Zabezpečení
Bezpečí Vašich dat nebereme na lehkou váhu, proto vyvíjíme v této oblasti maximální úsilí. Může se tak snadno stát, že u nás budou Vaše data ve větším bezpečí než na Vašem počítači. Pro útočníka je první (a značnou) částí problému zjistit, jakým způsobem jsou data chráněna, z toho důvodu jsou v tomto článku zcela záměrně vynechány nejen některé podrobnosti, ale i celé použité metody zabezpečení.
Zabezpečení serveru
Aplikace běží na vyhrazeném Linuxovém serveru, obsahujícím pouze nutné minimum pravidelně aktualizovaných aplikací. Tím se minimalizuje riziko napadnutí serveru pomocí bezpečnostní chyby v některé z používaných, či současně provozovaných aplikací. Útokům „zevnitř“ (úniky dat způsobené lidmi podílejícími se na provozu projektu) předcházíme tím, že k serveru mají přístup pouze 2 lidé. Na serveru je také používáno několik zabezpečovacích aplikaci jako např. firewall. Možná Vám toto vše připadá jako běžné a samozřejmé, praxe na českém internetu je bohužel jiná.
Zabezpečení integrity dat
Vaše data jsou pravidelně zálohována na několik různých lokací. K zálohování je používána šifrovaná komunikace a i samotné zálohy jsou zašifrované, takže riziko jejich znežití téměř neexistuje. V případě pádu serveru nepřijdete o svá data a provoz aplikace bude pravděpodobně obnoven během několika hodin.
Zabezpečení komunikace
Komunikace standardně probíhá pomocí protokolu HTTPS, který prakticky znemožňuje zjištění skutečného obsahu případně odposlechnutých dat. Pro zašifrování dat se využívá principu veřejného a soukromého klíče. Kromě toho protokol SSL zajistí ověření identity serveru a ochrání Vás před jeho podvržením. Pokud máte ve webovém prohlížeči adresu začínající na https://www.fakturyonline.eu/, máte jistotu, že komunikujete s naším serverem. Neochrání Vás ale před tzv. phisingem, tj. podobně nebo stejně vypadající stránka na jiné adrese, jejímž cílem je získat Vaše údaje. Šance zabránit těmto útokům je z naší strany minimální, ale stačí vždy zkontrolovat webovou adresu.
Zamezení neoprávněného přístupu
Pravděpodobně nejslabší článek zabezpečení, ale i zde bylo z naší strany uděláno maximum. Neoprávněným přístupem je myšleno zneužití Vašich přihlašovacích údajů. Někdo je může zahlédnout při Vašem přihlášování nebo je prostě uhádnout. Zatímco u všech výše uvedených metod se možnost jejich překonání pohybuje spíše teoretické rovině, zjištění Vašich přihlašovacích údajů je při nevhodně zvoleném heslu nebo neopatrném používání zcela reálné.
Počet pokusů o přihlášení je omezen na 10 za 10 minut na jednu IP adresu a dlouhodobě problémové adresy jsou blokovány trvale. Toto omezením značným způsobem riziko úspěšného útoku snižuje, ale nedokáže ho zcela eliminovat.
Přihlašovací údaje se skládají z IČ a hesla. Pokud útočník IČ nezná, je šance, že správně odhadne IČ registrovaného uživatele i jeho heslo absolutně mizivá. Pokud ale někdo zcela cíleně útočí na Váš účet, pravděpodobně už IČ zná. A pokud patříte mezi 30% lidí, která používají velmi jednoduchá a oblíbená hesla (kterých je jen několik stovek), je reálné pomocí několika IP adres uskutečnit dostatek pokusů, aby se mu Vaše heslo padařilo uhádnout. Dalšími bezpečnostními riziky je používání stejného hesla na více službách (některé aplikace stále ukládají hesla v nešifrované podobě, takže ho může zjistit a zneužít jak majitel služby, tak případný útočník) a tzv. sociální inženýrství (někdo z Vašeho okolí může Vaše uhodnout Vaše heslo, pokud např. použijete jméno Vašeho psa).
Pokud ovšem používáte bezpečné heslo, vrací se riziko jeho odhalení do teoretické roviny.
Jak zvolit bezpečné heslo?
Bezpečné heslo nemusí nutně být 20 náhodných znaků, protože pak si jej budete muset pravděpodobně někam poznamenat, takže výsledek bude značně kontraproduktivní. K získání bezpečného hesla stačí si zvolit nějaké dobře zapamatovatelné slovo či frázi a přidat pár čísel, písmenko vynechat nebo naopak přidat, použít malá i velká písmena. Ideální je tyto metody zkombinovat. Nebo si můžete vymyslet nějaké nesmyslné, ale vyslovitelné slovo, které se snadno zapamatuje. Vaším cílem je vymyslet takové heslo, aby bylo pokud možno unikátní a nevyskytovalo se tak v žádném seznamu bežně používaných hesel. Takovéto heslo lze považovat za bezpečné. Taková hesla minimalizují i šanci přečtení hesla z klávesnice při zadávání, protože cizím osobám nebudou dávat smysl a snadno se spletou. Přesto je vhodné ho jednou za čas změnit.