שאתה הולך ללחוץ, מספר הטלפון שאתה הולך להתקשר אליו, כתובת הדוא"ל שאליה אתה הולך. אני הולך ליצור איתם קשר ב-, חשבון האינסטגרם שאליו אתה הולך לשלוח הודעות DM, מה שזה לא יהיה.

אל תשתמש במה שכתוב בדוא"ל... מצא את הדרך שלך לשם, ותתקצר הרבה הונאות מהסוג הזה.

---

DOUG.  ולבסוף, אחרון חביב... זה צריך להיות הגיון בריא, אבל זה לא: לעולם אל תשאל את השולח של הודעה לא בטוחה אם היא לגיטימית.

אל תענה ותגיד, "היי, אתה באמת טוויטר?"

---

ברווז.  כן, אתה די צודק.

כי העצה הקודמת שלי, "אל תסתמך על המידע במייל", כמו אל תתקשר למספר הטלפון שלהם... יש אנשים שמתפתים ללכת, "ובכן, אני אתקשר למספר הטלפון ואראה אם ​​זה באמת האם הם. [אירוני] כי ברור שאם הטבח יענה, הם יתנו את שמם האמיתי."

---

DOUG.  כמו שאנחנו תמיד אומרים: אם יש ספק/אל תמסור אותו.

וזה סיפור אזהרה טוב, הסיפור הבא: כאשר סריקות אבטחה, שהם כלי אבטחה לגיטימיים, לחשוף יותר ממה שהם צריכים, מה קורה אז?

כלים ציבוריים לסריקת כתובות אתרים - כאשר אבטחה מובילה לחוסר ביטחון

---

ברווז.  זהו חוקר ידוע בשם פביאן ברונליין בגרמניה... הצגנו אותו כמה פעמים בעבר.

הוא חזר עם דוח מפורט בשם urlscan.ioנקודת ה-SOAR של: כלי אבטחה פטפטניים מדליפים נתונים פרטיים.

ובמקרה הזה, זה כן urlscan.io, אתר שבו אתה יכול להשתמש בחינם (או כשירות בתשלום) שבו אתה יכול לשלוח כתובת URL, או שם דומיין, או מספר IP, או מה שזה לא יהיה, ותוכל לחפש, "מה הקהילה יודעת על זה?"

וזה יחשוף את כתובת האתר המלאה שאנשים אחרים שאלו עליה.

וזה לא רק דברים שאנשים מעתיקים והדבקים לפי בחירתם.

לפעמים, הדואר האלקטרוני שלהם, למשל, עובר דרך כלי סינון של צד שלישי שמחלץ בעצמו כתובות אתרים, קורא הביתה urlscan.io, מבצע את החיפוש, מקבל את התוצאה ומשתמש בה כדי להחליט אם לספוג זבל, לחסום ספאם או להעביר את ההודעה.

וזה אומר שלפעמים, אם כתובת האתר כללה נתונים סודיים או סודיים למחצה, מידע אישי מזהה, אז אנשים אחרים שבמקרה חיפשו את שם הדומיין הנכון תוך תקופה קצרה לאחר מכן יראו את כל כתובות האתרים שחיפשו, כולל דברים שעשויים להיות בכתובת האתר.

אתה יודע, כאילו blahblah?username=doug&passwordresetcode= ואחריו מחרוזת ארוכה תווים הקסדצימליים, וכן הלאה.

ו-Bräunlein המציא רשימה מרתקת של סוג כתובות האתרים, במיוחד כאלה שעשויות להופיע במיילים, שעשויות להישלח באופן שגרתי לצד שלישי לצורך סינון ולאחר מכן להתאינדקס לצורך חיפוש.

סוג האימיילים שלדעתו בהחלט ניתנים לניצול כללו, אך לא היו מוגבלים ל: קישורים ליצירת חשבון; קישורים למשלוח מתנות של אמזון; מפתחות API; בקשות חתימה של DocuSign; העברות קבצים ב-Dropbox; מעקב אחר חבילות; איפוסי סיסמה; חשבוניות PayPal; שיתוף מסמכים ב-Google Drive; הזמנות SharePoint; קישורים לביטול הרשמה לניוזלטר.

