De ce nu e bine să amâni actualizările de software

Fereastra apare, ca de obicei, în cel mai nepotrivit moment: „Este disponibilă o actualizare. Reporniți acum?”. Apeși „mai târziu”, apoi încă o dată, apoi încă o dată. Telefonul, laptopul, browserul, aplicația de portofel, routerul de acasă au, toate, actualizări care așteaptă. Pentru mulți utilizatori, actualizările sunt o corvoadă: durează, schimbă interfața cu care erai obișnuit și, uneori, par să nu aducă nimic nou.

În realitate, amânarea actualizărilor este unul dintre cele mai comune și mai riscante obiceiuri digitale. Multe dintre atacurile informatice reușite nu folosesc tehnici sofisticate, ci vulnerabilități cunoscute de mult, pentru care exista deja o reparație, dar pe care victima nu a instalat-o. Pentru cei care dețin active digitale, miza este și mai mare. În acest articol explicăm ce conțin, de fapt, actualizările, de ce întârzierea lor te expune, cum le faci în siguranță și cum eviți capcanele, inclusiv falsele actualizări.

Ce conține, de fapt, o actualizare

Nu toate actualizările sunt la fel. Unele aduc funcții noi sau modificări de design, cele mai vizibile pentru utilizator și, adesea, cele mai puțin importante pentru siguranță. Altele repară erori care afectează stabilitatea sau performanța. Cele mai importante, însă, sunt actualizările de securitate, care închid vulnerabilități descoperite în cod, adesea fără ca utilizatorul să observe vreo schimbare.

Software-ul modern este extrem de complex, iar erorile sunt inevitabile. Echipele de dezvoltare, cercetătorii în securitate și, uneori, atacatorii le descoperă continuu. Diferența dintre un sistem sigur și unul vulnerabil nu constă în lipsa totală a erorilor, ci în viteza cu care acestea sunt reparate și în viteza cu care reparațiile ajung pe dispozitivele utilizatorilor. Felul în care echipele adună feedback și îmbunătățesc produsele, descris în articolul despre dezvoltarea software-ului orientată pe utilizator, are sens doar dacă rezultatul ajunge efectiv la oameni.

Notele de lansare, acele texte scurte care însoțesc actualizările, merită măcar parcurse. Când menționează „remedieri de securitate” sau „reparații pentru vulnerabilități”, actualizarea ar trebui instalată cât mai repede.

De ce amânarea te expune mai mult decât crezi

Momentul în care o actualizare de securitate este publicată este, paradoxal, și momentul în care riscul pentru cei care nu o instalează crește. Reparația arată, indirect, unde se afla problema. Atacatorii pot analiza modificările și pot construi rapid metode de exploatare pentru dispozitivele rămase neactualizate. Vulnerabilitatea, care înainte era cunoscută de puțini, devine publică.

Cu alte cuvinte, fiecare zi de amânare după publicarea unei reparații este o zi în care ești expus la o problemă cunoscută, pentru care există deja instrumente de atac. Atacatorii nu au nevoie să te vizeze personal: scanările automate caută continuu dispozitive și aplicații vulnerabile, la scară largă.

Pentru deținătorii de criptomonede, consecințele pot fi grave. Un browser neactualizat poate permite unui site rău intenționat să acceseze date din alte file sau extensii. Un sistem de operare vulnerabil poate permite instalarea unui program care înlocuiește adresele copiate în clipboard cu adresa atacatorului. O aplicație de portofel veche poate avea erori în felul în care afișează sau semnează tranzacțiile. Iar tranzacțiile pe blockchain, odată confirmate, nu pot fi anulate.

Ce trebuie ținut mereu la zi

Nu e nevoie să tratezi fiecare aplicație cu aceeași urgență, dar câteva categorii sunt critice:

• Sistemul de operare al calculatorului și al telefonului, fundația pe care rulează totul.
• Browserul și extensiile lui, poarta principală spre internet și, adesea, spre aplicațiile descentralizate.
• Aplicațiile de portofel, inclusiv programele care comunică cu portofelele hardware.
• Firmware-ul portofelelor hardware, actualizat doar prin aplicația oficială a producătorului.
• Routerul de acasă, uitat adesea ani la rând, deși prin el trece tot traficul tău.
• Aplicațiile de mesagerie și de e-mail, folosite frecvent ca vector pentru linkuri și fișiere periculoase.
• Programele de securitate, ale căror baze de date trebuie să fie actuale pentru a fi utile.

Merită să faci, din când în când, și un inventar al aplicațiilor instalate. Programele pe care nu le mai folosești, dar care rămân pe dispozitiv, se actualizează adesea mai rar și pot deveni puncte slabe. Dezinstalarea lor este cea mai simplă formă de securitate.

