सुरक्षा सप्ताह 35: Google ड्राइव के माध्यम से लीक पासवर्ड और हमलों के आंकड़े

पिछले सप्ताह सूचना सुरक्षा के क्षेत्र में कम से कम दो हाई-प्रोफाइल घटनाओं द्वारा चिह्नित किया गया था। लंबे समय में पहली बार, नवीनतम आईओएस 12.4 फर्मवेयर ( समाचार , हब पर पोस्ट ) के साथ वर्तमान ऐप्पल आईफोन मॉडल के लिए जेलब्रेक उपलब्ध है। जेलब्रेक एक भेद्यता का शोषण करता है जिसे iOS 12.3 में बंद किया गया था, लेकिन जाहिर है, गलती से, नवीनतम संस्करण 12.4 में "फिर से" खुल गया।

वीएलसी 3.0.8 वीडियो प्लेयर का एक संस्करण जारी किया गया है, जिसमें कई गंभीर भेद्यताएं ( समाचार ) बंद हैं, जिनमें वे भी शामिल हैं जो एक तैयार किए गए कोड को खोलते समय मनमाना कोड का निष्पादन सुनिश्चित करते हैं। यह उल्लेखनीय है कि जुलाई के अंत में, गंभीर कमजोरियां भी बताई गई थीं, जो एमकेवी प्रसंस्करण से भी संबंधित थीं, लेकिन अंत में जो समस्याएं सामने आईं, वे शोधकर्ता की कल्पना और उनके कंप्यूटर के अजीब विन्यास का अनुमान लगाती हैं। लेकिन ताजा कमजोरियां वास्तविक हैं।

लेकिन आज हम इस बारे में बात नहीं करेंगे, लेकिन पासवर्ड के बारे में। Google ने क्रोम ब्राउज़र और साझा ( समाचार , मूल ब्लॉग पोस्ट ) दिलचस्प आँकड़ों के लिए पासवर्ड चेकअप एक्सटेंशन का उपयोग करने के पहले परिणामों को अभिव्यक्त किया: केवल एक चौथाई पासवर्ड नए में बदल दिए जाते हैं, भले ही उपयोगकर्ता को एक रिसाव की सूचना हो। और उसी समय, हम स्पैमर्स द्वारा उपयोगकर्ता के माध्यम से तोड़ने के नए प्रयासों पर विचार करेंगे, इस बार Google ड्राइव के माध्यम से।



क्रोम ब्राउज़र के लिए पासवर्ड चेकअप एक्सटेंशन Google द्वारा इस साल फरवरी में जारी किया गया था। पिछले हफ्ते, Google विशेषज्ञों ने इसके काम के पहले परिणामों को साझा किया। एक्सटेंशन लीक डेटाबेस के खिलाफ उपयोगकर्ता द्वारा दर्ज किए गए सभी पासवर्ड की जांच करता है। आप अपने ई-मेल (और हाल ही में, आपके पासवर्ड) को मैन्युअल रूप से जांच सकते हैं, उदाहरण के लिए, सबसे प्रसिद्ध लीक संसाधनों में से एक पर - हैविबिनप्वर्ड ट्रॉय हंट। एक्सटेंशन इस प्रक्रिया को स्वचालित करता है और आपको पासवर्ड या लॉगिन-पासवर्ड जोड़ी की सूचना देता है, जो पहले से ही डेटाबेस में है।

हमारे पासवर्ड कैसे सार्वजनिक होते हैं? दो विकल्प हैं: फ़िशिंग या मैलवेयर संक्रमण, जब पासवर्ड आपसे व्यक्तिगत रूप से चुराया जाता है, या आपके द्वारा उपयोग की जाने वाली साइट या सेवा को हैक कर लेता है। चोरी किए गए पासवर्ड उपयोगकर्ताओं और जल्द ही या बाद में खुली या सशर्त रूप से खुली पहुंच के बारे में व्यक्तिगत जानकारी के काले बाजार पर आते हैं। Google 4 बिलियन रिकॉर्ड्स के विशाल डेटाबेस के साथ क्रॉल कर रहा है। ट्रॉय हंट ने प्रकाशन के समय 8.4 बिलियन रिकॉर्ड की बचत की। ऐसी लीक में कई डुप्लिकेट और त्रुटियां हैं, लेकिन लोकप्रिय सेवाओं (लिंक्डइन से याहू, ड्रॉपबॉक्स से हजारों मंचों तक) की बड़े पैमाने पर हैक को देखते हुए, हम आत्मविश्वास से मान सकते हैं कि पांच साल पहले हमारे सभी पासवर्ड सार्वजनिक डोमेन में लंबे समय से हैं।



