सुरक्षा सप्ताह 04: पासवर्ड के साथ क्या करना है

अब तक, पिछले सप्ताह की मुख्य खबर "संग्रह # 1" का लीक होना था - एक डेटाबेस जिसमें 2.7 बिलियन ईमेल थे: पासवर्ड जोड़े, या 773 मिलियन अद्वितीय प्रविष्टियां। लीक को पहले ही यहां दोनों के बारे में विस्तार से कवर किया गया है, और ब्लॉग में , शायद असुरक्षित पासवर्ड ट्रॉय हंट के सबसे प्रसिद्ध कलेक्टर। हम नहीं दोहराएंगे, बेहतर होगा कि हम क्या करें?

पासवर्ड को लंबे समय से ऑनलाइन खातों की सुरक्षा के एक अविश्वसनीय साधन के रूप में मान्यता दी गई है । उच्च संभावना के साथ, एक दशक पहले के आपके सभी पासवर्ड पहले से ही हमलावरों के लिए सुलभ हैं, लिंकेडिन , वैंकट्टे , ट्विटर , टम्बलर और माइस्पेस से बड़े और छोटे लीक के द्रव्यमान के लिए धन्यवाद और, ज़ाहिर है, याहू । स्पॉयलर: समस्या का कोई सरल समाधान नहीं है, लेकिन ऐसे कार्यों का एक समूह है जो महत्वपूर्ण खातों में टूटने के जोखिम को कम करने में मदद करेंगे।

यदि आपको ट्रॉय हंट हैविबिनप्वेड सेवा की सदस्यता प्राप्त है, तो आपको पिछले सप्ताह 34% संभावना के साथ एक समान संदेश मिला:


ठीक है, आपका ई-मेल डेटाबेस में था, आगे क्या है? आप साइट पर जा सकते हैं और देख सकते हैं कि यह पता पहले कहाँ दिखाई दिया था। और दूसरा पता जांचें। और वहाँ वह है। लंबे समय तक इस्तेमाल किए गए पतों के मामले में, एक महंगे संपादक ने एक दर्जन अलग-अलग लीक पासवर्ड डेटाबेस की एक सूची देखी। एक तार्किक सवाल उठता है: कौन से पासवर्ड लीक हुए हैं? मुझे अपना पासवर्ड बदलने के लिए किन सेवाओं की आवश्यकता होगी? एक विशिष्ट सेवा के साथ एक घटना के मामले में, आप कम से कम दूसरे प्रश्न का उत्तर दे सकते हैं। लीक हुए कलेक्शन # 1 के मामले में आपको ऐसा जवाब नहीं मिलेगा। एक नया रिसाव अज्ञात मूल के विभिन्न स्रोतों से एक संकलन है।


खैर, उसी सेवा पर आप अपने खुद के पासवर्ड की जांच कर सकते हैं। यदि आप ट्रॉय हंट पर भरोसा नहीं करते हैं, तो आप हैशेड पासवर्ड डेटाबेस डाउनलोड कर सकते हैं और अपने पासवर्ड ऑफ़लाइन देख सकते हैं। या बस यह तय करें कि इस दुनिया में कम से कम किसी को कभी-कभी भरोसा करने की आवश्यकता है।


आप मैला सेवाओं का उपयोग कर सकते हैं जो पैसे के लिए लीक हुए डेटाबेस से एक लाइन लौटाते हैं, लेकिन आपको उन पर भरोसा करने की ज़रूरत नहीं है। इसके अलावा, आपको लीक हुए डेटाबेस को स्वयं डाउनलोड नहीं करना चाहिए, जो कि पूरे इंटरनेट पर बिखरा हुआ लगता है। यदि एक नए लीक में एकल सेवा से एक अद्वितीय पासवर्ड है, तो यह निश्चित रूप से, एक समस्या है। लेकिन अगर यह पासवर्ड सामान्य रूप से आपके सभी खातों पर भी लागू होता है, तो यह एक संभावित आपदा है।

इस तथ्य के लिए किसे दोषी माना जाता है कि आपका पासवर्ड घुसपैठियों के लिए सुलभ था? कई संभावित उत्तर भी हो सकते हैं। स्पष्ट - कुछ नेटवर्क सेवा का पासवर्ड डेटाबेस लीक। "संग्रह # 1" बनाने वाले डेटाबेस की सूची में बड़ी संख्या में छोटे साइट और फ़ोरम हैं जिन्हें अलग-अलग समय में हैक किया गया था। लगभग हर एक वर्ष में बड़ी सेवाओं से डेटा लीक होता है। लेकिन समस्या केवल उनमें ही नहीं है।


