फ़ायरफ़ॉक्स k- बेनामी विधि का उपयोग कर समझौता पासवर्ड की जाँच करेगा

Habré ने बार-बार उपयोगी सेवा I I Been Pwned (HIBP) का उल्लेख किया, जहां आप सुरक्षित रूप से लीक के लिए अपना पासवर्ड देख सकते हैं। लोग अक्सर कई साइटों पर एक ही पासवर्ड का उपयोग करते हैं, इसलिए इनमें से किसी भी साइट से एक छोटा सा रिसाव अन्य सभी से समझौता करता है, और साथ ही "डिजिटल पहचान" का केंद्र व्यक्ति का मेलबॉक्स है जिसके माध्यम से आप लगभग सभी सेवाओं पर पासवर्ड बदल सकते हैं।

दुर्भाग्य से, HIBP सेवा को आम जनता के लिए बहुत कम जाना जाता है। इसलिए, यह बहुत सुखद है कि मोज़िला डेवलपर्स ने इसे सीधे फ़ायरफ़ॉक्स मॉनिटर सुरक्षा उपकरण के रूप में ब्राउज़र में शामिल करने का फैसला किया ।

फ़ायरफ़ॉक्स मॉनिटर सेवा k-anonymization तकनीक का उपयोग करके उपयोगकर्ता के ईमेल पते को परिवर्तित करती है - और सत्यापन के लिए इसे HIBP को भेजती है।



इस मामले में, k-anonymization का अर्थ है कि ईमेल के पहले छह अक्षर हैशेड (SHA-1) और भेजे गए हैं, और HIBP उन सभी पूर्ण पते के हैश को लौटाता है जो इस तरह के मास्क के अनुरूप हैं। फ़ायरफ़ॉक्स मॉनिटर इन हैश की तुलना एक पूर्ण पते वाले हैश से करता है जो फ़ायरफ़ॉक्स सेवा की सीमाओं को नहीं छोड़ता है। K-anonymity के गणितीय आधार पर अधिक जानकारी के लिए, Clouflare लेख देखें , जिसने फरवरी 2018 में व्यक्तिगत डेटा के अनाम विनिमय के लिए एक समान कार्य लागू किया था।

डेवलपर्स ध्यान दें कि औसत उपयोगकर्ता के इंटरनेट पर विभिन्न साइटों पर सैकड़ों खाते हैं । उनमें से प्रत्येक को एक पासवर्ड की आवश्यकता होती है। इसी समय, पासवर्ड डेटाबेस लीक के साथ हैक की संख्या नाटकीय रूप से बढ़ रही है। अक्सर पासवर्ड को हैशेड रूप में संग्रहीत किया जाता है, लेकिन हमलावर उन्हें डिक्रिप्ट करने के लिए नए रचनात्मक तरीके खोजते हैं।

रिसाव से नुकसान को कम करने के लिए, किसी व्यक्ति को अन्य सभी साइटों पर पासवर्ड को जल्दी से बदलना चाहिए जो समान वर्ण संयोजनों का उपयोग करते हैं। विशेष रूप से आपके इनबॉक्स पर, जो हैकर्स का मुख्य लक्ष्य बन जाता है, क्योंकि ईमेल पता आमतौर पर सीधे पासवर्ड डंप में सूचीबद्ध होता है, साथ ही खाता और पासवर्ड। लेकिन इस तरह की कार्रवाई करने में सक्षम होने के लिए, किसी व्यक्ति को पहले एक रिसाव की सूचना दी जानी चाहिए। यही कारण है कि फ़ायरफ़ॉक्स ब्राउज़र में एक नया सुरक्षा उपकरण पेश किया जा रहा है, जिसे अगले सप्ताह लगभग 250 हजार लोगों के सीमित चयन पर परीक्षण किया जाएगा। एक सफल परिणाम के बाद, सेवा सभी के लिए उपलब्ध कराई जाएगी।

मोज़िला को HIBP को फ़ायरफ़ॉक्स में एकीकृत करने की पहली अफवाहें पिछले साल नवंबर में दिखाई दीं और इस सेवा के निर्माता, सुरक्षा विशेषज्ञ ट्रॉय हंट को बहुत आश्चर्य हुआ । और व्यर्थ नहीं। यह पता चला है कि हम केवल ब्रीच अलर्ट सूचनाओं के बारे में बात कर रहे हैं: सरल सूचनाएं जो ब्राउज़र को पता चलता है कि यह किसी समझौता किए गए साइट पर जाती है। यह पूरी तरह से अलग मामला है। यद्यपि फ़ायरफ़ॉक्स को सार्वजनिक एचआईबीपी एपीआई के माध्यम से समझौता किए गए साइटों के पते के बारे में जानकारी मिली।

लेकिन इस मामले में, प्रेस में एक खाली जगह में उठाए गए प्रचार ने सकारात्मक भूमिका निभाई। मोज़िला संगठन ने महसूस किया कि फटा हुआ पासवर्ड के लिए एक वास्तविक जांच का कार्य वास्तव में उपयोगी होगा अगर आसपास हर कोई इसके बारे में चिल्ला रहा था। और अब यह हो गया।

अब तक, HIBP अपने सरलतम रूप में फ़ायरफ़ॉक्स में एकीकृत करता है। वहां आप बस पासवर्ड लीक सूचनाओं के लिए पंजीकरण कर सकते हैं। यदि ऐसा होता है, तो उपयोगकर्ता को सूचित किया जाएगा जैसे ही पासवर्ड आधार भूमिगत हैकर मंचों से गुजरता है और ट्रॉय हंट के हाथों में पड़ता है। इसके तुरंत बाद, उपयोगकर्ता को इसके समान संदेश प्राप्त होगा:



हाल ही में एक टिकटिक हैक (स्क्रीनशॉट में) के मामले में, HIBP सेवा ने लगभग 2 मिलियन लोगों के कुल बेस से लगभग 105,000 उपयोगकर्ताओं को सूचनाएं भेजीं, जिन्हें आम तौर पर सूचनाएं प्राप्त करने के लिए सदस्यता दी जाती थी। दो मिलियन बाल्टी में एक गिरावट है, क्योंकि HIBP पासवर्ड डेटाबेस में अब 5.1 बिलियन प्रविष्टियां और 3.1 बिलियन अद्वितीय ईमेल पते हैं। यही है, ट्रॉय हंट संभावित पीड़ितों के केवल 0.06% को सूचित कर सकता है।

लेकिन जब फ़ायरफ़ॉक्स गेम में प्रवेश करता है, तो उपयोगकर्ताओं की संख्या नाटकीय रूप से बढ़ जाएगी । हम एक आदेश या परिमाण के दो आदेशों द्वारा ग्राहकों की संख्या बढ़ाने के बारे में बात कर रहे हैं।

फ़ायरफ़ॉक्स के अलावा, HIMP सेवा अब 1Password वेब संस्करण में एकीकृत है और वॉचटावर फ़ंक्शन के माध्यम से उपलब्ध है।