एक लीक पासवर्ड के साथ लॉगिन का निर्धारण करते समय, क्रोम एक्सटेंशन एक चेतावनी प्रदर्शित करता है, उस साइट के URL की रिपोर्ट करता है जिस पर असुरक्षित पासवर्ड का उपयोग किया गया था, और इसे बदलने की सिफारिश करता है। एक्सटेंशन में पासवर्ड कैसे सुरक्षित हैं? यह बहुत स्पष्ट नहीं है कि पासवर्ड चेकअप के लिए कोई अलग गोपनीयता नीति नहीं है, लेकिन इस बात पर जोर दिया जाता है कि एक्सटेंशन के संचालन पर आंकड़े केवल गुमनाम रूप से एकत्र किए जाते हैं। ट्रॉय हंट में एक "पैरानॉयड" मोड है - वेब सेवा में, लीक डेटाबेस के लिए पासवर्ड की जांच करने के लिए केवल एक हैश साइट पर भेजा जाता है, लेकिन आप हैशेड पासवर्ड डेटाबेस को भी डाउनलोड कर सकते हैं और इसे ऑफ़लाइन जांच सकते हैं।

और यहां Google से अनाम आंकड़े एकत्र किए गए हैं। केवल छह महीनों में, 650 हजार उपयोगकर्ताओं ने एक्सटेंशन का लाभ उठाया। एक अच्छा चयन, लेकिन आपको यह समझना चाहिए कि Google क्रोम ब्राउज़र के सभी दसियों करोड़ उपयोगकर्ताओं के बीच यह बाल्टी में गिरावट है। इसलिए, आंकड़ों में, "उत्तरजीवी की गलती" हो सकती है - केवल वे जो पहले से ही अपनी सुरक्षा के बारे में परवाह करते हैं, एक एक्सटेंशन डालते हैं, इसलिए कम "सकारात्मक" हो सकते हैं। कुल मिलाकर, 746 हजार साइटों के लिए 21 मिलियन अनूठे लॉगिन-पासवर्ड संयोजनों की जाँच की गई। इनमें से 316,000 की पहचान असुरक्षित यानी कुल के डेढ़ प्रतिशत के रूप में की गई थी।



इन 300+ हजार ऑपरेशन से केवल 26% मामलों में, उपयोगकर्ताओं ने पासवर्ड बदलने का फैसला किया। पासवर्ड के 60% को पर्याप्त रूप से मजबूत लोगों द्वारा प्रतिस्थापित किया गया था - जो कि क्रूर बल या शब्दकोशों द्वारा चयन करना मुश्किल है। पासवर्ड की गुणवत्ता में सुधार करने की प्रवृत्ति है। ऊपर दिए गए ग्राफ़ से पता चलता है कि पुराने पासवर्ड (जिन्हें बदलने की आवश्यकता है) बहुत अधिक सरल थे। ज्यादातर मामलों में नया (जिसे प्रतिस्थापित किया गया) अधिक कठिन था। अध्ययन के पूर्ण परिणाम यहां प्रकाशित किए गए हैं । यह सेवा की सापेक्ष गुमनामी की भी पुष्टि करता है: Google की ओर से, केवल हैशेड पासवर्ड के साथ काम किया गया था, और ईमेल पते का उपयोग करने के मामले में डोमेन नाम को लॉगिन से काट दिया गया था।

पासवर्ड चेकअप एक्सटेंशन आपको यह मूल्यांकन करने की अनुमति देता है कि आपके अपने पासवर्ड कैसे लीक हुए हैं। लेकिन यह भविष्य के लीक से बचाने के लिए कोई समाधान नहीं है, क्योंकि पासवर्ड के पुन: उपयोग की समस्या बनी हुई है। वास्तव में काम करने वाला समाधान एक पासवर्ड मैनेजर है जो व्यक्तिगत रूप से प्रत्येक साइट के लिए यादृच्छिक और जटिल पासवर्ड उत्पन्न करता है। कुछ पासवर्ड मैनेजर भी लीक डेटाबेस का उपयोग करना शुरू कर रहे हैं: इस मामले में, आपको जल्दी से पता चलेगा कि वन-टाइम पासवर्ड में से एक चोरी हो गया है, और आप आसानी से केवल इसे बदल सकते हैं, और सभी सर्वरों को एक ही बार में नहीं।