Spotify संगीत सेवा से पासवर्ड डेटाबेस की चोरी के संदेह के जवाब में ट्रॉय हंट द्वारा स्क्रीनशॉट को इस पोस्ट से लिया गया है। इस सेवा को दोष नहीं दिया गया था: पहले से ही अन्य लीक से ज्ञात लॉगिन-पासवर्ड जोड़े का उपयोग करते हुए, हमलावर भुगतान किए गए सदस्यता वाले खातों सहित कुछ Spotify खातों को क्रैक करने में सक्षम थे। यह उसी पासवर्ड का पुन: उपयोग करने का एक स्पष्ट परिणाम है। लेकिन यह सब नहीं है। आपके पासवर्ड एक ब्राउज़र में संग्रहीत हैं, आप उन्हें विभिन्न कंप्यूटरों और मोबाइल उपकरणों पर दर्ज करते हैं। यह डेटा आपकी तरफ से भी चुराया जा सकता है। अंत में, कई साइटों को न केवल उपयोगकर्ताओं की व्यक्तिगत जानकारी की चोरी के खिलाफ खराब सुरक्षा है - वे HTTPS का उपयोग भी नहीं करते हैं, जिसका अर्थ है कि ऐसी सेवा के लिए आपका पासवर्ड स्पष्ट पाठ में भेजा गया है और इसे इंटरसेप्ट किया जा सकता है। आप किसी बिंदु पर फ़िशिंग का शिकार भी हो सकते हैं और इसे नोटिस भी नहीं कर सकते ("ठीक है, मैं लॉग इन नहीं कर सकता, फिर मैं फिर से कोशिश करूँगा")।


यह सब औसत उपयोगकर्ता के लिए एक अप्रिय वातावरण बनाता है, जब यह स्पष्ट रूप से समझ में नहीं आता है कि क्या हुआ और कहां और क्या परिणाम होगा। एक सेवा से पासवर्ड लीक करने से उसी पासवर्ड का उपयोग करके दूसरे की हैकिंग हो सकती है। आप (या, इससे भी बदतर, आपके तकनीकी रूप से अप्राप्त रिश्तेदार) को तर्क के रूप में आपके किसी एक खाते के वास्तविक पासवर्ड का उपयोग करके ब्लैकमेल करने का प्रयास किया जा सकता है। हैक की गई भुगतान सेवाओं और वेबसाइटों के माध्यम से जो आपके क्रेडिट कार्ड के विवरण को संग्रहीत करते हैं, वे वास्तविक धन चुरा सकते हैं। यहां आप शायद कैप्टन एविडेंस हो सकते हैं और मुख्य समस्या को सुलझाने के लिए किसी प्रकार के पासवर्ड मैनेजर की सिफारिश कर सकते हैं - पुन: उपयोग। लेकिन वास्तव में, सब कुछ इतना सरल नहीं है।

पासवर्ड के अगले प्रमुख रिसाव की कहानी परिचालन सुरक्षा (सेना से उधार लिया गया एक शब्द) की कहानी है। OPSEC की बात यह है कि आपके डेटा की सुरक्षा एक सतत प्रक्रिया है। कोई भी विश्वसनीय तरीका नहीं है जो सभी समस्याओं को एक बार में और सभी के लिए हल करता है। मान लीजिए कि आप पासवर्ड मैनेजर का उपयोग करते हैं। क्या आपने निश्चित रूप से सभी साइटों पर पासवर्ड बदल दिया है? लंबे समय से भूल गए मंचों के बारे में क्या? क्या फ़िशिंग का उपयोग करके पासवर्ड मैनेजर या किसी अन्य सुरक्षा को बायपास करना संभव है? हां, काफी।