לא מצביע לשם ב-SharePoint, Google Drive, PayPal וכו'.

אלו היו רק דוגמאות של כתובות URL שהוא נתקל בהן שניתן היה לנצל אותן בצורה זו.

---

DOUG.  יש לנו כמה עצות בסוף המאמר, המסתכמת ב: קרא את הדוח של ברונליין; לקרוא urlscan.ioהפוסט בבלוג של; בצע סקירת קוד משלך; אם יש לך קוד שעושה חיפושי אבטחה מקוונים; למד אילו תכונות פרטיות קיימות עבור הגשות מקוונות; וחשוב מכך, למד כיצד לדווח על נתונים סוררים לשירות מקוון אם אתה רואה אותם.

שמתי לב שיש שלושה... סוג של לימריקים?

מיני-שירים יצירתיים מאוד בסוף מאמר זה...

---

ברווז.  [אימה זוועה] לא, הם לא לימריקים! ללימריקים יש מבנה רשמי מאוד של חמש שורות...

---

DOUG.  [צוחק] אני כל כך מצטער. זה נכון!

---

ברווז.  ... גם למטר וגם לחריזה.

מאוד מובנה, דאג!

---

DOUG.  אני כל כך מצטער, כל כך נכון. [צוחק]

---

ברווז.  זה רק דוחק. [צחוק]

שוב פעם: אם יש ספק/אל תמסור אותו.

ואם אתה אוסף נתונים: אם זה לא צריך להיות בפנים/תקע אותו ישר לפח.

ואם אתה כותב קוד שקורא לממשקי API ציבוריים שיכולים לחשוף נתוני לקוחות: לעולם אל תגרום למשתמשים שלך לבכות / לפי איך שאתה קורא ל-API.

---

DOUG.  [צוחק] זה חדש בשבילי, ואני אוהב את זה מאוד!

ואחרון, אבל בהחלט לא פחות חשוב ברשימה שלנו כאן, דיברנו שבוע אחר שבוע על באג האבטחה הזה של OpenSSL.

השאלה הגדולה עכשיו היא "איך אתה יודע מה צריך לתקן?"

סיפור עדכון האבטחה של OpenSSL - איך אתה יכול לדעת מה צריך לתקן?

---

ברווז.  ואכן, דאג, איך אנחנו יודעים איזו גרסה של OpenSSL יש לנו?

וברור שב-Linux אתה פשוט פותח שורת פקודה ומקליד openssl version, והוא אומר לך את הגרסה שיש לך.

אבל OpenSSL היא ספריית תכנות, ואין כלל שאומר שלתוכנה לא יכולה להיות גרסה משלה.

ההפצה שלך עשויה להשתמש ב-OpenSSL 3.0, ובכל זאת יש אפליקציה שאומרת, "הו, לא, לא שדרגנו לגרסה החדשה. אנחנו מעדיפים את OpenSSL 1.1.1, כי זה עדיין נתמך, ובמקרה שאין לך את זה, אנחנו מביאים גרסה משלנו."

ולמרבה הצער, בדיוק כמו במקרה הידוע לשמצה של Log4Shell, היית צריך ללכת לחפש את השלושה? 12? 154? מי-יודע-כמה מקומות ברשת שלך שאולי יש לך תוכנית Log4J מיושנת.

כנ"ל לגבי OpenSSL.

בתיאוריה, ייתכן שכלי XDR או EDR יוכלו לומר לך, אבל חלקם לא יתמכו בכך ורבים ירתיעו זאת: למעשה להפעיל את התוכנית כדי לגלות באיזו גרסה מדובר.

כי אחרי הכל, אם זה הבאגי או הלא נכון, ואתה למעשה צריך להפעיל את התוכנית כדי לגרום לה לדווח על גרסה משלה...