Google ड्राइव स्पैम
सामान्य नेटवर्क सेवाओं का सक्रिय रूप से उपयोग करते हुए, आपके फ़ोन और मेलबॉक्स में प्रवेश करने के लिए स्पैमर्स नए तरीके खोजते रहते हैं। हमने हाल ही में Google कैलेंडर पर एक ईवेंट बनाकर स्पैम डिलीवरी विधि के बारे में लिखा है । इस स्थिति में, मूल संदेश GMail स्पैम फ़िल्टर द्वारा फ़िल्टर किया जा सकता है, लेकिन डिफ़ॉल्ट कैलेंडर सेटिंग्स के साथ आपको अभी भी फ़ोन पर एक अधिसूचना प्राप्त होगी (कभी-कभी सुबह तीन बजे)। आज हम फ़ाइल साझाकरण के माध्यम से स्पैम के बारे में बात करेंगे।

दुर्भावनापूर्ण हमलों के लिए Google ड्राइव और इसी तरह की सेवाओं का उपयोग लंबे समय से किया गया है, प्रारंभिक रणनीति लोकप्रिय कीवर्ड के साथ पृष्ठ बनाने के लिए थी, जो कि सर्च इंजन से Google ड्राइव में उच्च विश्वास के कारण खोज परिणामों की शीर्ष पंक्तियों में गिर गई थी। लेकिन एक वैकल्पिक तरीका है: बड़ी संख्या में Google सेवाओं के उपयोगकर्ताओं (स्पैम डेटाबेस से ई-मेल लेना) के साथ एक दस्तावेज़ साझा करना, और पहले से ही दस्तावेज़ में एक दुर्भावनापूर्ण, फ़िशिंग या धोखाधड़ी साइट के लिए एक लिंक डालें। यह कुछ इस तरह दिखता है:



दस्तावेज़ न केवल आपके खाते के लिए साझा की गई सूची में दिखाई देता है। यदि फोन पर Google ड्राइव एप्लिकेशन इंस्टॉल किया गया है (और यह आमतौर पर वहां स्थापित होता है), तो स्मार्टफोन पर अधिसूचना भी आ जाएगी। यह सूचनाओं से छुटकारा पाने का एकमात्र तरीका है कि उन्हें अपने फोन पर Google ड्राइव ऐप के लिए बंद कर दें। Google ड्राइव इंटरफ़ेस में, आप केवल मेल में सूचनाओं के दोहराव को बंद कर सकते हैं, लेकिन यह वैध संपर्कों के साथ वर्कफ़्लो को तोड़ सकता है। और GMail ही स्पैम नोटिफिकेशन को काफी सफलतापूर्वक ब्लॉक कर देता है।



आप स्पैम से बच सकते हैं, समस्या यह है कि लक्षित हमलों के लिए सटीक उसी विधि का उपयोग किया जाता है। ब्लेपिंग कंप्यूटर वेबसाइट ( समाचार , स्रोत ) पर एक लेख दुर्भावनापूर्ण हमलों का उदाहरण प्रदान करता है जो Google ड्राइव का उपयोग करते हैं और, उदाहरण के लिए, WeTransfer फ़ाइल साझाकरण सेवा। सब कुछ सरल है: हम एक दस्तावेज़ बनाते हैं (माना जाता है कि एक महत्वपूर्ण कामकाजी पत्र के लिए एक टेम्पलेट), इसे कंपनी के एक बड़े मालिक की ओर से उसके अधीनस्थों को भेजें। दस्तावेज़ में एक लिंक है ("परिवर्तन करें" या "दस्तावेज़ को अपडेट करें" के रूप में प्रच्छन्न) जो फ़िशिंग साइट या दुर्भावनापूर्ण सामग्री वाले पृष्ठ पर ले जाता है।

एक संकीर्ण रूप से लक्षित अभियान संगठन के स्पैम फ़िल्टर के माध्यम से टूटने की संभावना है, और जो कर्मचारी क्लाउड सेवाओं के साथ काम करने के लिए उपयोग किए जाते हैं, वे पकड़ को नोटिस नहीं कर सकते हैं। और इस तरह के परिदृश्य को केवल अवरुद्ध नहीं किया जा सकता है, उपायों का एक संयोजन आवश्यक है: मैलवेयर के खिलाफ एक बारीक ट्यून किए गए स्पैम फ़िल्टर, कर्मचारी प्रशिक्षण और सुरक्षा। और वैसे, Google डॉक्स के माध्यम से बड़े पैमाने पर स्पैम भेजा जा सकता है (और फिल्टर के माध्यम से तोड़ने का मौका है) न केवल एक-दिवसीय खातों से, बल्कि उन उपयोगकर्ताओं से भी जो काफी वास्तविक दिखते हैं। यदि आपका Google खाता पासवर्ड (Microsoft, Zoho, आदि) पोस्ट की शुरुआत में वर्णित स्क्रिप्ट के अनुसार लीक हो जाता है, तो, अन्य सभी परेशानियों के अलावा, आपके खाते का उपयोग ऐसी अंधेरे चीजों के लिए किया जा सकता है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।