Cum actualizezi în siguranță

Actualizările sunt, în imensa majoritate a cazurilor, sigure și benefice. Câteva obiceiuri reduc însă și riscurile mici pe care le pot aduce:

1. Folosește doar canalele oficiale. Actualizează din setările sistemului, din magazinul oficial de aplicații sau din aplicația producătorului, nu din linkuri primite pe e-mail sau din ferestre apărute pe site-uri.
2. Fă un backup înainte de actualizările majore. Mai ales pentru sistemul de operare sau pentru firmware. Ghidul nostru despre soluțiile de backup pentru datele personale și de afaceri te poate ajuta să-ți organizezi copiile.
3. Asigură-te că ai fraza de recuperare înainte de a actualiza o aplicație de portofel sau firmware-ul unui portofel hardware. Nu ar trebui să ai nevoie de ea, dar e bine să știi că o ai.
4. Nu întrerupe procesul. Lasă dispozitivul conectat la priză și nu-l opri în timpul actualizării, mai ales la firmware.
5. Verifică funcționarea după actualizare. Deschide aplicațiile importante și asigură-te că totul arată normal.

Activarea actualizărilor automate este, pentru majoritatea utilizatorilor, cea mai bună alegere. Ea elimină factorul uman, adică uitarea și amânarea, din ecuație. Pentru firme sau pentru sisteme critice, unde o actualizare problematică ar putea opri activitatea, se poate folosi o abordare etapizată: actualizările se testează mai întâi pe câteva dispozitive și apoi se aplică pe toate.

Atenție la falsele actualizări

Atacatorii știu că oamenii sunt obișnuiți să vadă mesaje despre actualizări și folosesc acest reflex. O fereastră care apare pe un site și anunță că „browserul tău este învechit” sau că „portofelul tău necesită o actualizare urgentă”, cu un buton de descărcare, este aproape întotdeauna o capcană. La fel, e-mailurile care par să vină de la producătorul portofelului și îți cer să instalezi o versiune nouă dintr-un link.

Regula simplă este aceasta: actualizările reale vin din setările dispozitivului, din magazinul oficial de aplicații sau din aplicația producătorului, deschisă de tine. Niciodată din ferestre apărute pe site-uri și niciodată din linkuri primite. Iar o actualizare reală de portofel nu îți va cere în niciun caz să introduci fraza de recuperare.

Fii atent și la software-ul ajuns la sfârșitul ciclului de viață. Sistemele de operare și aplicațiile pentru care producătorul nu mai oferă actualizări de securitate devin, în timp, tot mai vulnerabile. Dacă dispozitivul tău nu mai primește actualizări, nu-l mai folosi pentru operațiuni sensibile, cum ar fi gestionarea criptomonedelor sau accesul la contul bancar. Proiectele cu cod deschis pot rămâne întreținute mai mult timp datorită comunității, un aspect discutat și în articolul despre diferențele dintre software-ul open source și cel comercial.

Actualizările într-o firmă sau într-o echipă

Într-o firmă, problema actualizărilor se multiplică. Fiecare angajat are cel puțin un calculator și un telefon, iar fiecare dispozitiv neactualizat devine o posibilă intrare în rețeaua companiei. Un singur laptop vulnerabil, folosit pentru a accesa e-mailul firmei sau contul unei platforme de plăți, poate pune în pericol datele tuturor.

De aceea, actualizările nu ar trebui lăsate exclusiv la latitudinea fiecărui angajat. Câteva practici simple ajută chiar și o firmă mică:

• o listă actualizată a tuturor dispozitivelor și a programelor folosite în firmă;
• o persoană responsabilă, internă sau externă, care urmărește actualizările importante;
• actualizări automate activate pe toate dispozitivele unde este posibil;
• o regulă clară pentru dispozitivele personale folosite în scop de serviciu;
• înlocuirea planificată a echipamentelor care nu mai primesc actualizări de securitate.

Pentru firmele care gestionează active digitale, aceste reguli devin parte din securitatea operațională de bază, alături de controlul accesului, autentificarea în doi pași și copiile de siguranță. Costul lor este mic în comparație cu pagubele pe care le poate produce o singură breșă.

Întrebări frecvente

Pot amâna o actualizare dacă sunt în mijlocul unei activități importante?

Da, câteva ore sau o zi nu fac, de obicei, o diferență mare. Problema apare când amânarea devine obicei și se întinde pe săptămâni sau luni. Programează actualizările pentru un moment liniștit, de exemplu seara, dar nu le ignora.

Ce fac dacă o actualizare a stricat ceva?

Verifică întâi canalele oficiale ale producătorului, unde problemele cunoscute și soluțiile sunt de obicei anunțate rapid. Evită să instalezi versiuni vechi din surse neoficiale, care pot fi modificate.

Actualizările automate sunt sigure pentru portofelele cripto?

Pentru aplicațiile instalate din magazinele oficiale, în general da. Firmware-ul portofelelor hardware se actualizează însă manual, prin aplicația oficială, iar înainte de fiecare actualizare merită să te asiguri că ai fraza de recuperare la îndemână.

Actualizările nu sunt o corvoadă inventată de producători, ci una dintre cele mai eficiente și mai ieftine forme de protecție pe care le ai la dispoziție. Cu actualizări automate activate, cu atenție la sursele oficiale și cu câteva obiceiuri simple, cum ar fi backupul înaintea schimbărilor majore, îți reduci enorm expunerea la atacuri. Iar data viitoare când apare fereastra cu „reporniți acum?”, amintește-ți că cele câteva minute de așteptare pot fi tot ce te separă de o vulnerabilitate deja cunoscută de atacatori.

Foto: UMA media / Pexels