...זה מרגיש כמו לשים את העגלה לפני הסוס, לא?

אז פרסמנו מאמר עבור אותם מקרים מיוחדים שבהם אתה באמת רוצה לטעון את ה-DLL, או את הספרייה המשותפת, ואתה בעצם רוצה לקרוא לשלה TellMeThyVersion() קוד תוכנה.

במילים אחרות, אתה סומך על התוכנית מספיק כדי שתטען לזיכרון, תפעיל אותה ותפעיל רכיב כלשהו שלה.

אנו מראים לך כיצד לעשות זאת כדי שתוכל לוודא לחלוטין שכל קבצי OpenSSL חיצוניים שיש לך ברשת מעודכנים.

כי למרות שזה ירד מקריטי ל-HIGH, זה עדיין באג שאתה צריך ורוצים לתקן!

---

DOUG.  בנושא חומרת הבאג הזה, קיבלנו שאלה מעניינת מקוראת האבטחה העירומה Svet, שכותבת, בין השאר:

איך זה שבאג שהוא מאוד מורכב לניצול, ויכול לשמש רק להתקפות מניעת שירות, ממשיך להיות מסווג כ-HIGH?

---

ברווז.  כן, אני חושב שהוא אמר משהו על, "אה, האם צוות OpenSL לא שמע על CVSS?", שהוא תקן ממשלתי ארה"ב, אם תרצה, לקידוד רמת הסיכון והמורכבות של באגים בצורה שיכולה להיות מסונן אוטומטית על ידי סקריפטים.

אז אם יש לו ציון CVSS נמוך (שזה מערכת ניקוד פגיעות נפוצה), למה אנשים מתלהבים מזה?

למה זה צריך להיות גבוה?

אז התשובה שלי הייתה, "למה *לא צריך* להיות גבוה?"

זה באג במנוע קריפטוגרפי; זה יכול לקרוס תוכנית, נניח, שמנסה לקבל עדכון... אז היא תקרוס שוב ושוב ושוב, וזה קצת יותר מסתם מניעת שירות, כי זה למעשה מונע ממך לבצע את האבטחה שלך כראוי.

יש אלמנט של מעקף אבטחה.

ואני חושב שהחלק השני של התשובה הוא, כשזה מגיע לפגיעויות שהופכות לניצול: "לעולם אל תגיד לעולם!"

כאשר יש לך משהו כמו הצפת מאגר מחסנית, שבה אתה יכול לתפעל משתנים אחרים בערימה, אולי כולל כתובות זיכרון, תמיד יהיה סיכוי שמישהו ימצא ניצול בר ביצוע.

והבעיה, דאג, היא ברגע שהם הבינו את זה, זה לא משנה כמה מסובך זה היה להבין...

... ברגע שאתה יודע איך לנצל את זה, *כל אחד* יכול לעשות את זה, כי אתה יכול למכור להם את הקוד לעשות זאת.

אני חושב שאתה יודע מה אני הולך להגיד: "לא שאני מרגיש חזק לגבי זה."

[צחוק]

זה, שוב, אחד מאותם דברים "ארורים אם הם עושים, ארורים אם הם לא".

---

DOUG.  טוב מאוד, תודה רבה, סווט, על שכתבת את התגובה הזו ושלחת אותה.

אם יש לכם סיפור מעניין, תגובה או שאלה שתרצו לשלוח, נשמח לקרוא אותם בפודקאסט.

אתה יכול לשלוח דוא"ל ל-tips@sophos.com, אתה יכול להגיב על כל אחד מהמאמרים שלנו, או שאתה יכול לפנות אלינו בחברתית: @nakedsecurity.

זו ההופעה שלנו להיום; תודה רבה על ההקשבה.

עבור פול דאקלין, אני דאג אמות', מזכיר לך עד הפעם הבאה...

---

שניהם.  הישאר בטוח!