दो-कारक प्रमाणीकरण आपके खाते में सुरक्षा की एक और परत जोड़ता है। क्या इसके आसपास होना संभव है? आप कर सकते हैं। उदाहरण के लिए, सोशल इंजीनियरिंग, सिम कार्ड को क्लोन करने के लिए एसएमएस प्राधिकरण बायपास के उदाहरण पर्याप्त थे। हाल ही में, 2FA प्राधिकरण के दौरान उपयोगकर्ता द्वारा दर्ज किए गए डेटा के अवरोधन का सबूत-की अवधारणा दिखाई गई है । दिसंबर में, पेपल से फंड चुराने के लिए एक ट्रोजन की खोज की गई थी, जो पासवर्ड या 2FA टोकन की चोरी बिल्कुल नहीं करता है, लेकिन एक वैध आवेदन के लिए लॉगिन का इंतजार करता है और नियंत्रण को स्वीकार करता है।

सही दृष्टिकोण खातों की सुरक्षा के लिए तकनीकी साधनों के संयोजन का उपयोग करना है, जैसे कि पासवर्ड मैनेजर और दो-कारक प्राधिकरण, साथ ही सॉफ्टवेयर और उपकरणों का सुरक्षा उन्मुख उपयोग। तरीकों की एक विस्तृत सूची बनाने की कोशिश किए बिना, हम उदाहरण देते हैं। संभवतः, काम करने वाले साधनों के लेखांकन को व्यक्तिगत ई-मेल से जोड़ना आवश्यक नहीं है। कमजोर सुरक्षा सेवाओं के लिए एक अलग ई-मेल प्राप्त करने के लिए निश्चित रूप से इसके लायक है - बिना https और पुराने जैसे उपयोगी फ़ोरम। या इसके विपरीत, आप सबसे महत्वपूर्ण सेवाओं के लिए एक ईमेल खाता बना सकते हैं, इसे इंटरनेट पर नहीं चमक सकते हैं, इसके साथ मेल नहीं खाते हैं और सभी उपलब्ध साधनों द्वारा इसे जितना संभव हो उतना सुरक्षित रखें। रिसाव की स्थिति में, हमलावर "असुरक्षित" सेवाओं के लिए एक ईमेल पता प्राप्त करेंगे और अपने महत्वपूर्ण खातों पर हमला करने के लिए इसका उपयोग करने में सक्षम नहीं होंगे। मुख्य बात यह है कि अपने स्वयं के ओपेक पैंट में भ्रमित न हों।

हम यहां स्मार्टफोन और डेस्कटॉप पर संदिग्ध एप्लिकेशन इंस्टॉल करने से मना करते हैं, या, इससे भी बेहतर, एंटीवायरस सॉफ़्टवेयर की स्थापना, जो सभी समस्याओं को हल नहीं करता है, लेकिन समग्र सुरक्षा गुल्लक में महत्वपूर्ण योगदान देता है। फोन आम तौर पर बचत के लायक है, क्योंकि इसमें आमतौर पर सभी दरवाजों की चाबियां होती हैं। यहां तक ​​कि ये उपाय एक निश्चित आवृत्ति के साथ कम से कम अक्सर उपयोग की जाने वाली सेवाओं पर नियमित पासवर्ड परिवर्तन को रोकते नहीं हैं। इस प्रक्रिया की आवृत्ति आपके व्यक्तिगत डिग्री के व्यामोह पर निर्भर करती है: एक बार हर छह महीने में पर्याप्त से अधिक होना चाहिए। महत्वपूर्ण सेवाओं की एक सूची रखें, एक अनुस्मारक रखें, जब वे आपके लिए यह पेशकश करते हैं तो भुगतान डेटा को न सहेजें, भले ही वह ईबे या अलिएक्सप्रेस हो। क्या ये सभी तरीके आपके डेटा की सुरक्षा की सौ प्रतिशत गारंटी देते हैं? नहीं, वे संरक्षण के क्षेत्र में कुछ भी नहीं करते हैं, लेकिन ऐसा बिल्कुल नहीं होता है। लेकिन वे न केवल क्रेडेंशियल स्टफिंग विधि से आपकी रक्षा करेंगे, जब वे सूची से लीक किए गए पासवर्ड को किसी भी सेवाओं पर लागू करने की कोशिश करेंगे, लेकिन कुछ ट्रिकियर तरीकों से भी। इस मामले में, जब आपको हैवीबिनप्वेड से अगला पत्र प्राप्त होता है, तो यह घबराहट का कारण नहीं होगा, बल्कि आपकी अमूर्त संपत्ति की जांच की सामान्य प्रक्रिया को पूरा करने के लिए एक ट्रिगर होगा।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।